sou · GVB376 · 2008-01-01 00:00:00 — Trafikuppgifterna leder bl.a. till att oklara förhållanden kan redas ut, till att samband mellan olika personer kan klargöras, till att personer kan knytas till platser som är viktiga för utredning- en av brottet, till ett säkrare underlag i förundersökning och vid åtal och till att utredningen kan inriktas på det som är intressant och snabbt avföra både misstankar och misstänkta som inte ska omfattas av utredningen. De exempel på situationer där trafikupp- gifter har använts vid utredning om allvarliga brott visar enligt vår mening att tillgången till trafikuppgifter är ett nödvändigt och träffsäkert verktyg vid utredningar av allvarlig brottslighet. Teknikutvecklingen och internationaliseringen innebär hela ti- den nya möjligheter för dem som begår brott. Brotten kan planeras och utföras mer anonymt och utan direkt kontakt mellan dem som är inblandade. Tekniken och internationaliseringen utnyttjas också för att dölja brotten och försvåra upptäckt. Olika slags lösningar för elektronisk kommunikation kan därmed användas direkt som ett brottsverktyg och som en del i brottsplanen. Möjligheten att lagra trafikuppgifter innebär att de elektroniska spår som finns i samband med brottet kan användas för att på ett konkret och rättssäkert sätt föra utredningen om brottet framåt. För de flesta medborgare torde det te sig naturligt att den teknik som kan spåras i samband med att ett allvarligt brott har begåtts också används för att utreda brottet. BRU gjorde den generella bedömningen att tillgången till tra- fikuppgifter är av fundamental betydelse för brottsutredningsverk- samheten och att tillgången ofta har en direkt koppling till att för- undersökningarna över huvud taget kan föras framåt. Vi instämmer i den slutsatsen. I de allra flesta fall finns inte några godtagbara al- ternativa metoder att använda. Fysisk spaning och öppna tvångsmedel som husrannsakan kan i vissa lägen vara ett gott kom- plement till den information som trafikuppgifter kan ge, men är sådana metoder av både praktiska och utred- ningsmässiga skäl inte möjliga att genomföra. För att de brottsbe- kämpande myndigheterna ska kunna fullgöra sitt uppdrag måste de alltså få tillgång till de trafikuppgifter som anges i direktivet. Trafikuppgifter som ska lagras De brottsbekämpande myndigheterna har dessutom anfört att det finns behov av att fler trafikuppgifter än de som anges i direkti- vet lagras. Ett genomförande av direktivet får inte leda till att de brottsbekämpande myndigheterna får sämre förutsättningar än att bekämpa allvarlig brottslighet. Vår utgångspunkt är att lag- ringsskyldigheten enligt direktivet ska genomföras så att den om- fattar de trafikuppgifter som de brottsbekämpande myndigheterna kan ha tillgång till och som avser fast och mobil telefoni, samt Internetåtkomst, e-post och Internettelefoni. Vi återkommer till frågan om de brottsbekämpande myndigheternas ytterligare behov i avsnitt 6.8.2, 6.13 och 6.14. 6.6Hur bör lagringsskyldigheten struktureras? Förslag och bedömning: Regleringen ska vara tydlig och väl av- gränsad och utformad så att den så långt det är möjligt blir obero- ende av den tekniska utvecklingen. Lagringsskyldigheten innebär inte en uttömmande uppräkning av vilka uppgifter som de brottsbekämpande myndigheterna har rätt att få från leverantörerna. Den enskilde leverantörens lagringsskyldighet ska enbart omfat- ta uppgifter som denne genererar eller behandlar. De uppgifter som ska lagras får inte avslöja kommunikationens innehåll. Teknikneutrala och tydliga regler När direktivet om lagring av trafikuppgifter ska genomföras i svensk rätt hade den enklaste lösningen varit att utforma författ- ningstexten i mycket nära anslutning till skrivningarna i direktivet. kan en sådan lösning medföra problem . Mot bak- grund av den snabba teknikutvecklingen måste direktivet tolkas. Vi kan konstatera att vissa av de uttryck som används, t.ex. IMSI och IMEI, kommer att vara föråldrade . Direkti- vets uttryck om att det specifikt ska vara de uppgifter som anges i direktivet som ska omfattas av lagringsskyldighet (jfr artikel 11 i direktivet om lagring av trafikuppgifter som innebär en ändring av artikel 15 i direktivet om integritet och elektronisk kommunika- Trafikuppgifter som ska lagras tion) bör därför förstås så att lagringsskyldigheten ska omfatta de olika typer av uppgifter som framgår av artikel 5. Utgångspunkten enligt våra direktiv är att de föreslagna be- stämmelserna så långt det är möjligt ska vara oberoende av den tekniska utvecklingen, som vi ska beakta behovet av tyd- liga och väl avgränsade regler. I det följande lämnar vi förslag till hur en mer teknikneutral lösning bör utformas. Författningsgivning som reglerar integritetskänsliga uppgifter brukar ske genom lag (jfr prop. 1990/91:60 s. 50 och 1997/98:44 s. 41). Det är också med den utgångspunkten som det nuvarande re- gelsystemet kring trafikuppgifter är utformat. och lagen om elektronisk kommunikation re- glerar inte i detalj vilka uppgifter som de brottsbekämpande myn- digheterna har rätt att få ut, annat än att det ska vara fråga om uppgift om telemeddelanden respektive uppgift som angår ett särskilt elektroniskt meddelande. Regleringarna är med andra ord teknikneutrala och anger inte i detalj vilka typer av uppgifter det är fråga om. På samma vis innehåller varken lagen om elektronisk kommunikation, förordningen med samma namn eller föreskrifter från PTS någon uppräkning i detalj av vilka typer av uppgifter som leverantörerna får spara för exempelvis abonnentfakturering (6 kap. 6 § LEK och 35 § nämnda förordning). För att en tydlig reglering som är så teknikneutral som möjligt ska åstadkommas blir det nödvändigt att ha bestämmelser som rör lagringsskyldigheten i olika avseenden både i lag, förordning och myndighetsföreskrifter. I lag ska bl.a. de bestämmelser finnas som ger åligganden för enskilda (8 kap. 3 § regeringsformen). Som vi utvecklar senare i betänkandet rör det bl.a. skyldigheten för leve- rantörer att lagra trafikuppgifter för brottsbekämpande syften och leverantörernas skyldighet att lagra uppgifterna på ett säkert sätt. Detaljregleringen och den mer tekniska beskrivningen av vilka tra- fikuppgifter som ska lagras behöver inte finnas i lag. Det blir en mer lämplig och teknikneutral reglering som står sig om det i lag tas in en bestämmelse om att regeringen i förordning re- glerar den mer tekniska beskrivningen av lagringsskyldigheten. Förordningen om elektronisk kommunikation reglerar i stort sett enbart PTS verksamhet som tillsynsmyndighet. Vi bedömer att be- stämmelser som preciserar vilka trafikuppgifter som ska lagras inte passar i den förordningen. I stället föreslår vi en särskild förordning om lagring av trafikuppgifter m.m. för brottsbekämpande syften. Den reglering som innebär en mycket hög detaljnivå, t.ex. rörande Trafikuppgifter som ska lagras de säkerhetsåtgärder som leverantörerna ska vidta för att skydda uppgifterna, bör ske i föreskrifter från tillsynsmyndigheten. Uppgifter som genereras eller behandlas ska lagras I artikel 3 i direktivet om lagring av trafikuppgifter anges att det enbart är de trafikuppgifter som den enskilde leverantören genere- rar eller behandlar som omfattas av lagringsskyldigheten. Leveran- tören kommer alltså inte att ha skyldighet att skaffa sig alla de uppgifter lagringsskyldigheten omfattar utan lagringsskyldigheten för leverantören omfattar endast de trafikuppgifter som genereras eller behandlas i verksamheten. Direktivet innebär därmed inget hinder mot exempelvis anonyma kontantkort. Finns däremot upp- gifterna hos leverantören och genereras eller behandlas, även om det bara rör sig om en ytterst , ska de lagras. Detta gäller oavsett om uppgifterna lagras av leverantören el- ler inte. De uppgifter som lagringsskyldigheten omfattar enligt direkti- vet om lagring av trafikuppgifter får inte avslöja kommunikatio- nens innehåll (artikel 5). De förslag till lagring av trafikuppgifter som vi föreslår utgår från detta. Förslag: Lagringsskyldigheten ska struktureras i kategorierna tele- foni, meddelandehantering, Internetåtkomst och anslutningsform. Tydligheten i regleringen är viktig för att medborgarna i så hög ut- sträckning som möjligt ska kunna förstå vad lagringsskyldigheten omfattar och för att de berörda aktörerna ska förstå vad som faller in under regleringen och därmed kunna fullgöra sina skyldigheter. En klart och tydligt avgränsad reglering ser vi som en av de faktorer som bidrar till ett gott integritetsskydd och till att upprätthålla god konkurrens och skapa ett gott innovationsklimat och en mångfald på marknaden. Mot bakgrund av teknikutvecklingen, där olika sektorer gradvis växer samman (konvergensen), överskådligheten och förståelsen (inte minst från berörda aktörer) har vi valt att arbeta efter en för- fattningsmässig lösning där de olika teknikområdena är uppdelade på ett mer teknikneutralt och framtidsorienterat sätt än vad som Trafikuppgifter som ska lagras följer direkt av direktivet om lagring av trafikuppgifter. Direktivet utgår från att de olika områdena har ett vertikalt förhållande till varandra, exempelvis så skiljs fast, mobil och Internettelefoni åt. I den tekniska realiteten är många lösningar kombinatio- ner. Som exempel kan nämnas att en fast telefon eller en mobiltele- fon kan användas för Internetåtkomst med vars hjälp Internettele- foni kan användas. Utan att gå in på tekniska detaljer är ett annat exempel att ett och samma samtal kan gå från en mobiltelefon till en fast telefon och transitering (trunking) kan ske med hjälp av Internettelefoni mellan mobilnätet och det fasta telenätet. För att åskådliggöra något av komplexiteten kan följande bild avseende telefoni användas. Ett sätt att få en så teknikneutral reglering som möjligt som låter regleringen bättre avspegla hur systemen rent faktiskt fungerar, är att anlägga ett mer horisontellt synsätt vid tolkningen och ge- nomförandet av direktivet. Därmed kan det skapas en struktur som bättre kommer att stå sig över tiden. Exempelvis kommer nya kommunikationstjänster att kunna omfattas av författningstexten på ett mycket mer tydligt sätt. De förändringar i regelverket som kan komma att krävas blir med vår lösning mer begrän- sade än vad de annars hade blivit. Trafikuppgifter som ska lagras Vårt sätt att strukturera de uppgifter som ska lagras utgår från följande uppdelning i författningstexten. Begreppet telefonitjänst definieras i 1 kap. 7 § LEK som en elek- tronisk kommunikationstjänst som innebär möjlighet att ringa upp eller ta emot samtal via ett eller flera nummer inom en nationell eller internationell nummerplan, inklusive nödsamtal. Samtal defi- nieras i samma bestämmelse som förbindelse för överföring av tal som medger tvåvägskommunikation i vad som för användaren upp- fattas som realtid. Många Internettelefonitjänster medger inte alltid att nödsamtal genomförs. Den definition av telefonitjänst som används i lagen om elektronisk kommunikation blir därför för snäv för att kunna användas i detta sammanhang. Telefoni enligt vårt förslag bör där- för definieras som i 1 kap. 7 § LEK men utan kravet att nödsamtal ska kunna genomföras. I artikel 2 i direktivet om lagring av trafikuppgifter definieras te- lefonitjänst som uppringning (inbegripet rösttelefoni, röstmedde- landen, konferenssamtal och datatelefoni), extratjänster (inbegripet omstyrning och överflyttning av samtal) och meddelandeförmed- ling och multimedietjänster (inbegripet SMS, EMS och multime- dietjänster). Vid telefoni finns en uppringande och en uppringd part som kan anges med olika typer av adresser, t.ex. användar-ID eller s.k. E.164-nummer (vanligt telefonnummer). PTS beskriver telefoninummerplanen och dess principer på föl- jande sätt. Telefoninummerplan specificerar formatet och strukturen på de nummerserier som används i planen. Dessa nummerserier är uppdelade i grupper, främst genom nationella destina- tionskoder (NDC), för att kunna identifiera specifika delar som används för identifikation, dirigering och debiteringsän- damål för att identifiera abonnenter, användare och tjänster. Trafikuppgifter som ska lagras Telefoninummerplanen innehåller inte prefix, suffix eller an- nan extra information som behövs för att fullfölja en sam- talsuppkoppling. Sådan information, såsom internationellt prefix 00, nationellt prefix 0 och operatörsprefix 95XX, ingår i nummertagningsplanen som anger hur nummerplanen an- vänds. Ur nummerplanens nummerserier tilldelar PTS antingen enskilda nummer (inom 11X-serien) eller nummerblock till främst operatörer och tjänsteleverantörer genom utfärdande av tillstånd. Majoriteten av numren i telefoninummerplanen är s.k. E.164-nummer som därmed är nåbara från andra länder ge- nom internationell nummertagning och med en nummer- längd om maximalt 15 siffror i det internationella formatet. Utöver dessa E.164-nummer innehåller även den nationella telefoninummerplanen, som är den nationella implemente- ringen av den internationella E.164-nummerplanen, andra na- telefonnummer som inte är nåbara från andra länder och här avses främst korta servicenummer i 11X-serien. tillämpar en öppen plan med nationellt prefix 0. En öppen plan innebär att landet är indelat i olika geografiska områden, riktnummerområden, inom vilka det är möjligt att slå endast abonnentnumret. En nummerplan där det fullstän- diga telefonnumret inklusive riktnummer måste slås, kallas sluten plan. Tre grundläggande principer gäller för den svenska num- merplanens struktur och hantering: Alla nummerserier ska vara öppna och kunna nås från alla elektroniska kommunikationsnät. Det ska vara möjligt med nummerportabilitet mellan tjänsteleverantörer. Det ska i nummerhänseende vara möjligt att nå sådana nät och tjänster hos olika tjänsteleverantörer på likvärdigt sätt. Telefoni enligt vårt förslag ska omfatta fall där E.164-nummer an- vänds, dvs. nummer ur en telefoninummerplan. Definitionen av telefoni inkluderar därmed fast och mobil telefoni och de flesta In- ternettelefonitjänster. Internettelefoni som använder andra adres- ser som identifiering kommer inte att omfattas. En konsekvens av vår tolkning kan bli att en del kommunikationstjänster för överfö- ring av tal i realtid inte kommer att falla under lagringsskyldighe- Trafikuppgifter som ska lagras Med telefoni avses inte kommunikation som omfattas av be- greppet meddelandehantering (se avsnitt 6.10). Som framgår i det följande har vi för telefoni utformat en gene- rell del som gäller för fast, mobil och Internettelefoni. Utöver den- na del behöver det särskilt anges att vissa uppgifter är specifika för mobil respektive Internettelefoni. Vi har valt att använda begreppet meddelandehantering för att be- skriva överföring av elektroniskt meddelande som främst SMS, MMS och elektronisk post. Det är alltså tjänster som framför allt använder protokoll som SMTP (Simple Mail Transfer Protocol, RFC 2821 och RFC 2822, IETF) och SMPP (Short Message v5.0, ). Det förhållandet att det är möjligt att skicka SMS såväl från en mobil som en fast telefon och via elektro- nisk post tydliggör att den horisontella struktur vi har valt är att föredra framför den vertikala som finns i direktivet om lagring av trafikuppgifter. Internetåtkomst avser möjligheten att överföra s.k. IP-paket med hjälp av olika tekniker (anslutningsform) och ger användaren åt- komst till Internet. I praktiken innebär detta att användaren tillde- las en eller flera IP-adresser för kommunikation. IP-adresserna kan vara fasta eller dynamiska (DHCP). Den kapacitet som ger möjlighet till överföring av IP-paket för att få Internetåtkomst har vi valt att beteckna anslutningsform. Exem- pel på anslutningsform är DSL (vilket i sin tur kan ske med hjälp av leverantörer av t.ex. bitströmsaccess), fiberoptiska anslutningar, (UMTS), GSM (GPRS), vanliga traditionella telefonmodem och WLAN (trådlöst nät). Trafikuppgifter som ska lagras 6.7Vilka uppgifter ska lagras vid telefoni? Förslag: Vid telefoni ska följande uppgifter lagras: –Nummer som slagits och nummer till vilka samtalet styrts –Uppgifter om abonnent och registrerad användare –Datum och spårbar tid då kommunikationen påbörjades och av- slutades –Den tjänst som använts Direktivet om lagring av trafikuppgifter anger uttryckligen att föl- jande uppgifter ska lagras. användar-ID och telefonnummer vilka tilldelats kommu- nikationen i det allmänna telenätet Uppgifter om uppringande telefonnummer är nödvändiga för att spåra och identifiera en kommunikationskälla och för att identifiera användarnas kommunikationsutrustning, eller den utrustning som de tros ha använt. 6.7.2Nummer som slagits och nummer till vilka samtalet styrts Direktivet om lagring av trafikuppgifter anger uttryckligen att föl- jande uppgifter ska lagras. det eller de nummer som slagits (det eller de uppringda telefonnumren), och, i fall som berör tilläggstjänster så- som omstyrning och överflyttning av samtal, det eller de nummer till vilket eller vilka samtalet styrs användar-ID eller telefonnummer som tilldelats den eller de avsedda mottagarna av ett Internettelefonsamtal Uppgifter om nummer som slagits och nummer till vilka samtalet styrts är nödvändiga för att identifiera slutmålet för en kommuni- Trafikuppgifter som ska lagras kation och för att identifiera användarnas kommunikationsutrust- ning, eller den utrustning som de tros ha använt. 6.7.3Uppgifter om abonnent och registrerad användare Direktivet om lagring av trafikuppgifter anger uttryckligen att föl- jande uppgifter ska lagras. abonnentens eller den registrerade användarens namn och adress namn på och adress till den abonnent eller registrerade användare som IP-adressen (Internet Protocol), använ- daridentiteten eller telefonnumret tilldelades vid tid- punkten för kommunikationen abonnentens (abonnenternas) eller den eller de registre- rade användarnas namn och adress namn på och adress till abonnenten (abonnenterna) eller den eller de registrerade användarna och det användar-ID som tilldelats den avsedda mottagaren av kommunika- tionen Uppgifter om abonnent eller registrerad användare är nödvändiga för att spåra och identifiera en kommunikationskälla och för att identifiera slutmålet för en kommunikation. Namn och adress är inte unika begrepp för att identifiera en viss person eller organisation. Mot den bakgrunden och med tanke på att leverantörerna ibland använder andra begrepp för att registrera kunder och användare, ska lagringsskyldigheten innefatta inte en- bart namn och adress utan även person- och organisationsnummer, vilket är uppgifter som i vårt land används för att säkert identifiera någon. Vi ser inte detta som en lagringsskyldighet utöver direktivet om lagring av trafikuppgifter (se vidare avsnitt 6.14). Det kan nämnas att uppgift om personnummer får behandlas utan samtycke bara när det är klart motiverat med hänsyn till än- damålet med behandlingen, vikten av en säker identifiering eller något annat beaktansvärt skäl (22 § PUL). Den bestämmelsen hindrar enligt vår bedömning inte att lagringsskyldigheten avser även person- eller organisationsnummer. Trafikuppgifter som ska lagras 6.7.4Datum och spårbar tid då kommunikationen påbörjades och avslutades Direktivet om lagring av trafikuppgifter anger uttryckligen att föl- jande uppgifter ska lagras. datum och tid då kommunikationen påbörjades och av- slutades datum och tid för på- respektive avloggning i den Inter- netbaserade e-posttjänsten eller Internettelefonitjänsten inom en given tidszon Uppgifter om datum och spårbar tid då kommunikationen påbör- jades och avslutades är nödvändiga för att identifiera datum, tid- punkt och varaktighet för en kommunikation. Som nämndes anger direktivet om lagring av trafikuppgif- ter att syftet med att lagra dessa uppgifter är att identifiera datum, tidpunkt och varaktighet för en kommunikation. För telefoni i fasta nät och för mobil telefoni anger direktivet att för det syftet ska uppgift om datum och tid då kommunikationen påbörjades och avslutades lagras (se den första citerade punkten ovan). För Inter- nettelefoni anger direktivet att uppgift om på- och avloggningstid- punkter ska lagras. Det är möjligt att vara påloggad under mycket långa tidsperioder. På- och avloggning innebär alltså inte nödvän- digtvis start- och slutpunkt för en kommunikation. Syftet med di- rektivet är att säkerställa att de brottsbekämpande myndigheterna kan få tillgång till trafikuppgifter av betydelse för utredningsarbe- tet. Det är orimligt att tänka sig att på- och avloggningstidpunkter- na, mellan vilka det kan förflyta år, skulle vara av sådan vikt för det arbetet att det är dessa tidpunkter som avses i direktivet och inte de tidpunkter som på ett mycket mer direkt sätt kan knytas till en persons handlingar, dvs. tidpunkterna för själva kommunikationen. Mot den bakgrunden bör direktivets uttryck att det är uppgifter om kommunikationen som ska lagras tolkas så att det är själva kommunikationens början och slut som avses även vid Internette- lefoni (se vidare avsnitt 6.14). Trafikuppgifter som ska lagras 6.7.5Den tjänst som använts Direktivet om lagring av trafikuppgifter anger uttryckligen att föl- jande uppgifter ska lagras. den telefonitjänst som används den Internettjänst som används Uppgifter om den tjänst som använts är nödvändiga för att identi- fiera typen av kommunikation. I artikel 2 i direktivet om lagring av trafikuppgifter definieras te- lefonitjänst som uppringning (inbegripet rösttelefoni, röstmedde- landen, konferenssamtal och datatelefoni), extratjänster (inbegripet omstyrning och överflyttning av samtal) och meddelandeförmed- ling och multimedietjänster (inbegripet SMS, EMS och multime- dietjänster). Någon motsvarande definition av begreppet Internet- tjänst finns inte i direktivet. Vårt sätt att strukturera lagringsskyldigheten innebär att under den här aktuella rubriken faller den del av telefonitjänst som inte avser meddelandehantering. Med tjänst avses t.ex. röstbrevlåda, vidarekoppling och/eller omstyrning. Direktivet om lagring av trafikuppgifter anger uttryckligen att föl- jande uppgifter ska lagras. det uppringande telefonnumret för uppringda förbindel- ser DSL () eller annan slutpunkt för kommunikationens avsändare Uppgifter om slutpunkter är nödvändiga för att identifiera använ- darnas kommunikationsutrustning, eller den utrustning som de tros ha använt. Med slutpunkt avses den tekniska utrustningen i en fysisk änd- punkt som står under leverantörens kontroll, såsom telefonväxlar, routers, portnummer, utrustningsidentitet, MAC-adresser och abonnemangsidentitet. Trafikuppgifter som ska lagras 6.8Vilka ytterligare uppgifter ska lagras vid mobil telefoni? Förslag: Vid mobil telefoni ska dessutom följande uppgifter lagras: –Den uppringande och den uppringda partens abonnemangsidenti- tet och utrustningsidentitet –Lokaliseringsinformation för kommunikationens början och slut –Datum, spårbar tid och lokaliseringsinformation för den första aktiveringen av en förbetald anonym tjänst Bedömning: En lagringsskyldighet för lokaliseringsinformation avseende kommunikationens slut går utöver direktivet om lagring av trafikuppgifter men kan motiveras utifrån en avvägning mellan brottsbekämpningsintresset och integritetsskyddet enligt direktivet om integritet och elektronisk kommunikation. 6.8.1Den uppringande och den uppringda partens abonnemangsidentitet och utrustningsidentitet Direktivet om lagring av trafikuppgifter anger uttryckligen att föl- jande uppgifter ska lagras. den uppringande partens IMSI (International Mobile Subscriber Identity) den uppringande partens IMEI (Identity) den uppringda partens IMSI den uppringda partens IMEI Uppgifter om den uppringande och den uppringda partens abon- nemangsidentitet och utrustningsidentitet är nödvändiga för att identifiera användarnas kommunikationsutrustning, eller den ut- rustning som de tros ha använt. IMSI och IMEI är alltför tekniska begrepp för att kunna stå sig över tiden.