sou · GTB342 · 2006-01-01 00:00:00 — Personuppgiftslagen ställer långtgående krav på att den person- uppgiftsansvarige skall informera de registrerade om den behand- ling av personuppgifter som utförs. Personuppgiftslagen innehåller således en mängd bestämmelser om säkerhet vid behandling av personuppgifter. Lagens syfte och därmed de olika bestämmelsernas syfte är att skydda den enskildes integritet. Datainspektionens allmänna råd preciserar personuppgiftslagens krav på säkerhet vid behandling av personuppgifter. Lagen (2003:389) om elektronisk kommunikation Det är i första hand de bestämmelser som har sitt upphov i direk- tivet om integritet och elektronisk kommunikation som är av intresse i detta sammanhang. Direktivet har implementerats bl.a. genom bestämmelser i 6 kap. EkomL som bland annat reglerar integritetsskydd. Av 6 kap. 2 § framgår att personuppgiftslagens bestämmelser skall gälla vid tillhandahållande av elektroniska kommunikationsnät och elektroniska kommunikationstjänster om inte annat följer av EkomL. Personuppgiftslagen är således subsidiärt tillämplig i de fall där EkomL inte speciellt reglerar ett visst förhållande. Av 6 kap. 3 och 4 §§ i lagen framgår vidare att den som till- handahåller en allmänt tillgänglig elektronisk kommunikations- tjänst skall vidta lämpliga åtgärder för att säkerställa att behandlade uppgifter skyddas. Den som tillhandahåller ett allmänt kommu- nikationsnät skall vidta de åtgärder som är nödvändiga för att upprätthålla detta skydd i nätet. Åtgärderna skall vara ägnade att säkerställa en säkerhetsnivå, som med beaktande av tillgänglig teknik och kostnaderna för att genomföra åtgärderna, är anpassad till risken för integritetsintrång. Om det vid tillhandhållandet av en allmänt tillgänglig elektronisk kommunikationstjänst finns särskild risk för bristande skydd av behandlade uppgifter, skall den som tillhandahåller tjänsten informera abonnenten om risken. Om den som tillhandahåller tjänsten inte är skyldig att avhjälpa risken, skall abonnenten informeras om hur och till vilken ungefärlig kostnad risken kan avhjälpas. Den säkerhet som avses är skydd mot obehörig avlyssning och liknande integritetskränkande handlingar, det vill säga inte drifts- och funktionssäkerhet. I 6 kap 5–10 §§ i lagen regleras behandling av trafikuppgifter och lokaliseringsuppgifter som inte är trafikuppgifter. Med trafik- uppgift förstås uppgift som behandlas i syfte att vidarebefordra ett elektroniskt meddelande via ett elektroniskt kommunikationsnät eller som behövs för att fakturera detta meddelande. Huvudregeln är att det åligger anmälningspliktig tillhandahållare av allmänt kommunikationsnät eller allmänt tillgängliga elektroniska kommu- nikationstjänster att utplåna eller avidentifiera dessa uppgifter när de inte längre behövs för att överföra ett elektroniskt meddelande. Uppgifter som behövs för abonnentfakturering och för betalning av samtrafik får sparas . Detsamma gäller uppgifter som rör den som samtyckt till att dessa sparas för tillhandahållande av tjänst eller marknadsföring. Ett sådant samtycke kan när som helst åter- kallas. Vidare får uppgifter sparas i den utsträckning trafikuppgif- terna är nödvändiga för att förhindra och avslöja obehörig använd- ning av ett elektroniskt kommunikationsnät eller en elektronisk kommunikationstjänst (6 kap. 8 § första stycket 3). I special- motiveringen till paragrafen (prop. 2002/03:110) anförs att detta kan inkludera sparande av trafikuppgifter för att säkerställa straff- eller civilrättslig lagföring och även utredning och lagföring av brott, förutsatt att det sker i syfte att förhindra eller avslöja en obehörig användning av nätet eller tjänsten i fråga. Uppgifterna får enligt propositionen inte sparas längre än nödvändigt för att uppnå syftet och längre än bör inte godtas om det inte föreligger särskild anledning, till exempel att förundersökning inletts. Den som tillhandahåller en allmänt tillgänglig kommunikationstjänst skall informera den uppgiften rör, om vilken typ av trafikuppgifter som behandlas och hur länge uppgifterna behandlas innan samtycke inhämtas. Lokaliseringsuppgifter som inte är trafikuppgifter, till exempel uppgifter om position från satellit, som rör användare som är fysiska personer eller abonnenter får behandlas endast sedan de avidentifierats eller användaren eller abonnenten gett sitt samtycke till behandlingen. Även i detta fall skall information lämnas om vilka uppgifter som kommer att behandlas och syfte med mera. Samtycke kan när som helst återkallas. I 6 kap. 15–16 §§ i lagen finns bestämmelser om abonnent- förteckning och hur dessa får behandlas. En abonnent som är en fysisk person måste informeras om vilka ändamål som finns med en allmänt tillgänglig abonnentförteckning innan personuppgifter om abonnenten får tas upp i den. Om förteckningen återfinns i elek- tronisk form skall abonnenten även upplysas om vilka sök- möjligheter en sådan förteckning har. Samtycke krävs från en abonnent som är fysisk person för att behandling av person- uppgifter skall vara tillåten. I 5 kap. 7 § regleras de allmänna skyldigheter som gäller för den som tillhandahåller en allmänt tillgänglig telefonitjänst. Av stad- gandet p. 1 framgår att en sådan skall se till att tjänsten och det allmänna telefonnätet till fast nätanslutningspunkt uppfyller rimliga krav på god funktion och teknisk säkerhet samt på uthållighet och tillgänglighet vid extraordinära händelser i fredstid. Bestämmelsen syftar dels till att möjliggöra samordning av nätfunktioner m.m. för att uppnå ett öppet och sammanhållet nät, dels till att säkerställa att en grundläggande nivå av säkerhet i den fasta telefoniinfrastruk- turen uppnås genom att möjliggöra att krav ställs på förebyggande åtgärder som förstärker infrastrukturen. Bestämmelsen avser endast telefonitjänst och berör således inte de som tillhandahåller nätkapacitet eller andra typer av tjänster än telefoni. () som är tillsynsmyndighet enligt EkomL har möjlighet att meddela föreskrifter om på vilket sätt dessa skyldigheter skall fullgöras och om undantag från skyldigheterna. Av 6 kap. 19 § i lagen framgår att viss verksamhet skall bedrivas så att beslut om hemlig teleavlyssning och hemlig teleövervakning kan verkställas och så att verkställandet inte röjs. Bestämmelsen innebär att den som bedriver anpassningsskyldig verksamhet skall använda tekniska hjälpmedel som har vissa egenskaper samt vidta de personella och organisatoriska åtgärder som krävs för att hantera hjälpmedlen. I 6 kap. 22 § samma lag finns bestämmelser om skyldighet för operatörer att – under förutsättning att det är fråga om brott av viss angiven svårighetsgrad – till brottsutredande myndigheter lämna ut vissa uppgifter om abonnemang (abonne- mangsuppgifter) eller andra uppgifter om ett elektroniskt med- delande (trafikuppgifter) som annars omfattas av sekretess enligt lagen. Detta förutsätter dock att operatören inte har raderat uppgifterna. finns inte någon skyldighet att spara trafikuppgifter för de brottsutredande myndigheternas verksamhet. Beredningen för rättsväsendets utveckling (BRU) har dock i ett tilläggsdirektiv (dir. 2003:145) fått i uppgift att göra en översyn av det regelverk som styr de brottsbekämpande myndigheternas möjligheter att få tillgång till innehållet i och uppgifter om elek- tronisk kommunikation. I detta ingår bland annat att utreda vilka typer av trafikuppgifter som bör få lämnas ut till de brotts- bekämpande myndigheterna och om och i så fall under vilka förutsättningar som trafikuppgifter skall bevaras hos operatörerna. Som framgått av den ovan gjorda beskrivningen innehåller EkomL vissa bestämmelser om i första hand säkerhet för behand- lingen av personuppgifter. Dessa bestämmelser är således inriktade på skyddet mot integritetskränkande handlingar såsom obehörig avlyssning. Därtill innehåller lagen vissa bestämmelser beträffande telefoni och säkerhet som tar sikte på drifts- och funktions- säkerhet. IT används ofta som hjälpmedel vid brott och många brott begås via Internet. Som exempel där IT ofta har stor betydelse kan nämnas grova narkotikabrott, vålds- och fridsbrott, barnporno- grafibrott och olika former av ekonomisk brottslighet. I brotts- balken finns vissa straffbestämmelser som är av särskilt intresse när det gäller informationssäkerhet. I 4 kap. 8 § finns bestämmelser om brytande av post- och telehemlighet. I 4 kap. 9 c § finns bestäm- melser om straff för den som olovligen bereder sig tillgång till upptagning för automatisk databehandling eller olovligen ändrar eller utplånar eller i register för in sådan upptagning (dataintrång). I 9 kap. 1 § andra stycket finns bestämmelser om så kallat databedrägeri. Allvarliga angrepp som riktas mot egendom som har avsevärd betydelse för rikets försvar, folkförsörjning, rättsskipning, förvaltning eller upprättande av allmän ordning och säkerhet kan vara att bedöma som sabotage enligt 13 kap. 4 § . Lagen (1990:409) om skydd för företagshemligheter I lagen ges ett allmänt skydd för företagsspecifik information av teknisk, kommersiell och administrativ karaktär, oavsett om den har dokumenterats eller inte. I 1 § i lagen definieras företags- hemlighet som sådan information om affärs- eller driftförhållanden i en näringsidkares rörelse som näringsidkaren håller hemlig och vars röjande är ägnat att medföra skada för honom i konkurrens- hänseende. Av samma paragraf följer att med information förstås både sådana uppgifter som har dokumenterats i någon form, inbegripet ritningar, modeller och andra liknande tekniska före- bilder, och enskilda personers kännedom om ett visst förhållande, även om det inte har dokumenterats på något särskilt sätt. Enligt 2 § i lagen gäller denna endast obehöriga angrepp på företags- hemligheter. I uttrycket hemlig ligger att näringsidkaren skall ha ambitionen att behålla informationen inom den krets där den är känd och att den inte är spridd utanför en identifierbar och sluten krets. Lagen talar dock bara om röjande av informationen och begrepp som motsvarar säkerhetsskyddslagens ändras eller förstörs finns inte. Informationens röjande skall dessutom vara ägnat att medföra skada för näringsidkaren i konkurrenshänseende. Lagen innehåller bl.a. regler om straff för den som olovligen bereder sig tillgång till en företagshemlighet (företagsspioneri), eller anskaffar en företagshemlighet med vetskap om att den som tillhandahåller företagshemligheten har beretts sig tillgång till den genom företagsspioneri (obehörig befattning med företags- hemlighet). 7.2Utredningens bredare definition av begreppet informationssäkerhet Som utredningen har framhållit kan information ses som en mer eller mindre viktig resurs som kan vara utsatt för både oavsiktliga och avsiktliga hot. Oavsiktliga hot kan vara händelser såsom slump eller slarv. Skydd av information är därmed en angelägenhet för alla typer av organisationer liksom för samhället i sin helhet. Som utredningen i tidigare avsnitt anfört fattade Europeiska unionens råd beslut om säkerhetsbestämmelser vilka anger hur sekretessbelagd EU-information skall hanteras. Avsikten är att skydda sekretessbelagda EU-uppgifter mot spioneri och mot att de röjs utan tillstånd. Skyddet omfattar uppgifter som hanteras i nät och system för kommunikation och information mot hot som riktar sig mot uppgifternas okränkbarhet (integrity) och tillgänglighet (availability). Avsikten är också att skydda anlägg- ningar där EU-uppgifter förvaras från sabotage och uppsåtlig skada. Säkerheten syftar också till att – efter misslyckande – kunna bedöma omfattningen och graden av den skada som åsamkats, begränsa följderna och vidta åtgärder för att avhjälpa skadan. I bestämmelserna anges att informationssäkerhet handlar om att fastställa och tillämpa säkerhetsåtgärder för att skydda uppgifter som har bearbetats, lagrats eller överförts i kommunikations- och informationssystem eller andra elektroniska system mot oavsiktliga eller avsiktliga sekretessbrott (confidentiality), och förlust av okränkbarhet eller tillgänglighet. Enligt beslutet omfattar sekretessbelagda EU-uppgifter alla uppgifter och all materiel som, om de röjdes obehörigen, skulle kunna skada EU:s intressen i olika hög grad, eller en eller flera av dess medlemsstaters intressen. Med handlingar avses ett antal fysiska medier (brev, rapporter etc.) och med materiel avses alla handlingar samt varje slags utrustning eller vapen. Av särskilt intresse i detta sammanhang är säkerhetsbestäm- melsernas avsnitt XI, som behandlar skydd för uppgifter som hanteras i IT- och kommunikationssystem. Hot mot system och systemens sårbarhet beskrivs där enligt följande. Ett hot kan allmänt definieras som en möjlighet till oavsiktligt eller avsiktligt äventyrande av säkerheten. När det gäller system innebär ett sådant äventyrande att en eller flera av egenskaperna sekretess (confi- dentiality), okränkbarhet (integrity) och tillgänglighet (availability) går förlorade. I bestämmelserna framhålls att sekretessbelagd och icke sekretessbelagd information som hanteras i system i koncen- trerad form för snabb sökning, kommunikation och användning är sårbara i många avseenden. Mot denna bakgrund anges att huvudsyftet med säkerhets- åtgärderna är att de skall ge skydd mot obehörigt röjande av upp- gifter och mot förlust av uppgifternas okränkbarhet och tillgäng- lighet. För att system som hanterar sekretessbelagda EU-uppgifter skall få tillräckligt säkerhetsskydd skall lämpliga normer för konventionell säkerhet specificeras tillsammans med lämpliga säkerhetsförfaranden och säkerhetstekniker som är utformade för varje system. Vidare föreskrivs att en väl avvägd uppsättning säkerhetsåtgärder skall fastställas och genomföras så att det skapas en säker driftmiljö för systemet. Dessa åtgärder skall tillämpas på fysiska faktorer, personal, icke-tekniska förfaranden samt driftsmetoder för datorer och kommunikation. Enligt utredningen är dessa bestämmelser modernare och åter- speglar tydligare visioner för informationssäkerhetsarbetet än det svenska regelverket. omfattar i princip all verksamhet inom EU och dess medlemsstater. Utredningen har valt en bred definition av begreppet informa- tionssäkerhet och har därvid tagit sin utgångspunkt i de beskrivna säkerhetsbestämmelserna. Enligt dessa syftar säkerheten till att främja tillväxt, konkurrens och välfärd. I bestämmelserna talas det om uppgifter som lagras, bearbetas och överförs i elektronisk form och att säkerheten skall uppfyllas genom krav på konfidentialitet, okränkbarhet och tillgänglighet. Kravet på okränkbarhet och till- gänglighet gäller all informationshantering, oavsett om uppgifterna är hemliga eller inte. Utredningen förordar också en reglering av informationssäkerheten i med utgångspunkt i den valda bredare definitionen av begreppet informationssäkerhet. Fråga uppstår naturligtvis hur denna breda definition av begreppet informationssäkerhet förhåller sig till nuvarande reglering på informationssäkerhetsområdet. Som har nämnts är det endast i säkerhetsskydds- lagen (1996:627) som lagbestämmelser om informationssäkerhet återfinns. I lagen finns också bestämmelser om tillträdesbegräns- ning och säkerhetsprövning av personal. Denna lag är därför den författning som får anses vara mest heltäckande vad gäller de olika aspekterna på information och säkerhet, även om lagens tillämp- ningsområde är begränsat till verksamhet som har betydelse för rikets säkerhet eller för skyddet mot terrorism. Som framgår av den ovan gjorda genomgången och jämförelsen återspeglar nuvarande reglering på informationssäkerhetsområdet inte en sådan bredare definition av informationssäkerhet som utredningen förespråkar. Enligt utredningen föreligger det därför ett klart behov av en utökad reglering på informationssäkerhets- området. Den naturliga utgångspunkten vid bedömningen av vilka författningsåtgärder som blir nödvändiga med anledning av utred- ningens förslag blir därför nuvarande säkerhetsskyddslagstiftning. 7.3Kan tillämpningsområdet för säkerhetsskyddslagen och säkerhetsskyddsförordningen utvidgas? Utredningens utgångspunkt är som har framgått att informa- tionssäkerhet är en angelägenhet för hela samhället. Behovet av en tillfredställande informationssäkerhet är inte begränsat till offent- liga verksamheter. Det är inte heller begränsat till verksamheter som är av betydelse för rikets säkerhet eller särskilt behöver skyddas mot terrorism. Behovet av en tillfredsställande informa- tionssäkerhet gör sig gällande även vid verksamheter som inte har denna betydelse till exempel verksamheter innefattande kritisk infrastruktur av olika slag. Detsamma gäller verksamheter inom näringslivet. Enligt utredningen bör informationssäkerheten inte endast syfta till att skydda verksamheter av betydelse för rikets säkerhet eller skydda dem mot terrorism. Informationssäkerheten måste på samma sätt som ha det bredare syftet att också främja tillväxt, konkurrens och välfärd. Enligt utredningen är således informationssäkerhet en fråga för hela samhället och det är motiverat med ett offentligt engagemang beträffande denna säkerhet. Engagemanget bör bland annat bestå i att det offentliga utövar en aktiv tillsyn över efterlevnaden av gällande bestämmelser inom området och genom att grundläggande säkerhetskrav ges lagstöd och preciseras i föreskrifter. utgör alltså säkerhetsskyddslagen (1996:627) och säker- hetsskyddsförordningen (1996:633) det mest heltäckande regel- verket avseende informationssäkerhet. Det är som har nämnts endast i säkerhetsskyddslagen som lagbestämmelser om informationssäkerhet finns. Med stöd av säkerhetsskyddslagen och -förordningen har Försvarsmakten och meddelat föreskrifter på området. Övriga regelverk av betydelse på informa- tionssäkerhetsområdet innehåller endast delvis bestämmelser om informationssäkerhet. Bestämmelserna är dessutom allmänt hållna. Som tidigare nämnts är lagens tillämpningsområde dock begränsat till verksamhet som har betydelse för rikets säkerhet eller särskilt behöver skyddas mot terrorism. Utanför lagens tillämpningområde faller därför en mängd informationshantering på vilken säkerhets- krav bör ställas för att det syfte som utredningen anser informa- tionssäkerheten skall ha skall kunna uppnås. Som exempel kan nämnas informationshantering kring det vi kallar kritisk infra- struktur i de fall den aktuella verksamheten inte är av betydelse för rikets säkerhet. Ytterligare exempel kan vara informationshantering i verksamhet, som i sig inte är av betydelse för rikets säkerhet eller särskilt behöver skyddas mot terrorism, men som kan vara av stor betydelse för till exempel landets handelsförbindelser och därmed för samhällets välfärd. Utredningen anser helt enkelt att det behov av säkerhet för information som tillgodoses genom nu gällande säkerhetsskyddslagstiftning i många fall gör sig lika starkt gällande även för annan samhällsviktig verksamhet än sådan som är av betydelse för rikets säkerhet eller skyddet mot terrorism. En tanke som har förts fram är att tillämpningsområdet för säkerhetsskyddslagen skulle utvidgas till att omfatta även verksam- heter som inte anses vara av betydelse för rikets säkerhet eller särskilt behöver skyddas mot terrorism, men där informations- säkerhetsbehovet som beskrivits ovan är lika starkt. En utvidgning av tillämpningsområdet skulle kunna nås genom att begreppet rikets säkerhet gavs en annan definition än vad som är fallet . Det skulle kunna rymma även de vidare aspekter som borde ingå i ett begrepp för nationell säkerhet. Det skulle kunna innefatta till exempel ekonomisk säkerhet och attraktionskraft samt handels- status. Begreppet rikets säkerhet används dock på olika håll i lagstiftningen bland annat i (1962:700) och sekretess- lagen (1980:100). En ändring av begreppets innebörd skulle därför få långtgående konsekvenser och, som utredningen pekat på, bland annat påverka det straffbara området för till exempel spioneribrott. En annan tanke skulle kunna vara att tillämpningsområdet utvidgas utan att begreppet rikets säkerhet ges en annan innebörd. En sådan utvidgning skulle få ske genom att de i lagen skyddsvärda verksamheterna och den informationshantering som där sker kompletteras med de verksamheter och den informationshantering som faller utanför tillämpningsområdet men där informa- tionssäkerhetsbehovet är stort. En utvidgning av säkerhetsskyddslagens och därmed förord- ningens tillämpningsområde är förknippad med flera svårigheter. För det första är ett skäl till att bestämmelserna i lagen har den innebörd de har det faktum att de är begränsade till rikets säkerhet och terrorism. För sådan verksamhet är mer långtgående reglering beträffande säkerhet nämligen möjlig. Detta har att göra med att det för sådana verksamheter är möjligt att göra undantag från de grundläggande friheter som garanteras en enskild i Europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna. För andra verksamheter är undantag från nämnda konvention på ett helt annat sätt begränsade. Ett utvidgat tillämpningsområde för lagen skulle därför innebära att bestäm- melserna i den måste differentieras beroende på i vilken verksamhet viss informationshantering sker. Vissa bestämmelser om till exempel informationssäkerhet skulle endast komma att kunna äga giltighet vid verksamhet som är av betydelse för rikets säkerhet eller skyddet mot terrorism. För andra verksamheter skulle mindre långtgående bestämmelser om säkerhetskrav i många fall få gälla. Tydligast skulle skillnaden bli beträffande de bestämmelser som reglerar förhållanden där integritetsskyddsaspekten gör sig starkt gällande. Detta gäller inte minst säkerhetsskyddslagens och säker- hetsskyddsförordningens bestämmelser om säkerhetsprövning och registerkontroll. Vid ett utvidgat tillämpningsområde reses också frågan om tillsyn och tillsynsmyndighet. är och Försvars- makten tillsynsmyndigheter. Tillämpningsområdet för säkerhets- skyddslagen korresponderar med de mandat som dessa myndigheter har getts av statsmakterna. Med en utvidgning av tillämpnings- området reses därför frågan om ytterligare en eller flera tillsyns- myndigheter. Varje myndighet har dessutom ansvar för respektive verksamhetsområde. Ett sätt att åstadkomma ett sammanhållet regelverk på informa- tionssäkerhetsområdet som återspeglar den bredare definition av begreppet informationssäkerhet som utredningen förordar kan således vara att utvidga tillämpningsområdet för säkerhetsskydds- lagen. Sådan samhällsviktig verksamhet som inte anses vara av betydelse för rikets säkerhet eller skyddet mot terrorism, till exempel viss kritisk infrastruktur, och därmed inte omfattas av säkerhetsskyddslagen skulle genom beskriven utvidgning, komma att omfattas av lagen. En ändring av säkerhetsskyddslagstiftningen på sätt beskrivits skulle på många sätt också vara den naturliga vägen att nå ett hel- täckande och sammanhållet regelverk på informationssäkerhets- området. Som utredningen har framhållit får säkerhetsskyddslagstiftningen anses utgöra det mest heltäckande regelverket på området. Därtill kommer att detta regelverk vad gäller tillämpning får anses vara ett väl inarbetat. 7.4En helt ny lag? Ett annat sätt än att genom ändring av nuvarande säkerhets- skyddslagstiftning tillgodose utredningens bredare definition av informationssäkerhet skulle kunna vara en helt ny författning på informationssäkerhetsområdet. En sådan författning skulle kunna utgöra ett sammanhållet och mer heltäckande regelverk för informationssäkerheten i hela samhället och därmed kunna svara mot det behov som utredningen pekat på i detta avseende. I en sådan författning skulle grundläggande bestämmelser om informationssäkerhet kunna meddelas oavsett verksamhet och slag Bestämmelserna skulle äga tillämpning oavsett om sekretess föreligger eller inte och oavsett om behand- lingen avser personuppgifter eller inte och så vidare.