Betänkandet Säkerhetspolisens behandling av personuppgifter

(Departementets diarienummer Ju2025/00954)

Genomgången av de förslag som läggs fram i betänkandet och de överväganden som görs där har skett med de utgångspunkter som Justitiekanslern, utifrån sitt uppdrag, främst har att beakta.

Allmänna synpunkter

Utredningen har haft i uppdrag att genomföra en översyn av bestämmelserna om Säkerhetspolisens personuppgiftsbehandling inom området för nationell säkerhet. I sin översyn har utredningen funnit att det föreligger ett påtagligt reform­behov, bland annat med hänsyn till den förändrade hotbild som Sverige står inför och den alltjämt växande informationsmängden. Utred­ningen före­slår därför en omfattande reform av regleringen för Säkerhets­polisens personuppgiftsbehandling med en helt ny säpodatalag som utgår från data­skyddskonventionen 108+ och Europakonventionen i stället för EU-rätten samt en kompletterande lag om behandling av personuppgifter i särskilda uppgiftssamlingar.

Justitiekanslern anser att det är positivt att Säker­hets­polisen får en modern och ändamåls­enlig personuppgiftslag anpassad för Säkerhets­tjänstens kärn­verk­samhet; nämligen att förebygga, förhindra och upptäcka brottslig verk­sam­het som innefattar brott mot rikets säkerhet eller terrorist­brott. Den föreslagna reformen för Säkerhetspolisens personuppgiftsbehand­ling är genomgripande. Med hänsyn till för­slagets karaktär – men också till Justitiekanslerns bristande insyn i Säker­hets­polisens verksamhet – har det varit svårt att överblicka den före­slagna reformens ändamålsenlighet och förenlighet med internationella åtaganden.

Det förtjänar emellertid att understrykas att det är av stor vikt att Säkerhets­polisens personuppgiftslag utfor­mas med noggrant beaktande av skyddet av den personliga integriteten och andra grundläggande fri- och rättigheter. Detta inte minst eftersom utred­ningens förslag bland annat kommer att innebära att en ökad mängd inte­gritetskänsliga uppgifter kommer att behandlas av Säkerhetspolisen och finnas tillgängliga under en längre tid jämfört med tidigare. Det måste därför göras en grundlig intresseavvägning mot skyddet för fri- och rättigheter såväl för varje före­slagen utvidgning som för den samlade effekten av förslagen.

Ur ett integritetsskyddsperspektiv är det vidare nödvändigt att en utvidgad person­uppgiftsbehandling omgärdas av effektiva kontroll­mekanismer för att motverka de risker som behandlingen kan innebära. Justitiekanslern utgör en del av det kontrollsystemet och kommer nedan att fokusera på de konse­kvenser som förslagen innebär för myndighetens verksamhet.

Generella konsekvenser för Justitiekanslerns verksamhet

Om Säkerhets- och integritetsskyddsnämnden (SIN) vid sin tillsyn upp­märk­sammar felaktig­heter vid bland annat Säkerhetspolisens person­uppgiftsbehandling som kan medföra skadeståndsansvar för staten får SIN anmäla det till Justitiekanslern. Om SIN uppmärksammar sådana felaktig­heter vid kontroll på begäran av enskild är det obligatoriskt att göra en sådan anmälan. (Se 1 och 3 §§ lagen, 2007:980, om tillsyn över viss brottsbe­kämpande verksamhet samt 20 § andra stycket förordningen, 2007:1141, med instruktion för Säkerhets- och integritetsskyddsnämnden.)

Justitiekanslern prövar efter en sådan SIN-anmälan om personuppgifts­behandlingen är skadeståndsgrundande, fastställer i förekommande fall ersättningsbeloppets storlek och bestämmer vem som ska utge ersättningen till den skadelidande.

De ärenden som överlämnats av SIN hanteras, av säkerhetsskäl, hos Justitie­kanslern endast av två föredrag­anden och två beslutsfattare. Dessa personer har därutöver samma arbetsuppgifter som övriga föredragande och besluts­fattare vid myndigheten.

Justitie­kanslerns årliga ärendestock avseende skade­stånd utgörs av cirka 1 400 ärenden (2024). Enligt Justitiekanslerns verksam­hets­plan bör handläg­gningstiden för dessa ­ärenden inte överstiga tolv månader. Under de senaste fem åren har SIN anmält strax över 20 ärenden till Justitiekanslern – cirka fem av ärendena har avsett Säkerhetspolisens personuppgiftsbe­hand­­ling. Det bör noteras att trots att ärendena som överlämnas av SIN är förhållande­vis få till antalet är de inte sällan av komplex natur och det visar sig inte sällan vara svårt att avgöra dem enligt det mål som finns för handläggnings­tiden.

Med de förslag som nu läggs fram om SIN:s förstärkta tillsyn över Säker­hets­polisens per­son­uppgiftsbehandling, som dessutom i sig kommer att öka i omfattning, är det svårt att komma till någon annan slutsats än att antalet SIN-anmälningar till Justitiekanslern som gäller personuppgiftsbehand­lingen hos Säkerhetspolisen kommer att öka.

Eftersom reformen rent generellt ger Säkerhetspolisen större möjligheter att behandla personuppgifter kan man även förutse att betydligt fler personer än i dag kommer att anse sig berättigade till ersättning för skada och kränkning av den personliga integriteten som orsakats av behandling i strid med regler­ingen (se 6 kap. 3 § i den föreslagna säpodatalagen). Det är Justitiekanslern som kommer att handlägga anspråk på sådan ersättning i sin frivilliga skade­reglering (se föreslagen lydelse av 3 § förordningen, 1995:1301, om handläggning av skadeståndsanspråk mot staten). Det är också Justitie­kanslern som för statens talan inför domstol om den enskilde väljer att väcka talan mot staten om sådan ersättning.

Utredningens förslag kommer alltså få substantiella återverkningar på Justitiekanslerns verksamhet i form av en ökad tillström­ning av SIN-ärenden liksom andra ärenden inom den frivilliga skaderegleringen som gäller personuppgiftsbehandling hos Säkerhetspolisen. Betänkandet saknar dock en analys av konsekvenserna för Justitiekanslerns del.

Ekonomiska konsekvenser för Justitiekanslern

Med hänsyn till avsaknaden av en analys av konsekvenserna för Justitie­kanslern del och med hänsyn till den bristande insyn Justitiekanslern har i Säkerhetspolisens personuppgiftsbehandling, är det svårt att göra en närmare bedömning av de ekonomiska följdverkningarna av förslagen.

Däremot har utredningen bedömt konsekvenserna av förslagen för SIN. I den delen konstateras att en tydlig följd av reformerna är att SIN kommer att behöva förstärka sin ­verksamhet för att kunna utföra en effektiv och kvali­ficerad tillsyn över Säkerhets­polisens personuppgiftsbehandling. SIN före­slås därför få ökade ramanslag med cirka 11 miljoner kronor år 2027, 13 miljoner kronor år 2028 och 15 miljoner kronor från år 2029 och framåt.

När det gäller konsekvenserna av den nya regleringen för SIN:s del gör utredningen bl.a. följande bedömningar:

Kontroller på begäran av enskilda förväntas också bli mer komplexa. De synergieffekter som finns av att nämnden utövar tillsyn över likartade personuppgiftslagar minskar genom förslaget till ny säpodatalag.

För att möta dessa utmaningar behövs fler kvalificerade föredragande. Nämnden bedömer behovet till tre nya föredragande, till en kostnad av 1 050 000 kronor per person och år (inklusive anslutning till Försäkringskassans it-lösning). Total årlig kostnad blir därmed 3 150 000 kronor. Därtill kommer engångskostnader för inventarier, säkerhetsskåp och särskilt anpassad utrustning på totalt 477 000 kronor.

Den nya lagen ger Säkerhetspolisens möjlighet att utnyttja ny teknik för effektiv informations­hantering. Personuppgiftsbehandlingen kommer därmed att bli alltmer avancerad och komplex. För att kunna utöva tillsyn över nya komplexa behandlingsåtgärder krävs kvalificerad teknisk kompetens med fördjupade kunskaper för att förstå de bakomliggande strukturerna. För att möta de nya utmaningar som Säkerhetspolisens mer utvecklade tekniska lösningar medför, behöver nämnden därför rekrytera kvalificerad kompetens på området. Denna utmaning hänger samman även med tillsynen över särskilda uppgiftssamlingar.

Justitiekanslern konstaterar att stora delar av bedömningarna som görs beträffande SIN också är överförbara till Justitiekanslerns verksamhet. Mot denna bakgrund konstaterar Justitiekanslern att de ökade resurser som skulle behöva avsättas för hanteringen av denna typ av ärenden inte kan tas inom befintlig anslagsram. I brist på underlag från utredningen i denna del upp­skattar Justitiekanslern att kostnaderna på anslaget 6:2 Justitiekanslern beräknas öka med cirka 500 000 kronor årligen motsvarande en halv föredragandetjänst. I dagsläget går det inte att uppskatta huruvida ytterligare kostnader tillkommer.

Detta förhållande bör fästas avseende vid i den fortsatta beredningen av lagstift­nings­arbetet.