Säkerhetspolisens behandling av personuppgifter

En central målsättning för utredningen har varit att finna en lämplig balans mellan Säkerhetspolisens behov och skyddet för grundläggande fri- och rättigheter enligt regeringsformen och Europakonventionen. Enligt direktiven ska förslagen även vara anpassade till Europarådets moderniserade dataskyddskonvention från år 2018 (dataskyddskonventionen 108+).

Reformbehovet

Säkerhetspolisens uppdrag är främst att förebygga, förhindra och upptäcka brott mot nationell säkerhet

Säkerhetspolisens uppdrag som nationell säkerhetstjänst är att skydda Sveriges grundläggande demokratiska funktioner och den nationella säkerheten. Dess kärnverksamhet syftar till att förebygga, förhindra och upptäcka brottslig verksamhet som innefattar brott mot rikets säkerhet eller terroristbrott. I myndighetens uppdrag ingår även att utreda och lagföra sådan brottslighet. Denna brottslighet utmärks av att den kan få mycket stora konsekvenser för samhället och för enskilda individer. Målet för verksamheten är därför att förhindra att brott överhuvudtaget begås genom att exempelvis avslöja en spion eller en terrorist innan några brottsliga gärningar ens har begåtts.

Såväl spioneri som terrorism bedrivs med nödvändighet i det fördolda och i former som till sin natur är slutna. Det innebär att det sällan finns några anmälningar eller uppslag från allmänheten att utgå ifrån. Säkerhetspolisen måste därför bedriva ett aktivt underrättelsearbete inriktat på att kartlägga personer och miljöer i syfte att förebygga, förhindra och upptäcka brottslig och säkerhetshotande verksamhet.

En förändrad hotbild

Sverige står inför en bredare och alltmer komplex hotbild. Auktoritära stater som Ryssland, Kina och Iran bedriver omfattande säkerhetshotande verksamhet mot Sverige genom underrättelseinhämtning, påverkansoperationer, cyberangrepp samt olovlig teknik- och kunskapsanskaffning. Samtidigt har hotet från våldsbejakande extremism förändrats. Extremistiska budskap får större spridning via digitala plattformar och gränserna mellan våldsbejakande extremism och annan extremism har blivit mer otydliga.

Den nuvarande lagstiftningen är inte anpassad till Säkerhetspolisens verksamhet eller dagens informationsmängder

Säkerhetspolisen har ett särpräglat uppdrag i förhållande till de andra brottsbekämpande myndigheterna. Kärnan i Säkerhetspolisens verksamhet är att som säkerhetstjänst skydda Sveriges säkerhet och det svenska statsskicket mot säkerhetshotande verksamhet. Brottsutredande verksamhet, bestående i att utreda brott och bedriva förundersökning, utgör endast en liten del av detta uppdrag. Säkerhetspolisen intar därför en särställning inom brottsbekämpningen med ett uppdrag som nationell säkerhetstjänst. Trots de stora skillnaderna i myndigheternas uppdrag, mål och metoder har Säkerhetspolisen i stora delar identisk lagstiftning vad gäller behandling av personuppgifter som övriga brottsbekämpande myndigheter.

Säkerhetspolisens uppdrag förutsätter att myndigheten på ett effektivt sätt kan bearbeta och analysera stora mängder information, för att på ett tidigt stadium kunna förebygga, förhindra och upptäcka säkerhetshotande verksamhet. Säpodatalagen reglerar stora delar av denna verksamhet och är därmed påtagligt styrande för myndighetens underrättelseverksamhet och -förmåga.

Informationsmängderna i samhället ökar exponentiellt. Det har förändrat förutsättningarna för Säkerhetspolisens verksamhet. Stora delar av den nuvarande säpodatalagen har överförts från tidigare lagstiftningar och har sitt ursprung i en tid då tekniken och informationsmängderna såg väsentligt annorlunda ut. År 1992 skickades världens första sms. I dag skickas det cirka 500 miljarder textmeddelanden, över olika plattformar, varje dag. Ett it-beslag av en telefon eller dator kan innebära att hundratusentals meddelanden, bilder och dokument behöver bearbetas. Det finns även hot mot Sveriges säkerhet som uppstår och utvecklas i mer öppna former på internet och i olika sociala medier. Både terroristrekrytering, destabiliserande påverkanskampanjer och försök av främmande makt att olovligt anskaffa information sker i dag över internet. För att upptäcka och motverka sådana säkerhetshot krävs att stora informationsmängder behandlas.

Dagens regelverk är emellertid snarare anpassat till 1990-talets informationsmängder än 2020-talets och har svårt att hantera de miljöer där säkerhetshot i dag uppstår och utvecklas. Den nuvarande lagstiftningen tvingar ofta Säkerhetspolisen att radera betydande mängder inhämtad information som kan vara av stor betydelse för myndighetens möjlighet att lösa sitt uppdrag. Den nuvarande säpodatalagen medför nämligen att varje enskild personuppgift ska granskas och bedömas för sig för att få behandlas. Det innebär att myndigheten avstår från att hämta in uppgifter som i och för sig behövs för verksamheten.

Som tydliga begränsningar i nuvarande regelverk kan nämnas:

• Krav på konkret behov och ändamål för varje enskild personuppgift utan beaktande av sammanhang.

• Krav på att alla känsliga personuppgifter ska identifieras och prövas för sig. Sådana uppgifter får behandlas endast om uppgiften är absolut nödvändig.

• För kort längsta tid för behandling med hänsyn till Säkerhetspolisens uppdrag, vilket innebär att viktig information riskerar att gå förlorad.

• Begränsad möjlighet att behandla referensdatabaser eller utveckla moderna tekniska verktyg (som AI).

Reformens inriktning

Avvägning mot grundläggande fri- och rättigheter

Säkerhetspolisens behov av att behandla personuppgifter måste noggrant balanseras mot skyddet för grundläggande fri- och rättigheter. Det svenska statsskickets grunder slås fast i regeringsformen. Där framgår bland annat att den svenska folkstyrelsen bygger på fri åsiktsbildning, att den offentliga makten ska utövas med respekt för alla människors lika värde och för den enskilda människans frihet och värdighet. Vidare anges att det allmänna ska värna den enskildes privatliv och familjeliv.

Utökade möjligheter för Säkerhetspolisen att, genom att bevara information, kartlägga enskildas aktiviteter kan medföra risker för den personliga integriteten. Dessa risker påverkar inte enbart rätten till privatliv utan indirekt även yttrandefriheten och andra opinionsfriheter. Om medborgare uppfattar att olika former av åsiktsyttringar registreras och bevaras av säkerhetstjänsten, kan det få en avhållande inverkan på viljan att använda sina demokratiska rättigheter.

En lagstiftning som syftar till att skydda de demokratiska kärnvärdena får inte samtidigt riskera att undergräva dem. Enligt regeringsformen får begränsningar av grundläggande fri- och rättigheter endast göras genom lag och endast för att tillgodose ändamål som är godtagbara i ett demokratiskt samhälle. Begränsningarna får inte gå utöver vad som är nödvändigt med hänsyn till ändamålet och inte heller sträcka sig så långt att de utgör ett hot mot den fria åsiktsbildningen. Utredningen har lagt stor vikt vid att analysera det förslag som lämnas mot detta krav.

Principerna för en ny lagstiftning

Utredningen föreslår en genomgripande reform av regleringen för Säkerhetspolisens personuppgiftsbehandling. Det centrala elementet är en helt ny säpodatalag som utgår från dataskyddskonventionen 108+ och Europakonventionen i stället för EU-rätten. Detta bygger på ställningstagandet att skyddet av nationell säkerhet är en nationell angelägenhet, där unionen saknar lagstiftningskompetens. Det är därför möjligt att föreslå en lagstiftning som bättre balanserar säkerhetsbehov med integritets- och rättighetsskydd.

Den nya lagstiftningen bygger på följande centrala principer:

• Proportionalitetsprincipen införs som grundläggande krav, där varje behandlingsåtgärd måste vara proportionerlig i förhållande till ändamålet och intrånget i den enskildes fri- och rättigheter.

• Situationsanpassade krav: Mer flexibla regler för ändamål, behov och behandlingstider som bättre motsvarar hur en underrättelse- och säkerhetstjänst faktiskt fungerar. Detta innebär att även till synes perifer information kan sparas över tid när den förekommer i relevanta sammanhang, eftersom sådan information senare kan visa sig avgörande för att upptäcka säkerhetshot.

• Teknikneutral utformning som möjliggör användning av moderna tekniker samtidigt som riskerna med dessa begränsas genom robusta skyddsmekanismer.

• Systemorienterad tillsyn snarare än tillsyn av behandlingen av enskilda personuppgifter, vilket ger en mer effektiv och realistisk tillsyn av stora informationsmängder.

Som ett komplement till säpodatalagen föreslår utredningen en särskild lag, anpassad för behandling av stora informationsmängder. Denna lag innebär ett proportionerligt undantag från vissa dataskyddsprinciper, vilket utredningen bedömt nödvändigt för att skydda nationell säkerhet. Säkerhetspolisen ges därigenom ökade möjligheter att behandla stora mängder information och även uppgifter som inte direkt behövs för uppdraget men som förekommer i sammanhang som är befogade att behandla.

För att motverka riskerna med denna utökade förmåga föreslås förstärkta mekanismer för tillsyn och kontroll med omfattande krav på förhandsprövning av domstol. Tillsynsmyndigheterna ges utökade befogenheter och resurser. De nya lagarna ställer nya krav på hur tillsynen utövas, med större fokus på hur personuppgifter behandlas och behandlingens potentiella effekter än på att granska formalia.

Förslagen skapar ett sammanhängande regelverk som ger Säkerhetspolisen moderna verktyg för att möta en komplex hotbild samtidigt som det upprätthåller rättssäkerhet och värnar grundläggande fri- och rättigheter i ett demokratiskt samhälle.

Huvudsakliga förslag

Ny lag om Säkerhetspolisens behandling av personuppgifter

Utredningen föreslår en ny säpodatalag som helt ersätter den nuvarande lagen från år 2019. De centrala förslagen innebär:

• En proportionalitetsprincip: Införs som ett grundläggande krav för all behandling. Skälet för behandlingen ska väga tyngre än intrånget i enskilda och allmänna intressen.

• Inledande behandling och granskning: Begreppet inledande behandling (insamling, inhämtning etc.) införs. Det ställs lägre krav för inledande behandling än annan behandling. Det får ske om det är befogat för ett ändamål. Efter den inledande behandlingen regleras hur uppgifterna ska granskas (under max sex

månader) för att säkerställa att de får fortsätta att behandlas enligt högre krav. Fortsatt behandling får ske om det behövs för ett särskilt, uttryckligt angivet och berättigat ändamål.

• Ändamål för underrättelseverksamhet: Nuvarande uppräkning av rättslig grund ersätts med verksamheter för personuppgiftsbehandling. Ändamål för behandling ska bestämmas inom någon av dessa verksamheter. Underrättelseverksamheten förtydligas genom att det framgår att personuppgifter får behandlas för att bland annat kartlägga och klarlägga brottslig verksamhet. Det medger behandling av uppgifter som är relevanta på grund av sammanhang och kontext.

• Längre och mer flexibla behandlingstider: Behandlingstid för personuppgifter bestäms vid registrering utifrån behov och proportionalitet. Den längsta behandlingstiden som får bestämmas är 25 år, med undantag för kontraspionage (60 år) och teknisk utveckling (5 år). Förlängning utöver dessa tider kräver ett särskilt beslut och en underrättelse till Säkerhets- och integritetsskyddsnämnden. Det införs en särskild regel om att barns uppgifter ska ges ett särskilt starkt skydd vid bestämmande av behandlingstid.

• Kvalitetskrav: Kraven på adekvans, relevans och uppgiftsminimering bibehålls men tillämpas inte före det att uppgifterna kunnat granskas.

• Känsliga personuppgifter: Ett förbud mot behandling som enbart grundar sig på känsliga personuppgifter. Dagens krav på absolut nödvändighet tas bort, men förekomst av känsliga uppgifter ska påverka proportionalitetsprövningen. Ett högre krav ställs för sökningar och sammanställningar grundade på känsliga uppgifter. Sådant urval får endast ske om skälen uppenbart överväger intrånget.

• Privilegierade uppgifter: Ett absolut förbud införs mot att behandla uppgifter som omfattas av meddelarskydd enligt tryckfrihetsförordningen och yttrandefrihetsgrundlagen. Detsamma gäller förtrolig kommunikation mellan en misstänkt och dennes försvarare. Detta utgör en nyhet i den nya lagen som begränsar Säkerhetspolisens möjligheter att samla information som är särskilt känslig från ett rättighetsperspektiv.

• Teknikutveckling: Tillåts uttryckligen som ändamål för personuppgiftsbehandling, men uppgifter som samlats in enbart för detta ändamål får inte användas operativt.

• Automatiserat beslutsfattande: Förbjuds om det har betydande påverkan på den enskilde.

Förändringarna innebär att Säkerhetspolisen får en lag som är anpassad till myndighetens uppdrag. Utredningen har strävat efter en transparent lag som ska reglera den faktiska verksamheten och som inte innehåller bestämmelser som leder till omotiverade administrativa uppgifter. Förslaget frångår den nuvarande lagstiftningens koppling till EU-rättens förlagor och vad som gäller för övriga brottsbekämpande myndigheter. Lagförslaget innebär en avvägning på nationell nivå mellan behovet av skydd för nationell säkerhet och skydd för andra enskilda eller allmänna intressen. Utredningen bedömer att lagen är förenlig med dataskyddskonventionen 108+.

Ny lag om behandling av personuppgifter i särskilda uppgiftssamlingar

Utredningen föreslår även en helt ny lag med kompletterande bestämmelser om behandling av personuppgifter i särskilda uppgiftssamlingar:

• Syfte: Möjliggöra hantering av stora, inledningsvis ofta ostrukturerade, informationsmängder där granskning enligt säpodatalagen inte är möjlig. Lagen kompletterar och gör undantag från den nya säpodatalagen. Lagen innebär att Sverige utnyttjar möjligheten till undantag från vissa av dataskyddskonventionens bestämmelser. Sådana undantag är nödvändiga för att skydda nationell säkerhet.

• Registrering: Uppgifter får registreras i en särskild uppgiftssamling efter ett motiverat beslut. Samma krav ska gälla för registrering som för inledande behandling (befogat). Beslutet ska bland annat beskriva källan, ändamålet, och vilket intrång i enskilda och allmänna intressen som behandling av uppgifterna kan antas medföra. Behandlingstid bestäms vid registrering

(max 10 år, förlängning möjlig upp till 25 år, eller längre vid synnerliga skäl).

• Framtagningsförbud: Huvudregeln är att uppgifter i en särskild uppgiftssamling inte får tas fram (läsas, tillgängliggöras). Detta utgör den centrala skyddsmekanismen.

• Tillstånd för framtagning: Uppgifter får tas fram endast efter tillstånd från Försvarsunderrättelsedomstolen. Av ansökan ska bland annat framgå ändamål, behov samt vilka sökbegrepp och teknik för urval som ska användas. Domstolen gör en fullständig legalitets-, behovs- och proportionalitetsprövning. Alla tillstånd är tidsbegränsade.

• Sekretess: Absolut sekretess föreslås gälla för uppgifterna så länge de behandlas i en särskild uppgiftssamling, både till skydd för enskild och för verksamheten.

• Användningsbegränsning: Uppgifter som tagits fram från en särskild uppgiftssamling får inte användas för att utreda brott, exempelvis i en förundersökning.

De rättssäkerhetsmekanismer som införs är omfattande och minst lika starka som de som gäller för signalspaning (ett system som har prövats i Europadomstolen). Utredningen bedömer därför att förslaget är förenligt med Europakonventionen.

Förstärkt tillsyn

De utökade möjligheterna att behandla personuppgifter förutsätter en förstärkning av tillsynen. Utredningen föreslår att den nuvarande parallella tillsynen genom Integritetsskyddsmyndigheten och Säkerhets- och integritetsskyddsnämnden bibehålls, men med tydligare roller och förstärkta befogenheter:

• Säkerhets- och integritetsskyddsnämnden utpekas i lagen som särskild tillsynsmyndighet.

• Nämnden och Säkerhetspolisen får en skyldighet att löpande samverka i frågor som rör Säkerhetspolisens skyldigheter som personuppgiftsansvarig.

• För att möta utmaningarna med ökad teknisk komplexitet får Säkerhetspolisen en skyldighet att i skälig omfattning vidta nödvändiga tekniska åtgärder för att möjliggöra effektiv tillsyn.

• Nämnden och Försvarsunderrättelsedomstolen utgör delar av samma kontrollsystem. Nämnden ska yttra sig över Säkerhetspolisens ansökan om tillstånd till att ta fram uppgifter ur en särskild uppgiftssamling. En sekretessbrytande bestämmelse införs för att domstolen ska kunna ta del av all relevant utredning vid prövningen.

• Nämnden får en ny korrigerande befogenhet att besluta om omedelbar radering av uppgifter som tagits fram från en särskild uppgiftssamling utan tillstånd eller i strid med tillstånd.

• Beslut om förelägganden eller förbud från Integritetsskyddsmyndigheten ska överklagas till Försvarsunderrättelsedomstolen.

• Nämnden tillförs betydande ekonomiska resurser och ges möjlighet att förstärka sig med teknisk kompetens för att kunna utöva en effektiv tillsyn över bland annat nya behandlingsmetoder.

Förändringarna syftar till ett robust och oberoende tillsynssystem som säkerställer att personuppgiftsbehandlingen sker i enlighet med de nya lagkraven. En effektiv tillsyn bidrar därmed till att upprätthålla rättssäkerheten och det allmänna förtroendet för Säkerhetspolisens personuppgiftsbehandling.

Ikraftträdande och övergångsbestämmelser

Utredningen föreslår att de nya lagarna träder i kraft den 1 januari 2027. Detta ger Säkerhetspolisen och tillsynsmyndigheterna tillräcklig tid att genomföra nödvändiga anpassningar av tekniska system, rutiner och arbetssätt. Även Försvarsunderrättelsedomstolen får nya uppgifter med anledning av förslaget. Reformen innebär omfattande förändringar både organisatoriskt och tekniskt, vilket kräver grundlig förberedelse.

För att säkerställa en smidig övergång föreslås att personuppgifter som redan behandlas vid ikraftträdandet får fortsätta att behandlas enligt den äldre lagen fram till och med den 31 december 2029. Under denna treåriga övergångsperiod ska Säkerhetspolisen successivt anpassa sin befintliga personuppgiftsbehandling till de nya regelverken. För nya personuppgifter som behandlas efter ikraftträdandet ska dock de nya lagarna tillämpas omedelbart.

Detta stegvisa införande balanserar behovet av att snabbt införa ett modernare regelverk mot Säkerhetspolisens förmåga att upprätthålla sin verksamhet under övergångsperioden.

Summary 1

The Assignment

The purpose of this investigation has been to conduct a review of the provisions regarding the Security Police’s processing of personal data in the field of national security. Such rules are found in the Security Police Data Act. The goal has been to develop a more modern and appropriate regulatory framework adapted to current conditions. The assignment has included:

• Mapping the Security Police’s legal authority to process personal data.

• Identifying how the current regulatory framework hinders efficient information management.

• Developing proposals for more efficient information management while maintaining protection of personal privacy.

• Ensuring effective supervision.

A central objective of the investigation has been to find an appropriate balance between the Security Police’s needs and the protection of fundamental rights and freedoms under the Instrument of Government and the European Convention on Human Rights. According to the directives, the proposals should also be adapted to the Council of Europe’s Modernised Convention for the Protection of Individuals with Regard to the Processing of Personal Data, from 2018 (Data Protection Convention 108+).

The Need for Reform

The Security Police’s mission is primarily to prevent, pre-empt and detect crimes against national security

The Security Police’s mission as a national security service is to protect Sweden’s fundamental democratic functions and national security. Its core activities aim to prevent, pre-empt and detect criminal activities that include crimes against national security or terrorist offenses. The authority’s duties also include investigating and prosecuting such crimes. These crimes are characterized by their potential to have very severe consequences for society and individuals. Therefore, the goal of the operations is to prevent crimes from being committed at all, for example by exposing a spy or a terrorist before any crime has even been committed.

Both espionage and terrorism are necessarily using methods that are inherently covert. This means that there are rarely any reports or leads from the public. The Security Police must therefore conduct active intelligence work focused on mapping individuals and environments with the aim of preventing, pre-empting and detecting criminal and security -threatening activities.

A changed threat landscape

Sweden faces a broader and increasingly complex threat landscape. Authoritarian states such as Russia, China, and Iran conduct extensive security-threatening activities against Sweden through intelligence gathering, influence operations, cyberattacks, and illegal acquisition of technology and knowledge. At the same time, the threat from violent extremism has evolved. Extremist messages spread more widely via digital platforms, and the boundaries between violent extremism and other forms of extremism have become increasingly blurred.

The current legislation is not adapted to the Security Police’s operations or today’s information volumes

The Security Police has a distinctive mission compared to other law enforcement agencies. The core of the Security Police’s operations is to protect Sweden’s security and constitutional order against security-threatening activities, acting in its capacity as a security service. Criminal investigative activities, consisting of investigating crimes and conducting preliminary investigations, constitute only a small part of this mission. The Security Police therefore holds a special position within law enforcement, with a mission as a national security service. Despite the major differences in the authorities’ missions, goals, and methods, the Security Police is largely subject to the same legislation regarding the processing of personal data as other law enforcement authorities.

The Security Police’s mission requires that the authority be able to efficiently process and analyze large volumes of information in order to prevent, pre-empt and detect security-threatening activities at an early stage. The Security Police Data Act regulates large parts of this activity and is therefore significant in shaping the authority’s intelligence operations and capabilities.

The volume of information in society is increasing exponentially. This has changed the conditions for the Security Police’s operations. Large parts of the current Security Police Data Act have been carried over from previous legislation and originate from a time when technology and information volumes were substantially different. In 1992, the world’s first SMS was sent. Today, approximately 500 billion text messages are sent across different platforms every day. An IT seizure of a phone or computer can result in hundreds of thousands of messages, images, and documents that must be processed. There are also threats to Sweden’s security that arise and develop in more open environments on the internet and across various social media platforms. Today, terrorist recruitment, destabilising influence campaigns, and attempts by foreign powers to unlawfully acquire information occur online. To detect and counter such security threats, large volumes of information must be processed.

However, the current regulatory framework is designed for the information volumes of the 1990s rather than those of the 2020s and struggles to cope with the environments where security threats now emerge and develop. The current legislation often forces the Security Police to delete significant amounts of collected information that could be of great importance for the authority’s ability to fulfil its mission. The current Security Police Data Act requires that each personal data item be reviewed and assessed individually in order to be processed. This means that the authority refrains from collecting data that is, in fact, necessary for its operations.

Clear limitations in the current regulatory framework include the following:

• Requirements for a specific need and purpose for each personal data item, without consideration of context.

• Requirements that all sensitive personal data shall be identified and assessed individually. Such data may only be processed if the specific data item is strictly necessary.

• A maximum processing time that is too short given the Security Police’s mission, which means that important information risks being lost.

• Limited ability to process reference databases or to develop modern technical tools (including AI).

The Direction of Reform

Balance against fundamental rights and freedoms

The Security Police’s need to process personal data must be carefully balanced against the protection of fundamental rights and freedoms. The foundations of Sweden’s constitutional order are established in the Instrument of Government. It states, among other things, that Swedish democracy is founded on the free formation of opinion, that public power shall be exercised with respect for the equal worth of all people and for the freedom and dignity of the individual. Furthermore, it states that the public sector shall protect the privacy and family life of individuals.

Enhanced capabilities for the Security Police to map individuals’ activities by retaining information can pose risks to personal privacy. These risks affect not only the right to privacy but indirectly also freedom of expression and other freedoms of opinion. If citizens perceive that different forms of expression of opinion are registered and preserved by the security service, it can discourage citizens from exercising their democratic rights. Legislation aimed at protecting democratic core values must not simultaneously risk undermining them. According to the Instrument of Government, restrictions on fundamental rights and freedoms may only be made by law and only to satisfy purposes that are acceptable in a democratic society. The restrictions must not go beyond what is necessary with regard to the purpose, nor extend so far as to constitute a threat to the free formation of opinion. The investigation has placed great emphasis on analyzing the proposal against this requirement.

Principles for new legislation

The investigation proposes a comprehensive reform of the regulations for the Security Police’s processing of personal data. The central element is an entirely new Security Police Data Act based on Data Protection Convention 108+ and the European Convention on Human Rights instead of EU law. This is based on the position that the protection of national security is a national matter, in which the union lacks legislative competence. It is therefore possible to propose legislation that better balances security needs with privacy and the protection of rights.

The new legislation is based on the following central principles:

• The principle of proportionality is introduced as a fundamental requirement, where each processing measure must be proportionate to the purpose and the intrusion into the individual’s rights and freedoms.

• Situation-specific requirements providing more flexibility regarding purpose, need, and processing times that better reflect how an intelligence and security service functions. This means that even seemingly peripheral information can be retained over time when it appears in relevant contexts, because such information may later prove crucial for detecting security threats.

• Technology-neutral design that enables the use of modern technologies while limiting the risks through robust protective mechanisms.

• System-oriented supervision rather than supervision of individual personal data processing, which provides more effective and realistic oversight of large volumes of information.

As a complement to the Security Police Data Act, the investigation proposes a special law, adapted for processing large volumes of information. This law represents a proportionate exception to certain data protection principles, which the investigation has deemed necessary to protect national security. The Security Police is therefore granted expanded possibilities to process large amounts of information, including data that is not directly needed for the mission but appears in contexts that are justified to process.

To counter the risks associated with this enhanced capability, strengthened mechanisms for supervision and control, with extensive requirements for preliminary judicial review, are proposed.

The supervisory authorities are given expanded powers and resources. The new laws place new demands on how supervision is exercised, with greater focus on how personal data is processed and the potential effects of the processing, rather than on reviewing formalities.

The proposals create a coherent regulatory framework that gives the Security Police modern tools to meet a complex threat landscape while maintaining the rule of law and safeguarding fundamental rights and freedoms in a democratic society.

Main Proposals

New law on the Security Police’s processing of personal data

The investigation proposes a new Security Police Data Act that completely replaces the current law from 2019. The central provisions include:

• A principle of proportionality: Introduced as a fundamental requirement for all processing. The reason for processing must outweigh the intrusion into individual and public interests.

• Initial processing and review: The concept of initial processing (collection, acquisition, etc.) is introduced. Lower requirements are set for initial processing than for subsequent processing. It may occur if it is justified for a purpose. After the initial processing, regulations specify how the data should be reviewed (for a maximum of six months) to ensure that it may continue to be processed, according to stricter requirements. Continued processing may occur if it is needed for a specific, explicitly stated, and legitimate purpose.

• Purposes for intelligence activities: The current enumeration of legal grounds is replaced with defined categories of activities for personal data processing. Purposes for processing must be linked to one of these activities. Intelligence activities are clarified by stating that personal data may be processed to, among other things, map and clarify criminal activities. This allows for the processing of data that is relevant due to context and connections.

• Longer and more flexible processing times: Processing time for personal data is determined at registration based on need and proportionality. The maximum processing time that may be determined is 25 years, with exceptions for counterespionage (60 years) and technical development (5 years). Extensions beyond these times require a special decision and notification to the Swedish Commission on Security and Integrity Protection. A special rule is introduced that children’s data shall be given particularly strong protection when determining the processing period.

• Quality requirements: The requirements for adequacy, relevance, and data minimization are maintained but not applied before the data has been reviewed.

• Sensitive personal data: A prohibition is introduced against processing solely based on sensitive data. Today’s requirement for absolute necessity is removed, but the presence of sensitive data shall affect the proportionality assessment. A stricter requirement is placed on searches and compilations based on sensitive data. Such processing may only occur if the reasons clearly outweigh the intrusion.

• Privileged personal data: An absolute prohibition is introduced against processing data covered by source protection under the Freedom of the Press Act and the Fundamental Law on Freedom of Expression. The same applies to confidential communication between a suspect and their defence counsel. This constitutes a new feature in the new law that limits the Security Police’s ability to collect information that is particularly sensitive from a rights perspective.

• Technology development: Explicitly allowed as a purpose for personal data processing, but data collected solely for this purpose may not be used operationally.

• Automated decision-making: Prohibited if it has a significant impact on the individual.

The changes mean that the Security Police will have a law adapted to the authority’s mission. The investigation has aimed to create a transparent law that regulates the actual operations and does not contain provisions that lead to unjustified administrative tasks. The proposal deviates from the current legislation’s connection to EU law frameworks and from what applies to other law enforcement authorities. The legislative proposal represents a balance at the national level between the need for protection of national security and the protection of other individual or public interests. The investigation concludes that the law is compatible with Data Protection Convention 108+.

New law on processing of personal data in special data collections

The investigation also proposes an entirely new law with supplementary provisions on the processing of personal data in special data collections:

• Purpose : To enable the handling of large, initially often unstructured, volumes of information where review in accordance with the Security Police Data Act is not possible. The law complements and provides exceptions to the new Security Police Data Act. It allows Sweden to make use of the possibility of exemptions from certain provisions of the Data Protection Convention. Such exceptions are necessary to protect national security.

• Registration: Data may be registered in a special data collection based on a justified decision. The same requirements shall apply to registration as to initial processing (justified). The decision shall, among other things, describe the source, purpose, and the expected impact on individual and public interests resulting from the processing of the data. The Processing time is set at registration (maximum 10 years, extendable up to 25 years, or longer in extraordinary circumstances).

• Retrieval prohibition: The main rule is that data in a special data collection may not be retrieved (read, made available). This constitutes the central protective mechanism.

• Permission for retrieval: Data may only be retrieved with permission from the Swedish Foreign Intelligence Court (Försvarsunderrättelsedomstolen). The application shall, among other things, state the purpose, need, and what search terms and selection technology will be used. The court conducts a comprehensive assessment of legality, necessity, and proportionality. All permissions are time-limited.

• Secrecy: Absolute secrecy is proposed to apply to the data as long as it is processed in a special data collection, to protect both individuals and operations.

• Usage limitation: Data retrieved from a special data collection may not be used to investigate crimes, for example in a preliminary investigation.

The rule-of-law safeguards that are introduced are extensive and at least as strong as those that apply to signals intelligence (a system that has been tested before the European Court of Human Rights). The investigation therefore concludes that the proposal is compatible with the European Convention on Human Rights.

Strengthened supervision and court control

The enhanced possibilities to process personal data require a strengthening of supervision. The investigation proposes that the current parallel supervision through the Swedish Authority for Privacy Protection and the Swedish Commission on Security and Integrity Protection be maintained, but with clearer roles and strengthened powers:

• The Commission on Security and Integrity Protection is designated by law as a special supervisory authority.

• The Commission and the Security Police have a duty to collaborate continuously on issues concerning the Security Police’s obligations as a data controller.

• To meet the challenges of increased technical complexity, the Security Police is required to take necessary technical measures to a reasonable extent to enable effective supervision.

• The Commission and the Foreign Intelligence Court are parts of the same oversight system. The Commission shall issue an opinion on the Security Police’s application for permission to retrieve data from a special data collection. A statutory exemption from confidentiality is introduced so that the court can access all relevant material during the review.

• The Commission is given a new corrective power to decide on immediate deletion of data that has been retrieved from a special data collection without permission or in violation of permission.

• Decisions on injunctions or prohibitions issued by the Swedish Authority for Privacy Protection shall be appealed to the Foreign Intelligence Court.

• The Commission is provided with significant financial resources and given the possibility to strengthen its capacity with technical expertise, in order to exercise effective supervision of, among other things, new methods of processing.

The changes aim at a robust and independent supervisory system that ensures that personal data processing is carried out in accordance with the new legal requirements. Effective supervision thus contributes to maintaining the rule of law and public confidence in the Security Police’s processing of personal data.

Entry into force and transitional provisions

The investigation proposes that the new laws enter into force on 1 January 2027. This gives the Security Police and supervisory authorities sufficient time to implement necessary adaptations to technical systems, routines, and working methods. The Foreign Intelligence Court also receives new tasks as a result of the proposal. The reform involves extensive changes both organizationally and technically, which requires thorough preparation.

To ensure a smooth transition, it is proposed that personal data already being processed at the time the new laws take effect may continue to be processed under the older law until 31 December 2029. During this three-year transitional period, the Security Police shall gradually adapt its existing personal data processing to the new regulatory frameworks. For new personal data processed after the entry into force, however, the new laws shall apply immediately.

This gradual introduction strikes a balance between the need to swiftly establish a more modern regulatory framework and the Security Police’s ability to maintain operational continuity during the transitional period.