Allvarliga brister i FRAs hantering av personuppgifter

Uppdaterad. IDG har idag två artiklar om brister i FRAs hantering av personuppgiftshantering. Det mest allvarliga är följande.

1. FRA kan återskapa uppgifter som myndigheten enligt lag är skyldig att förstöra, exempelvis samtal mellan en misstänkt och en försvarare eller samtal som skyddas av meddelarskyddet.

Kommentar. Det anser jag direkt strida mot lagstiftningens text och ändamål. Detta var en risk jag påpekade augusti och september 2008 när det var aktuellt med ändringar i lagstiftningen. Jag hängde upp mig på att även efter gallring kan FRA lagra personuppgifter för historiska, statistiska eller vetenskapliga ändamål, se 6 kap. 1 § Lag (2007:259) om behandling av personuppgifter i Försvarets radioanstalts försvarsunderrättelse- och utvecklingsverksamhet. Denna bestämmelse blev inte ändrad vilket möjligtvis kan underlätta återskapande av information vilket kan strida mot andra bestämmelser. En annan förklaring är rent teknisk, jag har har uppfattat att raderad data som regel kan återskapas så länge som det inte skrivs över av ny data.

2. FRA har lagrat personuppgifter trots att kopplingen till det aktuella signalspaningsuppdraget varit otydlig. Vidare har databaserna inte heller gallrats på information som inte bör finnas kvar.

Kommentar. Det kan måhända vara olämpligt från en principiell utgångspunkt men är samtidigt tillåtet enligt  lagstiftningen. Jag skrev 2009 i Svensk Juristtidning följande om  lagstiftningen: "Det innebär att FRA har rätt att inhämta, bearbeta och lagra trafikdata utan att detta nödvändigtvis är kopplad till något hot mot Sverige". (sid 528)

Datainspektionen skrev följande i sin rapport från den 6 december 2010: "Sökbegreppen vid inhämtning av trafikdata är mer generella än vid inhämtning av meddelanden och medför en omfattande behandling av personuppgifter hos FRA. Det innebär i sin tur att det finns en relativt hög sannolikhet för att de personer som kommunicerar i de signalbärare som FRA bedriver inhämtning mot, kommer att få uppgifter om sin kommunikation sparad hos FRA i form av trafikdata." (sid. 4)

På vanlig svenska, FRA får enligt lagstiftningen lagra information som rör laglydiga medborgares kommunikation utan att det finns en koppling till något hot. Detta är i sig principiellt problematisk och blir än värre om gallringen som ska ske efter 12 månader inte fungerar.

3. FRA har skickat vidare information om en person till Säpo med anledning av signalspaning som ska ha skett på beställning av regeringen.

Kommentar. SÄPO har förvisso enligt 9 § Förordningen (2007:261) om behandling av personuppgifter i Försvarets radioanstalts försvarsunderrättelse- och utvecklingsverksamhet direkttillgång till FRAs rapportdatabaser. Det är dock principiellt problematisk att regeringen har beställt signalspaning som rör brottsbekämpning, det är en uppgift för polisen och SÄPO. Jag är medveten om att polisen och SÄPO för närvarande inte får beställa spaning från FRA men då ska regeringen inte kringgå detta förbud. Om så har skett vet jag inte men det förtjänar granskning.

Uppdatering. FRAs informationschef Anni Bölenius har skickat följande kommentar till mig som gick bra att återpublicera på denna blogg.

Hej Mark!
jag såg att du uppmärksammat artikeln i CS.
Här finner du lite info om hur FRA ser på uppgifterna. http://www.idg.se/2.1085/1.427484/fra-spaning-far-baklaxa
En del av frågorna som tas upp berör områden där förändringar redan är genomförda eller där arbete med förbättringar pågår. Andra synpunkter och kommentarer från Siun, som CS hänvisar till, handlar om tillämpning av gällande lagstiftning och rör frågor där fortsatta diskussioner pågår mellan FRA och Siun.
Det gäller framför allt under vilka förutsättningar rapportering ska ske till berörda myndigheter, däribland Säkerhetspolisen. Saken har diskuterats vid ett möte nyligen, varvid FRA och Siun var överens om att frågorna är principiella till sin karaktär och ska vara föremål för vidare diskussioner mellan FRA och Siun.
FRA avser att inkomma med ytterligare underlag och motiveringar till Siun inom kort.
Vad avser förstöring av uppgifter, så skriver CS att FRA har interna regler som innebär att man ska med hjälp av specialåtgärder återskapa den raderade informationen. Detta är felaktigt.
I stället framgår det av de interna föreskrifterna att det att med förstöring avses en åtgärd som utförs i syfte att radera all information ur ett system på ett sådant sätt att informationen inte utan exceptionella åtgärder går att återskapa. Det är nämligen inte möjligt att på teknisk väg helt förstöra informationen på sådant sätt att den inte går att återskapa.
Det framgår av Siuns protokoll att de har förståelse för de tekniska svårigheterna förknippade med förstöring.
Mot bakgrund av att det är förbjudet har FRA aldrig återskapat information som är förstöringspliktig och har inte för avsikt att göra det.
med vänlig hälsningar
Anni Bölenius Informationschef, FRA
Kommentar: Det verkar mycket riktigt som möjligheten till att återskapa information har en teknisk förklaring. Det är ju bra att FRA delar min uppfattning om hur lagstiftningen ska tolkas i denna del även om det finns dem som fortsatt kommer vara oroliga över att denna tekniska (men ej juridiska) möjlighet att återskapa raderad information finns.

Media
DN