På tisdagen offentliggjorde Datainspektionen (DI) sin nästa två år långa granskning av hur Försvarets radioanstalt (FRA) hanterar personuppgifter. ”Myndighetens intryck efter granskningen är på det hela taget positiv”, skriver Datainspektionen som också påpekar flera brister.
– FRA har efter påpekande från oss gjort flera förbättringar av sina rutiner för hur personuppgifter hanteras i underrättelseverksamheten. Vi bedömer att det finns en hög medvetandegrad om signalspaningslagen när det gäller integritetsskydd, säger Datainspektionens granskningsansvarige Nicklas Hjertonsson.
Men DI har också funnit flera brister i FRA:s verksamhet i de delar som föranleder särskilda hänsyn till personuppgiftshantering. Bland annat bedömer man att möjligheten till signalspaning av kabelbaserad kommunikation är större än det som finns i den eterbundna kommunikationen. Kablarna innehåller mer information och kommunikationstekniken är mer föränderlig till sin karaktär.
– Då anser vi att FRA måste bli bättre än i dag på att selektera just den trafik som är av betydelse för de uppdrag som man ska lösa, så att bara den relevanta och tillåtna trafiken samlas in. Det pågår ett arbete för att vässa metoderna för det, men ytterligare åtgärder bör vidtas i den riktningen, säger Nicklas Hjertonsson.
Är det underlåtelse eller har FRA inte bara hunnit med?
– Vår bedömning är att de är komplicerade tekniska processer som FRA arbetar med. Men när det gäller kabelburen trafik är man inte färdig. Det måste både säkerställas en större precision i trafikinsamlandet och att inte inhemsl trafik samlas in, det vill säga sådan där både avsändare och mottagare är inom landets gränser. Den delen har vi sett är svårare att genomföra med samma säkerhet som vid satellitburen trafik.
Som exempel på FRA:s vidtagna åtgärder efter DI:s påpekande nämner Nicklas Hjertonsson trafikdata, det vill säga uppgifter om avsändare, mottagare och uppgifter om meddelanden (inte innehållet). FRA inhämtar trafikdata både för sin försvarunderrättelse - och utvecklingsverksamhet. DI bedömer det som en relativt hög sannolikhet att sådan information sparas för de personer som kommunicerar med signalbärare som omfattas av FRA:s tillstånd.
– Den databasen kan analytikerna vid FRA söka i. De sökningarna måste vara befogade utifrån uppdraget, men vi har tyckt att skyddet för de uppgifterna har varit bristfälligt. FRA har därför infört en loggkontroll som vi i och för sig anser behöver förstärkas ytterligare för att undvika otillbörliga intrång i den personliga integriteten, säger Nicklas Hjertonsson.
Ingvar Åkesson, generaldirektör på FRA, säger i ett pressmeddelande att det är bra att en extern kontrollinstans bekräftar att myndighetens personuppgiftsbehandling endast sker för de syften som är tillåtna.
– Med tanke på debatten de senaste åren är det också bra att det tydligt framgår att vi inte förser de brottsbekämpande myndigheterna med information om till exempel fildelning, eller arbetar med övervakning av internetanvändande i största allmänhet, säger Ingvar Åkersson.
– Vi kommer nu att studera de synpunkter som Datainspektionen lämnat, och se på vilket sätt vi kan förbättra integritetsskyddet ytterligare.
DI har sedan regeringens beslut den 12 februari 2009 granskat FRA:s hantering av personuppgifter enligt den nya signalspaningslagen. Fokus har legat på de delar som berör eventuella problem med den personliga integriteten. Tre jusrister och två it-säkerhetsspecialister står för DI:s rapport som överlämnades till regeringen på måndagskvällen.