1 §  Syftet med denna lag är att säkerställa att Försvarets radioanstalt kan behandla personuppgifter på ett ändamålsenligt sätt och att skydda fysiska personers grundläggande fri- och rättigheter i samband med sådan behandling.

2 §  Denna lag gäller vid behandling av personuppgifter i Försvarets radioanstalts försvarsunderrättelse- och utvecklingsverksamhet samt informationssäkerhetsverksamhet.

3 §  Lagen gäller vid sådan behandling av personuppgifter som är helt eller delvis automatiserad. Den gäller också personuppgifter som ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier.

4 §  Vid behandling av personuppgifter enligt denna lag gäller inte Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) och inte heller lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning.

5 §  I denna lag används följande ord och uttryck.

6 §  Försvarets radioanstalt är personuppgiftsansvarig för all behandling av personuppgifter som myndigheten utför, som utförs under myndighetens ledning eller på dess vägnar.

1 §  Personuppgifter får bara behandlas för särskilda, uttryckligt angivna och berättigade ändamål.

Personuppgifter får inte behandlas för något ändamål som är oförenligt med det ändamål som de ursprungligen behandlades för.

2 §  Personuppgifter får behandlas i Försvarets radioanstalts försvarsunderrättelseverksamhet om det är nödvändigt för att bedriva den verksamhet som anges i lagen (2000:130) om försvarsunderrättelseverksamhet och lagen (2008:717) om signalspaning i försvarsunderrättelseverksamhet.

3 §  De personuppgifter som Försvarets radioanstalt har fått tillgång till i myndighetens försvarsunderrättelseverksamhet får fortsätta behandlas i den verksamheten, om det behövs för att fullgöra den.

Första stycket gäller endast om inte något annat följer av denna lag eller en förordning som regeringen har meddelat i anslutning till lagen.

4 §  Personuppgifter som behandlas med stöd av 2 och 3 §§ får även behandlas om det är nödvändigt för att tillhandahålla information som behövs

1. i verksamhet hos berörda myndigheter som avses i 2 § första stycket lagen (2000:130) om försvarsunderrättelseverksamhet,
2. med anledning av samarbete med andra länder och internationella organisationer enligt lagen om försvarsunderrättelseverksamhet och lagen (2008:717) om signalspaning i försvarsunderrättelseverksamhet,
3. i utvecklingsverksamheten för de ändamål som anges i 5 §,
4. i informationssäkerhetsverksamheten för de ändamål som anges i 7 §, eller
5. för att biträda andra myndigheter i den utsträckning det följer av lag eller förordning eller om regeringen har beslutat om det i ett enskilt fall.

5 §  Om det är nödvändigt för försvarsunderrättelseverksamheten får Försvarets radioanstalt behandla personuppgifter för att

1. följa förändringar i signalmiljön i omvärlden, den tekniska utvecklingen och signalskyddet, och
2. fortlöpande utveckla den teknik och metodik som behövs för att bedriva verksamheten.

6 §  Personuppgifter som behandlas med stöd av 5 § får även behandlas om det är nödvändigt för att tillhandahålla information som behövs

1. med anledning av samverkan med annan i fråga om utvecklingsverksamhet,
2. med anledning av samarbete om utvecklingsverksamhet med andra länder eller internationella organisationer enligt lagen (2008:717) om signalspaning i försvarsunderrättelseverksamhet,
3. i försvarsunderrättelseverksamheten för de ändamål som anges i 2 och 3 §§,
4. i informationssäkerhetsverksamheten för de ändamål som anges i 7 §, eller
5. för att biträda andra myndigheter i den utsträckning det följer av lag eller förordning eller om regeringen har beslutat om det i ett enskilt fall.

7 §  Personuppgifter får behandlas i Försvarets radioanstalts informationssäkerhetsverksamhet om det är nödvändigt för att kunna skydda den egna myndigheten eller för att kunna stödja andra verksamheter som är av betydelse för Sveriges säkerhet. Uppgiften att lämna stöd till andra verksamheter ska följa av lag eller förordning eller beslut av regeringen i ett enskilt fall.

8 §  Personuppgifter som behandlas med stöd av 7 § får även behandlas om det är nödvändigt för att tillhandahålla information som behövs

1. i verksamhet hos den som tar emot uppgifter om informationssäkerhet,
2. med anledning av samverkan med andra som verkar på informationssäkerhetsområdet såväl inom som utom landet i den utsträckning det följer av lag eller förordning eller om regeringen har beslutat om det i ett enskilt fall,
3. i försvarsunderrättelseverksamheten för de ändamål som anges i 1 § andra stycket 5 och 7 lagen (2008:717) om signalspaning i försvarsunderrättelseverksamhet, eller
4. i utvecklingsverksamheten för de ändamål som anges i 5 §.

9 §  Försvarets radioanstalt får behandla personuppgifter som utgör allmänt tillgänglig information om det är nödvändigt för den verksamhet som anges i 2, 5 och 7 §§.

10 §  Försvarets radioanstalt får behandla personuppgifter för vetenskapliga, statistiska eller historiska ändamål inom denna lags tillämpningsområde.

11 §  Personuppgifter ska behandlas författningsenligt och på ett korrekt sätt.

12 §  Personuppgifter som behandlas ska vara riktiga och, om det är nödvändigt, uppdaterade. Personuppgifterna ska vara adekvata och relevanta i förhållande till ändamålen med behandlingen.

Uppgifter som beskriver en persons utseende ska utformas på ett objektivt sätt med respekt för människovärdet.

Fler personuppgifter får inte behandlas än vad som är nödvändigt med hänsyn till ändamålen med behandlingen.

13 §  Personuppgifter som avslöjar ras, etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening eller som rör hälsa, sexualliv eller sexuell läggning får inte behandlas.

När personuppgifter behandlas får de dock kompletteras med sådana uppgifter som avses i första stycket, om det är absolut nödvändigt med hänsyn till ändamålen med behandlingen.

14 §  Biometriska uppgifter får behandlas om det är absolut nödvändigt med hänsyn till ändamålen med behandlingen.

Genetiska uppgifter får inte behandlas.

15 §  Vid sökning får personuppgifter som avslöjar ras, etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening eller som rör hälsa, sexualliv eller sexuell läggning användas som sökbegrepp om det är absolut nödvändigt med hänsyn till ändamålen med behandlingen. Detsamma gäller biometriska uppgifter.

16 §  Uppgifter om personnummer eller samordningsnummer får behandlas bara när det är klart motiverat med hänsyn till

1. ändamålen med behandlingen,
2. vikten av en säker identifiering, eller
3. något annat beaktansvärt skäl.

17 §  Trots 13, 14 och 16 §§ får andra personuppgifter än genetiska uppgifter behandlas, om den registrerade på ett tydligt sätt har offentliggjort uppgifterna.

18 §  Hantering av information som innebär behandling av personuppgifter ska inte anses oförenlig med bestämmelserna i 1, 2, 5, 7, 9, 11-14 och 16 §§ i det skede av behandlingen då det inte har kunnat fastställas vilka personuppgifter som informationen innehåller.

19 §  Personuppgifter får inte behandlas under längre tid än vad som behövs med hänsyn till ändamålen med behandlingen.

Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om att personuppgifter får behandlas under endast viss tid eller fortsätta behandlas för arkivändamål av allmänt intresse eller för vetenskapliga, statistiska eller historiska ändamål.

Regeringen eller den myndighet som regeringen bestämmer får också besluta om sådan behandling i ett enskilt fall.

21 §  Personuppgifter får lämnas ut elektroniskt på annat sätt än genom direktåtkomst om regeringen har meddelat föreskrifter om det eller beslutat om det i ett enskilt fall.

1 §  Personuppgifter får göras gemensamt tillgängliga och behandlas i uppgiftssamlingar om det behövs för något av de ändamål som anges i 2 kap. Med att göra personuppgifter gemensamt tillgängliga avses inte att endast ett fåtal personer får tillgång till uppgifterna.

Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om vilka uppgiftssamlingar som får finnas och vilka uppgifter som får behandlas i respektive uppgiftssamling.

Regeringen eller den myndighet som regeringen bestämmer får också besluta om uppgiftssamlingar i ett enskilt fall.

2 §  Säkerhetspolisen och Försvarsmakten får medges direktåtkomst till personuppgifter som utgör analysresultat inom försvarsunderrättelseverksamheten och som finns i uppgiftssamlingar.

Säkerhetspolisen och Försvarsmakten har rätt att vid direktåtkomst ta del av de personuppgifter som omfattas av åtkomsten.

3 §  Om det behövs för samarbetet mot terrorism eller för annat internationellt säkerhetssamarbete, får en utländsk underrättelse- eller säkerhetstjänst medges direktåtkomst till personuppgifter som behandlas med stöd av 2 kap. 2 § och som finns i uppgiftssamlingar.

Första stycket gäller enbart i den utsträckning som sådan direktåtkomst följer av lag eller förordning eller om regeringen har beslutat om den i ett enskilt fall.

4 §  Om det behövs för samarbetet mot it-relaterade hot mot samhällsviktiga system, får en utländsk organisation inom informationssäkerhetsområdet medges direktåtkomst till personuppgifter som behandlas med stöd av 2 kap. 7 § och som finns i uppgiftssamlingar.

Första stycket gäller enbart i den utsträckning som sådan direktåtkomst följer av lag eller förordning eller om regeringen har beslutat om den i ett enskilt fall.

5 §  Regeringen kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om direktåtkomst till uppgiftssamlingar i andra fall än de som anges i 2-4 §§.

Regeringen får också besluta om detta i ett enskilt fall.

6 §  Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om omfattningen av direktåtkomsten och om behörighet och säkerhet vid sådan åtkomst.

Regeringen får också besluta om detta i ett enskilt fall.

1 §  Försvarets radioanstalt ska, genom lämpliga tekniska och organisatoriska åtgärder, säkerställa att behandlingen av personuppgifter är författningsenlig och att de registrerades rättigheter skyddas.

2 §  Tillgången till personuppgifter ska begränsas till vad var och en behöver för att kunna fullgöra sina arbetsuppgifter.

3 §  Försvarets radioanstalt ska vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas. Åtgärderna ska särskilt avse skydd mot obehörig eller otillåten behandling eller förstöring och mot förlust eller annan oavsiktlig skada.

4 §  Försvarets radioanstalt ska inom myndigheten utse ett eller flera dataskyddsombud och anmäla till tillsynsmyndigheten när dataskyddsombud utses och entledigas.

5 §  Ett dataskyddsombud ska

1. självständigt kontrollera att Försvarets radioanstalt behandlar personuppgifter författningsenligt och på ett korrekt sätt och i övrigt fullgör sina skyldigheter,
2. informera och ge råd till Försvarets radioanstalt och till dem som behandlar personuppgifter under myndighetens ledning om deras skyldigheter vid behandling av personuppgifter,
3. vara kontaktpunkt för enskilda i frågor som rör Försvarets radioanstalts behandling av personuppgifter, och
4. vid behov söka vägledning av tillsynsmyndigheten.

6 §  Försvarets radioanstalt får, om det är lämpligt, anlita personuppgiftsbiträden för behandling av personuppgifter på Försvarets radioanstalts vägnar. Innan ett personuppgiftsbiträde anlitas, ska Försvarets radioanstalt försäkra sig om att biträdet kommer att vidta de lämpliga tekniska och organisatoriska åtgärder som krävs för att behandlingen av personuppgifter ska vara författningsenlig och för att skydda registrerades rättigheter.

7 §  Personuppgiftsbiträdets behandling av personuppgifter ska regleras i ett skriftligt avtal eller annan skriftlig överenskommelse.

8 §  Ett personuppgiftsbiträde får inte anlita ett annat personuppgiftsbiträde utan skriftligt tillstånd av Försvarets radioanstalt.

9 §  Ett personuppgiftsbiträde eller den eller de personer som arbetar under biträdets eller Försvarets radioanstalts ledning ska behandla personuppgifter i enlighet med instruktioner från Försvarets radioanstalt.

Om ett personuppgiftsbiträde, i strid med Försvarets radioanstalts instruktioner, bestämmer ändamålen med och medlen för behandlingen, ska biträdet anses vara personuppgiftsansvarig enligt denna lag för den behandlingen.

10 §  Försvarets radioanstalts skyldigheter enligt 2 och 3 §§ gäller även för personuppgiftsbiträden som Försvarets radioanstalt anlitar.

1 §  Försvarets radioanstalt ska göra följande information allmänt tillgänglig:

1. myndighetens identitet och kontaktuppgifter,
2. uppgifter om dataskyddsombudet,
3. kategorier av ändamålen med behandlingen av personuppgifter,
4. rätten enligt 2 § att begära att få information om behandlingen av personuppgifter och att få del av dem, och
5. rätten att begära rättelse, radering eller begränsning av behandlingen enligt 5 §.

2 §  Försvarets radioanstalt är skyldig att en gång per kalenderår till den som begär det lämna skriftligt besked om huruvida personuppgifter som rör honom eller henne behandlas. Om sådana uppgifter behandlas ska sökanden få del av dem och få följande skriftliga information:

1. vilka personuppgifter om den sökande som behandlas,
2. varifrån personuppgifterna kommer,
3. ändamålen med behandlingen,
4. mottagare eller kategorier av mottagare av personuppgifterna, även i annat land eller internationella organisationer,
5. hur länge personuppgifterna får behandlas eller, om det inte är möjligt att ange, kriterierna för att fastställa det, och
6. rätten att begära rättelse, radering eller begränsning av behandlingen enligt 5 §.

Ett utlämnande av personuppgifter enligt första stycket behöver inte omfatta sådana personuppgifter som sökanden har tagit del av, om inte han eller hon begär det. Det ska dock framgå av informationen att personuppgifterna i fråga behandlas.

En ansökan om information enligt första stycket ska göras skriftligen hos Försvarets radioanstalt och vara undertecknad av den sökande själv. Informationen ska lämnas inom en månad från det att ansökan gjordes. Om det finns särskilda skäl för det, får information dock lämnas senast fyra månader efter det att ansökan gjordes.

3 §  Informationsskyldigheten enligt 2 § gäller inte i den utsträckning sekretess hindrar att uppgifterna lämnas ut.

Om det gäller sekretess är Försvarets radioanstalt inte skyldig att redovisa skälen för ett beslut enligt första stycket eller ett beslut i fråga om rättelse, radering eller begränsning av behandlingen enligt 5 §.

4 §  Informationsskyldigheten enligt 2 § gäller inte personuppgifter i löpande text som inte fått sin slutliga utformning när begäran gjordes eller som utgör en minnesanteckning eller liknande.

Informationsskyldigheten gäller dock om uppgifterna

1. har lämnats ut till tredje part, med undantag för en myndighet som med stöd av författning utövar tillsyn, kontroll eller revision,
2. behandlas enbart för statistiska ändamål eller arkivändamål av allmänt intresse, eller
3. har behandlats under längre tid än ett år i löpande text som inte har fått sin slutliga utformning.

5 §  Försvarets radioanstalt ska på begäran av den registrerade snarast rätta, radera eller begränsa behandlingen av sådana personuppgifter som inte har behandlats i enlighet med denna lag eller föreskrifter som har meddelats med stöd av lagen.

Om uppgifterna har lämnats ut till tredje part ska denne underrättas om en åtgärd enligt första stycket, om den registrerade begär det eller om en mera betydande skada eller olägenhet för den registrerade skulle kunna undvikas genom en underrättelse.

Någon underrättelse behöver dock inte lämnas, om sekretess hindrar det eller detta är omöjligt eller skulle innebära en oproportionerligt stor arbetsinsats.

6 §  Information enligt 1 § och information och uppgifter enligt 2 § ska lämnas utan avgift.

1 §  Den myndighet som regeringen bestämmer utövar tillsyn över Försvarets radioanstalts behandling av personuppgifter enligt denna lag, enligt föreskrifter som har meddelats i anslutning till lagen och enligt beslut med stöd av lagen.

Tillsynsmyndigheten ska, när det är motiverat, ge råd och stöd till Försvarets radioanstalt och personuppgiftsbiträden i frågor som gäller deras skyldigheter enligt lag eller annan författning.

2 §  I lagen (2008:717) om signalspaning i försvarsunderrättelseverksamhet finns det särskilda bestämmelser om kontroll som rör Försvarets radioanstalts behandling av personuppgifter i försvarsunderrättelse- och utvecklingsverksamheten.

3 §  Tillsynsmyndigheten har rätt att av Försvarets radioanstalt eller av ett personuppgiftsbiträde på begäran få

1. tillgång till personuppgifter som behandlas,
2. upplysningar om och dokumentation av behandlingen av personuppgifter och säkerhets- och skyddsåtgärder,
3. tillträde till sådana lokaler som har anknytning till behandling av personuppgifter och tillgång till utrustning och andra medel för behandling av personuppgifter, och
4. den hjälp och annan information som behövs för tillsynen.

4 §  Om tillsynsmyndigheten bedömer att det finns risk för att personuppgifter kan komma att behandlas i strid med lag eller annan författning, ska myndigheten genom råd, rekommendationer eller påpekanden försöka förmå Försvarets radioanstalt eller personuppgiftsbiträdet att vidta åtgärder för att motverka den risken.

Tillsynsmyndigheten får besluta om en skriftlig varning, om en planerad behandling av personuppgifter riskerar att strida mot lag eller annan författning. Detsamma gäller om en pågående behandling riskerar att strida mot lag eller annan författning.

5 §  Om tillsynsmyndigheten konstaterar att personuppgifter behandlas i strid med lag eller annan författning, eller att Försvarets radioanstalt eller ett personuppgiftsbiträde på annat sätt inte fullgör sina skyldigheter, får tillsynsmyndigheten

1. genom sådana åtgärder som anges i 4 § första stycket försöka förmå Försvarets radioanstalt eller personuppgiftsbiträdet att vidta åtgärder för att behandlingen ska bli författningsenlig eller för att fullgöra andra skyldigheter, eller
2. besluta att förelägga Försvarets radioanstalt eller personuppgiftsbiträdet att vidta åtgärder för att behandlingen ska bli författningsenlig eller för att fullgöra andra skyldigheter.

Av ett beslut om föreläggande ska det framgå när föreläggandet senast ska ha följts och, om det är lämpligt, vilka åtgärder som ska vidtas.

1 §  Den personuppgiftsansvarige ska ersätta den registrerade för den skada och kränkning av den personliga integriteten som orsakats av behandling av personuppgifter i strid med denna lag, föreskrifter som har meddelats i anslutning till lagen eller beslut med stöd av lagen.

Ersättningsskyldigheten kan, i den utsträckning det är skäligt, jämkas om den personuppgiftsansvarige visar att felet inte berodde på denne.

2 §  Försvarets radioanstalts beslut enligt 5 kap. 2 § att inte lämna information och beslut enligt 5 kap. 5 § i fråga om rättelse, radering, begränsning av behandlingen eller underrättelse till tredje part, får överklagas till allmän förvaltningsdomstol.

Prövningstillstånd krävs vid överklagande till kammarrätten.

3 §  Tillsynsmyndighetens beslut om föreläggande enligt 6 kap. 5 § första stycket 2 får överklagas till allmän förvaltningsdomstol. När ett beslut överklagas är tillsynsmyndigheten motpart i domstolen.

Prövningstillstånd krävs vid överklagande till kammarrätten.

4 §  Andra beslut enligt denna lag än de som anges i 2 och 3 §§ får inte överklagas.