12 Längsta tid som personuppgifter får behandlas
12.2 Hur länge får personuppgifter behandlas?
12.2.4 Personuppgifter som rör viss
personuppgifter får behandlas, vilket skulle vara negativt för Säkerhetspolisens underrättelseverksamhet. Det är heller inte möjligt att, inom ramen för detta lagstiftningsärende, finna en annan lösning som kan förtydliga vilka uppgifter som ska påverka längsta tid för behandling av uppgifter i underrättelseverksamheten. Mot den bakgrunden anser rege- ringen, till skillnad från Datainspektionen men i likhet med Säkerhets-
polisen, att regleringen på samma sätt som i dag bör utgå från när den
senaste registreringen avseende personen gjordes.
Säkerhets- och integritetsskyddsnämnden efterfrågar ett tydliggörande
av om en ny registrering avseende en person kan förlänga tiden för behandling även för andra personer med anknytning till samma brottsliga verksamhet. Frågan är relevant trots att vilka uppgifter som kan förlänga registrering inte knyts till brottslig verksamhet. Det är inte uteslutet att en registrering avseende en person kan förlänga tiden för behandling även för andra personer med anknytning till den personen. Till exempel kan misstankar mot en person innebära att misstankarna mot en annan person stärks, eftersom det tydliggör att båda har starka kopplingar till en viss plats, en viss annan person eller en viss företeelse. I vilka fall en ny regi- strering avseende en person ska påverka tiden för behandling avseende en annan person måste dock avgöras från fall till fall (jfr prop. 2017/18:269 s. 129).
12.2.4 Personuppgifter som rör viss säkerhetshotande
verksamhet
Regeringens förslag: Personuppgifter som hänför sig till sådan säker-
hetshotande verksamhet som avses i 18 och 19 kap. brottsbalken och som utövas av främmande makt ska inte få behandlas längre än 40 år efter utgången av det kalenderår då den senaste registreringen gjordes avseende personens anknytning till brott eller brottslig verksamhet.
Utredningens förslag överensstämmer med regeringens.
Remissinstanserna: Säkerhetspolisen anser att personuppgifter som rör
säkerhetshotande verksamhet ska kunna behandlas som längst i 70 år på grund av den långsiktighet som präglar kontraspionageverksamheten.
Datainspektionen avstyrker förslaget då utredningen inte visat att det finns
Skälen för regeringens förslag Prop. 2018/19:163
Vad är kontraspionage?
Säkerhetspolisens kontraspionageverksamhet har till uppgift att före- bygga, förhindra och upptäcka spioneri, olaglig underrättelseverksamhet och andra brott mot Sveriges säkerhet. Kontraspionage omfattar inhämtning av underrättelser om och bedömning av andra staters spionage mot Sverige. Sådant underrättelsearbete skapar underlag för olika typer av åtgärder mot andra staters säkerhetshotande underrättelseverksamhet och är en del av Sveriges försvar.
Spioneribrott utövas ofta av två aktörer i förening. Den ena är en underrättelseofficer som tillhör en utländsk underrättelsetjänst. Den andra är spionen som t.ex. kan ha tillgång till information och miljöer där information kan inhämtas på uppdrag av underrättelseofficeren. Under- rättelseofficerare arbetar långsiktigt med att leta efter lämpliga mål och att närma sig och odla kontakter med personer som har information om målet, för att i senare skeden eventuellt kunna rekrytera dem som spioner och handleda dem. Andra stater söker alltså fortlöpande efter lämpliga personer att rekrytera. Själva processen fram till värvningstillfället kan ta några år och i vissa fall ännu längre tid. I den efterföljande handlednings- fasen kan den värvade personen handledas så länge han eller hon har till- gång eller kan få tillgång till den information som den andra statens underrättelsetjänst är intresserad av. Det kan pågå i flera decennier. En underrättelseofficer är däremot som regel bara stationerad i Sverige några år och förflyttas sedan till ett annat land. Eftersom stationeringstiden är begränsad måste värvning och handledning av spioner lämnas över mellan underrättelseofficerare.
Säkerhetspolisen arbetar med två olika metoder för att identifiera spio- ner. En metod är att leta direkt efter dem. En annan är att kartlägga och följa utländska underrättelseofficerares aktiviteter för att kunna identifiera misstänkta spioner. Genom att underrättelseofficerare lämnar hand- ledningen vidare till sina efterträdare innebär byte av underrättelseoffi- cerare en möjlighet för Säkerhetspolisen att kunna identifiera misstänkta spioner. Det är emellertid svårt, eftersom underrättelseofficerare är tränade i att undvika värdlandets säkerhetstjänst. Det innebär att iakttagelser som görs beträffande en underrättelseofficer kanske inte byggs på med nya iakttagelser förrän efter flera byten på posten. Under tiden behöver informationen från kartläggningen behållas.
Andra staters underrättelseverksamhet i Sverige bygger således på långsiktigt arbete. En anledning till det är att det är relativt svårt att värva spioner. Det strävar därför efter att använda dem så länge som möjligt. Spioneri är oftast en livslång sysselsättning. Det finns också exempel både i Sverige och utomlands på att spioner rekryterar sina barn som spioner. Säkerhetspolisens kontraspionageverksamhet måste därför anpassas till det långsiktiga tidsperspektivet.
Oavsett vilken metod Säkerhetspolisen använder kräver kontraspionage lagring av information i flera decennier. Exempelvis använder Säkerhetspolisen i dag regelmässigt uppgifter som inhämtades på 1980- och 90-talen. Erfarenheter från både Sverige och andra länder visar att det ofta tar mycket lång tid innan en spion avslöjas. Spionerna Stig Wen- nerström och Arne Treholt kan nämnas som exempel på det.
Prop. 2018/19:163 Nuvarande bestämmelser är inte ändamålsenliga
Säkerhetspolisen har i dag möjlighet att behandla personuppgifter i sin brottsbekämpande verksamhet under relativt lång tid. Enligt 6 kap. 12 § första stycket polisdatalagen ska personuppgifter som gjorts gemensamt tillgängliga gallras senast tio år efter utgången av det kalenderår då den senaste registreringen avseende personen gjordes. Om det finns särskilda skäl får Säkerhetspolisen dock besluta att personuppgifter får bevaras längre, om uppgifterna fortfarande behövs för det ändamål för vilket de behandlas. Säkerhetspolisen kan således under vissa förutsättningar be- sluta att förlänga gallringsfristen för personuppgifter inom kontraspiona- get med ytterligare tio år.
Säkerhetspolisen förlänger regelmässigt gallringsfristen för person- uppgifter i kontraspionaget. Från den 1 januari 2017 till den 23 mars 2017 fattades enligt Säkerhetspolisen drygt 400 enskilda beslut om att förlänga gallringsfristen för personuppgifter som behandlas inom kontraspionaget. Det rör sig således om fler än tusen enskilda förlängningsbeslut per år. Hanteringen medför omfattande administrativt arbete för personal med särskild sakkunskap på området, eftersom lagstiftningen kräver att det fattas beslut om bevarande i varje enskilt fall.
Det finns risk för att personuppgifter, som borde bevaras, tas bort på grund av att Säkerhetspolisen i vissa fall måste prioritera operativa insatser före förlängningsbeslut. Inom kontraspionaget är det dessutom ofta svårt att vid tidpunkten för beslut om förlängning veta exakt vilka uppgifter som kommer att behövas i framtiden. Förlängning av fristen kan inte beslutas retroaktivt. Säkerhetspolisen har uppgett att myndigheten i ett flertal fall har gallrat personuppgifter där det i efterhand har visat sig att informationen varit relevant och därför borde ha behandlats längre.
Uppgifter inom kontraspionaget ska få behandlas längre
På grund av kontraspionagets särdrag finns det alltså enligt regeringens mening behov av att behandla personuppgifter hänförliga till sådan verk- samhet under betydligt längre tid än vad huvudregeln i polisdatalagen medger. Säkerhetspolisen har visserligen möjlighet att genom särskilda beslut förlänga tiden för behandling. Det är emellertid inte rimligt att lägga betydande resurser på att regelbundet fatta beslut om sådan förlängning när det ofta på förhand kan förutses att förlängning av fristen är nödvändig. Risken för att behandlingen av uppgifter upphör på grund av tidsbrist eller felaktiga beslut bör också vägas in. Mot den bakgrunden anser regeringen att Säkerhetspolisen bör få behandla personuppgifter hänförliga till området kontraspionage under längre tid än vad som är tillåtet i dag. Det gäller framför allt uppgifter där grunden för registreringen är att personen är en misstänkt utländsk underrättelseofficer och uppgifter om hans eller hennes närmaste anhöriga. Det gäller också uppgifter om misstänkta spioner och deras närmaste anhöriga och händelser kopplade till dessa personer. Om sådana personuppgifter får behandlas under längre tid skulle det ge Säkerhetspolisen större möjligheter att inte bara identifiera misstänkta spioner och underrättelseofficerare, utan också att avföra eventuella felaktiga misstankar. På så sätt kan en förlängd tidsfrist i det här fallet också till viss del stärka integritetsskyddet.
Frågan är hur tidsfristen för behandling av aktuella uppgifter bör be- Prop. 2018/19:163 stämmas. Från integritetssynpunkt är det viktigt att personuppgifter inte
behandlas för länge. Samtidigt måste tidsfristen bestämmas på ett sätt som är ändamålsenligt och tillgodoser de behov som finns.
Försvarssekretessen, som regleras i 15 kap. 2 § offentlighets- och sek- retesslagen (2009:400), gäller enligt 4 § offentlighets- och sekretessför- ordningen (2009:641) i 95 år om uppgifterna rör underrättelseverksam- heten inom underrättelse- och säkerhetstjänsten. Den svenska militära underrättelsetjänstens arbete och källor skyddas således under lång tid och man skulle kunna argumentera för att Säkerhetspolisens uppgifter som rör kontraspionage borde kunna behandlas lika länge. En annan möjlighet är att utgå från hur länge sekretess gäller för uppgifter i brottsbekämpande verksamhet, vilket är 70 år. En så lång tidsfrist som någon av de nu nämnda skulle dock innebära betydligt större integritetsintrång än i dag och markant förlänga tiden för hur länge personuppgifter för denna typ av verksamhet får behandlas. Att bestämma tidsfristen till 70 år som
Säkerhetspolisen föreslår är därför inte aktuellt.
Erfarenheterna har visat att spioneri under 30–40 år inte är ovanligt. Med beaktande av det anser regeringen att fristen för hur länge person- uppgifter i kontraspionageverksamheten ska få behandlas inte bör vara kortare än 40 år. Behandlingen av personuppgifterna kan då fortgå under en tid som motsvarar en spions yrkesverksamma liv. Med hänsyn till att det är fråga om mycket allvarliga brott anser regeringen att den föreslagna tidsfristen är en rimlig avvägning mellan samhällsintressena och enskildas integritet.
Datainspektionen anser att utredningen inte har visat att det finns ett
behov av att spara uppgifter under så lång tid som nu föreslås. Inspek- tionen anser också att riskerna för den enskildes personliga integritet inte har analyserats i tillräcklig utsträckning. Tiden för behandling av uppgifter i kontraspionageverksamheten förlängs som nyss nämnts regelmässigt. Förslaget innebär därför inte någon större skillnad mot den ordning som redan i dag gäller. Regeringen anser vidare att utredningen gör en tillräcklig analys av riskerna för enskildas personliga integritet. Det bör således i den nya lagen tas in en bestämmelse som föreskriver att personuppgifter som hänför sig till sådan säkerhetshotande verksamhet som avses i 18 och 19 kap. brottsbalken och som utövas av främmande makt inte får behandlas längre än 40 år efter utgången av det kalenderår då den senaste registreringen gjordes avseende personens anknytning till brott eller brottslig verksamhet. Undantag bör göras för uppgifter som behandlas i en uppgiftssamling för bearbetning och analys. För sådana uppgifter bör tidsfristen om tre år gälla (avsnitt 12.2.3).