Sagsbehandler: PAH Sagsnummer: 2012/002293 13. maj 2013 Indledning Retningslinjer for behandling af personoplysninger m.v. i Center for Cybersikkerhed ved Forsvarets Efterretningstjeneste Forsvarets Efterretningstjeneste (FE) er national it-sikkerhedsmyndighed og varetager gennem Center for Cybersikkerhed (CFCS) denne opgave med respekt for retssikkerheden og den personlige frihed. CFCS virksomhed omfatter herudover i udgangspunktet statens varslingstjeneste for internettrusler (GovCERT), informationssikkerhed og beredskab på teleområdet samt forsvarets it-sikkerhedsmyndighed, herunder den militære varslingstjeneste for internettrusler mv. (MILCERT). CFCS udgør sektor C under FE, og CFCS behandling af personoplysninger er dermed ikke omfattet af lov om behandling af personoplysninger (persondataloven), jf. lovens 2, stk. 11. Formålet med CFCS virksomhed er ikke behandling af personoplysninger, men det kan imidlertid ikke undgås, at personoplysninger bliver behandlet i et vist om end begrænset omfang i forbindelse med udførelsen af CFCS opgaver. I lyset heraf skal chefen for FE sikre, at medarbejderne, der virker inden for CFCS, følger de nedenfor angivne retningslinjer for behandling af personoplysninger m.v. og dertilhørende kontrol. HOLMENS KANAL 42 TELEFON: 33 92 33 20 MAIL: FMN@FMN.DK CVR: 25-77-56-35 1060 KØBENHAVN K TELEFAX: 33 32 06 55 WEB: www.fmn.dk EAN: 5798000201200
Generelle bestemmelser 1. Retningslinjerne finder anvendelse ved behandling af personoplysninger m.v. i Center for Cybersikkerhed (CFCS), jf. dog 4, stk. 2 og 3. 2. Definitionerne i persondatalovens 3 finder tilsvarende anvendelse på retningslinjerne. 3. CFCS afgiver på Forsvarsministeriets anmodning en redegørelse for centerets behandling af personoplysninger. GovCERT 4. GovCERT er en del af CFCS og varetager driften af den statslige varslingstjeneste for internettrusler i henhold til lov om behandling af personoplysninger ved driften af den statslige varslingstjeneste for internettrusler m.v. (GovCERT-loven). Stk. 2. For GovCERT finder retningslinjerne anvendelse på den del af GovCERT s virke, der ikke er omfattet af GovCERT-loven, jf. dog stk. 3. Stk. 3. Retningslinjernes 5 og 6 finder anvendelse på GovCERT s virke i henhold til GovCERT-loven. 5. Den særlige tavshedspligt for personer, der virker inden for GovCERT, jf. GovCERTlovens 5, stk. 2, omfatter også personer, der i udførelsen af en konkret opgave i henhold til aftale virker inden for GovCERT. Aftalen skal indeholde en angivelse af omfanget af den tavshedspligt, som personen er underlagt (tavshedspligterklæring). Stk. 2. Alene personer, der virker inden for GovCERT, har adgang til GovCERT s itsystemer, hvor der sker behandling af trafik- og pakkedata, jf. GovCERT-lovens 3, nr. 1 og 2. 6. Trafikdata, jf. GovCERT-lovens 3, nr. 2, må uanset GovCERT-lovens 6, nr. 3, kun videregives til FE s efterretningsmæssige virksomhed i helt særlige tilfælde, f.eks. i forbindelse med sikkerhedshændelser eller mistanke herom, hvor sikkerhedshændelserne har en sådan karakter, at GovCERT har behov for FE s særlige kompetencer eller viden. Stk. 2. Vurderingen af, om en videregivelse af trafikdata til FE s efterretningsmæssige virksomhed er nødvendig i henhold til varslingstjenestens formål og aktiviteter, jf. GovCERTlovens 6, nr. 3, foretages af chefen for CFCS eller en af denne udpeget person. 7. CFCS bistår det uafhængige tilsyn, der i henhold til GovCERT-lovens 7 følger Gov- CERT s virksomhed. Side 2/5
MILCERT 8. MILCERT er en del af CFCS og varetager driften af den militære varslingstjeneste for internettrusler m.v. 9. Pakkedata, jf. GovCERT-lovens 3, nr. 1, som MILCERT modtager fra GovCERT i overensstemmelse med GovCERT-lovens 6, nr. 2, må ikke videregives fra MILCERT til andre, herunder til FE s efterretningsmæssige virksomhed. Behandlingsgrundlag og behandlingssikkerhed ved behandling af personoplysninger i CFCS 10. Oplysninger skal behandles i overensstemmelse med god databehandlingsskik. Stk. 2. Indsamling af oplysninger skal ske til udtrykkeligt angivne og saglige formål, og senere behandling må ikke være uforenelig med disse formål. Senere behandling af oplysninger, der alene sker i historisk, statistisk eller videnskabeligt øjemed, anses ikke for uforenelige med de formål, hvortil oplysningerne er indsamlet. Stk. 3. Oplysninger, som behandles, skal være relevante og tilstrækkelige og ikke omfatte mere, end hvad der kræves til opfyldelse af de formål, hvortil oplysningerne indsamles, og de formål, hvortil oplysningerne senere behandles. Stk. 4. Behandling af oplysninger skal tilrettelægges således, at der foretages fornøden ajourføring af oplysningerne. Der skal endvidere foretages den fornødne kontrol for at sikre, at der ikke behandles urigtige eller vildledende oplysninger. Oplysninger, der viser sig urigtige eller vildledende, skal snarest muligt slettes eller berigtiges. Stk. 5. Indsamlede oplysninger må ikke opbevares på en måde, der giver mulighed for at identificere den registrerede i et længere tidsrum end det, der er nødvendigt af hensyn til de formål, hvortil oplysningerne behandles. 11. Behandling af oplysninger må kun finde sted, hvis 1) den registrerede har givet sit udtrykkelige samtykke hertil, 2) behandlingen er nødvendig af hensyn til opfyldelsen af en aftale, som den registrerede er part i, eller af hensyn til gennemførelse af foranstaltninger, der træffes på den registreredes anmodning forud for indgåelse af en sådan aftale, 3) behandlingen er nødvendig for at overholde en retlig forpligtelse, som påhviler den dataansvarlige, 4) behandlingen er nødvendig for at beskytte den registreredes vitale interesser, 5) behandlingen er nødvendig af hensyn til udførelsen af en opgave i samfundets interesse, 6) behandlingen er nødvendig af hensyn til statens sikkerhed og rigets forsvar, Side 3/5
7) behandlingen er nødvendig af hensyn til udførelsen af en opgave, der henhører under offentlig myndighedsudøvelse, som den dataansvarlige eller en tredjemand, til hvem oplysningerne videregives, har fået pålagt, eller 8) behandlingen er nødvendig for, at den dataansvarlige eller den tredjemand, til hvem oplysningerne videregives, kan forfølge en berettiget interesse og hensynet til den registrerede ikke overstiger denne interesse. 12. Der må ikke behandles oplysninger om racemæssig eller etnisk baggrund, politisk, religiøs eller filosofisk overbevisning, fagforeningsmæssige tilhørsforhold og oplysninger om helbredsmæssige og seksuelle forhold. Stk. 2. Bestemmelsen i stk. 1 finder ikke anvendelse, såfremt 1) den registrerede har givet sit udtrykkelige samtykke til en sådan behandling, 2) behandlingen er nødvendig for at beskytte den registreredes eller en anden persons vitale interesser i tilfælde, hvor den pågældende ikke fysisk eller juridisk er i stand til at give sit samtykke, 3) behandlingen vedrører oplysninger, som er blevet offentliggjort af den registrerede, eller 4) behandlingen er nødvendig for, at et retskrav kan fastsættes, gøres gældende eller forsvares. Stk. 3. Undtagelse fra stk. 1 kan gøres, hvis behandlingen af oplysninger sker af grunde, der vedrører hensynet til vigtige samfundsmæssige interesser, herunder statens sikkerhed og rigets forsvar. 13. Der må ikke behandles oplysninger om strafbare forhold, væsentlige sociale problemer og andre rent private forhold end de i 12, stk. 1, nævnte, medmindre det er nødvendigt for varetagelsen af CFCS opgaver. Stk. 2. De i stk. 1 nævnte oplysninger må ikke videregives, medmindre 1) den registrerede har givet sit udtrykkelige samtykke til videregivelsen, 2) videregivelsen sker til varetagelse af private eller offentlige interesser, der klart overstiger hensynet til de interesser, der begrunder hemmeligholdelse, herunder hensynet til den, oplysningen angår, 3) videregivelsen er nødvendig for udførelsen af en myndigheds virksomhed eller påkrævet for en afgørelse, som myndigheden skal træffe, eller 4) videregivelsen er nødvendig for udførelsen af en persons eller virksomheds opgaver for det offentlige. 14. Såfremt CFCS udfører arbejde under en dataansvarlig eller en databehandler og i den forbindelse får adgang til oplysninger, må centeret kun behandle disse efter instruks fra den dataansvarlige, medmindre andet følger af lov eller bestemmelser fastsat i medfør af lov. Side 4/5
Stk. 2. CFCS skal træffe de fornødne tekniske og organisatoriske sikkerhedsforanstaltninger mod, at oplysninger hændeligt eller ulovligt tilintetgøres, fortabes eller forringes, samt mod, at de kommer til uvedkommendes kendskab, misbruges eller i øvrigt behandles retsstridigt. Stk. 3. For oplysninger, som behandles for den offentlige forvaltning, og som er af særlig interesse for fremmede magter, skal der træffes foranstaltninger, der muliggør bortskaffelse eller tilintetgørelse i tilfælde af krig eller lignende forhold. Nick Hækkerup / Thomas Kvistholm Thrane Side 5/5