sou · GVB376 · 2008-01-01 00:00:00 — Den absolut övervägande delen av trafikuppgifterna kommer aldrig att efterfrågas av de brottsbekämpande myndigheterna. Enligt förslaget kommer trafikuppgifterna att lagras av leveran- törerna. Det innebär att det blir leverantörerna som måste anses äga trafikuppgifterna och därmed i princip kunna disponera över dem. Uppgifterna kommer inte att vara läsbara hos leveran- törerna och i många fall kommer den enskilde leverantören bara att ha viss information som måste ställas samman med lagrad informa- tion hos någon annan leverantör för att en enskild persons kom- munikation ska kunna utläsas. De lagrade trafikuppgifterna skulle ändå kunna ha ett värde för leverantörerna om de fick behandlas för andra ändamål än vad lagringen är tänkt för. I den allmänna de- batten har det framförts farhågor för att leverantörerna ska använda uppgifterna t.ex. för sammanställningar av sociogram eller för att säljas för att behandlas vid marknadsföring. Mot bakgrund av den information om enskildas kommunikationsmönster som de lagrade trafikuppgifterna skulle kunna ge och de integritetsaspekter som gör sig gällande, måste vi överväga om det ska vara tillåtet att an- vända trafikuppgifterna för annat än brottsbekämpande ändamål. Direktivet om lagring av trafikuppgifter tar inte ställning till frå- gan om vem som från civilrättsliga utgångspunkter har rätt till de lagrade trafikuppgifterna. Däremot har direktivet som utgångs- punkt att lagringens fullgörande inte medför en oinskränkt rätt att disponera över uppgifterna. Direktivet föreskriver t.ex. en maximal tid för lagringen och att uppgifterna ska förstöras när lagringstiden gått ut. Direktivets artikel 7 synes också utgå från att trafikuppgif- ter som lagras med stöd av direktivet inte ska kunna behandlas för andra ändamål än de som anges i direktivet. Detta hindrar inte att leverantörer sparar trafikuppgifter för andra tillåtna ändamål enligt 6 kap. LEK, t.ex. abonnentfakturering. Artikel 29-gruppen har uttryckt farhågor för att uppgifterna ska behandlas för andra än de brottsbekämpande syftena, som t.ex. övervakning av samtliga medborgares dagliga kommunikations- mönster. Enligt gruppen behöver det säkerställas att de uppgifter som lagras inte medför någon storskalig datautvinning avseende rese- och kommunikationsmönster för personer som de brottsbe- kämpande myndigheterna inte misstänker. Vidare menar gruppen att leverantörerna inte ska ha rätt att bearbeta trafikuppgifter för andra ändamål än de som anges i direktivet, särskilt inte för egna syften. Också Europeiska datatillsynsmannen har yttrat att det är vik- tigt att tillgången till och användningen av trafikuppgifterna be- gränsas till de syften som anges i direktivet. Enligt datatillsyns- mannen måste de lagrade uppgifterna skyddas på lämpligt sätt för att motverka ett felaktigt utnyttjande av dem. I 6 kap. 5 § LEK finns huvudregeln att trafikuppgifter ska utplå- nas eller avidentifieras av leverantörerna när de inte längre behövs för att överföra ett elektroniskt meddelande. Lagen tillåter dock att uppgifterna sparas för viss behandling. I avsnitt 2.2 har vi redogjort för de bestämmelserna. I korthet kan nämnas att det huvudsakligen rör abonnentfakturering, betalning av avgifter för samtrafik, mark- nadsföring av elektroniska kommunikationstjänster, tvistlösning samt verkställighet av beslut om hemlig teleavlyssning eller hemlig teleövervakning. Direktivet om lagring av trafikuppgifter innebär ytterligare ett undantag från grundregeln att trafikuppgifter inte får lagras utan får sparas för ett visst ändamål (artikel 3). De trafik- uppgifter som omfattas av vårt förslag i avsnitt 6 ska lagras av leve- rantörerna för att finnas tillgängliga vid beslut om hemlig teleövervakning eller vid begäran om utlämnande enligt la- gen om elektronisk kommunikation. Den fråga som ska övervägas är om det bör vara tillåtet att behandla trafikuppgifterna för något ytterligare ändamål än för att lämnas ut till brottsbekämpande myndigheter. Mot bakgrund av de stora skillnader som finns mellan leverantörerna både i fråga om verksamhet och volym bedömer vi att både företagsekonomiska skäl, konkurrensskäl och säkerhetsskäl talar för att leverantörerna ska ha möjlighet att anlita annan för att fullgöra lagringen. I sådana fall kan den fysiska utrustningen vara placerad såväl hos den lag- ringsskyldige leverantören som hos annan. Vi vill framhålla att det inte är själva lagringsskyldigheten och de skyldigheter som följer med denna som kan uppdras åt annan. Den lagringsskyldige leve- rantören ska aldrig genom ett sådant avtal kunna frånhända sig nå- gon skyldighet mot myndigheter eller enskilda. Som framgår i avsnitt 2.3.2 regleras leverantörernas tystnads- plikt i bl.a. 6 kap. 20 § LEK. Den bestämmelsen innebär att den som i samband med tillhandahållande av ett elektroniskt kommu- nikationsnät eller en elektronisk kommunikationstjänst har fått del av eller tillgång till uppgift om abonnemang, innehållet i ett elek- troniskt meddelande eller annan uppgift som angår ett särskilt elek- troniskt meddelande inte obehörigen får föra vidare eller utnyttja det han fått del av eller tillgång till. Den stora majoriteten av upp- gifter som lagringsskyldigheten kommer att omfatta är hemliga i den betydelsen att abonnenten inte har gett sitt samtycke till att uppgifterna lämnas ut (jfr t.ex. öppna telefonnummer). När telelagen infördes i samband med att verksamheten i Tele- verket överfördes till uttalade regeringen att bestämmel- serna om tystnadsplikt i den lagen (motsvarande bl.a. 6 kap. 20 § LEK) skulle utgöra en huvudsaklig motsvarighet till vad som gällde enligt sekretesslagen för verksamhet (prop. 1992/93:200 s. 162 ff.). I sekretesslagen anges att den som på grund av anställning eller uppdrag hos myndigheten har deltagit i verk- samheten och fått kännedom om uppgiften har tystnadsplikt (se 1 kap. 6 § sekretesslagen). Att tystnadsplikten enligt lagen om elek- tronisk kommunikation omfattar uppdragstagare i vissa fall fram- går även av PTS:s Sammanställning av lagstiftning och praxis kring utlämnande av teleuppgifter från 2006-11-28. Bestämmelsen om tystnadsplikt utgör därmed inget hinder mot en ordning där leverantören avtalar med annan att fullgöra lagring- en. Den som åtar sig att lagra har ett sådant uppdrag av leverantö- ren som innebär att han eller hon kommer att omfattas av tyst- nadsplikten. Enligt vår bedömning kommer tystnadsplikt att gälla för den stora majoriteten av uppgifter som lagringsskyldigheten omfattar, eftersom abonnenten inte har gett sitt samtycke till att uppgifterna lämnas ut. En möjlighet för leverantörerna att anlita annan för själva lag- ringen innebär fördelar för vissa leverantörer. Från rent civilrättsli- ga utgångspunkter finns det inte något hinder för leverantörerna att träffa sådana avtal. Ett avtal med annan att fullgöra själva lag- ringen påverkar inte leverantörernas skyldigheter enligt våra förslag och innebär därmed inte några negativa konsekvenser från integri- tetssynpunkt. Den som åtar sig lagringen blir personuppgiftsbiträ- de enligt 30 § första stycket PUL. Våra förslag innebär således att leverantörerna får behandla tra- fikuppgifter som lagrats för brottsbekämpande syften endast för att lämna ut dem efter beslut om hemlig teleövervakning eller en- ligt bestämmelserna i lagen om elektronisk kommunikation, eller för att annan fullgör lagringen. Det innebär att all annan behand- ling av trafikuppgifter är otillåten. Uppgifterna kan således inte an- vändas för kommersiella eller andra ändamål. Det kan nämnas att det vid pågår ett mål som tar upp frågan huruvida det enligt gemenskapsrätten är tillåtet att lämna trafikuppgifter avseende Internetanvändare till innehavare av immateriella rättigheter (mål nr C-275/06). General- advokaten menar i sitt förslag till avgörande () att de uppgifter som har lagrats med stöd av direktivet om lagring av trafikuppgifter enbart får lämnas ut för att utreda, avslöja och väcka åtal rörande allvarliga brott och att utlämnande därför inte får ske till innehavare av immateriella rättigheter. 8 Kvalitet och säkerhet 8.1Sammanfattning av våra förslag och bedömningar I lagen om elektronisk kommunikation ska det föras in en bestämmelse som preciserar leverantörernas skyldighet att vidta särskilda tekniska och organisatoriska åtgärder för ett tillräckligt skydd vid behandlingen av lagrade trafikuppgif- ter. får efter samråd med Rikspolisstyrel- sen och Datainspektionen meddela de verkställighetsföre- skrifter som behövs i frågor om säkerhet för trafikuppgif- terna. Lagring av trafikuppgifter kan ske utanför gränser. Personuppgiftslagens bestämmelser om förbud mot överfö- ring av personuppgifter till tredje land är tillräckliga för att upprätthålla integritetsskyddet. Den som övertar en lagringsskyldig leverantörs verksam- het, en konkursförvaltare eller en likvidator ska se till att lagringsskyldigheten fullgörs under den återstående lag- ringstiden. Ändamålet med lagring av trafikuppgifter är att uppgifterna ska finnas bevarade för att de, när det finns förutsätt- ningar för det, ska kunna användas för utredning om allvarlig brottslighet. För att lagringen ska fungera som det är tänkt samti- digt som skyddet för enskildas integritet hålls på en hög nivå, mås- te en rad olika frågor som gäller lagringen och skyddet av de lagra- de trafikuppgifterna övervägas. De förslag vi lägger om lagringsskyldigheten innebär att fler tra- fikuppgifter än kommer att finnas lagrade och att lagringen ska pågå . Mot den bakgrunden ska vi överväga om det finns anledning att förändra de bestämmelser i och lagen om elektronisk kommunikation som preciserar förut- sättningarna för att trafikuppgifterna ska kunna lämnas ut till de brottsbekämpande myndigheterna. Vi återkommer till dessa frågor i avsnitt 11. Systemen för att lagra trafikuppgifter måste vara utformade så att uppgifterna snabbt och säkert kan överföras till myndigheterna. Frågan om leverantörernas skyldigheter att anpassa sina system så att beslut om hemlig teleövervakning kan verkställas m.m. regleras i 6 kap. 19 § LEK. Vi har i avsnitt 7 behandlat frågorna om vilka le- verantörer som ska vara skyldiga att lagra trafikuppgifter och på vilket sätt leverantörerna ska anpassa sin verksamhet för att utan dröjsmål kunna medverka vid verkställighet. Det som ska övervägas är vilka krav som bör ställas så att rätt trafikuppgifter lagras med en teknik som innebär att uppgifterna är skyddade men också när de förs över till de brottsbekämpande myndigheterna. Det är således inte frågan om en anpassning av systemen som tar sikte på verkställigheten av be- slut om hemlig teleövervakning utan vilka krav som bör ställas på att lagringen bl.a. sker med sådan teknisk kvalitet att de uppgifter som finns lagrade är säkrade för att kunna lämnas ut i den mån de efterfrågas av de brottsbekämpande myndigheterna. Både skyddet för enskildas integritet och hänsynen till näringsli- vets affärsförhållanden kräver överväganden om hur de trafikupp- gifter som lagras av leverantörerna bör vara skyddade så att de inte kan ändras eller behandlas för andra ändamål än de avsedda genom obehörig eller olaglig åtkomst. Lagrade trafikuppgifter ska således inte kunna missbrukas genom att de stjäls, lämnas ut obehörigen eller sprids av misstag t.ex. på grund av tekniskt fel eller olyckshän- delse. För att lagringen av trafikuppgifter ska ha den säkerhet som krävs för en hög tillit till systemet och lagringen utföras så att både integritetsskyddet och effektiviteten tillgodoses måste både det tekniska och organisatoriska skyddet vara tillräckligt, som de rättsliga regler som blir tillämpliga om trafikuppgifter ändå skulle komma att spridas i strid mot lagen verkar tillräckligt avhål- lande och reparativa. En säker lagring av trafikuppgifter behöver därför övervägas utifrån tekniska, administrativa, straffrättsliga, civilrättsliga och förvaltningsrättsliga utgångspunkter. Vi kommer i det följande att analysera vilket skydd som nuva- rande regler innebär för lagrade trafikuppgifter och överväga beho- vet av nya regler. I detta avsnitt behandlar vi frågor som gäller kva- litet hos de lagrade uppgifterna och den tekniska säkerhet som krävs för att skydda uppgifterna. Det straff- och skadeståndsrätts- liga skyddet och tillsynsfrågor tas upp i avsnitt 9 och 10. 8.3Kraven på kvalitet och säkerhet Direktivet innehåller flera artiklar som syftar till en säker lagring. Det anges att lagrade trafikuppgifter ska vara av samma kvalitet och vara föremål för samma säkerhet och skydd som uppgifterna i nät- verket (artikel 7 a). Dessutom ska uppgifterna omfattas av lämpliga tekniska och organisatoriska åtgärder för att skyddas mot oavsikt- lig eller olaglig förstöring, oavsiktlig förlust eller oavsiktlig ändring, eller otillåten eller olaglig lagring av, behandling av, tillgång till eller avslöjande av uppgifterna (artikel 7 b). Uppgifterna ska också om- fattas av lämpliga tekniska och organisatoriska åtgärder för att sä- kerställa att endast särskilt bemyndigad personal får tillgång till lag- rade uppgifter (artikel 7 c). En grundförutsättning för att syftet med lagring av trafikuppgif- ter ska uppnås är att rätt trafikuppgifter lagras med hjälp av en tek- nik som håller hög kvalitet och säkerhet. Det innebär att lagringen ska ske med minst samma kvalitet, säkerhet och skydd som uppgif- terna i nätverket. Tekniken måste vara konstruerad så att de upp- gifter som lagras inte kan ändras i systemet. Med en tillräckligt hög kvalitet i dessa avseenden tillgodoses direktivets krav på att lagrade trafikuppgifter ska vara korrekta och tillgängliga som ett högt integritetsskydd för lagrade uppgifter uppnås. Som vi har utformat våra förslag blir det leverantörerna som får ansvaret för att lagringen av trafikuppgifter är förenlig med de krav på kvalitet och säkerhet som direktivet ställer. Det innebär att leve- rantörerna måste ha en god kännedom om vilka trafikuppgifter som ska lagras, ha en tillräckligt stor lagringskapacitet, ha tekniska lösningar som innebär att lagrade trafikuppgifter har samma kvali- tet som uppgifterna i nätverket och en driftsäkerhet som minimerar risken för att uppgifterna förstörs, förloras eller förvanskas. För att systemet ska fungera och för att medborgarna ska kunna ha förtroende för att lagrade trafikuppgifter enbart behandlas när det är tillåtet och lämnas ut endast i de förhållandevis mindre antal fall där de används för att bekämpa allvarlig brottslighet, behövs det regler som tar sikte på risken för otillåten eller obehörig åt- komst. Det innebär att de lagrade trafikuppgifterna måste skyddas inte bara genom tekniska lösningar utan också genom organisato- riska och administrativa åtgärder som begränsar enskilda personers tillgång till uppgifterna. Primärt är skyddet således ett ansvar för leverantörerna. Ytterst blir det dock en fråga om ett straffrättsligt och skadeståndsrättsligt skydd för uppgifterna. Vi återkommer till de frågorna i avsnitt 9. Både den tekniska utvecklingen och förändringar på marknaden för elektronisk kommunikation medför att leverantörernas åtgär- der för kvalitet och säkerhet måste följas upp och defini- eras med bl.a. föreskrifter av olika slag. Vi redovisar i avsnitt 10.4 våra överväganden i fråga om vilken eller vilka myndigheter som bör ha tillsyn över att regelsystemet följs och hur tillsynen bör ut- formas. Enligt de regler som gäller får trafikuppgifter i princip lagras endast i syfte att säkerställa att avtalsförhållandet mellan leverantör och kund fullgörs. I praktiken lagras uppgifter som behövs för att leverantören ska kunna få betalt av kunden. Det ligger därför i leve- rantörernas intressen att lagra just sådan information och att hålla en kvalitets- och säkerhetsnivå som svarar mot detta. Leverantö- rerna har också av konkurrensskäl ett starkt incitament att hålla en hög nivå på säkerhetsskyddet. Regler om teknisk säkerhet finns i 5 kap. 6 a § och 6 kap. 3 § LEK. Bestämmelsen i 5 kap. 6 a § LEK gäller driftsäkerheten i leverantörernas system. Av bestämmelsen framgår att den som till- handahåller allmänna kommunikationsnät eller allmänt tillgängliga elektroniska kommunikationstjänster ska se till att verksamheten uppfyller rimliga krav på god funktion och teknisk säkerhet samt har uthållighet och tillgänglighet vid extraordinära händelser i fredstid. Det innebär att systemen ska vara byggda så att störningar i normal drift eller vid extraordinära händelser inte leder till oac- ceptabla avbrott eller andra problem med driften och att konse- kvenserna av inträffade avbrott eller driftstörningar minimeras. PTS har utfärdat allmänna råd i fråga om kravet på driftsäkerhet (PTSFS 2007:2). Av råden framgår att leverantörerna bör bedriva ett kontinuerligt och systematiskt säkerhetsarbete i vilket delmo- menten riskanalys, riskhantering, planering för avbrott och stör- ningar samt uppföljning av inträffade avbrott och störningar bör finnas. Råden innebär att leverantörerna ska ha en säkerhetspolicy och en säkerhetsorganisation etc. som garanterar en tillräcklig sä- kerhetsnivå. Bestämmelsen i 6 kap. 3 § LEK gäller inte driftsäkerhet utan av- ser det integritetsskydd som ska upprätthållas. I bestämmelsen an- ges att den som tillhandahåller en allmänt tillgänglig elektronisk kommunikationstjänst ska vidta lämpliga åtgärder för att säkerställa att behandlade uppgifter skyddas. Åtgärderna ska vara ägnade att säkerställa en säkerhetsnivå som, med beaktande av tillgänglig tek- nik och kostnaderna för åtgärderna, är anpassad till risken för in- tegritetsintrång. Den som tillhandahåller ett allmänt kommunika- tionsnät ska vidta de åtgärder som är nödvändiga för att upprätthål- la samma skydd i nätet. Av förarbetena framgår inte närmare vilka åtgärder som ska vidtas (prop. 2002/03:110). I artikel 4.1 i direkti- vet om integritet och elektronisk kommunikation, som genomförs i 6 kap. 3 § LEK, anges att det är tekniska och organisatoriska åt- gärder som avses. Uttrycket tekniska och organisatoriska åtgärder förekommer i 31 § PUL. Enligt den bestämmelsen ska den personuppgiftsansva- rige vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas. Åtgärderna ska åstad- komma en säkerhetsnivå som är lämplig med beaktande av de tek- niska möjligheter som finns, vad det skulle kosta att genomföra åtgärderna, de särskilda risker som finns med behandlingen av per- sonuppgifterna och hur pass känsliga de behandlade personuppgif- terna är. Eftersom personuppgiftslagen är subsidiär till annan lagstiftning (2 § PUL) och 6 kap. 3 § LEK tar sikte på integritetsskyddet torde 31 § PUL inte vara direkt tillämplig för leverantörerna avseende hantering av trafikuppgifter (jfr 6 kap. 2 § LEK). För vår bedöm- ning av hur kravet på säkerhet bör bestämmas är det dock av intres- se hur lagstiftaren resonerade när personuppgiftslagen infördes. I förarbetena till personuppgiftslagen anges att uppräkningen är all- mänt hållen och kortfattad men att den på ett bra sätt beskriver de överväganden som måste göras i fråga om säkerhetsåtgärder (prop. 1997/98:44 s. 92 och SOU 1997:39 s. 409 f.). Ett exempel på de särskilda risker som finns vid behandlingen av personuppgifter an- ges vara antalet personer som de behandlade uppgifterna avser. Det anges att skadorna givetvis kan bli mer omfattande när det är upp- gifter om många personer som behandlas på en gång och att en an- gripare kan vara beredd att lägga ned mer resurser på ett intrång om han på en gång kan komma åt uppgifter om många personer. Vidare anges att det väsentliga är att en lämplig säkerhetsnivå uppnås oav- sett om det sker genom tekniska eller organisatoriska åtgärder, dvs. målet är det viktiga och inte vilka medel som används för att nå dit, och att det alltid måste bli fråga om en avvägning för att åstad- komma en lämplig säkerhetsnivå. Enligt förarbetena ger de allmänt hållna reglerna inte tillräcklig vägledning i det enskilda fallet utan avsikten är att Datainspektionen ska meddela de närmare föreskrif- ter om säkerhetsåtgärder som behövs. Datainspektionen har utfärdat allmänna råd, Säkerhet för per- sonuppgifter, som preciserar personuppgiftslagens krav på säkerhet vid behandling av personuppgifter. Av råden framgår bl.a. att en organisation med fungerande administrativa rutiner är väl så viktig som tekniska lösningar och att den bästa tekniken inte behöver an- vändas för att uppnå lämplig säkerhetsnivå om det skulle kosta för mycket. Vidare framgår av råden att tillträdeskontroll, behörig- hetskontroll och behandlingshistorik bör finnas för att säkerställa att endast behörig personal får tillgång till uppgifterna. PTS har inte utfärdat några motsvarande allmänna råd för mark- naden för elektronisk kommunikation. För vår bedömning av vilka tekniska och organisatoriska åtgärder som krävs för ett fullgott skydd är det nuvarande säkerhetsarbetet hos leverantörerna en bra utgångspunkt. De leverantörer som är representerade i utredningen har redovisat viss del av säkerhetsar- betet för oss. Redovisningen har dock av både konkurrensskäl och säkerhetsskäl inte kunnat beskriva säkerhetsarbetet i detalj. Av de uppgifter vi har fått framgår att leverantörerna anser sig ha ett i stort sett väl utbyggt och fungerande säkerhetsarbete. Detta gäller särskilt de stora leverantörerna. En starkt bidragande orsak till detta är konkurrensskäl. Kvalitet och säkerhet utgör i högsta grad konkurrensfaktorer i leverantörernas tävlan om kunder. Leve- rantörerna får snabb och tydlig återkoppling från kunderna om det förekommer brister. De trafikuppgifter som leverantörerna lagrar har som huvudsyfte att vara ett underlag i deras affärsverk- samhet och framför allt för kunddebitering. Eftersom informatio- nen representerar stora ekonomiska värden för leverantörerna, är de tekniska systemen byggda för mycket hög datasäkerhet och till- förlitlighet. Leverantörernas arbete med säkerheten kan i detalj vara uppbyggd på lite olika sätt, men allt syftar till att eliminera yttre och inre påverkan på de tekniska systemen och informationen. Hos de små leverantörerna kan det finns mindre brister i säkerhetsarbe- tet. Den största anledningen till detta uppges vara okunskap. Som en organisatorisk åtgärd till skydd för systemen har leve- rantörerna tagit fram olika säkerhetsföreskrifter som bl.a. beskriver hur och vilka som ska ha tillgång till systemen, hur säkerhetskopie- ring ska göras samt vilket skydd utrustningen och informationen ska ha. Det tekniska skyddet innebär att leverantörerna har ett fysiskt skydd som tar sikte på att systemen ska vara skyddade mot stöld och förstörelse. Det kan vara fråga om t.ex. låsanordningar, larm, extra strömtillförsel och på annat sätt skyddade utrymmen. Det finns också ett IT-tekniskt säkerhetsarbete som tar sikte på säker- heten för både systemen i sig och säkerheten för den information som finns i systemen. Det tekniska skyddet är uppbyggt så att ska kunna förstöras, förvanskas eller stjälas. Konkret innebär det att man använder olika former av behörighetskontroll, åtkomst- kontroll, behandlingshistorik, loggar och kryptering av information m.m. Genom behörighetskontroller säkerställs att endast personer som behöver hantera trafikuppgifterna för tillåtna ändamål kan an- vända systemen. Obehörig åtkomst förhindras genom att inlogg- ningen av behörig personal sker i olika steg. Det innebär att använ- daren bara tillåts ett visst antal misslyckade inloggningsförsök in- nan han eller hon stängs ute. Systemen är särskilt anpassade för le- verantörernas behov och logiskt skilda från varandra. Systemen hanteras enligt en förvaltningsmodell och har en systemägare, en systemförvaltare och en systemadministratör. Systemägaren är kravställare och ytterst ansvarig för systemets funktion. System- förvaltaren sköter systemet enligt systemägarens krav och system- administratören sköter den dagliga hanteringen av systemet.