Myndigheten för utrikes underrättelser

Sammanfattning

I betänkandet En reformerad underrättelseverksamhet (SOU 2025:78) lämnas ett antal förslag för en förändrad organisation av underrättelseverksamheten, bl.a. att en ny civil utrikesunderrättelsetjänst inrättas och att uttrycket försvarsunderrättelseverksamhet ersätts med uttrycket utrikes underrättelseverksamhet. Regeringen har gett en särskild utredare i uppdrag att förbereda och genomföra bildandet av en ny myndighet med uppgift att bedriva civil utrikesunderrättelsetjänst (dir. 2025:92). Myndigheten för utrikes underrättelser ska enligt uppdraget kunna inleda sin verksamhet den 1 januari 2027. I denna promemoria föreslås två nya författningar och andra författningsändringar som krävs för att myndigheten ska kunna inleda sin verksamhet den 1 januari 2027. Myndigheten för utrikes underrättelser ska omfattas av samma regelverk som i dag omfattar den försvarsunderrättelseverksamhet (utrikes underrättelseverksamhet enligt förslagen i denna promemoria och SOU 2025:78) som bedrivs av Försvarsmakten (Must). Den nya myndigheten behöver därför läggas till i ett antal lagar och förordningar. Det behöver också finnas en ny lag och förordning om behandling av personuppgifter för att den nya myndigheten ska kunna behandla personuppgifter på ett ändamålsenligt sätt. Vidare behövs ett antal författningsändringar för att uttrycket försvarsunderrättelseverksamhet ska bytas ut mot uttrycket utrikes underrättelseverksamhet.

1 Författningsförslag

1.1 Förslag till lag om behandling av personuppgifter vid Myndigheten för utrikes underrättelser

Härigenom föreskrivs följande.

1 kap. Allmänna bestämmelser

Syfte med lagen

1 § Syftet med lagen är att säkerställa att Myndigheten för utrikes underrättelser kan behandla personuppgifter på ett ändamålsenligt sätt och att skydda fysiska personers grundläggande fri- och rättigheter i samband med sådan behandling.

Lagens tillämpningsområde

2 § Denna lag gäller vid s behandling av personuppgifter i verksamhet som rör Sveriges säkerhet samt internationellt utrikes underrättelsesamarbete och säkerhetssamarbete.

3 § Lagen gäller vid sådan behandling av personuppgifter som är helt eller delvis automatiserad. Den gäller också personuppgifter som ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier.

Författningsförslag

4 § Vid behandling av personuppgifter enligt denna lag gäller inte Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) och inte heller lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning.

Ord och uttryck i lagen

5 § I denna lag används följande ord och uttryck.

Ord och uttryck Betydelse

Behandling av personuppgifter En åtgärd eller en kombination av åtgärder som vidtas i fråga om personuppgifter eller uppsättningar av personuppgifter, oavsett om det görs automatiserat eller inte, t.ex. insamling, registrering, organisering, strukturering, lagring, bearbetning eller ändring, framtagning, läsning, användning, utlämnande, spridning eller tillhandahållande på annat sätt, justering, sammanföring, begränsning, radering eller förstöring.

Biometriska uppgifter Personuppgifter som rör en persons fysiska, fysiologiska eller beteendemässiga kännetecken, som tagits fram genom särskild teknisk behandling och som möjliggör eller bekräftar identifiering av personen i fråga.

Författningsförslag

Dataskyddsombud En fysisk person som utses av den personuppgiftsansvarige för att självständigt kontrollera att personuppgifter behandlas författningsenligt och på ett korrekt sätt.

Genetiska uppgifter Personuppgifter som rör en persons nedärvda eller förvärvade genetiska kännetecken och som framför allt härrör från analys av ett spår av eller ett biologiskt prov från personen i fråga.

Mottagare Den till vilken personuppgifter lämnas ut, med undantag av en myndighet som med stöd av författning utövar tillsyn, kontroll eller revision.

Personuppgift Varje upplysning om en identifierad eller identifierbar fysisk person som är i livet.

Personuppgiftsansvarig Den som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen av personuppgifter.

Personuppgiftsbiträde Den som behandlar personuppgifter för den personuppgiftsansvariges räkning.

Registrerad Den fysiska person som personuppgiften gäller.

Tredje part Någon annan än

Författningsförslag

– den registrerade, – den personuppgiftsansvarige, – dataskyddsombudet, – personuppgiftsbiträdet, och – sådana personer som under den personuppgiftsansvariges eller personuppgiftsbiträdets direkta ansvar har rätt att behandla personuppgifter.

Personuppgiftsansvar

6 § är personuppgiftsansvarig för all behandling av personuppgifter som myndigheten utför, som utförs under myndighetens ledning eller på dess vägnar.

2 kap. Behandling av personuppgifter

Grundläggande krav på behandlingen

Rättslig grund

1 § Personuppgifter får endast behandlas för att bedriva verksamhet som följer av lag eller annan författning, internationella åtaganden, kollektivavtal eller annat avtal, eller ett särskilt beslut av regeringen.

Krav på ändamål

2 § Personuppgifter får bara behandlas för särskilda, uttryckligt angivna och berättigade ändamål. Personuppgifter får inte behandlas för något ändamål som är oförenligt med det ändamål som de ursprungligen behandlades för.

Författningsförslag

Utrikes underrättelseverksamhet

3 § Personuppgifter får behandlas i Myndigheten för utrikes underrättelsers utrikes underrättelseverksamhet om det är nödvändigt för att bedriva den verksamhet som anges i lagen (2000:130) om utrikes underrättelseverksamhet.

4 § De personuppgifter som Myndigheten för utrikes underrättelser har fått tillgång till i myndighetens utrikes underrättelseverksamhet får fortsätta behandlas i den verksamheten, om det behövs för att fullgöra den. Första stycket gäller endast om inte något annat följer av denna lag eller en förordning som regeringen har meddelat i anslutning till lagen.

Övriga ändamål

5 § får behandla personuppgifter som utgör allmänt tillgänglig information om det är nödvändigt för myndighetens verksamhet.

6 § får behandla personuppgifter om lagöverträdelser om det är nödvändigt för myndighetens verksamhet.

7 § får behandla personuppgifter för vetenskapliga, statistiska eller historiska ändamål inom denna lags tillämpningsområde.

8 § får behandla personuppgifter om det är nödvändigt för annan verksamhet som bedrivs enligt 1 §.

Författningsenlig och korrekt behandling

9 § Personuppgifter ska behandlas författningsenligt och på ett korrekt sätt.

Författningsförslag

Personuppgifternas kvalitet

10 § Personuppgifter som behandlas ska vara riktiga och, om det är nödvändigt, uppdaterade. Personuppgifterna ska vara adekvata och relevanta i förhållande till ändamålen med behandlingen. Uppgifter som beskriver en persons utseende ska utformas på ett objektivt sätt med respekt för människovärdet. Fler personuppgifter får inte behandlas än vad som är nödvändigt med hänsyn till ändamålen med behandlingen.

Känsliga personuppgifter

11 § Personuppgifter som avslöjar ras, etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening eller som rör hälsa, sexualliv eller sexuell läggning får inte behandlas. När personuppgifter behandlas får de dock kompletteras med sådana uppgifter som avses i första stycket, om det är absolut nödvändigt med hänsyn till ändamålen med behandlingen.

12 § Biometriska uppgifter får behandlas om det är absolut nödvändigt med hänsyn till ändamålen med behandlingen. Genetiska uppgifter får inte behandlas.

13 § Vid sökning får personuppgifter som avslöjar ras, etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening eller som rör hälsa, sexualliv eller sexuell läggning användas som sökbegrepp om det är absolut nödvändigt med hänsyn till ändamålen med behandlingen. Detsamma gäller biometriska uppgifter.

Personnummer och samordningsnummer

14 § Uppgifter om personnummer eller samordningsnummer får behandlas bara när det är klart motiverat med hänsyn till 1. ändamålen med behandlingen, 2. vikten av en säker identifiering, eller 3. något annat beaktansvärt skäl.

Författningsförslag

Om den registrerade har lämnat sitt samtycke eller offentliggjort personuppgifterna

15 § Trots 11, 12 och 14 §§ får andra personuppgifter än genetiska uppgifter behandlas, om den registrerade har lämnat sitt uttryckliga samtycke eller på ett tydligt sätt har offentliggjort uppgifterna.

Behandling av personuppgifter i vissa fall

16 § Hantering av information som innebär behandling av personuppgifter ska inte anses oförenlig med bestämmelserna i 1 – 3, 5 – 6, 8 – 12 och 14 §§ i det skede av behandlingen då det inte har kunnat fastställas vilka personuppgifter som informationen innehåller.

Längsta tid som personuppgifter får behandlas

17 § Personuppgifter får inte behandlas under längre tid än vad som behövs med hänsyn till ändamålen med behandlingen. Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om att personuppgifter får behandlas under endast viss tid eller fortsätta behandlas för arkivändamål av allmänt intresse eller för vetenskapliga, statistiska eller historiska ändamål. Regeringen eller den myndighet som regeringen bestämmer får också besluta om sådan behandling i ett enskilt fall.

Överföring av personuppgifter till en mottagare utomlands

18 § Personuppgifter som behandlas med stöd av denna lag får föras över till ett annat land eller en internationell organisation endast om sekretess inte hindrar det och det är nödvändigt för att ska kunna fullgöra sina uppgifter inom ramen för det internationella utrikes underrättelsesamarbetet och säkerhetssamarbetet. Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om att

Författningsförslag

överföring får ske även i andra fall om det är nödvändigt för verksamheten vid . Regeringen får också besluta om sådan överföring i ett enskilt fall.

Utlämnande av personuppgifter

19 § Personuppgifter får lämnas ut elektroniskt på annat sätt än genom direktåtkomst, om det inte är olämpligt. Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om begränsning av möjligheten att lämna ut personuppgifter elektroniskt på annat sätt än genom direktåtkomst.

3 kap. Gemensamt tillgängliga personuppgifter

Personuppgifter som får göras gemensamt tillgängliga

1 § Personuppgifter får göras gemensamt tillgängliga om det behövs för något av de ändamål som anges i 2 kap. Med att göra personuppgifter gemensamt tillgängliga avses att inte endast ett fåtal personer får tillgång till uppgifterna. Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om vilka personuppgifter som får göras gemensamt tillgängliga inom . Regeringen eller den myndighet som regeringen bestämmer får också besluta om det i ett enskilt fall.

Direktåtkomst

2 § Säkerhetspolisen, Försvarsmakten, och Försvarets radioanstalt får medges direktåtkomst till personuppgifter som utgör bearbetningsunderlag och analysresultat inom utrikes underrättelseverksamhet och som har gjorts gemensamt tillgängliga inom . Säkerhetspolisen, Försvarsmakten och Försvarets radioanstalt har rätt att vid direktåtkomst ta del av de personuppgifter som omfattas av åtkomsten.

Författningsförslag

3 § Om det behövs för samarbetet mot terrorism eller vid svenskt deltagande i annat internationellt underrättelse- och säkerhetssamarbete, får en utländsk underrättelse- eller säkerhetstjänst medges direktåtkomst till personuppgifter som behandlas med stöd av 2 kap. 3 § och som har gjorts gemensamt tillgängliga inom i syfte att ge mottagaren tillgång till uppgifterna.

Direktåtkomst i andra fall

4 § Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om direktåtkomst till gemensamt tillgängliga personuppgifter i andra fall än de som anges i 2 och 3 §§. Regeringen får också besluta om detta i ett enskilt fall.

Omfattningen av direktåtkomsten

5 § Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om omfattningen av direktåtkomsten och om behörighet och säkerhet vid sådan åtkomst. Regeringen den myndighet som regeringen bestämmer får också besluta om detta i ett enskilt fall.

4 kap. Skyldigheter som personuppgiftsansvarig

Åtgärder för att säkerställa författningsenlig behandling

1 § ska, genom lämpliga tekniska och organisatoriska åtgärder, säkerställa att behandlingen av personuppgifter är författningsenlig och att de registrerades rättigheter skyddas.

2 § Tillgången till personuppgifter ska begränsas till vad var och en behöver för att kunna fullgöra sina arbetsuppgifter.

Författningsförslag

Säkerheten för personuppgifter

3 § ska vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas. Åtgärderna ska särskilt avse skydd mot obehörig eller otillåten behandling och mot förlust, förstöring eller annan oavsiktlig skada.

Dataskyddsombud

4 § ska inom myndigheten utse ett eller flera dataskyddsombud och anmäla till tillsynsmyndigheten när dataskyddsombud utses och entledigas.

5 § Ett dataskyddsombud ska 1. självständigt kontrollera att Myndigheten för utrikes underrättelser behandlar personuppgifter författningsenligt och på ett korrekt sätt och i övrigt fullgör sina skyldigheter, 2. informera och ge råd till Myndigheten för utrikes underrättelser och till dem som behandlar personuppgifter under myndighetens ledning om deras skyldigheter vid behandling av personuppgifter, 3. vara kontaktpunkt för enskilda i frågor som rör Myndigheten för utrikes underrättelsers behandling av personuppgifter, och 4. vid behov söka vägledning av tillsynsmyndigheten.

Personuppgiftsbiträden

6 § får, om det är lämpligt, anlita personuppgiftsbiträden för behandling av personuppgifter på s vägnar. Innan ett personuppgiftsbiträde anlitas, ska Myndigheten för utrikes underrättelser försäkra sig om att biträdet kommer att vidta de lämpliga tekniska och organisatoriska åtgärder som krävs för att behandlingen av personuppgifter ska vara författningsenlig och för att skydda registrerades rättigheter.

Författningsförslag

7 § Personuppgiftsbiträdets behandling av personuppgifter ska regleras i ett skriftligt avtal eller annan skriftlig överenskommelse.

8 § Ett personuppgiftsbiträde får inte anlita ett annat personuppgiftsbiträde utan skriftligt tillstånd av Myndigheten för utrikes underrättelser.

9 § Ett personuppgiftsbiträde eller den eller de personer som arbetar under biträdets eller s ledning ska behandla personuppgifter i enlighet med instruktioner från . Om ett personuppgiftsbiträde, i strid med Myndigheten för utrikes underrättelsers instruktioner, bestämmer ändamålen med och medlen för behandlingen, ska biträdet anses vara personuppgiftsansvarig enligt denna lag för den behandlingen.

10 § s skyldigheter enligt 2 och 3 §§ gäller även för personuppgiftsbiträden som Myndigheten för utrikes underrättelser anlitar.

5 kap. Enskildas rättigheter

Rätten till information

Allmän information

1 § ska göra följande information allmänt tillgänglig: 1. myndighetens identitet och kontaktuppgifter, 2. uppgifter om dataskyddsombudet, 3. kategorier av ändamål för behandlingen av personuppgifter, 4. rätten enligt 3 § att begära att få information om behandlingen av personuppgifter och att få del av dem, och 5. rätten att begära rättelse, radering eller begränsning av behandlingen enligt 6 §.

Författningsförslag

Information som ska lämnas om personuppgifterna samlas in från den som uppgifterna avser

2 § Om personuppgifter samlas in från den som uppgifterna avser ska , när myndigheten får personuppgifterna, på eget initiativ lämna följande information till den registrerade: 1. uppgift om att det är som är personuppgiftsansvarig för behandlingen, 2. uppgift om den rättsliga grunden och ändamålen med behandlingen, och 3. all övrig information som behövs för att den registrerade ska kunna ta till vara sina rättigheter i samband med behandlingen, såsom information om uppgifternas mottagare, om skyldighet att lämna uppgifter och om rätten att ansöka om information och få rättelse.

Information som ska lämnas efter begäran

3 § är skyldig att en gång per kalenderår till den som begär det lämna skriftligt besked om huruvida personuppgifter som rör honom eller henne behandlas. Om sådana uppgifter behandlas ska sökanden få del av dem och få följande skriftliga information: 1. vilka personuppgifter om den sökande som behandlas, 2. varifrån personuppgifterna kommer, 3. den rättsliga grunden och ändamålen med behandlingen, 4. mottagare eller kategorier av mottagare av personuppgifterna, även i annat land eller internationella organisationer, 5. hur länge personuppgifterna får behandlas eller, om det inte är möjligt att ange, kriterierna för att fastställa det, och 6. rätten att begära rättelse, radering eller begränsning av behandlingen enligt 6 §. Ett utlämnande av personuppgifter enligt första stycket behöver inte omfatta sådana personuppgifter som sökanden har tagit del av, om inte han eller hon begär det. Det ska dock framgå av informationen att personuppgifterna i fråga behandlas. En ansökan om information enligt första stycket ska göras skriftligen hos och vara

Författningsförslag

undertecknad av den sökande själv. Informationen ska lämnas inom en månad från det att ansökan gjordes. Om det finns särskilda skäl för det, får information dock lämnas senast fyra månader efter det att ansökan gjordes.

Begränsning av rätten till information

4 § Informationsskyldigheten enligt 2 och 3 §§ gäller inte i den utsträckning sekretess hindrar att uppgifterna lämnas ut. Om det gäller sekretess är Myndigheten för utrikes underrättelser inte skyldig att redovisa skälen för ett beslut enligt första stycket eller ett beslut i fråga om rättelse, radering eller begränsning av behandlingen enligt 6 §.

5 § Informationsskyldigheten enligt 2 och 3 §§ gäller inte personuppgifter i löpande text som inte fått sin slutliga utformning när begäran gjordes eller som utgör en minnesanteckning eller liknande. Informationsskyldigheten gäller dock om uppgifterna 1. har lämnats ut till tredje part, med undantag för en myndighet som med stöd av författning utövar tillsyn, kontroll eller revision, 2. behandlas enbart för statistiska ändamål eller arkivändamål av allmänt intresse, eller 3. har behandlats under längre tid än ett år i löpande text som inte har fått sin slutliga utformning.

Rätten till rättelse, radering och begränsning av behandlingen

6 § ska på begäran av den registrerade snarast rätta, radera eller begränsa behandlingen av sådana personuppgifter som inte har behandlats i enlighet med denna lag eller föreskrifter som har meddelats med stöd av lagen. Om uppgifterna har lämnats ut till tredje part ska denne underrättas om en åtgärd enligt första stycket, om den registrerade begär det eller om en mera betydande skada eller olägenhet för den registrerade skulle kunna undvikas genom en underrättelse. Någon underrättelse behöver dock inte lämnas, om sekretess hindrar det eller detta är omöjligt eller skulle innebära en oproportionerligt stor arbetsinsats.

Författningsförslag

Avgiftsfri information

7 § Information enligt 1 och 2 §§ och information och uppgifter enligt 3 § ska lämnas utan avgift.

6 kap. Tillsyn

Tillsyn över personuppgiftsbehandlingen

1 § Den myndighet som regeringen bestämmer utövar tillsyn över s behandling av personuppgifter enligt denna lag, enligt föreskrifter som har meddelats i anslutning till lagen och enligt beslut med stöd av lagen. Tillsynsmyndigheten ska, när det är motiverat, ge råd och stöd till och personuppgiftsbiträden i frågor som gäller deras skyldigheter enligt lag eller annan författning.

Tillsynsmyndighetens befogenheter

Undersökningsbefogenheter

2 § Tillsynsmyndigheten har rätt att av Myndigheten för utrikes underrättelser eller av ett personuppgiftsbiträde på begäran få 1. tillgång till personuppgifter som behandlas, 2. upplysningar om och dokumentation av behandlingen av personuppgifter och säkerhets- och skyddsåtgärder, 3. tillträde till sådana lokaler som har anknytning till behandling av personuppgifter och tillgång till utrustning och andra medel för behandling av personuppgifter, och 4. den hjälp och annan information som behövs för tillsynen.

Förebyggande befogenheter

3 § Om tillsynsmyndigheten bedömer att det finns risk för att personuppgifter kan komma att behandlas i strid med lag eller annan författning, ska myndigheten genom råd, rekommendationer eller påpekanden försöka förmå

Författningsförslag

eller personuppgiftsbiträdet att vidta åtgärder för att motverka den risken. Tillsynsmyndigheten får besluta om en skriftlig varning, om en planerad behandling av personuppgifter riskerar att strida mot lag eller annan författning. Detsamma gäller om en pågående behandling riskerar att strida mot lag eller annan författning.

Korrigerande befogenheter

4 § Om tillsynsmyndigheten konstaterar att personuppgifter behandlas i strid med lag eller annan författning, eller att eller ett personuppgiftsbiträde på annat sätt inte fullgör sina skyldigheter, får tillsynsmyndigheten 1. genom sådana åtgärder som anges i 3 § första stycket försöka förmå eller personuppgiftsbiträdet att vidta åtgärder för att behandlingen ska bli författningsenlig eller för att fullgöra andra skyldigheter, eller 2. besluta att förelägga eller personuppgiftsbiträdet att vidta åtgärder för att behandlingen ska bli författningsenlig eller för att fullgöra andra skyldigheter. Av ett beslut om föreläggande ska det framgå när föreläggandet senast ska ha följts och, om det är lämpligt, vilka åtgärder som ska vidtas.

7 kap. Skadestånd och överklagande

Skadestånd

1 § Den personuppgiftsansvarige ska ersätta den registrerade för den skada och kränkning av den personliga integriteten som orsakats av behandling av personuppgifter i strid med denna lag, föreskrifter som har meddelats i anslutning till lagen eller beslut med stöd av lagen. Ersättningsskyldigheten får, i den utsträckning det är skäligt, jämkas om den personuppgiftsansvarige visar att felet inte berodde på denne.

Författningsförslag

Överklagande

Överklagande av s beslut

2 § beslut enligt 5 kap. 2 och 3 §§ att inte lämna information och beslut enligt 5 kap. 6 § i fråga om rättelse, radering, begränsning av behandlingen eller underrättelse till tredje part, får överklagas till allmän förvaltningsdomstol. Prövningstillstånd krävs vid överklagande till kammarrätten.

Överklagande av tillsynsmyndighetens beslut

3 § Tillsynsmyndighetens beslut om föreläggande enligt 6 kap. 4 § första stycket 2 får överklagas till allmän förvaltningsdomstol. När ett beslut överklagas är tillsynsmyndigheten motpart i domstolen. Prövningstillstånd krävs vid överklagande till kammarrätten.

Överklagandeförbud

4 § Andra beslut enligt denna lag än de som anges i 2 och 3 §§ får inte överklagas.

Denna lag träder i kraft den 1 januari 2027.

Författningsförslag

1.2 Förslag till lag om ändring i lagen (1992:860) om kontroll av narkotika

Härigenom föreskrivs att 7 § lagen (1992:860) om kontroll av narkotika ska ha följande lydelse.

7 §

Narkotika får innehas endast av 1. den som har rätt att handla med varan, 2. en föreståndare för en vetenskaplig institution som ägs eller stöds av staten eller en kommun, i den mån varan behövs för vetenskaplig forskning, undersökning eller undervisning, 3. en befattningshavare vid 3. en befattningshavare vid försvarsmakten enligt särskilda försvarsmakten eller bestämmelser, Myndigheten för utrikes underrättelser enligt särskilda bestämmelser, 4. den som fått varan utlämnad till sig enligt 6 § första stycket eller medgetts införsel enligt 3 § första stycket, 5. den som fått tillstånd till det för utbildningsändamål eller något annat samhällsnyttigt ändamål, eller 6. den som fått tillstånd till det för industriellt ändamål.

Denna lag träder i kraft den 1 januari 2027.

1 Senaste lydelse 2011:114.

Författningsförslag

1.3 Förslag till lag om ändring i lagen (1994:260) om offentlig anställning

Härigenom föreskrivs att 31 § lagen (1994:260) om offentlig anställning ska ha följande lydelse.

31 §

Denna lag träder i kraft den 1 januari 2027.

Senaste lydelse 2020:1273.

Författningsförslag

1.4 Förslag till lag om ändring i lagen (2000:130) om försvarsunderrättelseverksamhet

Härigenom föreskrivs att rubriken till lagen (2000:130) om försvarsunderrättelseverksamhet samt 1 – 5 §§ ska ha följande lydelse.

1 §

Senaste lydelse 2007:664.

Författningsförslag

2 § 2 Verksamheten enligt 1 § skall Verksamheten enligt 1 § ska fullgöras genom inhämtning, fullgöras genom inhämtning, bearbetning och analys av bearbetning och analys av information. Underrättelser information. Underrättelser ska skall rapporteras till berörda rapporteras till berörda myndigheter. myndigheter. I verksamheten används I verksamheten används teknisk och personbaserad teknisk och personbaserad inhämtning. Vissa bestämmelser inhämtning. Vissa bestämmelser om teknisk inhämtning finns i om teknisk inhämtning finns i lagen (2008:717) om signal- lagen (2008:717) om signalspaning i försvarsunderrättelse- spaning i utrikes underrättelseverksamhet . verksamhet .

3 § 3 Den eller de myndigheter Den eller de myndigheter som skall bedriva försvarsunder- som ska bedriva utrikes rättelseverksamhet får, enligt underrättelseverksamhet får, regeringens närmare bestäm- enligt regeringens närmare mande, etablera och upprätthålla bestämmande, etablera och samarbete i underrättelsefrågor upprätthålla samarbete i med andra länder och underrättelsefrågor med andra internationella organisationer. länder och internationella organisationer.

4 § 4 Inom försvarsunderrättelse- Inom utrikes underrättelseverksamheten får det inte vidtas verksamheten får det inte vidtas åtgärder som syftar till att lösa åtgärder som syftar till att lösa uppgifter som enligt lagar eller uppgifter som enligt lagar eller andra föreskrifter ligger inom andra föreskrifter ligger inom ramen för Polismyndighetens, ramen för Polismyndighetens, Säkerhetspolisens och andra Säkerhetspolisens och andra myndigheters brottsbekämp- myndigheters brottsbekämp-

2 Senaste lydelse 2008:718. 3 Senaste lydelse 2007:664. 4 Senaste lydelse 2014:687.

34

Författningsförslag

ande och brottsförebyggande ande och brottsförebyggande verksamhet. verksamhet. Om det inte finns hinder Om det inte finns hinder enligt andra bestämmelser, får enligt andra bestämmelser, får dock de myndigheter som dock de myndigheter som bedriver försvarsunderrättelse- bedriver utrikes underrättelseverksamhet lämna stöd till andra verksamhet lämna stöd till andra myndigheters brottsbekämp- myndigheters brottsbekämpande och brottsförebyggande ande och brottsförebyggande verksamhet. verksamhet.

5 § 5 Den myndighet som Den myndighet som regeringen bestämmer skall regeringen bestämmer ska kontrollera försvarsunder- kontrollera utrikes underrättelserättelseverksamheten . verksamheten .

Denna lag träder i kraft den 1 januari 2027.

5 Senaste lydelse 2007:664.

35

Författningsförslag

1.5 Förslag till lag om ändring i lagen (2006:939) om kvalificerade skyddsidentiteter

Härigenom föreskrivs att 2, 6, 8 och 9 §§ lagen (2006:939) om kvalificerade skyddsidentiteter ska ha följande lydelse.

2 §

Ett beslut om kvalificerad skyddsidentitet får endast avse

1. en polisman eller en annan anställd vid Polismyndigheten eller

Säkerhetspolisen med uppgift att delta i spanings- eller

utredningsverksamhet som gäller allvarlig brottslighet eller

verksamhet för att förebygga sådan brottslighet, eller

6 §

Senaste lydelse 2020:1051.

36

Författningsförslag

Ett beslut om kvalificerad skyddsidentitet i de fall som avses i 2 § 2 meddelas på ansökan av Myndigheten för utrikes underrättelser (ansökningsmyndigheten). Om den som skyddsidentiteten ska avse är anställd vid beslutsmyndigheten, ska ansökan göras av den enhet inom anställningsmyndigheten eller ansökningsmyndigheten där han eller hon är verksam (ansökningsenheten ).

8 § Ett beslut om kvalificerad Ett beslut om kvalificerad skyddsidentitet gäller för den tid skyddsidentitet gäller för den tid som anges i beslutet. Denna tid som anges i beslutet. Denna tid får bestämmas till högst två år. får bestämmas till högst två år. Om villkoren i 2 och 3 §§ Om villkoren i 2 och 3 §§ fortfarande är uppfyllda , får, på fortfarande är uppfyllda får, på ansökan av anställnings- ansökan av anställningsmyndigmyndigheten eller , i heten, ansökningsmyndigheten förekommande fall, anställnings- eller, i förekommande fall, enheten, beslutet förlängas med ansökningsenheten , beslutet högst två år i taget. förlängas med högst två år i taget.

9 § Om villkoren i 2 eller 3 § inte Om villkoren i 2 eller 3 § inte längre är uppfyllda, skall längre är uppfyllda, ska beslutsmyndigheten förordna beslutsmyndigheten förordna att beslutet om kvalificerad att beslutet om kvalificerad skyddsidentitet inte längre skall skyddsidentitet inte längre ska gälla. Om förutsättningarna för gälla. Om förutsättningarna för ett förordnande som meddelats ett förordnande som meddelats enligt 4 § har ändrats, skall enligt 4 § har ändrats, ska beslutsmyndigheten besluta om beslutsmyndigheten besluta om

37

Författningsförslag

de ändringar som föranleds av de ändringar som föranleds av detta. detta. Anställningsmyndigheten Anställningsmyndigheten, eller , i förekommande fall, ansökningsmyndigheten eller , i anställningsenheten skall genast förekommande fall, anmäla till beslutsmyndigheten ansökningsenheten ska genast när det finns grund för att anmäla till beslutsmyndigheten upphäva eller ändra ett beslut om när det finns grund för att kvalificerad skyddsidentitet. upphäva eller ändra ett beslut om kvalificerad skyddsidentitet.

1. Denna lag träder i kraft den 1 januari 2027. 2. Beslut om kvalificerad skyddsidentitet som har meddelats enligt 2, 8 eller 9 § i den äldre lydelsen gäller fortfarande.

38

Författningsförslag

1.6 Förslag till lag om ändring i lagen (2008:717) om signalspaning i försvarsunderrättelseverksamhet

Härigenom föreskrivs att rubriken till lagen (2008:717) om signalspaning i försvarsunderrättelseverksamhet samt 1, 4 – 5, 5 b, 6, 8, 9, 11 a och 12 b §§ ska ha följande lydelse.

1 §

Författningsförslag

4 § närmare har bestämt 4 § närmare har bestämt inriktningen av signalspaningen. inriktningen av signalspaningen. Signalspaning i försvarsunder- Signalspaning i utrikes rättelseverksamhet får ske endast underrättelseverksamhet får ske i syfte att kartlägga endast i syfte att kartlägga 1. yttre militära hot mot landet, 2. förutsättningar för svenskt deltagande i fredsfrämjande och humanitära internationella insatser eller hot mot säkerheten för svenska intressen vid genomförandet av sådana insatser, 3. internationell terrorism och annan grov gränsöverskridande brottslighet som kan hota väsentliga nationella intressen, 4. utveckling och spridning av massförstörelsevapen, krigsmateriel och produkter som avses i lagen (2000:1064) om kontroll av produkter med dubbla användningsområden och av tekniskt bistånd samt strategiska förhållanden som gäller sådana utländska direktinvesteringar som avses i lagen (2023:560) om granskning av utländska direktinvestering, 5. allvarliga yttre hot mot samhällets infrastrukturer, 6. konflikter utomlands med konsekvenser för internationell säkerhet, 7. främmande underrättelseverksamhet mot svenska intressen, 8. främmande makts agerande eller avsikter av väsentlig betydelse för svensk utrikes-, säkerhets- eller försvarspolitik, eller 9. sådana företeelser som avses i 1 – 8, men som inte riktas mot Sverige eller rör svenska intressen, om det är nödvändigt för ett samarbete i underrättelsefrågor med andra länder och internationella organisationer som signalspaningsmyndigheten deltar i. Om det är nödvändigt för Om det är nödvändigt för försvarsunderrättelseverksamheten utrikes får signaler i elektronisk form underrättelseverksamheten får inhämtas vid signalspaning även signaler i elektronisk form för att inhämtas vid signalspaning även för att 1. följa förändringar i signalmiljön i omvärlden, den tekniska utvecklingen och signalskyddet, samt 2. fortlöpande utveckla den teknik och metodik som behövs för att bedriva verksamhet enligt denna lag.

40

Författningsförslag

4 § I lagen (2000:130) om I lagen (2000:130) om utrikes försvarsunderrättelseverksamhet underrättelseverksamhet finns finns bestämmelser om bestämmelser om regeringens regeringens och myndigheters och myndigheters inriktning av inriktning av sådan verksamhet. sådan verksamhet. Inriktning av Inriktning av signalspaning får signalspaning får anges endast av anges endast av regeringen, regeringen, Regeringskansliet, Regeringskansliet, Försvars- Försvarsmakten, Säkerhetsmakten, Säkerhetspolisen och polisen, Nationella operativa Nationella operativa avdel- avdelningen i Polismyndigheten ningen i Polismyndigheten. och Myndigheten för utrikes underrättelser. Regeringen bestämmer inriktningen av sådan verksamhet som bedrivs enligt 1 § andra stycket 9 och tredje stycket. Regeringen och Försvarsmakten bestämmer inriktningen av sådan verksamhet som bedrivs enligt 1 a §. En inriktning av signalspaningen får inte avse endast en viss fysisk person.

4 a § Signalspaningsmyndigheten Signalspaningsmyndigheten ska ansöka om tillstånd hos ska ansöka om tillstånd hos Försvarsunderrättelsedomstolen Domstolen för utrikes för signalspaning enligt 1 och underrättelseverksamhet för 1 a §§. En sådan ansökan ska signalspaning enligt 1 och 1 a §§. innehålla uppgifter om En sådan ansökan ska innehålla uppgifter om 1. det inhämtningsuppdrag som ansökan avser, med en närmare redogörelse för det behov som föranleder ansökan och uppgift om vilken inriktning uppdraget hänför sig till, 2. vilken eller vilka signalbärare avseende signaler i tråd som signalspaningsmyndigheten behöver ha tillgång till för att fullgöra uppdraget samt en övergripande redovisning av övrig inhämtning, 3. de sökbegrepp eller kategorier av sökbegrepp som är avsedda att användas vid inhämtningen, 4. vilken tid tillståndet ska gälla, och 5. de omständigheter i övrigt som myndigheten vill åberopa till stöd för sin ansökan.

41

Författningsförslag

5 §

Tillstånd för signalspaning enligt visst inhämtningsuppdrag får

2. syftet med inhämtningen inte kan tillgodoses på ett mindre

3. uppdraget beräknas ge information vars värde är klart större än

det integritetsintrång som inhämtning i enlighet med ansökan kan

4. de sökbegrepp eller kategorier av sökbegrepp som är avsedda

att användas är förenliga med 3 §, och

5. ansökan inte avser endast en viss fysisk person.

5 b §

Senaste lydelse 2009:967. 2 Senaste lydelse 2009:967.

42

Författningsförslag

I anmälan ska skälen för underrättelseverksamhet . I åtgärden anges. Försvarsunder- anmälan ska skälen för åtgärden rättelsedomstolen ska skyndsamt anges. Domstolen för utrikes pröva ärendet och, om den underrättelseverksamhet ska finner att det inte finns skäl för skyndsamt pröva ärendet och, åtgärden, upphäva eller ändra om den finner att det inte finns beslutet. Om ett beslut enligt skäl för åtgärden, upphäva eller första stycket har upphört att ändra beslutet. Om ett beslut gälla innan domstolen har prövat enligt första stycket har upphört ärendet, ska signalspanings- att gälla innan domstolen har myndigheten anmäla åtgärden prövat ärendet, ska till kontrollmyndigheten. signalspaningsmyndigheten anmäla åtgärden till kontrollmyndigheten. Om Försvarsunderrättelse- Om Domstolen för utrikes domstolen upphäver eller ändrar underrättelseverksamhet ett beslut enligt första stycket upphäver eller ändrar ett beslut ska upptagning eller uppteck- enligt första stycket ska ning av uppgifter som redan upptagning eller uppteckning av inhämtats omgående förstöras i uppgifter som redan inhämtats den utsträckning upptagningen omgående förstöras i den eller uppteckningen kan utsträckning upptagningen eller hänföras till ändringen. uppteckningen kan hänföras till ändringen.

3 6 § Bestämmelser om Försvars- Bestämmelser om Domstolen underrättelsedomstolen finns i för utrikes underrättelselagen (2009:966) om Försvars- verksamhet finns i lagen underrättelsedomstol . (2009:966) om Domstolen för utrikes underrättelseverksamhet .

Senaste lydelse 2009:967.

43

Författningsförslag

8 § Underrättelser med uppgifter Underrättelser med uppgifter som inhämtats enligt denna lag som inhämtats enligt denna lag ska rapporteras till berörda ska rapporteras till berörda myndigheter i enlighet med det myndigheter i enlighet med det som föreskrivs i lagen som föreskrivs i lagen (2000:130) om försvarsunder- (2000:130) om utrikes rättelseverksamhet . Om uppgift- underrättelseverksamhet . Om erna berör en viss fysisk person, uppgifterna berör en viss fysisk får rapporteringen endast avse person, får rapporteringen förhållanden som är av betydelse endast avse förhållanden som är i de hänseenden som anges i 1 § av betydelse i de hänseenden den lagen. som anges i 1 § den lagen. Uppgifter som inhämtats med stöd av 1 a § får inte resultera i underrättelser.

9 § I lagen (2000:130) om I lagen (2000:130) om utrikes försvarsunderrättelseverksamhet underrättelseverksamhet finns finns bestämmelser om bestämmelser om internationellt internationellt samarbete på samarbete på utrikes försvarsunderrättelseområdet . underrättelseområdet . Signalspaningsmyndigheten får för den verksamhet som anges i 1 § tredje stycket och 1 a §, enligt regeringens närmare bestämmande, etablera och upprätthålla samarbete i signalspaningsfrågor med andra länder och internationella organisationer.

12 b § I lagen (2026:000) om I lagen (2026:000) om signalspaning i försvarsunder- signalspaning i utrikes rättelseverksamhet i krig eller underrättelseverksamhet i krig krigsfara finns bestämmelser om eller krigsfara finns bestämmelsignalspaning i försvars- ser om signalspaning i utrikes underrättelseverksamhet om underrättelseverksamhet om Sverige är i krig eller i krigsfara Sverige är i krig eller i krigsfara eller det råder sådana eller det råder sådana extraordinära förhållanden som extraordinära förhållanden som är föranledda av krig eller av är föranledda av krig eller av

44

Författningsförslag

krigsfara som Sverige har krigsfara som Sverige har befunnit sig i. befunnit sig i. Denna lag träder i kraft den 1 januari 2027.

45

Författningsförslag

1.7 Förslag till lag om ändring i offentlighets- och sekretesslagen (2009:400)

Härigenom föreskrivs att 10 kap. 10 §, 15 kap. 3 b §, 38 kap. 4 § och 42 kap. 8 a § och rubriken närmast före 42 kap. 8 a § offentlighetsoch sekretesslagen (2009:400) ska ha följande lydelse.

10 kap.

10 §

Sekretess hindrar inte att den som är knuten till en myndighet på

det sätt som anges i 2 kap. 1 § andra stycket och som är misstänkt

för brott eller mot vilken rättegång eller annat jämförbart rättsligt

förfarande har inletts, lämnar uppgift till sitt ombud eller biträde i

saken eller till någon annan enskild, om det behövs för att han eller

uppgift i ett ärende hos uppgift i ett ärende hos domstol

domstol eller i ett beslut i ett eller i ett beslut i ett sådant ärende

sådant ärende lämnas till ett lämnas till ett offentligt ombud

offentligt ombud enligt enligt rättegångsbalken eller till

rättegångsbalken eller till ett ett integritetsskyddsombud enligt

integritetsskyddsombud enligt lagen (2009:966) om Domstolen

lagen (2009:966) om för utrikes underrättelseverksamhet.

15 kap.

3 b §

Senaste lydelse 2009:1020. 2 Senaste lydelse 2023:561.

46

Författningsförslag

kunna fullgöra sitt uppdrag uppgiften behövs för att enligt lagen (2023:560) om granskningsmyndigheten ska granskning av utländska kunna fullgöra sitt uppdrag direktinvesteringar. enligt lagen (2023:560) om granskning av utländska direktinvesteringar. En uppgift får lämnas endast om intresset av att uppgiften lämnas har företräde framför det intresse som sekretessen ska skydda.

38 kap.

4§ Sekretess gäller hos Sekretess gäller hos Försvarsmakten i försvarsunder- Försvarsmakten i utrikes rättelseverksamheten och den underrättelseverksamheten och militära säkerhetstjänsten samt den militära säkerhetstjänsten hos Försvarets radioanstalt i samt hos Myndigheten för utrikes underrättelse- och säkerhets- underrättelser och Försvarets verksamheten för uppgift om en radioanstalt i underrättelse- och enskilds personliga eller säkerhetsverksamheten för ekonomiska förhållanden, om uppgift om en enskilds det inte står klart att uppgiften personliga eller ekonomiska kan röjas utan att den enskilde förhållanden, om det inte står eller någon närstående till denne klart att uppgiften kan röjas lider skada eller men. utan att den enskilde eller någon närstående till denne lider skada eller men. För uppgift i en allmän handling gäller sekretessen i högst sjuttio år.

42 kap.

Statens inspektion för Statens inspektion för försvarsunderrättelseverksam- utrikes underrättelseverksamhetheten en

3 8 a § Sekretess gäller hos Statens Sekretess gäller hos Statens inspektion för försvarsunder- inspektion för utrikes

3 Senaste lydelse 2009:1020.

47

Författningsförslag

rättelseverksamheten i dess underrättelseverksamheten i dess kontroll enligt lagen (2000:130) kontroll enligt lagen (2000:130) om försvarsunderrättelse- om utrikes underrättelseverksamhet endast i den verksamhet endast i den utsträckning som följer av 8 b – utsträckning som följer av 8 b – d §§ d §§

Denna lag träder i kraft den 1 januari 2027.

48

Författningsförslag

1.8 Förslag till lag om ändring i lagen (2009:966) om Försvarsunderrättelsedomstol

Härigenom föreskrivs i fråga om lagen (2009:966) om Försvarsunderrättelsedomstol dels att rubriken till lagen samt 1, 2, 9, 10, 13 och 16 §§ och rubrikerna före 1 och 2 §§ ska ha följande lydelse, dels att rubriken före 11 § ska lyda ”Handläggningen i Domstolen för utrikes underrättelseverksamhet”.

1 §

Författningsförslag

2 § Försvarsunderrättelsedomstolen Domstolen för utrikes består av en ordförande, en eller underrättelseverksamhet består högst två vice ordförande samt av en ordförande, en eller högst minst två och högst åtta särskilda två vice ordförande samt minst ledamöter. två och högst åtta särskilda ledamöter. Ledamöterna ska vara svenska medborgare och får inte vara underåriga eller i konkurstillstånd eller ha förvaltare enligt 11 kap. 7 § föräldrabalken. Innan en ledamot börjar tjänstgöra i domstolen, ska han eller hon ha avlagt domared. I lagen (2010:1390) om utnämning av ordinarie domare finns bestämmelser om utnämning av ordförande i domstolen. Vice ordförande och särskilda ledamöter förordnas av regeringen för högst fyra år i sänder.

9 §

10 §

1. vidta förberedande åtgärder och besluta om avskrivning,

Författningsförslag

2. pröva frågor enligt 5 a § 2. pröva frågor enligt 5 a § tredje stycket lagen (2008:717) tredje stycket lagen (2008:717) om signalspaning i försvars- om signalspaning i utrikes underrättelseverksamhet om underrättelseverksamhet om tillstånd i pågående och tillstånd i pågående och tillståndsprövade tillståndsprövade inhämtningsuppdrag, om inhämtningsuppdrag, om prövningen är av enkel prövningen är av enkel beskaffenhet och endast avser beskaffenhet och endast avser tillgång till signalbärare eller tillgång till signalbärare eller användning av sökbegrepp som användning av sökbegrepp som inte är direkt hänförliga till en inte är direkt hänförliga till en viss fysisk person, och viss fysisk person, och 3. fatta beslut om ersättning till integritetsskyddsombud. Ordföranden får förordna en lagfaren tjänsteman vid domstolen att ensam på domstolens vägnar vidta förberedande åtgärder.

13 §

16 §

Författningsförslag

övrigt enligt denna lag får heller domstolens beslut i övrigt överklagas. enligt denna lag får överklagas. Denna lag träder i kraft den 1 januari 2027.

52

Författningsförslag

1.9 Förslag till lag om ändring i skyddslagen (2010:305)

Härigenom föreskrivs att 4 § skyddslagen (2010:305) ska ha följande lydelse.

4 §

Följande byggnader, andra anläggningar, områden och objekt får beslutas vara skyddsobjekt: 1. statschefens och tronföljarens residens och bostäder samt statsministerns bostäder, 2. byggnader, andra anläggningar och områden som staten har äganderätt eller nyttjanderätt till och som disponeras av riksdagen eller riksdagsförvaltningen, 3. byggnader och andra anläggningar som staten, en kommun eller en region har äganderätt eller nyttjanderätt till och som används eller är avsedda för att leda eller styra statlig eller kommunal verksamhet, 4. byggnader, andra anläggningar och områden som används eller är avsedda för polisverksamhet eller för annan verksamhet som innefattar att upprätthålla allmän ordning och säkerhet, verksamhet inom kriminalvården eller Sveriges försörjning med sedlar och mynt, 5. byggnader, andra anlägg- 5. byggnader, andra anläggningar och områden som ningar och områden som används eller är avsedda för används eller är avsedda för – fredstida krishantering, – fredstida krishantering, – elektroniska – elektroniska kommunikationer, kommunikationer, – posthantering, – posthantering, – transporter, – transporter, – alarmering, – alarmering, – försvarsindustriella – försvarsindustriella ändamål, eller ändamål, eller

1 Senaste lydelse 2019:941.

53

Författningsförslag

– försörjning med energi, – försörjning med energi, vatten, livsmedel eller andra vatten, livsmedel eller andra förnödenheter av betydelse för förnödenheter av betydelse för Sveriges försörjningsberedskap Sveriges försörjningsberedskap och då även fartyg som används och då även fartyg som används för transport av kärnämnen, och för transport av kärnämnen, 6. byggnader, andra anlägg- 6. byggnader, andra anläggningar och områden som ningar och områden som används eller är avsedda för används eller är avsedda för ledning av räddningstjänst eller ledning av räddningstjänst eller för ledning och samordning av för ledning och samordning av civil verksamhet vid höjd civil verksamhet vid höjd beredskap . beredskap , 7. byggnader, andra anläggningar och områden som staten har äganderätt eller nyttjanderätt till och som disponeras av Myndigheten för utrikes underrättelser, och 8. områden där Myndigheten för utrikes underrättelser tillfälligt bedriver övningar, prov eller försök eller områden där oförutsedda följder av sådan verksamhet kan inträffa.

Denna lag träder i kraft den 1 januari 2027.

54

Författningsförslag

1.10 Förslag till lag om ändring i plan- och bygglagen (2010:900)

Härigenom föreskrivs att 13 kap. 7 och 12 §§ plan- och bygglagen (2010:900) ska ha följande lydelse.

13 kap.

7 §

12 §

En sådan ideell förening eller annan juridisk person som avses i 16 kap. 13 § miljöbalken får överklaga 1. ett beslut att anta, ändra eller upphäva en detaljplan vars genomförande kan antas medföra en betydande miljöpåverkan på grund av att planområdet får tas i anspråk på ett sådant sätt som anges i 4 kap. 34 § andra stycket denna lag, och

55

Författningsförslag

2. ett beslut att ge bygglov eller positivt förhandsbesked för en åtgärd som anges i 4 kap. 2 § första stycket 3 a och som ska föregås av en bedömning av om åtgärden kan antas medföra en betydande miljöpåverkan. Rätten att överklaga enligt Rätten att överklaga enligt första stycket gäller dock inte första stycket gäller dock inte beslut som rör Försvarsmakten, beslut som rör Försvarsmakten, Fortifikationsverket, Försvarets Fortifikationsverket, Försvarets materielverk, Försvarets materielverk , Försvarets radioanstalt eller Totalförsvarets radioanstalt , Totalförsvarets forskningsinstitut. forskningsinstitut eller Myndigheten för utrikes underrättelser .

Denna lag träder i kraft den 1 januari 2027.

56

Författningsförslag

1.11 Förslag till lag om ändring i lagen (2010:1011) om brandfarliga och explosiva varor

Härigenom föreskrivs att 17, 18, 21 och 21 a §§ lagen (2010:1011) om brandfarliga och explosiva varor ska ha följande lydelse.

17 §

Frågor om tillstånd till hantering av brandfarliga varor i övriga fall ska prövas av den kommun där hanteringen ska bedrivas.

18 § 2 Myndigheten för civilt försvar ska pröva frågor om tillstånd till explosiva varor som avser 1. tillverkning, bearbetning, behandling, destruktion, underhåll och återvinning, 2. annan hantering som sker i anslutning till sådan hantering som nämns i 1, 3. gränsöverskridande överföring, 4. import, 5. export, och 6. sådan hantering som 6. sådan hantering som Försvarsmakten, Försvarets Myndigheten för utrikes materielverk, Försvarets radio- underrättelser, Försvarsmakten, anstalt, Totalförsvarets forsk- Försvarets materielverk,

1 Senaste lydelse 2025:1080. 2 Senaste lydelse 2025:1080.

57

Författningsförslag

ningsinstitut och Fortifikations- Försvarets radioanstalt, verket behöver ha tillstånd till. Totalförsvarets forskningsinstitut och Fortifikationsverket behöver ha tillstånd till. Frågor om tillstånd till hantering och överföring av explosiva varor i övriga fall ska prövas av den kommun där varorna ska hanteras. Frågan ska i stället prövas av den kommun där den sökande fysiska personen är bosatt eller den sökande juridiska personen har sitt säte, om verksamheten ska ske i mer än en kommun och frågan gäller 1. användning, 2. överföring, eller 3. förvaring i ett flyttbart förråd.

21 § 3 Den myndighet som prövar frågor om tillstånd enligt denna lag har också, inom sitt verksamhetsområde, tillsyn över att lagen och föreskrifter och beslut som har meddelats i anslutning till lagen följs. Försvarsmakten får, efter Försvarsmakten får, efter medgivande av Myndigheten för medgivande av Myndigheten för civilt försvar, i stället för civilt försvar, i stället för Myndigheten för civilt försvar Myndigheten för civilt försvar utöva viss tillsyn över utöva viss tillsyn över Försvarsmaktens, Försvarets Myndigheten för utrikes materielverks, Försvarets underrättelser, Försvarsmaktens, radioanstalts, Totalförsvarets Försvarets materielverks, forskningsinstituts och Försvarets radioanstalts, Fortifikationsverkets hantering Totalförsvarets och import av brandfarliga och forskningsinstituts och explosiva varor. Fortifikationsverkets hantering och import av brandfarliga och explosiva varor. Myndigheten för civilt försvar eller den myndighet som regeringen bestämmer har tillsyn över hanteringen av brandfarliga varor som transporteras i en sådan rörledning som det har meddelats koncession för enligt lagen (1978:160) om vissa rörledningar eller enligt naturgaslagen (2005:403).

3 Senaste lydelse 2025:1080.

58

Författningsförslag

21 a § 4 Myndigheten för civilt försvar ska med hjälp av automatiserad behandling föra ett register över tillstånd som avser explosiva varor enligt denna lag och över dem som har beviljats ett sådant tillstånd (det nationella tillståndsregistret för explosiva varor). Myndigheten för civilt försvar och kommunerna ska ansvara för att registrera uppgifter i det nationella tillståndsregistret. Det nationella tillstånds- Det nationella tillståndsregistret för explosiva varor får registret för explosiva varor får inte innehålla uppgifter om inte innehålla uppgifter om tillstånd som har beviljats tillstånd som har beviljats Försvarsmakten, Försvarets Myndigheten för utrikes materielverk, Försvarets radio- underrättelser, Försvarsmakten, anstalt, Totalförsvarets forsk- Försvarets materielverk, ningsinstitut eller Fortifika- Försvarets radioanstalt, tionsverket. Totalförsvarets forskningsinstitut eller Fortifikationsverket.

Denna lag träder i kraft den 1 januari 2027.

4 Senaste lydelse 2025:1080.

59

Författningsförslag

1.12 Förslag till lag om ändring i lagen (2011:846) om miljökrav vid upphandling av bilar och vissa tjänster inom vägtransportområdet

Härigenom föreskrivs att 6 § lagen (2011:846) om miljökrav vid upphandling av bilar och vissa tjänster inom vägtransportområdet 1 ska ha följande lydelse.

6 §

1. bussar med en totalvikt som överstiger 5 ton och som inte är

klass I- eller klass A-fordon enligt definitionerna i artikel 3.2 och 3.3

i Europaparlamentets och rådets förordning (EG) nr 661/2009 av

den 13 juli 2009 om krav för typgodkännande av allmän säkerhet hos

motorfordon och deras släpvagnar samt av de system, komponenter

och separata tekniska enheter som är avsedda för dem,

3. bilar som används uteslutande inom inhägnade järnvägs-,

industri- eller tävlingsområden eller andra liknande inhägnade

4. ambulanser, likbilar, mobilkranar och bilar som är

rullstolsanpassade eller bepansrade.

Denna lag träder i kraft den 1 januari 2027.

Senaste lydelse av lagens rubrik 2022:314. 2 Senaste lydelse 2022:314.

60

Författningsförslag

1.13 Förslag till lag om ändring i lagen (2011:1029) om upphandling på försvars- och säkerhetsområdet

Härigenom föreskrivs att 1 kap. 9 § lagen (2011:1029) om upphandling på försvars- och säkerhetsområdet ska ha följande lydelse.

1 kap.

9 §

I fråga om upphandling som avser sådan tillverkning av eller handel med vapen, ammunition och krigsmateriel som omfattas av artikel 346.1 b i EUF-fördraget och där 7 eller 8 § eller 10 § första stycket 2 – 4 eller 10 inte är tillämpliga får regeringen i enskilda fall besluta om de undantag från bestämmelserna i denna lag som är nödvändiga med hänsyn till Sveriges väsentliga säkerhetsintressen. Försvarsmakten och Försvarsmakten , Försvarets Försvarets materielverk får materielverk och Myndigheten för besluta om sådana undantag som utrikes underrättelser får besluta avses i första stycket om om sådana undantag som avses i upphandlingen första stycket om upphandlingen 1. avser tillägg till en upphandling där regeringen tidigare beslutat om undantag med stöd av första stycket, 2. avser varor, tjänster eller byggentreprenader inom ramen för en av Sverige träffad internationell överenskommelse om mellanstatlig samverkan i fråga om försörjning av varor, tjänster eller byggentreprenader, eller 3. har ett värde som är högst 200 000 000 kronor. Försvarets radioanstalt får besluta om sådana undantag som avses i första stycket om upphandlingens värde är högst 5 000 000 kronor.

Denna lag träder i kraft den 1 januari 2027.

1 Senaste lydelse 2023:253.

61

Författningsförslag

1.14 Förslag till lag om ändring i lagen (2013:315) om intelligenta transportsystem vid vägtransporter

Härigenom föreskrivs att 2 § lagen (2013:315) om intelligenta transportsystem vid vägtransporter ska ha följande lydelse.

2 §

Denna lag träder i kraft den 1 januari 2027.

Senaste lydelse 2025:1016.

62

Författningsförslag

1.15 Förslag till lag om ändring i lagen (2016:534) om åtgärder för utbyggnad av bredbandsnät

Härigenom föreskrivs att 1 kap. 3 § lagen (2016:534) om åtgärder för utbyggnad av bredbandsnät ska ha följande lydelse.

1 kap.

3 §

Denna lag gäller inte fysisk infrastruktur som används för att tillhandahålla dricksvatten. Denna lag gäller inte Denna lag gäller inte Polismyndigheten, Säkerhets- Polismyndigheten, Säkerhetspolisen, Myndigheten för civilt polisen, Myndigheten för utrikes försvar, Försvarsmakten, underrättelser, Myndigheten för Försvarets materielverk och civilt försvar, Försvarsmakten, Fortifikationsverket. Försvarets materielverk och Fortifikationsverket.

Denna lag träder i kraft den 1 januari 2027.

1 Senaste lydelse 2025:1082.

63

Författningsförslag

1.16 Förslag om lag om ändring i lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning

Härigenom föreskrivs att 1 kap. 3 § lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning ska ha följande lydelse.

1 kap.

3 §

Bestämmelserna i 2 § gäller inte i verksamhet som omfattas av

Denna lag träder i kraft den 1 januari 2027.

Senaste lydelse 2021:1174.

64

Författningsförslag

1.17 Förslag till lag om ändring i strålskyddslagen (2018:396)

Härigenom föreskrivs att 8 kap. 3 § och 10 kap. 2 § strålskyddslagen (2018:396) ska ha följande lydelse.

8 kap.

3 §

Regeringen får meddela föreskrifter om att en tillsynsmyndighet får överlämna tillsynsuppgifter till 1. försvarsinspektören för 1. försvarsinspektören för hälsa och miljö i fråga om hälsa och miljö i fråga om verksamhet som utövas av verksamhet som utövas av Försvarsmakten, Försvarets Försvarsmakten, Försvarets materielverk, Fortifikations- materielverk, Fortifikationsverket, Försvarets radioanstalt verket , Försvarets radioanstalt , eller Totalförsvarets Totalförsvarets forskningsinstitut , och forskningsinstitut eller Myndigheten för utrikes underrättelser, och 2. en kommunal nämnd som fullgör uppgifter inom miljö- och hälsoskyddsområdet i fråga om andra verksamheter än sådana som anges i 1.

10 kap.

2 § Beslut enligt denna lag får överklagas. Beslut som avser Försvars- Beslut som avser Försvarsmakten, Försvarets materielverk, makten, Försvarets materielverk, Fortifikationsverket, Försvarets Fortifikationsverket , Försvarets radioanstalt eller Totalförsvarets radioanstalt, Totalförsvarets forskningsinstitut eller forskningsinstitut eller ytterligare villkor enligt 6 kap. Myndigheten för utrikes

65

Författningsförslag

22 § överklagas till regeringen. underrättelser eller ytterligare Andra beslut överklagas till villkor enligt 6 kap. 22 § allmän förvaltningsdomstol. överklagas till regeringen. Andra beslut överklagas till allmän förvaltningsdomstol. Prövningstillstånd krävs vid överklagande till kammarrätten.

Denna lag träder i kraft den 1 januari 2027.

66

Författningsförslag

1.18 Förslag till lag om ändring i lagen (2019:547) om förbud mot användning av vissa uppgifter för att utreda brott

Härigenom föreskrivs att 1 § lagen (2019:547) om förbud mot användning av vissa uppgifter för att utreda brott ska ha följande lydelse.

1 §

Denna lag träder i kraft den 1 januari 2027.

67

Författningsförslag

1.19 Förslag till lag om ändring i lagen (2019:1182) om Säkerhetspolisens behandling av personuppgifter

Härigenom föreskrivs att 2 kap. 4 och 18 §§ och 3 kap. 6 § lagen (2019:1182) om Säkerhetspolisens behandling av personuppgifter ska ha följande lydelse.

2 kap.

4 §

Personuppgifter som behandlas med stöd av 1 § får även

behandlas om det är nödvändigt för att tillhandahålla information

1. för något av de syften som anges i 1 kap. 2 § brottsdatalagen

(2018:1177) hos Polismyndigheten, Ekobrottsmyndigheten,

Åklagarmyndigheten, Tullverket, Kustbevakningen eller

2. i en myndighets verksamhet, om informationen tillhandahålls

inom ramen för myndighetsöverskridande samverkan mot brott,

4. i en myndighets verksamhet om Säkerhetspolisen enligt lag

eller förordning ska bistå myndigheten med en viss uppgift,

5. i brottsbekämpande verksamhet hos en utländsk myndighet

eller mellanfolklig organisation, eller

6. i verksamhet hos utländsk underrättelse- eller säkerhetstjänst.

Personuppgifter som behandlas med stöd av 1 § får även

behandlas om det är nödvändigt för att tillhandahålla information till

Författningsförslag

riksdagen eller regeringen och, i den utsträckning skyldighet att lämna uppgifter följer av lag eller förordning, till andra. I ett enskilt fall får personuppgifter som behandlas med stöd av 1 § även behandlas för att tillhandahålla information för något annat ändamål än de som anges i första och andra styckena, under förutsättning att ändamålet inte är oförenligt med det ändamål som uppgifterna samlades in för.

18 § Försvarsmakten har, trots Försvarsmakten har, trots sekretess enligt 21 kap. 3 § första sekretess enligt 21 kap. 3 § första stycket, 35 kap. 1 § och 37 kap. stycket, 35 kap. 1 § och 37 kap. 1 § offentlighets- och sekretess- 1 § offentlighets- och sekretesslagen (2009:400), rätt att ta del lagen (2009:400), rätt att ta del av personuppgifter som har av personuppgifter som har gjorts gemensamt tillgängliga gjorts gemensamt tillgängliga och som behandlas med stöd av och som behandlas med stöd av 1 § 1 eller 2, om myndigheten 1 § 1 eller 2, om myndigheten behöver uppgifterna i sin behöver uppgifterna i sin utrikes försvarsunderrättelseverksamhet underrättelseverksamhet eller eller militära säkerhetstjänst. militära säkerhetstjänst. Detsamma gäller Försvarets Detsamma gäller Myndigheten radioanstalt, om myndigheten för utrikes underrättelser om behöver uppgifterna i sin myndigheten behöver uppgifterna försvarsunderrättelseverksamhet . i sin verksamhet och Försvarets radioanstalt om myndigheten behöver uppgifterna i sin utrikes underrättelseverksamhet .

3 kap.

6 § Försvarsmakten får i försvars- Försvarsmakten får i utrikes underrättelseverksamheten och underrättelseverksamheten och den militära säkerhetstjänsten den militära säkerhetstjänsten medges direktåtkomst till medges direktåtkomst till personuppgifter som behandlas personuppgifter som behandlas med stöd av 2 kap. 1 § 1 eller 2. med stöd av 2 kap. 1 § 1 eller 2. Detsamma gäller Försvarets Detsamma gäller Myndigheten radioanstalt i försvarsunder- för utrikes underrättelser i sin

69

Författningsförslag

rättelseverksamheten . verksamhet och Försvarets Direktåtkomsten får endast avse radioanstalt i utrikes personuppgifter som har gjorts underrättelseverksamheten . gemensamt tillgängliga. Direktåtkomsten får endast avse personuppgifter som har gjorts gemensamt tillgängliga.

Denna lag träder i kraft den 1 januari 2027.

70

Författningsförslag

1.20 Förslag till lag om ändring i lagen (2021:1171) om behandling av personuppgifter vid Försvarsmakten

Härigenom föreskrivs att 2 kap. 2 – 4 §§ och 3 kap. 3 § och rubriken närmast före 2 kap. 3 § lagen (2021:1171) om behandling av personuppgifter vid Försvarsmakten ska ha följande lydelse.

2 kap.

2 §

Försvarsmakten får behandla personuppgifter om det är nödvändigt för att planera, förbereda och genomföra verksamhet som rör 1. Sveriges försvar och säkerhet, eller 2. internationellt försvars- och säkerhetssamarbete. Försvarsmaktens uppgift att bedriva sådan verksamhet som anges i första stycket ska följa av lag, förordning, kollektivavtal eller annat avtal, eller ett särskilt beslut där regeringen har gett myndigheten i uppdrag att utföra uppgiften. För Försvarsmaktens För Försvarsmaktens behandling av personuppgifter i behandling av personuppgifter i myndighetens myndighetens utrikes försvarsunderrättelseverksamhet underrättelseverksamhet och och militära säkerhetstjänst militära säkerhetstjänst gäller i gäller i stället 3 – 8 §§. stället 3 – 8 §§.

Försvarsunderrättelseverk- Utrikes samhet underrättelseverksamhet

3 § Personuppgifter får behand- Personuppgifter får behandlas i Försvarsmaktens försvars- las i Försvarsmaktens utrikes underrättelseverksamhet om det underrättelseverksamhet om det är nödvändigt för att bedriva den är nödvändigt för att bedriva den verksamhet som anges i lagen verksamhet som anges i lagen

71

Författningsförslag

(2000:130) om försvarsunder- (2000:130) om utrikes rättelseverksamhet . underrättelseverksamhet .

4 § De personuppgifter som De personuppgifter som Försvarsmakten har fått tillgång Försvarsmakten har fått tillgång till i myndighetens försvars- till i myndighetens utrikes underrättelseverksamhet får underrättelseverksamhet får fortsätta behandlas i den fortsätta behandlas i den verksamheten, om det behövs verksamheten, om det behövs för att fullgöra den. för att fullgöra den. Första stycket gäller endast om inte något annat följer av denna lag eller en förordning som regeringen har meddelat i anslutning till lagen.

3 kap.

3 § Säkerhetspolisen och Säkerhetspolisen, Myndig- Försvarets radioanstalt får heten för utrikes underrättelser medges direktåtkomst till och Försvarets radioanstalt får personuppgifter som utgör medges direktåtkomst till bearbetningsunderlag och personuppgifter som utgör analysresultat inom försvars- bearbetningsunderlag och underrättelseverksamheten och analysresultat inom utrikes som finns i uppgiftssamlingar. underrättelseverksamheten och som finns i uppgiftssamlingar. Säkerhetspolisen och Säkerhetspolisen, Myndig- Försvarets radioanstalt har rätt heten för utrikes underrättelser och att vid direktåtkomst ta del av de Försvarets radioanstalt har rätt personuppgifter som omfattas av att vid direktåtkomst ta del av de åtkomsten. personuppgifter som omfattas av åtkomsten.

Denna lag träder i kraft den 1 januari 2027.

72

Författningsförslag

1.21 Förslag till lag om ändring i lagen (2021:1172) om behandling av personuppgifter vid Försvarets radioanstalt

Härigenom föreskrivs att 1 kap. 2 §, 2 kap. 2 – 6 b, 8 och 20 §§, 3 kap. 2 § och 6 kap. 2 § och rubrikerna närmast före 2 kap. 2 § och 3 kap. 2 § lagen (2021:1172) om behandling av personuppgifter vid Försvarets radioanstalt ska ha följande lydelse.

1 kap.

2 §

Denna lag gäller vid behandling Denna lag gäller vid av personuppgifter i Försvarets behandling av personuppgifter radioanstalts försvarsunderrättelse- i Försvarets radioanstalts , utvecklings-, och övningsverk- utrikes underrättelseverksamhet, samhet samt informations- utvecklingsverksamhet, och säkerhetsverksamhet. övningsverksamhet samt informationssäkerhetsverksamhet.

2 kap.

2 §

Författningsförslag

rättelseverksamhet om det är rättelseverksamhet om det är nödvändigt för att bedriva den nödvändigt för att bedriva den verksamhet som anges i lagen verksamhet som anges i lagen (2000:130) om försvarsunder- (2000:130) om utrikes underrättelseverksamhet och lagen rättelseverksamhet och lagen (2008:717) om signalspaning i (2008:717) om signalspaning i försvarsunderrättelseverksamhet . utrikes underrättelseverksamhet .

3 § De personuppgifter som De personuppgifter som Försvarets radioanstalt har fått Försvarets radioanstalt har fått tillgång till i myndighetens tillgång till i myndighetens försvarsunderrättelseverksamhet utrikes underrättelseverksamhet får fortsätta behandlas i den får fortsätta behandlas i den verksamheten, om det behövs verksamheten, om det behövs för att fullgöra den. för att fullgöra den. Första stycket gäller endast om inte något annat följer av denna lag eller en förordning som regeringen har meddelat i anslutning till lagen.

4 § Personuppgifter som behandlas med stöd av 2 och 3 §§ får även behandlas om det är nödvändigt för att tillhandahålla information som behövs 1. i verksamhet hos berörda 1. i verksamhet hos berörda myndigheter som avses i 2 § myndigheter som avses i 2 § första stycket lagen (2000:130) första stycket lagen (2000:130) om försvarsunderrättelseverk- om utrikes underrättelseverksamsamhet , het , 2. med anledning av 2. med anledning av samarbete med andra länder och samarbete med andra länder och internationella organisationer internationella organisationer enligt lagen om försvars- enligt lagen om utrikes underrättelseverksamhet och underrättelseverksamhet och lagen (2008:717) om signal- lagen (2008:717) om signalspaning i försvarsunderrättelse- spaning i utrikes underrättelseverksamhet , verksamhet , 3. i utvecklingsverksamheten för de ändamål som anges i 5 §,

74

Författningsförslag

4. i informationssäkerhetsverksamheten för de ändamål som anges i 7 §, eller 5. för att biträda andra myndigheter i den utsträckning det följer av lag eller förordning eller om regeringen har beslutat om det i ett enskilt fall.

5 § Om det är nödvändigt för Om det är nödvändigt för försvarsunderrättelseverksam- utrikes heten får Försvarets radioanstalt underrättelseverksamheten får behandla personuppgifter för att Försvarets radioanstalt behandla personuppgifter för att 1. följa förändringar i signalmiljön i omvärlden, den tekniska utvecklingen och signalskyddet, och 2. fortlöpande utveckla den teknik och metodik som behövs för att bedriva verksamheten.

6 § Personuppgifter som behandlas med stöd av 5 § får även behandlas om det är nödvändigt för att tillhandahålla information som behövs 1. med anledning av samverkan med annan i fråga om utvecklingsverksamhet, 2. med anledning av 2. med anledning av samarbete om utvecklings- samarbete om utvecklingsverksamhet med andra länder verksamhet med andra länder eller internationella organisa- eller internationella organisationer enligt lagen (2008:717) om tioner enligt lagen (2008:717) signalspaning i om signalspaning i utrikes försvarsunderrättelseverksamhet , underrättelseverksamhet , 3. i försvarsunderrättelse- 3. i utrikes underrättelseverksamheten för de ändamål som verksamheten för de ändamål anges i 2 och 3 §§, som anges i 2 och 3 §§, 4. i informationssäkerhetsverksamheten för de ändamål som anges i 7 §, eller 5. för att biträda andra myndigheter i den utsträckning det följer av lag eller förordning eller om regeringen har beslutat om det i ett enskilt fall.

75

Författningsförslag

6 a §

6 b §

Personuppgifter som behandlas med stöd av 6 a § får även

behandlas om det är nödvändigt för att tillhandahålla information

1. med anledning av samverkan med någon annan i fråga om

8 §

Personuppgifter som behandlas med stöd av 7 § får även

behandlas om det är nödvändigt för att tillhandahålla information

1. i verksamhet hos den som tar emot uppgifter om

Författningsförslag

2. med anledning av samverkan med andra som verkar på informationssäkerhetsområdet såväl inom som utom landet i den utsträckning det följer av lag eller förordning eller om regeringen har beslutat om det i ett enskilt fall, 3. i försvarsunderrättelse- 3. i utrikes underrättelseverksamheten för de ändamål som verksamheten för de ändamål anges i 1 § andra stycket 5 och 7 som anges i 1 § andra stycket 5 lagen (2008:717) om signal- och 7 lagen (2008:717) om spaning i försvarsunderrättelse- signalspaning i utrikes underverksamhet , eller rättelseverksamhet , eller 4. i utvecklingsverksamheten för de ändamål som anges i 5 §.

20 §

1. överföringen riktas till en utländsk underrättelse- eller säkerhetstjänst, eller ett underrättelse- eller säkerhetsorgan i en internationell organisation, 2. sekretess inte hindrar en överföring, 3. mottagaren garanterar tillräckligt skydd för personuppgifterna, och 4. överföringen inte innebär ett oproportionerligt intrång i den registrerades personliga integritet.

77

Författningsförslag

Regeringen kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om att överföring får ske även i andra fall än som anges i första stycket 1. Regeringen får också besluta om sådan överföring i ett enskilt fall.

3 kap.

Försvarsunderrättelseverksamhet Utrikes underrättelseverk-

2 §

6 kap.

2 §

Författningsförslag

radioanstalts behandling av radioanstalts behandling av personuppgifter i personuppgifter i utrikes försvarsunderrättelse - och underrättelseverksamheten och utvecklingsverksamheten. utvecklingsverksamheten. Denna lag träder i kraft den 1 januari 2027.

79

Författningsförslag

1.22 Förslag till lag om ändring i lagen (2022:482) om elektronisk kommunikation

Härigenom föreskrivs att 3 kap. 3 § och 9 kap. 26, 30 och 32 §§ lagen (2022:482) om elektronisk kommunikation ska ha följande lydelse.

3 kap.

3 §

Författningsförslag

9 kap.

26 § 1 Om en förbetald tjänst används av någon annan än den abonnent som har registrerats enligt 24 § utan att en ny registrering har gjorts, ska tillhandahållandet av tjänsten avbrytas. Första stycket gäller inte om 1. tjänsten endast tillfälligt används av någon annan än den registrerade abonnenten, 2. tjänsten används av en närstående till den registrerade abonnenten, 3. den registrerade abonnenten är en juridisk person och tjänsten används på dennes uppdrag, 4. tjänsten har införskaffats på uppdrag av Polismyndigheten, Säkerhetspolisen, Tullverket eller någon annan myndighet som ska ingripa mot brott, eller 5. tjänsten har införskaffats 5. tjänsten har införskaffats på uppdrag av en myndighet som på uppdrag av en myndighet som bedriver verksamhet enligt lagen bedriver verksamhet enligt lagen (2000:130) om (2000:130) om utrikes försvarsunderrättelseverksamhet . underrättelseverksamhet .

30 § För att signaler i elektronisk För att signaler i elektronisk form enligt lagen (2008:717) om form enligt lagen (2008:717) om signalspaning i försvars- signalspaning i utrikes underrättelseverksamhet ska underrättelseverksamhet ska kunna inhämtas, ska operatörer kunna inhämtas, ska operatörer som äger tråd där signaler förs som äger tråd där signaler förs över Sveriges gräns överföra över Sveriges gräns överföra signalerna till signalerna till samverkanspunkter. Varje sådan samverkanspunkter. Varje sådan operatör ska anmäla en eller flera operatör ska anmäla en eller flera samverkanspunkter till den samverkanspunkter till den myndighet som regeringen myndighet som regeringen bestämmer. Regeringen eller den bestämmer. Regeringen eller den myndighet som regeringen myndighet som regeringen bestämmer får meddela bestämmer får meddela

1 Senaste lydelse 2022:1086.

81

Författningsförslag

föreskrifter om samverkans- föreskrifter om samverkanspunkter. punkter. Samtliga operatörer som för signaler i tråd över Sveriges gräns ska till den myndighet som regeringen bestämmer lämna sådan information som de innehar och som gör det enklare att ta hand om signalerna. Samtliga operatörer ska utföra uppgifterna enligt första och andra styckena så att verksamheten inte röjs.

32 § Tystnadsplikt som följer av 31 § första stycket gäller även för en uppgift som hänför sig till 1. en åtgärd att med stöd av 27 kap. 9 § rättegångsbalken hålla kvar försändelser, 2. en angelägenhet som avser användning av hemlig avlyssning av elektronisk kommunikation eller hemlig övervakning av elektronisk kommunikation enligt 27 kap. 18 eller 19 § rättegångsbalken eller som gäller tekniskt bistånd med hemlig avlyssning av elektronisk kommunikation eller med hemlig övervakning av elektronisk kommunikation enligt 4 kap. 25 b § lagen (2000:562) om internationell rättslig hjälp i brottmål, 3. en angelägenhet som avser 3. en angelägenhet som avser inhämtning av signaler i inhämtning av signaler i elektronisk form enligt lagen elektronisk form enligt lagen (2008:717) om signalspaning i (2008:717) om signalspaning i försvarsunderrättelseverksamhet , utrikes underrättelseverksamhet , 4. inhämtning av uppgifter enligt lagen (2012:278) om inhämtning av uppgifter om elektronisk kommunikation i de brottsbekämpande myndigheternas underrättelseverksamhet, 5. en begäran enligt 33 § första stycket 2 om att en uppgift om abonnemang ska lämnas, 6. ett föreläggande enligt 27 kap. 16 § rättegångsbalken att bevara en viss lagrad uppgift, eller

Denna lag träder i kraft den 1 januari 2027.

82

Författningsförslag

1.23 Förslag till lag om ändring i vapenlagen (2026:000)

Härigenom föreskrivs att 20 kap. 4 § vapenlagen (2026:000) ska ha följande lydelse.

20 kap.

4 §

Regeringen får meddela föreskrifter om 1. att bestämmelserna om tillstånd i 2 kap. 1 och 2 §§ inte ska gälla innehav av skjutvapen, ljuddämpare eller vapenmagasin som lämnats över från staten till – statligt anställda eller – statligt anställda eller personer som tillhör det militära personer som tillhör det militära försvaret, räddningstjänsten, försvaret, räddningstjänsten, Polismyndigheten eller Myndigheten för utrikes Säkerhetspolisen, underrättelser, Polismyndigheten eller Säkerhetspolisen, – den som för statens räkning tillverkar krigsmateriel, eller – frivilliga försvarsorganisationer, 2. att bestämmelserna om 2. att bestämmelserna om tillstånd i 2 kap. 1 och 2 §§ inte tillstånd i 2 kap. 1 och 2 §§ inte ska gälla införsel av skjutvapen ska gälla införsel av skjutvapen som lämnats över från staten till som lämnats över från staten till statliga tjänstemän eller personer statliga tjänstemän eller personer som tillhör det militära försvaret, som tillhör det militära försvaret, räddningstjänsten, räddningstjänsten, Myndigheten Polismyndigheten eller för utrikes underrättelser, Säkerhetspolisen, eller Polismyndigheten eller ammunition eller ljuddämpare Säkerhetspolisen, eller till sådana vapen, och ammunition eller ljuddämpare till sådana vapen, och

83

Författningsförslag

3. att bestämmelserna om tillstånd i 2 kap. 1 § inte ska gälla införsel av skjutvapen som medförs till Sverige enligt 8 kap. 5 §, eller ammunition eller ljuddämpare till sådana vapen. Denna lag träder i kraft den 1 januari 2027.

84

Författningsförslag

1.24 Förslag till lag om ändring i lagen (2026:000) om signalspaning i försvarsunderrättelseverksamhet i krig eller krigsfara

Härigenom föreskrivs att rubriken till lagen (2026:000) om signalspaning i försvarsunderrättelseverksamhet i krig eller krigsfara samt 4 – 9 och 12, 13, 15 och 16 §§ ska ha följande lydelse.

försvarsunderrättelseverksam- utrikes underrättelsehet i krig eller krigsfara verksamhet i krig eller krigsfara

4 § Med signalspanings- Med signalspaningsmyndighet och kontroll- myndighet och kontrollmyndighet i denna lag avses de myndighet i denna lag avses de myndigheter som anges i lagen myndigheter som anges i lagen (2008:717) om signalspaning i (2008:717) om signalspaning i försvarsunderrättelseverksamhet . utrikes underrättelseverksamhet .

5 § Bestämmelsen i 2 a § första Bestämmelsen i 2 a § första stycket lagen (2008:717) om stycket lagen (2008:717) om signalspaning i försvars- signalspaning i utrikes underrättelseverksamhet ska inte underrättelseverksamhet ska inte tillämpas om inhämtningen är av tillämpas om inhämtningen är av

85

Författningsförslag

betydelse för att hantera yttre betydelse för att hantera yttre hot mot Sveriges säkerhet. hot mot Sveriges säkerhet.

6 § Regeringen får meddela Regeringen får meddela föreskrifter om att någon annan föreskrifter om att någon annan myndighet än de som anges i 4 § myndighet än de som anges i 4 § första stycket lagen (2008:717) första stycket lagen (2008:717) om signalspaning i om signalspaning i utrikes försvarsunderrättelseverksamhet underrättelseverksamhet får får inrikta signalspaning i inrikta signalspaning i utrikes försvarsunderrättelseverksamhet . underrättelseverksamhet . Regeringen får också besluta om detta i ett enskilt fall.

7 § Tillstånd till signalspaning Tillstånd till signalspaning enligt 1 och 1 a §§ lagen enligt 1 och 1 a §§ lagen (2008:717) om signalspaning i (2008:717) om signalspaning i försvarsunderrättelseverksamhet utrikes underrättelseverksamhet får ges av den befattningshavare får ges av den befattningshavare vid signalspaningsmyndigheten vid signalspaningsmyndigheten som regeringen föreskriver. som regeringen föreskriver. Tillstånd enligt första stycket Tillstånd enligt första stycket får endast lämnas om får endast lämnas om förutsättningarna för tillstånd förutsättningarna för tillstånd enligt 5 § lagen om signalspaning enligt 5 § lagen om signalspaning i försvarsunderrättelseverksamhet i utrikes underrättelseverksamhet är uppfyllda. är uppfyllda.

8 § Tillstånd enligt 7 § ska Tillstånd enligt 7 § ska utformas enligt 5 a § första och utformas enligt 5 a § första och andra styckena lagen (2008:717) andra styckena lagen (2008:717) om signalspaning i försvars- om signalspaning i utrikes underrättelseverksamhet . underrättelseverksamhet . Om det för fullgörande av Om det för fullgörande av inhämtningsuppdrag för vilket inhämtningsuppdrag för vilket tillstånd getts uppstår behov av tillstånd getts uppstår behov av tillgång till ytterligare signal- tillgång till ytterligare signal-

86

Författningsförslag

bärare eller användning av andra bärare eller användning av andra tillståndspliktiga sökbegrepp, tillståndspliktiga sökbegrepp, gäller 5 a § tredje stycket lagen gäller 5 a § tredje stycket lagen om signalspaning i försvars- om signalspaning i utrikes underrättelseverksamhet i underrättelseverksamhet i tillämpliga delar. tillämpliga delar.

9 § Signalspaningsmyndigheten Signalspaningsmyndigheten ska ha rådigheten över sådana ska ha rådigheten över sådana signalbärare som avses i 12 § signalbärare som avses i 12 § första stycket lagen (2008:717) första stycket lagen (2008:717) om signalspaning i försvars- om signalspaning i utrikes underrättelseverksamhet. underrättelseverksamhet . Signalspaningsmyndigheten ska begränsa sin tillgång till signalbärare till det som följer av tillstånd enligt 7 §.

12 § Bestämmelserna om kontroll Bestämmelserna om kontroll enligt 10 § första och andra enligt 10 § första och andra styckena och 10 a § första och styckena och 10 a § första och andra styckena lagen (2008:717) andra styckena lagen (2008:717) om signalspaning i försvars- om signalspaning i utrikes underrättelseverksamhet ska inte underrättelseverksamhet ska inte tillämpas. tillämpas.

13 § Integritetskyddsrådets Integritetskyddsrådets uppgifter enligt 11 § lagen uppgifter enligt 11 § lagen (2008:717) om signalspaning i (2008:717) om signalspaning i försvarsunderrättelseverksamhet utrikes underrättelseverksamhet ska inte utföras. ska inte utföras.

15 § När det inte längre råder sådana förhållanden som anges i 1 § eller 2 § första stycket, ska kontrollmyndigheten kontrollera att denna lag har följts. Vid sådan kontroll ska 10 § Vid sådan kontroll ska 10 § första och andra styckena lagen första och andra styckena lagen

87

Författningsförslag

(2008:717) om signalspaning i (2008:717) om signalspaning i försvarsunderrättelseverksamhet utrikes underrättelseverksamhet tillämpas. tillämpas.

16 § När det inte längre råder När det inte längre råder sådana förhållanden som anges i sådana förhållanden som anges i 1 § eller 2 § första stycket, ska 1 § eller 2 § första stycket, ska det särskilda beslutandeorganet i det särskilda beslutandeorganet i kontrollmyndigheten tillämpa kontrollmyndigheten tillämpa bestämmelserna i 10 a § första bestämmelserna i 10 a § första och andra styckena lagen och andra styckena lagen (2008:717) om signalspaning i (2008:717) om signalspaning i försvarsunderrättelseverksamhet utrikes underrättelseverksamhet på meddelanden och lagrade på meddelanden och lagrade uppgifter som inhämtats i uppgifter som inhämtats i samband med signalspaning samband med signalspaning enligt denna lag och på tillstånd enligt denna lag och på tillstånd som lämnats enligt denna lag. som lämnats enligt denna lag.

Denna lag träder i kraft den 1 januari 2027.

88

Författningsförslag

1.25 Förslag till lag om ändring i lagen (2027:000) om fiktiva fordonsuppgifter

Härigenom föreskrivs att 2 § lagen (2027:000) om fiktiva fordonsuppgifter ska ha följande lydelse.

2 §

Denna lag träder i kraft den 1 mars 2027.

89

Författningsförslag

1.26 Förslag till förordning om behandling av personuppgifter vid Myndigheten för utrikes underrättelser

Härigenom föreskrivs följande.

1 kap. Allmänna bestämmelser

1 § Denna förordning innehåller föreskrifter som ansluter till lagen (2026:000) om behandling av personuppgifter vid . Ord och uttryck som används i denna förordning har samma innebörd som i lagen.

2 § Förordningen är meddelad med stöd av 8 kap. 7 § regeringsformen.

2 kap. Behandling av personuppgifter

Överföring av personuppgifter till en mottagare utomlands

1 § får inom ramen för verksamhet som rör Sveriges säkerhet överföra personuppgifter till en utländsk myndighet, en internationell organisation eller en enskild, om överföringen är nödvändig för att fullgöra myndighetens uppdrag.

2 § får inom ramen för internationellt utrikes underrättelsesamarbete och säkerhetssamarbete överföra personuppgifter till en utländsk myndighet eller en internationell organisation, om överföringen tjänar den svenska statsledningen eller det svenska totalförsvaret. Överföringen av personuppgifter får inte vara till skada för svenska intressen.

90

Författningsförslag

3 kap. Direktåtkomst

Utrikes underrättelseverksamhet

1 § Regeringskansliet, Nationella operativa avdelningen i Polismyndigheten, Kustbevakningen, Myndigheten för civilt försvar, Inspektionen för strategiska produkter, Försvarets materielverk, Totalförsvarets forskningsinstitut och Tullverket får medges direktåtkomst till personuppgifter som utgör bearbetningsunderlag och analysresultat inom utrikes underrättelseverksamhet och som har gjorts gemensamt tillgängliga inom . Vid sådan direktåtkomst har myndigheterna rätt att ta del av de personuppgifter som omfattas av åtkomsten.

2 § ska underrätta Regeringskansliet (Utrikesdepartementet) innan direktåtkomst medges en utländsk underrättelse- eller säkerhetstjänst enligt 3 kap. 3 § lagen (2026:000) om behandling av personuppgifter vid .

Omfattningen av direktåtkomsten

3 § beslutar om omfattningen av direktåtkomst som följer av lag, förordning eller regeringens beslut i ett enskilt fall.

4 § ska säkerställa att förutsättningarna för direktåtkomsten dokumenteras. Tillgången till uppgifter hos mottagaren ska vara förbehållen de personer som på grund av sina arbetsuppgifter behöver ha tillgång till uppgifterna. Direktåtkomst får inte medges innan Myndigheten för utrikes underrättelser har försäkrat sig om att mottagaren uppfyller kraven på behörighet och säkerhet.

91

Författningsförslag

4 kap. Skyldigheter som personuppgiftsansvarig

Tekniska och organisatoriska åtgärder

1 § De åtgärder som ska vidta enligt 4 kap. 1 § lagen (2026:000) om behandling av personuppgifter vid ska vara rimliga med beaktande av behandlingens art, omfattning, sammanhang och ändamål och de särskilda riskerna med behandlingen.

Dokumentationsskyldighet

Förteckning över kategorier av behandlingar

2 § ska föra en förteckning över de kategorier av behandlingar av personuppgifter som myndigheten ansvarar för. Förteckningen ska innehålla följande uppgifter: 1. namnet på och kontaktuppgifter till myndigheten, 2. namnet på dataskyddsombudet, 3. namnet på personuppgiftsbiträdet, 4. ändamålen med behandlingen, 5. de kategorier av registrerade som berörs av behandlingen, 6. de kategorier av personuppgifter som kan komma att behandlas, 7. de kategorier av tjänstemän som har tillgång till de personuppgifter som behandlas, 8. de kategorier av mottagare som uppgifterna kan komma att överföras till, inbegripet mottagare i ett annat land eller i en internationell organisation, och 9. om det är möjligt, en allmän beskrivning av vilka säkerhetsåtgärder som har vidtagits.

Loggning

3 § ska föra loggar i myndighetens informationssystem som innehåller gemensamt tillgängliga personuppgifter för utrikes underrättelseverksamhet. Av

92

Författningsförslag

loggarna ska, så långt det är möjligt, framgå vem som har läst, skapat, ändrat eller raderat personuppgifter som har gjorts gemensamt tillgängliga samt tidpunkten för åtgärden.

Tillgången till personuppgifter

4 § För tilldelning av behörighet för åtkomst till personuppgifter ska det särskilt beaktas att det, utöver behovet av uppgifterna, kan finnas krav på utbildning och erfarenhet. ansvarar för att det inom myndigheten finns rutiner för tilldelning, förändring, borttagning och regelbunden uppföljning av behörigheter för åtkomst till personuppgifter.

Säkerheten vid behandling av personuppgifter

5 § De skyddsåtgärder som ska vidtas enligt 4 kap. 3 § lagen (2026:000) om behandling av personuppgifter vid Myndigheten för utrikes underrättelser ska åstadkomma en skyddsnivå som är lämplig med hänsyn till 1. de tekniska möjligheterna, 2. kostnaderna för åtgärderna, 3. behandlingens art, omfattning, sammanhang och ändamål, 4. de särskilda riskerna med behandlingen, 5. om känsliga personuppgifter behandlas, och 6. hur integritetskänsliga övriga personuppgifter som behandlas är.

Anmälan av överträdelser

6 § ska ha sådana interna rutiner för anmälan av överträdelser av bestämmelser om personuppgiftsbehandling som garanterar att anmälarens identitet skyddas.

93

Författningsförslag

Dataskyddsombud

7 § ska säkerställa att dataskyddsombud ges möjlighet att delta i arbetet med frågor som rör skyddet av personuppgifter. ska se till att dataskyddsombud kan utföra de uppgifter som anges i 4 kap. 5 § lagen (2026:000) om behandling av personuppgifter vid genom att tillhandahålla nödvändiga resurser, ge tillgång till dokumentation om behandling av personuppgifter och vid behov medge åtkomst till personuppgifter som behandlas. Myndigheten för utrikes underrättelser ska också se till att dataskyddsombud har den sakkunskap som krävs och att de ges möjlighet att upprätthålla denna.

Personuppgiftsbiträden

Avtalets eller överenskommelsens innehåll

8 § Ett avtal eller annan överenskommelse enligt 4 kap. 7 § lagen (2026:000) om behandling av personuppgifter vid Myndigheten för utrikes underrättelser ska ange vad behandlingen ska avse, hur länge behandlingen ska pågå, dess art och ändamål, kategorier av personuppgifter, kategorier av registrerade samt Myndigheten för utrikes underrättelsers skyldigheter och rättigheter. I avtalet eller överenskommelsen ska det särskilt anges att personuppgiftsbiträdet ska 1. behandla personuppgifter enbart enligt instruktioner från , 2. säkerställa att personer som har tillstånd att behandla personuppgifter har förbundit sig att iaktta regler om tystnadsplikt eller omfattas av lagstadgad tystnadsplikt, 3. hjälpa att säkerställa att bestämmelserna om registrerades rättigheter följs, 4. radera eller återlämna alla personuppgifter till Myndigheten för utrikes underrättelser när uppdraget har slutförts och, om inte annat följer av lag eller förordning, radera befintliga kopior,

94

Författningsförslag

5. ge tillgång till den information som krävs för att visa att denna paragraf och 4 kap. 6 – 9 §§ lagen (2026:000) om behandling av personuppgifter vid följs, och 6. respektera de villkor som följer av denna paragraf och 4 kap. 8 § lagen (2026:000) om behandling av personuppgifter vid om ett annat personuppgiftsbiträde anlitas.

Övriga skyldigheter

9 § Skyldigheterna enligt 4 § om tillgången till personuppgifter tillämpas även för personuppgiftsbiträden.

5 kap. Bemyndiganden

1 § Riksarkivet får, efter att ha gett Myndigheten för utrikes underrättelser tillfälle att yttra sig, meddela föreskrifter om att personuppgifter som inte längre får behandlas enligt 2 kap. 17 § lagen (2026:000) om behandling av personuppgifter vid ska bevaras för arkivändamål av allmänt intresse eller för vetenskapliga, statistiska eller historiska ändamål.

2 § får meddela ytterligare föreskrifter om verkställigheten av lagen (2026:000) om behandling av personuppgifter vid och föreskrifter om verkställigheten av denna förordning. ska ge Integritetsskyddsmyndigheten tillfälle att yttra sig innan den meddelar föreskrifter om integritetsskyddet vid personuppgiftsbehandling.

Denna förordning träder i kraft den 1 januari 2027.

95

Författningsförslag

1.27 Förslag till förordning om ändring i passförordningen (1979:664)

Härigenom föreskrivs att 23 § passförordningen (1979:664) ska ha följande lydelse.

23 §

Polismyndigheten ska föra ett passregister och ett register över

omständigheter som avses i 20 § 1 och 3 passlagen (1978:302).

Passregistret får innehålla sådana uppgifter i fråga om

utreseförbud och tillfälligt utreseförbud som har lämnats till

Denna förordning träder i kraft den 1 januari 2027.

Senaste lydelse 2020:488.

96

Författningsförslag

1.28 Förslag till förordning om ändring i förordningen (1991:1200) om anmälningsskyldighet vid vissa resor till utlandet

Härigenom föreskrivs att 3 a § förordningen (1991:1200) om anmälningsskyldighet vid vissa resor till utlandet ska ha följande lydelse.

3 a §

Denna förordning träder i kraft den 1 januari 2027.

1 Senaste lydelse 2009:970.

97

Författningsförslag

1.29 Förslag till förordning om ändring i förordningen (1995:1301) om handläggning av skadeståndsanspråk mot staten

Härigenom föreskrivs att 3 § och bilagan till förordningen (1995:1301) om handläggning av skadeståndsanspråk mot staten ska ha följande lydelse.

3 §

Justitiekanslern handlägger anspråk på ersättning med stöd av

– 2 kap. 1 § eller 3 kap. 1, 2 eller 4 § skadeståndslagen (1972:207),

om anspråket grundas på ett påstående om felaktigt beslut eller

underlåtenhet att meddela beslut,

– artikel 82 i Europaparlamentets och rådets förordning (EU)

2016/679 av den 27 april 2016 om skydd för fysiska personer med

avseende på behandling av personuppgifter och om det fria flödet av

sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän

dataskyddsförordning) och 7 kap. 1 § lagen (2018:218) med

kompletterande bestämmelser till EU:s dataskyddsförordning,

– 7 kap. 1 § brottsdatalagen (2018:1177),

– 8 kap. 1 § lagen (2019:1182) om Säkerhetspolisens behandling

– 7 kap. 1 § lagen (2021:1171) om behandling av personuppgifter

vid Försvarsmakten och 7 kap. 1 § lagen (2021:1172) om behandling

av personuppgifter vid Försvarets radioanstalt,

– lagen (1998:714) om ersättning vid frihetsberövanden och

andra tvångsåtgärder, dock inte anspråk som avses i 8 § i den lagen,

Senaste lydelse 2024:1024.

98

Författningsförslag

– 5 kap. 3 § lagen (2017:496) om internationellt polisiärt samarbete, om anspråket grundas på ett påstående om felaktigt beslut eller underlåtenhet att meddela beslut, – 26 § lagen (2011:111) om förstörande av vissa hälsofarliga missbrukssubstanser, – 46 kap. 20 § skatteförfarandelagen (2011:1244), – 28 § kamerabevakningslagen (2018:1200), – artikel 84 i Europaparlamentets och rådets förordning (EU) 2019/1896 av den 13 november 2019 om den europeiska gräns- och kustbevakningen och om upphävande av förordningarna (EU) nr 1052/2013 och (EU) 2016/1624, om anspråket grundas på ett påstående om felaktigt beslut eller underlåtenhet att meddela beslut, eller – 19 kap. 4 § patentlagen (2024:945).

Denna förordning träder i kraft den 1 januari 2027.

Nuvarande lydelse Bilaga

Förvaltningsmyndigheter som avses i 5 §

Arbetsförmedlingen Bolagsverket Centrala studiestödsnämnden Domstolsverket Ekobrottsmyndigheten Försvarets materielverk Försvarsmakten Försäkringskassan Inspektionen för arbetslöshetsförsäkringen Konsumentverket Kriminalvården Kronofogdemyndigheten Kustbevakningen Lantmäteriet Livsmedelsverket Luftfartsverket Migrationsverket Patent- och registreringsverket Pensionsmyndigheten

99

Författningsförslag

Polismyndigheten Sjöfartsverket Skatteverket Statens institutionsstyrelse Statens jordbruksverk Säkerhetspolisen Trafikverket Transportstyrelsen Tullverket Åklagarmyndigheten

Föreslagen lydelse 2 Bilaga

Förvaltningsmyndigheter som avses i 5 §

Arbetsförmedlingen Bolagsverket Centrala studiestödsnämnden Domstolsverket Ekobrottsmyndigheten Försvarets materielverk Försvarsmakten Försäkringskassan Inspektionen för arbetslöshetsförsäkringen Konsumentverket Kriminalvården Kronofogdemyndigheten Kustbevakningen Lantmäteriet Livsmedelsverket Luftfartsverket Migrationsverket

Patent- och registreringsverket Pensionsmyndigheten Polismyndigheten Sjöfartsverket Skatteverket Statens institutionsstyrelse

2 Senaste lydelse 2017:1075

100

Författningsförslag

Statens jordbruksverk Säkerhetspolisen Trafikverket Transportstyrelsen Tullverket Åklagarmyndigheten

101

Författningsförslag

1.30 Förslag till förordning om ändring i förordningen (2000:131) om försvarsunderrättelseverksamhet

Härigenom föreskrivs att rubriken till förordningen (2000:131) om försvarsunderrättelseverksamhet samt 1 – 4 och 6 – 9 §§ ska ha följande lydelse.

1 §

2 §

Försvarsunderrättelseverksamhet Utrikes underrättelse-

skall bedrivas av Försvarsmakten, verksamhet ska bedrivas av

Försvarets radioanstalt, Försvarets Försvarsmakten, Försvarets

materielverk och Totalförsvarets radioanstalt, Försvarets

2 a §

Senaste lydelse 2007:694. 2 Senaste lydelse 2007:694. 3 Senaste lydelse 2008:925.

102

Författningsförslag

lagen (2000:130) om försvars- lagen (2000:130) om utrikes underrättelseverksamhet ska vara underrättelseverksamhet ska vara skriftlig och innehålla skriftlig och innehålla 1. uppgift om inriktande myndighet, 2. uppgift om vilken del av 2. uppgift om vilken del av regeringens beslut om inriktning regeringens beslut om av försvarsunderrättelse- inriktning av utrikes verksamheten som den närmare underrättelseverksamheten som inriktningen är hänförlig till, den närmare inriktningen är hänförlig till, 3. en beskrivning av den företeelse som den närmare inriktningen avser, och 4. en redogörelse för behovet av underrättelser om företeelsen.

3 § De myndigheter som De myndigheter som bedriver försvarsunderrättelse- bedriver utrikes underrättelseverksamhet får samarbeta i verksamhet får samarbeta i underrättelsefrågor med andra underrättelsefrågor med andra länder och internationella länder och internationella organisationer endast under organisationer endast under förutsättning att syftet med förutsättning att syftet med samarbetet är att tjäna den samarbetet är att tjäna den svenska statsledningen och det svenska statsledningen och det svenska totalförsvaret. De svenska totalförsvaret. De uppgifter som myndigheterna uppgifter som myndigheterna lämnar till andra länder och lämnar till andra länder och internationella organisationer internationella organisationer får inte vara till skada för svenska får inte vara till skada för svenska intressen. intressen.

4 § Myndigheterna skall till Myndigheterna ska till Regeringskansliet Regeringskansliet anmäla frågor (Försvarsdepartementet) anmäla om att etablera och upprätthålla frågor om att etablera och sådant samarbete som avses i 3 § , upprätthålla sådant samarbete Myndigheterna ska informera som avses i 3 §. Myndigheterna Regeringskansliet om viktiga skall informera Regerings-

103

Författningsförslag

kansliet (Försvarsdepartementet) frågor som uppkommer i om viktiga frågor som upp- samarbetet. kommer i samarbetet . Myndigheterna skall vidare Myndigheterna ska vidare till till Regeringskansliet (Försvars- Regeringskansliet lämna departementet) lämna informa- information om utrikes tion om försvarsunderrättelse- underrättelseverksamhetens verksamhetens inriktning i inriktning i övrigt, övrigt, verksamhetens bedrivan- verksamhetens bedrivande i de i stort och om viktiga stort och om viktiga händelser händelser. Försvarsmakten, och Försvarets radioanstalt och Försvarets radioanstalt skall Myndigheten för utrikes informera Regeringskansliet underrättelser ska informera (Försvarsdepartementet) om den Regeringskansliet om den inhämtning av underrättelser inhämtning av underrättelser som sker med särskilda metoder. som sker med särskilda metoder.

4 6 § De myndigheter som anges i De myndigheter som anges i 2 § ska informera Statens 2 § ska informera Statens inspektion för försvars- inspektion för utrikes underrättelseverksamheten om de underrättelseverksamheten om principer som tillämpas för de principer som tillämpas för samarbete i underrättelsefrågor samarbete i underrättelsefrågor med andra länder och med andra länder och internationella organisationer internationella organisationer samt lämna uppgift om med vilka samt lämna uppgift om med länder och organisationer sådant vilka länder och organisationer samarbete sker. Myndigheterna sådant samarbete sker. ska sedan samarbetet etablerats Myndigheterna ska sedan informera inspektionen om samarbetet etablerats informera omfattningen av samarbetet och, inspektionen om omfattningen när det bedöms vara motiverat, av samarbetet och, när det om resultatet, erfarenheterna och bedöms vara motiverat, om den fortsatta inriktningen av resultatet, erfarenheterna och samarbetet. Myndigheterna ska den fortsatta inriktningen av även i andra viktiga frågor som samarbetet. Myndigheterna ska

4 Senaste lydelse 2009:971.

104

Författningsförslag

rör försvarsunderrättelse- även i andra viktiga frågor som verksamhet lämna information rör utrikes underrättelsetill inspektionen. Försvarsmakten verksamhet lämna information och Försvarets radioanstalt ska till inspektionen. Försvarets särskilt informera om innehållet i radioanstalt och Myndigheten för den instruktion och de utrikes underrättelser ska särskilt föreskrifter som gäller för den informera om innehållet i den eller de enheter inom instruktion och de föreskrifter myndigheten som inhämtar som gäller för den eller de underrättelser med särskilda enheter inom myndigheten som metoder. inhämtar underrättelser med särskilda metoder. Om informationen som avses i första stycket inte har kunnat lämnas, ska frågan utan dröjsmål anmälas för inspektionen. Myndigheterna ska lämna informationen på det sätt inspektionen bestämmer. Myndigheterna ska senast den Myndigheterna ska senast 1 mars varje år lämna den delen den 1 mars varje år lämna den av årsredovisningen och delen av årsredovisningen och budgetunderlaget som rör budgetunderlaget som rör försvarsunderrättelseverksamheten utrikes till inspektionen underrättelseverksamheten till inspektionen

7 § De myndigheter som anges i De myndigheter som anges i 2 § skall , innan de orienterar 2 § ska , innan de orienterar annan än regeringen eller annan än regeringen eller informationsberättigad total- informationsberättigad försvarsmyndighet i under- totalförsvarsmyndighet i rättelsefrågor, samråda med underrättelsefrågor, samråda Regeringskansliet (Försvars- med Regeringskansliet. departementet) . Bestämmelser Bestämmelser om vad som gäller om vad som gäller vid samarbete vid samarbete i i underrättelsefrågor med andra underrättelsefrågor med andra länder och internationella länder och internationella organisationer finns i 4 §. organisationer finns i 4 §.

105

Författningsförslag

8 § De myndigheter som De myndigheter som bedriver försvarsunderrättelse- bedriver utrikes underrättelseverksamhet skall varje år över verksamhet ska varje år över föregående års verksamhet föregående års verksamhet upprätta en översikt som upprätta en översikt som allmänheten kan ta del av. allmänheten kan ta del av. Översikten skall lämnas in till Översikten ska lämnas in till Regeringskansliet (Försvars- Regeringskansliet samtidigt med departementet) samtidigt med årsredovisningen. årsredovisningen.

5 9 § I förordningen (2009:969) I förordningen (2009:969) med instruktion för Statens med instruktion för Statens inspektion för försvars- inspektion för utrikes underrättelseverksamheten finns underrättelseverksamheten finns bestämmelser om inspektionens bestämmelser om inspektionens insyn i försvarsunderrättelse- insyn i utrikes underrättelseverksamheten . verksamheten .

Denna förordning träder i kraft den 1 januari 2027.

5 Senaste lydelse 2009:971.

106

Författningsförslag

1.31 Förslag till förordning om ändring i förordningen (2003:770) om statliga myndigheters elektroniska informationsutbyte

Härigenom föreskrivs att 3 § förordningen (2003:770) om statliga myndigheters elektroniska informationsutbyte ska ha följande lydelse.

3 §

Myndigheter med fler än 50 anställda ska hantera sina utgående beställningar av varor och tjänster elektroniskt. Kravet gäller dock inte för beställningar som 1. görs av Regeringskansliet, 1. görs av Regeringskansliet, Försvarsmakten, Försvarets Försvarsmakten, Försvarets materielverk, Försvarets radio- materielverk, Försvarets radioanstalt, Totalförsvarets anstalt, Totalförsvarets forskningsinstitut eller forskningsinstitut , Myndigheten Säkerhetspolisen, eller för utrikes underrättelser eller Säkerhetspolisen, eller 2. är olämpliga att hantera elektroniskt av sekretesskäl eller säkerhetsskyddsskäl. Myndigheten för digital förvaltning får meddela föreskrifter om hanteringen av beställningar och om standarder eller liknande krav som ska vara gemensamma för elektroniskt informationsutbyte i samband med beställning, leverans och fakturering av varor och tjänster. Myndigheten ska vid utarbetande av föreskrifter beakta nationell och internationell standard.

Denna förordning träder i kraft den 1 januari 2027.

1 Senaste lydelse 2018:1491.

107

Författningsförslag

1.32 Förslag till förordning om ändring i förordningen (2007:937) med instruktion för Försvarets radioanstalt

Härigenom föreskrivs att 1 och 8 a §§ förordningen (2007:937) med instruktion för Försvarets radioanstalt ska ha följande lydelse.

1 §

8 a §

Denna förordning träder i kraft den 1 januari 2027.

Senaste lydelse 2008:927. 2 Senaste lydelse 2008:927.

108

Författningsförslag

1.33 Förslag till förordning om ändring i förordningen (2007:975) med instruktion för Integritetsskyddsmyndigheten

Härigenom föreskrivs att 2 a § förordningen (2007:975) med instruktion för Integritetsskyddsmyndigheten ska ha följande lydelse.

2 a §

Myndigheten är tillstånds- och tillsynsmyndighet enligt kreditupplysningslagen (1973:1173). Myndigheten är tillsynsmyndighet enligt – artikel 51.1 i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning), – lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning och andra föreskrifter som kompletterar Europaparlamentets och rådets förordning (EU) 2016/679, – artikel 41.1 i Europaparlamentets och rådets direktiv (EU) 2016/680 av den 27 april 2016 om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut 2008/977/RIF, – lagen (2019:1182) om Säkerhetspolisens behandling av personuppgifter, – lagen (2021:1171) om – lagen (2021:1171) om behandling av personuppgifter behandling av personuppgifter vid Försvarsmakten och lagen vid Försvarsmakten och lagen (2021:1172) om behandling av (2021:1172) om behandling av personuppgifter vid Försvarets personuppgifter vid Försvarets radioanstalt, och radioanstalt,

1 Senaste lydelse 2023:726.

109

Författningsförslag

– lagen (2026:000) om behandling av personuppgifter vid Myndigheten för utrikes underrättelser, och – artikel 15.1 i Europaparlamentets och rådets direktiv (EU) 2016/681 av den 27 april 2016 om användning av passageraruppgiftssamlingar (PNR-uppgifter) för att förebygga, förhindra, upptäcka, utreda och lagföra terroristbrott och grov brottslighet. Myndigheten ska delta i Europeiska dataskyddsstyrelsens arbete.

Denna förordning träder i kraft den 1 januari 2027.

110

Författningsförslag

1.34 Förslag till förordning om ändring i förordningen (2008:923) om signalspaning i försvarsunderrättelseverksamhet

Härigenom föreskrivs att rubriken till förordningen (2008:923) om signalspaning i försvarsunderrättelseverksamhet samt 1 – 3, 5 och 6 §§ ska ha följande lydelse.

1 §

2 §

Senaste lydelse 2009:972.

111

Författningsförslag

Försvarets radioanstalt eller Försvarets radioanstalt eller dennes ställföreträdare. dennes ställföreträdare.

2 4 § Försvarets radioanstalts ska Försvarets radioanstalts ska skyndsamt informera Statens skyndsamt informera Statens inspektion för inspektion för utrikes försvarsunderrättelseverksamheten underrättelseverksamheten om 2 om 2 b § lagen (2008:717) om b § lagen (2008:717) om signalspaning i signalspaning i utrikes försvarsunderrättelseverksamhet underrättelseverksamhet tillämpas. tillämpas.

5 § 3 Förstöring av upptagningar Förstöring av upptagningar eller uppteckningar enligt 2 a § eller uppteckningar enligt 2 a § första stycket, 5 b § tredje första stycket, 5 b § tredje stycket,7, 10 och 10 a §§ lagen stycket,7, 10 och 10 a §§ lagen (2008:717) om signalspaning i (2008:717) om signalspaning i försvarsunderrättelseverksamhet utrikes underrättelseverksamhet ska ske på ett sådant sätt att ska ske på ett sådant sätt att uppgifterna inte kan återskapas. uppgifterna inte kan återskapas.

6 § 4 Försvarets radioanstalt får för Försvarets radioanstalt får för den verksamhet som anges i 1 § den verksamhet som anges i 1 § tredje stycket och 1 a § lagen tredje stycket och 1 a § lagen (2008:717) om signalspaning i (2008:717) om signalspaning i försvarsunderrättelseverksamhet utrikes underrättelseverksamhet samarbeta i signalspaningsfrågor samarbeta i signalspaningsfrågor med andra länder och med andra länder och internationella organisationer internationella organisationer endast under förutsättning att endast under förutsättning att syftet med samarbetet är att syftet med samarbetet är att tjäna den svenska statsledningen tjäna den svenska statsledningen och den nationella säkerheten. och den nationella säkerheten.

2 Tidigare 4 § upphävd genom 2009:972. 3 Senaste lydelse 2024:427. 4 Senaste lydelse 2009:972.

112

Författningsförslag

De uppgifter som myndigheten De uppgifter som myndigheten lämnar till andra länder och lämnar till andra länder och internationella organisationer internationella organisationer får inte vara till skada för svenska får inte vara till skada för svenska intressen. intressen.

Denna förordning träder i kraft den 1 januari 2027.

113

Författningsförslag

1.35 Förslag till förordning om ändring i offentlighetsoch sekretessförordningen (2009:641)

Härigenom föreskrivs att 3 § offentlighets- och sekretessförordningen (2009:641) ska ha följande lydelse.

Nuvarande lydelse

3 § 1 Följande myndigheter ska i den utsträckning som framgår nedan inte tillämpa 5 kap. 2 § andra stycket offentlighets- och sekretesslagen (2009:400). Myndighet Register allmänna domstolar diarier över ärenden om kvarhållande av försändelser på befordringsanstalt, om föreläggande att bevara en viss lagrad uppgift och om hemlig avlyssning av elektronisk kommunikation, hemlig övervakning av elektronisk kommunikation, hemlig kameraövervakning, hemlig rumsavlyssning och hemlig dataavläsning samt över ärenden enligt lagen (2024:1180) om anonyma vittnen i brottmål allmänna förvaltningsdom- diarier över mål enligt stolar smittskyddslagen (2004:168) och enligt lagen (2024:238) om fastställande av kön i vissa fall beskickningar och konsulat samtliga diarier samt delegationer hos mellanfolkliga organisationer, dock inte Sveriges ständiga

1 Senaste lydelse 2025:585.

114

Författningsförslag

representation vid Europeiska unionen (EU) Försvarsmakten, Försvarets diarier över inriktningar materielverk, Försvarets enligt lagen (2000:130) om radioanstalt och Totalförsvarets försvarsunderrättelseverksamhet forskningsinstitut och över underrättelser inom försvarets underrättelse- och säkerhetstjänst Försvarsunderrättelsedomstol- diarier över mål om tillstånd en enligt lagen (2008:717) om signalspaning i försvarsunderrättelseverksamhet Polismyndigheten diarier över ärenden om kvarhållande av försändelse på befordringsanstalt, om föreläggande att bevara en viss lagrad uppgift, om inhämtning av uppgifter enligt lagen (2012:278) om inhämtning av uppgifter om elektronisk kommunikation i de brottsbekämpande myndigheternas underrättelseverksamhet och om hemlig avlyssning av elektronisk kommunikation, hemlig övervakning av elektronisk kommunikation, hemlig kameraövervakning, hemlig rumsavlyssning och hemlig dataavläsning samt över ärenden enligt lagen (2024:1180) om anonyma vittnen i brottmål Regeringskansliet diarium över krypterade meddelanden, diarium över handlingar som rör myndigheters krigsorganisation och

115

Författningsförslag

beredskapsförberedelser, diarier över inriktningar och underrättelser enligt lagen (2000:130) om försvarsunderrättelseverksamhet , diarier över handlingar som rör förberedelser enligt 11 f § förordningen (1996:1515) med instruktion för Regeringskansliet, diarium över sammanställningar och analyser av underrättelseinformation samt diarier hos Utrikesdepartementet över handlingar som kommit in eller upprättats i andra än administrativa och konsulära ärenden och handelsärenden Skatteverket diarium över ärenden om könsbyte Socialstyrelsen diarium över ärenden som handläggs av Socialstyrelsens råd för vissa rättsliga, sociala och medicinska frågor Statens inspektion för diarier över ärenden om försvarsunderrättelseverksamheten verkställighet av beslut om tillstånd enligt lagen (2008:717) om signalspaning i försvarsunderrättelseverksamhet Sveriges ständiga samtliga diarier, utom representation vid Europeiska diarium över EUunionen (EU) institutionernas officiella dokument och diarier över handlingar som kommit in eller upprättats i administrativa ärenden och handelsärenden Säkerhetspolisen diarier över underrättelser inom den särskilda polisverksamheten för att

116

Författningsförslag

hindra och uppdaga brott mot rikets säkerhet m.m. och diarier över ärenden om kvarhållande av försändelse på befordringsanstalt, om föreläggande att bevara en viss lagrad uppgift, om inhämtning av uppgifter enligt lagen (2012:278) om inhämtning av uppgifter om elektronisk kommunikation i de brottsbekämpande myndigheternas underrättelseverksamhet och om hemlig avlyssning av elektronisk kommunikation, hemlig övervakning av elektronisk kommunikation, hemlig kameraövervakning, hemlig rumsavlyssning och hemlig dataavläsning samt över ärenden enligt lagen (2024:1180) om anonyma vittnen i brottmål Tullverket diarier över ärenden om kvarhållande av försändelse på befordringsanstalt, om föreläggande att bevara en viss lagrad uppgift, om inhämtning av uppgifter enligt lagen (2012:278) om inhämtning av uppgifter om elektronisk kommunikation i de brottsbekämpande myndigheternas underrättelseverksamhet och om hemlig avlyssning av elektronisk kommunikation, hemlig övervakning av

117

Författningsförslag

elektronisk kommunikation, hemlig kameraövervakning, hemlig rumsavlyssning och hemlig dataavläsning samt över ärenden enligt lagen (2024:1180) om anonyma vittnen i brottmål åklagarmyndigheter diarier över ärenden om kvarhållande av försändelse på befordringsanstalt, om föreläggande att bevara en viss lagrad uppgift, om inhämtning av uppgifter enligt lagen (2012:278) om inhämtning av uppgifter om elektronisk kommunikation i de brottsbekämpande myndigheternas underrättelseverksamhet och om hemlig avlyssning av elektronisk kommunikation, hemlig övervakning av elektronisk kommunikation, hemlig kameraövervakning, hemlig rumsavlyssning och hemlig dataavläsning, över ärenden enligt lagen (2024:1180) om anonyma vittnen i brottmål samt över förundersökningar som rör brott mot rikets säkerhet

Föreslagen lydelse

3 § Följande myndigheter ska i den utsträckning som framgår nedan inte tillämpa 5 kap. 2 § andra stycket offentlighets- och sekretesslagen (2009:400).

118

Författningsförslag

allmänna domstolar diarier över ärenden om kvarhållande av försändelser på befordringsanstalt, om föreläggande att bevara en viss lagrad uppgift och om hemlig avlyssning av elektronisk kommunikation, hemlig övervakning av elektronisk kommunikation, hemlig kameraövervakning, hemlig rumsavlyssning och hemlig dataavläsning samt över ärenden enligt lagen (2024:1180) om anonyma vittnen i brottmål allmänna förvaltnings- diarier över mål enligt domstolar smittskyddslagen (2004:168) och enligt lagen (2024:238) om fastställande av kön i vissa fall beskickningar och konsulat samtliga diarier samt delegationer hos mellanfolkliga organisationer, dock inte Sveriges ständiga representation vid Europeiska unionen (EU) Försvarsmakten, Försvarets diarier över inriktningar materielverk, Försvarets enligt lagen (2000:130) om radioanstalt och Totalförsvarets utrikes underrättelseverksamhet forskningsinstitut och över underrättelser inom försvarets underrättelse- och säkerhetstjänst Domstolen för utrikes diarier över mål om tillstånd underrättelseverksamhet enligt lagen (2008:717) om signalspaning i utrikes underrättelseverksamhet Myndigheten för utrikes diarier över inriktningar enligt underrättelser lagen (2000:130) om utrikes underrättelseverksamhet och över underrättelser inom myndighetens verksamhet

119

Författningsförslag

Polismyndigheten diarier över ärenden om kvarhållande av försändelse på befordringsanstalt, om föreläggande att bevara en viss lagrad uppgift, om inhämtning av uppgifter enligt lagen (2012:278) om inhämtning av uppgifter om elektronisk kommunikation i de brottsbekämpande myndigheternas underrättelseverksamhet och om hemlig avlyssning av elektronisk kommunikation, hemlig övervakning av elektronisk kommunikation, hemlig kameraövervakning, hemlig rumsavlyssning och hemlig dataavläsning samt över ärenden enligt lagen (2024:1180) om anonyma vittnen i brottmål Regeringskansliet diarium över krypterade meddelanden, diarium över handlingar som rör myndigheters krigsorganisation och beredskapsförberedelser, diarier över inriktningar och underrättelser enligt lagen (2000:130) om utrikes underrättelseverksamhet , diarier över handlingar som rör förberedelser enligt 11 f § förordningen (1996:1515) med instruktion för Regeringskansliet, diarium över sammanställningar och analyser av underrättelseinformation samt diarier hos Utrikesdepartementet över

120

Författningsförslag

handlingar som kommit in eller upprättats i andra än administrativa och konsulära ärenden och handelsärenden Skatteverket diarium över ärenden om könsbyte Socialstyrelsen diarium över ärenden som handläggs av Socialstyrelsens råd för vissa rättsliga, sociala och medicinska frågor Statens inspektion för utrikes diarier över ärenden om underrättelseverksamheten verkställighet av beslut om tillstånd enligt lagen (2008:717) om signalspaning i utrikes underrättelseverksamhet Sveriges ständiga samtliga diarier, utom representation vid Europeiska diarium över EUunionen (EU) institutionernas officiella dokument och diarier över handlingar som kommit in eller upprättats i administrativa ärenden och handelsärenden Säkerhetspolisen diarier över underrättelser inom den särskilda polisverksamheten för att hindra och uppdaga brott mot rikets säkerhet m.m. och diarier över ärenden om kvarhållande av försändelse på befordringsanstalt, om föreläggande att bevara en viss lagrad uppgift, om inhämtning av uppgifter enligt lagen (2012:278) om inhämtning av uppgifter om elektronisk kommunikation i de brottsbekämpande myndigheternas underrättelseverksamhet och om

121

Författningsförslag

hemlig avlyssning av elektronisk kommunikation, hemlig övervakning av elektronisk kommunikation, hemlig kameraövervakning, hemlig rumsavlyssning och hemlig dataavläsning samt över ärenden enligt lagen (2024:1180) om anonyma vittnen i brottmål Tullverket diarier över ärenden om kvarhållande av försändelse på befordringsanstalt, om föreläggande att bevara en viss lagrad uppgift, om inhämtning av uppgifter enligt lagen (2012:278) om inhämtning av uppgifter om elektronisk kommunikation i de brottsbekämpande myndigheternas underrättelseverksamhet och om hemlig avlyssning av elektronisk kommunikation, hemlig övervakning av elektronisk kommunikation, hemlig kameraövervakning, hemlig rumsavlyssning och hemlig dataavläsning samt över ärenden enligt lagen (2024:1180) om anonyma vittnen i brottmål åklagarmyndigheter diarier över ärenden om kvarhållande av försändelse på befordringsanstalt, om föreläggande att bevara en viss lagrad uppgift, om inhämtning av uppgifter enligt lagen (2012:278) om inhämtning av uppgifter om elektronisk kommunikation i de

122

Författningsförslag

brottsbekämpande myndigheternas underrättelseverksamhet och om hemlig avlyssning av elektronisk kommunikation, hemlig övervakning av elektronisk kommunikation, hemlig kameraövervakning, hemlig rumsavlyssning och hemlig dataavläsning, över ärenden enligt lagen (2024:1180) om anonyma vittnen i brottmål samt över förundersökningar som rör brott mot rikets säkerhet

Denna förordning träder i kraft den 1 januari 2027.

123

Författningsförslag

1.36 Förslag till förordning om ändring i förordningen (2009:968) med instruktion för Försvarsunderrättelsedomstolen

Härigenom föreskrivs att rubriken till förordningen (2009:968) med instruktion för Försvarsunderrättelsedomstolen samt 1, 2, 4 – 6, 8 – 10, 12 och 13 §§ ska ha följande lydelse.

1 §

2 §

3 och 4 §§ om ledningens ansvar,

8 § om myndighetens arbetsgivarpolitik,

19 § om kostnadsmässiga konsekvenser, och

Författningsförslag

Det som i dessa bestämmelser sägs om myndighetens ledning ska avse domstolens ordförande i enlighet med bestämmelsen i 11 §. Bestämmelsen i 21 § myndighetsförordningen ska tillämpas endast i administrativa ärenden.

4 § I Försvarsunderrättelse- I Domstolen för utrikes domstolen ska, förutom underrättelseverksamhet ska, ordförande, vice ordförande och förutom ordförande, vice de särskilda ledamöter som anges i ordförande och de särskilda lagen (2009:966) om ledamöter som anges i lagen Försvarsunderrättelsedomstol , en (2009:966) om Domstolen för kanslichef finnas. utrikes underrättelseverksamhet , en kanslichef finnas. Försvarsunderrättelsedomstolen s Domstolen för utrikes ordförande är domstolens underrättelseverksamhets administrative chef. ordförande är domstolens administrative chef. Kanslichefen ska ansvara för beredningsverksamheten i domstolen.

5 § Försvarsunderrättelsedomstolen Domstolen för utrikes får i arbetsordning meddela underrättelseverksamhet får i föreskrifter om eller i ett enskilt arbetsordning meddela fall besluta om domstolens föreskrifter om eller i ett organisation och formerna för enskilt fall besluta om domstolens verksamhet. domstolens organisation och formerna för domstolens verksamhet.

6 § Bestämmelser om Bestämmelser om handläggningen av ansökningar handläggningen av ansökningar om tillstånd till signalspaning om tillstånd till signalspaning finns i lagen (2009:966) om finns i lagen (2009:966) om Försvarsunderrättelsedomstol och Domstolen för utrikes i lagen (2008:717) om underrättelseverksamhet och i

125

Författningsförslag

signalspaning i lagen (2008:717) om försvarsunderrättelseverksamhet . signalspaning i utrikes underrättelseverksamhet .

8 § 1 I fråga om anteckningar vid I fråga om anteckningar vid muntlig förhandling i mål vid muntlig förhandling i mål vid Försvarsunderrättelsedomstolen , Domstolen för utrikes registrering av inkomna mål och underrättelseverksamhet , aktbildning samt vad som hänger registrering av inkomna mål och samman därmed gäller aktbildning samt vad som hänger förordningen (2013:390) om samman därmed gäller mål i allmän förordningen (2013:390) om förvaltningsdomstol i tillämpliga mål i allmän delar. förvaltningsdomstol i tillämpliga delar.

9 § Domstolens beslut ska Domstolens beslut ska expedieras till ansökande expedieras till ansökande myndighet och till Statens myndighet och till Statens inspektion för inspektion för utrikes försvarsunderrättelseverksamheten . underrättelseverksamheten .

10 § Försvarsunderrättelsedomstolen Domstolen för utrikes får i arbetsordning meddela underrättelseverksamhet får i föreskrifter om eller i ett enskilt arbetsordning meddela fall besluta om vem hos föreskrifter om eller i ett domstolen som får begära in enskilt fall besluta om vem hos förklaringar, upplysningar eller domstolen som får begära in yttranden samt utföra andra förklaringar, upplysningar eller förberedande åtgärder i målen. yttranden samt utföra andra förberedande åtgärder i målen.

1 Senaste lydelse 2013:403.

126

Författningsförslag

12 § 2 Bestämmelser om utnämning Bestämmelser om av ordförande i utnämning av ordförande i Försvarsunderrättelsedomstolen Domstolen för utrikes finns i lagen (2010:1390) om underrättelseverksamhet finns i utnämning av ordinarie domare. lagen (2010:1390) om Bestämmelser om förordnande av utnämning av ordinarie vice ordförande och särskilda domare. Bestämmelser om ledamöter finns i lagen (2009:966) förordnande av vice ordförande om Försvarsunderrättelsedomstol . och särskilda ledamöter finns i lagen (2009:966) om Domstolen för utrikes underrättelseverksamhet . Försvarsunderrättelsedomstolen Domstolen för utrikes ska anmäla till Domarnämnden underrättelseverksamhet ska när det finns en ledig anställning anmäla till Domarnämnden när som ordförande som behöver det finns en ledig anställning tillsättas. som ordförande som behöver tillsättas. Anställningen som kanslichef Anställningen som beslutas av regeringen. kanslichef beslutas av Kanslichefen ska vara lagfaren. regeringen. Kanslichefen ska Andra anställningar beslutas av vara lagfaren. Andra Försvarsunderrättelsedomstolen . anställningar beslutas av Domstolen för utrikes underrättelseverksamhet . För andra anställningar vid domstolen än anställning av ordförande behöver inte 6 § anställningsförordningen (1994:373) tillämpas.

13 § Endast den som är svensk Endast den som är svensk medborgare får vara anställd vid medborgare får vara anställd vid Försvarsunderrättelsedomstolen . Domstolen för utrikes underrättelseverksamhet .

Denna förordning träder i kraft den 1 januari 2027.

2 Senaste lydelse 2010:1811.

127

Författningsförslag

1.37 Förslag till förordning om ändring i förordningen (2009:969) med instruktion för Statens inspektion för försvarsunderrättelseverksamheten

Härigenom föreskrivs att rubriken till förordningen (2009:969) med instruktion för Statens inspektion för försvarsunderrättelseverksamheten samt 1 – 7 §§ska ha följande lydelse.

1 §

Författningsförslag

2 § Statens inspektion för Statens inspektion för utrikes försvarsunderrättelseverksamheten underrättelseverksamheten är är kontrollmyndighet enligt kontrollmyndighet enligt lagen lagen (2008:717) om (2008:717) om signalspaning i signalspaning i utrikes underrättelseverksamhet försvarsunderrättelseverksamhet och har de uppgifter som och har de uppgifter som framgår framgår av den lagen. av den lagen.

3 § 1 Statens inspektion för Statens inspektion för utrikes försvarsunderrättelseverksamheten underrättelseverksamheten ska ska granska sådan behandling av granska sådan behandling av personuppgifter som utförs i personuppgifter som utförs i 1. Försvarsmaktens 1. Försvarsmaktens utrikes försvarsunderrättelseverksamhet underrättelseverksamhet och och militära säkerhetstjänst med militära säkerhetstjänst med stöd av lagen (2021:1171) om stöd av lagen (2021:1171) om behandling av personuppgifter behandling av personuppgifter vid Försvarsmakten, och vid Försvarsmakten, 2. Försvarets radioanstalts 2. Försvarets radioanstalts försvarsunderrättelse - och utrikes underrättelseverksamhet utvecklingsverksamhet med stöd och utvecklingsverksamhet med av lagen (2021:1172) om stöd av lagen (2021:1172) om behandling av personuppgifter behandling av personuppgifter vid Försvarets radioanstalt . vid Försvarets radioanstalt , och 3. Myndigheten för utrikes underrättelsers utrikes underrättelseverksamhet med stöd av lagen (2026:000) om behandling av personuppgifter vid Myndigheten för utrikes underrättelser.

1 Senaste lydelse 2021:1211.

129

Författningsförslag

4 § Statens inspektion för Statens inspektion för utrikes försvarsunderrättelseverksamheten underrättelseverksamheten ska i ska i kontrollverksamhet enligt kontrollverksamhet enligt 1 § 1 § 1. följa hur lagen (2000:130) 1. följa hur lagen (2000:130) om om utrikes försvarsunderrättelseverksamhet underrättelseverksamhet och och förordningen (2000:131) om förordningen (2000:131) om försvarsunderrättelseverksamhet utrikes underrättelseverksamhet tillämpas, tillämpas, 2. granska att 2. granska att utrikes försvarsunderrättelseverksamheten underrättelseverksamheten bedrivs i enlighet med den bedrivs i enlighet med den inriktning som är bestämd, inriktning som är bestämd, 3. granska de verksamheter där teknisk och personbaserad inhämtning av underrättelser bedrivs med särskilda metoder, 4. granska övriga medel och metoder för inhämtning av underrättelser som används, och 5. granska principer för rekrytering och utbildning av personal.

5 § Statens inspektion för Statens inspektion för utrikes försvarsunderrättelseverksamheten underrättelseverksamheten ska ska utöva sin kontroll genom utöva sin kontroll genom inspektioner och andra inspektioner och andra undersökningar hos de undersökningar hos de myndigheter som avses i 1 §. myndigheter som avses i 1 §. Inspektionen ska lämna dessa myndigheter de synpunkter och de förslag till åtgärder som föranleds av kontrollverksamheten. Om det behövs, ska inspektionen också lämna dessa synpunkter och förslag om åtgärder till regeringen. Inspektionen ska senast den 1 mars varje år till regeringen lämna en rapport över föregående års granskningsverksamhet.

6 § Statens inspektion för Statens inspektion för utrikes försvarsunderrättelseverksamheten underrättelseverksamheten har har rätt att av andra myndigheter rätt att av andra myndigheter få

130

Författningsförslag

få de upplysningar och det de upplysningar och det biträde biträde som behövs för dess som behövs för dess verksamhet. verksamhet.

7 § Av 12 § lagen (2008:717) om Av 12 § lagen (2008:717) om signalspaning i signalspaning i utrikes försvarsunderrättelseverksamhet underrättelseverksamhet framgår framgår att Statens inspektion att Statens inspektion för utrikes för underrättelseverksamhet en ska försvarsunderrättelseverksamheten verkställa beslut om tillgång till ska verkställa beslut om tillgång signalbärare. till signalbärare. Verkställighetsåtgärder får vidtas av den anställde vid inspektionen som nämnden bestämmer.

Denna förordning träder i kraft den 1 januari 2027.

131

Författningsförslag

1.38 Förslag till förordning om ändring i förordningen (2010:1075) om brandfarliga och explosiva varor

Härigenom föreskrivs att 2, 12 – 13 a och 26 §§ förordningen (2010:1075) om brandfarliga och explosiva varor ska ha följande lydelse.

2 §

Spårämneskravet i 13 § lagen (2010:1011) om brandfarliga och

explosiva varor gäller inte plastiska sprängämnen som

1. i små mängder behövs enbart för

a) forskning, utveckling eller provning av nya eller ändrade

b) träning i detektering av sprängämnen eller utveckling eller

provning av utrustning för detektering av sprängämnen, eller

c) forensiska undersökningar, utveckling av

brottsutredningsmetoder eller rättsvetenskapliga ändamål,

2. hanteras av tillsynsmyndigheterna i samband med deras tillsyn

För att få utnyttja undantagen i första stycket 1 krävs tillstånd

från Myndigheten för civilt försvar.

Senaste lydelse 2025:1134.

132

Författningsförslag

12 § 2 Om det inträffar en olycka Om det inträffar en olycka till följd av en brand eller till följd av en brand eller explosion vid tillståndspliktig explosion vid tillståndspliktig hantering av brandfarliga eller hantering av brandfarliga eller explosiva varor eller vid explosiva varor eller vid hantering av sådana varor inom hantering av sådana varor inom Försvarsmakten, Försvarets Myndigheten för utrikes materielverk, Försvarets underrättelser, Försvarsmakten, radioanstalt, Totalförsvarets Försvarets materielverk, forskningsinstitut eller Försvarets radioanstalt, Fortifikationsverket, ska Totalförsvarets tillståndshavaren snarast forskningsinstitut eller underrätta tillsynsmyndigheten Fortifikationsverket, ska om olyckan. Detsamma gäller tillståndshavaren snarast om det inträffar en händelse som underrätta tillsynsmyndigheten har inneburit en hög risk för att om olyckan. Detsamma gäller en sådan olycka skulle ha kunnat om det inträffar en händelse som inträffa. har inneburit en hög risk för att en sådan olycka skulle ha kunnat inträffa.

3 13 § En tillsynsmyndighet enligt lagen (2010:1011) om brandfarliga och explosiva varor behöver inte ha tillstånd till sådan hantering av brandfarliga och explosiva varor som sker som ett led i tillsynen. Polismyndigheten och Säkerhetspolisen behöver inte ha tillstånd till hantering av explosiva varor. Tullverket och Kustbevakningen behöver inte ha tillstånd till sådan hantering av explosiva varor som sker i samband med beslag av sådana varor. Försvarsmakten, Försvarets Myndigheten för utrikes materielverk, Försvarets underrättelser, Försvarsmakten, radioanstalt, Totalförsvarets Försvarets materielverk, forskningsinstitut och Försvarets radioanstalt, Fortifikationsverket behöver ha Totalförsvarets tillstånd endast för forskningsinstitut och

2 Senaste lydelse 2023:392. 3 Senaste lydelse 2024:1266.

133

Författningsförslag

1. tillverkning av explosiva Fortifikationsverket behöver ha varor, tillstånd endast för 2. sådan översyn av 1. tillverkning av explosiva ammunition som från varor, risksynpunkt är jämförbar med 2. sådan översyn av tillverkning, ammunition som från 3. förvaring av explosiva risksynpunkt är jämförbar med varor på fasta platser, och tillverkning, 4. hantering av brandfarliga 3. förvaring av explosiva varor utom vid fältmässig varor på fasta platser, och övning. 4. hantering av brandfarliga varor utom vid fältmässig övning. En utländsk myndighet behöver inte ha tillstånd till hantering, överföring, import eller export av explosiva varor 1. vid utförande av uppgifter enligt lagen (2017:496) om internationellt polisiärt samarbete eller vid utbildning i sådana uppgifter, eller 2. vid samarbete enligt Europaparlamentets och rådets förordning (EU) 2019/1896 av den 13 november 2019 om den europeiska gräns- och kustbevakningen och om upphävande av förordningarna (EU) nr 1052/2013 och (EU) 2016/1624.

13 a § 4 Försvarsmakten, Försvarets Myndigheten för utrikes materielverk, Försvarets underrättelser, Försvarsmakten, radioanstalt, Totalförsvarets Försvarets materielverk, forskningsinstitut och Försvarets radioanstalt, Fortifikationsverket undantas Totalförsvarets från kravet på anmälan i 9 a § och forskningsinstitut och lämplighetsprövningen i 19 § Fortifikationsverket undantas lagen (2010:1011) om från kravet på anmälan i 9 a § och brandfarliga och explosiva varor. lämplighetsprövningen i 19 § lagen (2010:1011) om brandfarliga och explosiva varor.

4 Senaste lydelse 2023:392

134

Författningsförslag

26 § Försvarsmakten får, efter samråd med Myndigheten för civilt försvar, meddela föreskrifter om 1. hantering av brandfarliga 1. hantering av brandfarliga och explosiva varor inom sitt och explosiva varor inom sitt eget, Försvarets materielverks, eget, Myndigheten för utrikes Försvarets radioanstalts, underrättelser, Försvarets Totalförsvarets materielverks, Försvarets forskningsinstituts och radioanstalts, Totalförsvarets Fortifikationsverkets område, forskningsinstituts och och Fortifikationsverkets område, och 2. undantag från tillämpningen av lagen (2010:1011) om brandfarliga och explosiva varor och föreskrifter som meddelats med stöd av lagen, när det gäller fältmässig övning, under höjd beredskap och när det finns skäl av synnerlig betydelse för landets säkerhet.

Denna förordning träder i kraft den 1 januari 2027.

135

Författningsförslag

1.39 Förslag till förordning om ändring i strålskyddsförordningen (2018:506)

Härigenom föreskrivs att 8 kap 2 och 3 §§ och 9 kap 2 § strålskyddsförordningen (2018:506) ska ha följande lydelse.

8 kap.

2 §

Tillsyn över att strålskyddslagen (2018:396), denna förordning

och föreskrifter som meddelats med stöd av förordningen följs, ska

1. Arbetsmiljöverket i fråga om radon på arbetsplatser där

radonhalten underskrider referensnivån för radon eller där åtgärder

för att sänka radonhalten genomförs enligt arbetsmiljölagen

2. Boverket i fråga om uppgifter om radionuklider i

byggnadsmaterial som ska lämnas enligt 3 kap. 13 § strålskyddslagen,

3. den kommunala nämnd som ansvarar för miljö- och

hälsoskyddsområdet i fråga om verksamheter med kosmetiska

solarier inom kommunen och i fråga om radonhalten i bostäder och

lokaler som allmänheten har tillträde till inom kommunen.

Författningsförslag

3 § Strålsäkerhetsmyndigheten får 1. efter åtagande av 1. efter åtagande av försvarsinspektören för hälsa försvarsinspektören för hälsa och miljö, överlåta åt och miljö, överlåta åt försvarsinspektören att i ett visst försvarsinspektören att i ett visst avseende utöva tillsyn över avseende utöva tillsyn över verksamheter som Försvars- verksamheter som Försvarsmakten, Försvarets materiel- makten, Försvarets materielverk, Fortifikationsverket eller verk, Fortifikationsverket , Försvarets radioanstalt bedriver, Försvarets radioanstalt eller och Myndigheten för utrikes underrättelser bedriver, och 2. efter åtagande av en 2. efter åtagande av en kommun överlåta åt den kommun överlåta åt den kommunala nämnd som ansvarar kommunala nämnd som ansvarar för miljö- och hälsoskydds- för miljö- och hälsoskyddsområdet att inom kommunen området att inom kommunen utöva tillsyn över andra utöva tillsyn över andra verksamheter än sådana som verksamheter än sådana som Försvarsmakten, Försvarets Försvarsmakten, Försvarets materielverk, Fortifikations- materielverk, Fortifikationsverket eller Försvarets radio- verket , Försvarets radioanstalt anstalt bedriver. eller Myndigheten för utrikes underrättelser bedriver.

9 kap.

1 2 § Beslut enligt denna Beslut enligt denna förordning som avser Försvars- förordning som avser makten, Försvarets materiel- Försvarsmakten, Försvarets verk, Fortifikationsverket eller materielverk, Fortifikations- Försvarets radioanstalt får verket , Försvarets radioanstalt överklagas till regeringen. eller Myndigheten för utrikes underrättelser får överklagas till regeringen.

1 Senaste lydelse 2018:517.

137

Författningsförslag

I 40 § förvaltningslagen (2017:900) finns bestämmelser om överklagande till allmän förvaltningsdomstol. Strålsäkerhetsmyndighetens beslut om förlängd handläggningstid enligt 5 kap. 26 § första stycket får inte överklagas. Denna förordning träder i kraft den 1 januari 2027.

138

Författningsförslag

1.40 Förslag till förordning om ändring i förordningen (2018:2014) om skyldighet för vissa offentliga funktionärer att anmäla innehav av finansiella instrument

Härigenom föreskrivs att 5 § förordningen (2018:2014) om skyldighet för vissa offentliga funktionärer att anmäla innehav av finansiella instrument ska ha följande lydelse.

5 §

Vid följande myndigheter ska de som ingår i myndighetens ledning vara anmälningsskyldiga enligt 4 § lagen (2018:1625) om skyldighet för vissa offentliga funktionärer att anmäla innehav av finansiella instrument: - Affärsverket svenska kraftnät - Arbetsförmedlingen - Bolagsverket - Ekobrottsmyndigheten - Energimarknadsinspektionen - Exportkreditnämnden - Finansinspektionen - Folkhälsomyndigheten - Fondtorgsnämnden - Fortifikationsverket - Försvarets materielverk - Försvarets radioanstalt - Försvarsmakten - Inspektionen för strategiska produkter - Integritetsskyddsmyndigheten - Kammarkollegiet - Kommerskollegium - Konjunkturinstitutet - Konkurrensverket - Kustbevakningen

1 Senaste lydelse 2025:1225.

139

Författningsförslag

- Livsmedelsverket - Luftfartsverket - Läkemedelsverket - Mediemyndigheten - Myndigheten för civilt försvar - Myndigheten för utrikes underrättelser - Patent- och registreringsverket - Pensionsmyndigheten - Polismyndigheten - Post- och telestyrelsen - Riksgäldskontoret - Sjöfartsverket - Skatteverket - Spelinspektionen - Statskontoret - Statens energimyndighet - Statens haverikommission - Statens jordbruksverk - Statens skolinspektion - Statistiska centralbyrån - Strålsäkerhetsmyndigheten - Styrelsen för internationellt utvecklingssamarbete (Sida) - Sveriges geologiska undersökning - Säkerhetspolisen - Tandvårds- och läkemedelsförmånsverket - Tillväxtverket - Totalförsvarets forskningsinstitut - Trafikverket - Transportstyrelsen - Verket för innovationssystem

Denna förordning träder i kraft den 1 januari 2027.

140

Författningsförslag

1.41 Förslag till förordning om ändring i förordningen (2018:1181) om flygpassageraruppgifter i brottsbekämpningen

Härigenom föreskrivs att 3 § förordningen ((2018:1181) om flygpassageraruppgifter i brottsbekämpningen ska ha följande lydelse.

3 §

Denna förordning träder i kraft den 1 januari 2027.

141

Författningsförslag

1.42 Förslag till förordning om ändring i förordningen (2021:949) om skydd för personer som rapporterar om missförhållanden

Härigenom föreskrivs att 1 kap. 2 § förordningen (2021:949) om skydd för personer som rapporterar om missförhållanden ska ha följande lydelse.

1 kap.

2 §

Med myndigheter inom försvars- och säkerhetsområdet enligt

1 kap. 3 § första stycket 2 lagen (2021:890) om skydd för personer

som rapporterar om missförhållanden, i vilkas verksamhet

rapportering av information som rör nationell säkerhet undantas

från lagens tillämpningsområde, avses

- Inspektionen för strategiska produkter,

- Totalförsvarets forskningsinstitut, och

Denna förordning träder i kraft den 1 januari 2027.

Författningsförslag

1.43 Förslag till förordning om ändring i säkerhetsskyddsförordningen (2021:955)

Härigenom föreskrivs att 3 kap. 6, 8 och 10 §§, 6 kap. 1 och 3 §§, 8 kap. 1 § och bilagan till säkerhetsskyddsförordning (2021:955) ska ha följande lydelse.

3 kap.

6 §

Försvarsmakten får, om det finns särskilda skäl, också besluta om undantag från kraven i 5 § andra stycket. Försvarsmakten ska samråda med Säkerhetspolisen innan ett beslut om undantag meddelas om det gäller verksamhet som hör till ett annat tillsynsområde än Försvarsmaktens eller Försvarets materielverks tillsynsområde och med Regeringskansliet (Utrikesdepartementet) om kravet följer av ett internationellt säkerhetsskyddsåtagande.

143

Författningsförslag

8 § Säkerhetsskyddsklassificerad Säkerhetsskyddsklassificerad e handlingar som innehåller e handlingar som innehåller uppgifter i uppgifter i säkerhetsskyddsklassen säkerhetsskyddsklassen kvalificerat hemlig ska kvalificerat hemlig ska inventeras minst en gång per år. inventeras minst en gång per år. Säkerhetsskyddsklassificerade Säkerhetsskyddsklassificerade handlingar som innehåller handlingar som innehåller uppgifter i uppgifter i säkerhetsskyddsklassen hemlig säkerhetsskyddsklassen hemlig eller konfidentiell ska inventeras eller konfidentiell ska inventeras i den omfattning som anges i i den omfattning som anges i Säkerhetspolisens föreskrifter Säkerhetspolisens föreskrifter eller, om det gäller verksamhet eller, om det gäller verksamhet som hör till Försvarsmaktens som hör till Försvarsmaktens eller Försvarets materielverks eller Försvarets materielverks tillsynsområde, tillsynsområde, Försvarsmaktens föreskrifter. Försvarsmaktens föreskrifter. Regeringskansliet får meddela Myndigheten för utrikes föreskrifter om i vilken underrättelser får meddela omfattning inventering ska ske i föreskrifter om i vilken omfattning fråga om Regeringskansliet, inventering ska ske i fråga om den utlandsmyndigheterna och egna myndigheten vad avser sådana kommittéer och särskilda säkerhetsskyddsklassificerade utredare som avses i handlingar som innehåller kommittéförordningen uppgifter i säkerhetsskyddsklassen (1998:1474). hemlig eller konfidentiell. Regeringskansliet får meddela föreskrifter om i vilken omfattning inventering ska ske i fråga om Regeringskansliet, utlandsmyndigheterna och sådana kommittéer och särskilda utredare som avses i kommittéförordningen (1998:1474).

144

Författningsförslag

För arkiverade handlingar gäller kravet på inventering enbart för handlingar i säkerhetsskyddsklassen kvalificerat hemlig. Hos verksamhetsutövare där offentlighets- och sekretesslagen (2009:400) är tillämplig gäller kravet på inventering endast för allmänna handlingar. 10 § För sådana försändelser till och från utlandet som innehåller säkerhetsskyddsklassificerade handlingar och som inte skyddas av kryptografiska funktioner enligt 5 § ska Utrikesdepartementets kurirförbindelser anlitas. Försvarsmakten får inom sitt Försvarsmakten får inom sitt och Försvarets materielverks och Försvarets materielverks tillsynsområde meddela tillsynsområde meddela föreskrifter om undantag från föreskrifter om undantag från kravet i första stycket. kravet i första stycket. Säkerhetspolisen får meddela Säkerhetspolisen får meddela sådana föreskrifter inom övriga sådana föreskrifter inom övriga tillsynsområden. tillsynsområden. Myndigheten Regeringskansliet får meddela för utrikes underrättelser får sådana föreskrifter i fråga om meddela sådana föreskrifter i fråga Regeringskansliet, om den egna myndigheten. utlandsmyndigheterna och Regeringskansliet får meddela sådana kommittéer och särskilda sådana föreskrifter i fråga om utredare som avses i Regeringskansliet, kommittéförordningen utlandsmyndigheterna och (1998:1474). sådana kommittéer och särskilda utredare som avses i kommittéförordningen (1998:1474).

6 kap.

1 § Förutsatt att säkerhetsskyddet ändå kan tillgodoses gäller skyldigheten att ingå säkerhetsskyddsavtal enligt 4 kap. 1 § säkerhetsskyddslagen (2018:585) inte 1. förfaranden som för att genomföras kräver tillstånd enligt lagen (1992:1300) om krigsmateriel eller lagen (2000:1064) om kontroll av produkter med dubbla användningsområden och av tekniskt bistånd,

145

Författningsförslag

2. anskaffningar mellan myndigheter inom Försvarsmaktens tillsynsområde, 3. statliga myndigheters avtal, samverkan eller samarbete med en annan stat än Sverige eller en mellanfolklig organisation, och 4. avtal, samverkan eller 4. avtal, samverkan eller samarbete inom militär samarbete inom militär säkerhetstjänst, säkerhetstjänst, utrikes försvarsunderrättelseverksamhet underrättelseverksamhet eller eller säkerhetsunderrättelse- säkerhetsunderrättelseverksamhet verksamhet samt samt Försvarsmaktens eller Försvarsmaktens eller Försvarets radioanstalts avtal, Försvarets radioanstalts avtal, samverkan eller samarbete inom samverkan eller samarbete cyberförsvar. inom cyberförsvar.

3 § 1 Skyldigheten att göra en särskild säkerhetsskyddsbedömning och lämplighetsprövning samt att samråda enligt 4 kap. 13 § första stycket samt 14 och 15 §§ säkerhetsskyddslagen (2018:585) gäller inte överlåtelser 1. som för att genomföras kräver tillstånd enligt lagen (1992:1300) om krigsmateriel eller lagen (2000:1064) om kontroll av produkter med dubbla användningsområden och av tekniskt bistånd, 2. mellan två myndigheter 2. mellan två myndigheter inom Försvarsmaktens inom Försvarsmaktens tillsynsområde eller vid tillsynsområde eller vid samverkan på samverkan på utrikes försvarsunderrättelseområdet , underrättelseområdet , 3. av tillstånd eller del av tillstånd att använda radiosändare som kräver ett medgivande enligt 3 kap. 25 § lagen (2022:482) om elektronisk kommunikation, eller 4. till en tillsynsmyndighet.

1 Senaste lydelse 2022:523.

146

Författningsförslag

8 kap.

1 § 2

Nuvarande lydelse

Följande myndigheter är tillsynsmyndigheter enligt säkerhetsskyddslagen (2018:585) och denna förordning för angivna tillsynsområden. Tillsynsmyndighet Tillsynsområde Försvarsmakten Fortifikationsverket, Försvarshögskolan och de myndigheter som hör till Försvarsdepartementet Säkerhetspolisen Affärsverket svenska kraftnät, Boverket, Domarnämnden, domstolarna som inte hör till Försvarsdepartementet, Domstolsverket, Ehälsomyndigheten, Ekobrottsmyndigheten, Finansinspektionen, Folkhälsomyndigheten, Fondtorgsnämnden, Försäkringskassan, Inspektionen för strategiska produkter, Kriminalvården, Kommerskollegium, Lantmäteriet, Livsmedelsverket, Luftfartsverket, Läkemedelsverket, länsstyrelserna, Migrationsverket, Pensionsmyndigheten, Polismyndigheten, Post- och telestyrelsen, Riksarkivet, Riksgäldskontoret, Sjöfartsverket, Skatteverket,

2 Senaste lydelse 2025:740.

147

Författningsförslag

Socialstyrelsen, Statens energimyndighet, Statens fastighetsverk, Statens jordbruksverk, Statens servicecenter, Statens veterinärmedicinska anstalt, Strålsäkerhetsmyndigheten, Sveriges geologiska undersökning, Säkerhets- och integritetsskyddsnämnden, Tillväxtverket, Trafikverket, Transportstyrelsen, Tullverket, Utbetalningsmyndigheten, Valmyndigheten och Åklagarmyndigheten Affärsverket svenska kraftnät enskilda verksamhetsutövare inom områdena elförsörjning och dammanläggningar, med undantag för kärnteknisk verksamhet Transportstyrelsen enskilda verksamhetsutövare inom områdena vägtrafik, sjöfart, spårbunden trafik, civil luftfart, flygtrafiktjänster för civil luftfart och flygtrafikledningstjänst för militär luftfart Post- och telestyrelsen enskilda verksamhetsutövare inom områdena elektronisk kommunikation och posttjänst Försvarets materielverk enskilda verksamhetsutövare inom området försvarsmateriel Finansinspektionen enskilda verksamhetsutövare inom området finansiella företag samt för motsvarande utländska företag som är etablerade i Sverige Statens energimyndighet enskilda verksamhetsutövare inom områdena fjärrvärme-,

148

Författningsförslag

naturgas-, olje- och drivmedelsförsörjning Strålsäkerhetsmyndigheten enskilda verksamhetsutövare inom området kärnteknisk verksamhet Länsstyrelsen i Stockholms kommuner och regioner som län hör till Stockholms, Uppsala, Södermanlands, Västmanlands, Värmlands, Gotlands, Örebro, Dalarnas eller Gävleborgs län och statliga myndigheter, utom Säkerhetspolisen och Justitiekanslern, och enskilda verksamhetsutövare som har sitt säte i något av dessa län, om de inte hör till någon annan tillsynsmyndighets tillsynsområde Länsstyrelsen i Skåne län kommuner och regioner som hör till Kronobergs, Blekinge, Kalmar eller Skåne län och statliga myndigheter och enskilda verksamhetsutövare som har sitt säte i något av dessa län, om de inte hör till någon annan tillsynsmyndighets tillsynsområde Länsstyrelsen i Västra kommuner och regioner som Götalands län hör till Hallands, Jönköpings, Västra Götalands eller Östergötlands län och statliga myndigheter och enskilda verksamhetsutövare som har sitt säte i något av dessa län, om de inte hör till någon annan tillsynsmyndighets tillsynsområde Länsstyrelsen i Norrbottens kommuner och regioner som län hör till Västernorrlands,

149

Författningsförslag

Jämtlands, Västerbottens eller Norrbottens län och statliga myndigheter och enskilda verksamhetsutövare som har sitt säte i något av dessa län, om de inte hör till någon annan tillsynsmyndighets tillsynsområde En tillsynsmyndighet får utöva tillsyn hos en aktör som en verksamhetsutövare inom tillsynsmyndighetens tillsynsområde har ingått ett säkerhetsskyddsavtal med enligt 4 kap. 1 § säkerhetsskyddslagen (2018:585).

Föreslagen lydelse

Följande myndigheter är tillsynsmyndigheter enligt säkerhetsskyddslagen (2018:585) och denna förordning för angivna tillsynsområden. Tillsynsmyndighet Tillsynsområde Försvarsmakten Fortifikationsverket, Försvarshögskolan och de myndigheter som hör till Försvarsdepartementet Säkerhetspolisen Affärsverket svenska kraftnät, Boverket, Domarnämnden, domstolarna som inte hör till Försvarsdepartementet, Domstolsverket, E-hälsomyndigheten, Ekobrottsmyndigheten, Finansinspektionen, Folkhälsomyndigheten, Fondtorgsnämnden, Försäkringskassan, Inspektionen för strategiska produkter, Kriminalvården, Kommerskollegium, Lantmäteriet, Livsmedelsverket, Luftfartsverket, Läkemedelsverket, länsstyrelserna, Migrationsverket, Pensions-

150

Författningsförslag

myndigheten, Polismyndigheten, Post- och telestyrelsen, Riksarkivet, Riksgäldskontoret, Sjöfartsverket, Skatteverket, Socialstyrelsen, Statens energimyndighet, Statens fastighetsverk, Statens jordbruksverk, Statens servicecenter, Statens veterinärmedicinska anstalt, Strålsäkerhetsmyndigheten, Sveriges geologiska undersökning, Säkerhets- och integritetsskyddsnämnden, Tillväxtverket, Trafikverket, Transportstyrelsen, Tullverket, Utbetalningsmyndigheten, Valmyndigheten och Åklagarmyndigheten Affärsverket svenska kraftnät enskilda verksamhetsutövare inom områdena elförsörjning och dammanläggningar, med undantag för kärnteknisk verksamhet Transportstyrelsen enskilda verksamhetsutövare inom områdena vägtrafik, sjöfart, spårbunden trafik, civil luftfart, flygtrafiktjänster för civil luftfart och flygtrafikledningstjänst för militär luftfart Post- och telestyrelsen enskilda verksamhetsutövare inom områdena elektronisk kommunikation och posttjänst Försvarets materielverk enskilda verksamhetsutövare inom området försvarsmateriel Finansinspektionen enskilda verksamhetsutövare inom området finansiella företag samt för motsvarande utländska

151

Författningsförslag

företag som är etablerade i Sverige Statens energimyndighet enskilda verksamhetsutövare inom områdena fjärrvärme-, naturgas-, olje- och drivmedelsförsörjning Strålsäkerhetsmyndigheten enskilda verksamhetsutövare inom området kärnteknisk verksamhet Länsstyrelsen i Stockholms kommuner och regioner som län hör till Stockholms, Uppsala, Södermanlands, Västmanlands, Värmlands, Gotlands, Örebro, Dalarnas eller Gävleborgs län och statliga myndigheter, utom Säkerhetspolisen , Myndigheten för utrikes underrättelser och Justitiekanslern, och enskilda verksamhetsutövare som har sitt säte i något av dessa län, om de inte hör till någon annan tillsynsmyndighets tillsynsområde Länsstyrelsen i Skåne län kommuner och regioner som hör till Kronobergs, Blekinge, Kalmar eller Skåne län och statliga myndigheter och enskilda verksamhetsutövare som har sitt säte i något av dessa län, om de inte hör till någon annan tillsynsmyndighets tillsynsområde Länsstyrelsen i Västra kommuner och regioner som Götalands län hör till Hallands, Jönköpings, Västra Götalands eller Östergötlands län och statliga myndigheter och enskilda verksamhetsutövare som har sitt säte i något av dessa län, om de

152

Författningsförslag

inte hör till någon annan tillsynsmyndighets tillsynsområde Länsstyrelsen i Norrbottens kommuner och regioner som län hör till Västernorrlands, Jämtlands, Västerbottens eller Norrbottens län och statliga myndigheter och enskilda verksamhetsutövare som har sitt säte i något av dessa län, om de inte hör till någon annan tillsynsmyndighets tillsynsområde En tillsynsmyndighet får utöva tillsyn hos en aktör som en verksamhetsutövare inom tillsynsmyndighetens tillsynsområde har ingått ett säkerhetsskyddsavtal med enligt 4 kap. 1 § säkerhetsskyddslagen (2018:585).

Denna förordning träder i kraft den 1 januari 2027.

Nuvarande lydelse Bilaga Följande statliga myndigheter beslutar om placering i säkerhetsklass i enlighet med 5 kap. 8 §: – Affärsverket svenska kraftnät – Allmänna domstolarna – Allmänna förvaltningsdomstolarna – Arbetsdomstolen – Arbetsförmedlingen – Arbetsgivarverket – Arbetsmiljöverket – Bolagsverket – Boverket – Brottsförebyggande rådet – Centrala studiestödsnämnden – Domarnämnden – Domstolsverket – E-hälsomyndigheten – Ekobrottsmyndigheten

153

Författningsförslag

– Elsäkerhetsverket – Energimarknadsinspektionen – Exportkreditnämnden – Finansinspektionen – Folke Bernadotteakademin – Folkhälsomyndigheten – Fortifikationsverket – Försvarets materielverk – Försvarets radioanstalt – Försvarshögskolan – Försvarsmakten – Försvarsunderrättelsedomstolen – Försäkringskassan – Granskningsnämnden för försvarsuppfinningar – Göteborgs universitet – Havs- och vattenmyndigheten – Hyres- och arrendenämnderna – Inspektionen för strategiska produkter – Inspektionen för vård och omsorg – Institutet för rymdfysik – Integritetsskyddsmyndigheten – Justitiekanslern – Kammarkollegiet – Karolinska institutet – Kemikalieinspektionen – Kommerskollegium – Konkurrensverket – Kriminalvården – Kronofogdemyndigheten – Kungl. Tekniska högskolan – Kustbevakningen – Lantmäteriet – Linköpings universitet – Livsmedelsverket – Luftfartsverket – Luleå tekniska universitet – Lunds universitet – Läkemedelsverket – Länsstyrelserna

154

Författningsförslag

– Migrationsverket – Myndigheten för civilt försvar – Myndigheten för digital förvaltning – Myndigheten för psykologiskt försvar – Myndigheten för tillväxtpolitiska utvärderingar och analyser – Myndigheten för totalförsvarsanalys – Mälardalens universitet – Naturvårdsverket – Patent- och registreringsverket – Pensionsmyndigheten – Polarforskningssekretariatet – Polismyndigheten – Post- och telestyrelsen – Regeringskansliet – Riksantikvarieämbetet – Riksarkivet – Riksgäldskontoret – Rymdstyrelsen – Rättshjälpsmyndigheten – Sjöfartsverket – Skatteverket – Socialstyrelsen – Statens energimyndighet – Statens fastighetsverk – Statens haverikommission – Statens inspektion för försvarsunderrättelseverksamheten – Statens jordbruksverk – Statens servicecenter – Statens skolverk – Statens tjänstepensionsverk – Statens veterinärmedicinska anstalt – Statens överklagandenämnd – Statistiska centralbyrån – Statskontoret – Stockholms universitet – Strålsäkerhetsmyndigheten – Styrelsen för internationellt utvecklingssamarbete – Svenska institutet – Sveriges geologiska undersökning

155

Författningsförslag

– Sveriges lantbruksuniversitet – Sveriges meteorologiska och hydrologiska institut – Säkerhets- och integritetsskyddsnämnden – Säkerhetspolisen – Tillväxtverket – Totalförsvarets forskningsinstitut – Totalförsvarets plikt- och prövningsverk – Trafikverket – Transportstyrelsen – Tullverket – Umeå universitet – Uppsala universitet – Utbetalningsmyndigheten – Valmyndigheten – Verket för innovationssystem – Vetenskapsrådet – Åklagarmyndigheten.

Föreslagen lydelse 3 Bilaga Följande statliga myndigheter beslutar om placering i säkerhetsklass i enlighet med 5 kap. 8 §: – Affärsverket svenska kraftnät – Allmänna domstolarna – Allmänna förvaltningsdomstolarna – Arbetsdomstolen – Arbetsförmedlingen – Arbetsgivarverket – Arbetsmiljöverket – Bolagsverket – Boverket – Brottsförebyggande rådet – Centrala studiestödsnämnden – Domarnämnden – Domstolen för utrikes underrättelseverksamhet – Domstolsverket – E-hälsomyndigheten – Ekobrottsmyndigheten

3 Senaste lydelse 2025:1231.

156

Författningsförslag

– Elsäkerhetsverket – Energimarknadsinspektionen – Exportkreditnämnden – Finansinspektionen – Folke Bernadotteakademin – Folkhälsomyndigheten – Fortifikationsverket – Försvarets materielverk – Försvarets radioanstalt – Försvarshögskolan – Försvarsmakten – Försäkringskassan – Granskningsnämnden för försvarsuppfinningar – Göteborgs universitet – Havs- och vattenmyndigheten – Hyres- och arrendenämnderna – Inspektionen för strategiska produkter – Inspektionen för vård och omsorg – Institutet för rymdfysik – Integritetsskyddsmyndigheten – Justitiekanslern – Kammarkollegiet – Karolinska institutet – Kemikalieinspektionen – Kommerskollegium – Konkurrensverket – Kriminalvården – Kronofogdemyndigheten – Kungl. Tekniska högskolan – Kustbevakningen – Lantmäteriet – Linköpings universitet – Livsmedelsverket – Luftfartsverket – Luleå tekniska universitet – Lunds universitet – Läkemedelsverket – Länsstyrelserna – Migrationsverket

157

Författningsförslag

– Myndigheten för civilt försvar – Myndigheten för digital förvaltning – Myndigheten för psykologiskt försvar – Myndigheten för tillväxtpolitiska utvärderingar och analyser – Myndigheten för totalförsvarsanalys – – Mälardalens universitet – Naturvårdsverket – Patent- och registreringsverket – Pensionsmyndigheten – Polarforskningssekretariatet – Polismyndigheten – Post- och telestyrelsen – Regeringskansliet – Riksantikvarieämbetet – Riksarkivet – Riksgäldskontoret – Rymdstyrelsen – Rättshjälpsmyndigheten – Sjöfartsverket – Skatteverket – Socialstyrelsen – Statens energimyndighet – Statens fastighetsverk – Statens haverikommission – Statens inspektion för utrikes underrättelseverksamheten – Statens jordbruksverk – Statens servicecenter – Statens skolverk – Statens tjänstepensionsverk – Statens veterinärmedicinska anstalt – Statens överklagandenämnd – Statistiska centralbyrån – Statskontoret – Stockholms universitet – Strålsäkerhetsmyndigheten – Styrelsen för internationellt utvecklingssamarbete – Svenska institutet – Sveriges geologiska undersökning

158

Författningsförslag

– Sveriges lantbruksuniversitet – Sveriges meteorologiska och hydrologiska institut – Säkerhets- och integritetsskyddsnämnden – Säkerhetspolisen – Tillväxtverket – Totalförsvarets forskningsinstitut – Totalförsvarets plikt- och prövningsverk – Trafikverket – Transportstyrelsen – Tullverket – Umeå universitet – Uppsala universitet – Utbetalningsmyndigheten – Valmyndigheten – Verket för innovationssystem – Vetenskapsrådet – Åklagarmyndigheten.

159

Författningsförslag

1.44 Förslag till förordning om ändring i förordningen (2021:1207) om behandling av personuppgifter vid Försvarsmakten

Härigenom föreskrivs att 3 kap. 1, 2 11 – 12 §§, 4 kap. 3 § och rubrikerna närmast före 3 kap. 1 och 11 §§ ska ha följande lydelse.

3 kap.

1 §

2 §

2. uppgifter om de 2. uppgifter om de

omständigheter och händelser omständigheter och händelser

som ger anledning att anta att den som ger anledning att anta att

registrerade har betydelse för den registrerade har betydelse

försvarsunderrättelseverksamheten , för utrikes

Författningsförslag

3. upplysningar om varifrån uppgiften kommer och om en uppgiftslämnares trovärdighet. Om de personuppgifter som finns i rapportunderlag och underrättelserapporter inte längre behövs för de ändamål för vilka de behandlas, ska personuppgifterna bevaras för arkivändamål av allmänt intresse eller för vetenskapliga, statistiska eller historiska ändamål.

Försvarsunderrättelseverksamhet Utrikes underrättelseverksamhet

11 § 1 Regeringskansliet, Nationella Regeringskansliet, Nationella operativa avdelningen i operativa avdelningen i Polismyndigheten, Polismyndigheten, Kustbevakningen, Myndigheten Kustbevakningen, Myndigheten för civilt försvar, Inspektionen för civilt försvar, Inspektionen för strategiska produkter, för strategiska produkter, Försvarets materielverk, Försvarets materielverk, Totalförsvarets Totalförsvarets forskningsinstitut och forskningsinstitut och Tullverket får medges Tullverket får medges direktåtkomst till direktåtkomst till personuppgifter som utgör personuppgifter som utgör bearbetningsunderlag och bearbetningsunderlag och analysresultat och som finns i en analysresultat och som finns i en uppgiftssamling för uppgiftssamling för utrikes försvarsunderrättelseverksamhet . underrättelseverksamhet . Vid sådan direktåtkomst har myndigheterna rätt att ta del av de personuppgifter som omfattas av åtkomsten.

12 § Om det behövs för Om det behövs för samarbetet mot terrorism eller samarbetet mot terrorism eller vid svenskt deltagande i annat vid svenskt deltagande i annat internationellt underrättelse- internationellt underrättelseoch säkerhetssamarbete får en och säkerhetssamarbete får en utländsk underrättelse- eller utländsk underrättelse- eller säkerhetstjänst medges säkerhetstjänst medges

1 Senaste lydelse 2025:1158.

161

Författningsförslag

direktåtkomst till direktåtkomst till personuppgifter som behandlas personuppgifter som behandlas enligt 2 kap. 3 § lagen enligt 2 kap. 3 § lagen (2021:1171) om behandling av (2021:1171) om behandling av personuppgifter vid personuppgifter vid Försvarsmakten och som finns i Försvarsmakten och som finns i en uppgiftssamling för en uppgiftssamling för utrikes försvarsunderrättelseverksamhet underrättelseverksamhet som som Försvarsmakten har Försvarsmakten har upprättat i upprättat i syfte att ge syfte att ge mottagaren tillgång mottagaren tillgång till till uppgifterna. uppgifterna. Försvarsmakten ska underrätta Regeringskansliet (Försvarsdepartementet) innan direktåtkomst medges en utländsk underrättelse- eller säkerhetstjänst.

13 § 2 Säkerhetspolisen, Nationella Säkerhetspolisen, Nationella operativa avdelningen i operativa avdelningen i Polismyndigheten, Polismyndigheten, Myndigheten Myndigheten för civilt försvar, för utrikes underrättelser, Kustbevakningen, Myndigheten för civilt försvar, Migrationsverket, Försvarets Kustbevakningen, materielverk, Försvarets Migrationsverket, Försvarets radioanstalt, Totalförsvarets materielverk, Försvarets forskningsinstitut, radioanstalt, Totalförsvarets Totalförsvarets plikt- och forskningsinstitut, prövningsverk och Totalförsvarets plikt- och Fortifikationsverket får medges prövningsverk och direktåtkomst till Fortifikationsverket får medges personuppgifter som behandlas direktåtkomst till med stöd av 2 kap. 6 § 1 och 2 personuppgifter som behandlas lagen (2021:1171) om med stöd av 2 kap. 6 § 1 och 2 behandling av personuppgifter lagen (2021:1171) om vid Försvarsmakten och som behandling av personuppgifter finns i en uppgiftssamling för vid Försvarsmakten och som säkerhetsunderrättelsetjänst. finns i en uppgiftssamling för säkerhetsunderrättelsetjänst.

2 Senaste lydelse 2025:1158.

162

Författningsförslag

Vid sådan direktåtkomst har myndigheterna rätt att ta del av de personuppgifter som omfattas av åtkomsten.

4 kap.

3 § Försvarsmakten ska föra Försvarsmakten ska föra loggar i myndighetens loggar i myndighetens informationssystem som informationssystem som innehåller uppgiftssamlingar för innehåller uppgiftssamlingar för försvarsunderrättelseverksamhet utrikes underrättelseverksamhet och militär säkerhetstjänst. Av och militär säkerhetstjänst. Av loggarna ska, så långt det är loggarna ska, så långt det är möjligt, framgå vem som har möjligt, framgå vem som har läst, skapat, ändrat eller raderat läst, skapat, ändrat eller raderat personuppgifter i en personuppgifter i en uppgiftssamling samt uppgiftssamling samt tidpunkten för åtgärden. tidpunkten för åtgärden.

Denna förordning träder i kraft den 1 januari 2027.

163

Författningsförslag

1.45 Förslag till förordning om ändring i förordningen (2021:1208) om behandling av personuppgifter vid Försvarets radioanstalt

Härigenom föreskrivs i fråga om förordningen (2021:1208) om behandling av personuppgifter vid Försvarets radioanstalt 1 dels att rubriken närmast före 3 kap. 1 § ska lyda ” Utrikes underrättelse- , utvecklings, och övningsverksamhet”, dels att 3 kap. 10 § och 4 kap. 3 § och rubriken närmast före 3 kap. 10 §ska ha följande lydelse.

3 kap.

10 §

Vid sådan direktåtkomst har myndigheterna rätt att ta del av de

personuppgifter som omfattas av åtkomsten.

Föreslagen lydelse av rubriken närmast före 3 kap. 1 § enligt SOU 2024:59. 2 Senaste lydelse 2025:1159.

164

Författningsförslag

11 § Säkerhetspolisen och Myndigheten för utrikes Försvarsmakten får medges underrättelser, Säkerhetspolisen direktåtkomst till person- och Försvarsmakten får medges uppgifter som utgör analys- direktåtkomst till personresultat och som behandlas i en uppgifter som utgör analysuppgiftssamling för resultat och som behandlas i en informationssäkerhetsverksam- uppgiftssamling för het. informationssäkerhetsverksamhet. Vid sådan direktåtkomst har Vid sådan direktåtkomst har Säkerhetspolisen och Försvars- Myndigheten för utrikes makten rätt att ta del av de underrättelser, Säkerhetspolisen personuppgifter som omfattas av och Försvarsmakten rätt att ta åtkomsten. del av de personuppgifter som omfattas av åtkomsten.

4 kap.

3 § Försvarets radioanstalt ska Försvarets radioanstalt ska föra loggar i myndighetens föra loggar i myndighetens informationssystem som informationssystem som innehåller uppgiftssamlingar för innehåller uppgiftssamlingar för försvarsunderrättelseverksamhet utrikes underrättelseverksamhet och och informationssäkerhetsverksamh informationssäkerhetsverksamh et. Av loggarna ska, så långt det et. Av loggarna ska, så långt det är möjligt, framgå vem som har är möjligt, framgå vem som har läst, skapat, ändrat eller raderat läst, skapat, ändrat eller raderat personuppgifter i en personuppgifter i en uppgiftssamling samt uppgiftssamling samt tidpunkten för åtgärden. tidpunkten för åtgärden.

Denna förordning träder i kraft den 1 januari 2027.

165

Författningsförslag

1.46 Förslag till förordning om ändring i förordningen (2022:511) om elektronisk kommunikation

Härigenom föreskrivs att 3 kap. 3 och 5 §§, 5 kap. 9 § och 8 kap. 2 § förordningen (2022:511) om elektronisk kommunikation ska ha följande lydelse.

3 kap.

3 §

Undantag enligt 3 kap. 10 § första stycket 3 lagen (2022:482) om

elektronisk kommunikation gäller för radioanvändning som behövs

för verksamhet som bedrivs i syfte att tillgodose allmän ordning,

säkerhet eller hälsa, om verksamheten bedrivs av

2. regeringen, Regeringskansliet och de myndigheter som anges i

bilaga 1 till förordningen (2022:524) om statliga myndigheters

beredskap, när det gäller fredstida krishantering,

3. en kommun eller region enligt lagen (2006:544) om

kommuners och regioners åtgärder inför och vid extraordinära

händelser i fredstid och höjd beredskap,

4. en kommun, en länsstyrelse, Sjöfartsverket eller

Transportstyrelsen, när det gäller räddningstjänst enligt lagen

(2003:778) om skydd mot olyckor,

5. den som äger eller utövar farlig verksamhet på en anläggning

och som enligt beslut av länsstyrelsen enligt 2 kap. 3 § förordningen

(2003:789) om skydd mot olyckor är skyldig att i skälig omfattning

hålla eller bekosta beredskap med personal och egendom och i övrigt

vidta nödvändiga åtgärder för att hindra eller begränsa allvarliga

skador på människor eller miljön,

Senaste lydelse 2025:1160.

166

Författningsförslag

6. Strålsäkerhetsmyndigheten, när det gäller rådgivning enligt förordningen (2003:789) om skydd mot olyckor, 7. en kommun eller region, när det gäller akutsjukvård och katastrofmedicinsk beredskap enligt hälso- och sjukvårdslagen (2017:30), 8. ett alarmeringsföretag i verksamhet där myndigheter bistås med stöd av lagen (1981:1104) om verksamheten hos vissa regionala alarmeringscentraler, 9. en koncessionshavare eller elleverantör enligt ellagen (1997:857), när det gäller verksamhet som är av omedelbar betydelse för att upprätthålla elöverföringen, och 10. den som enligt radio- och tv-lagen (2010:696) eller tillståndsvillkor som meddelats med stöd av den lagen är skyldig att kostnadsfritt sända meddelanden enligt lagen (2023:407) om viktigt meddelande till allmänheten eller, om en myndighet begär det, andra meddelanden som är av vikt för allmänheten.

5 § 2 Det är förbjudet att inneha elektriska eller elektroniska anläggningar som, utan att vara radioanläggningar, är avsedda att sända radiovågor i annat syfte än ett sådant som avses i 3 kap. 24 § första stycket lagen (2022:482) om elektronisk kommunikation. Förbudet gäller inte sådana anläggningar som 1. behövs i verksamhet som 1. behövs i verksamhet som bedrivs av Försvarets materiel- bedrivs av Försvarets materielverk, Försvarets radioanstalt verk, Försvarets radioanstalt , eller Försvarsmakten, Försvarsmakten eller Myndigheten för utrikes underrättelser , 2. Polismyndigheten behöver i sin bombskyddsverksamhet eller som en nationell resurs i sin verksamhet till skydd mot obemannade luftfartyg, 3. Post- och telestyrelsen eller Elsäkerhetsverket innehar i samband med utövande av marknadskontroll, eller 4. Myndigheten för civilt försvar förvarar, underhåller och transporterar i sin verksamhet inom ramen för Europeiska unionens civila krishantering.

2 Senaste lydelse 2025:1160.

167

Författningsförslag

Post- och telestyrelsen får efter ansökan av Kriminalvården besluta att förbudet inte ska gälla för en sådan anläggning som behövs i en anstalt eller ett häkte inom Kriminalvården för att hindra otillåten mobiltelefonkommunikation, om anläggningen kan användas utan att skadlig störning uppstår utanför anstalten eller häktet.

5 kap.

9 § Undantag från skyldigheten att ge tillträde enligt 5 kap. 44 § lagen (2022:482) om elektronisk kommunikation gäller för – Akademiska Hus AB, – Domstolen för utrikes underrättelseverksamhet , – Fortifikationsverket, – Försvarets materielverk, – Försvarets radioanstalt, – Försvarsmakten, – F örsvarsunderrättelsedomstolen ,

- Myndigheten för utrikes underrättelser. – Myndigheten för civilt försvar – Naturvårdsverket, – Polismyndigheten, – Specialfastigheter Sverige AB, – Statens Fastighetsverk, – Statens inspektion för – Statens inspektion för försvarsunderrättelseverksamheten , utrikes underrättelseverksamheten , – Säkerhetsfastigheter AB, – Säkerhets – och integritetsskyddsnämnden, – Säkerhetspolisen, - Totalförsvarets forskningsinstitut, och - Totalförsvarets plikt- och prövningsverk .

168

Författningsförslag

8 kap.

2 § 3 Post- och telestyrelsen ska i Post- och telestyrelsen ska i den utsträckning som behövs den utsträckning som behövs samråda och samarbeta med samråda och samarbeta med Finansinspektionen, Finansinspektionen, Försvarsmakten, Inspektionen Försvarsmakten, Inspektionen för vård och omsorg, för vård och omsorg, Integritetsskyddsmyndigheten, Integritetsskyddsmyndigheten, Livsmedelsverket, Myndigheten Livsmedelsverket, Myndigheten för civilt försvar, för civilt försvar, Polismyndigheten, Statens Polismyndigheten, Statens energimyndighet, energimyndighet, Säkerhetspolisen och Säkerhetspolisen , Transportstyrelsen i frågor som Transportstyrelsen och rör säkerheten i nät och tjänster. Myndigheten för utrikes underrättelser i frågor som rör säkerheten i nät och tjänster.

Denna förordning träder i kraft den 1 januari 2027.

3 Senaste lydelse 2025:1160.

169

Författningsförslag

1.47 Förslag till förordning om ändring i förordningen (2022:524) om statliga myndigheters beredskap

Härigenom föreskrivs att 3 och 27 §§ förordningen (2022:524) om statliga myndigheters beredskap ska ha följande lydelse.

3 §

För Regeringskansliet, kommittéväsendet och Försvarsmakten

gäller endast bestämmelsen i 13 § om

För Bokföringsnämnden och Finanspolitiska rådet gäller inte

bestämmelsen i 7 § om risk- och sårbarhetsanalys.

För Klimatpolitiska rådet gäller inte bestämmelserna i 7 § om

risk- och sårbarhetsanalys och 8 § om utbildning och övning.

För Säkerhetspolisen gäller inte bestämmelserna i 12 § andra

stycket, 22 § andra, tredje och femte styckena samt 22 a § om

informationsskyldighet, 14 § om it-incidentrapportering och 19 §

om risk- och sårbarhetsbedömning.

För Fortifikationsverket, För Myndigheten för utrikes

Försvarets materielverk, underrättelser,

Försvarets radioanstalt, Fortifikationsverket,

Statens inspektion för Försvarshögskolan, Domstolen

försvarsunderrättelseverksamheten , för utrikes

forskningsinstitut och Statens inspektion för utrikes

Totalförsvarets plikt- och underrättelseverksamheten ,

prövningsverk gäller inte Totalförsvarets

bestämmelserna i 12 § andra forskningsinstitut och

stycket om Totalförsvarets plikt- och

informationsskyldighet, 14 § om prövningsverk gäller inte

it-incidentrapportering och 17 § bestämmelserna i 12 § andra

Senaste lydelse 2026:8.

170

Författningsförslag

om risk- och informationsskyldighet, 14 § sårbarhetsbedömning. om it-incidentrapportering och 17 § om risk- och sårbarhetsbedömning. För utlandsmyndigheterna tillämpas denna förordning endast i den utsträckning som bestäms i föreskrifter som meddelas av Regeringskansliet (Utrikesdepartementet).

27 § 2 Myndigheten för civilt försvar får meddela närmare föreskrifter om 1. risk- och sårbarhetsanalyser enligt 7 § och risk- och sårbarhetsbedömningar enligt 17 och 19 §§, 2. it-incidentrapportering enligt 14 § efter att ha gett Polismyndigheten, Säkerhetspolisen och Försvarsmakten tillfälle att yttra sig, 3. beredskapsmyndigheternas informationsskyldighet enligt 22 § andra stycket, 4. uppgifter inför höjd 4. uppgifter inför höjd beredskap enligt 10 och 11 §§ beredskap enligt 10 och 11 §§ utom i fråga om Kustbevak- utom i fråga om Myndigheten för ningen, Försvarets materielverk, utrikes underrättelser, Försvarets radioanstalt, Total- Kustbevakningen, Försvarets försvarets forskningsinstitut, materielverk, Försvarets radio- Fortifikationsverket och anstalt, Totalförsvarets forsk- Försvarshögskolan, och ningsinstitut, Fortifikationsverket och Försvarshögskolan, och 5. uppgifter inför och vid höjd beredskap enligt 20 § 10 och 11 samt 21 § utom i fråga om Kustbevakningen.

Denna förordning träder i kraft den 1 januari 2027.

2 Senaste lydelse 2025:1161.

171

Författningsförslag

1.48 Förslag till förordning om ändring i förordningen (2022:1768) med instruktion för Myndigheten för totalförsvarsanalys

Härigenom föreskrivs att 1 § förordningen (2022:1768) med instruktion för Myndigheten för totalförsvarsanalys ska ha följande lydelse.

1 §

Myndigheten för totalförsvarsanalys har till huvuduppgift att

följa upp, analysera och utvärdera verksamheten inom totalförsvaret

ur ett systemperspektiv och med tyngdpunkt på totalförsvarets

samlade funktionssätt. Resultatet av analyser, uppföljningar och

utvärderingar ska löpande redovisas till regeringen.

Myndigheten ska dock inte följa upp, analysera och utvärdera den

del av totalförsvaret som utgörs av

säkerhetsskyddslagen (2018:585) och säkerhetsskyddsförordningen

3. den verksamhet som Säkerhetspolisen bedriver,

4. den underrättelseverksamhet som Polismyndigheten bedriver,

5. den militära säkerhetstjänst som Försvarsmakten leder och

6. den verksamhet som regeringen och Regeringskansliet

Denna förordning träder i kraft den 1 januari 2027.

Författningsförslag

1.49 Förslag till förordning om ändring i förordningen (2023:624) om granskning av utländska direktinvesteringar

Härigenom föreskrivs att 5 och 7 §§ förordningen (2023:624) om granskning av utländska direktinvesteringar ska ha följande lydelse.

5 §

7 §

Senaste lydelse 2025:1166 2 Senaste lydelse 2025:1166

173

Författningsförslag

materielverk, Kommers- materielverk, Kommerskollegium, Myndigheten för kollegium, Myndigheten för civilt försvar och Säkerhets- civilt försvar , Säkerhetspolisen polisen. och Myndigheten för utrikes Inspektionen för strategiska underrättelser . produkter ska underrätta Inspektionen för strategiska Försvarsmakten och Säkerhets- produkter ska underrätta polisen om en investering som Försvarsmakten , Säkerhetsanmäls enligt lagen om polisen och Myndigheten för granskning av utländska utrikes underrättelser om en direktinvesteringar och i investering som anmäls enligt samband med underrättelsen lagen om granskning av lämna uppgifter som hör till utländska direktinvesteringar anmälan. Om granskning inleds och i samband med ska uppgifterna även lämnas till underrättelsen lämna uppgifter Försvarets materielverk, som hör till anmälan. Om Kommerskollegium och granskning inleds ska Myndigheten för civilt försvar. uppgifterna även lämnas till Försvarets materielverk, Kommerskollegium och Myndigheten för civilt försvar. Inspektionen för strategiska produkter ska på begäran av en myndighet som anges i första stycket även lämna en annan uppgift än som avses i andra stycket och som finns i ärendet. En sådan uppgift ska inte lämnas till Försvarets materielverk, Kommerskollegium och Myndigheten för civilt försvar om det finns en sekretessbestämmelse som är tillämplig på uppgiften och övervägande skäl talar för att det intresse som sekretessen ska skydda har företräde framför intresset av att uppgiften lämnas.

Denna förordning träder i kraft den 1 januari 2027.

174

Författningsförslag

1.50 Förslag till förordning om ändring i förordningen (2024:1230) med instruktion för Totalförsvarets forskningsinstitut

Härigenom föreskrivs att 5 § förordningen (2024:1230) med instruktion för Totalförsvarets forskningsinstitut ska ha följande lydelse.

5 §

Denna förordning träder i kraft den 1 januari 2027.

175

Författningsförslag

1.51 Förslag till förordning om ändring i förordningen (2024:1333) med instruktion för Försvarsmakten

Härigenom föreskrivs att 6, 33 och 35 §§ förordningen (2024:1333) med instruktion för Försvarsmakten ska ha följande lydelse.

6 §

33 §

35 §

I Högkvarteret ska det finnas en försvarsstab, en enhet för

ledning av operationer, en enhet för underrättelse- och

säkerhetstjänst, en chefsjurist, en personaldirektör, en

försvarsinspektör för hälsa och miljö, en flygsäkerhetsinspektör och

I säkerhetsinspektionen ska representanter för Försvarets

Försvarsunderrättelseverksamhet Utrikes

enligt lagen (2000:130) om underrättelseverksamhet enligt

försvarsunderrättelseverksamhet ska lagen (2000:130) om utrikes

Författningsförslag

bedrivas av enheten för underrättelseverksamhet ska underrättelse- och säkerhetstjänst. bedrivas av enheten för underrättelse- och säkerhetstjänst. Denna förordning träder i kraft den 1 januari 2027.

177

2 En ny myndighet med uppgift att bedriva utrikes underrättelseverksamhet

2.1 En ny myndighet ska inrättas

Den 26 oktober 2023 beslutade regeringen kommittédirektiv till utredningen om en översyn av underrättelseverksamheten (dir. 2023:150). Utredningen tog namnet Underrättelseutredningen och redovisade den 13 juni 2025 betänkandet En reformerad underrättelseverksamhet (SOU 2025:78). Utredningen lämnade ett antal förslag för en förändrad organisation av underrättelseverksamheten, bl.a. att en ny civil utrikes underrättelsetjänst ska inrättas. Regeringen beslutade den 23 oktober 2025 kommittédirektiven Inrättande av en civil utrikes underrättelsetjänst (dir. 2025:92). En särskild utredare fick då i uppdrag att förbereda och genomföra bildandet av en ny myndighet med uppgift att bedriva civil utrikes underrättelsetjänst. Myndigheten ska enligt uppdraget kunna inleda sin verksamhet den 1 januari 2027. I denna promemoria lämnas författningsförslag där uttrycket försvarsunderrättelseverksamhet ersätts av utrikes underrättelseverksamhet. Exempelvis föreslås att lagen (2000:130) om försvarsunderrättelseverksamhet ska betecknas lagen om utrikes underrättelseverksamhet. Sådan verksamhet kommer därför i det följande att benämnas utrikes underrättelseverksamhet. I promemorian lämnas även andra förslag till författningsändringar inför bildandet av den nya myndigheten.

179

En ny myndighet med uppgift att bedriva utrikes underrättelseverksamhet

2.2 s uppdrag

2.2.1 Myndigheten ska bedriva utrikes underrättelseverksamhet och överta uppgifter från Must

Huvuddragen i s uppdrag framgår av kommittédirektiven om inrättande av en civil utrikesunderrättelsetjänst. ska bedriva sin verksamhet enligt lagen om utrikes underrättelseverksamhet. Myndigheten ska genom inhämtning, bearbetning, analys och delgivning ge stöd till svensk utrikes-, säkerhets- och försvarspolitik samt i övrigt kartlägga yttre hot mot Sverige. Myndigheten för utrikes underrättelser ska överta vissa uppgifter och förmågor från nuvarande Militära underrättelse- och säkerhetstjänsten (Must). Must är en del av Försvarsmakten. En stor del av Försvarsmaktens uppdrag såvitt avser utrikes underrättelseverksamhet och delar av omvärldsbevakningsuppdraget ska inordnas i den nya myndigheten. ska överta de delar av uppdraget som omfattar säkerhetspolitiska frågor, partnersamarbeten med motsvarande utrikes underrättelsetjänster, inhämtningsförmågor som hanterar nationella behov och inhämtning via öppna och kommersiellt tillgängliga källor samt kontoret för särskild inhämtning. I förhållande till den verksamhet som för närvarande bedrivs av Must ska den nya myndigheten även utveckla och ansvara för ett antal nya uppgifter. ska ha i uppgift att, med en kvalificerad förmåga, inhämta information från öppna och kommersiellt tillgängliga källor inklusive förmåga att genomföra myndighetsgemensamma upphandlingar av kommersiellt tillgängliga data och förmågor. Myndigheten för utrikes underrättelser ska vidare i samverkan med Regeringskansliet, Säkerhetspolisen, Försvarsmakten, Försvarets radioanstalt, Totalförsvarets forskningsinstitut och Försvarets materielverk ha en central roll och delta i arbetet med att bygga en gemensam digital förmåga för underrättelseverksamheten. Dessutom ska bidra till att samlade nationella underrättelsebedömningar tas fram i viktigare frågor med

180

En ny myndighet med uppgift att bedriva utrikes underrättelseverksamhet

bäring på svenska säkerhetspolitiska ställningstaganden, och ha ett samordningsansvar för underrättelse- och säkerhetstjänsternas utlandsnärvaro. Försvarsmakten ska fortsatt bedriva militär underrättelseverksamhet som omfattar militärstrategisk, operativ, taktisk och militärteknisk verksamhet. Försvarsmakten ska fortsatt bedriva utrikes underrättelseverksamhet enligt lagen om utrikes underrättelseverksamhet.

2.2.2 Utrikes underrättelseverksamhet

Utrikes underrättelseverksamhet får endast avse utländska förhållanden. Regeringen ansvarar för att bestämma inriktningen av underrättelseverksamheten. Inom ramen för denna inriktning får de myndigheter som regeringen bestämmer ange en närmare inriktning av verksamheten (1 § lagen om utrikes underrättelseverksamhet). Utrikes underrättelseverksamhet ska fullgöras genom inhämtning, bearbetning och analys av information samt rapportering till berörda myndigheter (2 § lagen om utrikes underrättelseverksamhet). Inhämtningen kan vara såväl teknisk som personbaserad. De myndigheter som bedriver utrikes underrättelseverksamhet får inte vidta åtgärder som syftar till att lösa uppgifter som enligt lagar eller andra föreskrifter ligger inom ramen för Polismyndighetens, Säkerhetspolisens och andra myndigheters brottsbekämpande och brottsförebyggande verksamheter (4 § första stycket lagen om utrikes underrättelseverksamhet). Om det inte finns hinder enligt andra bestämmelser, får utrikes underrättelsemyndigheterna emellertid lämna stöd till andra myndigheters brottsbekämpande och brottsförebyggande verksamhet (4 § andra stycket lagen om utrikes underrättelseverksamhet). De myndigheter som bedriver utrikes underrättelseverksamhet får etablera och upprätthålla samarbete i underrättelsefrågor med andra länder och internationella organisationer enligt regeringens närmare bestämmande. Samarbetet får ske bara under förutsättning att syftet är att tjäna den svenska statsledningen och det svenska totalförsvaret. De uppgifter som lämnas till andra länder och internationella organisationer får inte vara till skada för svenska

181

En ny myndighet med uppgift att bedriva utrikes underrättelseverksamhet

intressen (3 § lagen om utrikes underrättelseverksamhet och 3 § förordningen om utrikes underrättelseverksamhet). Att utrikes underrättelseverksamhet endast får avse utländska förhållanden innebär att utrikes underrättelseverksamhet typiskt sett ska inhämta, bearbeta, analysera och delge sådan information om företeelser och förhållanden i andra länder som ger svenska beslutsfattare ett förbättrat underlag för beslut och bedömningar i utrikes-, säkerhets- och försvarspolitiska frågor. Verksamheten kan under vissa förhållanden även avse företeelser inom landet, exempelvis om en organisation med verksamhet som utgör ett hot mot landet har sitt ursprung i ett annat land, men verkar genom representanter i Sverige eller genom att på annat sätt utnyttja resurser i Sverige. Det handlar då om att följa upp utländska förhållandens koppling till Sverige för att kunna bedöma hotbilden mot landet. Information som behandlas inom utrikes underrättelseverksamhet kan exempelvis avse pågående och tänkbara framtida konflikter, internationella terroristgrupper, cyberhot, massförstörelsevapen samt biografiska underrättelser som avser utländsk militär personal eller andra viktiga befattningshavare. Utrikes underrättelseverksamhet ska ta sikte på att inom ramen för gällande inriktningar från uppdragsgivare upptäcka på förhand okända företeelser och uppgifter av relevans för dessa. Det kan exempelvis röra sig om uppgifter om nya hot mot svenska säkerhetsintressen, samhällsviktiga funktioner, eller mot svensk hemlig information som inte får röjas för främmande makt. Verksamheten ska även innebära att kartlägga redan kända företeelser och följa förändringar i dessa för att tidigt få kunskap om aktörers nya ambitioner, avsikter och förmågor. Utrikes underrättelseverksamhet ska också vara ett centralt verktyg vid kartläggning i efterhand av händelser som oförutsett har inträffat, i syfte att finna förklaringar till det inträffade samt för att kartlägga eventuella ännu inte identifierade inslag i en inträffad händelse. Genom sådan uppföljning ska ytterligare underrättelseinformation kunna produceras som ger dels bättre förståelse för orsakerna bakom det inträffade, dels kompletterande information om inslag som ännu inte har identifierats, t.ex. kvarvarande oupptäckta hot.

182

3 Författningsändringar för den nya myndigheten

3.1 Uttrycket försvarsunderrättelseverksamhet ska bytas ut mot uttrycket utrikes underrättelseverksamhet

Förslag

Uttrycket försvarsunderrättelseverksamhet ska bytas ut mot uttrycket utrikes underrättelseverksamhet. Statens inspektion för försvarsunderrättelseverksamheten ska heta Statens inspektion för utrikes underrättelseverksamheten. Försvarsunderrättelsedomstolen ska heta Domstolen för utrikes underrättelseverksamhet. Med anledning av det nya uttrycket och de nya namnen på myndigheterna ska ändringar göras i ett större antal lagar och förordningar.

Skälen för förslagen

Försvarsunderrättelseverksamhet introducerades som ett nytt begrepp i samband med tillkomsten av lagen (2000:130) och förordningen (2000:131) om försvarsunderrättelseverksamhet. I förarbetena konstaterade regeringen att det i den militära underrättelseverksamheten ingår att medverka i internationellt säkerhetssamarbete och att stärka samhället vid svåra påfrestningar på samhället i fred. Enligt regeringen var det nödvändigt med ett begrepp för verksamheten som inte bara täcker underrättelse-

183

Författningsändringar för den nya myndigheten

verksamhet till stöd för det militära försvaret (jfr prop. 1999/2000:25 s. 7). Underrättelseutredningen föreslår i betänkandet En reformerad underrättelseverksamhet (SOU 2025:78) att uttrycket försvarsunderrättelseverksamhet ska ersättas med ”utrikes underrättelse verksamhet”. Som skäl anför utredningen för det första att prefixet ”försvars” riskerar att leda tankarna till en verksamhet som huvudsakligen är en angelägenhet för Försvarsdepartementet och dess underlydande myndigheter. Försvarsunderrättelseverksamhet bidrar dock till att stödja såväl militära som civila uppdragsgivare inom totalförsvaret, däribland Försvarsmakten, Säkerhetspolisen och Polismyndigheten. För det andra anför utredningen att benämningen av verksamheten blir tydligare om den pekar på syftet med verksamheten, nämligen att understödja landets yttre säkerhet. Utredningen anför slutligen att en tydligare åtskillnad mellan myndighetsansvaren för yttre säkerhet/utrikes förhållanden respektive inre säkerhet/inrikes förhållanden skulle anpassa benämningen av verksamheten till internationell norm. Det föreslås, i likhet med vad Underrättelseutredningen föreslår, att uttrycket försvarsunderrättelseverksamhet ska bytas ut mot uttrycket utrikes underrättelseverksamhet. Genom bytet tydliggörs att verksamheten syftar till att stödja såväl militära som civila uppdragsgivare samtidigt som den tydliga åtskillnaden mellan inre och yttre säkerhet bibehålls. Prefixet försvarsunderrättelse ingår också i myndigheterna Statens inspektion för försvarsunderrättelseverksamhets (Siun) och Försvarsunderrättelsedomstolens namn. Som en följd av förslaget om att byta ut uttrycket försvarsunderrättelseverksamhet mot utrikes underrättelseverksamhet bör även dessa myndigheter byta namn. Det föreslås att myndigheterna ska heta Statens inspektion för utrikes underrättelseverksamheten och Domstolen för utrikes underrättelseverksamhet. Förslagen om ett nytt uttryck och nya namn på myndigheterna innebär ändringar i lagen om försvarsunderrättelseverksamhet, lagen (2006:939) om kvalificerade skyddsidentiteter, lagen (2008:717) om signalspaning i försvarsunderrättelseverksamhet, offentlighets- och sekretesslagen (2009:400), lagen (2009:966) om Försvarsunderrättelsedomstol, lagen (2019:547) om förbud mot användning av vissa uppgifter för att utreda brott, lagen (2019:1182) om

184

Författningsändringar för den nya myndigheten

Säkerhetspolisens behandling av personuppgifter, lagen (2021:1171) om behandling av personuppgifter vid Försvarsmakten, lagen (2021:1172) om behandling av personuppgifter vid Försvarets radioanstalt och lagen om (2022:482) om elektronisk kommunikation. Ändringar behöver därutöver ske i ett flertal förordningar. Avslutningsvis kan konstateras att regeringen den 5 februari 2026 har beslutat lagrådsremissen Signalspaning i försvarsunderrättelseverksamhet – en modern och ändamålsenlig lagstiftning. Ändringar behöver ske i förhållande till de förslag som finns i lagrådsremissen.

3.2 Författningsändringar för den nya myndighetens verksamhet

3.2.1 Samma rättsliga ramverk som för Must

Förslag

ska få rättsliga förutsättningar för att bedriva utrikes underrättelseverksamhet som är jämförbara med vad Försvarsmakten hittills har haft för sin utrikes underrättelseverksamhet. Därmed ska ändringar göras i ett större antal författningar.

Skälen för förslaget

ska bedriva utrikes underrättelseverksamhet och ta över vissa uppgifter och förmågor från nuvarande Must. Det rättsliga ramverket bör vara i huvudsak detsamma för den nya myndigheten som för Must. Myndigheten för utrikes underrättelser bör därför i relevanta delar ges motsvarande rättsliga förutsättningar som Försvarsmakten. För att uppnå detta krävs ett antal författningsändringar där Myndigheten för utrikes underrättelser anges vid sidan av Försvarsmakten. Sådana ändringar krävs i lagen (1992:860) om kontroll av narkotika, lagen (1994:260) om offentlig anställning, offentlighets- och sekretesslagen (2009:400), skyddslagen (2010:305), plan- och bygglagen

185

Författningsändringar för den nya myndigheten

(2010:900), lagen (2010:1011) om brandfarliga och explosiva varor, lagen (2011:846) om miljökrav vid upphandling av bilar och vissa tjänster inom vägtransportområdet, lagen (2011:1029) om upphandling på försvars- och säkerhetsområdet, lagen (2013:315) om intelligenta transportsystem vid vägtransporter, lagen (2016:534) om åtgärder för utbyggnad av bredbandsnät, strålskyddslagen (2018:396), lagen om (2022:482) om elektronisk kommunikation och vapenlagen (2026:000). Ett flertal förordningar måste också ändras. Vid sidan av detta har Myndigheten för utrikes underrättelser ytterligare behov av författningsändringar kopplat till bl.a. kvalificerade skyddsidentiteter. Frågor om signalspaning, skyddsobjekt, kvalificerade skyddsidentiteter, sekretess, fiktiva fordonsuppgifter, säkerhetsskydd och flygpassageraruppgifter i brottsbekämpningen behandlas i avsnitt 3.2.2 – 3.2.9. Frågor som rör personuppgiftsreglering för den nya myndigheten behandlas i kapitel 4 – 11.

3.2.2 Myndigheten ska få inrikta signalspaning

Förslag

ska få inrikta signalspaning i utrikes underrättelseverksamhet.

Skälen för förslaget

Regeringen bestämmer inriktningen för utrikes underrättelseverksamheten. Inom ramen för den inriktningen får de myndigheter som regeringen bestämmer ange närmare inriktning av verksamheten (1 § andra stycket lagen [2000:130] om utrikes underrättelseverksamhet). Signalspaning i utrikes underrättelseverksamhet får dock endast ske i de fall regeringen, Regeringskansliet, Försvarsmakten, Säkerhetspolisen och Nationella operativa avdelningen i Polismyndigheten närmare har bestämt inriktningen av signalspaningen. I fråga om Försvarets

186

Författningsändringar för den nya myndigheten

radioanstalts utvecklingsverksamhet och internationella samarbete är det endast regeringen som får inrikta signalspaningen (1 § första stycket och 4 § första och andra styckena lagen [2008:717] om signalspaning i utrikes underrättelseverksamhet [signalspaningslagen]). Signalspaning i utrikes underrättelseverksamhet är en särskild metod för inhämtning som bedrivs av Försvarets radioanstalt. Det är fråga om en verksamhet som är mycket känslig och som omgärdas av stark sekretess. Det är vidare en inhämtningsmetod som medför intrång i den personliga integriteten. Ju fler inriktande myndigheter, desto större spridning riskerar inhämtade uppgifter att få. Detta gäller såväl för uppgifter som har bäring på Sveriges säkerhet, som för uppgifter som rör den personliga integriteten. Därtill är Försvarets radioanstalts signalspaningsverksamhet en begränsad resurs. Med fler inriktande myndigheter kan Försvarets radioanstalt behöva göra prioriteringar mellan olika uppdrag och uppdragsgivare, i en än högre utsträckning än vad som redan sker. En konsekvens som kan följa på fler inriktande myndigheter är olika former av undanträngningseffekter som kan komma att drabba de i dag inriktande myndigheterna negativt. ska bedriva sin verksamhet enligt lagen om utrikes underrättelseverksamhet. Myndigheten ska genom inhämtning, bearbetning, analys och delgivning ge stöd till svensk utrikes-, säkerhets- och försvarspolitik samt i övrigt kartlägga yttre hot mot Sverige. Den nya myndigheten ska överta vissa uppgifter och förmågor från Must. En stor del av Försvarsmaktens utrikes underrättelseuppdrag och delar av omvärldsbevakningsuppdraget ska inordnas i den nya myndigheten. För att den nya myndigheten ska kunna bedriva sitt uppdrag på ett effektivt och ändamålsenligt sätt är det nödvändigt att den ges rätt att inrikta signalspaning i utrikes underrättelseverksamhet. Med en ny inriktande myndighet finns det risk för undanträngningseffekter i förhållande till de myndigheter som i dag har rätt att inrikta signalspaning. Risken för sådana undanträngningseffekter har Försvarets radioanstalt, Försvarsmakten och Säkerhetspolisen påtalat i remissvar på förslaget om att Inspektionen för strategiska produkter ska ges sådan inriktningsrätt i betänkandet Signalspaning i försvarsunderrättelseverksamhet – en moden och ändamålsenlig lagstiftning (SOU 2024:59). Med hänsyn

187

Författningsändringar för den nya myndigheten

till att ska överta viss verksamhet från Försvarsmakten bedöms undanträngningseffekten ändå vara begränsad.

3.2.3 Myndighetens byggnader ska kunna vara skyddsobjekt

Förslag

Det ska vara möjligt att fatta beslut om skyddsobjekt i fråga om byggnader, andra anläggningar och områden som staten har äganderätt eller nyttjanderätt till och som disponeras av samt i fråga om områden där tillfälligt bedriver övningar, prov eller försök eller områden där oförutsedda följder av sådan verksamhet kan inträffa.

Skälen för förslaget

Skyddslagen (2010:305) ger rättsliga förutsättningar för ett förstärkt skydd för vissa byggnader, anläggningar, områden och andra objekt, i lagen kallade skyddsobjekt. Skyddsändamålen, de hot mot vilka förstärkt skydd ska kunna ges, är 1) sabotage, 2) terroristbrott enligt 4 § terroristbrottslagen (2022:666), 3) spioneri samt röjande i andra fall av hemliga uppgifter som rör totalförsvaret, och 4) grovt rån (1 §). Skyddslagen innehåller också bestämmelser om skydd för allmänheten mot skada som kan uppkomma till följd av militär verksamhet (2 §). För att tillgodose behovet av sådant skydd kan det med stöd av skyddslagen fattas beslut om skyddsobjekt (3 §). Ett beslut om skyddsobjekt innebär att obehöriga inte har tillträde till skyddsobjektet (7 § första stycket). Genom ett särskilt beslut får tillträdesförbudet förenas med ett förbud mot att göra avbildningar, beskrivningar eller mätningar av eller inom skyddsobjektet (7 § andra stycket). Om det bedöms vara tillräckligt för att tillgodose skyddsbehovet, kan tillträdesförbudet ersättas av ett avbild-

188

Författningsändringar för den nya myndigheten

ningsförbud eller av ett förbud mot att bada, dyka, ankra eller fiska (7 § tredje stycket). Beslut om skyddsobjekt fattas av regeringen eller den myndighet som regeringen bestämmer (18 § första stycket). Regeringen fattar beslut i frågor om skyddsobjekt när det gäller riksdagens eller regeringens byggnader, anläggningar eller områden. Säkerhetspolisen beslutar i frågor om skyddsobjekt när det gäller egendom som används som tjänstebostad för statsministern (3 § lagen [2014:514] om ansvar för vissa säkerhetsfrågor vid statsministerns tjänstebostäder). Genom skyddsförordningen (2010:523) har regeringen i övrigt delegerat beslutanderätten till Försvarsmakten och länsstyrelserna. Vilka byggnader, anläggningar, områden och objekt som kan beslutas som skyddsobjekt framgår av 4 och 5 §§ skyddslagen. I 4 § finns en uppräkning av möjliga skyddsobjekt med civil anknytning. I 5 § finns en uppräkning av möjliga skyddsobjekt med anknytning till Försvarsmakten, Försvarets materielverk, Försvarets radioanstalt eller Totalförsvarets forskningsinstitut. När det råder höjd beredskap, eller under annan tid som regeringen beslutar om med hänsyn till Sveriges försvarsberedskap, finns enligt 6 § skyddslagen även förutsättningar att besluta att som skyddsobjekt peka ut andra byggnader, anläggningar och områden än sådana som nämns i 4 och 5 §§, om de är av betydelse för totalförsvaret. Under samma förhållanden får lok och järnvägsvagnar beslutas vara skyddsobjekt. Ett beslut om skyddsobjekt får inte göras mer ingripande eller omfattande än vad som behövs för att tillgodose skyddsbehovet (18 § andra stycket). Det ska också eftersträvas att beslutet, så långt det är möjligt, inte kommer att medföra skada eller annan olägenhet för andra allmänna eller enskilda intressen (18 § tredje stycket). När en utvidgning av vad som kan beslutas vara ett skyddsobjekt övervägs måste det beaktas att en tillämpning av skyddslagens regler om tillträdesförbud kan innebära en inskränkning i den grundlagsfästa rörelsefriheten (2 kap. 8 § regeringsformen, förkortad RF). Det är en rättighet som också regleras i artikel 2 i tilläggsprotokoll 4 till den europeiska konventionen angående skydd för de mänskliga rättigheterna och de grundläggande friheterna (Europakonventionen). Rörelsefriheten får dock begränsas genom lag (2 kap. 20 § RF). Sådana begränsningar får göras endast för att tillgodose

189

Författningsändringar för den nya myndigheten

ändamål som är godtagbara i ett demokratiskt samhälle. Begränsningarna får aldrig gå utöver vad som är nödvändigt med hänsyn till det ändamål som har föranlett dem och inte heller sträcka sig så långt att de utgör ett hot mot den fria åsiktsbildningen såsom en av folkstyrelsens grundvalar. Rörelsefriheten får också enligt tilläggsprotokoll 4 till Europakonventionen inskränkas under förutsättning att inskränkningen anges i lag och är nödvändig i ett demokratiskt samhälle av hänsyn till bl.a. statens säkerhet eller den allmänna säkerheten. Inskränkningar kan även göras inom vissa bestämda områden om de anges i lag och är försvarliga med hänsyn till det allmännas intresse i ett demokratiskt samhälle. Som framgår ovan är syftet med skyddslagen att åstadkomma ett förstärkt skydd för vissa skyddsvärda byggnader, andra anläggningar, områden och objekt mot bl.a. sabotage och spioneri. De inskränkningar i rörelsefriheten som kan följa vid tillämpning av skyddslagen är motiverade med hänsyn till statens säkerhet och den allmänna säkerheten och är godtagbara i ett demokratiskt samhälle. Vid bedömningen av vad som kan vara ett möjligt skyddsobjekt bör man titta på verksamheten när det gäller hot och risker kopplade till lagens skyddsändamål. Det handlar då typiskt sett om hotets art och styrkan i hotet samt konsekvensbilden, dvs. de verkningar i ett enskilt fall på samhällets funktionalitet som ett angrepp skulle kunna leda till (propositionen Skyddslagen, prop. 2009/10:87 s. 32 – 33). Med anledning av den verksamhet som Myndigheten för utrikes underrättelser ska bedriva är det nödvändigt att byggnader, andra anläggningar och områden där myndigheten ska bedriva verksamhet kan förklaras vara skyddsobjekt. En sådan möjlighet finns i dag för byggnader, andra anläggningar och områden som disponeras av eller på annat sätt nyttjas av Försvarsmakten (Must). Det finns inte förutsättningar i 4 eller 5 §§ skyddslagen för att fatta beslut om skyddsobjekt avseende den nya myndigheten. För att myndigheten ska kunna få nödvändigt skydd för de byggnader m.m. där den ska bedriva sin verksamhet behöver skyddslagen därför ändras. Det finns, på motsvarande sätt som för Must, ett behov av att kunna besluta om skyddsobjekt i fråga om byggnader, andra anläggningar och områden som staten har äganderätt eller nyttjanderätt till och som disponeras av Myndigheten för utrikes underrättelser samt i fråga om områden där Myndigheten för utrikes

190

Författningsändringar för den nya myndigheten

underrättelser tillfälligt bedriver övningar, prov eller försök eller områden där oförutsedda följder av sådan verksamhet kan inträffa. Det bör därför vara möjligt att besluta om att sådana byggnader, andra anläggningar, områden och objekt ska vara skyddsobjekt. De inskränkningar i rörelsefriheten som kan följa vid tillämpning av den föreslagna utvidgningen av skyddslagen är motiverade med hänsyn till statens säkerhet och den allmänna säkerheten och är godtagbara i ett demokratiskt samhälle.

3.2.4 Myndigheten ska kunna besluta om kvalificerade skyddsidentiteter

Förslag

Ett beslut om kvalificerad skyddsidentitet ska få avse en person med uppgift att under ledning av Myndigheten för utrikes underrättelser delta i sådant inhämtande av underrättelser som sker med särskilda metoder i utrikes underrättelseverksamhet. Ett sådant beslut ska meddelas på ansökan av Myndigheten för utrikes underrättelser (ansökningsmyndigheten). Om den som skyddsidentiteten ska avse är anställd vid beslutsmyndigheten, ska ansökan göras av den enhet inom anställningsmyndigheten eller ansökningsmyndigheten där han eller hon är verksam (ansökningsenheten). Möjligheten att besluta om kvalificerad skyddsidentitet avseende en anställd vid Försvarsmakten ska tas bort.

Skälen för förslagen

ska ta över vissa uppgifter och förmågor från nuvarande Must och bedriva inhämtning med särskilda metoder i utrikes underrättelseverksamhet. Det bör därför vara möjligt att besluta om kvalificerad skyddsidentitet avseende en person knuten till enligt 2 § lagen (2006:939) om kvalificerade skyddsidentiteter. Det finns skäl att låta den möjligheten omfatta en person med uppgift att under

191

Författningsändringar för den nya myndigheten

ledning av delta i sådant inhämtande av underrättelser som sker med särskilda metoder i utrikes underrättelseverksamhet. Ett sådant beslut bör meddelas på ansökan av Myndigheten för utrikes underrättelser (ansökningsmyndigheten). Om den som skyddsidentiteten ska avse är anställd vid beslutsmyndigheten, bör ansökan i stället göras av den enhet inom ansökningsmyndigheten där han eller hon är verksam (ansökningsenheten). Det bör inte längre finnas möjlighet att fatta beslut om kvalificerad skyddsidentitet avseende en anställd vid Försvarsmakten i enlighet med vad som i dag anges i bestämmelsen.

3.2.5 Det ska vara möjligt för myndigheten att lämna vissa uppgifter till Inspektionen för strategiska produkter

Förslag

ska kunna lämna uppgifter som omfattas av sekretessen i det internationella samarbetet till granskningsmyndigheten enligt lagen om granskning av utländska direktinvesteringar om uppgiften behövs för att granskningsmyndigheten ska kunna fullgöra sitt uppdrag.

Skälen för förslaget

Lagen (2023:560) om granskning av utländska direktinvesteringar ger en granskningsmyndighet möjlighet att granska utländska direktinvesteringar och, om det är nödvändigt, förbjuda dem. Inspektionen för strategiska produkter är enligt förordningen (2023:624) om granskning av utländska direktinvesteringar granskningsmyndighet. I 15 kap. 1 a § offentlighets- och sekretesslagen regleras sekretess i det internationella samarbetet. Av första stycket framgår att sekretess gäller för uppgift som en myndighet har fått från ett utländskt organ på grund av en bindande EU-rättsakt eller ett av EU ingånget eller av riksdagen godkänt avtal med en annan stat eller med

192

Författningsändringar för den nya myndigheten

en mellanfolklig organisation, om det kan antas att Sveriges möjlighet att delta i det internationella samarbete som avses i rättsakten eller avtalet försämras om uppgiften röjs. Motsvarande sekretess gäller enligt andra stycket också för uppgift som en myndighet har inhämtat i syfte att överlämna den till ett utländskt organ i enlighet med en sådan rättsakt som avses i första stycket. I 15 kap. 3 b § finns en sekretessbrytande bestämmelse som gör det möjligt för Säkerhetspolisen eller Försvarsmakten att trots sekretessen enligt 1 a § lämna en sådan uppgift som avses i den bestämmelsen till granskningsmyndigheten om uppgiften behövs för att granskningsmyndigheten ska kunna fullgöra sitt uppdrag enligt lagen (2023:560) om granskning av utländska direktinvesteringar. En uppgift får lämnas endast om intresset av att uppgiften lämnas har företräde framför det intresse som sekretessen ska skydda. behöver ha möjlighet att, på motsvarande sätt som Försvarsmakten, kunna lämna sådana uppgifter till granskningsmyndigheten (se propositionen Ett granskningssystem för utländska direktinvesteringar till skydd för svenska säkerhetsintressen, prop. 2022/23:116 s. 149). bör därför läggas till i den sekretessbrytande bestämmelsen.

3.2.6 Sekretess till skydd för enskild i myndighetens verksamhet och undantag från viss registerskyldighet

Förslag

Sekretess ska gälla hos i dess underrättelse- och säkerhetsverksamhet för uppgift om en enskilds personliga eller ekonomiska förhållanden, om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider skada eller men. Myndigheten ska vid registrering av allmänna handlingar inte behöva utelämna eller särskilja uppgifter om handlingens avsändare eller mottagare, eller uppgift om vad handlingen rör så att registrets övriga delar ska kunna hållas tillgängligt för allmänheten avseende vissa diarier.

193

Författningsändringar för den nya myndigheten

Skälen för förslaget

Sekretess till skydd för enskild i myndighetens verksamhet

kommer, i likhet med Försvarsmakten, att behandla en stor mängd integritetskänsliga uppgifter som rör enskildas personliga och ekonomiska förhållanden. Det kan t.ex. handla om uppgifter om en persons politiska åsikter. Myndigheten kan även i sin verksamhet komma att behandla andra integritetskänsliga uppgifter, såsom uppgifter om lagöverträdelser eller uppgifter som på annat sätt gör en person sårbar ur säkerhetssynpunkt, t.ex. uppgifter om familjeförhållanden, ekonomisk situation eller sexuell läggning. Utan någon särskild sekretessreglering är allmänna handlingar offentliga. Rätten att ta del av allmänna handlingar får enligt 2 kap. 2 § tryckfrihetsförordningen bara begränsas om det krävs med hänsyn till vissa uppräknade intressen, varav ett är skyddet för enskildas personliga eller ekonomiska förhållanden. Uppgifter om enskildas personliga och ekonomiska förhållanden i Försvarsmaktens utrikes underrättelseverksamhet och militära säkerhetstjänst omfattas av sekretess enligt 38 kap. 4 § offentlighetsoch sekretesslagen (2009:400). Av den bestämmelsen framgår att sekretess gäller hos Försvarsmakten i utrikes underrättelseverksamheten och den militära säkerhetstjänsten samt hos Försvarets radioanstalt i underrättelse- och säkerhetsverksamheten för uppgift om en enskilds personliga eller ekonomiska förhållanden, om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider skada eller men. För uppgift i en allmän handling gäller sekretessen i högst sjuttio år. På motsvarande sätt som när det gäller Försvarsmaktens verksamhet är de uppgifter om enskilda som kan förekomma i s verksamhet av känslig karaktär. De uppgifter som myndigheten kommer behandla kommer också ofta att ha inhämtats utan den enskildes vetskap. Det talar för att enskildas integritetsskydd bör ges företräde framför insynsintresset beträffande de uppgifter som nu är i fråga. Det finns inte någon sekretessbestämmelse som kan tillämpas för sådana uppgifter i myndighetens verksamhet. Motsvarande sekretess som den som idag gäller för Försvarsmakten bör även gälla i Myndigheten för utrikes underrättelsers underrättelse- och säkerhetsverksamhet.

194

Författningsändringar för den nya myndigheten

Undantag från viss registerskyldighet

Av 5 kap. 1 och 2 §§ offentlighets- och sekretesslagen framgår att allmänna handlingar som huvudregel ska registreras och att sådana register ska innehålla vissa uppgifter. Av 5 kap. 2 § andra stycket framgår att uppgifter om handlingens avsändare eller mottagare, eller uppgift om vad handlingen rör ska utelämnas eller särskiljas från ett register om det behövs för att registret i övriga delar ska kunna hållas tillgängligt för allmänheten. Enligt 5 kap. 4 § får regeringen meddela föreskrifter om att 2 § andra stycket inte ska tillämpas på ett visst register, om en tillämpning av det stycket annars skulle omfatta flertalet av handlingarna i registret. Ett undantag från 5 kap. 2 § andra stycke innebär att myndigheten inte behöver ha dubbla register, ett öppet och ett hemligt. Eftersom det i diarier över inriktningar enligt lagen om utrikes underrättelseverksamhet och över underrättelser inom myndighetens verksamhet skulle behövas ett hemligt register avseende flertalet av handlingarna finns skäl att, på motsvarande sätt som för Försvarsmakten, meddela undantag från 5 kap. 2 § andra stycket offentlighets- och sekretesslagen.

3.2.7 Myndigheten ska kunna använda fiktiva fordonsuppgifter

Förslag

ska omfattas av lagen om fiktiva fordonsuppgifter som föreslås i SOU 2025:109.

Skälen för förslagen

I betänkandet Särskilda provokativa åtgärder (SOU 2025:109) lämnas förslag till en ny lag – lagen (2027:000) om fiktiva fordonsuppgifter. Med fiktiv fordonsuppgift avses en särskilt beslutad uppgift som innebär att ett fordon eller ägaren till ett fordon består av andra uppgifter än de verkliga och som förs in i bl.a. vägtrafikregistret. Ett beslut om fiktiv fordonsuppgift får enligt 2 §

195

Författningsändringar för den nya myndigheten

endast avse ett fordon som används i Polismyndighetens, Säkerhetspolisens eller Tullverkets verksamhet. Lagen föreslås träda i kraft den 1 mars 2027. Uppgifter om fordon ska som utgångspunkt registreras i vägtrafikregistret. I likhet med Polismyndigheten, Säkerhetspolisen och Tullverket har dock ett behov av att kunna arbeta obemärkt och dolt med hjälp av fordon som inte kan kopplas till den egna myndigheten. En sådan möjlighet ger myndigheten bättre förutsättningar att bedriva underrättelseinhämtning. Lagen om fiktiva fordonsuppgifter bör därför omfatta även den nya myndigheten. I denna promemoria lämnas ett alternativt förslag till 2 § som innebär att ett beslut om fiktiv fordonsuppgift även får avse ett fordon som används i verksamhet. I övrigt hänvisas till betänkandet.

3.2.8 Vissa frågor om säkerhetsskydd i myndighetens verksamhet

Förslag

ska inte vara föremål för tillsyn enligt säkerhetsskyddslagen. Myndigheten ska i viss omfattning kunna besluta om föreskrifter på säkerhetsskyddsområdet. Föreskriftsrätten ska endast omfatta myndighetens egen verksamhet.

Skälen för förslaget

Frågor om tillsyn på säkerhetsskyddsområdet regleras i 6 kap. säkerhetsskyddslagen (2018:585). Där anges att den myndighet som regeringen bestämmer ska vara tillsynsmyndighet, att tillsynsmyndigheten ska utöva tillsyn över att verksamhetsutövare följer lagen och de föreskrifter som har meddelats i anslutning till lagen och att tillsynsmyndigheten i det syftet även får utöva tillsyn hos de aktörer som verksamhetsutövare har ingått säkerhetsskyddsavtal

196

Författningsändringar för den nya myndigheten

med (1 §). Den som står under tillsyn ska på begäran tillhandahålla tillsynsmyndigheten den information som behövs för tillsynen (2 §). Tillsynsmyndigheten har i den omfattning det behövs rätt att få tillträde till bl.a. lokaler som används i verksamhet som omfattas av tillsyn (3 §). Vidare har tillsynsmyndigheten befogenhet att besluta om föreläggande, som får förenas med vite, och att begära handräckning (4 – 6 §§). I säkerhetsskyddsförordningen (2021:955) regleras vilka myndigheter som är tillsynsmyndigheter och vilket tillsynsområde dessa har. Försvarsmakten och Säkerhetspolisen är två utpekade tillsynsmyndigheter enligt förordningen som även har ett särskilt ansvar som samordningsmyndigheter. kommer att bedriva säkerhetskänslig verksamhet. Det är en självklar utgångspunkt att säkerhetsskyddsfrågor blir centrala i myndighetens verksamhet och att myndigheten måste ha hög kompetens i sådana frågor. Det är emellertid inte lämpligt att blir föremål för tillsyn av en utomstående aktör. En tillsynsmyndighet enligt säkerhetsskyddslagen har omfattande undersökningsbefogenheter och rätt till insyn. Myndigheten för utrikes underrättelser bör därför inte ingå i tillsynsområdet för någon tillsynsmyndighet. Säkerhetspolisen står inte under tillsyn och Försvarsmakten står inte under tillsyn av en utomstående aktör. Tillsyn över Försvarsmakten, däribland Must, utövas av den särskilda sektion inom Försvarsmakten som ansvarar för Försvarsmaktens tillsyn enligt säkerhetsskyddsförordningen. ska visserligen inte själv bedriva tillsyn av andra myndigheter men det förutsätts ändå, som redan berörts, att myndigheten lägger särskild vikt vid säkerhetsskyddsfrågor och har hög kompetens i dessa. Myndigheten måste också säkerställa att det finns ett välfungerande system för intern tillsyn vid myndigheten. Därmed föreslås att Myndigheten för utrikes underrättelser inte ingår i någon myndighets tillsynsområde. Det föreslås också ändringar i säkerhetsskyddsförordningen som ger föreskriftsrätt. Föreskriftsrätten bör omfatta vissa frågor om informationssäkerhet i myndighetens verksamhet.

197

Författningsändringar för den nya myndigheten

3.2.9 Myndigheten ska vara behörig att behandla PNRinformation

Förslag

ska vara behörig myndighet enligt lagen om flygpassageraruppgifter i brottsbekämpningen.

Skälen för förslaget

Den 27 april 2016 antog Europaparlamentet och rådet direktiv (EU) 2016/681 om användning av passageraruppgiftssamlingar (PNRuppgifter) för att förebygga, förhindra, upptäcka, utreda och lagföra terroristbrott och grov brottslighet (nedan kallat PNR-direktivet). PNR är en förkortning av den engelska benämningen Passenger Name Record. Det som åsyftas är uppgifter som passagerare lämnar vid bokning av flygresor samt vid incheckning. Uppgifterna kan till exempel avse namn, resedatum, resväg, bagageinformation och betalningssätt. Enligt PNR-direktivet ska lufttrafikföretag överföra vissa uppgifter om passagerare som reser med flyg till eller från EU. Lufttrafikföretagen behöver bara föra över uppgifter om sina passagerare som de samlar in för sina egna kommersiella syften. Uppgifterna ska överföras till den berörda medlemsstatens enhet för passagerarinformation, som i sin tur ska göra en bedömning av passagerare före deras beräknade ankomst till eller avresa från medlemsstaten. Syftet är att identifiera personer som kan vara inblandade i terroristbrott eller annan grov brottslighet och därför behöver utredas ytterligare av behöriga myndigheter. Efter denna förhandsbedömning lagras uppgifterna, så att de behöriga myndigheterna i den berörda medlemsstaten eller myndigheterna i en annan medlemsstat vid behov ska kunna göra en senare bedömning. Medlemsstaterna får besluta att tillämpa direktivet även på flygningar inom EU. PNR-direktivet har i huvudsak genomförts i svensk rätt genom lagen (2018:1180) om flygpassageraruppgifter i brottsbekämp-

198

Författningsändringar för den nya myndigheten

ningen. Lagen ska tillgodose behovet av tillgång till PNR-uppgifter i viss brottsbekämpande verksamhet och samtidigt skydda människor mot att deras personliga integritet kränks när uppgifterna behandlas. Enligt lagen ska det vid Polismyndigheten finnas en enhet för passagerarinformation som ska samla in PNR-uppgifter från lufttrafikföretag, bevara och i övrigt behandla uppgifterna samt överföra PNR-information till behöriga mottagare (1 kap. 4 §). Inför varje flygning som ankommer till eller avgår från Sverige, dvs. även flygningar inom EU, ska lufttrafikföretag överföra vissa PNRuppgifter till enheten (2 kap. 1 §). PNR-information får enligt lagen behandlas i syfte att förebygga, förhindra, upptäcka, utreda eller lagföra terroristbrottslighet eller annan allvarlig brottslighet (1 kap. 5 §). Enheten för passagerarinformation får även behandla PNRinformation när det är nödvändigt för att tillhandahålla uppgifter som behövs i verksamhet som rör nationell säkerhet (1 kap. 6 §). Den 21 juni 2022 meddelade EU-domstolen dom i mål C-817/19, som rör PNR-direktivet. EU-domstolens dom innehåller ett flertal uttalanden om hur PNR-direktivet ska tolkas. Regeringen har gett en särskild utredare i uppdrag att bl.a. analysera och ta ställning till vilka förändringar av den svenska regleringen i fråga om flygpassageraruppgifter i brottsbekämpningen som behöver göras med anledning av EU-domstolens praxis (dir. 2025:36). Av direktivets artikel 7.1 framgår att varje medlemsstat ska utse de myndigheter som ska vara behöriga att begära eller ta emot PNRinformation från enheten för passagerarinformation. I lagen definieras en behörig myndighet som en myndighet utsedd av regeringen som har behörighet att behandla PNR-information i verksamhet för att förebygga, förhindra, upptäcka, utreda eller lagföra terroristbrottslighet eller annan allvarlig brottslighet (1 kap. 3 §). Regeringen har utsett Polismyndigheten, Säkerhetspolisen, Ekobrottsmyndigheten, Tullverket och Försvarsmakten som behöriga myndigheter enligt lagen (3 § förordningen [2018:1181] om flygpassageraruppgifter i brottsbekämpningen). Behandling av PNR-uppgifter aktualiseras vid Försvarsmaktens utrikes underrättelsetjänst och deras militära säkerhetstjänst. kommer att ha i uppgift att bland annat följa upp säkerhetshotande verksamhet som i sig är brottslig, t.ex. terrorism, spionage och sabotage som är kopplad till individer som reser även om det inte är i brottsutredande syfte. Det

199

Författningsändringar för den nya myndigheten

är tillräckligt att en myndighet utför någon av de uppgifter som framkommer i definitionen. Myndigheten uppfyller därmed kravet som ställs i artikel 7.2 på att ha verksamhetsuppgifter kopplade till att förebygga, upptäcka och förhindra t.ex. terrorism och sabotageverksamhet. Myndigheten bör därför vara en behörig myndighet enligt lagen om flygpassageraruppgifter i brottsbekämpningen.

200

4 Det grundläggande skyddet för personuppgifter

4.1 Regeringsformen och Europakonventionen

Enligt regeringsformen är var och en skyddad gentemot det allmänna mot betydande intrång i den personliga integriteten, om det sker utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhållanden (2 kap. 6 § andra stycket RF). Skyddet får begränsas genom lag men endast för att tillgodose ändamål som är godtagbara i ett demokratiskt samhälle. En begränsning får inte gå utöver vad som är nödvändigt med hänsyn till det ändamål som har föranlett den och inte heller sträcka sig så långt att den utgör ett hot mot den fria åsiktsbildningen. Begränsningen får inte heller göras enbart på grund av politisk, religiös, kulturell eller annan sådan åskådning (2 kap. 20 och 21 §§ RF). Europakonventionen gäller som lag. Enligt artikel 8 i Europakonventionen har var och en rätt till skydd för sitt privat- och familjeliv, sitt hem och sin korrespondens. En offentlig myndighet får inte inskränka denna rätt annat än med stöd av lag och om det i ett demokratiskt samhälle är nödvändigt med hänsyn till bl.a. den nationella säkerheten och den allmänna säkerheten. Tillämpningsområdet för artikeln omfattar behandling av personuppgifter om privatliv, familjeliv, hem eller korrespondens. En inskränkning i en konventionsskyddad rättighet ska ha stöd i lag. Lagen ska vara så preciserad att inskränkningarna är förutsebara och att lagen är allmänt tillgänglig. Europadomstolen har i sin praxis slagit fast att intrånget ska vara nödvändigt, dvs. det ska finnas ett angeläget samhälleligt behov och inskränkningen ska stå i rimlig proportion till det syfte som ska tillgodoses genom den. En lag eller annan

201

Det grundläggande skyddet för personuppgifter

föreskrift får inte meddelas i strid med Sveriges åtaganden på grund av Europakonventionen (2 kap. 19 § RF).

4.2 Europarådets dataskyddskonvention

De dataskyddsregler som har antagits inom ramen för Europarådet finns främst i Europarådets konvention om skydd för enskilda vid automatisk databehandling av personuppgifter (ETS 108), den s.k. dataskyddskonventionen. Konventionen, som Sverige har ratificerat och som trädde i kraft den 1 oktober 1985, kompletteras av ett antal av Europarådets ministerkommitté antagna icke-bindande rekommendationer om hur personuppgifter bör behandlas inom olika områden. Dataskyddskonventionen gäller för Europarådets medlemsstater, men även ett antal andra stater är parter till konventionen. Konventionen brukar ses som en precisering av artikel 8 i Europakonventionen och syftar till att säkerställa respekten för grundläggande fri- och rättigheter (artikel 1 i dataskyddskonventionen). Dataskyddskonventionen tar sikte på behandling av personuppgifter i automatiserade personregister och automatiserad personuppgiftsbehandling i allmän och enskild verksamhet. Personuppgifterna ska enligt konventionen inhämtas och behandlas på ett korrekt sätt och de ska vara relevanta med hänsyn till ändamålet (artikel 5). Vissa kategorier av personuppgifter får inte behandlas genom automatiserad databehandling om inte den nationella lagstiftningen ger ett ändamålsenligt skydd. Till sådana kategorier hör personuppgifter som avslöjar ras, politisk tillhörighet, religiös tro eller övertygelse i övrigt, sexualliv samt uppgifter om brott (artikel 6). Dataskyddskonventionen reglerar även enskildas rätt att veta att information lagras om honom eller henne och rätten att vid behov få den korrigerad (artikel 8). Restriktioner när det gäller rättigheterna i konventionen är endast möjliga när det handlar om ett överordnat intresse, såsom statens säkerhet (artikel 9). Enligt artikel 10 i dataskyddskonventionen, som även omfattar personuppgiftsbehandling som rör nationell säkerhet, åtar sig konventionsstaterna att införa lämpliga sanktioner och rättsmedel för överträdelser av sådana bestämmelser i den nationella lag genom vilka de grundläggande principer för dataskydd som har angetts i

202

Det grundläggande skyddet för personuppgifter

konventionens kapitel två har genomförts. Konventionen anger dock inte vilka krav som ställs på sådana sanktioner. Europarådets ministerkommitté antog år 2001 ett tilläggsprotokoll till dataskyddskonventionen (ETS 181). Tilläggsprotokollet innehåller bestämmelser om tillsynsmyndigheter och överföring av personuppgifter till länder som inte är bundna av konventionen. Tilläggsprotokollet, som Sverige har ratificerat, trädde i kraft den 1 juli 2004. Av protokollet framgår bl.a. att varje konventionsstat ska se till att en eller flera myndigheter ansvarar för att kontrollera att de åtgärder respekteras som inom dess nationella lagstiftning ger verkan åt de principer som anges i konventionens kapitel två och tre och i tilläggsprotokollet. Tilläggsprotokollet innehåller vidare bestämmelser som anger att konventionsstaterna ska vidta åtgärder för att säkerställa att överföring av personuppgifter till ett land som inte är konventionspart bara får ske om landet i fråga säkerställer en adekvat skyddsnivå för uppgifterna. Det grundläggande skyddet vid automatiserad behandling av personuppgifter inom EU regleras numera främst genom dataskyddsförordningen (se avsnitt 4.3.2). Dataskyddskonventionen är dock alltjämt relevant, särskilt vid behandling av personuppgifter på områden som inte omfattas av EU:s kompetensområde, t.ex. allmän säkerhet och försvar. Efter en genomförd översyn av dataskyddskonventionen antog Europarådets medlemsstater den 18 maj 2018 ett ändringsprotokoll till konventionen (CETS 223), informellt kallad dataskyddskonventionen 108+. Ändringsprotokollet träder i kraft när det har ratificerats av samtliga stater som är parter till dataskyddskonventionen, men tillåter även ett partiellt ikraftträdande. Sverige har undertecknat men ännu inte ratificerat ändringsprotokollet. Dataskyddskonventionen 108+ har (i januari 2026) ratificerats av 33 stater och kommer träda i kraft partiellt när dessa följts av ytterligare fem stater.

4.3 EU-rätten och nationell dataskyddsreglering

4.3.1 EU-stadgan

Av Europeiska unionens stadga om de grundläggande rättigheterna, förkortad EU-stadgan, framgår att var och en har rätt till skydd av

203

Det grundläggande skyddet för personuppgifter

de personuppgifter som rör honom eller henne. Sådana uppgifter ska behandlas lagenligt för bestämda ändamål och på grundval av den berörda personens samtycke eller någon annan legitim och lagenlig grund. Var och en har rätt att få tillgång till insamlade uppgifter som rör honom eller henne och att få rättelse av dem. En oberoende myndighet ska kontrollera att dessa regler efterlevs (artikel 8). I artikel 52 i EU-stadgan anges i vilken utsträckning inskränkningar får göras i de rättigheter som erkänns i stadgan. Utgångspunkten är att sådana inskränkningar endast får göras i lag och ska vara förenliga med det väsentliga innehållet i rättigheterna. Begränsningar får, med beaktande av proportionalitetsprincipen, endast göras om de är nödvändiga och faktiskt svarar mot mål av allmänt samhällsintresse som erkänns av unionen eller behovet av skydd för andra människors rättigheter och friheter. EU-stadgan är rättsligt bindande för medlemsstaterna vid tillämpning av unionsrätten. Stadgan är således inte tillämplig på nationell lagstiftning inom områden där EU inte har lagstiftningskompetens.

4.3.2 EU:s dataskyddsförordning

Sedan den 25 maj 2018 utgör Europaparlamentets och rådets förordning (EU) 2016/679 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning), hädanefter EU:s dataskyddsförordning eller dataskyddsförordningen, grunden för generell personuppgiftsbehandling inom EU. Det huvudsakliga syftet med dataskyddsförordningen är bl.a. att säkerställa en enhetlig skyddsnivå över hela unionen och att undvika avvikelser som hindrar den fria rörligheten av personuppgifter inom den inre marknaden. Dataskyddsförordningen är direkt tillämplig i alla EU:s medlemsstater men förutsätter och möjliggör samtidigt kompletterande och specificerande nationella bestämmelser av olika slag. Behandling av personuppgifter som sker inom verksamhet som inte omfattas av EUrätten, t.ex. försvar och nationell säkerhet, behandling som sker inom EU:s gemensamma utrikes- och säkerhetspolitik, behandling som utförs av en fysisk person och som är av rent privat natur samt

204

Det grundläggande skyddet för personuppgifter

behandling som sker inom brottsbekämpande verksamhet, är uttryckligen undantagna från tillämpningsområdet (artikel 2). Dataskyddsförordningen reglerar bl.a. grundläggande principer för behandling av personuppgifter, den registrerades rättigheter, personuppgiftsansvar, tillsyn över personuppgiftsbehandling och rätten för enskilda att få tillgång till rättsmedel och sanktioner mot ansvariga som inte lever upp till förordningens krav. Utöver dataskyddsförordningen gäller sedan den 25 maj 2018 även lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning (dataskyddslagen). Bestämmelserna i EU:s dataskyddsförordning och dataskyddslagen gäller även vid behandling av personuppgifter som utgör ett led i en verksamhet som inte omfattas av unionsrätten (1 kap. 2 § dataskyddslagen). Särskilda undantag från detta utvidgade tillämpningsområde har gjorts för bl.a. lagen (2021:1171) om behandling av personuppgifter vid Försvarsmakten, lagen (2021:1172) om behandling av personuppgifter vid Försvarets radioanstalt och lagen (2019:1182) om Säkerhetspolisens behandling av personuppgifter (1 kap. 3 § dataskyddslagen).

205

5 Utgångspunkter för en ny reglering om behandling av personuppgifter

5.1 En ny lag och förordning om behandling av personuppgifter vid Myndigheten för utrikes underrättelser

Förslag

En ny lag och förordning om behandling av personuppgifter vid ska införas.

Skälen för förslaget

ska bedriva verksamhet som rör Sveriges säkerhet och kommer ha behov av att behandla personuppgifter i sin verksamhet. Myndighetens huvudsakliga uppgift kommer att vara att bedriva utrikes underrättelseverksamhet till stöd för svensk utrikes- säkerhets- och försvarspolitik samt i övrigt kartlägga yttre hot mot Sverige. Myndigheten kommer behandla ett stort antal personuppgifter där något samtycke av den registrerade inte kommer ha inhämtats. Inom utrikes underrättelseverksamhet förekommer kartläggning av enskilda i den mening som avses enligt regeringsformens reglering om skyddet mot betydande intrång i den personliga integriteten (se avsnitt 4.1). Myndighetens utrikes underrättelseverksamhet får dock endast avse utländska förhållanden. Rätten till skydd mot betydande intrång i den personliga integriteten enligt 2 kap. 6 § andra stycket RF gäller för

207

Utgångspunkter för en ny reglering om behandling av personuppgifter

var och en, dvs. både för svenska medborgare och utlänningar. Kartläggning av t.ex. utländska militära företrädare eller andra viktiga befattningshavare utanför Sverige omfattas emellertid inte av regeringsformens skydd för den personliga integriteten och krav på lagreglering. Det hindrar inte att lagstiftaren ändå väljer att i lag reglera delar av den personuppgiftsbehandling som ska vara möjlig att utföra i sådan verksamhet. Grundlagsskyddet mot betydande intrång i den personliga integriteten kan begränsas i lag under förutsättning att begränsningen görs för att tillgodose ändamål som är godtagbara i ett demokratiskt samhälle (2 kap. 20 § första stycket 2 och 21 § RF). Det är av grundläggande betydelse i ett demokratiskt samhälle att kunna upprätthålla landets försvar och säkerhet. Myndigheten för utrikes underrättelser kommer vara en central myndighet i detta avseende. För att myndigheten ska kunna fullgöra sitt uppdrag behöver den kunna behandla personuppgifter. Det är därmed fråga om en sådan begränsning som får anses proportionerlig och nödvändig för att tillgodose ett ändamål som är godtagbart i ett demokratiskt samhälle. Som framgår i avsnitt 2.2 kommer en stor del av Försvarsmaktens utrikes underrättelseuppdrag och delar av omvärldsbevakningsuppdraget inordnas i den nya myndigheten. Försvarsmaktens behandling av personuppgifter avseende bl.a. utrikes underrättelseverksamhet regleras i lagen om behandling av personuppgifter vid Försvarsmakten och förordningen om behandling av personuppgifter vid Försvarsmakten. Den reglering som ska införas för s behandling av personuppgifter bör i stor utsträckning följa den reglering som finns för Försvarsmakten. De överväganden som gjordes vid regleringen av Försvarsmaktens behandling av personuppgifter gör sig alltså gällande även nu. Grundläggande bestämmelser för behandling av personuppgifter bör regleras i lag. Det är samtidigt olämpligt att tynga den nya lagen med alltför detaljerade bestämmelser. Lagen bör därför i lämplig utsträckning kompletteras genom föreskrifter på förordningsnivå. Den nya lagen bör benämnas lagen om behandling av personuppgifter vid och den nya förordningen bör benämnas förordningen om behandling av personuppgifter vid .

208

Utgångspunkter för en ny reglering om behandling av personuppgifter

5.2 Förhållandet till EU:s dataskyddsförordning

Förslag

Den nya lagen ska vara heltäckande och utformas så att den gäller exklusivt på de områden som anges i lagen. EU:s dataskyddsförordning och lagen med kompletterande bestämmelser till EU:s dataskyddsförordning ska inte gälla vid behandling av personuppgifter enligt den nya lagen. Det ska också framgå av lagen med kompletterande bestämmelser till EU:s dataskyddsförordning att lagen inte är tillämpliga i verksamhet som omfattas av lagen om behandling av personuppgifter vid .

Skälen för förslaget

kommer bedriva verksamhet som rör nationell säkerhet. Av fördraget om Europeiska unionen framgår att i synnerhet den nationella säkerheten också i fortsättningen ska vara varje medlemsstats eget ansvar (artikel 4.2). I EU:s dataskyddsförordning anges att förordningen inte ska tillämpas på behandling av personuppgifter som utgör ett led i en verksamhet som inte omfattas av unionsrätten (artikel 2.2 a). Av skälen till dataskyddsförordningen framgår att förordningen inte är tillämplig på frågor som rör skyddet av grundläggande rättigheter eller friheter eller det fria flödet av personuppgifter på områden som inte omfattas av unionsrätten, såsom verksamhet rörande nationell säkerhet (skäl 16). Dataskyddsförordningen ska inte heller tillämpas på behandling av personuppgifter som medlemsstaterna utför när de bedriver verksamhet som omfattas av den gemensamma utrikes- och säkerhetspolitiken (artikel 2.2 b). Det framgår således direkt av dataskyddsförordningen att den inte är tillämplig på den behandling av personuppgifter som kommer att ske inom Myndigheten för utrikes underrättelsers verksamhet. Dataskyddsförordningen har dock kommit att få ett utvidgat tillämpningsområde i Sverige. I lagen med kompletterande bestämmelser till EU:s dataskyddsförordning (dataskyddslagen) utvidgas tillämpningen av bestämmelserna i

209

Utgångspunkter för en ny reglering om behandling av personuppgifter

dataskyddsförordningen till att även gälla vid behandling av personuppgifter som utgör led i verksamhet som inte omfattas av unionsrätten (1 kap. 2 §). Detta gäller dock inte vissa särskilt angivna verksamheter (1 kap. 3 §). Den verksamhet som kommer att bedriva ligger utanför unionsrätten. Författningsregleringen i fråga om myndighetens personuppgiftsbehandling bör vara heltäckande och utformas så att den gäller exklusivt på de områden som anges i lagen. Det bör av den nya lagen för s personuppgiftsbehandling tydligt framgå hur regleringen förhåller sig till EU:s dataskyddsförordning och dataskyddslagen. Det bör vidare framgå av dataskyddslagen att lagen inte gäller i verksamhet som omfattas av den nya lagen. EU:s dataskyddsförordning bygger på och vidareutvecklar Europarådets dataskyddskonvention 68 som även omfattar nationell säkerhet och försvar. Sverige är folkrättsligt bundet av konventionen med dess tilläggsprotokoll. Regleringen av Myndigheten för utrikes underrättelsers personuppgiftsbehandling får således inte strida mot bestämmelserna i dataskyddskonventionen, vilket bl.a. innebär att personuppgifter som undergår automatisk databehandling ska lagras för särskilt angivna och lagliga ändamål och inte användas på ett sätt som är oförenligt med dessa ändamål (artikel 5 i dataskyddskonventionen). Avvikelser får endast göras om de medges i nationell lagstiftning och avvikelsen är nödvändig i ett demokratiskt samhälle för att bl.a. skydda statens säkerhet (artikel 9). Förslagen i denna promemoria bedöms vara förenliga med dataskyddskonventionen och dess tilläggsprotokoll.

5.3 Syftet med den nya lagen

Förslag

Syftet med den nya lagen ska vara att säkerställa att Myndigheten för utrikes underrättelser kan behandla personuppgifter på ett

68 Europarådets konvention 108 av den 28 januari 1981 om skydd för enskilda vid automatisk databehandling av personuppgifter, SÖ 1982:50.

210

Utgångspunkter för en ny reglering om behandling av personuppgifter

ändamålsenligt sätt och att skydda fysiska personers grundläggande fri- och rättigheter i samband med sådan behandling.

Skälen för förslaget

Den nya lagen bör innehålla en bestämmelse om syftet med lagen där såväl kravet på ändamålsenlighet som intresset att skydda fysiska personers fri- och rättigheter framgår. Syftet med lagen bör därför vara att säkerställa att kan behandla personuppgifter på ett ändamålsenligt sätt och att skydda fysiska personers grundläggande fri- och rättigheter i samband med sådan behandling.

5.4 Den nya lagens tillämpningsområde

Förslag

Den nya lagen om behandling av personuppgifter vid ska gälla vid behandling av personuppgifter i myndighetens verksamhet som rör Sveriges säkerhet samt internationellt utrikes underrättelsesamarbete och säkerhetssamarbete. Lagen ska gälla för sådan behandling av personuppgifter som är helt eller delvis automatiserad. Den ska också gälla personuppgifter som ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier.

Skälen för förslaget

kommer bedriva verksamhet som rör Sveriges säkerhet och delta i internationella utrikes underrättelse- och säkerhetssamarbeten.

211

Utgångspunkter för en ny reglering om behandling av personuppgifter

På samma sätt som för Försvarsmakten är det viktigt att det finns en sammanhållen reglering för Myndigheten för utrikes underrättelsers personuppgiftsbehandling. Den nya lagens tillämpningsområde bör därför bestämmas så att den gäller för hela den verksamhet som kommer bedriva. Detta innefattar t.ex. myndighetens utrikes underrättelseverksamhet och den administrativa verksamheten vid myndigheten. Det skulle försvåra informationsutbytet mellan system och verksamheter om olika regelverk var tillämpliga för olika delar av myndighetens verksamhet. Det skulle i sin tur riskera att försämra effektiviteten inom myndigheten. Den nya lagen bör därför omfatta behandlingen av personuppgifter i Myndigheten för utrikes underrättelsers verksamhet som rör Sveriges säkerhet samt internationellt utrikes underrättelsesamarbete och säkerhetssamarbete. Den nya lagen bör, i linje med annan dataskyddsreglering, gälla för sådan personuppgiftsbehandling som är helt eller delvis automatiserad eller om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Manuell behandling i t.ex. register bör alltså omfattas av regelverket om uppgifterna är tillgängliga för sökning eller sammanställning enligt mer än ett kriterium.

5.5 Vissa ord och uttryck i den nya lagen ska definieras

Förslag

Vissa ord och uttryck som används i den nya lagen ska definieras.

Skälen för förslaget

Det finns, på samma sätt som i annan dataskyddslagstiftning, ett behov av att definiera ett antal ord och uttryck i den nya lagen. Vissa ord och uttryck förekommer både i dataskyddslagstiftning som

212

Utgångspunkter för en ny reglering om behandling av personuppgifter

omfattas av EU-rätten och i lagstiftning som inte gör det. I den utsträckning som samma ord och uttryck används, bör de i möjligaste mån ha samma betydelse i även sådan lagstiftning som reglerar verksamhet utanför EU-rättens tillämpningsområde. Om ord och uttryck har samma innebörd i lagarna på dataskyddsområdet kan missförstånd undvikas. Det är lämpligt att definitionerna i den nya lagen om behandling av personuppgifter vid följer de definitioner som finns i lagen om behandling av personuppgifter vid Försvarsmakten. I det följande behandlas vissa centrala definitioner i den nya lagen. Definitionerna av personuppgiftsansvarig (avsnitt 8.1), dataskyddsombud (avsnitt 8.3) och personuppgiftsbiträde (avsnitt 8.4) tas upp i avsnitt 8.1 – 8.4.

Behandling av personuppgifter

Behandling av personuppgifter bör definieras som en åtgärd eller kombination av åtgärder som vidtas i fråga om personuppgifter eller uppsättningar av personuppgifter, oavsett om det görs automatiserat eller inte, t.ex. insamling, registrering, organisering, strukturering, lagring, bearbetning eller ändring, framtagning, läsning, användning, utlämnande, spridning eller tillhandahållande på annat sätt, justering, sammanföring, begränsning, radering eller förstöring.

Biometriska uppgifter

Biometri är en samlingsbeteckning för sådan automatiserad teknik som syftar till att identifiera en person eller avgöra om en påstådd identitet är riktig. Den baseras på mätning av fysiska karaktärsdrag hos den som ska identifieras. Det kan vara fråga om mönster av fingeravtryck, ansiktsgeometri och ögats iris som används, men även regnbågshinna, näthinna, röst, hand, blodkärl, dna eller gång går att använda. Gemensamt för teknikerna är att kroppen mäts elektroniskt. Biometriska uppgifter är den information som kan tas fram ur ett biometriskt underlag. Dessa uppgifter kan användas för att skapa en referensmall eller för att jämföra med tidigare lagrade referensmallar i syfte att kontrollera en persons identitet. I EU:s

213

Utgångspunkter för en ny reglering om behandling av personuppgifter

dataskyddsförordning anges ansiktsbilder som ett exempel på biometriska uppgifter i definitionen av sådana uppgifter. Det kan leda tanken till att vanliga fotografier och filmer skulle omfattas av definitionen. Om de inte bearbetas tekniskt genom en särskild metod som syftar till identifiering faller de utanför definitionen. Om de däremot bearbetas i exempelvis ett ansiktsigenkänningsprogram så att det går att identifiera personer på bilden eller filmen omfattas de av definitionen. Här kan även anmärkas att personuppgifter, t.ex. fingeravtryck, som förekommer i ett utlåtande som baseras på en teknisk bearbetning av biometriska uppgifter inte i sig utgör biometriska uppgifter. Uttrycket biometriska uppgifter bör införas i den nya lagen och definieras som personuppgifter som rör en persons fysiska, fysiologiska eller beteendemässiga kännetecken, som tagits fram genom särskild teknisk behandling och som möjliggör eller bekräftar identifiering av personen i fråga.

Genetiska uppgifter

I den nya lagen bör genetiska uppgifter definieras som personuppgifter som rör en persons nedärvda eller förvärvade genetiska kännetecken och som framför allt härrör från analys av ett spår av eller ett biologiskt prov från personen i fråga. Genetiska uppgifter handlar framför allt om information som kan tas fram vid dna-analyser, men även motsvarande information som tas fram genom andra analyser omfattas. Genetiska uppgifter behandlas vid dna-analyser för att ta fram dna-profiler eller forensiska uppslag. Eftersom nedärvda eller förvärvade genetiska kännetecken för en fysisk person kan framgå av ett spår omfattas även analys av spåren, trots att de då inte går att härleda till en identifierad person. Själva dna-profilen är endast en sifferkombination och därmed ingen genetisk uppgift. Den är däremot en biometrisk uppgift, eftersom det är möjligt att med hjälp av den unikt identifiera en person.

214

Utgångspunkter för en ny reglering om behandling av personuppgifter

Mottagare

Mottagare bör definieras som den till vilken personuppgifter lämnas ut, med undantag av en myndighet som med stöd av författning utövar tillsyn, kontroll eller revision.

Personuppgift

Personuppgift bör i den nya lagen definieras som varje upplysning om en identifierad eller identifierbar fysisk person som är i livet.

Registrerad

I likhet med annan särskild lagstiftning om personuppgiftsbehandling bör registrerad definieras som den fysiska person som personuppgiften gäller.

Tredje part

Tredje part bör definieras som någon annan än den registrerade, den personuppgiftsansvarige, dataskyddsombudet, personuppgiftsbiträdet och sådana personer som under den personuppgiftsansvariges eller personuppgiftsbiträdets direkta ansvar har rätt att behandla personuppgifter.

5.6 Rättslig grund för personuppgiftsbehandling

Förslag

Av den nya lagen ska framgå att Myndigheten för utrikes underrättelser endast får behandla personuppgifter för att bedriva verksamhet som följer av lag eller annan författning, internationella åtaganden, kollektivavtal eller annat avtal, eller ett särskilt beslut av regeringen.

215

Utgångspunkter för en ny reglering om behandling av personuppgifter

Skälen för förslaget

De rättsliga grunderna för s behandling av personuppgifter kommer framför allt att finnas i de regelverk som ligger till grund för myndighetens verksamheter. Med hänsyn till den nya lagens tillämpningsområde kommer även personuppgifter inom s personaladministrativa verksamhet att behandlas med stöd av den nya lagen (se vidare om ändamålen med behandlingen i avsnitt 5.12 nedan). Det bredare tillämpningsområdet inbegriper även myndighetens behandling av personuppgifter som föranleds av myndighetens kontakter med bl.a. leverantörer vid upphandling. Det innebär att kan komma att behandla personuppgifter med stöd av kollektivavtal eller andra avtal. I den nya lagen bör det anges att Myndigheten för utrikes underrättelser får behandla personuppgifter för att bedriva viss verksamhet genom en generellt utformad bestämmelse om rättslig grund. Av bestämmelsen bör det framgå att Myndigheten för utrikes underrättelser får behandla personuppgifter för att bedriva verksamhet som följer av lag eller annan författning, internationella åtaganden, kollektivavtal eller annat avtal, eller ett särskilt beslut av regeringen. Som framgår i avsnitt 5.7 nedan bör personuppgifter bara få behandlas för särskilda, uttryckligt angivna och berättigade ändamål. Den nya lagen bör vidare innehålla vissa övergripande ändamål (avsnitt 5.8 – 5.12).

5.7 Behandling får bara ske för särskilda, uttryckligt angivna och berättigade ändamål

Förslag

ska få behandla personuppgifter bara för särskilda, uttryckligt angivna och berättigade ändamål.

216

Utgångspunkter för en ny reglering om behandling av personuppgifter

Personuppgifter ska inte få behandlas för något ändamål som är oförenligt med det ändamål för vilket personuppgifterna ursprungligen behandlades.

Skälen för förslaget

Den omständigheten att viss behandling är rättsligt grundad innebär inte att vilka personuppgifter som helst får behandlas eller att det får göras på valfritt sätt. Den personuppgiftsansvarige måste också iaktta övriga krav som gäller för behandling av personuppgifter. Av den nya lagen bör det framgå att Myndigheten för utrikes underrättelser bara får behandla personuppgifter för särskilda, uttryckligt angivna och berättigade ändamål och att personuppgifter inte får behandlas för något ändamål som är oförenligt med det ändamål som de ursprungligen behandlades för. Att ändamålen ska vara särskilda innebär att de måste vara tillräckligt specificerade för att ge ledning för bedömningen av vilka uppgifter som är adekvata och relevanta för den aktuella behandlingen och för att det ska kunna avgöras att inte fler uppgifter än nödvändigt behandlas. Något hinder mot att ange flera parallella ändamål för behandlingen finns inte. Ändamålen ska anges uttryckligen redan när personuppgifterna samlas in. Att ändamålen ska vara berättigade innebär att det ska finnas en koppling till myndighetens reglerade verksamhet som utgör den rättsliga grunden. Personuppgifter får således inte behandlas för ett ändamål som inte är berättigat i förhållande till verksamheten. Det kommer i stor utsträckning vara reglerat vilken personuppgiftsbehandling som kan aktualiseras vid Myndigheten för utrikes underrättelser, t.ex. genom de justeringar som föreslås i lagen om utrikes underrättelseverksamhet. Lagstiftaren kommer därigenom ha tagit ställning till att personuppgiftsbehandlingen är berättigad i de fallen. Det är dock inte bara när personuppgifter samlas in som det ska finnas ett särskilt, uttryckligt angivet och berättigat ändamål för behandlingen. Motsvarande krav gäller även för varje åtgärd som vidtas med de insamlade uppgifterna. Det är viktigt att kunna kontrollera för vilket eller vilka ändamål personuppgifter behandlas oavsett i vilken verksamhet behandlingen görs. Både av hänsyn till verksamheten och till den personliga

217

Utgångspunkter för en ny reglering om behandling av personuppgifter

integriteten är det därför angeläget att det framgår för vilket ändamål en personuppgift behandlas. Från integritetssynpunkt har det betydelse bl.a. för möjligheterna att genom tekniska förfaranden eller administrativa bestämmelser kunna styra åtkomsten till vissa uppgifter. Att ändamålet med behandlingen framgår är vidare en viktig faktor för att en tillsynsmyndighet ska kunna kontrollera om viss behandling är berättigad och utförs i enlighet med lagens bestämmelser. Information om ändamålet med behandlingen behövs också för att de tjänstemän som får tillgång till personuppgifterna ska kunna värdera personuppgifterna korrekt och använda sig av dem på ett effektivt och lagenligt sätt. Informationen behövs bl.a. för att kunna ta ställning till om uppgiften får och bör behandlas för ett nytt ändamål. Med hänsyn till den verksamhet som Myndigheten för utrikes underrättelser kommer bedriva bör det redan av sammanhanget typiskt sett framgå för vilka ändamål en viss personuppgift behandlas. Av detta följer att verksamhetens karaktär i sig innebär en avgränsning av vilka personuppgifter som behandlas. I avsnitt 5.8 – 5.12 anges de övergripande ändamål för vilka Myndigheten för utrikes underrättelser får behandla personuppgifter.

5.8 Myndighetens utrikes underrättelseverksamhet

Förslag

Personuppgifter ska få behandlas i Myndigheten för utrikes underrättelsers utrikes underrättelseverksamhet om det är nödvändigt för att bedriva den verksamhet som anges i lagen om utrikes underrättelseverksamhet. De personuppgifter som Myndigheten för utrikes underrättelser har fått tillgång till i sin utrikes underrättelseverksamhet ska fortsätta få behandlas i den verksamheten, om det behövs för att fullfölja den. Detta gäller dock endast om inte något annat följer av den nya lagen eller en förordning som har meddelats i anslutning till den lagen.

218

Utgångspunkter för en ny reglering om behandling av personuppgifter

Skälen för förslaget

behöver få behandla personuppgifter om det är nödvändigt för att bedriva den verksamhet som anges i lagen om utrikes underrättelseverksamhet. Av 1 § lagen om utrikes underrättelseverksamhet framgår att utrikes underrättelseverksamhet ska bedrivas till stöd för svensk utrikes-, säkerhets- och försvarspolitik samt i övrigt för kartläggning av yttre hot mot landet. I verksamheten ingår att medverka i svenskt deltagande i internationellt utrikes underrättelsesamarbete och säkerhetssamarbete. Utrikes underrättelseverksamhet får endast avse utländska förhållanden. Utrikes underrättelseverksamhet är huvudsakligen framåtsyftande. I sådan verksamhet kartläggs företeelser i syfte att kunna förvarna om bl.a. avsikter, aktiviteter och hot till stöd för att ge de inriktande myndigheterna ett förbättrat kunskapsläge. Kartläggningar avser bl.a. skeenden, organisationer och aktörer av betydelse för förståelsen för den omvärldsutveckling som inriktningarna adresserar. För att kunna förstå ett skeende eller en aktörs agerande behöver det som observeras emellertid ofta sättas in i ett kontextuellt och historiskt sammanhang. Först därefter kan bedömningar om underrättelserelevans göras. Det som observeras behöver således analyseras och jämföras med tidigare observationer. För vissa företeelser behöver sådana jämförelser kunna göras med observationer som har gjorts långt tillbaka i tiden, inte sällan 10 – 20 år tillbaka. Sett till det särskilda behov som finns att fortsatt kunna behandla insamlade personuppgifter inom utrikes underrättelseverksamhet, bör det tydliggöras att personuppgifter som Myndigheten för utrikes underrättelser har fått tillgång till i sin utrikes underrättelseverksamhet ska få fortsätta behandlas i den verksamheten, om det behövs för att fullfölja den. En förutsättning för detta bör vara att något annat inte följer av den nya lagen eller i en förordning som har meddelats i anslutning till lagen. Den utrikes underrättelseverksamhet som får bedrivas med stöd av lagen om utrikes underrättelseverksamhet sätter ytterst gränserna för behandlingen av personuppgifter.

219

Utgångspunkter för en ny reglering om behandling av personuppgifter

5.9 Behandling av allmänt tillgänglig information

Förslag

ska få behandla personuppgifter som utgör allmänt tillgänglig information om det är nödvändigt för myndighetens verksamhet.

Skälen för förslaget

Som framgår i Underrättelseutredningens betänkande har genomslaget för öppna källor revolutionerat underrättelseverksamheten. Information som tidigare bara kunde inhämtas med särskilda metoder är i många fall numera offentligt tillgänglig. (SOU 2025:78 s. 186 f.) kommer inom ramen för den verksamhet som ska bedrivas att inhämta information via öppna och kommersiellt tillgängliga källor. För att myndigheten ska kunna bedriva sin verksamhet effektivt är det nödvändigt att myndigheten, utöver den information som myndigheten kommer inhämta genom särskilda metoder, har god tillgång till allmänt tillgänglig information. Därigenom kan den på särskilt sätt inhämtade informationen sättas in i sitt rätta sammanhang på ett bättre sätt. Av intresse i sammanhanget är information som utgörs av personuppgifter som kan påträffas vid sökning på internet eller vid sökningar i öppna databaser. Det kan vara information som finns eller har funnits på internet eller i öppna databaser. Uppgifterna kan vara tillgängliga såväl på kommersiell grund som utan avgift. Gemensamt för dem är att de är allmänt tillgängliga. Det kan t.ex. vara fallet när en abonnent på något sätt har samtyckt till att uppgifterna finns med i elektroniska telefonkataloger eller förteckningar över ip-adresser i olika länder. Sådana databaser kan anskaffas och läggs upp som referensdatabaser hos myndigheten där den kan göra sökningar. Ett syfte med att behandla personuppgifter i referensdatabaser kan vara att kunna skaffa ytterligare kunskap om förhållanden av relevans för fullföljandet av en inriktning, t.ex. telefonnummer, adresser, geografisk hemvist etc. Ett annat syfte kan

220

Utgångspunkter för en ny reglering om behandling av personuppgifter

vara att kunna identifiera vem som använder en adressuppgift av intresse, t.ex. telefonnummer som förekommer i den inhämtade informationen. Antalet personuppgifter i Myndigheten för utrikes underrättelsers referensdatabaser kan bli mycket stort. Även om personuppgifterna är allmänt tillgängliga innebär det stora antalet personuppgifter en viss mån av integritetsintrång att de behandlas av myndigheten. Behandling av personuppgifter som utgör allmänt tillgänglig information kan i och för sig omfattas av ändamålet för t.ex. utrikes underrättelseverksamhet. För att undvika oklarheter i rättstillämpningen bör dock stödet för sådan behandling komma till tydligt uttryck i lagen.

5.10 Behandling av uppgifter om lagöverträdelser

Förslag

ska få behandla personuppgifter som rör lagöverträdelser om det är nödvändigt för myndighetens verksamhet.

Skälen för förslaget

kommer i sin verksamhet att ha behov av att behandla personuppgifter som rör lagöverträdelser. Det gäller t.ex. uppgifter som framkommit inom ramen för säkerhetsprövning enligt säkerhetsskyddslagen. I en säkerhetsprövning görs en registerkontroll, vilket innebär att uppgifter som rör lagöverträdelser behandlas avseende de individer som får utfall i registerkontrollen. Misstankar om brott som Myndigheten för utrikes underrättelser kommer behandla inom ramen för dessa ändamål utgör uppgifter om lagöverträdelser (prop. 2017/18:105 s. 98 – 99). Myndigheten kan även inom ramen för sin personaladministrativa verksamhet komma att behöva behandla personuppgifter som rör lagöverträdelser. Den nya lagen bör därför innehålla en bestämmelse som innebär att Myndigheten för utrikes

221

Utgångspunkter för en ny reglering om behandling av personuppgifter

underrättelser får behandla personuppgifter som rör lagöverträdelser om det är nödvändigt för myndighetens verksamhet. Se mer om behandling av personuppgifter i verksamhet avseende säkerhetsprövningar och den personaladministrativa verksamheten i avsnitt 5.12 nedan.

5.11 Behandling för vetenskapliga, statistiska eller historiska ändamål

Förslag

ska få behandla personuppgifter för vetenskapliga, statistiska eller historiska ändamål inom den nya lagens tillämpningsområde.

Skälen för förslaget

Det är viktigt att det är möjligt att behandla personuppgifter för vetenskapliga, statistiska eller historiska syften. Det bör framgå särskilt i den nya lagen.

5.12 Andra ändamål som rör Sveriges säkerhet samt internationella utrikes underrättelsesamarbeten och säkerhetssamarbeten

Förslag

får behandla personuppgifter för andra ändamål inom lagens tillämpningsområde om det är nödvändigt och det finns stöd för behandling i en rättslig grund.

222

Utgångspunkter för en ny reglering om behandling av personuppgifter

Skälen för förslaget

Vid sidan av den verksamhet som beskrivs ovan kommer bedriva andra uppgifter som kan följa av t.ex. lag, förordning eller särskilt beslut av regeringen. Den verksamhet som myndigheten kommer bedriva avser Sveriges säkerhet. Det gäller såväl myndighetens utrikes underrättelseverksamhet som andra delar av myndighetens verksamhet. Myndigheten kommer också delta i internationella utrikes underrättelsesamarbeten och säkerhetssamarbeten. Som föreslås i avsnitt 5.4 ovan är den nya lagen tillämplig i verksamhet som rör Sveriges säkerhet samt internationellt utrikes underrättelsesamarbete och säkerhetssamarbete. Tillämpningsområdet omfattar även den administrativa verksamheten hos , inklusive den personaladministrativa verksamheten. Myndighetens personal kommer vara av avgörande betydelse för den verksamhet som myndigheten ska bedriva. kommer att ha behov av att behandla personuppgifter även i verksamhet som inte innefattar utrikes underrättelseverksamhet eller som inte omfattas av andra i lagen särskilt angivna ändamål. Det är avgörande för den nya myndigheten att den, på samma sätt som Försvarsmakten, har förutsättningar att behandla personuppgifter för ändamål inom alla delar av verksamheten. kommer t.ex. behöva behandla personuppgifter inom den administrativa verksamheten. Det kan röra personuppgifter som är nödvändiga för diarieföring, arkivering, handläggning av ett ärende eller för att utföra någon annan liknande uppgift som myndigheten har. Myndigheten kommer att ha elektroniska ärendehanteringssystem i vilka personuppgifter kommer vara sökbara enligt särskilda kriterier och behörigheter. Diarieföringen vid myndigheten kommer avse handlingar som rör Sveriges säkerhet samt internationellt utrikes underrättelsesamarbete och säkerhetssamarbete. Detsamma gäller arkiverade handlingar. Det kommer också ske viss ärendehandläggning vid myndigheten som t.ex. kan avse ärenden om kvalificerade skyddsidentiteter och ärenden om utlämnande av allmän handling. Det kommer också förekomma ärenden om

223

Utgångspunkter för en ny reglering om behandling av personuppgifter

utvärdering av den egna verksamheten såsom tidredovisning, lönesättning och sjuktal. kommer vidare behöva behandla personuppgifter avseende den personaladministrativa verksamheten, som t.ex. löner och ledigheter, och för att genomföra säkerhetsprövningar enligt säkerhetsskyddslagen (2018:585) eller för att utföra andra uppgifter som rör säkerhetsskydd. Mot den bakgrunden bör den nya lagen innehålla en bestämmelse som innebär att personuppgifter får behandlas om det är nödvändigt för annan verksamhet som bedrivs av Myndigheten för utrikes underrättelser och som följer av lag eller annan författning, internationella åtaganden, kollektivavtal eller annat avtal, eller ett särskilt beslut av regeringen.

224

6 Behandlingen av personuppgifter

6.1 Personuppgifter ska behandlas författningsenligt och på ett korrekt sätt samt vara riktiga, adekvata och relevanta

Förslag

Personuppgifter ska behandlas författningsenligt och på ett korrekt sätt. De personuppgifter som behandlas ska vara riktiga och, om det är nödvändigt, uppdaterade. Personuppgifter som behandlas ska vara adekvata och relevanta i förhållande till ändamålen med behandlingen. Uppgifter som beskriver en persons utseende ska utformas på ett objektivt sätt med respekt för människovärdet. Fler personuppgifter får inte behandlas än vad som är nödvändigt med hänsyn till ändamålen med behandlingen.

Skälen för förslaget

Personuppgifter ska behandlas författningsenligt och på ett korrekt sätt samt vara riktiga och – om nödvändigt – uppdaterade

Det bör i den nya lagen framgå att personuppgifter ska behandlas författningsenligt och på ett korrekt sätt. Det bör vidare framgå att de personuppgifter som behandlas ska vara riktiga och, om det är nödvändigt, uppdaterade.

225

Behandlingen av personuppgifter

En uppgift är riktig om den stämmer överens med de verkliga förhållandena. För att bestämma vilka verkliga förhållanden som personuppgifterna ska spegla får ledning sökas i ändamålen med behandlingen. Bedömningen av om en personuppgift är riktig ska emellertid inte utgå från enbart ändamålen med behandlingen. Att uppgifter som förekommer i utrikes underrättelseverksamhet har en särskild karaktär måste också beaktas. Frågan om en uppgift är riktig måste därför även ses mot bakgrund av vad uppgiften rör, när den lämnas och vem som lämnar den. Kravet på att de behandlade uppgifterna ska vara uppdaterade bör enbart gälla om det är nödvändigt. Frågan om det är nödvändigt att uppgifterna är uppdaterade får avgöras med hänsyn till ändamålen med behandlingen. Ett tänkbart exempel kan vara adressuppgifter som ändras under handläggningen av ett ärende och därmed behöver uppdateras.

Uppgifter som beskriver en persons utseende ska utformas på ett objektivt sätt

Det bör av den nya lagen framgå att uppgifter som beskriver en persons utseende ska utformas på ett objektivt sätt med respekt för människovärdet.

Personuppgifter ska vara adekvata och relevanta

Den nya lagen bör även innehålla ett krav på att personuppgifterna ska vara adekvata och relevanta i förhållande till ändamålen med behandlingen och att fler personuppgifter inte får behandlas än vad som är nödvändigt med hänsyn till ändamålen med behandlingen. Att personuppgifter ska vara adekvata och relevanta innebär bl.a. att ovidkommande personuppgifter inte får behandlas. Vilka uppgifter som är adekvata och relevanta måste bedömas i förhållande till ändamålen med behandlingen. Detsamma gäller hur många personuppgifter det finns behov av att behandla.

226

Behandlingen av personuppgifter

6.2 Behandling av känsliga personuppgifter

Förslag

Personuppgifter som avslöjar ras, etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening eller som rör hälsa, sexualliv eller sexuell läggning får inte behandlas. Om personuppgifter behandlas får de dock kompletteras med sådana uppgifter när det är absolut nödvändigt för ändamålen med behandlingen. Biometriska uppgifter får behandlas om det är absolut nödvändigt för ändamålen med behandlingen. Genetiska uppgifter får inte behandlas. Vid sökning får personuppgifter som avslöjar ras, etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening eller som rör hälsa, sexualliv eller sexuell läggning användas som sökbegrepp om det är absolut nödvändigt för ändamålen med behandlingen. Detsamma gäller biometriska uppgifter.

Skälen för förslaget

Uppgifter om ras, etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening, hälsa, sexualliv eller sexuell läggning

Personuppgifter som avslöjar ras, etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening eller som rör hälsa, sexualliv eller sexuell läggning är känsliga personuppgifter. Allmänt gäller att stor försiktighet måste iakttas vid all behandling av känsliga personuppgifter. Uppgifter om etniskt ursprung, politiska åsikter och religiös övertygelse är sådana faktorer som är av stor betydelse när det gäller att bedöma personers eller gruppers agerande i ett ur utrikes underrättelseperspektiv relevant avseende. Ofta är just det faktum att en person tillhör ett politiskt parti eller annan organisation av grundläggande betydelse från utrikes underrättelsesynpunkt. kommer därför i den

227

Behandlingen av personuppgifter

verksamhet som ska bedrivas att ha ett befogat intresse av att kunna registrera och på annat sätt behandla den här typen av känsliga personuppgifter. En sådan omständighet bör dock inte få utgöra ensam grund för behandlingen. Däremot bör få behandla uppgifter som avslöjar ras, etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening eller som rör hälsa, sexualliv eller sexuell läggning om uppgifterna kompletterar personuppgifter som behandlas på annan grund. Sådan behandling bör dock endast får äga rum om det är absolut nödvändigt för verksamheten. En bestämmelse med den innebörden bör därför tas in i den nya lagen.

Biometriska och genetiska uppgifter

I avsnitt 5.5 föreslås att biometriska uppgifter ska definieras som personuppgifter som rör en fysisk persons fysiska, fysiologiska eller beteendemässiga kännetecken som tagits fram genom särskild teknisk behandling och som möjliggör eller bekräftar identifiering av personen i fråga. kommer att ha ett behov av att kunna behandla biometriska uppgifter i sin verksamhet. Det kan t.ex. vara fråga om att en persons röstprofil, vilket är en biometrisk uppgift, behöver kunna behandlas i identifieringssyfte. Att kunna göra korrekta identifieringar är av avgörande betydelse vid bedömning av källors trovärdighet och informations sakriktighet. Bestämmelsen om att uppgifter om ras, etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening, hälsa, sexualliv eller sexuell läggning endast får behandlas såsom komplement till personuppgifter som behandlas på annan grund är inte tillämplig när det gäller biometriska personuppgifter, t.ex. oidentifierade avtryck eller spår. Det finns därför skäl att reglera behandlingen av biometriska uppgifter särskilt. bör få behandla biometriska uppgifter om det är absolut nödvändigt för ändamålet med behandlingen.

228

Behandlingen av personuppgifter

I avsnitt 5.5 föreslås att genetiska uppgifter ska definieras som personuppgifter som rör en persons nedärvda eller förvärvade genetiska kännetecken och som framför allt härrör från analys av ett spår av eller ett biologiskt prov från personen i fråga. Det innebär att ett dna-spår eller ett dna-prov som sådant inte utgör genetiska uppgifter, utan det är enbart den information som kan tas fram ur spåret eller provet som utgör sådana uppgifter förutsatt att informationen ger uppgift om en persons nedärvda eller förvärvade genetiska kännetecken (propositionen Ny lag om Säkerhetspolisens behandling av personuppgifter, prop. 2018/19:163 s. 77). Genetiska uppgifter är av synnerligen integritetskänslig natur. Det bör därför uttryckligen framgå av den nya lagen att behandling av genetiska uppgifter inte är tillåten.

Sökning av känsliga personuppgifter får endast ske om det är absolut nödvändigt för verksamheten

s verksamhet förutsätter, som anges ovan, att sökning i viss utsträckning kan ske även avseende känsliga personuppgifter, dvs. uppgifter om ras, etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening, hälsa, sexualliv eller sexuell läggning samt biometriska uppgifter. Sådan behandling behöver då regleras särskilt. Automatiserad behandling av personuppgifter, i synnerhet i samlingar av uppgifter, ger stora möjligheter att söka och sammanställa information. Dessa möjligheter innebär särskilt stora risker för intrång i den personliga integriteten. I syfte att minska denna risk finns det anledning att överväga att införa en begränsning av sökmöjligheterna. Samtidigt måste beaktas att möjligheten att enkelt och snabbt söka information skapar förutsättningar för en rationell verksamhet. En eventuell begränsning bör därför inte utformas så snävt att den medför onödiga effektivitetsförluster ur ett verksamhetsperspektiv. Behovet av en reglering som begränsar vilka uppgifter som ska få användas vid sökning gör sig framför allt gällande i fråga om känsliga personuppgifter. I konsekvens med de grundläggande kraven för behandling av känsliga personuppgifter bör sökning efter information om känsliga personuppgifter endast få ske om det är

229

Behandlingen av personuppgifter

absolut nödvändigt för syftet med behandlingen. Det innebär att en uppgift om t.ex. etnisk härkomst bör få användas som sökbegrepp bara under den förutsättningen att det är absolut nödvändigt för att få fram den information som behövs. Bestämmelsen om behandling av känsliga personuppgifter och sökning med sådana uppgifter bör vara generell. Denna ordning innebär att sökning av känsliga personuppgifter är föremål för en mycket strikt prövning i Myndigheten för utrikes underrättelsers verksamhet, där absolut nödvändighet är en grundförutsättning för sådana sökningar. Skyddet för den enskildes integritet ges på så sätt ett starkt och nödvändigt skydd. Det utgör en väl avvägd balans mellan verksamhetens krav och integritetsskyddet för enskilda.

6.3 Behandling av personnummer och samordningsnummer

Förslag

Uppgifter om personnummer eller samordningsnummer får behandlas bara när det är klart motiverat med hänsyn till ändamålen med behandlingen, vikten av en säker identifiering eller något annat beaktansvärt skäl.

Skälen för förslaget

Utrikes underrättelseverksamhet är inriktad på utländska förhållanden och det är inte vanligt förekommande att personnummer och samordningsnummer behandlas inom denna verksamhet. kommer dock behöva behandla personuppgifter och samordningsnummer i andra delar av verksamheten t.ex. när det gäller den egna personalen. När sådan behandling aktualiseras bör det bara få ske när det är klart motiverat med hänsyn till ändamålen med behandlingen, vikten av en säker identifiering eller något annat beaktansvärt skäl. En sådan bestämmelse bör därför införas i den nya lagen.

230

Behandlingen av personuppgifter

6.4 Behandling av offentliggjorda personuppgifter

Förslag

får behandla andra känsliga personuppgifter än genetiska uppgifter samt personnummer och samordningsnummer, om den registrerade har lämnat sitt uttryckliga samtycke till behandlingen eller har offentliggjort personuppgifterna på ett tydligt sätt.

Skälen för förslaget

I den nya myndighetens utrikes underrättelseverksamhet kommer det inte att aktualiseras några samtyckessituationer. Sådana situationer kan emellertid förekomma exempelvis vid säkerhetsprövningar. Myndigheten bör få behandla andra känsliga personuppgifter än genetiska uppgifter samt personnummer och samordningsnummer, om den registrerade har lämnat sitt uttryckliga samtycke till behandlingen. Myndigheten bör också få behandla andra känsliga personuppgifter än genetiska uppgifter samt personnummer och samordningsnummer, om den registrerade på ett tydligt sätt har offentliggjort uppgifterna. Ett tydligt offentliggörande kan ske t.ex. genom att den registrerade gör uppgifterna tillgängliga på internet.

6.5 Behandling av personuppgifter i vissa fall

Förslag

s hantering av information som innebär behandling av personuppgifter ska inte anses oförenlig med bestämmelserna om krav på rättslig grund, ändamål, författningsenlig och korrekt behandling, kvalitet, känsliga personuppgifter, personnummer och samordnings-

231

Behandlingen av personuppgifter

nummer, i det skede av behandlingen då det ännu inte har kunnat fastställas vilka personuppgifter som informationen innehåller.

Skälen för förslaget

I s verksamhet kan det uppkomma situationer där inhämtade uppgifter kräver kryptoforcering eller en översättning innan det står klart om det är fråga om personuppgifter som behandlas. Det kan också vara så att en automatiserad hantering av uppgifterna medför att en sådan manuell bedömning inte kan göras omedelbart. Det kan t.ex. ske när myndigheten mottar information från andra myndigheter. Det behöver finnas en reglering som hanterar sådana särskilda situationer. Det bör därför finnas en bestämmelse som uttryckligen slår fast att en hantering av information som innebär behandling av personuppgifter inte ska anses vara oförenligt med vissa grundläggande bestämmelser i den nya lagen i det skede av behandlingen då det inte har kunnat fastställas vilka personuppgifter som informationen innehåller.

6.6 Längsta tid som personuppgifter får behandlas

Förslag

Personuppgifter får inte behandlas under längre tid än vad som behövs för ändamålet med behandlingen. En upplysningsbestämmelse ska införas om att regeringen, eller den myndighet som regeringen bestämmer, ska kunna meddela föreskrifter om att personuppgifter får behandlas under endast viss tid. Regeringen ska också få besluta om det i ett enskilt fall. Det ska också införas en upplysningsbestämmelse om att regeringen, eller den myndighet som regeringen bestämmer, kan meddela föreskrifter om att personuppgifter får fortsätta behandlas för arkivändamål av allmänt intresse eller för

232

Behandlingen av personuppgifter

vetenskapliga, statistiska eller historiska ändamål. Regeringen ska också få besluta om det i ett enskilt fall. I den nya förordningen ska det finnas en bestämmelse om bevarande av vissa personuppgifter och ett bemyndigande för Riksarkivet att, efter att ha gett Myndigheten för utrikes underrättelser tillfälle att yttra sig, meddela föreskrifter om att personuppgifter som inte längre får behandlas ska bevaras.

Skälen för förslaget

I den nya myndighetens utrikes underrättelseverksamhet kommer personuppgifter inte sällan behöva behandlas under mycket lång tid. Personuppgifter bör emellertid inte få behandlas under längre tid än vad som behövs med hänsyn till ändamålet med behandlingen. Det ska ske en fortlöpande prövning av om en personuppgift ska behandlas eller inte. Regeringen kan, med stöd av 8 kap. 7 § RF, i förordning meddela föreskrifter som innebär avsteg från huvudregeln att personuppgifter ska rensas ur verksamhetssystemen när de inte längre behövs för det ändamål för vilket de behandlas. Det bör i den nya lagen införas en upplysningsbestämmelse om att regeringen, eller den myndighet som regeringen bestämmer, ska kunna meddela föreskrifter om att personuppgifter får behandlas under endast viss tid. Regeringen bör också få besluta om det i ett enskilt fall. I den nya lagen bör det även föras in upplysningsbestämmelser om att regeringen, eller den myndighet som regeringen bestämmer, kan meddela föreskrifter om att personuppgifter får fortsätta behandlas för arkivändamål av allmänt intresse eller för vetenskapliga, statistiska eller historiska ändamål. Regeringen bör också få besluta om det i ett enskilt fall.

Förordningsföreskrifter om bevarande av vissa personuppgifter

I den nya förordningen som ska knyta an till den nya lagen om behandling av personuppgifter vid Myndigheten för utrikes underrättelser bör det finnas ett bemyndigande för Riksarkivet att, efter att ha gett tillfälle att yttra sig, meddela föreskrifter om att personuppgifter som inte

233

Behandlingen av personuppgifter

längre får behandlas ska bevaras för arkivändamål av allmänt intresse eller för vetenskapliga, statistiska eller historiska ändamål. Sådana föreskrifter får dock inte avse sådana personuppgifter som ska bevaras enligt vad som anges i ovanstående stycke.

234

7 Gemensamt tillgängliga personuppgifter och informationsutbyte

7.1 Gemensamt tillgängliga personuppgifter

Förslag

Personuppgifter ska få göras gemensamt tillgängliga vid om det behövs för något av de ändamål för vilka myndigheten får behandla personuppgifter. Med att göra personuppgifter gemensamt tillgängliga ska avses att inte endast ett fåtal personer får tillgång till uppgifterna. En upplysningsbestämmelse ska införas om att regeringen, eller den myndighet som regeringen bestämmer, kan meddela föreskrifter om vilka personuppgifter som får göras gemensamt tillgängliga inom . Regeringen eller den myndighet som regeringen bestämmer ska också få besluta om det i ett enskilt fall.

Skälen för förslaget

I likhet med vad som gäller för Försvarsmakten bör det införas bestämmelser om gemensamt tillgängliga uppgifter i lagregleringen för . Med att göra personuppgifter gemensamt tillgängliga avses att inte endast ett fåtal personer får tillgång till uppgifterna. Uppgifter som endast ett fåtal personer har rätt att ta del av är alltså inte att anse som gemensamt

235

Gemensamt tillgängliga personuppgifter och informationsutbyte

tillgängliga. Någon bestämd gräns för när uppgifter ska anses vara gemensamt tillgängliga infördes inte vid regleringen av Försvarsmaktens personuppgiftsbehandling och bör inte heller anges nu. Vid bedömningen av vad som är att anse som gemensamt tillgängliga uppgifter kan dock den praxis som har bildats vid Försvarsmaktens behandling av personuppgifter vara vägledande. Personuppgifter bör få göras gemensamt tillgängliga vid om det behövs för något av de ändamål för vilka myndigheten får behandla personuppgifter. Myndigheten måste i det enskilda fallet avgöra om uppgifter görs gemensamt tillgängliga eller inte. En handläggare inom Myndigheten för utrikes underrättelser bör i regel utan svårigheter kunna avgöra om han eller hon för tillfället arbetar med en personuppgift som har gjorts gemensamt tillgänglig eller inte. Så är till exempel inte fallet om handläggaren arbetar i ett ordbehandlingsdokument eller annat program där han eller hon ensam eller tillsammans med några få personer behandlar och har tillgång till personuppgiften. Den personuppgiftsansvarige har emellertid ett ansvar för att gränsdragningsproblem inte uppstår på grund av brister i den tekniska utformningen av ett datorsystem. Genom de höga säkerhetskrav som kommer omgärda Myndigheten för utrikes underrättelsers informationssystem är det också nödvändigt att inom verksamheten ha klart för sig huruvida en viss uppgift har gjorts gemensamt tillgänglig eller inte. För att undvika onödig detaljreglering i lag bör vilka kategorier av uppgifter som ska få göras gemensamt tillgängliga regleras i förordning eller föreskrift. En upplysningsbestämmelse om att regeringen, eller den myndighet som regeringen bestämmer, kan meddela föreskrifter om vilka personuppgifter som får göras gemensamt tillgängliga inom myndigheten bör föras in i den nya lagen. Regeringen eller den myndighet som regeringen bestämmer bör också få besluta om det i ett enskilt fall. förutsätts kunna samarbeta med andra, företrädesvis myndigheter. Inom ramen för sådant samarbete kan personuppgifter i gemensamma projekt komma att behandlas. För att bl.a. möjliggöra ett sådant samarbete bör vissa myndigheter kunna medges direktåtkomst till uppgifter som har gjorts gemensamt tillgängliga inom Myndigheten för utrikes underrättelser (jfr avsnitt 7.4.1). Genom den föreslagna

236

Gemensamt tillgängliga personuppgifter och informationsutbyte

regleringen av gemensamt tillgängliga uppgifter finns förutsättningar för att begränsa åtkomsten för andra myndigheter på ett ändamålsenligt sätt.

7.2 Olika former av elektroniskt utlämnande

7.2.1 Utlämnande på medium för automatiserad behandling

I princip anses allt elektroniskt utlämnande som inte görs genom direktåtkomst utlämnat på medium för automatiserad behandling. Högsta förvaltningsdomstolen har ansett att gränsdragningen mellan vad som är direktåtkomst och annat utlämnande på medium för automatiserad behandling beror på om den aktuella uppgiften kan anses förvarad hos den mottagande myndigheten enligt 2 kap. 3 § andra stycket tryckfrihetsförordningen (HFD 2015 ref. 61). Utlämnande på medium för automatiserad behandling kan göras på många olika sätt. Det kan vara fråga om att personuppgifter lämnas t.ex. via e-post eller dvd-skiva eller genom direkt överföring från ett datasystem till ett annat via elektroniska kommunikationsnät. Utlämnande på medium för automatiserad behandling innebär som regel att informationen lämnas ut i elektronisk form på ett sådant sätt att mottagaren kan bearbeta informationen. Detta innebär effektivitetsvinster för mottagaren, samtidigt som det kan innebära risker för den personliga integriteten.

7.2.2 Direktåtkomst

Det som typiskt sett avses med direktåtkomst är att någon har direkt tillgång till någon annans register eller databas och på egen hand kan söka efter information, dock utan att kunna påverka innehållet i registret eller databasen (prop. 2020/21:224 s. 101). Enligt Informationshanteringsutredningen bör direktåtkomst anses föreligga om en myndighet hos en annan myndighet har sådan teknisk tillgång till upptagningar som avses i 2 kap. 3 § andra stycket tryckfrihetsförordningen, dvs. om upptagningen är tillgänglig för myndigheten med tekniskt hjälpmedel som myndigheten själv utnyttjar för överföring i sådan form att den kan läsas, avlyssnas eller på annat sätt

237

Gemensamt tillgängliga personuppgifter och informationsutbyte

uppfattas (Myndighetsdatalag, SOU 2015:39 s. 390 – 393). Som framgår ovan har Högsta förvaltningsdomstolen använt samma definition av direktåtkomst (HFD 2015 ref. 61). I uttrycket direktåtkomst ligger också att den som är personuppgiftsansvarig för registret eller databasen saknar kontroll över vilka uppgifter som den som har direktåtkomst vid ett visst tillfälle tar del av. Från integritetssynpunkt har det därför ansetts viktigt att frågor om tillgång till uppgifter genom direktåtkomst regleras särskilt i registerlagstiftningarna (prop. 2020/21:224 s. 101 f.). Vid direktåtkomst fattas beslut om överföring i varje enskilt fall av mottagaren. Den faktiska begränsningen av direktåtkomsten görs med hjälp av olika tekniska lösningar, beroende på hur omfattningen av direktåtkomsten har begränsats i det enskilda fallet.

7.3 Elektronisk informationsöverföring på annat sätt än direktåtkomst

Förslag

ska få lämna ut personuppgifter elektroniskt på annat sätt än genom direktåtkomst, om det inte är olämpligt. En upplysningsbestämmelse ska införas om att regeringen, eller den myndighet som regeringen bestämmer, kan meddela föreskrifter som begränsar denna möjlighet.

Skälen för förslaget

Huvuddelen av all informationsöverföring mellan Myndigheten för utrikes underrättelser och andra myndigheter kommer ske elektroniskt. Det är alltför begränsande att endast enstaka personuppgifter skulle få lämnas ut på medium för automatiserad behandling. bör i stället ha möjlighet att lämna ut personuppgifter elektroniskt på annat sätt än genom direktåtkomst, om det inte är olämpligt. Föreskrifter om

238

Gemensamt tillgängliga personuppgifter och informationsutbyte

begränsningar av denna möjlighet kan lämpligen meddelas genom förordning.

7.4 Direktåtkomst

7.4.1 Direktåtkomst för Säkerhetspolisen, Försvarsmakten och Försvarets radioanstalt i Myndigheten för utrikes underrättelsers verksamhet

Förslag

Säkerhetspolisen, Försvarsmakten, och Försvarets radioanstalt ska få medges direktåtkomst hos Myndigheten för utrikes underrättelser till personuppgifter som utgör bearbetningsunderlag och analysresultat inom utrikes underrättelseverksamhet och som har gjorts gemensamt tillgängliga inom . En upplysningsbestämmelse ska införas om att regeringen, eller den myndighet som regeringen bestämmer, kan meddela föreskrifter om direktåtkomst till gemensamt tillgängliga personuppgifter i andra fall. Vidare ska en upplysningsbestämmelse införas om att regeringen eller den myndighet som regeringen bestämmer kan meddela föreskrifter om omfattningen av direktåtkomsten och om behörighet och säkerhet vid sådan åtkomst. Vid sidan av att meddela föreskrifter ska regeringen få besluta om detta i ett enskilt fall. Av den nya förordningen ska det framgå att Regeringskansliet, Nationella operativa avdelningen i Polismyndigheten, Kustbevakningen, Myndigheten för civilt försvar, Inspektionen för strategiska produkter, Försvarets materielverk, Totalförsvarets forskningsinstitut och Tullverket ska få medges direktåtkomst till personuppgifter som utgör bearbetningsunderlag och analysresultat och som har gjorts gemensamt tillgängliga inom . Av förordningen ska det också framgå vissa närmare krav avseende omfattningen av direktåtkomsten.

239

Gemensamt tillgängliga personuppgifter och informationsutbyte

Skälen för förslaget

Direktåtkomst för Säkerhetspolisen, Försvarsmakten och Försvarets radioanstalt i s utrikes underrättelseverksamhet

kommer att ha behov av att utbyta information med andra myndigheter i sin utrikes underrättelseverksamhet. Det kan exempelvis röra kartläggning av terrorhot. Det är viktigt att i så stor utsträckning som möjligt dra nytta av de effektivitetsvinster som modern teknik kan ge. I likhet med vad som gäller för Försvarsmakten behöver det även för finnas författningsstöd för att kunna medge direktåtkomst till vissa myndigheter för vissa syften. Det är viktigt att myndigheterna ges möjlighet att utföra sina uppgifter effektivt, med beaktande av den enskildes integritet och gällande säkerhetsskyddskrav. Det är som i det enskilda fallet avgör om direktåtkomst ska medges. Det är också myndigheten som avgör vilka uppgifter som ska vara tillgängliga för direktåtkomst. Vid direktåtkomst ska bestämmelser om sekretess, säkerhetsskydd och dataskydd beaktas hos Myndigheten för utrikes underrättelser, men också hos den mottagande myndigheten. Mottagande myndigheter ska behandla de mottagna personuppgifterna i enlighet med för dem gällande dataskyddsregelverk. Skulle det visa sig att en mottagande myndighet inte behandlar personuppgifter i enlighet med gällande rätt kan ansvarig tillsynsmyndighet ingripa. I en sådan eventuell situation skulle dessutom möjligheten till direktåtkomst behöva avbrytas av till dess att den mottagande myndigheten har vidtagit lämpliga åtgärder för att kunna uppfylla de krav som gäller. Detta gäller oavsett om stödet för direktåtkomst ges i lag eller förordning. I propositionen Ett mer effektivt informationsutbyte vid Nationellt centrum för terrorhotbedömning bedömde regeringen att ett möjliggörande av direktåtkomst som form för utlämnande av uppgifter mellan myndigheterna inom ramen för NCT-samarbetet inte medför att det uppkommer ett sådant betydande intrång i enskildas personliga integritet som innebär övervakning eller kartläggning i den mening som avses i 2 kap. 6 § andra stycket RF.

240

Gemensamt tillgängliga personuppgifter och informationsutbyte

Regeringen ansåg emellertid ändå att det framstod som mest ändamålsenligt att i det aktuella fallet reglera direktåtkomsten i lag, främst mot bakgrund av den känsliga verksamhet som myndigheterna inom NCT-samarbetet bedriver samt då utlämnandet förutsätter att sekretessbrytande bestämmelser om uppgiftsskyldighet faktiskt införs (prop. 2017/18:36 s. 26 – 28). I lagen om behandling av personuppgifter vid Försvarsmakten infördes en något vidgad möjlighet till direktåtkomst vid Försvarsmakten för Säkerhetspolisen och Försvarets radioanstalt. Regeringen bedömde emellertid att detta inte medförde någon annan bedömning i förhållande till 2 kap. 6 § andra stycket RF än den som görs i prop. 2017/18:36 (prop. 2020/21:224 s. 107). Det bedömdes inte heller som lämpligt att detaljreglera Försvarsmaktens verksamheter i lag. På samma sätt som för Försvarsmakten är det lämpligt att direktåtkomsten regleras i förordning, om lagreglering inte krävs och det inte heller finns andra omständigheter som talar för en reglering i lag. I likhet med det samarbete som i dag finns mellan Försvarsmakten, Försvarets radioanstalt och Säkerhetspolisen kommer behöva ha ett nära samarbete med dessa myndigheter. Myndigheten för utrikes underrättelser, Försvarsmakten och Försvarets radioanstalt kommer behöva ha ett nära samarbete med varandra när det t.ex. gäller yttre hot mot landet, hot mot säkerheten för svenska intressen vid genomförande av fredsfrämjande och humanitära insatser, konflikter utomlands med konsekvenser för internationell säkerhet och främmande makts agerande eller avsikter av väsentlig betydelse för svensk utrikes-, säkerhets- och försvarspolitik. Myndigheten för utrikes underrättelser, Försvarsmakten och Försvarets radioanstalt kommer vidare behöva ha ett nära samarbete med varandra och med Säkerhetspolisen när det t.ex. gäller kartläggning av verksamhet som rör internationell terrorism och annan grov gränsöverskridande brottslighet som kan hota väsentliga nationella intressen, utveckling och spridning av massförstörelsevapen, krigsmateriel, och produkter som avses i lagen (2000:1064) om kontroll av produkter med dubbla användningsområden och av tekniskt bistånd, allvarliga yttre hot mot samhällets infrastruktur och främmande underrättelseverksamhet mot svenska intressen.

241

Gemensamt tillgängliga personuppgifter och informationsutbyte

Detta samarbete har stor betydelse för Sveriges försvar och säkerhet, inte minst mot bakgrund av den säkerhetspolitiska utvecklingen under de senaste åren och det allvarliga säkerhetsläget. Samarbetet leder till att myndigheterna delger varandra underrättelser. Några hinder i form av sekretess föreligger typiskt sett inte för sådan delgivning. Samarbetet ställer emellertid krav på att myndigheterna på ett arbetsbesparande sätt kan ta del även av andra uppgifter hos varandra som de behöver för sin underrättelseoch säkerhetstjänst. Den föreslagna möjligheten till informationsutbyte mellan myndigheterna innebär att uppgifter från Myndigheten för utrikes underrättelser blir tillgängliga utanför det sammanhang där de ursprungligen behandlades. Sammanhanget skiljer sig dock inte på något avgörande sätt när det gäller den underrättelseverksamhet som de fyra myndigheterna har till uppgift att bedriva till skydd för Sveriges försvar och säkerhet. Ur ett integritetsskyddsperspektiv bör direktåtkomst dock endast kunna medges till uppgifter som är gemensamt tillgängliga i s verksamhet. Från ett integritetsskyddsperspektiv är det vidare en fördel om det tydligt framgår av författningstexten vilka uppgifter som får lämnas ut genom direktåtkomst. Möjlig direktåtkomst för Försvarsmakten, Säkerhetspolisen och Försvarets radioanstalt till personuppgifter som behandlas hos bör avse personuppgifter som utgör bearbetningsunderlag och analysresultat inom utrikes underrättelseverksamhet och som har gjorts gemensamt tillgängliga inom . I likhet med vad som gäller för Försvarsmakten är det lämpligt att den nya bestämmelsen anges i lag. Om det finns behov av att begränsa omfattningen av direktåtkomsten ytterligare kan det göras i förordning eller i myndighetsinterna föreskrifter.

Direktåtkomst för svenska myndigheter i andra situationer

Regeringen kan med stöd av 8 kap. 7 § RF meddela föreskrifter om vilka som i andra fall än de som omfattas av förslagen ovan får ha direktåtkomst till gemensamt tillgängliga uppgifter. Regeringen får enligt förslaget även besluta om detta i ett enskilt fall.

242

Gemensamt tillgängliga personuppgifter och informationsutbyte

Direktåtkomst som kan komma i fråga att regleras i förordning avser sådana uppgifter och syften som inte förutsätter reglering i lag. Bestämmelser om direktåtkomst måste alltid föregås av noggranna överväganden oavsett om regleringen ska tas in i lag eller förordning. kommer ha behov av att utbyta information med andra myndigheter än Försvarsmakten, Säkerhetspolisen och Försvarets radioanstalt i sin utrikes underrättelseverksamhet. I den nya förordningen bör det därför införas en möjlighet för Regeringskansliet, Nationella operativa avdelningen i Polismyndigheten, Kustbevakningen, Myndigheten för civilt försvar, Inspektionen för strategiska produkter, Försvarets materielverk, Totalförsvarets forskningsinstitut och Tullverket att medges direktåtkomst till personuppgifter som utgör bearbetningsunderlag och analysresultat och som har gjorts gemensamt tillgängliga inom .

Omfattningen av direktåtkomsten

Regeringen kan med stöd av 8 kap. 7 § RF meddela föreskrifter om omfattningen av den direktåtkomst som möjliggörs genom förslaget, samt om behörighet och säkerhet vid sådan åtkomst. Det kan t.ex. avse dokumentations- och användarkrav hos mottagaren. I den nya förordningen om behandling av personuppgifter vid bör det framgå att det är som beslutar omfattningen av direktåtkomst som följer av lag, förordning eller regeringens beslut i ett enskilt fall. Vidare bör det av förordningen framgå att Myndigheten för utrikes underrättelser ska säkerställa att förutsättningarna för direktåtkomsten dokumenteras. Det bör också framgå att tillgången till uppgifter hos mottagaren ska vara förbehållen de personer som på grund av sina arbetsuppgifter behöver ha tillgång till uppgifterna, liksom att någon direktåtkomst inte får medges innan Myndigheten för utrikes underrättelser har försäkrat sig om att mottagaren uppfyller kraven på behörighet och säkerhet.

243

Gemensamt tillgängliga personuppgifter och informationsutbyte

7.4.2 Direktåtkomst för Myndigheten för utrikes underrättelser i Säkerhetspolisen, Försvarsmakten och Försvarets radioanstalt verksamhet

Förslag

ska i sin verksamhet få medges direktåtkomst hos Säkerhetspolisen till personuppgifter som har gjorts gemensamt tillgängliga och som behandlas hos Säkerhetspolisen för att det är nödvändigt för att förebygga, förhindra, upptäcka, utreda eller lagföra viss brottslig verksamhet. ska få medges direktåtkomst hos Försvarsmakten och Försvarets radioanstalt till personuppgifter som utgör bearbetningsunderlag och analysresultat inom utrikes underrättelseverksamhet och som finns i uppgiftssamlingar. ska också få medges direktåtkomst till vissa personuppgifter hos Försvarsmakten som finns i en uppgiftssamling för säkerhetsunderrättelsetjänst. ska få medges direktåtkomst hos Försvarets radioanstalt till personuppgifter som utgör underrättelser och som finns i uppgiftssamlingar samt till personuppgifter som utgör analysresultat och som behandlas i en uppgiftssamling för informationssäkerhetsverksamhet.

Skälen för förslaget

Som framgår i avsnitt 7.4.1 ovan kommer Myndigheten för utrikes underrättelser behöva ha ett nära samarbete med Säkerhetspolisen, Försvarsmakten och Försvarets radioanstalt. Det finns, på samma sätt som det finns ett behov för dessa myndigheter till direktåtkomst till personuppgifter som behandlas hos Myndigheten för utrikes underrättelser, ett behov för att kunna medges direktåtkomst till vissa personuppgifter. bör i sin verksamhet få möjlighet till direktåtkomst till personuppgifter som behandlas hos

244

Gemensamt tillgängliga personuppgifter och informationsutbyte

Säkerhetspolisen. Sådan direktåtkomst bör avse personuppgifter som har gjorts gemensamt tillgängliga och som behandlas hos Säkerhetspolisen för att det är nödvändigt för att förebygga, förhindra, upptäcka, utreda eller lagföra viss brottslig verksamhet (2 kap. 1 § 1 och 2 lagen [2019:1182] om Säkerhetspolisens behandling av personuppgifter). Möjlig direktåtkomst för den nya myndigheten till personuppgifter som behandlas hos Försvarsmakten bör avse sådana personuppgifter som utgör bearbetningsunderlag och analysresultat och som finns i en uppgiftssamling för utrikes underrättelseverksamhet (3 kap. 3 § lagen om behandling av personuppgifter vid Försvarsmakten). Vidare bör Myndigheten för utrikes underrättelser få medges direktåtkomst till vissa personuppgifter hos Försvarsmakten som finns i en uppgiftssamling för säkerhetsunderrättelsetjänst. Möjlig direktåtkomst för den nya myndigheten till personuppgifter som behandlas hos Försvarets radioanstalt bör avse personuppgifter som utgör analysresultat inom utrikes underrättelseverksamheten och som finns i uppgiftssamlingar (3 kap. 2 § lagen [2021:1172] om behandling av personuppgifter vid Försvarets radioanstalt). Vidare bör Myndigheten för utrikes underrättelser få medges direktåtkomst till personuppgifter som utgör underrättelser och som finns i uppgiftssamlingar samt till personuppgifter som utgör analysresultat och som behandlas i en uppgiftssamling för informationssäkerhetsverksamhet (3 kap. 10 och 11 §§ förordningen [2021:1208] om behandling av personuppgifter vid Försvarets radioanstalt).

7.4.3 Direktåtkomst för utländsk underrättelse- eller säkerhetstjänst i Myndigheten för utrikes underrättelsers verksamhet

Förslag

Om det behövs för samarbetet mot terrorism eller vid svenskt deltagande i annat internationellt underrättelse- och säkerhets-

245

Gemensamt tillgängliga personuppgifter och informationsutbyte

samarbete ska en utländsk underrättelse- eller säkerhetstjänst få medges direktåtkomst hos Myndigheten för utrikes underrättelser till personuppgifter som behandlas i utrikes underrättelseverksamhet och som har gjorts gemensamt tillgängliga inom i syfte att ge mottagaren tillgång till uppgifterna.

Skälen för förslaget

En möjlighet för direktåtkomst i det internationella samarbetet

Det internationella samarbetet inom underrättelse- och säkerhetsområdet är av största vikt och kommer att vara så även i den nya myndighetens verksamhet. Den tekniska utvecklingen har också lett till att det är möjligt att säkerställa en nödvändig skyddsnivå för den utlämnande myndighetens system och personuppgifter. I likhet med vad som i dag gäller för bl.a. Försvarsmakten bör det därför införas en möjlighet för Myndigheten för utrikes underrättelser att kunna medge direktåtkomst för utländsk underrättelse- eller säkerhetstjänst. Den fortsatta tekniska utvecklingen medför att de tekniska förutsättningarna för att möjliggöra direktåtkomst ökar. måste dock alltjämt, enligt bl.a. gällande bestämmelser om sekretess, säkerhetsskydd och dataskydd, på förhand bedöma om direktåtkomst bör medges en utländsk aktör.

Myndighetens utrikes underrättelsesamarbete

Utvecklingen i Sverige och i omvärlden skärper kraven på Sveriges förmåga att värna sin säkerhet. Detta gäller inte minst på området utrikes underrättelseverksamhet, där internationell samverkan i många fall är helt nödvändig för att myndigheten ska kunna lösa sina uppgifter. Direktåtkomst kommer endast komma i fråga mellan underrättelsefunktioner som är delaktiga i ett tätt och interaktivt samarbete inom ramen för de utländska förhållanden som utrikes underrättelseverksamhet inriktas mot. De personuppgifter som

246

Gemensamt tillgängliga personuppgifter och informationsutbyte

kommer att överföras genom t.ex. direktåtkomst är sådana som bedömts vara relevanta för gemensamma underrättelseområden. Samarbetet mellan underrättelsefunktioner sker t.ex. genom att utbyta information vid fysiska möten eller genom elektroniskt utlämnande av meddelanden och rapporter. I de fall där samarbete i hög grad förutsätter skyndsamhet, samt i de fall där samarbete syftar till att gemensamt följa ett skeende, är det i vissa fall nödvändigt att inom ramen för samarbetet tillgängliggöra information genom direktåtkomst. En sådan situation kan exempelvis uppstå inför ett förmodat förestående terrordåd. Behov av att kunna medge direktåtkomst kan även uppstå på andra områden såsom när följer ett underrättelsemässigt intressant skeende tillsammans med en utländsk myndighet. I sådana fall är det angeläget att kunna tillgängliggöra ett samlat kunskapsläge över tid. En möjlighet bör kunna vara att Myndigheten för utrikes underrättelser medger en utländsk underrättelse- eller säkerhetstjänst direktåtkomst till personuppgifter som har gjorts gemensamt tillgängliga inom myndigheten specifikt för ett sådant samarbete. Om det behövs för samarbetet mot terrorism eller vid svenskt deltagande i annat internationellt underrättelse- och säkerhetssamarbete bör därför en utländsk underrättelse- eller säkerhetstjänst få medges direktåtkomst till personuppgifter som behandlas i myndighetens utrikes underrättelseverksamhet och som har gjorts gemensamt tillgängliga inom myndigheten i syfte att ge mottagaren tillgång till uppgifterna.

Omfattningen av direktåtkomsten

Den närmare omfattningen av den direktåtkomst som möjliggörs genom förslaget, samt dokumentations- och användarkrav hos mottagaren, kan lämpligen regleras i förordning i enlighet med vad som framgår i avsnitt 7.4.1.

247

Gemensamt tillgängliga personuppgifter och informationsutbyte

7.5 Bestämmelser som får sekretessbrytande verkan

7.5.1 Varför behövs bestämmelser som får sekretessbrytande verkan?

Sekretess hos

De personuppgifter som kommer behandla kommer som regel omfattas av utrikes- eller försvarssekretess enligt 15 kap. 1 och 2 §§ offentlighets- och sekretesslagen (2009:400). Utrikessekretess och försvarssekretess avser att skydda allmänna intressen. Utrikessekretess gäller bl.a. för uppgifter som rör Sveriges förbindelser med en annan stat eller en mellanfolklig organisation. Försvarssekretess gäller för uppgifter om det militära försvaret, totalförsvaret och rikets säkerhet. I avsnitt 3.2.6 föreslås att även omfattas av sekretessbestämmelsen i 38 kap. 4 § offentlighetsoch sekretesslagen. Uppgifter om enskilda i myndighetens utrikes underrättelseverksamhet och säkerhetsverksamhet kommer som regel omfattas av sekretess enligt den bestämmelsen. Sekretess gäller då i underrättelse- och säkerhetsverksamhet för uppgift om en enskilds personliga och ekonomiska förhållanden, om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider skada eller men.

Sekretess mellan myndigheter

Utrikes underrättelseverksamhet kommer bedrivas av Myndigheten för utrikes underrättelser, Försvarsmakten, Försvarets radioanstalt, Försvarets materielverk och Totalförsvarets forskningsinstitut. kommer även samarbeta bl.a. med Säkerhetspolisen i frågor som rör Sveriges säkerhet. Sekretess gäller i större eller mindre utsträckning för åtskilliga av de personuppgifter som behandlas inom dessa verksamheter. Enligt 8 kap. 1 § offentlighets- och sekretesslagen får uppgifter för vilka sekretess gäller inte röjas för andra myndigheter, om inte annat framgår av den lagen eller lag eller förordning till vilken lagen hänvisar. När uppgifter ska lämnas mellan myndigheter måste därför hänsyn tas till offentlighets- och sekretesslagstiftningen. Motsvarande begränsning gäller vid uppgiftslämnande mellan olika

248

Gemensamt tillgängliga personuppgifter och informationsutbyte

verksamhetsgrenar inom en myndighet, när dessa är att betrakta som självständiga i förhållande till varandra. Offentlighets- och sekretesslagen innehåller bestämmelser som möjliggör utbyte av uppgifter mellan myndigheter utan hinder av sekretess. Av 10 kap. 2 § offentlighets- och sekretesslagen framgår att sekretess inte hindrar att uppgifter lämnas till en annan myndighet, om det är nödvändigt för att den utlämnande myndigheten ska kunna fullgöra sin verksamhet. Bestämmelsen, som är avsedd att tillämpas restriktivt, medger inte sekretessgenombrott på den grunden att den mottagande myndigheten behöver uppgifterna i sin verksamhet. Enligt 10 kap. 28 § första stycket offentlighets- och sekretesslagen hindrar sekretess inte att uppgifter lämnas till en annan myndighet om uppgiftsskyldighet följer av lag eller förordning. Enligt den s.k. generalklausulen i 10 kap. 27 § offentlighets- och sekretesslagen gäller som huvudregel att en uppgift får lämnas ut till en annan myndighet, om det är uppenbart att intresset av att uppgiften lämnas ut har företräde framför det intresse som sekretessen ska skydda.

Förhållandet mellan direktåtkomst och sekretess

En bestämmelse om direktåtkomst reglerar endast tillåtligheten av ett visst tillvägagångssätt för att lämna ut uppgifter. En sådan bestämmelse har alltså inte någon sekretessbrytande effekt, den innebär inte en uppgiftsskyldighet enligt 10 kap. 28 § första stycket offentlighets- och sekretesslagen. Möjligheterna för t.ex. en myndighet att vid informationsutbyte med en annan myndighet överföra uppgifter genom att medge direktåtkomst till uppgifter som behandlas automatiserat begränsas därför inte sällan av sekretess. Eftersom direktåtkomst innebär att den mottagande myndigheten fritt kan avgöra vilka uppgifter – inom ramen för den beviljade direktåtkomsten – som den vill ta del av, anses uppgifterna utlämnade i och med att direktåtkomst medges. Det saknar betydelse om den mottagande myndigheten faktiskt tar del av en viss uppgift eller inte. En myndighet kan därför inte tillåta en annan myndighet direktåtkomst till uppgifter som, vid en sekretess-

249

Gemensamt tillgängliga personuppgifter och informationsutbyte

prövning, den senare myndigheten inte med säkerhet skulle ha rätt att ta del av. Direktåtkomst förutsätter därför att det är fråga om offentliga uppgifter, uppgifter som omfattas av en bestämmelse om uppgiftsskyldighet eller att det finns en annan sekretessbrytande bestämmelse som ger stöd för att uppgiften kan lämnas ut.

Sekretess i förhållande till en utländsk aktör

Uppgifter som omfattas av sekretess får som huvudregel inte röjas för en utländsk myndighet eller en mellanfolklig organisation. Det finns dock vissa undantag från denna huvudregel bl.a. om utlämnandet görs i enlighet med särskild föreskrift i lag eller förordning (8 kap. 3 § 1 offentlighets- och sekretesslagen). Sådana föreskrifter finns t.ex. i 2 kap. förordningen om behandling av personuppgifter vid Försvarsmakten. Enligt 2 kap. 1 § får Försvarsmakten inom ramen för verksamhet som rör Sveriges försvar och säkerhet överföra personuppgifter till en utländsk myndighet, en internationell organisation eller en enskild, om överföringen är nödvändig för att fullgöra myndighetens uppdrag. Enligt 2 kap. 2 § får Försvarsmakten inom ramen för internationellt försvars- och säkerhetssamarbete överföra personuppgifter till en utländsk myndighet eller en internationell organisation, om överföringen tjänar den svenska statsledningen eller det svenska totalförsvaret. Överföringen av personuppgifter får inte vara till skada för svenska intressen.

7.5.2 Bestämmelser som får sekretessbrytande verkan gentemot svenska myndigheter i Myndigheten för utrikes underrättelsers verksamhet

Förslag

Försvarsmakten, Försvarets radioanstalt, Säkerhetspolisen, Regeringskansliet, Nationella operativa avdelningen i Polismyndigheten, Kustbevakningen, Myndigheten för civilt försvar, Inspektionen för strategiska produkter, Försvarets

250

Gemensamt tillgängliga personuppgifter och informationsutbyte

materielverk, Totalförsvarets forskningsinstitut och Tullverket ska ha rätt att vid direktåtkomst hos Myndigheten för utrikes underrättelser ta del av de personuppgifter som omfattas av åtkomsten.

Skälen för förslaget

Sekretessen behöver kunna brytas

ska enligt vad som föreslås i avsnitt 7.4.1 ges möjlighet att lämna ut personuppgifter till Försvarsmakten, Försvarets radioanstalt och Säkerhetspolisen respektive Regeringskansliet, Nationella operativa avdelningen i Polismyndigheten, Kustbevakningen, Myndigheten för civilt försvar, Inspektionen för strategiska produkter, Försvarets materielverk, Totalförsvarets forskningsinstitut och Tullverket genom direktåtkomst. Eftersom de uppgifter som Myndigheten för utrikes underrättelser kommer behandla i sin verksamhet som regel omfattas av sekretess behövs det bestämmelser som bryter sekretessen för att utlämnandet genom direktåtkomst ska bli effektivt. I annat fall måste det göras en sekretessprövning i varje enskilt fall innan uppgifterna görs tillgängliga för direktåtkomst. En bestämmelse om direktåtkomst reglerar endast själva formen för utlämnandet, dvs. på vilket sätt uppgifterna får lämnas ut, och är inte en sådan uppgiftsskyldighet som har sekretessbrytande verkan enligt 10 kap. 28 § offentlighets- och sekretesslagen. Bestämmelser om direktåtkomst kompletteras därför ofta med bestämmelser som får sekretessbrytande verkan genom att de utformas som uppgiftsskyldigheter på det sätt som avses i 10 kap. 28 § offentlighets- och sekretesslagen. Det bör därför finnas en sådan bestämmelse för att utlämnandet genom direktåtkomst ska bli effektivt. Det finns bestämmelser om sekretessgenombrott som kan bli tillämpliga inom ramen för myndighetens utrikes underrättelseverksamhet. Utrikes underrättelsemyndigheterna kommer att rapportera underrättelser till berörda myndigheter (föreslagen lydelse av 2 § andra meningen lagen om utrikes underrättelseverksamhet). Bestämmelsen har sekretessbrytande verkan, men avser endast underrättelser.

251

Gemensamt tillgängliga personuppgifter och informationsutbyte

Vilken slags sekretess kan behöva brytas?

Frågan är vilken slags sekretess som behöver brytas för att ska kunna lämna ut uppgifter genom direktåtkomst. Nedan beskrivs sekretessbestämmelser som kan komma i fråga. Utrikessekretess gäller för uppgift som rör Sveriges förbindelser med en annan stat eller i övrigt rör bl.a. annan stat eller mellanfolklig organisation om det kan antas att det stör Sveriges mellanfolkliga förbindelser eller på annat sätt skadar landet om uppgiften röjs (15 kap. 1 § offentlighets- och sekretesslagen). Försvarssekretess gäller för uppgift som rör verksamhet för att försvara landet eller planläggning eller annan förberedelse av sådan verksamhet eller i övrigt rör totalförsvaret, om det kan antas att det skadar landets försvar eller på annat sätt vållar fara för rikets säkerhet om uppgiften röjs (15 kap. 2 § offentlighets- och sekretesslagen). Med hänsyn till de skyddssyften som utrikes- och försvarssekretessen har och Myndigheten för utrikes underrättelsers, Försvarsmaktens, Försvarets radioanstalts och Säkerhetspolisens uppgifter i fråga om Sveriges säkerhet bör det i många fall inte medföra någon fara för rikets säkerhet eller innebära någon skada för verksamhet, eller annan skada enligt sekretessbestämmelserna, att sådana uppgifter som Myndigheten för utrikes underrättelser anser bör göras tillgängliga för Försvarsmakten, Försvarets radioanstalt och Säkerhetspolisen lämnas ut till dessa myndigheter. Skaderekvisitet är då inte uppfyllt och något generellt behov av att bryta sekretessen enligt dessa bestämmelser kan inte anses föreligga. I de fall utlämnandet av en uppgift till någon av de aktuella myndigheterna skulle innebära att s egen verksamhet riskerar att skadas, bör direktåtkomst givetvis inte komma i fråga. Uppgifter om enskildas personliga och ekonomiska förhållanden som kan förekomma i myndighetens utrikes underrättelseverksamhet och säkerhetsverksamhet kommer som regel omfattas av sekretess enligt den föreslagna lydelsen av 38 kap. 4 § offentlighets- och sekretesslagen. Utlämnande av sådana uppgifter kan i de flesta fall typiskt sett anses vara till skada eller men för den enskilde. Om sådana uppgifter ska lämnas ut måste dessutom en sekretessprövning göras i varje enskilt fall. Det är inte möjligt att på

252

Gemensamt tillgängliga personuppgifter och informationsutbyte

förhand göra en generell intresseavvägning i fråga om sådana uppgifter. För att ska kunna utbyta den typen av uppgifter med relevanta myndigheter genom direktåtkomst, krävs det därför att sekretessen bryts.

Bestämmelser om uppgiftsskyldighet bör införas

Bestämmelser med sekretessbrytande verkan i form av uppgiftsskyldighet utformas inte sällan som en rätt för mottagaren att ta del av vissa uppgifter, se t.ex. 3 kap. 3 § lagen om behandling av personuppgifter vid Försvarsmakten. Bestämmelsen i den nya lagen som ska få sekretessbrytande verkan bör utformas på motsvarande sätt. Uppgiftsskyldigheten bör omfatta sådana uppgifter som de mottagande myndigheterna får ta del av genom direktåtkomst (avsnitt 7.4.1). Förslaget innebär att sekretessgenombrott ska tillåtas i vissa fall. Bestämmelsen om utlämnande måste emellertid ses tillsammans med hur regelsystemet i övrigt har utformats. För det första bör utlämnandet bara få avse uppgifter som har gjorts gemensamt tillgängliga. Detta innebär i sig en begränsning, eftersom många av de uppgifter som kommer behandla aldrig kommer att göras gemensamt tillgängliga. Möjligheten att medge direktåtkomst begränsas också till en viss typ av uppgifter. Om direktåtkomst medges, kommer dessutom tillgången till olika typer av uppgifter att begränsas genom behörighetsregler. När en uppgift blir åtkomlig för en tjänsteman vid en annan myndighet kommer den myndighetens registerförfattning att bli tillämplig, vilken i likhet med vad som gäller för innehåller bestämmelser som syftar till att minska risken för integritetsintrång. Bestämmelsen som får sekretessbrytande verkan måste också ses tillsammans med bestämmelserna om att tillgången till personuppgifter ska begränsas till vad den enskilde tjänstemannen behöver för att fullgöra sina arbetsuppgifter. Förslaget skapar förutsättningar för bättre informationsutbyte mellan de aktuella myndigheterna, samtidigt som risken för integritetsintrång beaktas. I de fall det behövs bestämmelser som får sekretessbrytande verkan för svenska myndigheters direktåtkomst till personuppgifter

253

Gemensamt tillgängliga personuppgifter och informationsutbyte

hos i andra fall än de som nu föreslås regleras i lag, kan detta lämpligen regleras i förordning. I avsnitt 7.4.1 förslås att Regeringskansliet, Nationella operativa avdelningen i Polismyndigheten, Kustbevakningen, Myndigheten för civilt försvar, Inspektionen för strategiska produkter, Försvarets materielverk, Totalförsvarets forskningsinstitut och Tullverket ska omfattas av möjligheten till direktåtkomst till personuppgifter som utgör bearbetningsunderlag och analysresultat inom utrikes underrättelseverksamhet och som har gjorts gemensamt tillgängliga inom . I den nya förordningen bör det också införas en bestämmelse som får sekretessbrytande verkan i form av en motsvarande uppgiftsskyldighet som beskrivits ovan.

7.5.3 Bestämmelser som får sekretessbrytande verkan gentemot i Säkerhetspolisen, Försvarsmaktens och Försvarets radioanstalts verksamheter

Förslag

ska, trots viss sekretess enligt offentlighets- och sekretesslagen, ha rätt att ta del av personuppgifter hos Säkerhetspolisen som har gjorts gemensamts tillgängliga och som behandlas hos Säkerhetspolisen för vissa syften, om myndigheten behöver uppgifterna i sin verksamhet. ska ha rätt att vid direktåtkomst hos Försvarsmakten och Försvarets radioanstalt ta del av de personuppgifter som omfattas av åtkomsten.

Skälen för förslaget

Det finns, på samma sätt som det finns ett behov för bestämmelser med sekretessbrytande verkan gentemot vissa myndigheter för personuppgifter som behandlas i Myndigheten för utrikes underrättelsers verksamhet, ett behov av bestämmelser med

254

Gemensamt tillgängliga personuppgifter och informationsutbyte

sekretessbrytande verkan gentemot Myndigheten för utrikes underrättelser för personuppgifter som behandlas i Säkerhetspolisens, Försvarsmaktens och Försvarets radioanstalts verksamheter. Av 2 kap. 18 § lagen om Säkerhetspolisens behandling av personuppgifter följer att Försvarsmakten, trots sekretess enligt 21 kap. 3 § första stycket, 35 kap. 1 § och 37 kap. 1 § offentlighetsoch sekretesslagen (2009:400), har rätt att ta del av personuppgifter som har gjorts gemensamt tillgängliga och som behandlas för vissa syften, om myndigheten behöver uppgifterna i sin utrikes underrättelseverksamhet eller militära säkerhetstjänst. Detsamma gäller Försvarets radioanstalt, om myndigheten behöver uppgifterna i sin utrikes underrättelseverksamhet. Bestämmelsen omfattar sådana sekretessbestämmelser i offentlighets- och sekretesslagen som gäller uppgifter om enskildas personliga och ekonomiska förhållanden (21 kap. 3 § första stycket, 35 kap. 1 § och 37 kap. 1 §). Bestämmelserna i 15 kap. 1 och 2 §§ och 18 kap. 1 och 2 §§ offentlighets- och sekretesslagen avser att skydda nationens intressen och den verksamhet som Säkerhetspolisen bedriver. I förarbetena till 2 kap. 18 § lagen om Säkerhetspolisens behandling av personuppgifter framgår att det inte bör medföra någon fara för rikets säkerhet eller innebära någon skada för Säkerhetspolisens verksamhet eller för nationen att sådana uppgifter som Säkerhetspolisen anser bör göras tillgängliga för bl.a. Försvarsmakten och Försvarets radioanstalt lämnas ut till dessa. Några sekretessbrytande bestämmelser avseende den sekretess som regleras i 15 kap. 1 och 2 §§ och 18 kap. 1 och 2 §§ offentlighets- och sekretesslagen ansågs därför inte behövas. Samma bedömning gjordes i fråga om uppgifter som omfattas av sekretess enligt 21 kap. 5 § offentlighets- och sekretesslagen (propositionen Ny lag om Säkerhetspolisens behandling av personuppgifter, prop. 2018/19:163 s. 112 f.). Det finns inte anledning att göra någon annan bedömning avseende utlämnanden till . bör också omfattas av den bestämmelsen i 2 kap. 18 § som har sekretessbrytande verkan och som medför att uppgifter om enskildas personliga och ekonomiska förhållanden (21 kap. 3 § första stycket, 35 kap. 1 § och 37 kap. 1 §) kan lämnas ut till , om

255

Gemensamt tillgängliga personuppgifter och informationsutbyte

myndigheten behöver uppgifterna i sin verksamhet, och dessa har gjorts gemensamt tillgängliga och behandlas hos Säkerhetspolisen för vissa syften. På samma sätt som för Försvarsmakten och Försvarets radioanstalt finns det inte något behov av att bryta sekretessen enligt 15 kap. 1 och 2 §§ och 18 kap. 1 och 2 §§ och 21 kap. 5 § offentlighets- och sekretesslagen. Sekretessen behöver även brytas för att Myndigheten för utrikes underrättelser vid direktåtkomst vid Försvarsmakten och Försvarets radioanstalt (se avsnitt 7.4.2) ska kunna ta del av sådana uppgifter om enskildas personliga och ekonomiska förhållanden som omfattas av sekretess. I lagen om behandling av personuppgifter vid Försvarsmakten, lagen om behandling av personuppgifter vid Försvarets radioanstalt och förordningen om behandling av personuppgifter vid Försvarets radioanstalt finns bestämmelser med sekretessbrytande verkan som innebär att de myndigheter som kan medges direktåtkomst till vissa personuppgifter även har rätt att ta del av dessa. bör omfattas av sådana bestämmelser med sekretessbrytande verkan som gör att har rätt att vid direktåtkomst hos Försvarsmakten och Försvarets radioanstalt ta del av de personuppgifter som omfattas av åtkomsten.

7.6 Överföring av personuppgifter till andra länder och internationella organisationer

Förslag

ska få föra över personuppgifter till ett annat land eller en internationell organisation endast om sekretess inte hindrar det och det är nödvändigt för att ska kunna fullgöra sina uppgifter inom ramen för det internationella utrikes underrättelsesamarbetet och säkerhetssamarbetet. En upplysningsbestämmelse ska införas om att regeringen, eller den myndighet som regeringen bestämmer, kan meddela föreskrifter om att överföring får ske även i andra fall om det är

256

Gemensamt tillgängliga personuppgifter och informationsutbyte

nödvändigt för verksamheten vid Myndigheten för utrikes underrättelser. Regeringen ska också få besluta om sådan överföring i ett enskilt fall. I den nya förordningen ska det införas bestämmelser som får sekretessbrytande verkan och som möjliggör överföring av personuppgifter till en utländsk myndighet, en internationell organisation eller en enskild inom ramen för verksamhet som rör Sveriges säkerhet samt till en utländsk myndighet eller en internationell organisation inom ramen för internationellt utrikes underrättelsesamarbete och säkerhetssamarbete.

Skälen för förslaget

Enligt förordningen om utrikes underrättelseverksamhet får de myndigheter som bedriver utrikes underrättelseverksamhet samarbeta i underrättelsefrågor med andra länder och internationella organisationer endast under förutsättning att syftet med samarbetet är att tjäna den svenska statsledningen och det svenska totalförsvaret. De uppgifter som myndigheterna lämnar till andra länder och internationella organisationer får inte vara till skada för svenska intressen (3 §). Utöver statens intresse har detta i rättstillämpningen även ansetts inbegripa intressen hos svenska företag och enskilda. Möjligheten att kunna överföra information till ett annat land och internationella organisationer kommer vara av avgörande betydelse för s verksamhet. Sådan information kommer inte sällan innehålla personuppgifter. Det kan finnas en viss grad av osäkerhet när det gäller att överföra personuppgifter till ett annat land eller en internationell organisation. Det kommer därför att medföra ett stort ansvar för när det gäller att bedöma i vilka fall personuppgifter kan överföras. Underrättelsesamarbete bygger på ett ömsesidigt förtroende och en motpart som missbrukar förtroendet kommer inte längre att få ta del av information. är inte i något fall skyldig att överföra personuppgifter till ett annat land eller en internationell organisation.

257

Gemensamt tillgängliga personuppgifter och informationsutbyte

Det bör dock finnas en möjlighet för Myndigheten för utrikes underrättelser att föra över personuppgifter till ett annat land eller en internationell organisation. Det ska få ske endast om sekretess inte hindrar det och det är nödvändigt för att Myndigheten för utrikes underrättelser ska kunna fullgöra sina uppgifter inom ramen för det internationella utrikes underrättelsesamarbetet och säkerhetssamarbetet. En upplysningsbestämmelse bör införas om att regeringen, eller den myndighet som regeringen bestämmer, i förordning kan meddela föreskrifter om att överföring får ske i andra fall om det är nödvändigt för verksamheten hos Myndigheten för utrikes underrättelser. Regeringen bör också kunna besluta om sådan överföring i ett enskilt fall. Ett behov av överföring av personuppgifter kan t.ex. uppkomma i myndighetens administrativa verksamhet. Närmare villkor för i vilka fall överföring av personuppgifter till utlandet ska få ske kan lämpligen regleras i förordning. I den nya förordningen bör det införas bestämmelser som får sekretessbrytande verkan och som möjliggör överföring av personuppgifter till en mottagare utomlands inom ramen för verksamhet som rör Sveriges säkerhet samt internationellt utrikes underrättelsesamarbete och säkerhetssamarbete. bör inom ramen för verksamhet som rör Sveriges säkerhet få överföra personuppgifter till en utländsk myndighet, en internationell organisation eller en enskild, om överföringen är nödvändig för att fullgöra myndighetens uppdrag. bör vidare inom ramen för internationellt utrikes underrättelsesamarbete och säkerhetssamarbete få överföra personuppgifter till en utländsk myndighet eller en internationell organisation, om överföringen tjänar den svenska statsledningen eller det svenska totalförsvaret. Överföringen av personuppgifter får inte vara till skada för svenska intressen.

258

8 Personuppgiftsansvar

8.1 Vem är personuppgiftsansvarig?

Förslag

Personuppgiftsansvarig ska vara den som ensam eller tillsammans med andra bestämmer ändamålen med eller medlen för behandlingen av personuppgifter. ska vara personuppgiftsansvarig för all behandling av personuppgifter som myndigheten utför, som utförs under myndighetens ledning eller på dess vägnar.

Skälen för förslaget

Det bör i den nya lagen införas en definition av vad som avses med personuppgiftsansvarig. Med personuppgiftsansvarig bör avses den som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen av personuppgifter. I den nya lagen bör vidare anges att Myndigheten för utrikes underrättelser är personuppgiftsansvarig för all behandling av personuppgifter som myndigheten utför. Det bör också uttryckligen framgå att personuppgiftsansvaret även inbegriper behandling av personuppgifter som utförs under myndighetens ledning eller på dess vägnar.

259

Personuppgiftsansvar

8.2 Det bör inte finnas någon reglering av gemensamt personuppgiftsansvar

Bedömning

Det bör inte finnas någon särskild bestämmelse om gemensamt personuppgiftsansvar.

Skälen för bedömningen

Enligt förslaget ska med personuppgiftsansvarig avses den som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen. Två eller flera personuppgiftsansvariga kan alltså vara gemensamt personuppgiftsansvariga för viss behandling. Ett samarbete mellan två eller flera myndigheter medför inte automatiskt ett gemensamt ansvar för behandlingen av personuppgifter. Det avgörande är i stället om de deltagande myndigheterna i någon mån tillsammans bestämmer ändamålen med och medlen för behandlingen. I många fall då myndigheter samarbetar framgår det av de faktiska omständigheterna vem som är ansvarig för vilken personuppgiftsbehandling, t.ex. genom att det endast är en myndighet som har tillgång till personuppgifterna eller it-systemet, eller om myndigheterna agerar i olika skeden av en process. Det förhållandet att två myndigheter använder samma datasystem eller att en myndighet ger en annan myndighet direktåtkomst till ett visst datasystem innebär inte heller per automatik att det uppstår ett gemensamt personuppgiftsansvar. Gemensamt personuppgiftsansvar kan uppkomma om tillsammans med någon annan aktör i Sverige eller utomlands har bestämt ändamålen med och medlen för behandlingen av personuppgifter. Detta följer av den föreslagna definitionen av personuppgiftsansvarig (se avsnitt 8.1). Det är därför inte nödvändigt att införa någon särskild reglering av gemensamt personuppgiftsansvar.

260

Personuppgiftsansvar

8.3 Skyldigheter som personuppgiftsansvarig

8.3.1 Författningsenlig behandling

Förslag

ska genom lämpliga tekniska och organisatoriska åtgärder säkerställa att behandlingen av personuppgifter är författningsenlig och att den registrerades rättigheter skyddas. ska se till att tillgången till personuppgifter begränsas till vad var och en behöver för att kunna fullgöra sina arbetsuppgifter.

Skälen för förslaget

Det bör införas en bestämmelse i den nya lagen om en generell skyldighet för att, genom lämpliga tekniska och organisatoriska åtgärder, säkerställa att behandlingen av personuppgifter är författningsenlig och att myndigheten skyddar rättigheterna för den vars uppgifter behandlas. De närmare tekniska och organisatoriska åtgärder som bör vidta beror på vilken verksamhet hos myndigheten det rör sig om. Vilka närmare åtgärder som ska vidta eller vilka omständigheter som myndigheten ska beakta vid beslut om åtgärder kan lämpligen regleras i förordning (se avsnitt 8.6 nedan). Vidare bör det framgå av lagen att tillgången till personuppgifter begränsas till vad var och en behöver för att kunna fullgöra sina arbetsuppgifter. Det avser såväl tillgången till uppgifterna inom som den tillgång som personal vid andra myndigheter ges genom direktåtkomst.

261

Personuppgiftsansvar

8.3.2 Säkerheten för personuppgifter

Förslag

ska vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas, särskilt mot obehörig eller otillåten behandling, och mot förlust, förstöring eller annan oavsiktlig skada.

Skälen för förslaget

Det är viktigt att skyddar de personuppgifter som behandlas. I den nya lagen bör det framgå att ska vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas, särskilt mot obehörig eller otillåten behandling, och mot förlust, förstöring eller annan oavsiktlig skada. Det kan i förordning anges vilka omständigheter som ska beakta vid beslut om åtgärder. Vid den bedömningen har det betydelse bl.a. vilka personuppgifter som ska behandlas, mängden uppgifter och hur integritetskänsliga uppgifterna är (se avsnitt 8.6 nedan).

8.3.3 Inget krav på en särskild konsekvensbedömning

Bedömning

En särskild bestämmelse om konsekvensbedömning bör inte införas i den nya lagen.

262

Personuppgiftsansvar

Skälen för bedömningen

EU:s dataskyddsförordning ställer krav på konsekvensbedömningar och en skyldighet för den personuppgiftsansvarige att samråda med tillsynsmyndigheten. Enligt kraven ska konsekvenserna för skyddet av personuppgifter bedömas om en ny typ av behandling, eller betydande förändringar avseende redan pågående behandling, kan antas medföra särskild risk för intrång i registrerades personliga integritet. Bedömningen ska ske innan typen av behandling påbörjas eller förändringen genomförs. Om konsekvensbedömningen visar att det finns särskild risk för intrång i registrerades personliga integritet eller om typen av behandling innebär särskild risk för intrång ska personuppgiftsansvarig myndighet samråda med tillsynsmyndigheten i god tid innan behandlingen påbörjas eller betydande förändringar genomförs. Konsekvensbedömningarna bör omfatta relevanta system och processer, men inte enskilda fall. Det ska alltså vara fråga om en typ av behandling. En konsekvensbedömning ska dokumenteras, exempelvis i en skriftlig rapport. Lagförslaget innebär att den personuppgiftsansvarige kontinuerligt måste bedöma konsekvenserna för skyddet av personuppgifter. Någon särskild bestämmelse om att Myndigheten för utrikes underrättelser ska genomföra en konsekvensbedömning vid behandling av personuppgifter är därför inte nödvändig.

8.3.4 Ingen skyldighet att anmäla personuppgiftsincidenter

Bedömning

Det finns inte något behov av att införa en bestämmelse om skyldighet för att anmäla personuppgiftsincidenter till tillsynsmyndigheten.

Skälen för bedömningen

Enligt 1 kap. 4 § dataskyddslagen undantas rapportering av dataskyddsincidenter (artiklarna 33 och 34 i dataskyddsförordningen)

263

Personuppgiftsansvar

bl.a. i fråga om personuppgiftsincidenter som ska rapporteras enligt säkerhetsskyddslagen eller föreskrifter som har meddelats i anslutning till den lagen. Det innebär att sådana incidenter som enligt 2 kap. 4 § säkerhetsskyddsförordningen (2021:955) ska anmälas till Säkerhetspolisen, inte också ska rapporteras till tillsynsmyndigheten enligt dataskyddsförordningen. Av 2 kap. 4 § första stycket säkerhetsskyddsförordningen framgår att en verksamhetsutövare – dvs. den som till någon del bedriver säkerhetskänslig verksamhet – skyndsamt ska anmäla till Säkerhetspolisen om 1. det finns skäl att anta att en säkerhetsskyddsklassificerad uppgift otillåtet har röjts, 2. det inträffat en it-incident i ett informationssystem som verksamhetsutövaren är ansvarig för och som har betydelse för säkerhetskänslig verksamhet och där incidenten allvarligt kan påverka säkerheten i systemet, eller 3. verksamhetsutövaren får kännedom eller misstanke om någon annan för denne allvarlig säkerhetshotande verksamhet. Eventuella personuppgiftsincidenter som inträffar i Myndigheten för utrikes underrättelsers informationssystem och som drabbar personuppgifter som behandlas med stöd av den nya lagen kommer att röra nationell säkerhet. Sådana personuppgiftsincidenter hos kommer således att omfattas av rapporteringskravet i säkerhetsskyddsförordningen. Det finns därmed inte något behov av att i den nya lagen ta in en bestämmelse om rapportering av personuppgiftsincidenter till tillsynsmyndigheten.

8.4 Dataskyddsombud

Förslag

Dataskyddsombud ska i den nya lagen definieras som en fysisk person som utses av den personuppgiftsansvarige för att självständigt kontrollera att personuppgifter behandlas författningsenligt och på ett korrekt sätt.

264

Personuppgiftsansvar

ska utse ett eller flera dataskyddsombud och anmäla till tillsynsmyndigheten när dataskyddsombud utses och entledigas. Dataskyddsombud ska självständigt kontrollera att behandlar personuppgifter författningsenligt och på ett korrekt sätt och i övrigt fullgör sina skyldigheter, informera och ge råd till Myndigheten för utrikes underrättelser och till dem som behandlar personuppgifter under myndighetens ledning om deras skyldigheter vid behandling av personuppgifter, vara kontaktpunkt för enskilda i frågor som rör Myndigheten för utrikes underrättelsers behandling av personuppgifter, och vid behov söka vägledning av tillsynsmyndigheten.

Skälen för förslaget

ska utse ett eller flera dataskyddsombud

I likhet med vad som gäller enligt t.ex. lagen om behandling av personuppgifter vid Försvarsmakten bör det finnas dataskyddsombud vid . Myndigheten för utrikes underrättelser bör utse ett eller flera dataskyddsombud och anmäla till tillsynsmyndigheten när dataskyddsombud utses och entledigas. Det finns skäl att införa en definition av dataskyddsombud i den nya lagen. Denna bör utformas på samma sätt som den som gäller enligt lagen om behandling av personuppgifter vid Försvarsmakten. I likhet med den lagen ska den nya lagen endast tillämpas i verksamheten hos . kommer att bedriva verksamhet som kännetecknas av särskild reglering och krav på hög grad av it-säkerhet. Myndighetens verksamhet kommer att kräva ett väl fungerande säkerhetsskydd och kommer i hög grad omfattas av sekretess. Personuppgiftsbehandlingen kräver sakkunskap om verksamheten. Ett dataskyddsombud bör definieras som en fysisk person som utses av den personuppgiftsansvarige för att självständigt

265

Personuppgiftsansvar

kontrollera att personuppgifter behandlas författningsenligt och på ett korrekt sätt. Dataskyddsombudets roll bör som utgångpunkt inte avvika från annan jämförbar reglering. Dataskyddsombudet bör därför självständigt kontrollera att behandlar personuppgifter författningsenligt och på ett korrekt sätt och att myndigheten i övrigt fullgör sina skyldigheter. Dataskyddsombudet bör vidare självständigt informera och ge råd till och dem som behandlar personuppgifter under myndighetens ledning om deras skyldigheter vid behandling av personuppgifter, vara kontaktpunkt för enskilda i frågor som rör s behandling av personuppgifter och, vid behov, söka vägledning av tillsynsmyndigheten. En kontakt med tillsynsmyndigheten bör som utgångspunkt ske först efter det att dataskyddsombudet haft kontakt med berörda vid den egna myndigheten. Det finns skäl att påminna om att kravet på självständighet innebär att dataskyddsombud ska kunna utföra sina arbetsuppgifter på ett oberoende sätt. Det hindrar inte att dataskyddsombudet även har andra arbetsuppgifter hos Myndigheten för utrikes underrättelser. Myndigheten måste dock utforma sin interna organisation på ett sätt som säkerställer att dataskyddsombudet kan utföra sina arbetsuppgifter som dataskyddsombud på ett oberoende sätt. Utformningen av den interna organisationen är alltså ett ansvar för den personuppgiftsansvarige.

Bör dataskyddsombud även ges andra arbetsuppgifter?

Som framgår ovan ska dataskyddsombudet vara kontaktpunkt för enskilda i frågor som rör s behandling av personuppgifter. Ett dataskyddsombud vid t.ex. Försvarsmakten fungerar som kontaktpunkt för registrerade i frågor om rättelse och är typiskt sett inte den som i praktiken rättar personuppgifter. Dataskyddsombud används emellertid också som kontaktpunkt för registrerade i andra frågor som rör behandling av personuppgifter, t.ex. för enskilda i frågor som rör behandling av personuppgifter.

266

Personuppgiftsansvar

Dataskyddsombud vid bör ha samma roll i förhållande till enskilda som dataskyddsombud vid Försvarsmakten. Dataskyddsombudens uppgifter i egenskap av kontaktpunkt för enskilda bör, i likhet med vad som gäller för Försvarsmakten, inte författningsregleras.

Dataskyddsombudets möjlighet att utföra sina uppgifter

För att dataskyddsombudet ska kunna utföra sina arbetsuppgifter krävs det att , i egenskap av personuppgiftsansvarig, gör det möjligt och tillhandahåller de resurser som ombudet behöver. Myndigheten bör t.ex. göra ombudet delaktigt i frågor som rör skyddet av personuppgifter. Ombudet bör också få tillgång till dokumentation gällande personuppgiftsbehandlingen och, i den utsträckning det behövs, tillgång till de personuppgifter som behandlas. De särskilda behörighetskrav som kommer gälla för all verksamhet vid , inbegripet behandlingen av personuppgifter, måste även beaktas i förhållande till dataskyddsombudet. bör se till att ombudet ges utrymme för vidareutbildning och annan kunskapsinhämtning. Bestämmelser om vilka åtgärder den personuppgiftsansvarige måste vidta för att dataskyddsombudet ska kunna utföra sina uppgifter kan vid behov tas in i förordning (se avsnitt 8.6 nedan).

8.5 Personuppgiftsbiträden

8.5.1 Definition av personuppgiftsbiträde

Förslag

Personuppgiftsbiträde ska i den nya lagen definieras som den som behandlar personuppgifter för den personuppgiftsansvariges räkning.

267

Personuppgiftsansvar

Skälen för förslaget

I den nya lagen bör det införas en definition av personuppgiftsbiträde. Denna bör vara densamma som den som gäller på det aktuella området för Försvarsmakten och som också finns i dataskyddsförordnigen. Med personuppgiftsbiträde enligt den nya lagen bör således avses den som behandlar personuppgifter för den personuppgiftsansvariges räkning. Ett personuppgiftsbiträde kan vara en fysisk eller juridisk person, institution eller annat organ som behandlar personuppgifter för den personuppgiftsansvariges räkning. Personuppgiftsbiträdet måste alltid finnas utanför den personuppgiftsansvariges organisation. En anställd eller någon annan som behandlar personuppgifter under den personuppgiftsansvariges direkta ansvar kan inte vara personuppgiftsbiträde.

8.5.2 Anlitande av personuppgiftsbiträden

Förslag

ska, om det är lämpligt, få anlita personuppgiftsbiträden. Innan ett personuppgiftsbiträde anlitas, ska myndigheten försäkra sig om att biträdet kommer att vidta de lämpliga tekniska och organisatoriska åtgärder som krävs för att behandlingen av personuppgifter ska vara författningsenlig och för att skydda registrerades rättigheter. Det ska finnas ett skriftligt avtal eller annan skriftlig överenskommelse om personuppgiftsbiträdets behandling av personuppgifter för s räkning. Ett personuppgiftsbiträde ska inte få anlita ett annat personuppgiftsbiträde utan skriftligt tillstånd från Myndigheten för utrikes underrättelser.

Skälen för förslaget

bör, om det är lämpligt, kunna anlita personuppgiftsbiträden för behandling av

268

Personuppgiftsansvar

personuppgifter på s vägnar. Frågan om det i ett enskilt fall är lämpligt att anlita ett personuppgiftsbiträde får avgöras med hänsyn bl.a. till vilka personuppgifter som ska behandlas. Det är också viktigt att beakta i vilken utsträckning som det gäller sekretess för personuppgifterna i fråga. Det bör också, i likhet med vad som gäller enligt lagen om behandling av personuppgifter vid Försvarsmakten, införas en reglering som innebär att det ska finnas ett skriftligt avtal eller annan skriftlig överenskommelse om personuppgiftsbiträdets behandling av personuppgifter för myndighetens räkning. Myndigheten för utrikes underrättelser bör också, innan ett personuppgiftsbiträde anlitas, försäkra sig om att biträdet kommer att vidta de lämpliga tekniska och organisatoriska åtgärder som krävs för att behandlingen av personuppgifter ska vara författningsenlig och för att skydda registrerades rättigheter. Det är av grundläggande betydelse att den personuppgiftsansvarige känner till vilka personuppgiftsbiträden som behandlat personuppgifter för dennes räkning. Ett personuppgiftsbiträde bör därför inte få anlita ett annat personuppgiftsbiträde utan att den personuppgiftsansvarige har lämnat skriftligt tillstånd till det. Det närmare innehållet i en överenskommelse om anlitande av personuppgiftsbiträde kan lämpligen regleras i förordning (se avsnitt 8.6 nedan).

8.5.3 Behandling enligt den personuppgiftsansvariges instruktioner

Förslag

Ett personuppgiftsbiträde och de som arbetar under biträdets ledning ska behandla personuppgifter i enlighet med instruktioner från . Om ett personuppgiftsbiträde, i strid med Myndigheten för utrikes underrättelsers instruktioner, bestämmer ändamålen med och medlen för behandlingen ska biträdet anses vara personuppgiftsansvarig för den behandlingen.

269

Personuppgiftsansvar

Skälen för förslaget

Ett personuppgiftsbiträde och den eller de personer som arbetar under biträdets eller s ledning bör kunna behandla personuppgifter bara i enlighet med instruktioner från . Instruktionerna från den personuppgiftsansvariga myndigheten bör vara så tydliga att otillåten behandling inte utförs. Den överenskommelse som styr personuppgiftsbiträdets uppdrag bör innehålla viss information som ger instruktioner till biträdet, bl.a. om behandlingens varaktighet, art och ändamål (se avsnitt 8.6 nedan). Instruktionerna kan också gälla exempelvis hur tillgången till personuppgifter hos biträdet ska begränsas, om biträdet ska använda kryptering vid kommunikation och andra åtgärder som krävs för att skydda personuppgifterna. Överföring av personuppgifter till tredje part eller en internationell organisation förutsätter att biträdet har fått i uppdrag att göra det. Sådana uppdrag bör också framgå av de instruktioner som den personuppgiftsansvarige lämnar till biträdet. Att den som bestämmer ändamålen med och medlen för behandlingen är att anse som personuppgiftsansvarig framgår av den föreslagna definitionen av personuppgiftsansvarig. I den nya lagen bör det tydliggöras att ett personuppgiftsbiträde som går utanför sin befogenhet och behandlar personuppgifter för något annat ändamål än enligt sina instruktioner är personuppgiftsansvarig. I sådana fall kan personuppgiftsbiträdet bli skadeståndsskyldig på grund av den behandlingen.

8.5.4 Övriga skyldigheter för personuppgiftsbiträden

Förslag

Ett personuppgiftsbiträde ska ha samma skyldigheter som en personuppgiftsansvarig att begränsa tillgången till personuppgifter och vidta säkerhetsåtgärder.

270

Personuppgiftsansvar

Skälen för förslaget

Det bör i den nya lagen uttryckligen anges att ett personuppgiftsbiträde ska ha samma skyldigheter som en personuppgiftsansvarig att begränsa tillgången till personuppgifter, genom exempelvis behörighetstilldelning. Ett personuppgiftsbiträde ska också ha samma skyldigheter som en personuppgiftsansvarig att vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas.

8.6 Kompletterande bestämmelser i förordning

Förslag

I den nya förordningen ska det finnas en närmare reglering om de tekniska och organisatoriska åtgärder som Myndigheten för utrikes underrättelser ska vidta, dokumentationsskyldighet för , tillgången till personuppgifter, säkerheten vid behandling av personuppgifter, anmälan av överträdelser av bestämmelser om personuppgiftsbehandling, dataskyddsombud och personuppgiftsbiträden.

Skälen för förslaget

För att undvika onödig detaljreglering i lag bör vissa bestämmelser om den närmare regleringen av den personuppgiftsansvariges skyldigheter regleras i förordning. I avsnitt 8.2.1 föreslås att , genom lämpliga tekniska och organisatoriska åtgärder, ska säkerställa att behandlingen av personuppgifter är författningsenlig och att myndigheten skyddar rättigheterna för den vars uppgifter behandlas. I den nya förordningen bör det anges vilka omständigheter som ska beakta vid bedömningen av vilka åtgärder som ska vidtas. Det bör av förordningen framgå att de åtgärder som ska vidtas ska vara rimliga med beaktande av behandlingens art, omfattning, sammanhang och ändamål och de särskilda riskerna med behandlingen.

271

Personuppgiftsansvar

Vidare bör det av den nya förordningen framgå vilken dokumentationsskyldighet som Myndigheten för utrikes underrättelser bör ha. bör föra en förteckning över de kategorier av behandling av personuppgifter som myndigheten ansvarar för. Det innebär inte att alla typer av behandling av personuppgifter som förekommer ska dokumenteras. Det skulle leda till en alltför omfattande dokumentationsskyldighet. En kategori av behandling kan vara behandling av personuppgifter inom ramen för ett särskilt projekt eller behandling av personuppgifter för en typ av ändamål. Av den nya förordningen bör det framgå vilka uppgifter som ska anges i en sådan förteckning. Förteckningen bör innehålla vissa i förordningen särskilt angivna uppgifter. Den nya förordningen bör också innehålla en bestämmelse om att ska föra vissa loggar. Ansvar för loggning och logguppföljning följer indirekt av de allmänna kraven på lämpliga tekniska och organisatoriska åtgärder. De närmare tekniska och organisatoriska åtgärder som Myndigheten för utrikes underrättelser bör vidta beror på vilken verksamhet hos de båda myndigheterna det rör sig om. Det är lämpligt att för loggar i myndighetens informationssystem som innehåller gemensamt tillgängliga uppgifter för utrikes underrättelseverksamhet. Av loggarna ska, så långt det är möjligt, framgå vem som har läst, skapat, ändrat eller raderat personuppgifter som har gjorts gemensamt tillgängliga samt tidpunkten för åtgärden. Tillgången till personuppgifter ska begränsas till vad var och en behöver för att kunna fullgöra sina arbetsuppgifter (avsnitt 8.2.1). I den nya förordningen bör det framgå att det särskilt ska beaktas att det, för tilldelning av behörighet för åtkomst till personuppgifter, kan finnas krav på utbildning och erfarenhet. Det bör vidare framgå att ansvarar för att det inom myndigheten finns rutiner för tilldelning, förändring, borttagning och regelbunden uppföljning av behörigheter för åtkomst till personuppgifter. Detta bör även tillämpas för personuppgiftsbiträden. Av den nya förordningen bör det också framgå att de skyddsåtgärder som enligt lagen ska vidtas för att skydda de personuppgifter som behandlas (avsnitt 8.3.2) ska åstadkommas

272

Personuppgiftsansvar

genom en skyddsnivå som är lämplig med hänsyn till vissa i förordningen särskilt angivna omständigheter. Vidare bör det framgå att ska ha sådana interna rutiner för anmälan av överträdelser av bestämmelser om personuppgiftsbehandling som garanterar att anmälarens identitet skyddas. I avsnitt 8.4 föreslås att ska utse ett eller flera dataskyddsombud. I den nya förordningen bör det anges att är skyldig att säkerställa att dataskyddsombud ges möjlighet att delta i arbetet med frågor som rör skyddet av personuppgifter. Det bör också framgå att är skyldig att till att dataskyddsombud kan utföra de uppgifter som anges i lagen, och att dataskyddsombud har den sakkunskap som krävs och att de ges möjlighet att upprätthålla denna. De närmare kraven på sådana avtal eller andra överenskommelser som enligt den nya lagen ska reglera ett personuppgiftsbiträdes behandling av personuppgifter bör framgå av den nya förordningen. I sådana avtal eller andra överenskommelser bör det anges vad behandlingen ska avse, hur länge behandlingen ska pågå, dess art och ändamål, kategorier av personuppgifter, kategorier av registrerade samt s skyldigheter och rättigheter. Vidare bör det framgå att vissa andra särskilt angivna villkor ska anges.

273

9 Enskildas rättigheter

9.1 Rätten till information

9.1.1 Information som ska göras allmänt tillgänglig

Förslag

ska göra viss information allmänt tillgänglig. Den information som ska göras allmänt tillgänglig är myndighetens identitet och kontaktuppgifter, uppgifter om dataskyddsombudet, kategorier av ändamål för behandlingen av personuppgifter, rätten att begära att få information om behandlingen av personuppgifter och att få del av dem, och rätten att begära rättelse, radering eller begränsning av behandlingen. Information som ska göras allmänt tillgänglig ska lämnas utan avgift.

Skälen för förslaget

bör hålla viss information allmänt tillgänglig. Sådan information bör omfatta myndighetens identitet och kontaktuppgifter, uppgifter om dataskyddsombudet, kategorier av ändamål med behandlingen, rätten att begära att få information om behandling av personuppgifter och att få ta del av dem, samt rätten att begära rättelse, radering eller begränsning av behandlingen. I kravet på att informationen ska vara allmänt tillgänglig ligger att allmänheten i princip ska ha möjlighet att kunna ta del av informationen när den önskar. Informationen kan t.ex. publiceras på

275

Enskildas rättigheter

myndighetens webbplats eller finnas i en broschyr eller annan informationsskrift. Det bör inte krävas en uttömmande uppräkning av för vilka ändamål personuppgifter behandlas, utan det bör vara tillräckligt att enskilda genom informationen får en god bild av den personuppgiftsbehandling som utför. Det bör vidare av den nya lagen framgå att den information som görs allmänt tillgänglig ska vara avgiftsfri.

9.1.2 Information som ska lämna om uppgifterna samlas in från den registrerade

Förslag

Om samlar in personuppgifter från den som uppgifterna avser ska myndigheten i samband med det lämna uppgift om att det är Myndigheten för utrikes underrättelser som är personuppgiftsansvarig för behandlingen, uppgift om den rättsliga grunden och ändamålen med behandlingen, och all övrig information som behövs för att den registrerade ska kunna ta till vara sina rättigheter i samband med behandlingen. Informationen ska lämnas utan avgift.

Skälen för förslaget

När samlar in personuppgifter från en enskild bör myndigheten, i samband med det, på eget initiativ lämna viss information om behandlingen. Sådan information ska omfatta uppgift om att det är som är personuppgiftsansvarig för behandlingen, uppgift om den rättsliga grunden och ändamålen med behandlingen och all övrig information som behövs för att den registrerade ska kunna ta till vara sina rättigheter i samband med behandlingen, såsom information om uppgifternas

276

Enskildas rättigheter

mottagare, skyldighet att lämna uppgifter och rätten att ansöka om information och få rättelse. Det bör vidare framgå att den information som Myndigheten för utrikes underrättelser lämnar i dessa situationer ska vara avgiftsfri.

9.1.3 Information som ska lämnas efter begäran

Förslag

ska vara skyldig att en gång per kalenderår till den som begär det lämna skriftligt besked om huruvida personuppgifter som rör honom eller henne behandlas. Om sådana uppgifter behandlas ska sökanden få del av dem och få viss skriftlig information om behandlingen. Den information som sökanden ska ha rätt att få del av är vilka personuppgifter om den sökande som behandlas, varifrån personuppgifterna kommer, den rättsliga grunden och ändamålen med behandlingen, mottagare eller kategorier av mottagare av personuppgifterna, även i annat land eller internationella organisationer, hur länge personuppgifterna får behandlas eller, om det inte är möjligt att ange, kriterierna för att fastställa det, och rätten att begära rättelse, radering eller begränsning av behandlingen. Ett utlämnande behöver inte omfatta personuppgifter som sökanden har tagit del av, om inte han eller hon begär det. Det ska dock framgå av informationen att personuppgifterna i fråga behandlas. En ansökan om information ska göras skriftligen hos och vara undertecknad av den sökande själv. Information ska lämnas inom en månad från det att ansökan gjordes. Om det finns särskilda skäl för det, får information dock lämnas senast fyra månader efter det att ansökan gjordes. Informationen och uppgifterna ska lämnas utan avgift.

277

Enskildas rättigheter

Skälen för förslaget

Det bör införas en skyldighet för Myndigheten för utrikes underrättelser att en gång per kalenderår till den som begär det lämna skriftligt besked om huruvida personuppgifter som rör honom eller henne behandlas. Om sådana uppgifter behandlas ska sökanden få del av dem och få viss skriftlig information om behandlingen. Informationen och uppgifterna ska lämnas utan avgift. Den information som sökanden ska få del av bör vara 1. vilka personuppgifter om den sökande som behandlas, 2. varifrån personuppgifterna kommer, 3. den rättsliga grunden och ändamålen med behandlingen, 4. mottagare eller kategorier av mottagare av personuppgifterna, även i annat land eller internationella organisationer, 5. hur länge personuppgifterna får behandlas eller, om det inte är möjligt att ange, kriterierna för att fastställa det, och 6. rätten att begära rättelse, radering eller begränsning av behandlingen. Det finns inte något som hindrar att den, som med stöd av personuppgiftsregleringen begär att få ta del av sina personuppgifter, får detta genom en kopia av den handling i vilka uppgifterna finns. Den personuppgiftsansvarige har dock ingen skyldighet att lämna ut en kopia av handlingen om sökandens rättigheter kan säkerställas på annat sätt, t.ex. genom en sammanställning av vilka personuppgifter som behandlas. Ett utlämnande behöver inte omfatta personuppgifter som sökanden har tagit del av, om inte han eller hon begär det. Det ska dock framgå av informationen att personuppgifterna i fråga behandlas. En ansökan om information enligt första stycket ska göras skriftligen hos och vara undertecknad av den sökande själv. Informationen ska lämnas inom en månad från det att ansökan gjordes. Om det finns särskilda skäl för det, får information dock lämnas senast fyra månader efter det att ansökan gjordes.

278

Enskildas rättigheter

9.2 Rätten till information får begränsas

Förslag

s informationsskyldighet ska inte gälla i den utsträckning sekretess hindrar att uppgifterna lämnas ut. Om sekretess hindrar att uppgifterna lämnas ut ska den personuppgiftsansvarige inte heller vara skyldig att lämna ut skälen för ett beslut om att begränsa informationen eller för ett beslut om en begäran om rättelse, radering eller begränsning av behandlingen. Informationsskyldigheten ska inte gälla personuppgifter i löpande text som inte har fått sin slutliga utformning när begäran gjordes eller som utgör en minnesanteckning eller liknande. Informationsskyldigheten ska dock gälla om uppgifterna 1. har lämnats till tredje part, med undantag för en myndighet som med stöd av författning utövar tillsyn, kontroll eller revision, 2. behandlas enbart för statistiska ändamål eller arkivändamål av allmänt intresse, eller 3. har behandlats under längre tid än ett år i löpande text som inte har fått sin slutliga utformning.

Skälen för förslaget

Den informationsskyldighet som behandlas i avsnitt 9.1.2 och 9.1.3 bör inte gälla i den utsträckning sekretess hindrar att uppgifterna lämnas ut till den som uppgifterna rör. Eftersom skälen för ett beslut om sekretess kan ge ledning om uppgifternas innehåll, bör inte heller vara skyldig att lämna ut skälen för beslut om sekretess till den som gett in begäran. Redan uppgiften om huruvida en enskilds personuppgifter behandlas av kan således omfattas av sekretess. Detsamma gäller frågor som rör rättelse, radering eller begränsning av behandling av personuppgifter i dessa sammanhang (se avsnitt 9.3).

279

Enskildas rättigheter

Information som har begärts av en enskild bör inte behöva lämnas om personuppgifter i löpande text som inte fått sin slutliga utformning när ansökan gjordes eller som utgör minnesanteckning eller liknande. Detta bör dock inte gälla om uppgifterna har lämnats ut till tredje part eller, när det gäller löpande text som inte fått sin slutliga utformning, om uppgifterna har behandlats under längre tid än ett år. I avsnitt 5.5 föreslås att tredje part ska definieras som någon annan än den registrerade, den personuppgiftsansvarige, dataskyddsombudet, personuppgiftsbiträdet och sådana personer som under den personuppgiftsansvariges eller personuppgiftsbiträdets direkta ansvar har rätt att behandla personuppgifter. Eftersom mottagare i samma avsnitt föreslås definieras som den till vilken personuppgifter lämnas ut, med undantag av en myndighet som med stöd av författning utövar tillsyn, kontroll eller revision bör det klargöras att ett utlämnande av information till sådana myndigheter inte gör att informationsskyldigheten inte gäller. Personuppgifter ska även lämnas ut om uppgifterna behandlas för enbart statistiska ändamål eller arkivändamål av allmänt intresse. I de fall som ett utkast eller en minnesanteckning endast används för statistiska ändamål eller för arkivändamål av allmänt intresse, bör således information om personuppgiftsbehandlingen kunna lämnas.

9.3 Rättelse, radering och begränsning av behandlingen på begäran av den registrerade

Förslag

ska på begäran av den registrerade snarast rätta, radera eller begränsa behandlingen av sådana personuppgifter som inte har behandlats i enlighet med den nya lagen eller föreskrifter som har meddelats med stöd av den. ska också underrätta tredje part till vilken uppgifterna har lämnats ut om åtgärden, om den registrerade begär det eller om en mera betydande skada eller olägenhet för denne skulle kunna undvikas genom en underrättelse.

280

Enskildas rättigheter

Någon underrättelse behöver dock inte lämnas, om sekretess hindrar det eller detta är omöjligt eller skulle innebära en oproportionerligt stor arbetsinsats. Om det gäller sekretess ska den personuppgiftsansvarige inte heller vara skyldig att redovisa skälen för beslut i fråga om begäran om rättelse, radering eller begränsning av behandlingen.

Skälen för förslaget

Rätten att begära rättelse

Att en personuppgift rättas innebär att den ersätts eller kompletteras med riktiga uppgifter. Att de personuppgifter som behandlas är riktiga är av grundläggande betydelse både för myndighetens verksamhet och för enskilda. Den nya lagen bör därför innehålla en bestämmelse om rätt för den registrerade att begära rättelse. Den personuppgiftsansvarige bör skyndsamt utreda en sådan begäran och, om det är motiverat, så fort som möjligt genomföra rättelse. Den information som finns tillgänglig för den personuppgiftsansvarige, bl.a. den information som framgår av begäran om rättelse, bör tas i beaktande, men vilka utredningsåtgärder som i övrigt bör vidtas av den personuppgiftsansvarige får bedömas i varje enskilt fall. Skyldigheten för den personuppgiftsansvarige att på eget initiativ vidta åtgärder när det upptäcks att personuppgifter är felaktiga, ofullständiga eller inaktuella behandlas i avsnitt 6.1.

Felaktiga och ofullständiga uppgifter

Att en felaktig eller ofullständig personuppgift rättas kan innebära att uppgiften ersätts av en annan uppgift som är objektivt sett riktig eller kompletteras med en uppgift om de riktiga förhållandena så att uppgiften blir fullständig i objektiv mening. Det kan vara fråga om t.ex. ett felaktigt namn eller att endast delar av ett namn har återgetts i en handling (jfr avsnitt 6.1). Det kan även vara fråga om något fel som har uppstått på grund av ett tekniskt förfarande. Det ska alltså röra sig om ett fel eller en ofullständighet på grund av något som inte förutsätter en bedömning.

281

Enskildas rättigheter

I den nya lagen bör det införas en bestämmelse om att den personuppgiftsansvarige på begäran ska rätta personuppgifter som rör den registrerade om de inte har behandlats i enlighet med den nya lagen eller föreskrifter som har meddelats med stöd av lagen. Den personuppgiftsansvarige behöver bland annat ta hänsyn till ändamålet med behandlingen vid bedömningen av om en personuppgift är felaktig och behöver rättas. En felaktig personuppgift kan t.ex. rättas på så sätt att uppgiften tas bort utan att ersättas. Bestämmelserna bör inte innebära en rättighet för den registrerade att kräva att den personuppgiftsansvarige rättar inaktuella uppgifter. Däremot ska den personuppgiftsansvarige enligt förslaget – om det är nödvändigt – på eget initiativ uppdatera uppgifter som inte är uppdaterade (se avsnitt 6.1).

Rätten till radering

Radering innebär utplåning. På samma sätt som när det gäller rättelse bör radering kunna göras dels på den personuppgiftsansvariges eget initiativ, dels på begäran av den registrerade. Den personuppgiftsansvarige bör på eget initiativ vidta åtgärder om personuppgifter behandlas i strid med vissa bestämmelser i lagen (se avsnitt 6.1). Rätten för enskilda att begära att den personuppgiftsansvarige ska radera uppgifterna bör regleras på motsvarande sätt som avseende rätten till rättelse. bör alltså vara skyldig att på begäran av den registrerade snarast radera personuppgifter om de inte har behandlats i enlighet med den nya lagen eller föreskrifter som har meddelats med stöd av lagen Personuppgifter som behandlas ska vara adekvata och relevanta. Fler personuppgifter än nödvändigt får inte behandlas och de får bara behandlas om det finns en rättslig grund och för särskilt angivna ändamål. Det ska även anges i vilken utsträckning som känsliga personuppgifter får behandlas och hur länge personuppgifter får behandlas (se kapitel 5 och 6). Frågan om huruvida en personuppgift bör raderas får bedömas mot bakgrund av bland annat dessa bestämmelser. Vid bedömningen måste även 2 kap. tryckfrihetsförordningen och det arkivrättsliga regelverket beaktas.

282

Enskildas rättigheter

Uppgifter i allmänna handlingar

En grundläggande princip i svensk rätt är att allmänheten ska ha insyn i det allmännas verksamhet. Enligt tryckfrihetsförordningen får grundläggande föreskrifter om hur allmänna handlingar ska bevaras samt om gallring och annat avhändande av sådana handlingar meddelas i lag (2 kap. 23 §). Sådana föreskrifter finns för närvarande i arkivlagen (1990:782), vilken kompletteras av arkivförordningen (1991:446) och föreskrifter som har meddelats av Riksarkivet. Många av myndighetens handlingar kommer vara allmänna och omfattas därmed av offentlighetsprincipen. Arkivlagstiftningen har som utgångspunkt företräde framför personuppgiftslagstiftningen på så sätt att intresset av att bevara allmänna handlingar väger tyngre än skyddet för personlig integritet. Utrymmet för att radera uppgifter i allmänna handlingar begränsas därmed av arkivlagstiftningen. Eftersom radering av uppgifter innebär att personuppgifter tas bort på ett sådant sätt att de inte kan återskapas, bör en sådan åtgärd bara vidtas om den är förenlig med arkivlagstiftningen. För att radera personuppgifter i allmänna handlingar krävs därför författningsstöd för gallring. Utrymmet för att radera personuppgifter i allmänna handlingar på grund av att personuppgifterna inte har behandlats författningsenligt framstår därför som begränsat (prop. 2020/21:224 s. 140).

Begränsning av behandling

I förarbetena till lagen om behandling av personuppgifter vid Försvarsmakten framgår att ordet begränsning ska användas som motsvarighet till det som i tidigare lagstiftning benämndes blockering. Med blockering avsågs en åtgärd som vidtas för att personuppgifterna ska vara förknippade med information om att de är spärrade och om anledningen till spärren och för att personuppgifterna inte ska lämnas ut till tredje man annat än med stöd av 2 kap. tryckfrihetsförordningen (prop. 2020/21:224 s. 140 f.). En bestämmelse om begränsning av behandling bör även införas i den nya lagen. Om behandlingen av personuppgifter har begränsats i stället för att uppgifterna raderas, bör uppgifterna endast behandlas för det ändamål som förhindrade raderingen. Exempel på begränsning av

283

Enskildas rättigheter

behandling kan vara att personuppgifterna flyttas till ett annat databehandlingssystem, t.ex. ett system för arkivering, eller att uppgifterna görs otillgängliga med hjälp av tekniska medel. För att åtgärden ska bli effektiv bör behandlingen begränsas redan i samband med markeringen. Begränsning av behandlingen kan t.ex. komma i fråga om den registrerade bestrider att personuppgifterna är riktiga, men det inte är möjligt att fastställa om så är fallet. En felaktig personuppgift ska rättas snarast efter det att den registrerade har begärt det. Om den personuppgiftsansvariges utredning om den omstridda personuppgiften inte kan slutföras tillräckligt snabbt bör behandlingen begränsas under utredningstiden. Uppgifterna får då inte behandlas av den personuppgiftsansvarige eller personuppgiftsbiträden annat än för det ändamål som föranledde begränsningen. Om det efter utredning visar sig att personuppgifterna är riktiga kan behandlingen av dem fortsätta som tidigare. Begränsningen bör då upphävas. Innan dess ska dock den registrerade underrättas om att begränsningen upphör. Skulle det visa sig att personuppgifterna är felaktiga ska den personuppgiftsansvarige rätta dem, varefter begränsningen kan upphöra.

Val av åtgärd

I kapitel 6 föreslås vissa grundläggande krav på behandling av personuppgifter, bl.a. att personuppgifter som behandlas ska vara riktiga och, om det är nödvändigt, uppdaterade. Det innebär att på eget initiativ ska korrigera felaktiga personuppgifter. Det är av väsentlig betydelse för den enskilde att Myndigheten för utrikes underrättelser rättar personuppgifter som behandlas felaktigt så att intrång i den personliga integriteten kan undvikas. Bedömningen av om en uppgift har behandlats felaktigt måste göras med beaktande av de bestämmelser som gäller för behandlingen. Den personuppgiftsansvarige ska enligt förslaget vidta alla rimliga åtgärder för att rätta personuppgifter som är felaktiga eller ofullständiga och för att radera eller begränsa behandlingen av personuppgifter som har behandlats otillåtet. Den personuppgiftsansvarige bör själv avgöra om en viss personuppgift ska rättas eller

284

Enskildas rättigheter

raderas eller om behandlingen ska begränsas. Den personuppgiftsansvarige är därmed inte bunden till att endast pröva om den åtgärd som begärs av den registrerade bör vidtas, utan kan välja en annan åtgärd om den är lämpligare. En åtgärd måste alltid ha stöd i lagstiftningen. Det innebär bl.a. att det krävs författningsstöd för gallring för att en myndighet ska få radera uppgifter i en allmän handling.

Underrättelse till tredje part

bör vara skyldig att underrätta tredje man till vilken uppgifterna har lämnats ut om åtgärden att rätta, radera eller begränsa behandlingen av en personuppgift, om den registrerade begär det eller om mera betydande skada eller olägenhet för den registrerade skulle kunna undvikas genom en underrättelse. Någon sådan underrättelse behöver dock inte lämnas om sekretess hindrar det eller detta är omöjligt eller skulle innebära en oproportionerligt stor arbetsinsats.

är inte skyldig att redovisa skälen för ett beslut i fråga om rättelse, radering eller begränsning av behandling om sekretess gäller

Eftersom skälen för ett beslut om rättelse, radering eller begränsning av behandling av personuppgifter kan ge ledning om uppgifternas innehåll, bör inte vara skyldig att redovisa skälen för sådana beslut till den som gett in begäran om det gäller sekretess. Även uppgiften om huruvida en enskilds personuppgifter behandlas av Myndigheten för utrikes underrättelser kan omfattas av sekretess.

285

10 Tillsyn

10.1 Former för tillsyn till skydd för den personliga integriteten

Förslag

Den myndighet som regeringen bestämmer ska utöva tillsyn över s behandling av personuppgifter enligt den nya lagen, enligt föreskrifter som har meddelats i anslutning till lagen och enligt beslut med stöd av lagen. Tillsynsmyndigheten ska, när det är motiverat, ge råd och stöd till och personuppgiftsbiträden i frågor som gäller deras skyldigheter enligt lag eller annan författning. Integritetsskyddsmyndigheten ska vara ansvarig tillsynsmyndighet. Statens inspektion för utrikes underrättelseverksamheten ska också ha ett kompletterande kontrollansvar för den personuppgiftsbehandling som görs inom Myndigheten för utrikes underrättelsers utrikes underrättelseverksamhet.

Skälen för förslaget

Av den nya lagen bör det framgå att det är den myndighet som regeringen bestämmer som ska utöva tillsyn över Myndigheten för utrikes underrättelsers behandling av personuppgifter enligt den nya lagen, enligt föreskrifter som har meddelats i anslutning till lagen och enligt beslut med stöd av lagen.

287

Tillsyn

En central arbetsuppgift för tillsynsmyndigheten är att på eget initiativ eller på begäran ge information eller råd till olika aktörer om regler som styr behandlingen av personuppgifter. Det bör emellertid framgå av den nya lagen att tillsynsmyndigheten själv avgör när råd och stöd kan vara motiverat. Tillsynsmyndigheten bör således, när det är motiverat, ge råd och stöd till Myndigheten för utrikes underrättelser i frågor som gäller myndighetens skyldigheter enligt lag eller annan författning. Som utvecklas i avsnitt 10.2 omfattar tillsynsmyndighetens tillsyn även myndighetens personuppgiftsbiträden. Tillsynsmyndighetens uppgift att vid behov lämna råd och stöd bör därför även avse personuppgiftsbiträden till . Tillsynsmyndigheten bör således, när det är motiverat, även ge råd och stöd till personuppgiftsbiträden i frågor som gäller deras skyldigheter enligt lag eller annan författning. Som framgår av avsnitt 8.3 ska dataskyddsombud vid behov, söka vägledning av tillsynsmyndigheten. I likhet med vad som gäller för Försvarsmakten bör det vara Integritetsskyddsmyndigheten som är ansvarig tillsynsmyndighet över s behandling av personuppgifter enligt den nya lagen, enligt föreskrifter som har meddelats i anslutning till lagen och enligt beslut med stöd av lagen. Statens inspektion för utrikes underrättelseverksamheten (Siun) bör också ha ett kompletterande kontrollansvar för den personuppgiftsbehandling som görs inom Myndigheten för utrikes underrättelsers utrikes underrättelseverksamhet. Det bör framgå av Integritetsskyddsmyndighetens och Siuns respektive instruktion.

10.2 Tillsynsmyndighetens befogenheter

10.2.1 Undersökningsbefogenheter

Förslag

Tillsynsmyndigheten ska ha rätt att av Myndigheten för utrikes underrättelser eller ett personuppgiftsbiträde på begäran få 1. tillgång till personuppgifter som behandlas,

288

Tillsyn

2. upplysningar om och dokumentation av behandlingen av personuppgifter och säkerhets- och skyddsåtgärder, 3. tillträde till sådana lokaler som har anknytning till behandling av personuppgifter och tillgång till utrustning och andra medel för behandling av personuppgifter, och 4. den hjälp och annan information som behövs för tillsynen.

Skälen för förslaget

Av den nya lagen bör det framgå att tillsynsmyndigheten på begäran ska få tillgång till personuppgifter som behandlas samt upplysningar om och dokumentation av behandlingen av personuppgifter och säkerhets- och skyddsåtgärder vid behandlingen. Vidare bör tillsynsmyndigheten, utöver rätten till tillträde till sådana lokaler som har anknytning till behandling av personuppgifter, även få tillgång till utrustning och andra medel för behandling av personuppgifter. Det bör också framgå av den nya lagen att tillsynsmyndigheten ska få den hjälp och annan information som behövs för tillsynen.

10.2.2 Förebyggande befogenheter

Förslag

Om tillsynsmyndigheten bedömer att det finns risk för att personuppgifter kan komma att behandlas i strid med lag eller annan författning, ska myndigheten genom råd, rekommendationer eller påpekanden försöka förmå Myndigheten för utrikes underrättelser eller personuppgiftsbiträdet att vidta åtgärder för att motverka den risken. Tillsynsmyndigheten ska få besluta om en skriftlig varning, om en planerad behandling av personuppgifter riskerar att stå i strid med lag eller annan författning. Detsamma ska gälla om en pågående behandling riskerar att stå i strid med lag eller annan författning.

289

Tillsyn

Skälen för förslaget

Råd och stöd

En viktig uppgift för tillsynsmyndigheten är att lämna råd till personuppgiftsansvariga och personuppgiftsbiträden om deras skyldigheter och att stödja deras strävanden att skapa författningsenliga och integritetssäkra lösningar. Inom ramen för det förebyggande arbetet bör tillsynsmyndigheten på olika sätt försöka förmå den som är ansvarig att vidta de åtgärder som behövs för att motverka risken för att behandling av personuppgifter kan komma att stå i strid med lag eller annan författning. Medlen för det bör främst vara muntliga eller skriftliga råd, rekommendationer och påpekanden som inte är tvingande. Vilka åtgärder som bör vidtas bör i första hand lämnas åt den personuppgiftsansvarige eller personuppgiftsbiträdet att avgöra. I många fall kan det antas vara tillräckligt att tillsynsmyndigheten upplyser om på vilket sätt personuppgiftsbehandlingen riskerar att vara oförenlig med regelverket. Det bör komma till uttryck i den nya lagen.

Varning

Tillsynsmyndigheten bör kunna besluta om en varning till eller personuppgiftsbiträden för att planerade behandlingar riskerar att strida mot regelverket för personuppgiftsbehandling. En sådan möjlighet utgör ett lämpligt komplement till de förebyggande åtgärder som beskrivs ovan. Beslut om varning bör kunna användas av tillsynsmyndigheten för att i ett enskilt fall markera allvaret i en situation och försöka förmå den personuppgiftsansvarige eller personuppgiftsbiträdet att ändra sig i fråga om planerad behandling. På så sätt kan det undvikas att behandling som inte är förenlig med regelverket påbörjas. Varning bör emellertid även kunna användas om pågående behandling riskerar att strida mot lag eller annan författning. Att besluta om varning bör som regel bli aktuellt först om tillsynsmyndigheten bedömer att den inte på annat sätt kan förmå den personuppgiftsansvarige eller personuppgiftsbiträdet att följa regelverket.

290

Tillsyn

Ett beslut om varning bör fungera som en tidig signal för den personuppgiftsansvarige om brister i en planerad eller pågående behandling av personuppgifter. Ett beslut om varning bör inte vara tvingande men bör ändå kunna ses som ett steg på vägen mot ett föreläggande, om åtgärder inte vidtas. Ett beslut om varning bör vara skriftligt och tydligt ange på vilket sätt behandlingen riskerar att strida mot regelverket.

10.2.3 Korrigerande befogenheter

Förslag

Om tillsynsmyndigheten konstaterar att personuppgifter behandlas i strid med lag eller annan författning, eller att eller ett personuppgiftsbiträde på annat sätt inte fullgör sina skyldigheter, ska tillsynsmyndigheten få 1. genom råd, rekommendationer eller påpekanden försöka förmå eller personuppgiftsbiträdet att vidta åtgärder för att behandlingen ska bli författningsenlig eller för att fullgöra andra skyldigheter, eller 2. besluta att förelägga eller personuppgiftsbiträdet att vidta åtgärder för att behandlingen ska bli författningsenlig eller för att fullgöra andra skyldigheter. Av ett beslut om föreläggande ska det framgå när föreläggandet senast ska ha följts, och om det är lämpligt, vilka åtgärder som ska vidtas.

Skälen för förslaget

Vilka åtgärder kan komma i fråga?

Om tillsynsmyndigheten konstaterar att den personuppgiftsansvarige eller personuppgiftsbiträdet inte uppfyller kraven på författningsenlig personuppgiftsbehandling bör myndigheten uppmana den ansvarige och biträdet att fullgöra sina skyldigheter.

291

Tillsyn

Det kan göras genom vissa av de åtgärder som typiskt sett används i det förebyggande arbetet, nämligen råd, rekommendationer eller påpekanden. Om den personuppgiftsansvarige eller personuppgiftsbiträdet vidtar de åtgärder som krävs så snart tillsynsmyndigheten väcker en fråga kan fortsatt dialog vara tillräcklig. Tillsynsmyndigheten behöver emellertid också ha verktyg att få den personuppgiftsansvarige eller personuppgiftsbiträdet att fullgöra sina skyldigheter. Medlet för detta bör vara beslut om föreläggande.

Beslut om föreläggande

Tillsynsmyndigheten bör kunna besluta om förelägganden som innebär en skyldighet för den som är föremål för tillsynen att vidta vissa åtgärder för att göra personuppgiftsbehandlingen författningsenlig. När det gäller sådana åtgärder kan det i vissa fall vara lämpligt att tillsynsmyndigheten i beslutet om föreläggande anger vilken åtgärd som ska vidtas. I andra fall är det dock lämpligare att den som ska fullgöra skyldigheten själv avgör vad som bör göras för att behandlingen ska bli författningsenlig. Det kan t.ex. vara fråga om vilka tekniska åtgärder som bör vidtas eller vilka säkerhetslösningar som bör väljas. Tillsynsmyndigheten bör därför ange vilken åtgärd som ska vidtas enbart i de fall som detta är lämpligt. Däremot ska det alltid framgå av ett beslut om föreläggande när föreläggandet senast ska ha följts. Det finns inte något behov av att i den nya lagen närmare reglera vad ett beslut om föreläggande får avse. Rättelse, radering och begränsning av behandlingen utgör dock exempel på åtgärder som tillsynsmyndigheten kan besluta om. Om tillsynsmyndigheten överväger att besluta att förelägga tillsynsobjektet att radera en uppgift måste myndigheten dock beakta att åtgärden inte får stå i strid med annan lagstiftning, t.ex. 2 kap. tryckfrihetsförordningen. Tillsynsmyndigheten bör inte bara kunna besluta om förelägganden för att säkerställa att personuppgiftsbehandling ska vara författningsenlig. Den bör även kunna besluta om förelägganden som tar sikte på att personuppgiftsansvariga och personuppgiftsbiträden ska fullgöra andra skyldigheter enligt det aktuella regelverket. Det kan t.ex. gälla att införa bättre säkerhetslösningar,

292

Tillsyn

fullgöra dokumentationsskyldighet eller att överlämna viss dokumentation eller ge tillträde till lokaler.

Tillsynsmyndigheten ska inte få förbjuda behandling av personuppgifter

På motsvarande sätt som anfördes i lagstiftningsärendena om Försvarsmakten och Försvarets radioanstalt samt Totalförsvarets plikt- och prövningsverk (prop. 2020/21:224 s. 149 och Totalförsvarsdatalag – personuppgiftsbehandling vid Totalförsvarets rekryteringsmyndighet, prop. 2019/20:51 s. 65 – 66) är Myndigheten för utrikes underrättelsers behandling av personuppgifter av sådan betydelse för rikets säkerhet att en förbudsmöjlighet inte är rimlig och därför inte bör införas. De befogenheter i form av bl.a. beslut om varning och föreläggande som tillsynsmyndigheten föreslås få är tillräckliga för att den ska kunna utföra sin tillsyn på ett effektivt sätt.

293

11 Sanktioner, skadestånd och rättsmedel

11.1 Det bör inte finnas någon straffbestämmelse i den nya lagen

Bedömning

Överträdelser av bestämmelserna om personuppgiftsbehandling bör inte vara straffsanktionerade utöver vad som gäller enligt brottsbalken.

Skälen för bedömningen

Brottsbalken innehåller bestämmelser som kan innebära att vissa gärningar som innefattar personuppgiftsbehandling omfattas av straffansvar – såsom bestämmelserna om dataintrång (4 kap. 9 c § brottsbalken), kränkande fotografering (4 kap. 6 a § brottsbalken), olaga integritetsintrång (4 kap. 6 c § brottsbalken), förtal (5 kap. 1 § brottsbalken) och tjänstefel (20 kap. 1 § brottsbalken). Vidare innehåller lagen (1994:260) om offentlig anställning bestämmelser om disciplinansvar som kan aktualiseras om någon bryter mot bestämmelserna om personuppgiftsbehandling. Disciplinansvar förutsätter att den misstänkta gärningen inte ska anmälas till åtal eller, om den redan prövats straffrättsligt, att den inte har ansetts vara något brott av annat skäl än bristande bevisning. Lagen om behandling av personuppgifter vid Försvarsmakten innehåller inte någon straffbestämmelse. Av förarbetena framgår att regeringen gjorde bedömningen att straff inte utgör en särskilt

295

Sanktioner, skadestånd och rättsmedel

effektiv sanktion vid överträdelser av dataskyddsregleringen eftersom det i många fall är svårt att identifiera en fysisk person som ansvarig för överträdelsen samt att leda i bevis att denne haft uppsåt eller varit oaktsam på det sätt som krävs för straffbarhet (prop. 2020/21:224). Av samma skäl bör inte heller den nya lagen för innehålla särskilda bestämmelser om straff.

11.2 Det bör inte finnas någon möjlighet att ta ut sanktionsavgift

Bedömning

Det bör inte tas in bestämmelser om sanktionsavgift i den nya lagen.

Skälen för bedömningen

Enligt dataskyddslagen får tillsynsmyndigheten ta ut administrativa sanktionsavgifter av myndigheter vid vissa överträdelser av dataskyddsförordningen (6 kap. 2 §). Lagen om behandling av personuppgifter vid Försvarsmakten innehåller emellertid inte några bestämmelser om sanktionsavgifter. De krav på sanktionsavgifter som unionsrätten ställer gäller inte för sådan behandling av personuppgifter som regleras i den lagstiftning som nu är aktuell. Dataskyddskonventionen, som även omfattar personuppgiftsbehandling som rör nationell säkerhet, ställer krav på att det ska finnas lämpliga sanktioner och rättsmedel för överträdelser av bestämmelser om dataskydd, men anger inte närmare vilka krav som ställs på sådana sanktioner. Som utvecklas i avsnitt 11.3 bör det i den nya lagen finnas bestämmelser om skadestånd. Vidare kan straffrättsligt ansvar utkrävas enligt brottsbalken i enlighet med vad som redovisas i avsnitt 11.1. Integritetsskyddsmyndigheten granskar också behandlingen av personuppgifter enligt vad som utvecklas i kapitel 10.

296

Sanktioner, skadestånd och rättsmedel

En sanktionsavgift kan i många fall fylla en viktig funktion för att säkerställa regelefterlevnad. Mot bakgrund av den tillsyn, kontroll och granskning som föreslås gälla för verksamheten som den nya lagen omfattar, med tillhörande sanktionsmöjligheter, är dataskyddskonventionens krav på lämpliga sanktioner och rättsmedel uppfyllda genom förslagen i den nya lagen. Det behöver därför inte tas in några bestämmelser om sanktionsavgift i den nya lagen.

11.3 Skadestånd

11.3.1 Det allmännas skadeståndsansvar

Enligt 3 kap. 2 § skadeståndslagen (1972:207) ska staten eller en kommun ersätta personskada, sakskada eller ren förmögenhetsskada som vållas genom fel eller försummelse vid myndighetsutövning i verksamhet för vars fullgörande staten eller kommunen svarar. Ersättningsskyldigheten omfattar även ideell skada på grund av att någon genom fel eller försummelse vid myndighetsutövning kränkts på det sätt som anges i 2 kap. 3 § samma lag. I 2 kap. 3 § skadeståndslagen anges att den som allvarligt kränker någon annan genom brott som innefattar ett angrepp mot dennes person, frihet, frid eller ära ska ersätta den skada som kränkningen innebär. Ideellt skadestånd för att den personliga integriteten har kränkts, dvs. en skada av icke-ekonomisk natur, förutsätter alltså att kränkningen har orsakats genom brott. Det krävs också att kränkningen är allvarlig. Ersättning för kränkning med stöd av 3 kap. 2 § och 2 kap. 3 § skadeståndslagen förutsätter att kränkningen har orsakats vid myndighetsutövning. Om det inte är fråga om myndighetsutövning kan skadestånd ändå utgå enligt 3 kap. 1 § skadeståndslagen för skada som vållats av arbetstagare. Det förutsätter att kränkningen har orsakats av att den anställde har begått brott i tjänsteutövningen. Enligt 3 kap. 4 § skadeståndslagen ska staten eller en kommun ersätta personskada, sakskada, ren förmögenhetsskada och skada på grund av att någon kränks på sätt som anges i 2 kap. 3 §, om skadan uppkommit till följd av att den skadelidandes grundläggande fri- och rättigheter enligt 2 kap. RF eller enligt Europakonventionen har

297

Sanktioner, skadestånd och rättsmedel

överträtts från statens eller kommunens sida, och annan ideell skada som uppkommit till följd av en sådan rättighetsöverträdelse. Enligt bestämmelsen ska skadestånd endast utges i den utsträckning det är nödvändigt för att gottgöra överträdelsen. Den som anser att han eller hon har orsakats skada av det allmänna kan väcka talan mot staten eller en kommun vid allmän domstol. Saken prövas då som tvistemål. Enligt förordningen (1995:1301) om handläggning av skadeståndsanspråk mot staten kan en skadelidande dessutom få ett skadeståndskrav mot staten prövat inom ramen för statens frivilliga skadereglering. Med det avses skadereglering som företrädelsevis sker hos Justitiekanslern, men som även i viss omfattning kan förekomma hos andra myndigheter. Enligt förordningen kan den enskilde i ett formlöst och kostnadsfritt förfarande vända sig direkt till en myndighet och få ett besked i frågan om huruvida staten är skadeståndsskyldig. Det är ett särskilt snabbt och effektivt sätt att komma i åtnjutande av det rättsmedel som rätten till skadestånd innebär. Vid ett negativt besked har den enskilde kvar möjligheten att vända sig till domstol för att få saken prövad. Justitiekanslerns inställning är inte bindande för domstolarna eller för den enskilde. Enligt förordningen kan Justitiekanslern bl.a. handlägga anspråk som grundas på 3 kap. 1, 2 eller 4 § skadeståndslagen eller skadeståndsregler i vissa särskilt angivna författningar, t.ex. lagen om behandling av personuppgifter vid Försvarsmakten (3 §).

11.3.2 Skadeståndsansvar för den personuppgiftsansvarige

Förslag

Den personuppgiftsansvarige ska ersätta den registrerade för den skada och kränkning av den personliga integriteten som behandling av personuppgiften i strid med den nya lagen, föreskrifter som har meddelats i anslutning till lagen eller beslut med stöd av dem, har orsakat. Ersättningsskyldigheten ska kunna jämkas i den utsträckning det är skäligt, om den personuppgiftsansvarige visar att felet inte berodde på denne.

298

Sanktioner, skadestånd och rättsmedel

Justitiekanslern ska handlägga anspråk på ersättning enligt lagen.

Skälen för förslaget

Det bör införas bestämmelser om skadeståndsskyldighet i den nya lagen

Det bör i den nya lagen, i likhet med vad som gäller enligt lagen om behandling av personuppgifter vid Försvarsmakten, införas en bestämmelse om att den personuppgiftsansvarige ska ersätta den registrerade för den skada och kränkning av den personliga integriteten som orsakats av behandling av personuppgifter i strid med den nya lagen, föreskrifter som har meddelats i anslutning till lagen eller beslut med stöd av lagen. På samma sätt som gäller enligt lagen om behandling av personuppgifter vid Försvarsmakten bör det av bestämmelsen i den nya lagen framgå att det finns en möjlighet att jämka skadeståndet om den personuppgiftsansvarige kan visa att felet inte berodde på myndigheten.

Skadeståndets omfattning och beräkningen av ersättningen

Rätten till personlig integritet är en immateriell rättighet. Den personuppgiftsansvarige är därför ersättningsskyldig inte bara för ekonomisk skada utan även för ideell skada. Den enskilde har alltså förutom rätt till ersättning för personskada, sakskada och ren förmögenhetsskada, rätt till ekonomisk kompensation för kränkningen. Det är bara skada eller kränkning som behandlingen har fört med sig som ska ersättas. Orsakssambandet ska vara adekvat. I likhet med vad som gäller för Försvarsmakten bör ersättningen för kränkningen uppskattas efter skälighet, med beaktande av samtliga omständigheter. Det som kan ha betydelse är bl.a. att personuppgifter spridits eller att det har funnits risk för otillbörlig spridning av integritetskänsliga eller felaktiga personuppgifter. En annan omständighet kan vara att den registrerade drabbats av beslut eller andra åtgärder som fått eller kunnat få negativa konsekvenser

299

Sanktioner, skadestånd och rättsmedel

för honom eller henne. Om den registrerade har lämnat oriktig eller ofullständig information till den personuppgiftsansvarige, kan även detta ha betydelse vid beräkningen.

Förhållandet till skadeståndslagen

Bestämmelsen om skadestånd i den nya lagen utgör en sådan särskild föreskrift om skadestånd som enligt 1 kap. 1 § skadeståndslagen tillämpas i stället för de allmänna bestämmelserna i den lagen. Om en viss ersättningsfråga inte behandlas i den nya lagen – t.ex. hur ersättningen för en personskada eller sakskada ska beräknas (5 kap. skadeståndslagen) eller hur ansvaret ska fördelas när flera är skadeståndsskyldiga (6 kap. 4 § skadeståndslagen) – tillämpas de allmänna bestämmelserna i skadeståndslagen.

Justitiekanslern ska handlägga anspråk på ersättning enligt den nya lagen

Enligt 3 § förordningen om handläggning av skadeståndsanspråk mot staten handlägger Justitiekanslern anspråk på ersättning enligt lagen om behandling av personuppgifter vid Försvarsmakten. Detta innebär att Försvarsmakten ska överlämna ersättningsanspråk med anledning av personuppgiftshantering till Justitiekanslern för vidare hantering och beslut. För det fall att den som personuppgifterna rör vänder sig till domstol för Justitiekanslern statens talan i saken. Oavsett om Justitiekanslern eller domstolen fattar beslut om ersättning överlämnar Justitiekanslern med stöd i 2 a § förordningen (1975:1345) med instruktion för Justitiekanslern, till den myndighet som är berörd i skaderegleringsärendet att ansvara för att ersättningsbelopp betalas ut till motparten. I likhet med vad som gäller för Försvarsmakten bör Justitiekanslern handlägga anspråk på ersättning enligt den nya lagen.

300

Sanktioner, skadestånd och rättsmedel

11.4 Överklagande

11.4.1 Överklagande av Myndigheten för utrikes underrättelsers beslut

Förslag

s beslut att inte lämna information efter begäran av en enskild och beslut i fråga om rättelse, radering eller begränsning av behandlingen eller underrättelse till tredje part, ska få överklagas till allmän förvaltningsdomstol. Vid överklagande till kammarrätten ska det krävas prövningstillstånd. Några andra beslut än de som uttryckligen anges i den nya lagen ska inte få överklagas.

Skälen för förslaget

s beslut att inte lämna information efter begäran av en enskild och beslut i fråga om rättelse, radering eller begränsning av behandlingen eller underrättelse till tredje part bör, i likhet med vad som gäller för Försvarsmakten, få överklagas. Överklagande ska ske till allmän förvaltningsdomstol och vid överklagande till kammarrätten ska det krävas prövningstillstånd. Vidare bör det framgå av den nya lagen att några andra beslut inte ska få överklagas.

11.4.2 Överklagande av tillsynsmyndighetens beslut

Förslag

Tillsynsmyndighetens beslut om föreläggande enligt den nya lagen ska få överklagas till allmän förvaltningsdomstol. När ett

301

Sanktioner, skadestånd och rättsmedel

beslut överklagas ska tillsynsmyndigheten vara motpart i domstolen. Vid överklagande till kammarrätten ska det krävas prövningstillstånd.

Skälen för förslaget

En överklagandebestämmelse bör tas in i den nya lagen

Enligt 42 § förvaltningslagen får ett beslut överklagas av den som beslutet angår, om det har gått honom eller henne emot. Om en myndighets befogenheter regleras i en författning bör det av samma författning framgå om och i så fall hur myndighetens beslut kan överklagas (jfr En modern och rättssäker förvaltning – ny förvaltningslag, prop. 2016/17:180 s. 254). En sådan ordning ger en samlad bild både av vilka befogenheter en myndighet har och hur den som blir föremål för myndighetens beslut kan angripa dem. Tillsynsmyndighetens befogenheter enligt den nya lagen behandlas i avsnitt 10.2. Det bör av lagen också tydligt framgå vilka av tillsynsmyndighetens beslut som ska kunna överklagas.

Vilka beslut ska få överklagas?

Tillsynsmyndighetens beslut om föreläggande enligt den nya lagen bör få överklagas till allmän förvaltningsdomstol. Vidare bör det krävas prövningstillstånd vid överklagande till kammarrätten. Tillsynsmyndighetens beslut om varning faller inte inom tillämpningsområdet för artikel 6.1 i Europakonventionen om rätten till domstolsprövning (jfr avsnitt 10.2.2). Det har inte heller i övrigt framkommit skäl för att sådana beslut eller andra beslut av tillsynsmyndigheten än beslut om föreläggande bör kunna överklagas. Av tydlighetsskäl bör det av överklagandebestämmelsen även framgå att tillsynsmyndigheten har ställning som motpart i domstolen när ett beslut överklagas.

302

12 Ikraftträdande- och övergångsbestämmelser

Förslag

Bestämmelserna ska träda i kraft den 1 januari 2027. Lagändringen avseende lagen om fiktiva fordonsuppgifter ska träda i kraft den 1 mars 2027. Beslut som har meddelats enligt äldre föreskrifter i lagen om kvalificerade skyddsidentiteter ska fortfarande gälla.

Bedömning

Det behövs i övrigt inte några övergångsbestämmelser.

Skälen för förslaget och bedömningen

För att ska kunna inleda sin verksamhet den 1 januari 2027 behöver de bestämmelser som föreslås i denna promemoria träda i kraft samma datum. Lagändringen avseende lagen om fiktiva fordonsuppgifter bör träda i kraft den 1 mars 2027. När det gäller lagen om kvalificerade skyddsidentiteter bör det införas en övergångsbestämmelse som innebär att beslut som har meddelats enligt äldre föreskrifter fortfarande ska gälla. Det bedöms i övrigt inte finnas något behov av särskilda övergångsbestämmelser.

303

13 Konsekvenser

Bedömning

Förslaget till ny lag och förordning om behandling av personuppgifter vid medför att kan behandla personuppgifter på ett ändamålsenligt sätt. Förslagen medför inga ökade kostnader för det allmänna. Förslagen innebär en viss förändring för andra myndigheter än , men bedöms inte innebära några sådana ökade kostnader som inte ryms inom befintliga anslag. Förslagen medför inte heller ökade kostnader för enskilda och förväntas inte medföra några konsekvenser av betydelse i övrigt.

Skälen för bedömningen

Utgångspunkter för bedömningen

Underrättelseutredningen har i sitt betänkande En reformerad underrättelseverksamhet redovisat konsekvenser av de förslag som föreslås där (SOU 2025:78). I denna promemoria föreslås ett antal nya författningar och författningsändringar som krävs för att en ny utrikesunderrättelsetjänst ska kunna inrättas. Nedan redovisas de konsekvenser som den nya lagen om behandling av personuppgifter vid och förordningen om behandling av personuppgifter vid Myndigheten för utrikes underrättelser anses medföra. Konsekvenserna för övriga författningsändringar är tätt sammankopplade med konsekvenserna av att inrätta en ny myndighet. Konsekvenserna av att inrätta en ny

305

Konsekvenser

myndighet som bedriver utrikes underrättelseverksamhet finns redovisade i SOU 2025:78.

Syftet med förslagen , a lternativa regleringar och effekten av att förslagen inte genomförs

En ny lag och förordning om behandling av personuppgifter vid är nödvändig för att ska kunna behandla personuppgifter på ett ändamålsenligt sätt. Om det inte vidtogs någon åtgärd och någon reglering inte skulle komma till stånd skulle s personuppgiftsbehandling omfattas av EU:s dataskyddsförordning och dataskyddslagen, eftersom dataskyddslagen utvidgar tillämpningen av bestämmelserna i dataskyddsförordningen till att även gälla vid behandling av personuppgifter som utgör led i verksamhet som inte omfattas av unionsrätten. Det regelverket är inte anpassat till de särskilda förutsättningar som gäller för den verksamhet som kommer bedriva, vilket skulle innebära att det inte finns bestämmelser som gör det möjligt för att bedriva sin verksamhet på ett effektivt och ändamålsenligt sätt. Alternativa regleringar har också övervägts i de fall det varit motiverat. De överväganden som har gjorts redovisas närmarare i kapitel 5 – 11.

Konsekvenser för

Den nya lagen medför i sig inte några nya uppgifter för Myndigheten för utrikes underrättelser och bedöms inte medföra några kostnader. Bestämmelserna i lagen motsvarar i stort vad som i dag gäller för den personuppgiftsbehandling som sker avseende den verksamhet som Must bedriver, och som ska övertas av Myndigheten för utrikes underrättelser. Som framgår ovan möjliggör den nya lagen att Myndigheten för utrikes underrättelser kan behandla personuppgifter på ett ändamålsenligt sätt och på så sätt bedriva en effektiv och ändamålsenlig verksamhet. Möjligheten för Myndigheten för utrikes underrättelser, Försvarsmakten, Försvarets radioanstalt och

306

Konsekvenser

Säkerhetspolisen att tillåta direktåtkomst i sina respektive verksamheter medför att myndigheterna fortsatt kan arbeta effektivt. Detsamma gäller för den direktåtkomst som i övrigt möjliggörs genom den föreslagna regleringen.

Konsekvenser för andra myndigheter

Integritetsskyddsmyndighetens tillsyn och Statens inspektion för utrikes underrättelseverksamhetens granskning av Myndigheten för utrikes underrättelsers behandling av personuppgifter föreslås i huvudsak bedrivas på samma sätt som görs avseende Försvarsmaktens utrikes underrättelseverksamhet. Eftersom ska ta över vissa uppgifter från Must torde den nya lagen inte medföra någon större utökning av granskningsinsatser och därmed inte heller leda till några större merkostnader för dessa myndigheter. Förslaget bedöms därför inte påverka myndigheternas verksamhet i sådan omfattning som ställer krav på ytterligare medel. Förslaget till ny lag för behandling av personuppgifter berör de allmänna förvaltningsdomstolarna. I lagen föreslås en möjlighet att överklaga vissa beslut. Förslaget bedöms inte innebära någon måltillströmning av betydelse och bedöms därför inte påverka domstolarnas verksamhet i någon omfattning som ställer krav på ytterligare medel. Förslagen bedöms inte påverka några andra statliga myndigheter.

Konsekvenser för enskilda

s behandling av personuppgifter med stöd av den föreslagna regleringen kan innebära ett visst intrång i den enskildes personliga integritet. Integritetsintrånget måste dock vägas mot de starka säkerhetsintressen som gör sig gällande och som motiverar behovet av en effektiv verksamhet på det områden som den nya lagen omfattar. Den omfattande tillsyn och krav på granskning som kommer att gälla för den behandling av personuppgifter som den föreslagna lagstiftningen omfattar är av stor betydelse för tillvaratagandet av den enskildes integritetsskydd. Konsekvenserna för den enskildes

307

Konsekvenser

integritet får anses vara acceptabla. Förslagen medför inte några ekonomiska konsekvenser för enskilda.

Övriga konsekvenser

Förslagen påverkar inte den kommunala självstyrelsen och innebär inte förändringar av kommunala befogenheter eller skyldigheter eller grunderna för kommunernas eller regionernas organisation eller verksamhetsformer. Förslagen omfattas inte av EU-regleringen och bedöms inte heller i övrigt medföra några konsekvenser av betydelse.

308

14 Författningskommentar

1. Förslaget till lag om behandling av personuppgifter vid

1 kap. Allmänna bestämmelser

Syfte med lagen

1 § Syftet med denna lag är att säkerställa att Myndigheten för utrikes underrättelser kan behandla personuppgifter på ett ändamålsenligt sätt och att skydda fysiska personers grundläggande fri- och rättigheter i samband med sådan behandling.

I paragrafen anges syftet med lagen. Övervägandena finns i avsnitt 5.3. Enligt paragrafen är syftet med lagen att säkerställa att kan behandla personuppgifter på ett ändamålsenligt sätt och att skydda fysiska personers grundläggande fri- och rättigheter i samband med sådan behandling. Lagen har alltså två syften. Den gäller för enbart fysiska personer. Det innebär att juridiska personer inte omfattas av lagen.

Lagens tillämpningsområde

2 § Denna lag gäller vid s behandling av personuppgifter i verksamhet som rör Sveriges säkerhet samt internationellt utrikes underrättelsesamarbete och säkerhetssamarbete.

I paragrafen anges lagens tillämpningsområde. Övervägandena finns i avsnitt 5.4.

309

Författningskommentar

I paragrafen anges att lagen gäller vid Myndigheten för utrikes underrättelsers behandling av personuppgifter i verksamhet som rör Sveriges säkerhet samt internationellt utrikes underrättelsesamarbete och säkerhetssamarbete, dvs. inom verksamhet som ligger utanför unionsrätten. Uttrycken personuppgift och behandling av personuppgifter definieras i 5 §. Uttrycket Sveriges säkerhet omfattar Myndigheten för utrikes underrättelsers huvuduppgift att bedriva utrikes underrättelseverksamhet och sådan verksamhet som i övrigt syftar till att främja Sveriges säkerhet. Det gäller även för sådan verksamhet som omfattar s egen säkerhet, t.ex. sådana uppgifter som rör säkerhetsskydd. Även Myndigheten för utrikes underrättelsers interna och administrativa verksamhet som rör myndighetens personal omfattas av lagen. Uttrycket internationellt utrikes underrättelsesamarbete och säkerhetssamarbete omfattar det internationella samarbete som s bedriver med stöd av föreskrifter i t.ex. förordning eller regeringens beslut i enskilda fall. I 2 kap. finns bestämmelser om rättslig grund och de närmare ändamål för vilka s får behandla personuppgifter.

3 § Lagen gäller vid sådan behandling av personuppgifter som är helt eller delvis automatiserad. Den gäller också personuppgifter som ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier.

Paragrafen preciserar lagens tillämpningsområde. Övervägandena finns i avsnitt 5.4. Av paragrafen framgår att lagen gäller vid sådan behandling av personuppgifter som är helt eller delvis automatiserad men också personuppgifter som ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. När det gäller automatiserad behandling krävs det inte att personuppgifterna som behandlas finns i något som kan karaktäriseras som ett register eller att de annars är ordnade på visst sätt. Manuell behandling i t.ex. register omfattas av bestämmelsen om personuppgifterna är tillgängliga för sökning eller samman-

310

Författningskommentar

ställning enligt mer än ett kriterium. Uteslutande manuell behandling av personuppgifter som inte ingår i någon samling och inte heller är avsedda att ingå i en sådan, exempelvis handskrivna minnesanteckningar, ligger däremot utanför tillämpningsområdet.

4 § Vid behandling av personuppgifter enligt denna lag gäller inte Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) och inte heller lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning

I paragrafen regleras förhållandet till EU:s dataskyddsförordning och lagen med kompletterande bestämmelser till EU:s dataskyddsförordning. Övervägandena finns i avsnitt 5.2. Av paragrafen framgår att dataskyddsförordningen och lagen inte gäller vid behandling av personuppgifter enligt lagen.

Ord och uttryck i lagen

5 § I denna lag används följande ord och uttryck.

Ord och uttryck Betydelse Behandling av personuppgifter En åtgärd eller en kombination av åtgärder som vidtas i fråga om personuppgifter eller uppsättningar av personuppgifter, oavsett om det görs automatiserat eller inte, t.ex. insamling, registrering, organisering, strukturering, lagring, bearbetning eller ändring, framtagning, läsning, användning, utlämnande, spridning eller tillhandahållande på annat sätt, justering, sammanföring, begränsning, radering eller förstöring.

Biometriska uppgifter Personuppgifter som rör en persons fysiska, fysiologiska eller beteendemässiga kännetecken, som tagits

311

Författningskommentar

fram genom särskild teknisk behandling och som möjliggör eller bekräftar identifiering av personen i fråga.

Dataskyddsombud En fysisk person som utses av den personuppgiftsansvarige för att självständigt kontrollera att personuppgifter behandlas författningsenligt och på ett korrekt sätt. Genetiska uppgifter Personuppgifter som rör en persons nedärvda eller förvärvade genetiska kännetecken och som framför allt härrör från analys av ett spår av eller ett biologiskt prov från personen i fråga.

Mottagare Den till vilken personuppgifter lämnas ut, med undantag av en myndighet som med stöd av författning utövar tillsyn, kontroll eller revision.

Personuppgift Varje upplysning om en identifierad eller identifierbar fysisk person som är i livet.

Personuppgiftsansvarig Den som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen av personuppgifter.

Personuppgiftsbiträde Den som behandlar personuppgifter för den personuppgiftsansvariges räkning.

Registrerad Den fysiska person som person uppgiften gäller.

Tredje part Någon annan än – den registrerade, – den personuppgiftsansvarige, – dataskyddsombudet,

312

Författningskommentar

– personuppgiftsbiträdet, och – sådana personer som under den personuppgiftsansvariges eller personuppgiftsbiträdets direkta ansvar har rätt att behandla personuppgifter.

I paragrafen definieras vissa ord och uttryck som används i lagen.

Behandling av personuppgifter

Uttrycket behandling av personuppgifter omfattar alla åtgärder som vidtas med sådana uppgifter. Uttrycket behandlas i avsnitt 5.5. Så snart personuppgifter hanteras på något sätt är det fråga om behandling som omfattas av lagens bestämmelser, om den är helt eller delvis automatiserad eller avser manuell behandling i en strukturerad samling av personuppgifter. Uppräkningen i definitionen av olika sätt att hantera personuppgifter är således inte uttömmande.

Biometriska uppgifter

Biometri är en samlingsbenämning för sådan automatiserad teknik som syftar till att identifiera en person eller avgöra om en påstådd identitet är riktig. Uttrycket behandlas i avsnitt 5.5. Den automatiserade tekniken baseras på fysiska karaktärsdrag hos den som ska identifieras. Mönster av fingeravtryck, ansiktsgeometri, ögats iris, regnbågshinna och näthinna, röst, hand, blodkärl, dna eller gång är exempel på områden där sådan teknik kan användas. Gemensamt för teknikerna är att kroppen mäts elektroniskt. Biometriska uppgifter är den information som kan tas fram ur ett biometriskt underlag. Uppgifterna kan användas för att skapa en referensmall eller för att jämföra med tidigare lagrade referensmallar i syfte att kontrollera en persons identitet. Fingeravtryck och dna-profiler är för närvarande de vanligaste formerna av biometriska uppgifter. Biometriska uppgifter i form av fingeravtryck kan framgå av ett spår som påträffas vid utredning av en händelse som exempelvis ett angrepp mot svensk trupp utomlands. Även analys av spåren

313

Författningskommentar

omfattas av definitionen, trots att de vid den tidpunkten inte går att härleda till en identifierad person. Dna-spår behandlas i författningskommentaren till uttrycket genetiska uppgifter. Av 2 kap. 12 § framgår att biometriska uppgifter bara får behandlas om det är absolut nödvändigt för ändamålet med behandlingen. Fotografier och filmer som inte bearbetas tekniskt i syfte att åstadkomma identifiering faller utanför definitionen. Bearbetning av bilder av personer för att förbättra bildkvaliteten, förstärka detaljer och liknande omfattas alltså inte. Om bilder däremot bearbetas i exempelvis ett ansiktsigenkänningsprogram i syfte att identifiera personer omfattas de av definitionen. Fotografier kan omfattas av regleringen om känsliga personuppgifter även på andra grunder, se författningskommentaren till 2 kap. 11 §.

Dataskyddsombud

Ett dataskyddsombud är en fysisk person som utses av den personuppgiftsansvarige att självständigt utföra vissa uppgifter i syfte att se till att personuppgifter behandlas författningsenligt och på ett korrekt sätt. Ordet behandlas i avsnitt 8.4. Ett dataskyddsombud ska vara anställt hos den personuppgiftsansvarige. Kravet på självständighet innebär att dataskyddsombud ska kunna utföra sina arbetsuppgifter på ett oberoende sätt. Ombuden förutsätts framför allt ha goda kunskaper om regelverket om personuppgiftsbehandling. Ombuden bör också ha sådan ställning i organisationen att det säkerställs att deras synpunkter och råd beaktas.

Genetiska uppgifter

Med uttrycket genetiska uppgifter avses personuppgifter som rör en persons nedärvda eller förvärvade genetiska kännetecken och som framför allt härrör från analys av ett spår av eller ett biologiskt prov från personen i fråga. Det är alltså fråga om all information som rör en persons nedärvda eller förvärvade genetiska kännetecken och som kan tas fram ur ett spår från människokroppen. Uttrycket behandlas i avsnitt 5.5.

314

Författningskommentar

Genetiska uppgifter behandlas vid dna-analyser i forensisk verksamhet för att ta fram dna-profiler eller forensiska uppslag. Behandlingen kan avse genetiska uppgifter från såväl identifierade som oidentifierade personer. Eftersom nedärvda eller förvärvade genetiska kännetecken för en person kan framgå av ett spår som påträffas vid utredning av en händelse, omfattas även analys av spåren av definitionen, trots att de vid den tidpunkten inte går att härleda till en identifierad person. Den dna-profil som behandlas i ett dna-register utgör däremot inte en genetisk uppgift, eftersom inga nedärvda eller förvärvade genetiska kännetecken kan utläsas ur den. En dna-profil är i stället en biometrisk uppgift, eftersom den tas fram genom en särskild teknisk behandling av en persons arvsmassa för att möjliggöra eller bekräfta identifiering av personen i fråga.

Mottagare

Mottagare definieras som den till vilken personuppgifter lämnas ut, med undantag av en myndighet som med stöd av författning utövar tillsyn, kontroll eller revision. Ordet behandlas i avsnitt 5.5. Undantaget omfattar bl.a. myndigheter som tar del av personuppgifter i sin tillsyn och kontroll av viss verksamhet, t.ex. Integritetsskyddsmyndigheten och Statens inspektion för utrikes underrättelseverksamheten. Även andra myndigheter som utövar tillsyn, t.ex. Riksdagens ombudsmän (JO) och Justitiekanslern, omfattas av undantaget.

Personuppgift

Med personuppgift avses varje upplysning om en identifierad eller identifierbar fysisk person som är i livet. Ordet behandlas i avsnitt 5.5. Varje information som kan hänföras till en fysisk person är en personuppgift. Det gäller även information som kan hänföras till en individ om en fysisk person kan identifieras med hjälp av informationen. Det krävs inte att den personuppgiftsansvarige ska förfoga över samtliga uppgifter som gör identifieringen möjlig. Det innebär att t.ex. oidentifierade fingeravtryck och dna-profiler är personuppgifter, eftersom det är möjligt att identifiera en person

315

Författningskommentar

med hjälp av dem. Även bild- eller ljudupptagningar kan utgöra personuppgifter, om man direkt eller indirekt kan avgöra vilken individ som upptagningen avser. Uppgifter om juridiska personer omfattas inte av definitionen.

Personuppgiftsansvarig

Personuppgiftsansvarig är enligt definitionen den som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen av personuppgifter. Ordet behandlas i avsnitt 8.1. Att bestämma ändamålen med behandlingen innebär i princip att bestämma att en behandling ska utföras och varför. Att bestämma medlen för behandlingen avser främst att bestämma över de tekniska och organisatoriska medlen, dvs. hur behandlingen ska gå till. Det kan handla om vilka personuppgifter som ska behandlas, vilka som ska få ta del av dem och hur länge personuppgifterna får behandlas. Den personuppgiftsansvarige styr dock inte alltid själv över alla medel för behandlingen. Vid direktåtkomst bestämmer den som medger åtkomsten hur tillgången tekniskt ska lösas och vilka personuppgifter som ska tillgängliggöras. Den som ges direktåtkomst är personuppgiftsansvarig för behandlingen av de personuppgifter som direktåtkomsten avser.

Personuppgiftsbiträde

Ett personuppgiftsbiträde är en fysisk eller juridisk person som behandlar personuppgifter för den personuppgiftsansvariges räkning. Ordet behandlas i avsnitt 8.5.1. Ett personuppgiftsbiträde behandlar personuppgifter endast enligt instruktioner från den personuppgiftsansvarige och har inte rätt att själv bestämma över personuppgiftsbehandlingen. Ett personuppgiftsbiträde finns alltid utanför den egna organisationen. En anställd eller någon annan som behandlar personuppgifter under den personuppgiftsansvariges direkta ansvar kan inte vara personuppgiftsbiträde.

316

Författningskommentar

Registrerad

Med registrerad avses den fysiska person som en personuppgift rör. Ordet behandlas i avsnitt 5.5. Av definitionen av personuppgift framgår bl.a. att personen ska vara i livet.

Tredje part

Tredje part är någon annan än den registrerade, personuppgiftsansvarige, dataskyddsombudet, personuppgiftsbiträdet, och sådana personer som under den personuppgiftsansvarige eller personuppgiftsbiträdets direkta ansvar har rätt att behandla personuppgifter. Uttrycket behandlas i avsnitt 5.5.

Personuppgiftsansvar

6 § är personuppgiftsansvarig för all behandling av personuppgifter som myndigheten utför, som utförs under myndighetens ledning eller på dess vägnar.

Paragrafen reglerar personuppgiftsansvar. Övervägandena finns i avsnitt 8.1. I paragrafen anges att är personuppgiftsansvarig för all behandling av personuppgifter som myndigheten utför, som utförs under myndighetens ledning eller på dess vägnar. Den närmare innebörden av personuppgiftsansvaret framgår av övriga bestämmelser i lagen och föreskrifter som har meddelats i anslutning till lagen. Personuppgiftsansvaret omfattar alltså all behandling av personuppgifter som utförs vid myndigheten. Det gäller både behandling som utförs genom en aktiv handling, t.ex. insamling eller sökning, och passiv behandling, t.ex. lagring. Ansvaret omfattar däremot inte sådan behandling av personuppgifter som myndigheten utför i egenskap av personuppgiftsbiträde. Genom att ansvaret knyts till behandling av personuppgifter som utförs under s ledning tydliggörs att det inte är myndigheten som utför personuppgiftsbehandlingen utan de anställda.

317

Författningskommentar

är också ansvarig för den behandling av personuppgifter som utförs på myndighetens vägnar. Med det avses främst sådan behandling som Myndigheten för utrikes underrättelser har uppdragit åt ett personuppgiftsbiträde att utföra. kan uppdra åt ett biträde att utföra viss behandling av personuppgifter, men kan inte genom det avsäga sig personuppgiftsansvaret. Personuppgiftsansvaret sträcker sig då utanför s egen verksamhet. Personuppgiftsbiträdets behandling ska styras av skriftliga avtal eller andra skriftliga överenskommelser och får endast utföras enligt instruktioner från Myndigheten för utrikes underrättelser, se författningskommentarerna till 4 kap. 7 och 9 §§. Två eller flera personuppgiftsansvariga kan behandla samma personuppgifter samtidigt för olika ändamål, t.ex. om de har direktåtkomst till personuppgifter i samma system. Varje personuppgiftsansvarig är då ansvarig för den behandling som utförs under dennes ledning eller på dennes vägnar.

2. kap. Behandling av personuppgifter

Grundläggande krav på behandlingen

Rättslig grund

1 § Personuppgifter får endast behandlas för att bedriva verksamhet som följer av lag eller annan författning, internationella åtaganden, kollektivavtal eller annat avtal, eller ett särskilt beslut av regeringen.

I paragrafen anges den yttre ramen för när behandling av personuppgifter är tillåten. De allmänna övervägandena finns i avsnitt 5.6. Bestämmelsen innebär att personuppgifter endast får behandlas för ändamål som följer av en rättslig grund. Den rättsliga grunden följer inte av denna lag utan måste anges särskilt i lag eller annan författning, följa av ett internationellt åtagande, kollektivavtal eller annat avtal, eller framgå genom ett särskilt regeringsbeslut. s uppgifter kommer bland annat följa av lagen om utrikes underrättelseverksamhet, myndighetens instruktion och regleringsbrev. De krav som ställs på en myndighet att exempelvis diarieföra handlingar, samarbeta med

318

Författningskommentar

andra myndigheter och lämna ut allmänna handlingar utgör också rättslig grund för personuppgiftsbehandling. Annat avtal än kollektivavtal kan vara avtal som Myndigheten för utrikes underrättelser ingår med en leverantör vid upphandling. I 2 kap. 3 – 8 §§ framgår de ändamål för vilka personuppgifter får behandlas.

Krav på ändamål

2 § Personuppgifter får bara behandlas för särskilda, uttryckligt angivna och berättigade ändamål. Personuppgifter får inte behandlas för något ändamål som är oförenligt med det ändamål som de ursprungligen behandlades för.

I paragrafen regleras grundläggande krav på behandlingen av personuppgifter i fråga om krav på ändamål. Övervägandena finns i avsnitt 5.7. Enligt första stycket får personuppgifter bara behandlas för särskilda, uttryckligt angivna och berättigade ändamål. Det ställs alltså krav på att varje personuppgiftsbehandling ska ha koppling till de ändamål som anges i lagen, dvs. vara relevant i de verksamheter som utgör rättsliga grunder för personuppgiftsbehandling och är ägnade att lösa s uppgifter enligt lag eller annan författning, internationella åtaganden, kollektivavtal eller annat avtal, eller ett särskilt beslut av regeringen. Detta innebär att ändamålen med en behandling av personuppgifter måste bestämmas redan när uppgifterna samlas in. Av andra stycket framgår att personuppgifter inte får behandlas för något ändamål som är oförenligt med det ändamål som de ursprungligen behandlades för. Bestämmelsen ger uttryck för den generella s.k. finalitetsprincipen, dvs. att fortsatt behandling inte får ske för något ändamål som är oförenligt med det ändamål för vilket personuppgifterna ursprungligen behandlades. Vad som kan utgöra oförenliga ändamål måste avgöras i det enskilda fallet. Det innebär att den personuppgiftsansvarige under hela behandlingstiden måste hålla reda på för vilka ändamål varje personuppgift ursprungligen har behandlats för.

319

Författningskommentar

Utrikes underrättelseverksamhet

3 § Personuppgifter får behandlas i Myndigheten för utrikes underrättelsers utrikes underrättelseverksamhet om det är nödvändigt för att bedriva den verksamhet som anges i lagen (2000:130) om utrikes underrättelseverksamhet.

Paragrafen anger ändamål för vilka personuppgifter får behandlas i s utrikes underrättelseverksamhet. Övervägandena finns i avsnitt 5.8. I paragrafen anges att personuppgifter får behandlas i s utrikes underrättelseverksamhet. En förutsättning för sådan behandling är att det är nödvändigt att bedriva den verksamhet som anges i lagen (2000:130) om utrikes underrättelseverksamhet. Utrikes underrättelseverksamhet består av inhämtning, bearbetning och analys samt delgivning av information. Härigenom utarbetas underrättelser som delges Regeringskansliet och andra berörda myndigheter. Det är regeringen som bestämmer inriktningen av utrikes underrättelseverksamheten. I utrikes underrättelseverksamhet behandlas personuppgifter som avser t.ex. uppgifter om utländsk militär personal, politiker eller andra viktiga befattningshavare. Denna typ av uppgifter är nödvändiga att behandla för att informationsunderlaget för svensk utrikes-, säkerhets- och försvarspolitik ska bli komplett. Utrikes underrättelseverksamhet ska identifiera och redovisa eller ge förvarning om sådana förändringar i omvärldsläget att detta kan ligga till grund för politiska beslut om totalförsvarets anpassning på kort eller lång sikt.

4 § De personuppgifter som har fått tillgång till i myndighetens utrikes underrättelseverksamhet får fortsätta behandlas i den verksamheten, om det behövs för att fullgöra den. Första stycket gäller endast om inte något annat följer av denna lag eller en förordning som regeringen har meddelat i anslutning till lagen.

Paragrafen kompletterar 3 § när det är tillåtet att behandla personuppgifter i s utrikes underrättelseverksamhet. Övervägandena finns i avsnitt 5.8.

320

Författningskommentar

I första stycket anges att de personuppgifter som Myndigheten för utrikes underrättelser har fått tillgång till i sin utrikes underrättelseverksamhet även fortsättningsvis får behandlas i den verksamheten, om det behövs för att fullgöra den. Härigenom möjliggörs en fortsatt behandling av personuppgifter som finns inom s utrikes underrättelseverksamhet, under förutsättning att en sådan behandling är nödvändig för att fullgöra den verksamheten. Det möjliggör i sin tur en behandling som inte alltid direkt kan hänföras till regeringens vid varje tidpunkt gällande inriktning av underrättelseverksamheten. Det är av grundläggande betydelse att Myndigheten för utrikes underrättelser kan behandla äldre information, inbegripet personuppgifter, för att kunna förstå och bedöma den underrättelsemässiga relevansen av sådant som sker vid den aktuella tidpunkten. Första stycket gäller endast om inte något annat följer av lagen eller en förordning som regeringen har meddelat i anslutning till lagen. Detta framgår av andra stycket .

Övriga ändamål

5 § får behandla personuppgifter som utgör allmänt tillgänglig information om det är nödvändigt för myndighetens verksamhet.

I paragrafen regleras behandling av personuppgifter som utgör allmänt tillgänglig information. Övervägandena finns i avsnitt 5.9. får behandla personuppgifter som utgör allmänt tillgänglig information om det är nödvändigt för myndighetens verksamhet. Genom bestämmelsen tydliggörs att det är möjligt att behandla sådana personuppgifter i verksamheten. behöver utöver den information som myndigheten inhämtar genom särskilda metoder, ha god tillgång till allmänt tillgänglig information. Av intresse här är framför allt information som utgörs av personuppgifter som kan påträffas vid sökning på internet eller vid sökningar i öppna databaser. Uppgifterna kan vara tillgängliga såväl på kommersiell grund som utan avgift.

321

Författningskommentar

6 § får behandla personuppgifter om lagöverträdelser om det är nödvändigt för myndighetens verksamhet.

Paragrafen innehåller ett preciserat ändamål för behandling av personuppgifter om lagöverträdelser. Övervägandena finns i avsnitt 5.10. Genom bestämmelsen tydliggörs att Myndigheten för utrikes underrättelser har möjlighet att behandla personuppgifter om lagöverträdelser om det är nödvändigt för myndighetens verksamhet. Ett sådant behov kan t.ex. uppkomma inom ramen för säkerhetsprövningar och den personaladministrativa verksamheten (se kommentaren till 8 §).

7 § får behandla personuppgifter för vetenskapliga, statistiska eller historiska ändamål inom denna lags tillämpningsområde.

I paragrafen anges att får behandla personuppgifter för vetenskapliga, statistiska eller historiska ändamål inom lagens tillämpningsområde. Övervägandena finns i avsnitt 5.11. Genom bestämmelsen ges möjlighet att behandla personuppgifter för vetenskapliga, statistiska eller historiska ändamål.

8 § får behandla personuppgifter om det är nödvändigt för annan verksamhet som bedrivs enligt 1 §.

Paragrafen innehåller förutsättningarna för behandling av personuppgifter inom lagens tillämpningsområde för ändamål som inte anges särskilt i 3 och 5 – 7 §§. Övervägandena finns i avsnitt 5.12. Av paragrafen följer att får behandla personuppgifter om det är nödvändigt för annan verksamhet som myndigheten bedriver och det finns stöd för behandling i bestämmelsen om rättslig grund (1 §). Ändamålet måste alltså vara förenligt med den verksamhet som ska bedrivas enligt en rättslig grund. Bestämmelsen omfattar t.ex. den administrativa verksamheten. får bl.a. behandla personuppgifter om det är nödvändigt för diarieföring, arkivering,

322

Författningskommentar

handläggning av ett ärende eller för att utföra annan liknande uppgift som myndigheten har. Bestämmelsen avser ärenden som inleds såväl på s eget initiativ som efter framställning av någon annan. Det kan vara fråga om ärenden om kvalificerade skyddsidentiteter eller om utvärdering av den egna verksamheten genom tidredovisning, lönesättning och sjuktal. får även behandla personuppgifter avseende den personaladministrativa verksamheten som t.ex. löner och ledigheter, och för att genomföra säkerhetsprövningar enligt säkerhetsskyddslagen (2018:585) eller för att utföra andra uppgifter som rör säkerhetsskydd. Exempel på uppgifter som rör säkerhetsskydd är Myndigheten för utrikes underrättelsers tillträdeskontroll vid lokaler där myndigheten bedriver verksamhet som kräver säkerhetsskydd, men även utbildning i säkerhetsskydd och kontroll av säkerhetsloggar omfattas. Det är som avgör vilken ändamålsbestämmelse som myndigheten lägger till grund för en viss behandling av personuppgifter.

Författningsenlig och korrekt behandling

9 § Personuppgifter ska behandlas författningsenligt och på ett korrekt sätt.

Paragrafen reglerar krav på en författningsenlig och korrekt behandling av personuppgifter. Övervägandena finns i avsnitt 6.1. Enligt paragrafen ska personuppgifter behandlas författningsenligt och på ett korrekt sätt. Att behandlingen ska ske författningsenligt innebär att den ska ske i enlighet med lag eller annan författning. Författningarna är även av betydelse för att en behandling ska anses ske på ett korrekt sätt. Vad som är ett korrekt sätt för behandling styrs inte enbart av författning. Tillsynsmyndighetens beslut om allmänna råd och uttalanden i fråga om personuppgiftsbehandling har också betydelse, liksom s interna regler. Otillåten behandling av personuppgifter kan i vissa fall vara straffbar enligt bestämmelser i brottsbalken, bl.a. bestämmelsen i 4 kap. 9 c § brottsbalken om dataintrång. Tänkbara exempel på

323

Författningskommentar

dataintrång kan vara externa angrepp eller att någon som har tillgång till ett it-system överskrider sina befogenheter.

Personuppgifternas kvalitet

10 § Personuppgifter som behandlas ska vara riktiga och, om det är nödvändigt, uppdaterade. Personuppgifterna ska vara adekvata och relevanta i förhållande till ändamålen med behandlingen. Uppgifter som beskriver en persons utseende ska utformas på ett objektivt sätt med respekt för människovärdet. Fler personuppgifter får inte behandlas än vad som är nödvändigt med hänsyn till ändamålen med behandlingen.

Paragrafen reglerar personuppgifternas kvalitet. Övervägandena finns i avsnitt 6.1. Enligt första stycket ska de behandlade uppgifterna vara riktiga och, om det är nödvändigt, uppdaterade. Personuppgifterna ska också vara adekvata och relevanta i förhållande till ändamålet med behandlingen. En personuppgift är riktig om den stämmer överens med de verkliga förhållandena. För att bestämma vilka de verkliga förhållandena är får man söka ledning i ändamålen med behandlingen. Det är ändamålen i det enskilda fallet som avses. Inom lagens tillämpningsområde måste frågan om en personuppgift är riktig inte bara vägas mot ändamålen med behandlingen utan även ses mot bakgrund av vad uppgiften rör, när den lämnas och vem som lämnar den. För att kunna avgöra om personuppgifterna är riktiga är det också av stor betydelse att veta om de grundar sig på fakta eller på personliga bedömningar. Kravet på att personuppgifter ska vara riktiga innebär inte något hinder mot att samla in exempelvis osäkra underrättelseuppgifter, under förutsättning att personuppgifterna är relevanta för arbetet och att det framgår att det är osäkert om uppgiften är riktig. De personuppgifter som behandlas behöver vara uppdaterade bara om det är nödvändigt. Frågan om det är nödvändigt att de är uppdaterade får avgöras med hänsyn till ändamålen med behandlingen. Exempelvis kan uppgifter om telefonnummer eller andra kontaktuppgifter ändras under handläggningen av ett ärende och därmed behöva uppdateras.

324

Författningskommentar

Att personuppgifterna ska vara adekvata och relevanta innebär att ovidkommande uppgifter inte får behandlas. En prövning av om en personuppgift är nödvändig för behandlingen ska göras kontinuerligt av , inte bara när uppgiften registreras eller på annat sätt samlas in. Även vid en senare behandling ska personuppgiften behövas för just den behandlingen, annars är kravet på adekvans och relevans inte uppfyllt. Enligt andra stycket ska uppgifter som beskriver en persons utseende ska utformas på ett objektivt sätt med respekt för människovärdet. Syftet med bestämmelsen är att förhindra att personers utseende beskrivs i ordalag som kan vara kränkande för individen. Uppgifter om utseende är inte i sig att betrakta som känsliga personuppgifter. Utformningen av stycket innebär att myndigheten alltid är oförhindrad att, om den får ett tips från allmänheten eller en samarbetspartner om en person som kan misstänkas för verksamhet som exempelvis innebär säkerhetshot mot Myndigheten för utrikes underrättelsers intressen, göra de anteckningar som är nödvändiga för att underlätta identifieringen av personen, t.ex. anteckningar om fysiska kännetecken. Anteckningarna måste dock utformas på ett objektivt sätt. I anslutning till dessa anteckningar får även sådana känsliga personuppgifter som avses i Myndigheten för utrikes underrättelser § antecknas, om det är absolut nödvändigt för det arbete som tipset bör föranleda. Enligt tredje stycket får inte fler personuppgifter behandlas än vad som är nödvändigt med hänsyn till ändamålen med behandlingen. Vad som utgör nödvändig behandling får avgöras av den personuppgiftsansvarige vid varje behandling. Att uppgifterna inte får vara fler än nödvändigt understryker kravet på att en fortlöpande bedömning görs. Sammantaget måste det vid all behandling prövas om det går att utelämna personuppgifter, eller i vart fall att endast använda uppgifter som indirekt går att hänföra till en viss person. Om fullständig avidentifiering är ett fullgott alternativ till att använda direkta eller indirekta personuppgifter är förutsättningarna för att behandla personuppgifterna inte uppfyllda.

325

Författningskommentar

Känsliga personuppgifter

11 § Personuppgifter som avslöjar ras, etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening eller som rör hälsa, sexualliv eller sexuell läggning får inte behandlas. När personuppgifter behandlas får de dock kompletteras med sådana uppgifter som avses i första stycket, om det är absolut nödvändigt med hänsyn till ändamålen med behandlingen.

Paragrafen reglerar känsliga personuppgifter. Överväganden finns i avsnitt 6.2. Enligt första stycket får personuppgifter som avslöjar ras, etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening eller som rör hälsa, sexualliv eller sexuell läggning inte behandlas. Det innebär att det inte är tillåtet att föra register över eller på annat sätt göra anteckningar om enskilda på den grunden att de utifrån etniskt ursprung, politiska åsikter eller något annat i paragrafen angivet förhållande kan hänföras till en viss kategori av människor. En uppgift om utseende är typiskt sett inte en känslig personuppgift och den får alltså behandlas, med den begränsning som följer av 9 § andra stycket. Om en sådan uppgift samtidigt innebär uppgift om etniskt ursprung omfattas den dock av förbudet. Bestämmelsen hindrar inte att uppgifter om en persons nationalitet behandlas, eftersom en sådan uppgift normalt sett inte ger upplysning om etniskt ursprung (prop. 2009/10:85 s. 325). Uppgifter om att en viss person kommer från en viss världsdel eller ett visst land faller också som regel utanför förbudet mot behandling av känsliga personuppgifter. Skulle en sådan personuppgift i det enskilda fallet t.ex. avslöja etniskt ursprung är dock förbudet tillämpligt. Andra stycket innehåller ett undantag från huvudregeln att känsliga personuppgifter inte får behandlas. Personuppgifter som behandlas på annan grund får kompletteras med känsliga personuppgifter, om det är absolut nödvändigt med hänsyn till ändamålen med behandlingen. Det innebär att personuppgifter som samlas in i ett visst fall får kompletteras med uppgifter om exempelvis religiös övertygelse eller etniskt ursprung om det är absolut nödvändigt med hänsyn till ändamålen med behandlingen. Med hänsyn till den restriktivitet som ligger i uttrycket absolut

326

Författningskommentar

nödvändigt måste dock behovet av att göra sådana kompletteringar prövas noga i det enskilda fallet. Inom den personaladministrativa verksamheten kan t.ex. uppgifter om en enskilds hälsa behöva behandlas inom ramen för ett ärende om sjukfrånvaro eller uppgift om medlemskap i fackförening behöva behandlas inom ramen för ett arbetsrättsligt ärende. I sådana fall är kravet på att behandlingen är absolut nödvändig uppfyllt. I 12 och 13 §§ finns ytterligare bestämmelser om behandling av känsliga personuppgifter. Känsliga personuppgifter kan också förekomma i Myndigheten för utrikes underrättelsers verksamhet på grund av att någon har lämnat en sådan uppgift till myndigheten. Det kan vara fråga om helt grundlösa påståenden. Eftersom Myndigheten för utrikes underrättelser inte kan hindra någon från att yttra sig vare sig muntligen eller skriftligen på dessa sätt, kan känsliga personuppgifter komma att behandlas. Behandlingen av den känsliga personuppgiften omfattas i dessa fall av undantaget enligt andra stycket.

12 § Biometriska uppgifter får behandlas om det är absolut nödvändigt med hänsyn till ändamålen med behandlingen. Genetiska uppgifter får inte behandlas.

Paragrafen reglerar i vilken utsträckning biometriska uppgifter får behandlas. Övervägandena finns i avsnitt 6.2. Enligt första stycket får biometriska uppgifter behandlas om det är absolut nödvändigt med hänsyn till ändamålen med behandlingen Stycket möjliggör användning av särskild teknisk behandling för att bekräfta identifiering av en person. Det innebär att t.ex. fingeravtryck, ansiktsgeometri, röstigenkänning eller rörelsemönster kan användas för att identifiera en person. Behovet av att behandla biometriska uppgifter måste prövas noga i varje enskilt fall. I andra stycket anges att genetiska uppgifter inte får behandlas. Stycket innebär ett förbud för Myndigheten för utrikes underrättelser att behandla sådana uppgifter.

13 § Vid sökning får personuppgifter som avslöjar ras, etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening eller som rör hälsa, sexualliv eller sexuell läggning användas

327

Författningskommentar

som sökbegrepp om det är absolut nödvändigt med hänsyn till ändamålen med behandlingen. Detsamma gäller biometriska uppgifter.

Paragrafen reglerar i vilken utsträckning känsliga personuppgifter får användas som sökbegrepp. Övervägandena finns i avsnitt 6.2. Paragrafen gäller generellt, dvs. för såväl personuppgifter som har gjorts gemensamt tillgängliga som personuppgifter som inte har det. Paragrafen gör det möjligt att utföra sökning i syfte att få fram ett personurval grundat på känsliga personuppgifter, t.ex. i syfte att få fram ett urval av personer som t.ex. har viss politisk åskådning eller religiös övertygelse, etniskt ursprung, eller filosofisk övertygelse eller uppgifter som rör hälsa, sexualliv eller sexuell läggning, om sökningen är absolut nödvändig med hänsyn till något av de ändamål för vilket behandlar personuppgifter. kan t.ex. behöva söka på uppgifter som rör politiska åsikter, religiös övertygelse eller etniskt ursprung, eftersom det ingår i Myndigheten för utrikes underrättelsers uppdrag att kartlägga sådan verksamhet som kan komma att hota Sveriges säkerhet. Kravet på att det ska vara absolut nödvändigt att göra sökningen gör att utrymmet för sådana sökningar är begränsat och att rutinmässiga sökningar på känsliga uppgifter inte är tillåtna. I vilken utsträckning det är tillåtet att behandla någon eller några av personuppgifterna i en sammanställning av sådana uppgifter som sökningen resulterat i får prövas mot huvudregeln om behandling av känsliga personuppgifter i 11 §. Rätten att göra sökning medför således inte en generell rätt att fortsätta att behandla uppgifterna.

Personnummer och samordningsnummer

14 § Uppgifter om personnummer eller samordningsnummer får behandlas bara när det är klart motiverat med hänsyn till 1. ändamålen med behandlingen, 2. vikten av en säker identifiering, eller 3. något annat beaktansvärt skäl.

328

Författningskommentar

Paragrafen reglerar i vilken omfattning personnummer eller samordningsnummer får behandlas vid Myndigheten för utrikes underrättelser. Övervägandena finns i avsnitt 6.3. Enligt paragrafen får uppgifter om personnummer eller samordningsnummer bara behandlas när det är klart motiverat med hänsyn till ändamålen med behandlingen ( punkten 1 ), vikten av en sådan identifiering ( punkten 2 ), eller något annat beaktansvärt skäl ( punkten 3 ). Vad som avses med personnummer och samordningsnummer framgår av folkbokföringslagen (1991:487). Bestämmelsen innebär att en intresseavvägning mellan behovet av behandlingen och de integritetsrisker som den innebär ska göras. Om behandlingen av personnummer eller samordningsnummer inte är klart motiverad med hänsyn till dess ändamål, till vikten av en säker identifiering eller något annat beaktansvärt skäl får den inte utföras.

Om den registrerade har lämnat sitt samtycke eller offentliggjort personuppgifterna

15 § Trots 11, 12 och 14 §§ får andra personuppgifter än genetiska uppgifter behandlas, om den registrerade har lämnat sitt uttryckliga samtycke eller på ett tydligt sätt har offentliggjort uppgifterna.

Paragrafen reglerar behandling av vissa personuppgifter om den registrerade har lämnat sitt samtycke eller offentliggjort uppgifterna. Övervägandena finns i avsnitt 6.4. Paragrafen ger möjlighet att, med undantag av genetiska uppgifter, behandla känsliga personuppgifter samt personnummer och samordningsnummer, om den registrerade har lämnat sitt uttryckliga samtycke eller på ett tydligt sätt har offentliggjort uppgifterna. Samtyckessituationer kan exempelvis förekomma vid säkerhetsprövningar. Ett tänkbart exempel på offentliggörande kan vara att den registrerade har gjort personuppgifterna tillgängliga på internet.

329

Författningskommentar

Behandling av personuppgifter i vissa fall

16 § Hantering av information som innebär behandling av personuppgifter ska inte anses oförenlig med bestämmelserna i 1 – 3, 5 – 6, 8 – 12 och 14 §§ i det skede av behandlingen då det inte har kunnat fastställas vilka personuppgifter som informationen innehåller.

Paragrafen reglerar behandling av personuppgifter i vissa fall. Övervägandena finns i avsnitt 6.5. kan få information som t.ex. är krypterad och formulerad på ett främmande språk. Innan dess att informationen har bearbetats finns inte förutsättningar för att bedöma om den innehåller personuppgifter. Den initiala behandling som krävs för att detta ska kunna klarläggas måste kunna äga rum utan hinder av bestämmelserna om ändamål, lagöverträdelser, författningsenlig och korrekt behandling, personuppgifternas kvalitet, känsliga personuppgifter samt personnummer och samordningsnummer. Genom bestämmelsen tydliggörs att hantering av information som innebär behandling av personuppgifter inte ska anses oförenlig med bestämmelserna i 1 – 3, 5 – 6, 8 – 12 och 14 §§ i det skede av behandlingen då det ännu inte har kunnat fastställas vilka personuppgifter som informationen innehåller. När det står klart att informationen innehåller personuppgifter, samt vilka personuppgifterna är, ska Myndigheten för utrikes underrättelser behandla dem enligt lagen.

Längsta tid som personuppgifter får behandlas

17 § Personuppgifter får inte behandlas under längre tid än vad som behövs med hänsyn till ändamålen med behandlingen. Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om att personuppgifter får behandlas under endast viss tid eller fortsätta behandlas för arkivändamål av allmänt intresse eller för vetenskapliga, statistiska eller historiska ändamål. Regeringen eller den myndighet som regeringen bestämmer får också besluta om sådan behandling i ett enskilt fall.

330

Författningskommentar

Paragrafen reglerar längsta tid som personuppgifter får behandlas. Övervägandena finns i avsnitt 6.6. Enligt första stycket får personuppgifter inte behandlas under längre tid än vad som behövs med hänsyn till ändamålen med behandlingen. Att det inte längre finns behov av att behandla personuppgiften enligt ett visst ändamål medför inte att behandlingen av den måste upphöra för alla ändamål samtidigt. Det förhållandet att personuppgiften fortfarande behövs för ett visst ändamål innebär dock inte att uppgiften får fortsätta att behandlas för alla ändamål lika länge. Behovet av att fortsätta att behandla uppgifterna måste därför prövas kontinuerligt. Om det är tillräckligt att behandla avidentifierade uppgifter är det inte längre tillåtet att behandla personuppgifterna. Stycket ger även stöd för fortsatt behandling av personuppgifter i ett avslutat ärende om uppgifterna bedöms ha ett allmänt värde för exempelvis s utrikes underrättelseverksamhet. En grundläggande förutsättning för fortsatt behandling är att bedömer att uppgifterna behöver finnas tillgängliga ytterligare en viss tid för något av de ändamål för vilka Myndigheten för utrikes underrättelser får behandla personuppgifter. När det gäller ostrukturerad underrättelseinformation kan det vara särskilt svårt att bedöma det fortsatta behovet av behandling. Bedömningen måste innan bearbetningen är genomförd göras på en mer övergripande nivå och i större utsträckning utgå från sannolikheten av att personuppgifterna kan komma att behövas i verksamheten än en reell bedömning av den enskilda uppgiften. Stycket hindrar inte att med stöd i annan författning arkiverar och bevarar allmänna handlingar eller att arkivmaterial lämnas till en arkivmyndighet. I andra stycket finns en upplysningsbestämmelse om att regeringen eller den myndighet som regeringen bestämmer kan meddela föreskrifter om att personuppgifter får behandlas under endast viss tid eller fortsätta behandlas för arkivändamål av allmänt intresse eller för vetenskapliga, statistiska eller historiska ändamål. Enligt tredje stycket får regeringen eller den myndighet som regeringen bestämmer också besluta om sådan behandling i ett enskilt fall.

331

Författningskommentar

Överföring av personuppgifter till en mottagare utomlands

18 § Personuppgifter som behandlas med stöd av denna lag får föras över till ett annat land eller en internationell organisation endast om sekretess inte hindrar det och det är nödvändigt för att Myndigheten för utrikes underrättelser ska kunna fullgöra sina uppgifter inom ramen för det internationella utrikes underrättelsesamarbetet och säkerhetssamarbetet. Regeringen, eller den myndighet som regeringen bestämmer, kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om att överföring får ske även i andra fall om det är nödvändigt för verksamheten vid . Regeringen får också besluta om sådan överföring i ett enskilt fall.

Paragrafen reglerar överföring av personuppgifter till en mottagare utomlands. Övervägandena finns i avsnitt 7.6. Enligt första stycket får personuppgifter som behandlas med stöd av lagen föras över till ett annat land eller en internationell organisation endast om sekretess inte hindrar det och det är nödvändigt för att ska kunna fullgöra sina uppgifter inom ramen för det internationella utrikes underrättelsesamarbetet och säkerhetssamarbetet. Huruvida en överföring av personuppgifter ska ske eller inte måste i sin helhet avgöras efter en sekretessprövning samt utrikes-, säkerhets- och försvarspolitiska överväganden. I andra stycket finns en upplysningsbestämmelse om att regeringen, eller den myndighet som regeringen bestämmer, kan meddela föreskrifter om att överföring får ske även i andra fall om det är nödvändigt för verksamheten vid Myndigheten för utrikes underrättelser. En tänkbar situation är verksamhet som inte ingår i s internationella försvarsoch säkerhetssamarbete. Det kan t.ex. vara nödvändigt för att överföra personuppgifter inom ramen för myndighetens administrativa verksamhet. Enligt tredje stycket får regeringen också besluta om sådan överföring i ett enskilt fall.

Utlämnande av personuppgifter

19 § Personuppgifter får lämnas ut elektroniskt på annat sätt än genom direktåtkomst, om det inte är olämpligt.

332

Författningskommentar

Regeringen, eller den myndighet som regeringen bestämmer, kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om begränsning av möjligheten att lämna ut personuppgifter elektroniskt på annat sätt än genom direktåtkomst.

Paragrafen reglerar utlämnande av personuppgifter. Övervägandena finns i avsnitt 7.3. Enligt första stycket får personuppgifter lämnas ut elektroniskt på annat sätt än genom direktåtkomst, om det inte är olämpligt. I princip anses allt elektroniskt utlämnande, som inte görs genom direktåtkomst, utlämnat på medium för automatiserad behandling. Sådant utlämnande kan göras på många olika sätt. Det kan vara fråga om att personuppgifter lämnas t.ex. via e-post eller dvd-skiva eller genom direkt överföring från ett datasystem till ett annat via elektroniska kommunikationsnät. Det har betydelse vem mottagaren är för frågan om det är olämpligt att lämna ut uppgifter elektroniskt. Typiskt sett kan det inte anses vara olämpligt att lämna ut uppgifter elektroniskt till en myndighet. När det gäller utlämnande till andra än svenska myndigheter krävs en mer nyanserad bedömning med hänsyn till bl.a. innehållet i handlingen och vem (t.ex. en organisation) som är mottagare. Bedömer att det finns risk för att personuppgifterna kan komma att missbrukas om de lämnas ut elektroniskt kan det var olämpligt att lämna ut dem på det sättet. Vid prövningen av om personuppgifter bör lämnas ut elektroniskt bör även informationssäkerheten, dvs. säkerheten hos mottagaren, vägas in. Regeringen kan enligt andra stycket meddela föreskrifter som begränsar möjligheten att lämna ut personuppgifter elektroniskt på annat sätt än genom direktåtkomst.

3 kap. Gemensamt tillgängliga personuppgifter

Personuppgifter som får göras gemensamt tillgängliga

1 § Personuppgifter får göras gemensamt tillgängliga om det behövs för något av de ändamål som anges i 2 kap. Med att göra personuppgifter gemensamt tillgängliga avses att inte endast ett fåtal personer får tillgång till uppgifterna.

333

Författningskommentar

Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om vilka personuppgifter som får göras gemensamt tillgängliga inom Myndigheten för utrikes underrättelser. Regeringen eller den myndighet som regeringen bestämmer får också besluta om det i ett enskilt fall .

Paragrafen reglerar personuppgifter som får göras gemensamt tillgängliga. Övervägandena finns i avsnitt 7.1. I första stycket anges att personuppgifter får göras gemensamt tillgängliga om det behövs för något av de ändamål som anges i 2 kap. Vidare anges att med att göra personuppgifter gemensamt tillgängliga avses att inte endast ett fåtal personer får tillgång till uppgifterna. I andra stycket finns en upplysningsbestämmelse om att regeringen eller den myndighet som regeringen bestämmer kan

meddela föreskrifter om vilka personuppgifter som får göras

gemensamt tillgängliga inom Myndigheten för utrikes underrättelser. Enligt tredje stycket får regeringen eller den myndighet som regeringen bestämmer också besluta om det i ett enskilt fall.

Direktåtkomst

2 § Säkerhetspolisen, Försvarsmakten och Försvarets radioanstalt får medges direktåtkomst till personuppgifter som utgör bearbetningsunderlag och analysresultat inom utrikes underrättelseverksamheten och som har gjorts gemensamt tillgängliga inom Myndigheten för utrikes underrättelser. Försvarsmakten, Säkerhetspolisen och Försvarets radioanstalt har rätt att vid direktåtkomst ta del av de personuppgifter som omfattas av åtkomsten.

Paragrafen reglerar Försvarsmaktens, Säkerhetspolisens och Försvarets radioanstalts direktåtkomst till vissa personuppgifter som behandlar. Övervägandena finns i avsnitt 7.4.1 och 7.5.2. I första stycket anges att Försvarsmakten, Säkerhetspolisen och Försvarets radioanstalt får medges direktåtkomst till uppgifter som utgör bearbetningsunderlag och analysresultat inom utrikes

334

Författningskommentar

underrättelseverksamheten och som har gjorts gemensamt tillgängliga inom . Bearbetningsunderlag och analysresultat består av information som ännu inte har bearbetats till underrättelserapporter. Det ankommer på att avgöra om direktåtkomst ska medges. Andra stycket innehåller en bestämmelse som får sekretessbrytande verkan och som möjliggör för myndigheterna att vid direktåtkomst få ta del av uppgifter som omfattas av sekretess.

3 § Om det behövs för samarbetet mot terrorism eller vid svenskt deltagande i annat internationellt underrättelse- och säkerhetssamarbete, får en utländsk underrättelse- eller säkerhetstjänst medges direktåtkomst till personuppgifter som behandlas med stöd av 2 kap. 3 § och har gjorts gemensamt tillgängliga inom i syfte att ge mottagaren tillgång till uppgifterna.

I paragrafen regleras s möjlighet att medge en utländsk underrättelse- eller säkerhetstjänst direktåtkomst till vissa personuppgifter. Övervägandena finns i avsnitt 7.4.3. Av paragrafen framgår att en utländsk underrättelse- eller säkerhetstjänst får medges direktåtkomst till personuppgifter som behandlas med stöd av 2 kap. 3 § och som har gjorts gemensamt tillgänglig inom i syfte att ge mottagaren tillgång till uppgifterna, om det behövs för samarbetet mot terrorism eller vid svenskt deltagande i annat internationellt underrättelse- och säkerhetssamarbete. Möjligheten att dela information genom direktåtkomst begränsas till utländska underrättelse- och säkerhetstjänster. Direktåtkomst får endast medges till personuppgifter som behandlas i Myndigheten för utrikes underrättelsers utrikes underrättelseverksamhet och som har gjorts gemensamt tillgänglig inom Myndigheten för utrikes underrättelser i syfte att ge mottagaren tillgång till uppgifterna. Innan direktåtkomst medges måste Myndigheten för utrikes underrättelser avgöra om det finns sakliga skäl att låta en viss utländsk underrättelse- eller säkerhetstjänst få ta del av personuppgifterna, dvs. om det finns behov av att lämna ut uppgifterna för att främja bekämpningen av terrorism eller andra svenska intressen. Innan personuppgifterna lämnas ut genom

335

Författningskommentar

direktåtkomst ska dessutom bedöma om det finns rättsliga förutsättningar att lämna ut dem till en utländsk mottagare, bl.a. med beaktande av sekretess.

Direktåtkomst i andra fall

4 § Regeringen, eller den myndighet som regeringen bestämmer, kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om direktåtkomst till gemensamt tillgängliga personuppgifter i andra fall än de som anges i 2 och 3 §§. Regeringen får också besluta om detta i ett enskilt fall.

Paragrafen reglerar direktåtkomst i andra fall. Övervägandena finns i avsnitten 7.4.1 och 7.4.3. Första stycket innehåller en upplysningsbestämmelse om att regeringen, eller den myndighet som regeringen bestämmer, kan meddela föreskrifter om att andra än de som anges i 2 och 3 §§ får ha direktåtkomst till gemensamt tillgängliga uppgifter. Enligt andra stycket får regeringen också besluta om detta i ett enskilt fall. Enligt regeringsformen får skyddet gentemot det allmänna mot vissa fall av betydande intrång i den personliga integriteten begränsas enbart genom lag (2 kap. 6 § andra stycket och 20 – 21 §§ regeringsformen). Regeringens möjlighet att meddela föreskrifter är således begränsad.

Omfattningen av direktåtkomsten

5 § Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om omfattningen av direktåtkomsten och om behörighet och säkerhet vid sådan åtkomst. Regeringen får också besluta om detta i ett enskilt fall.

Paragrafen reglerar omfattningen av direktåtkomsten. Övervägandena finns i avsnitten 7.4.1 och 7.4.3. Första styc ket innehåller en upplysningsbestämmelse om att regeringen eller den myndighet som regeringen bestämmer kan meddela föreskrifter om omfattningen av direktåtkomsten, och om behörighet och säkerhet vid sådan åtkomst.

336

Författningskommentar

Enligt andra stycket får regeringen också får besluta om detta i ett enskilt fall.

4 kap. Skyldigheter som personuppgiftsansvarig

Åtgärder för att säkerställa författningsenlig behandling

1 § ska, genom lämpliga tekniska och organisatoriska åtgärder, säkerställa att behandlingen av personuppgifter är författningsenlig och att de registrerades rättigheter skyddas.

Paragrafen reglerar åtgärder för att säkerställa författningsenlig behandling. Övervägandena finns i avsnitt 8.3.1. Tekniska och organisatoriska åtgärder för att skydda personuppgifterna regleras i 3 §. Organisatoriska åtgärder som avses i paragrafen är bl.a. att anta interna strategier för dataskydd, att informera och utbilda personalen och att säkerställa en tydlig ansvarsfördelning. Åtgärder som vidtas för att visa att behandlingen är författningsenligt kan t.ex. vara dokumentation av it-system, behandlingar och vidtagna åtgärder samt teknisk spårbarhet genom loggning och logguppföljning. Vilka åtgärder som bör vidtas får avgöras efter en bedömning i enskilda fall. Vid den bedömningen har det betydelse bl.a. vilka personuppgifter som ska behandlas, mängden uppgifter och hur integritetskänsliga de är. Även grunden för behandlingen och riskerna med den ska beaktas. Mer långtgående åtgärder kan behövas vid behandling som kan medföra särskilda risker för integritetsintrång eller vid omfattande behandling av en stor mängd personuppgifter.

2 § Tillgången till personuppgifter ska begränsas till vad var och en behöver för att kunna fullgöra sina arbetsuppgifter.

Paragrafen reglerar den interna tillgången till personuppgifter för dem som arbetar vid . Övervägandena finns i avsnitt 8.3.1. Paragrafen innebär att den personuppgiftsansvarige är skyldig att se till att anställda och andra som deltar i arbetet bara ges tillgång till

337

Författningskommentar

de personuppgifter som krävs för att de ska kunna fullgöra sina arbetsuppgifter. Inom kommer det behandlas en betydande mängd personuppgifter, ofta av integritetskänsligt slag, vilka inte bör spridas till någon som inte är behörig att ta del av uppgifterna. Kravet på behörighetsbegränsning syftar till att minska den interna exponeringen av personuppgifterna. Hur det bör göras får bedömas med utgångspunkt i förutsättningarna och myndighetens behov. Faktorer som informationssystemens storlek och personuppgifternas natur ska beaktas. Paragrafen reglerar inte bara Myndigheten för utrikes underrättelsers personals tillgång till personuppgifter. Vid direktåtkomst är det den mottagande myndigheten som ansvarar för att den egna personalen inte ges tillgång till fler personuppgifter i det informationssystem som åtkomsten avser än vad arbetsuppgifterna motiverar. Paragrafen gäller enligt 10 § även för personuppgiftsbiträden som anlitar.

Säkerheten för personuppgifter

3 § ska vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas. Åtgärderna ska särskilt avse skydd mot obehörig eller otillåten behandling och mot förlust, förstöring eller annan oavsiktlig skada.

I paragrafen regleras säkerheten för personuppgifter. Övervägandena finns i avsnitt 8.3.2. Enligt paragrafen ska vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas. Personuppgifterna ska särskilt skyddas mot obehörig eller otillåten behandling och mot förlust, förstöring eller annan oavsiktlig skada. Uppräkningen, som illustrerar vad skyddsåtgärderna ska åstadkomma, är inte uttömmande. Skydd mot obehörig eller otillåten behandling innebär att obehöriga personer ska vägras åtkomst till utrustning som används vid behandling, att obehörig läsning, kopiering, ändring eller radering av datamedier ska förhindras, att obehörig registrering av

338

Författningskommentar

personuppgifter och obehörig kännedom om, ändring eller radering av lagrade personuppgifter ska förhindras och att obehörig läsning, kopiering, ändring eller radering av personuppgifter i samband med uppgiftslämnande eller transport av databärare ska förhindras. Åtgärder ska också vidtas i syfte att säkerställa att personer som är behöriga att använda ett informationssystem endast har tillgång till personuppgifter som omfattas av deras behörighet. Den personuppgiftsansvarige ska också säkerställa att det kan kontrolleras och fastställas till vilka myndigheter eller andra organ personuppgifter har överförts och för vilka myndigheter eller andra organ uppgifterna har gjorts tillgängliga och att det i efterhand kan kontrolleras och fastställas vilka personuppgifter som förts in i ett informationssystem, när det har gjorts och av vem. Skydd mot förlust, förstöring eller annan oavsiktlig skada innebär bl.a. att de informationssystem som används ska kunna återställas vid störningar, att systemen ska fungera och att funktionsfel rapporteras och att de lagrade personuppgifterna inte kan förvanskas genom funktionsfel i systemen. Tänkbara exempel på organisatoriska skyddsåtgärder kan vara fastställandet av en säkerhetspolicy, kontroller och uppföljning av säkerheten, utbildning i datasäkerhet och information om vikten av att följa gällande säkerhetsrutiner. Vilken skyddsnivå som är lämplig får avgöras av Myndigheten för utrikes underrättelser från fall till fall. Bedömningen är bl.a. beroende av vilka personuppgifter som behandlas och hur integritetskänsliga de är. Paragrafen gäller enligt 10 § även för personuppgiftsbiträden som anlitar.

Dataskyddsombud

4 § ska inom myndigheten utse ett eller flera dataskyddsombud och anmäla till tillsynsmyndigheten när dataskyddsombud utses och entledigas.

Paragrafen reglerar skyldighet att utse dataskyddsombud. Övervägandena finns i avsnitt 8.4. Enligt paragrafen ska ett eller flera dataskyddsombud utses. Dataskyddsombudet ska vara anställt hos Myndigheten för utrikes

339

Författningskommentar

underrättelser. ska anmäla till tillsynsmyndigheten när dataskyddsombud utses och entledigas.

5 § Ett dataskyddsombud ska 1. självständigt kontrollera att behandlar personuppgifter författningsenligt och på ett korrekt sätt och i övrigt fullgör sina skyldigheter, 2. informera och ge råd till och till dem som behandlar personuppgifter under myndighetens ledning om deras skyldigheter vid behandling av personuppgifter, 3. vara kontaktpunkt för enskilda i frågor som rör Myndigheten för utrikes underrättelsers behandling av personuppgifter, och 4. vid behov söka vägledning av tillsynsmyndigheten.

I paragrafen anges vilka uppgifter ett dataskyddsombud ska utföra. Övervägandena finns i avsnitt 8.4. Enligt punkten 1 ska ett dataskyddsombud självständigt kontrollera att den personuppgiftsansvarige behandlar personuppgifter författningsenligt och på ett korrekt sätt och i övrigt fullgör sina skyldigheter. Det innebär att ombudet måste förvissa sig om att den personuppgiftsansvarige följer de bestämmelser som reglerar behandlingen av personuppgifter. Hur omfattande kontrollen bör vara får avgöras efter omständigheterna. Dataskyddsombudet bör framför allt granska den praktiska hanteringen av personuppgifter. Därutöver bör ombudet exempelvis granska rutinerna för behandling av personuppgifter, hur tillgången till personuppgifter hanteras och vilka krav på utbildning och andra kvalifikationer som den personuppgiftsansvarige ställer på personal som behandlar personuppgifter. Ombudet bör påpeka eventuella brister för den personuppgiftsansvarige så att denne blir medveten om dem och har möjlighet att vidta lämpliga åtgärder. Kravet på självständighet innebär att ett dataskyddsombud ska kunna utföra sina arbetsuppgifter på ett oberoende sätt. Ombudet bör framför allt ha sådan ställning i organisationen att dess synpunkter och råd tas på allvar. Ombudet förutsätts också ha goda kunskaper om regelverket om personuppgiftsbehandling. I punkten 2 anges att ett dataskyddsombud ska informera och ge råd till och till dem som behandlar personuppgifter under myndighetens ledning om deras skyldigheter vid sådan behandling. Det handlar främst om att göra

340

Författningskommentar

och medarbetarna medvetna om vad de i olika situationer är skyldiga att göra, t.ex. att ha säkerhetsrutiner och att dokumentera personuppgiftsbehandlingen. Det innebär inte att dataskyddsombudet ska tala om för och medarbetarna hur de ska behandla personuppgifter i enskilda fall. Ett dataskyddsombud ska vara kontaktpunkt för enskilda i frågor som rör behandling av personuppgifter, vilket anges i punkten 3 . Enligt punkten 4 ska ett dataskyddsombud vid behov söka vägledning av tillsynsmyndigheten. Det innebär att ombudet vid tveksamheter av olika slag bör fråga tillsynsmyndigheten om råd. Ett dataskyddsombud behöver inte uteslutande utföra enbart de arbetsuppgifter som anges i paragrafen. Arbetet som dataskyddsombud kan kombineras med andra arbetsuppgifter, så länge de inte kommer i konflikt med uppdraget som dataskyddsombud.

Personuppgiftsbiträden

6 § får, om det är lämpligt, anlita personuppgiftsbiträden för behandling av personuppgifter på Myndigheten för utrikes underrättelsers vägnar. Innan ett personuppgiftsbiträde anlitas, ska försäkra sig om att biträdet kommer att vidta de lämpliga tekniska och organisatoriska åtgärder som krävs för att behandlingen av personuppgifter ska vara författningsenlig och för att skydda registrerades rättigheter.

Paragrafen reglerar anlitande av personuppgiftsbiträden. Övervägandena finns i avsnitt 8.5.2. får anlita personuppgiftsbiträden under förutsättning att det är lämpligt. Om det är lämpligt får avgöras med hänsyn bl.a. till vilka personuppgifter som ska behandlas. Av paragrafen följer att Myndigheten för utrikes underrättelser ska försäkra sig om att biträdet vidtar lämpliga tekniska och organisatoriska åtgärder för att personuppgiftsbehandlingen ska vara författningsenlig och för att skydda registrerades rättigheter. Kraven omfattar inte bara säkerhetsåtgärder, utan även andra tekniska och organisatoriska åtgärder. Skyldigheten innebär att den personuppgiftsansvarige,

341

Författningskommentar

innan ett personuppgiftsbiträde anlitas, bl.a. bör undersöka hur biträdet kommer att behandla uppgifterna tekniskt, hur arbetet är organiserat och vilket skydd personuppgifterna kommer att ha.

7 § Personuppgiftsbiträdets behandling av personuppgifter ska regleras i ett skriftligt avtal eller annan skriftlig överenskommelse.

Paragrafen reglerar förhållandet mellan Myndigheten för utrikes underrättelser och personuppgiftsbiträden. Övervägandena finns i avsnitt 8.5.2. Av paragrafen följer att det ska finnas ett skriftligt avtal eller en annan skriftlig överenskommelse med personuppgiftsbiträden som reglerar personuppgiftsbiträdets behandling av personuppgifter för s räkning. Eftersom statliga myndigheter, som ingår i samma juridiska person – staten, i rättslig mening inte kan ingå bindande avtal med varandra får de ingå en skriftlig överenskommelse som reglerar behandlingen om en myndighet agerar personuppgiftsbiträde åt en annan.

8 § Ett personuppgiftsbiträde får inte anlita ett annat personuppgiftsbiträde utan skriftligt tillstånd av .

Paragrafen reglerar möjligheten för ett personuppgiftsbiträde att anlita ett annat personuppgiftsbiträde. Övervägandena finns i avsnitt 8.5.2. Enligt paragrafen får ett personuppgiftsbiträde inte anlita ett annat personuppgiftsbiträde, ett s.k. underbiträde, utan skriftligt tillstånd från . Ett sådant tillstånd kan gälla personuppgiftsbiträdets rätt att anlita underbiträden generellt eller i en specifik situation. Syftet med paragrafen är att ska känna till vilka personuppgiftsbiträden som behandlar personuppgifter för myndighetens räkning.

9 § Ett personuppgiftsbiträde eller den eller de personer som arbetar under biträdets eller s ledning ska behandla personuppgifter i enlighet med instruktioner från Myndigheten för utrikes underrättelser. Om ett personuppgiftsbiträde, i strid med Myndigheten för utrikes underrättelsers instruktioner, bestämmer ändamålen med och medlen för

342

Författningskommentar

behandlingen, ska biträdet anses vara personuppgiftsansvarig enligt denna lag för den behandlingen.

Paragrafen reglerar behandling av personuppgifter hos ett personuppgiftsbiträde. Övervägandena finns i avsnitt 8.5.3. Av första stycket framgår den grundläggande principen att ett personuppgiftsbiträde och den eller de personer som arbetar under biträdets ledning bara får behandla personuppgifter i enlighet med instruktioner från den personuppgiftsansvarige. Instruktionerna till biträdet bör vara så tydliga att det inte finns risk för otillåten behandling. Instruktionerna kan exempelvis gälla hur tillgången till personuppgifter hos biträdets anställda ska begränsas, om biträdet ska använda kryptering vid kommunikation och andra åtgärder som krävs för dataskydd. Om det finns avvikande bestämmelser i annan lagstiftning som anger att personuppgiftsbiträdet är skyldigt att utföra viss behandling, t.ex. att lämna ut allmänna handlingar, får behandlingen utföras utan särskilda instruktioner. I andra stycket regleras det fallet där personuppgiftsbiträdet i strid med den personuppgiftsansvariges instruktioner bestämmer ändamålen med och medlen för behandlingen. Personuppgiftsbiträdet är då att anse som personuppgiftsansvarig för den behandlingen.

10 § s skyldigheter enligt 2 och 3 §§ gäller även för personuppgiftsbiträden som Myndigheten för utrikes underrättelser anlitar.

Paragrafen anger vilka s skyldigheter i egenskap av personuppgiftsansvarig som också gäller för personuppgiftsbiträden. Övervägandena finns i avsnitt 8.5.4. Att personuppgiftsbiträden åläggs vissa skyldigheter fråntar inte dess ansvar som personuppgiftsansvarig. Den omständigheten att personuppgiftsbiträden ges en direkt skyldighet att vidta vissa åtgärder innebär dock att tillsynsmyndigheten vid brister kan vidta åtgärder mot både personuppgiftsbiträdet och . Vad som närmare gäller för ett personuppgiftsbiträde framgår av författningskommentaren till 2 och 3 §§.

343

Författningskommentar

5 kap. Enskildas rättigheter

Rätten till information

Allmän information

1 § ska göra följande information allmänt tillgänglig: 1. myndighetens identitet och kontaktuppgifter, 2. uppgifter om dataskyddsombudet, 3. kategorier av ändamål för behandlingen av personuppgifter, 4. rätten enligt 3 § att begära att få information om behandlingen av personuppgifter och att få del av dem, och 5. rätten att begära rättelse, radering eller begränsning av behandlingen enligt 6 §.

Paragrafen reglerar krav på att göra viss information allmänt tillgänglig. Övervägandena finns i avsnitt 9.1.1. Informationen, som riktar sig till allmänheten, kan göras tillgänglig t.ex. på myndighetens webbplats. Enligt punkten 1 ska myndighetens identitet och kontaktuppgifter göras tillgängliga. Med det avses uppgifter om myndighetens namn, postadress, telefonnummer och e-postadress. Enligt punkten 2 ska uppgifter om Myndigheten för utrikes underrättelsers dataskyddsombud anges. Det behöver inte vara en kontaktuppgift direkt till dataskyddsombudet, t.ex. hans eller hennes e-postadress, utan det är tillräckligt att ombudet går att nå med hjälp av uppgifterna. Kategorier av ändamål för behandlingen av personuppgifter ska framgå, vilket anges i punkten 3 . Det är inte ändamålen med behandlingen av personuppgifter i enskilda fall som avses utan för vilka kategorier av ändamål som myndigheten behandlar personuppgifter. Kategorier av ändamål kan t.ex. vara underrättelsearbete och personaladministrativa åtgärder. Enligt punkterna 4 och 5 ska Myndigheten för utrikes underrättelser upplysa om de rättigheter som enskilda har enligt 3 och 6 §§. Det gäller rätten att få information om behandlingen av personuppgifter och att få del av dem, samt rätten att begära rättelse, radering eller begränsning av behandlingen.

344

Författningskommentar

Information som ska lämnas om personuppgifterna samlas in från den som uppgifterna avser

2 § Om personuppgifter samlas in från den som uppgifterna avser ska , när myndigheten får personuppgifterna, på eget initiativ lämna följande information till den registrerade: 1. uppgift om att det är som är personuppgiftsansvarig för behandlingen, 2. uppgift om den rättsliga grunden och ändamålen med behandlingen, och 3. all övrig information som behövs för att den registrerade ska kunna ta till vara sina rättigheter i samband med behandlingen, såsom information om uppgifternas mottagare, om skyldighet att lämna uppgifter och om rätten att ansöka om information och få rättelse.

Paragrafen reglerar den information som Myndigheten för utrikes underrättelser på eget initiativ ska lämna om personuppgifterna samlas in från den som uppgifterna avser. Övervägandena finns i avsnitt 9.1.2. Enligt paragrafen ska informera om att det är som är ansvarig för personuppgiftsbehandlingen ( punkten 1 ), upplysa om den rättsliga grunden och ändamålen med behandlingen ( punkten 2 ) samt lämna all övrig information som behövs för att den registrerade ska kunna ta till vara sina rättigheter i samband med behandlingen, såsom information om uppgifternas mottagare, om skyldighet att lämna uppgifter och om rätten att ansöka om information och få rättelse ( punkten 3 ). Informationsskyldigheten förutsätter att personuppgifter samlas in från den registrerade vid någon form av direktkontakt med denne.

Information som ska lämnas efter begäran

3 § är skyldig att en gång per kalenderår till den som begär det lämna skriftligt besked om huruvida personuppgifter som rör honom eller henne behandlas. Om sådana uppgifter behandlas ska sökanden få del av dem och få följande skriftliga information: 1. vilka personuppgifter om den sökande som behandlas, 2. varifrån personuppgifterna kommer,

345

Författningskommentar

3. den rättsliga grunden och ändamålen med behandlingen, 4. mottagare eller kategorier av mottagare av personuppgifterna, även i annat land eller internationella organisationer, 5. hur länge personuppgifterna får behandlas eller, om det inte är möjligt att ange, kriterierna för att fastställa det, och 6. rätten att begära rättelse, radering eller begränsning av behandlingen enligt 6 §. Ett utlämnande av personuppgifter enligt första stycket behöver inte omfatta sådana personuppgifter som sökanden har tagit del av, om inte han eller hon begär det. Det ska dock framgå av informationen att personuppgifterna i fråga behandlas. En ansökan om information enligt första stycket ska göras skriftligen hos och vara undertecknad av den sökande själv. Informationen ska lämnas inom en månad från det att ansökan gjordes. Om det finns särskilda skäl för det, får information dock lämnas senast fyra månader efter det att ansökan gjordes.

I paragrafen regleras information som ska lämnas efter begäran. Övervägandena finns i avsnitt 9.1.3. I första stycket 1 – 6 anges vilken skriftlig information sökanden kan få del av. Enligt första stycket 1 ska i den skriftliga informationen anges vilka personuppgifter om den sökande som behandlas. Enligt första stycket 2 ska anges varifrån personuppgifterna kommer. Enligt första stycket 3 ska den rättsliga grunden och ändamålen med behandlingen anges. Enligt första stycket 4 ska mottagare eller kategorier av mottagare av personuppgifterna, även i annat land eller internationella organisationer, anges. Enligt första stycket 5 ska det anges hur länge personuppgifterna får behandlas eller, om det inte är möjligt att ange, kriterierna för att fastställa det. Enligt första stycket 6 ska rätten att begära rättelse, radering eller begränsning av behandlingen enligt 6 § anges. Av andra stycket följer att sådana personuppgifter som sökanden har tagit del av som utgångspunkt inte omfattas av skyldigheten att lämna ut uppgifterna. Sökanden ska dock informeras om att personuppgifterna i fråga behandlas. Av tredje stycket framgår kraven på en begäran om information.

346

Författningskommentar

Av fjärde stycket framgår när informationen ska lämnas. Informationen ska lämnas inom en månad från det att ansökan gjordes. Om det finns särskilda skäl för det, får information lämnas senast fyra månader efter det att ansökan gjordes.

Begränsning av rätten till information

4 § Informationsskyldigheten enligt 2 och 3 §§ gäller inte i den utsträckning sekretess hindrar att uppgifterna lämnas ut. Om det gäller sekretess är inte skyldig att redovisa skälen för ett beslut enligt första stycket eller ett beslut i fråga om rättelse, radering eller begränsning av behandlingen enligt 6 §.

I paragrafen regleras begränsningar av rätten till information. Övervägandena finns i avsnitt 9.2. Många uppgifter som behandlas i Myndigheten för utrikes underrättelsers verksamhet omfattas av bl.a. utrikessekretess och försvarssekretess enligt 15 kap. 1 och 2 §§ offentlighets- och sekretesslagen (2009:400). Informationsskyldigheten gäller enligt första stycket inte i den utsträckning sekretess hindrar att uppgifterna lämnas ut till den registrerade. Enligt andra stycket är inte heller skyldig att lämna ut skälen för beslut enligt första stycket och beslut i fråga om rättelse, radering eller begränsning av behandlingen om motiveringen skulle riskera att skada något av de intressen som sekretessen avser att skydda.

5 § Informationsskyldigheten enligt 2 och 3 §§ gäller inte personuppgifter i löpande text som inte fått sin slutliga utformning när begäran gjordes eller som utgör en minnesanteckning eller liknande. Informationsskyldigheten gäller dock om uppgifterna 1. har lämnats ut till tredje part, med undantag för en myndighet som med stöd av författning utövar tillsyn, kontroll eller revision, 2. behandlas enbart för statistiska ändamål eller arkivändamål av allmänt intresse, eller 3. har behandlats under längre tid än ett år i löpande text som inte har fått sin slutliga utformning.

347

Författningskommentar

I paragrafen regleras vissa undantag från informationsskyldigheten för personuppgifter i viss typ av text. Övervägandena finns i avsnitt 9.2. Den personuppgiftsansvariges skyldighet att lämna personrelaterad information enligt 2 och 3 §§ gäller enligt första stycket inte för personuppgifter i löpande text som inte fått sin slutliga utformning när begäran gjordes eller text som utgör en minnesanteckning eller liknande. Med löpande text avses information som inte har strukturerats så att sökning av personuppgifter underlättas. Bild- och ljudupptagningar omfattas inte av undantaget eftersom det bara gäller text. Med text som inte fått sin slutliga utformning avses koncept eller utkast till protokoll, skrivelser, beslut eller liknande. Löpande text som är avsedd att tidvis ändras eller kompletteras och därför aldrig får någon slutlig utformning omfattas inte. Det sistnämnda kan t.ex. vara diarier, journaler, register eller förteckningar som förs löpande. Med minnesanteckning avses anteckningar som utgör hjälpmedel för handläggningen, t.ex. promemorior och andra anteckningar eller upptagningar som har skapats bara för att förbereda ett ärende för avgörande och som inte tillför ärendet något i sak. Av andra stycket framgår att undantaget från informationsskyldigheten enligt första stycket inte gäller under vissa förhållanden. Sökanden har då rätt att få del av personuppgifter även i ofärdig löpande text eller som utgör minnesanteckningar och liknande. Enligt andra stycket 1 gäller undantaget inte om personuppgifterna har lämnats ut till tredje part, såvida det inte är fråga om en myndighet som med stöd av författning utövar tillsyn, kontroll eller revision. Det är den version av uppgifterna i t.ex. utkastet som lämnades till tredje part som informationsskyldigheten omfattar, även om utkastet därefter har ändrats. Undantaget från informationsskyldigheten gäller enligt andra stycket 2 inte heller om personuppgifterna behandlas enbart för statistiska ändamål eller arkivändamål av allmänt intresse. Om ett ärende har avslutats och utkastet eller minnesanteckningen har arkiverats eller om handlingarna endast används vid statistikproduktion ska alltså information om behandlingen av personuppgifterna lämnas ut. Avslutningsvis gäller undantaget inte heller för löpande text som inte har fått sin slutliga utformning, om personuppgifterna har

348

Författningskommentar

behandlats under längre tid än ett år, vilket framgår av andra stycket 3 . Det är tidpunkten för begäran som är avgörande för bedömningen av om något av undantagen gäller. Både ettårsfristen och frågan om uppgifterna har lämnats ut till tredje part eller behandlas för statistiska ändamål eller arkivändamål av allmänt intresse ska bedömas i förhållande till när begäran om information gjordes.

Rätten till rättelse, radering och begränsning av behandlingen

6 § ska på begäran av den registrerade snarast rätta, radera eller begränsa behandlingen av sådana personuppgifter som inte har behandlats i enlighet med denna lag eller föreskrifter som har meddelats med stöd av lagen. Om uppgifterna har lämnats ut till tredje part ska denne underrättas om en åtgärd enligt första stycket, om den registrerade begär det eller om en mera betydande skada eller olägenhet för den registrerade skulle kunna undvikas genom en underrättelse. Någon underrättelse behöver dock inte lämnas, om sekretess hindrar det eller detta är omöjligt eller skulle innebära en oproportionerligt stor arbetsinsats.

I paragrafen regleras rätten till rättelse, radering eller begränsning av behandlingen av personuppgifter. Övervägandena finns i avsnitt 9.3. ska enligt första stycket på begäran av den registrerade snarast rätta, radera eller begränsa behandlingen av sådana personuppgifter som inte har behandlats i enlighet med denna lag eller föreskrifter som har meddelats med stöd av lagen. Begäran kan göras formlöst. Kravet på att en åtgärd i form av rättelse, radering eller begränsning ska vidtas snarast innebär att Myndigheten för utrikes underrättelser skyndsamt ska utreda frågan och, om det finns skäl för det, så fort som möjligt genomföra åtgärden. Begränsning av behandlingen av personuppgifter kan komma i fråga om den registrerade bestrider att personuppgifterna är riktiga, men det inte är möjligt att fastställa om så är fallet. En felaktig personuppgift ska rättas snarast möjligt. Om Myndigheten för utrikes underrättelsers utredning om den omstridda

349

Författningskommentar

personuppgiften inte kan slutföras tillräckligt snabbt kan behandlingen behöva begränsas under utredningstiden. Har behandlingen av en personuppgift begränsats får uppgiften som utgångspunkt inte längre behandlas av Myndigheten för utrikes underrättelser, utom för de ändamål för vilka behandlingen begränsades. Uppgiften får dock lämnas ut med stöd av 2 kap. tryckfrihetsförordningen. ska vidta åtgärder som visar att behandlingen av en viss personuppgift har begränsats. En sådan åtgärd kan vara att föra över uppgiften från det datasystem där den behandlas, t.ex. myndighetens verksamhetssystem, till ett arkivsystem. Andra åtgärder kan vara att göra personuppgiften oåtkomlig genom en teknisk begränsning eller annan inskränkning av tillgången till uppgiften. När utredningen om personuppgiften är avslutad ska begränsningen av behandlingen upphöra. Då ska personuppgiften antingen rättas eller fortsätta att behandlas som tidigare. är enligt andra stycket skyldig att underrätta tredje part om en korrigering, om den registrerade begär det eller det kan antas att en underrättelse skulle kunna undvika mera betydande skada eller olägenhet för den registrerade. Gäller det däremot en mera harmlös uppgift bör det som regel krävas någon särskild omständighet för att man ska kunna anta att en underrättelse skulle kunna undvika sådan skada eller olägenhet som avses. Det måste vidare kunna antas att underrättelsen medför att skadan eller olägenheten kan undvikas. Detta är inte fallet när det är känt att aktuella tredje part redan har korrigerat uppgiften. Enligt tredje stycket behöver inte någon underrättelse lämnas, om sekretess hindrar det eller detta är omöjligt eller skulle innebära en oproportionerligt stor arbetsinsats. Vad som gäller vid sekretess framgår av 4 §. Vad som är att betrakta som en oproportionerligt stor arbetsinsats får bedömas från fall till fall och vid eventuell granskning eller överprövning.

Avgiftsfri information

7 § Information enligt 1 och 2 §§ och information och uppgifter enligt 3 § ska lämnas utan avgift.

350

Författningskommentar

Paragrafen reglerar avgiftsfri information. Övervägandena finns i avsnitten 9.1.2 och 9.1.3. Enligt paragrafen ska information enligt 1 och 2 §§ och information och uppgifter enligt 3 § lämnas utan avgift.

6 kap. Tillsyn

Tillsyn över personuppgiftsbehandlingen

1 § Den myndighet som regeringen bestämmer utövar tillsyn över s behandling av personuppgifter enligt denna lag, enligt föreskrifter som har meddelats i anslutning till lagen och enligt beslut med stöd av lagen. Tillsynsmyndigheten ska, när det är motiverat, ge råd och stöd till och personuppgiftsbiträden i frågor som gäller deras skyldigheter enligt lag eller annan författning.

I paragrafen regleras tillsyn över personuppgiftsbehandlingen. Övervägandena finns i avsnitt 10.1. Enligt första stycket ska tillsynsmyndigheten utöva tillsyn över s behandling av personuppgifter enligt lagen, enligt föreskrifter som har meddelats i anslutning till lagen och enligt beslut med stöd av lagen. Tillsynsmyndigheten avgör om och i vilken utsträckning tillsyn ska utövas och hur den ska genomföras. Myndigheten ska agera helt oberoende vid denna bedömning. Det innebär att ingen utomstående kan kräva att myndigheten ska utöva tillsyn. Det finns inte heller några formella krav på hur tillsynen ska utövas, med undantag från vissa bestämmelser i denna lag och i föreskrifter som har meddelats i anslutning till lagen. Enligt andra stycket ska tillsynsmyndigheten, när det är motiverat, ge råd och stöd till Myndigheten för utrikes underrättelser och personuppgiftsbiträden i frågor som gäller deras skyldigheter enligt lag eller annan författning. Med råd avses både muntliga och skriftliga råd. Det kan vara fråga om allmänna råd eller rådgivning i ett enskilt fall. Myndigheten ska ge råd och stöd bara när den anser att det är motiverat. Rådgivningen och stödet ska avse s och personuppgifts-

351

Författningskommentar

biträdens skyldigheter. Stycket innebär således inte någon rätt för eller personuppgiftsbiträden att avkräva tillsynsmyndigheten råd i en konkret fråga.

Tillsynsmyndighetens befogenheter

Undersökningsbefogenheter

2 § Tillsynsmyndigheten har rätt att av Myndigheten för utrikes underrättelser eller av ett personuppgiftsbiträde på begäran få 1. tillgång till personuppgifter som behandlas, 2. upplysningar om och dokumentation av behandlingen av personuppgifter och säkerhets- och skyddsåtgärder, 3. tillträde till sådana lokaler som har anknytning till behandling av personuppgifter och tillgång till utrustning och andra medel för behandling av personuppgifter, och 4. den hjälp och annan information som behövs för tillsynen.

I paragrafen regleras tillsynsmyndighetens undersökningsbefogenheter. Övervägandena finns i avsnitt 10.2.1. Enligt punkten 1 har tillsynsmyndigheten rätt att för sin tillsyn från och ett personuppgiftsbiträde få tillgång till personuppgifter som behandlas. Det innebär att eller personuppgiftsbiträdet ska lämna de begärda uppgifterna även om det kräver viss efterforskning. Punkten 2 ger tillsynsmyndigheten rätt till upplysningar och dokumentation som rör behandling av personuppgifter och vilka åtgärder som har vidtagits för att säkerställa skyddet för personuppgifterna och registrerades personliga integritet. Dokumentationen kan avse exempelvis de register som Myndigheten för utrikes underrättelser och personuppgiftsbiträden ska föra. Det kan också vara fråga om upplysningar om och dokumentation av vilka organisatoriska och tekniska åtgärder som vidtogs i samband med att en viss typ av behandling påbörjades. Det kan också röra sig om åtgärder för att garantera säkerheten, begränsa den interna tillgången till uppgifter eller förhindra otillåten behandling och åtgärder för intern kontroll. Informationen kan avse exempelvis ändamålen med behandlingen eller förteckningar över pågående behandlingar.

352

Författningskommentar

I punkten 3 regleras tillsynsmyndighetens rätt att få tillträde till lokaler som den personuppgiftsansvarige eller personuppgiftsbiträdet disponerar och tillgång till utrustning och andra medel som används för behandlingen. Rätten till tillträde ger inte myndigheten rätt att bereda sig tillträde med tvång. Om Myndigheten för utrikes underrättelser eller personuppgiftsbiträdet inte samarbetar kan tillsynsmyndigheten utnyttja sina korrigerande befogenheter enligt 4 §. Tillsynsmyndigheten har också rätt att få tillgång till den utrustning som tillsynsobjektet disponerar för att, med hjälp av tillsynsobjektets personal, kunna göra nödvändiga körningar och kontroller. Punkten ger således inte tillsynsmyndigheten någon rätt att fritt använda tillsynsobjektets utrustning och datasystem. Punkten 4 klargör att tillsynsmyndigheten har rätt att få hjälp med de sökningar och andra åtgärder som den begär och annan nödvändig hjälp för att genomföra tillsynen. Punkten ger även tillsynsmyndigheten rätt till information som inte har direkt anknytning till behandlingen av personuppgifter men som myndigheten behöver för tillsynen. Informationen kan avse t.ex. verksamhetsplaner som beskriver den verksamhet där behandlingen utförs.

Förebyggande befogenheter

3 § Om tillsynsmyndigheten bedömer att det finns risk för att personuppgifter kan komma att behandlas i strid med lag eller annan författning, ska myndigheten genom råd, rekommendationer eller påpekanden försöka förmå eller personuppgiftsbiträdet att vidta åtgärder för att motverka den risken. Tillsynsmyndigheten får besluta om en skriftlig varning, om en planerad behandling av personuppgifter riskerar att strida mot lag eller annan författning. Detsamma gäller om en pågående behandling riskerar att strida mot lag eller annan författning.

Paragrafen reglerar tillsynsmyndighetens befogenheter i det förebyggande arbetet. Övervägandena finns i avsnitt 10.2.2. Av första stycket framgår att tillsynsmyndigheten, om det finns risk för att personuppgifter kan komma att behandlas i strid med lag eller annan författning, ska försöka förmå Myndigheten för utrikes underrättelser eller personuppgiftsbiträdet att motverka risken

353

Författningskommentar

genom råd, rekommendationer och påpekanden. Rådgivning kan avse såväl formella som informella samråd. De befogenheter som anges i stycket får i vissa fall även användas i korrigerande syfte, vilket framgår av 4 § första stycket 1. Enligt andra stycket får tillsynsmyndigheten besluta om en skriftlig varning, om en planerad behandling riskerar att strida mot lag eller annan författning. En varning är en mer ingripande åtgärd än åtgärderna i första stycket. Varning kan användas för att visa hur allvarligt tillsynsmyndigheten ser på den planerade behandlingen. Tillsynsmyndigheten behöver inte ha uttömt andra förebyggande åtgärder innan den beslutar om en varning. Av beslutet ska framgå varför tillsynsmyndigheten bedömt att behandlingen inte kommer att vara författningsenlig. Ett beslut om varning har inte några omedelbara rättsverkningar, men den som får en varning förväntas rätta sig efter den. Varning får också beslutas om en pågående behandling riskerar att strida mot lag eller annan författning.

Korrigerande befogenheter

4 § Om tillsynsmyndigheten konstaterar att personuppgifter behandlas i strid med lag eller annan författning, eller att Myndigheten för utrikes underrättelser eller ett personuppgiftsbiträde på annat sätt inte fullgör sina skyldigheter, får tillsynsmyndigheten 1. genom sådana åtgärder som anges i 3 § första stycket försöka förmå eller personuppgiftsbiträdet att vidta åtgärder för att behandlingen ska bli författningsenlig eller för att fullgöra andra skyldigheter, eller 2. besluta att förelägga eller personuppgiftsbiträdet att vidta åtgärder för att behandlingen ska bli författningsenlig eller för att fullgöra andra skyldigheter. Av ett beslut om föreläggande ska det framgå när föreläggandet senast ska ha följts och, om det är lämpligt, vilka åtgärder som ska vidtas.

I paragrafen regleras tillsynsmyndighetens korrigerande befogenheter. Övervägandena finns i avsnitt 10.2.3. Tillsynsmyndigheten har möjlighet att successivt använda olika medel och på så sätt öka påtryckningarna på den som inte självmant rättar sig.

354

Författningskommentar

De korrigerande befogenheterna får användas om tillsynsmyndigheten konstaterar att Myndigheten för utrikes underrättelser eller ett personuppgiftsbiträde behandlar personuppgifter i strid med lag eller annan författning eller på annat sätt inte fullgör sina skyldigheter. De skyldigheter som avses är framför allt skyldigheterna i 4 kap. har emellertid också skyldigheter enligt 2 och 5 kap. och skyldighet att bistå tillsynsmyndigheten enligt 2 §. Även underlåtenhet att fullgöra sådana skyldigheter med anledning av denna lag omfattas. Enligt första stycket 1 får tillsynsmyndigheten använda de förebyggande befogenheter som regleras i 3 § första stycket för att försöka förmå eller personuppgiftsbiträdet att vidta åtgärder för att behandlingen ska bli författningsenlig eller för att fullgöra andra skyldigheter. Enligt första stycket 2 får tillsynsmyndigheten besluta att förelägga eller personuppgiftsbiträdet att vidta åtgärder för att viss behandling av personuppgifter ska bli författningsenlig eller för att de ska fullgöra andra skyldigheter. Av andra stycket framgår att det av ett beslut om föreläggande alltid ska framgå när föreläggandet senast ska ha följts och, om det är lämpligt, vilka åtgärder som ska vidtas. Om föreläggandet avser rättelse, radering eller begränsning av behandlingen bör det framgå av föreläggandet vad som ska göras. Tillsynsmyndigheten får emellertid överlåta åt Myndigheten för utrikes underrättelser eller personuppgiftsbiträdet att avgöra vilka åtgärder som ska vidtas för att behandlingen ska bli författningsenlig eller hur andra skyldigheter ska fullgöras.

7 kap. Skadestånd och överklagande

Skadestånd

1 § Den personuppgiftsansvarige ska ersätta den registrerade för den skada och kränkning av den personliga integriteten som orsakats av behandling av personuppgifter i strid med denna lag, föreskrifter som har meddelats i anslutning till lagen eller beslut med stöd av lagen. Ersättningsskyldigheten kan, i den utsträckning det är skäligt, jämkas om den personuppgiftsansvarige visar att felet inte berodde på denne.

355

Författningskommentar

I paragrafen regleras skadestånd. Övervägandena finns i avsnitt 11.3.2. Av första stycket framgår att rätt till skadestånd kan uppkomma på grund av behandling i strid med bestämmelser i lagen, föreskrifter som har meddelats i anslutning till lagen eller beslut med stöd av lagen. För att den personuppgiftsansvarige ska bli ersättningsskyldig måste den registrerade visa att behandling av dennes personuppgifter stått i strid med bestämmelserna om personuppgiftsbehandling och att den har skadat eller kränkt honom eller henne. Den registrerades rätt till skadestånd omfattar ersättning för kränkning av den personliga integriteten och för annan skada. Med skada avses personskada, sakskada eller ren förmögenhetsskada. Det är bara sådan kränkning eller skada som behandlingen av personuppgifter har vållat som ersätts. Ersättningen för kränkning får uppskattas efter skälighet mot bakgrund av samtliga omständigheter i det enskilda fallet. Sådana faktorer som att det funnits risk för otillbörlig spridning av känsliga eller felaktiga personuppgifter eller att den som uppgifterna rör genom behandlingen av uppgifterna drabbats av beslut eller åtgärder som kunnat få negativa följder hör till det som bör beaktas. Den praxis som finns om tillämpningen av bestämmelserna i lagen (2021:1171) om behandling av personuppgifter vid Försvarsmakten och i den upphävda lagen (2007:258) om behandling av personuppgifter i Försvarsmaktens försvarsunderrättelseverksamhet och militära säkerhetstjänst och personuppgiftslagen om skadestånd kan vara vägledande. Av andra stycket följer att ersättningsskyldigheten, i den utsträckning det är skäligt, kan jämkas om den personuppgiftsansvarige visar att felet inte berodde på denne.

Överklagande

Överklagande av s beslut

2 § beslut enligt 5 kap. 2 och 3 §§ att inte lämna information och beslut enligt 5 kap. 6 § i fråga om rättelse, radering, begränsning av behandlingen eller underrättelse till tredje part, får överklagas till allmän förvaltningsdomstol.

356

Författningskommentar

Prövningstillstånd krävs vid överklagande till kammarrätten.

Paragrafen reglerar överklagande av Myndigheten för utrikes underrättelsers beslut. Övervägandena finns i avsnitt 10.4.1. Enligt första stycket får s beslut enligt 5 kap. 2 och 3 §§ att inte lämna information och beslut enligt 5 kap. 6 § i fråga om rättelse, radering, begränsning av behandlingen eller underrättelse till tredje part överklagas till allmän förvaltningsdomstol. Uppräkningen är, som framgår av 4 §, uttömmande. Vilken förvaltningsdomstol som är behörig framgår av 14 § förordningen (1977:937) om allmänna förvaltningsdomstolars behörighet m.m. För prövning i kammarrätten krävs det enligt andra stycket prövningstillstånd.

Överklagande av tillsynsmyndighetens beslut

3 § Tillsynsmyndighetens beslut om föreläggande enligt 6 kap. 4 § första stycket 2 får överklagas till allmän förvaltningsdomstol. När ett beslut överklagas är tillsynsmyndigheten motpart i domstolen. Prövningstillstånd krävs vid överklagande till kammarrätten

Paragrafen reglerar överklagande av tillsynsmyndighetens beslut. Övervägandena finns i avsnitt 10.4.2. Enligt första stycket får tillsynsmyndighetens beslut om föreläggande enligt 6 kap. 4 § första stycket 2 överklagas till allmän förvaltningsdomstol. Det anges vidare att tillsynsmyndigheten är motpart i domstolen när ett beslut överklagas. Enligt andra stycket krävs prövningstillstånd vid överklagande till kammarrätten.

Överklagandeförbud

4 § Andra beslut enligt denna lag än de som anges i 2 och 3 §§ får inte överklagas.

Paragrafen innehåller ett överklagandeförbud. Övervägandena finns i avsnitten 11.4.1 och 11.4.2.

357

Författningskommentar

Av paragrafen framgår att andra beslut enligt lagen än de som anges i 2 och 3 §§ inte får överklagas. Uppräkningen är uttömmande. Någon rätt att med stöd av förvaltningslagen (2017:900) överklaga andra beslut av eller tillsynsmyndigheten enligt lagen finns alltså inte.

14.1 Förslag till lag om ändring i lagen (2006:939) om kvalificerade skyddsidentiteter

2 § Ett beslut om kvalificerad skyddsidentitet får endast avse 1. en polisman eller en annan anställd vid Polismyndigheten eller Säkerhetspolisen med uppgift att delta i spanings- eller utredningsverksamhet som gäller allvarlig brottslighet eller verksamhet för att förebygga sådan brottslighet, eller 2. en person med uppgift att under ledning av Myndigheten för utrikes underrättelser delta i inhämtande av underrättelser som sker med särskilda metoder i verksamhet enligt lagen (2000:130) om utrikes underrättelseverksamhet.

Paragrafen innehåller en uppräkning av vilka personer som får tilldelas kvalificerad skyddsidentitet. Övervägandena finns i avsnitt 3.2.4. Paragrafen ändras på så sätt att ett beslut om kvalificerad skyddsidentitet ska få avse vissa personer knutna till Myndigheten för utrikes underrättelser i stället för personer som är anställda vid Försvarsmakten. Sådana beslut får avse personer med uppgift att under ledning av myndigheten delta i inhämtande av underrättelser som sker med särskilda metoder i verksamhet enligt lagen (2000:130) om utrikes underrättelseverksamhet.

6 § Ett beslut om kvalificerad skyddsidentitet i de fall som avses i 2 § 1 meddelas på ansökan av den myndighet där den som skyddsidentiteten ska avse är anställd (anställningsmyndigheten). Ett beslut om kvalificerad skyddsidentitet i de fall som avses i 2 § 2 meddelas på ansökan av (ansökningsmyndigheten). Om den som skyddsidentiteten ska avse är anställd vid beslutsmyndigheten, ska ansökan göras av den enhet inom anställningsmyndigheten eller ansökningsmyndigheten där han eller hon är verksam (ansökningsenheten ).

358

Författningskommentar

Paragrafen reglerar vem som kan ansöka om kvalificerad skyddsidentitet. Överväganden finns i avsnitt 3.2.4 Första stycket avser ansökan om kvalificerad skyddsidentitet avseende en polisman eller en annan anställd vid Polismyndigheten eller Säkerhetspolisen med uppgift att delta i spanings- eller utredningsverksamhet som gäller allvarlig brottslighet eller verksamhet för att förebygga sådan brottslighet. Bestämmelsen har endast ändrats redaktionellt. Hittillsvarande andra meningen har flyttats till ett nytt tredje stycke. Andra stycket är nytt. Enligt bestämmelsen är Myndigheten för utrikes underrättelser behörig att ansöka om kvalificerad skyddsidentitet avseende en person med uppgift att under ledning av myndigheten delta i inhämtande av underrättelser som sker med särskilda metoder i verksamhet enligt lagen (2000:130) om utrikes underrättelseverksamhet. Tredje stycket är nytt och reglerar vem som är behörig att ansöka om kvalificerad skyddsidentitet i de fall den som skyddsidentiteten ska avse är anställd vid beslutsmyndigheten. I sådana fall ska ansökan göras av den enhet inom anställningsmyndigheten eller ansökningsmyndigheten där han eller hon är verksam (ansökningsenheten). Stycket motsvarar delvis hittillsvarande första stycket andra meningen. Begreppet anställningsenhet har bytts ut till begreppet ansökningsenhet.

8 § Ett beslut om kvalificerad skyddsidentitet gäller för den tid som anges i beslutet. Denna tid får bestämmas till högst två år. Om villkoren i 2 och 3 §§ fortfarande är uppfyllda får, på ansökan av anställningsmyndigheten, ansökningsmyndigheten eller, i förekommande fall, ansökningsenheten , beslutet förlängas med högst två år i taget.

Paragrafen reglerar giltighetstiden för beslut om kvalificerad skyddsidentitet. Överväganden finns i avsnitt 3.2.4. Paragrafen har justerats på så sätt att även den nya ansökningsmyndigheten kan ansöka om förlängning av ett beslut om kvalificerad skyddsidentitet. Vidare har begreppet anställningsenhet bytts ut till begreppet ansökningsenhet.

9 § Om villkoren i 2 eller 3 § inte längre är uppfyllda, ska beslutsmyndigheten förordna att beslutet om kvalificerad skyddsidentitet inte längre ska gälla. Om förutsättningarna för ett förordnande som

359

Författningskommentar

meddelats enligt 4 § har ändrats, ska beslutsmyndigheten besluta om de ändringar som föranleds av detta. Anställningsmyndigheten, ansökningsmyndigheten eller, i förekommande fall, ansökningsenheten ska genast anmäla till beslutsmyndigheten när det finns grund för att upphäva eller ändra ett beslut om kvalificerad skyddsidentitet.

Paragrafen reglerar ändrade förhållanden under beslutets giltighetstid. Överväganden finns i avsnitt 3.2.4. Första stycket har justerats redaktionellt. Andra stycket har justerats på så sätt att även den nya ansökningsmyndigheten genast ska anmäla till beslutsmyndigheten när det finns grund för att upphäva eller ändra ett beslut om kvalificerad skyddsidentitet. Vidare har begreppet anställningsenhet bytts ut till begreppet ansökningsenhet.

14.2 Förslag till lag om ändring i lagen (2008:717) om signalspaning i försvarsunderrättelseverksamhet

Lagens rubrik samt 1, 5, 8, 9 och 12 b §§

Lagens rubrik samt i 1, 5, 8, 9 och 12 b§§ ändras på sådant sätt att uttrycket ”försvarsunderrättelseverksamhet” ersätts med uttrycket ” utrikes underrättelseverksamhet

4 § I lagen (2000:130) om utrikes underrättelseverksamhet finns bestämmelser om regeringens och myndigheters inriktning av sådan verksamhet. Inriktning av signalspaning får anges endast av regeringen, Regeringskansliet, Försvarsmakten, Säkerhetspolisen, Nationella operativa avdelningen i Polismyndigheten och . Regeringen bestämmer inriktningen av sådan verksamhet som bedrivs enligt 1 § andra stycket 9 och tredje stycket. En inriktning av signalspaningen får inte avse endast en viss fysisk person.

Paragrafen innehåller bestämmelser om inriktning av signalspaning. Övervägandena finns i avsnitt 3.1 och 3.2.2. Första stycket ändras på sådant sätt att uttrycket försvarsunderrättelseverksamhet ersätts med utrikes underrättelse-

360

Författningskommentar

verksamhet. Ingen ändring i sak är avsedd. Bestämmelsen ändras också på sådant sätt att ges rätt att inrikta signalspaning i utrikes underrättelseverksamhet.

4 a § Signalspaningsmyndigheten ska ansöka om tillstånd hos Domstolen för utrikes underrättelseverksamhet för signalspaning enligt 1 och 1 a §. En sådan ansökan ska innehålla uppgifter om 1. det inhämtningsuppdrag som ansökan avser, med en närmare redogörelse för det behov som föranleder ansökan och uppgift om vilken inriktning uppdraget hänför sig till, 2. vilken eller vilka signalbärare avseende signaler i tråd som signalspaningsmyndigheten behöver ha tillgång till för att fullgöra uppdraget samt en övergripande redovisning av övrig inhämtning, 3. de sökbegrepp eller kategorier av sökbegrepp som är avsedda att användas vid inhämtningen, 4. vilken tid tillståndet ska gälla, och 5. de omständigheter i övrigt som myndigheten vill åberopa till stöd för sin ansökan.

Paragrafen innehåller bestämmelse om ansökan om tillstånd för signalspaning. Överväganden finns i avsnitt 3.1. Första stycket första meningen ändras på sådant sätt att Försvarsunderrättelsedomstolen ersätts med det nya namnet Domstolen för utrikes underrättelseverksamhet.

5 b § Om det kan befaras att inhämtande av Domstolen för utrikes underrättelseverksamhets tillstånd skulle medföra sådan fördröjning eller annan olägenhet som är av väsentlig betydelse för något av de i 1 § angivna syftena, får tillstånd till signalspaningen ges av den befattningshavare vid signalspaningsmyndigheten som regeringen föreskriver. Ett sådant tillstånd ska utformas i enlighet med 5 a §. Har tillstånd lämnats enligt första stycket ska åtgärden genast anmälas skriftligen till Domstolen för utrikes underrättelseverksamhet . I anmälan ska skälen för åtgärden anges. Domstolen för utrikes underrättelseverksamhet ska skyndsamt pröva ärendet och, om den finner att det inte finns skäl för åtgärden, upphäva eller ändra beslutet. Om ett beslut enligt första stycket har upphört att gälla innan domstolen har prövat ärendet, ska signalspaningsmyndigheten anmäla åtgärden till kontrollmyndigheten. Om Domstolen för utrikes underrättelseverksamhet upphäver eller ändrar ett beslut enligt första stycket ska upptagning eller uppteckning av uppgifter som redan inhämtats omgående förstöras i den utsträckning upptagningen eller uppteckningen kan hänföras till ändringen.

Paragrafen reglerar förutsättningarna för det brådskande förfarandet. Övervägandena finns i avsnitt 3.1.

361

Författningskommentar

I första, andra och tredje styckena ersätts Försvarsunderrättelsedomstolen med Domstolen för utrikes underrättelseverksamhet.

6 § Bestämmelser om Domstolen för utrikes underrättelseverksamhet finns i lagen (2009:966) om Domstolen för utrikes underrättelseverksamhet .

Paragrafen innehåller en hänvisning till den särskilda lag som innehåller bestämmelser om Försvarsunderrättelsedomstolen. Övervägandena finns i avsnitt 3.1. Paragrafen ändras på sådant sätt att hänvisningen till lagen ändras till den lydelse den får efter att Försvarsunderrättelsedomstolen ersätts med Domstolen för utrikes underrättelseverksamhet.

14.3 Förslag till lag om ändring i skyddslagen (2010:305)

4 § Följande byggnader, andra anläggningar, områden och objekt får beslutas vara skyddsobjekt: 1. statschefens och tronföljarens residens och bostäder samt statsministerns bostäder, 2. byggnader, andra anläggningar och områden som staten har äganderätt eller nyttjanderätt till och som disponeras av riksdagen eller riksdagsförvaltningen, 3. byggnader och andra anläggningar som staten, en kommun eller en region har äganderätt eller nyttjanderätt till och som används eller är avsedda för att leda eller styra statlig eller kommunal verksamhet, 4. byggnader, andra anläggningar och områden som används eller är avsedda för polisverksamhet eller för annan verksamhet som innefattar att upprätthålla allmän ordning och säkerhet, verksamhet inom kriminalvården eller Sveriges försörjning med sedlar och mynt, 5. byggnader, andra anläggningar och områden som används eller är avsedda för – fredstida krishantering, – elektroniska kommunikationer, – posthantering, – transporter, – alarmering, – försvarsindustriella ändamål, eller

362

Författningskommentar

– försörjning med energi, vatten, livsmedel eller andra förnödenheter av betydelse för Sveriges försörjningsberedskap och då även fartyg som används för transport av kärnämnen, 6. byggnader, andra anläggningar och områden som används eller är avsedda för ledning av räddningstjänst eller för ledning och samordning av civil verksamhet vid höjd beredskap , 7. byggnader, andra anläggningar och områden som staten har äganderätt eller nyttjanderätt till och som disponeras av Myndigheten för utrikes underrättelser, och 8. områden där tillfälligt bedriver övningar, prov eller försök eller områden där oförutsedda följder av sådan verksamhet kan inträffa.

Paragrafen innehåller en uppräkning av möjliga skyddsobjekt. Övervägandena finns i avsnitt 3.2.3. Två nya punkter läggs till. Punkten 7 innebär att byggnader, andra anläggningar och områden som staten har äganderätt eller nyttjanderätt till och som disponeras av Myndigheten för utrikes underrättelser kan beslutas att vara skyddsobjekt. Punkten 8 innebär att områden där Myndigheten för utrikes underrättelser tillfälligt bedriver övningar, prov eller försök eller områden där oförutsedda följder av sådan verksamhet kan inträffa kan beslutas att vara skyddsobjekt.

14.4 Förslag om lag om ändring i lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning

1 kap.

3 § Bestämmelserna i 2 § gäller inte i verksamhet som omfattas av 1. lagen (2026:000) om behandling av personuppgifter vid Myndigheten för utrikes underrättelser 2. lagen (2021:1171) om behandling av personuppgifter vid Försvarsmakten, 3. lagen (2021:1172) om behandling av personuppgifter vid Försvarets radioanstalt, eller 4. lagen (2019:1182) om Säkerhetspolisens behandling av personuppgifter.

363

Författningskommentar

Paragrafen reglerar undantag från 2 §, vilken utsträcker EU:s dataskyddsförordnings tillämpningsområde. Övervägandena finns i avsnitt 5.2. Ändringen innebär att en hänvisning till lagen om behandling av personuppgifter vid läggs till.

14.5 Övriga lagförslag

Övriga lagförslag innebär att försvarsunderrättelseverksamhet byts ut mot utrikes underrättelseverksamhet eller att Myndigheten för utrikes underrättelser ges motsvarande rättsliga förutsättningar som Försvarsmakten. Namnet på Försvarsunderrättelsedomstolen ändras också till Domstolen för utrikes underrättelser . I det förslag som rör lagen om fiktiva fordonsuppgifter läggs Myndigheten för utrikes underrättelser till vid sidan av Polismyndigheten, Säkerhetspolisen och Tullverket.

364