prop · GQ03110 · 2003-03-27 00:00:00 — I ingresspunkt 20 i direktivet nämns som exempel på när tjänstetillhandahållaren inte är ansvarig för säkerheten användning av särskilda typer av program eller krypterings- teknik. Konkreta exempel skulle därför kunna vara upplysning om an- vändning av kryptering för mobiltelefoni eller trafik över Internet. PTS har i en rapport av redovisat ett regerings- uppdrag angående förutsättningarna för att enligt telelagen utföra aktiv IT-kontroll. Enligt rapporten används begreppet aktiv IT-kontroll som en benämning på ett stort antal skilda aktiviteter för kontroll av egna IT-system i syfte att påvisa brister i säkerheten i nätverk, brandväggar etc. och identifiera svaga punkter i de aktuella IT-systemen. Rapporten kommenterades av utredningen. Regeringen delar utredningens bedöm- ning beträffande aktiv IT-kontroll som sker i varje fall inom men även via ett allmänt tillgängligt kommunikationsnät. Det innebär att lagens bestämmelser givetvis gäller även för dem som avser att genomföra så- dan kontroll. Något undantag bör dock inte vara aktuellt för sådan verk- samhet utan denna måste i stället ske så att lagen inte överträds. Skydd för hemligheten för elektroniska meddelanden Regeringens förslag: Med undantag för vad som stadgas om behand- ling av trafikuppgifter och tystnadsplikt får inte någon annan än be- rörda användare ta del av eller på annat sätt behandla uppgifter i ett elektroniskt meddelande som överförs i ett allmänt kommunikations- nät eller med en allmänt tillgänglig elektronisk kommunikationstjänst, eller trafikuppgifter som hör till detta meddelande, om inte en av an- vändarna har samtyckt till behandlingen. Förbudet att behandla sådana uppgifter innebär inte något hinder mot nödvändig mellanlagring, så- dan lagring som sker endast för att effektivisera fortsatt överföring till andra mottagare (s.k. cachning) eller mot att i radiomottagare avlyssna eller på annat sätt med användande av sådan mottagare få tillgång till ett radiobefordrat elektroniskt meddelande som inte är avsett för den som avlyssnar eller för allmänheten. Utredningens förslag: Överensstämmer i princip med regeringens Dock föreslog utredningen även ett undantag för viss inspelning Remissinstanserna: Datainspektionen anför att utredningens förslag går längre än vad som är tänkt med direktivets bestämmelser. makten anser att förslaget till förbud mot avlyssning utformats på ett sätt som omöjliggör den signalkontroll som Försvarsmaktens signalskydds- tjänst utför för olika slag av informationsoperationer. enligt Försvarsmakten inspelning av samtal även av den som tar del i ett samtal, vilket innebär problem för Försvarsmaktens säkerhetstjänst. påpekar det inte får råda tvivel om att det är allmänt tillåtet att spela in ett telefonsamtal om endera parten känt till band- ningen. TeliaSonera menar att utredningens förslag begränsar möjlighe- ten att använda sig av cachning-funktionen till nackdel för svenska aktö- rer. Skälen för regeringens förslag: Artikel 5 i direktivet om integritet och elektronisk kommunikation innehåller den kanske mest grund- läggande regeln i direktivet om integritet och elektronisk kommunika- tion. Medlemsstaterna skall genom nationell lagstiftning säkerställa kon- fidentialiteten vid kommunikation och därmed förbundna trafikuppgifter via allmänna kommunikationsnät och allmänt tillgängliga elektroniska kommunikationstjänster. De skall särskilt förbjuda avlyssning, upp- fångande med tekniskt hjälpmedel, lagring eller andra metoder som in- nebär att kommunikationen och de därmed förbundna trafikuppgifterna kan fångas upp eller övervakas av andra personer än användarna utan deras samtycke. Undantag får dock ske för den som har laglig rätt att göra detta i enlighet med artikel 15.1. Den artikeln handlar om möjlighet att genom lagstiftning vidta åtgärder för att begränsa omfattningen av vissa rättigheter och skyldigheter enligt direktivet, bl.a. de som anges i artikel 5, när en sådan begränsning i ett demokratiskt samhälle är nöd- vändig, lämplig och proportionell för att skydda nationell säkerhet (dvs. statens säkerhet), försvaret och allmän säkerhet samt för förebyggande, undersökning, avslöjande av och åtal för brott eller vid obehörig använd- ning av ett elektroniskt kommunikationssystem enligt artikel 13.1 i data- skyddsdirektivet (95/46/EG). Vidare framgår av artikel 5.1 att vad som anges där inte får förhindra teknisk lagring som är nödvändig för överföring av kommunikationen utan att det påverkar principen om konfidentialitet. Det som närmast av- ses är s.k. buffring, dvs. lagring av överförd information som sker för att olika funktioner i nätet skall hinna behandla informationen. I ingress- punkt 22 förtydligas detta något. Förbudet mot lagring av kommunika- tion och tillhörande trafikuppgifter av andra än användarna eller utan deras samtycke är inte avsett att förbjuda automatisk, mellanliggande och tillfällig lagring av information, i den mån lagringen enbart görs för att utföra överföringen i det elektroniska kommunikationsnätet och under förutsättning att informationen inte lagras längre än vad som är nödvän- digt för överföringen och trafikstyrningen och att konfidentialiteten för- blir garanterad . I samma ingresspunkt finns också ett klarläggande om att artikel 5.1 under vissa förutsättningar inte utgör hinder mot s.k. cachning. Med cachning menas i detta sammanhang i allmänhet mellanlagring av infor- mation som sker för att effektivisera överföringen t.ex. genom att lagra information som ofta begärs så att den är åtkomlig på närmare håll, t.ex. i , om informationen ursprungligen kommer från en webbsida lag- rad i . Därvid anges att om det är nödvändigt för att effektivisera den fortsatta överföringen av allmänt tillgänglig information till andra mottagare av tjänsten på deras begäran, bör direktivet inte förhindra att sådan information får lagras längre, förutsatt att informationen i alla hän- delser skulle vara tillgänglig för allmänheten utan begränsning och att alla uppgifter som hänvisar till vilka enskilda abonnenter eller användare som begär sådan information utplånas. I artikel 5.2 anges att punkten 1 inte får påverka sådan inspelning av kommunikation och därmed förbundna trafikuppgifter som är tillåten enligt lag när den utförs i samband med laglig affärsverksamhet för att tillhandahålla bevis på en affärstransaktion eller annan affärs- kommunikation. Artikel 5 innehåller således ett åläggande för medlemsstaterna att säkerställa ett skydd för hemligheten för elektroniska meddelanden, i princip motsvarande det som tidigare gällt för telehemligheten enligt teledataskyddsdirektivet. I finns ett förbud mot brytande av post- eller telehemlighet i 4 kap. 8 § . I samma kapitel i finns också andra bestämmelser som kan vara tillämpliga, såsom bestämmelsen om dataintrång i 9 c §. Det förbud som artikel 5.1 föreskriver sträcker sig emellertid i vissa avseenden längre än brotts- balkens bestämmelser. Det bör därför i lagen om elektronisk kommuni- kation föras in en särskild bestämmelse om att inte någon annan än be- rörda användare får ta del av eller på annat sätt behandla uppgifter i ett elektroniskt meddelande som överförs i ett allmänt kommunikationsnät eller med en allmänt tillgänglig elektronisk kommunikationstjänst, eller trafikuppgifter som hör till detta meddelande, om inte en av användarna har samtyckt till detta. Vissa remissinstanser har tolkat utredningens förslag till sådan be- stämmelse som att den skulle förbjuda all inspelning av samtal också av den som tar del i utväxlingen av det elektroniska meddelandet. Detta är dock inte avsikten med bestämmelsen eller artikel 5.1 i direktivet. Be- stämmelsen hindrar inte en användare som tagit del i utväxlingen från att behandla eller låta annan behandla uppgifterna, bl.a. genom att spela in och lagra dem, oavsett om andra användare samtyckt till detta. En annan sak är att reglerna i personuppgiftslagen kan ha betydelse för tillåtlighe- ten av sådan behandling om informationen innehåller personuppgifter. förbudet mot att behandla uppgifter bör göras för a) behandling av trafikuppgifter enligt vad som föreskrivs om detta, b) reglerna om undantag från tystnadsplikt i vissa fall och c) beträffande den som i radiomottagare har avlyssnat eller på annat sätt med använ- dande av sådan mottagare fått tillgång till ett radiobefordrat elektroniskt meddelande som inte är avsett för den som avlyssnar eller för allmänhe- ten. Det sistnämnda undantaget motiveras av de ställningstaganden som ti- digare gjorts om rätten för var och en att inneha en radiomottagare och att det inte vore en framkomlig väg att straffsanktionera själva avlyss- ningen i mottagare av radiomeddelanden. I förarbetena till telelagen an- gav också föredragande statsrådet att den huvudsakliga utgångspunkten för den dåvarande regleringen av tystnadsplikten i 3 a § radiolagen (1966:755) för den som i mottagare avlyssnat ett telemeddelande var att etern var fri och att envar enligt radiolagstiftningen i princip fritt kunde lyssna till radiobefordrade meddelanden; se betänkandena SOU 1992:70, s. 331, och 1992:110, s. 152 och prop. 1992/93:200 s. 166 f. Undantaget bör enligt regeringens bedömning inte innebära någon ändring av gäl- lande rättsläge. Det bör framgå av lagtexten att förbudet att behandla sådana uppgifter rörande ett elektroniskt meddelande inte utgör hinder mot så- dan lagring som är automatisk, mellanliggande och tillfällig, om den är nödvändig för överföring av ett elektroniskt meddelande, eller i den ut- Prop. 2002/03:110 sträckning den är nödvändig för driften av ett elektroniskt kommunikationsnät eller en elektronisk kommunikationstjänst. skall inte heller hindra att andra får tillgång till innehållet i ett elektro- niskt meddelande, om innehållet ändå är allmänt tillgängligt, om det en- dast sker för att effektivisera den fortsatta överföringen till andra motta- gare samt om uppgifter om vem som begärt att få informationen utplå- nas. TeliaSonera menar att undantaget enligt utredningens förslag är mer restriktivt utformat än vad direktivet kräver genom att ange att innehållet skall vara allmänt tillgängligt där den överförda informationen sändes ut och att detta kan bli till nackdel för svenska aktörer. Regeringen anser att det bör undvikas att särskilt på detta område skapa en reglering som avviker från vad som gäller i andra medlemsstater varför det är lämpligt att ansluta till vad direktivet anger om detta. Det bör därför vara tillräck- ligt för undantaget för att tillåta sådan mellanlagring att innehållet ändå är allmänt tillgängligt, givetvis under förutsättning att avidentifiering sker m.m. Enligt utredningens förslag skall förbudet mot avlyssning m.m. inte hindra en sådan inspelning av ett elektroniskt meddelande och trafik- uppgifter som hör till denna som sker för att säkra bevis avseende ett avtal eller annan affärshändelse. Detta undantag tar inte sikte på inspel- ning som sker av dem som tar del i utväxlingen av det elektroniska med- delandet. Detta har behandlats ovan i detta avsnitt. Datainspektionen me- nar att undantaget för inspelning av affärshändelser går längre än vad som är tänkt med direktivets bestämmelser i artikel 5.2. I artikel 5.2 an- ges att punkten 1 inte får påverka sådan inspelning av kommunikation och därmed förbundna trafikuppgifter som är tillåten enligt lag. Enligt Datainspektionen måste ett undantag enligt artikel 5.2 föregås av en analys av de behov som finns av att i göra undantag från huvud- regeln om konfidentialitet. Regeringen delar Datainspektionens bedöm- ning. Det har inte framkommit att det föreligger ett behov av ett sådant undantag. Skulle frågan aktualiseras bör den utredas särskilt. Undantaget tas därför inte med i regeringens förslag. Behandling av cookies m.m. Regeringens förslag: Ett elektroniskt kommunikationsnät skall få an- vändas för att lagra information, eller för att få tillgång till information som är lagrad i en abonnents eller användares terminalutrustning, en- dast om abonnenten eller användaren av den personuppgiftsansvarige får information om ändamålet med behandlingen och ges tillfälle att hindra sådan behandling. Utredningens förslag: Överensstämmer med regeringens förslag för- utom att utredningens förslag inte angav den personuppgiftsansvarige Remissinstanserna: Enligt Datainspektionen framgår det inte klart till vem den föreslagna bestämmelsen riktar sig. BitoS anser att det bör vara tillräckligt om användaren har tillgång till klar och fullständig informa- tion från den som initierar en cookie, och att informationen inte nödvän- digtvis måste ges inför eller under ifrågavarande session. BitoS anser vidare tillsammans med flera andra remissinstanser att det uttryckligen bör framgå av lagen att informationen även får omfatta framtida använd- ning av cookies. Tidningsutgivarna påpekar att användning av cookies också är av stor betydelse för att kunna förmedla information och erbju- danden till konsumenter som kan anpassas efter deras önskemål, val och intressen. TeliaSonera menar att kravet enligt direktivet på information avseende behandling av cookies kan uppfyllas genom att användaren har tillgång till klar och fullständig information i anslutning till den sida som initierar en cookie, och att informationen således inte måste ges inför eller i samband med ifrågavarande session. Skälen för regeringens förslag: Direktivet om integritet och elektro- nisk kommunikation innehåller i artikel 5.3 en regel om behandling av cookies och andra företeelser där information skickas över ett elektro- niskt kommunikationsnät för att lagras i mottagarens terminalutrustning. Cookies är datafiler där information lagras för att t.ex. användas vid ett senare elektroniskt meddelande för att kunna se om den som begär in- formation har gjort detta. Genom informationen kan bl.a. inne- hållet på en webbplats anpassas efter olika användare. Enligt artikel 5.3 skall medlemsstaterna säkerställa att användningen av elektroniska kommunikationsnät för att lagra information eller för att få tillgång till information som är lagrad i en abonnents eller användares terminalutrustning endast är tillåten på villkor att abonnenten eller an- vändaren i fråga har tillgång till klar och fullständig information, bl.a. om ändamålen med behandlingen, i enlighet med dataskyddsdirektivet (95/46/EG), och erbjuds rätten att vägra sådan behandling av den data- registeransvarige. Detta får inte förhindra någon teknisk lagring eller åt- komst som endast sker för att utföra eller underlätta överföringen av en kommunikation via ett elektroniskt kommunikationsnät eller som är ab- solut nödvändig för att leverera en av informationssamhällets tjänster som användaren eller abonnenten uttryckligen har begärt. För att så långt det är möjligt klargöra vem som är ansvarig för en överträdelse bör bestämmelsen i lagen, liksom i artikeln, innehålla vem som skall ansvara för att information lämnas. Denne skall också ge till- fälle att vägra sådan behandling som avses i första meningen av arti- kel 5.3. I artikeln anges den dataregisteransvarige. I lagen föreslås därför att det är den personuppgiftsansvarige som skall se till att information lämnas samt ge tillfälle att vägra behandlingen. Längre än så torde det inte vara möjligt att klargöra vem som bär ansvar. Det får i övriga fall avgöras från fall till fall vem som skall anses ansvarig för en överträdelse av förbudet i bestämmelsen. BitoS och TeliaSonera menar att information som lämnas under en ses- sion skall gälla även senare användning. Eftersom även användare och inte endast abonnenter omfattas av rätten till information bör detta dock inte gälla. Det bör därför alltid finnas information om t.ex. cookies och hur en användare kan förhindra att cookies sätts i hans eller hennes dator. Normalt kan webbläsare ställas in så att cookies inte alls accepteras eller bara accepteras under en session. Det bör i många fall vara ändamåls- enligt att ansluta informationen till detta förhållande. Det föreslås att det införs en bestämmelse i den nya lagen som motsva- rar regeln i artikel 5.3. Regeringens förslag: Trafikuppgifter som avser användare som är fy- siska personer eller avser abonnenter och som lagras eller behandlas på annat sätt av den som bedriver verksamhet som är anmälnings- pliktig skall utplånas eller avidentifieras när de inte längre behövs för att överföra ett elektroniskt meddelande. Undantag från detta skall gälla om uppgifterna behövs för fakturering eller tjänster där uppgif- terna behövs. I det senare fallet skall erfordras samtycke från den som uppgifterna rör. Den som uppgiften rör skall informeras om vilken typ av trafikuppgifter som behandlas och hur länge uppgifterna behandlas för sådana ändamål. Information skall ges innan samtycke lämnas. Trafikuppgifterna får endast behandlas av vissa personer. Undantag från dessa bestämmelser skall kunna göras i vissa särskilt angivna fall. Utredningens förslag: Överensstämmer i princip med regeringens förslag. Remissinstanserna: Datainspektionen anför att samtycke skall ges av den fysiska person vars personuppgifter skall behandlas. för radio och TV anser att bl.a. betaltjänster, interaktivitet, kryptering, digitala medier och EPG:er kan möjliggöra en mycket avan- cerad registrering och lagring av information. Det är därför enligt nämn- den angeläget att det görs en kartläggning av vad som är tekniskt möjligt och att följderna av sådan registrering och lagring analyseras med ut- gångspunkt i den personliga integriteten. menar att det bör framgå av lagtexten att kravet på samtycke även omfattar ut- lämnande av uppgifter för annans marknadsföring samt att abonnenten bör informeras om att uppgifterna kommer att vidarebefordras till tredje part för marknadsföring innan samtycke inhämtas. TeliaSonera föreslår att bestämmelsen kompletteras med en presumtion om att samtyckes- kravet avser abonnenten. Hi3G anser att förslaget om att samtycke skall ges av den som uppgiften avser medför rättsosäkerhet och måste förtyd- ligas samt att det finns ett allmänt behov av tydliggöra kopplingen med personuppgiftslagen (PUL). Skälen för regeringens förslag: I artikel 6 i direktivet om integritet och elektronisk kommunikation regleras behandlingen av trafikuppgifter. Med trafikuppgifter avses såväl enligt direktivet som enligt förslaget till ny lag alla uppgifter som behandlas i syfte att överföra ett elektroniskt meddelande via ett elektroniskt kommunikationsnät eller för att fakturera meddelandet. Trafikuppgifter om abonnenter och användare som be- handlas och lagras av leverantören av ett allmänt kommunikationsnät eller en allmänt tillgänglig elektronisk kommunikationstjänst skall enligt artikel 6.1 utplånas eller avidentifieras när de inte längre behövs för sitt syfte att överföra en kommunikation, utan att det påverkar tillämpningen av punkterna 2, 3 och 5 i samma artikel samt artikel 15.1 (se av- snitt 19.4). Enligt punkten 2 får trafikuppgifter som krävs för abonnentfakturering och betalning av samtrafikavgifter behandlas. Sådan behandling är tillå- ten endast fram till utgången av den period under vilken det lagligen går att göra invändningar mot fakturan eller kräva betalning. För att saluföra elektroniska kommunikationstjänster eller för att till- handahålla mervärdestjänster får enligt punkten 3 en leverantör av en allmänt tillgänglig elektronisk kommunikationstjänst behandla de upp- gifter som avses i punkt 1 i den utsträckning och som är nödvändig för sådana tjänster eller sådan marknadsföring, om den abonnent eller användare som uppgifterna gäller har samtyckt till detta. Användare eller abonnenter skall ha möjlighet att när som helst dra till- baka sitt samtycke till behandling av trafikuppgifter. Tjänsteleverantören skall enligt artikel 6.4 informera abonnenten eller användaren om de typer av trafikuppgifter som behandlas och om be- handlingens varaktighet för de ändamål som anges i punkt 2 och 3. Be- träffande punkten 3 skall detta ske innan samtycke erhålles. Behandlingen av trafikuppgifter skall enligt artikel 6.5 begränsas till sådana personer som fått i uppdrag av leverantören av allmänna kommunikationsnät och allmänt tillgängliga elektroniska kommunikationstjänster att sköta fakturering, trafikstyrning, kund- förfrågningar, spårning av bedrägerier, marknadsföring av elektroniska kommunikationstjänster eller tillhandahållande av en mervärdestjänst. Behandlingen skall begränsas till sådant som är nödvändigt för dessa verksamheter. Beträffande möjligheten att överlåta uppgifter till tredje part, jfr även vad som anges i avsnitt 19.7. bör innehålla nödvändiga be- stämmelser om behandlingen av trafikuppgifter. Lagring är en typ av behandling, vilket bör framgå av bestämmelsen. Då begreppet samtycke skall ha samma innebörd som i PUL bör utgångspunkten för sådana upp- gifter vara att samtycke skall ges av den fysiska person vars person- uppgifter skall behandlas. I lagen bör det därför anges att den som skall informeras innan samtycke lämnas är den som uppgiften rör. Genom detta klarläggande har även TeliaSoneras och Hi3G:s invändningar till viss del beaktats. Lagrådet har invänt mot att sluttidpunkten för hur länge uppgifter som krävs för abonnentfakturering och betalning av avgifter för samtrafik får behandlas angetts vara när fordran är betald eller preskription inträtt. Denna tidpunkt sammanfaller enligt Lagrådet inte med den som anges i direktivet. För att ta om hand det fall där en fordring visserligen är betald men krav på återbetalning framställs på grund av en invändning i efterhand mot fordringsanspråket bör i stället den tidpunkt när det inte längre går att med framgång reklamera mot fordringsanspråket anges vara slut- punkten i ett fall där fordringen är betald. Begreppet mervärdestjänst definieras i direktivet som alla tjänster som kräver behandling av trafik- eller lokaliseringsuppgifter, utöver vad som är nödvändigt för överföring eller fakturering av en kommunikation. Be- greppet tillför enligt regeringens mening inte något i sammanhanget. Risk finns i stället att begreppet skulle kunna tolkas mer restriktivt än vad som följer av direktivets definition. Uttrycket andra tjänster där uppgifterna behövs bör därför användas i lagen. Uttrycket omfattar dock samma tjänster som avses med mervärdestjänster i direktivet. PTS menar att trafikuppgifter efter samtycke får behandlas även för marknadsföring av andras tjänster för vilka uppgifterna behövs. Regeringen instämmer i att behandlingen får avse även andras mervärdestjänster men bedömer att artikel 6.3, tillsammans med punkt 5, i direktivet liksom den föreslagna bestämmelsen bör ange vem som får behandla uppgifterna för detta syfte. I och med att någon begränsning inte föreslås till att gälla egna sådana mervärdestjänster bör detta vara tydligt; se även under följande avsnitt om lokaliseringsuppgifter. Likaså framgår av utredningens förslag att samtycke för behandling erfordras avseende mervärdestjänster och inte för behandling för abonnent- fakturering och betalning av samtrafikavgifter. Den av utredningen före- slagna bestämmelsen om att information skall lämnas innan abonnentens eller användarens samtycke inhämtas avser därmed endast fallet då så- dant samtycke erfordras. Att information skall lämnas även avseende sådan behandling som avses i artikel 6.2 i direktivet framgår uttryckligen av artikel 6.4. Beträffande de integritetsskyddsbehov inom mediesektorn som och TV för fram är det regeringens uppfattning att det nya regelverket bör kunna ta om hand detta i och med att elektroniska meddelanden även kan avse information som sänds ut till allmänheten, om informationen kan sättas i samband med den enskilde abonnenten eller användaren av informationen.