sou · GVB376 · 2008-01-01 00:00:00 — Enligt den bestämmelsen är det straffbart att uppsåtligen eller av oakt- samhet bl.a. lämna osann uppgift i information till den som regi- strerats och i anmälan eller information till tillsynsmyndigheten, att behandla integritetskänsliga personuppgifter i strid med person- uppgiftslagens bestämmelser och att lämna ut personuppgifter och integritetskänsliga uppgifter till tredje land i strid med lagen. Straffskalan för brott mot personuppgiftslagen är böter eller fäng- else , eller om brottet är grovt, fängelse i högst . I ringa fall döms inte till ansvar. Det straff- och skadeståndsrättsliga skyddet Det är med andra ord straffbart att behandla trafikuppgifter som är integritetskänsliga personuppgifter i strid med personuppgiftsla- gen och att föra över trafikuppgifter som är personuppgifter till tredje land om landet inte har en adekvat skyddsnivå för behand- ling av uppgifterna (se även avsnitt 8.5). Lagen om skydd för företagshemligheter Lagen om skydd för företagshemligheter innehåller bestämmelser om straff för den som olovligen bereder sig tillgång till en företags- hemlighet eller som på annat sätt tar olovlig befattning med en fö- retagshemlighet. Med företagshemlighet förstås enligt lagen sådan information om affärs- eller driftförhållanden i en näringsidkares rörelse som näringsidkaren håller hemlig och vars röjande är ägnat att medföra skada för honom i konkurrenshänseende (1 §). Med vissa affärs- eller driftförhållanden avses information om affärshän- delser, både enskilda och av allmänt slag. Även information som kan hänföras till pågående drift eller produktion skyddas av lagen liksom information som rör konstruktions- och utvecklingsarbete (prop. 1987/88:155 s. 35). Information om lagrade trafikuppgifter kan enligt vår bedöm- ning i vissa fall vara sådana företagshemligheter som skyddas av lagen. Den som i sådana fall uppsåtligen bereder sig olovlig tillgång till trafikuppgifterna kan dömas för företagsspioneri och den som anskaffar en företagshemlighet för olovlig befattning med före- tagshemlighet (4 §). Företagsbot är en ekonomisk sanktion som under vissa förutsätt- ningar kan åläggas näringsidkare. Förverkande innebär att vinster eller ekonomiska fördelar som har uppkommit hos en näringsidka- re eller en enskild till följd av brott kan bli föremål för förverkande till staten enligt allmänna eller särskilda förverkanderegler. Företagsbot och förverkande kan bli aktuellt t.ex. om leverantö- ren inte har vidtagit särskilda tekniska och organisatoriska åtgärder för att säkerställa ett tillräckligt skydd vid behandlingen av lagrade trafikuppgifter (se avsnitt 8.4). Enligt 36 kap. 7 § kan en näringsidkare åläggas företagsbot om brott har begåtts i utöv- Det straff- och skadeståndsrättsliga skyddet ningen av näringsverksamheten, om det för brottet är föreskrivet strängare straff än penningböter. Det krävs att näringsidkaren inte har gjort vad som skäligen kunnat krävas för att förebygga brotts- ligheten, eller att brottet har begåtts av antingen en person i ledan- de ställning eller en person som annars haft ett särskilt ansvar för tillsyn eller kontroll i verksamheten. Enligt 36 kap. 8 § ska företagsboten fastställas till lägst och högst . Om en enskild person gör sig skyldig till brott kan förverkande av vinster ske enligt 36 kap. 1 § . Det är framför allt det fall av förverkande som anges i 36 kap. 4 § som är intressant att beröra här. Har det till följd av ett brott som är be- gånget i utövning av näringsverksamhet uppkommit ekonomiska fördelar för näringsidkaren, ska värdet av fördelarna förklaras för- verkade om det inte är oskäligt. Bestämmelserna om företagsbot och förverkande blir tillämpliga om trafikuppgifter behandlas på ett otillåtet sätt inom ramen för leverantörens verksamhet. Det innebär att den leverantör som dri- ver näringsverksamhet kan åläggas företagsbot och drabbas av för- verkande om någon anställd hos företaget behandlar lagrade trafik- uppgifter på ett otillåtet sätt. Om det är leverantören själv som har gjort sig skyldig till brott kan den samlade reaktionen på brottet bli ett personligt straffansvar, företagsbot och förverkande. Som framgått tidigare är många av de trafikuppgifter som vårt för- slag omfattar personuppgifter, dvs. de kan direkt eller indirekt hänföras till en fysisk person som är i livet (3 § PUL). är främst en näringsrätts- lig reglering som bl.a. syftar till att enskilda och myndigheter ska få tillgång till säkra och effektiva elektroniska kommunikationer. La- gen innehåller bestämmelser om integritetsskydd (6 kap. LEK) men ingen bestämmelse om skadestånd. Enligt 6 kap. 2 § andra stycket LEK gäller i stället personuppgiftslagens regler om ska- destånd vid behandling av personuppgifter enligt lagen om elektro- nisk kommunikation. Det innebär att skadeståndsbestämmelsen i personuppgiftslagen ska tillämpas när trafikuppgifter som är per- Det straff- och skadeståndsrättsliga skyddet sonuppgifter behandlas i strid med bestämmelserna i lagen om elektronisk kommunikation. Vid felaktig behandling av trafikupp- gifter som inte är personuppgifter blir i stället skadeståndsreglerna i lagen om skydd för företagshemligheter och skadeståndslagen till- lämpliga. Enligt skadeståndsregeln i 48 § PUL ska den registrerade få er- sättning för sådan skada eller kränkning av den personliga integrite- ten som en behandling av personuppgifter i strid med personupp- giftslagen har orsakat. Därutöver ska eventuell personskada, sak- skada och ren förmögenhetsskada (ekonomisk skada utan samband med person- eller sakskada) ersättas. Skadeståndsansvaret är i prin- cip strikt. Om den personuppgiftsansvarige visar att felet inte be- rodde på honom eller henne kan ersättningsskyldigheten dock jämkas till ett skäligt belopp. Bestämmelserna om skadestånd i per- sonuppgiftslagen har karaktären av specialbestämmelse som tar över de allmänna skadeståndsreglerna i skadeståndslagen. Otillåten eller felaktig behandling av trafikuppgifter som är per- sonuppgifter kan grunda skadeståndsskyldighet för leverantören enligt personuppgiftslagen, om förfarandet strider mot de grund- läggande kraven för behandling av personuppgifter enligt 9 § PUL. Enligt den bestämmelsen får personuppgifter samlas in bara för särskilda, uttryckligen angivna och berättigade ändamål och de får inte behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in. Leverantören kan bli skadestånds- skyldig för lagring eller annan behandling som strider mot person- uppgiftslagen. Av 9 § PUL följer att leverantörens skyldighet att se till att de personuppgifter som behandlas är riktiga, och att uppgif- terna inte lagras än vad som är tillåtet, är ska- deståndssanktionerad. När det gäller bevarande av uppgifter inne- håller lagen om elektronisk kommunikation särskilda bestämmelser om bl.a. utplåning och avidentifiering. Att behandla uppgifter i strid med dessa regler eller i strid med de bestämmelser om lagring av trafikuppgifter som vi nu föreslår kan därmed grunda skadeståndsskyldighet enligt personuppgiftslagen. För att kunna undvika skadeståndsskyldighet måste leverantören således ha en hög kvalitet i sin lagring och utplåna uppgifterna i enlighet med vårt förslag, dvs. vid lagringstidens slut. Det straff- och skadeståndsrättsliga skyddet Lagen om skydd för företagshemligheter Lagen om skydd för företagshemligheter innehåller ett flertal be- stämmelser om skadestånd. Bl.a. ska den som gör sig skyldig till företagsspioneri eller olovlig befattning med företagshemlighet er- sätta den skada som uppkommer genom brottet eller genom att företagshemligheten obehörigen utnyttjas eller röjs (5 §). Ska- destånd kan också dömas ut om någon uppsåtligen eller av oakt- samhet utnyttjar eller röjer en företagshemlighet som han i förtro- ende fått del av i samband med en affärsförbindelse (6 §). Detsam- ma gäller en anställd som i vissa fall utnyttjar eller röjer en före- tagshemlighet hos arbetsgivaren som den anställde fått del av i sin anställning (7 §). Den som uppsåtligen eller av oaktsamhet utnytt- jar eller röjer en företagshemlighet som angripits kan bli ska- deståndsskyldig om han insett eller bort inse detta (8 §). De allmänna reglerna i skadeståndslagen blir tillämpliga i den ut- sträckning det saknas andra regler. Skadeståndslagen är i första hand avsedd för s.k. utomobligatoriska förhållanden, således när det saknas avtal mellan skadevållaren och den skadelidande. För det fall t.ex. personuppgiftslagens bestämmelser eller skadeståndsreg- lerna i lagen om företagshemligheter inte ger rätt till ersättning kan alltså skadeståndslagen träda in. I 2 kap. regleras skadeståndsansvaret för olika typer av skador. Har någon av uppsåt eller oaktsamhet orsakat en person- eller sak- skada ska den ersättas. En ren förmögenhetsskada ska ersättas om den orsakas genom brott (2 kap. 1 och 2 §§). Likaså ska den som allvarligt kränker någon genom brott som innefattar ett angrepp mot person, frihet eller frid ersätta den skada som kränkningen in- nebär (2 kap. 3 §). Ersättning för kränkning kan som framgår inte utgå vid alla brott utan är begränsad till brott som utgör ett an- grepp på den skadelidandes personliga integritet. Kränkningsersättning enligt skadeståndslagen kan bli aktuell vid dataintrång om inte skadestånd utgår enligt bestämmelser i annan lag. Även brott mot tystnadsplikten kan ge rätt till kränkningser- sättning enligt skadeståndslagen. Skadeståndslagen innehåller även regler om fördelning av ska- deståndsansvar mellan arbetsgivare och arbetstagare, grunderna för Det straff- och skadeståndsrättsliga skyddet beräkningen av skadeståndet, jämkning och ansvaret vid flera ska- devållare. Bedömning: Lagringen av trafikuppgifter ger inte anledning att förändra några straff- eller skadeståndsrättsliga bestämmelser. Det kan övervägas om det behövs en bestämmelse om grovt da- taintrång med en strängare straffskala. De straff- och skadeståndsrättsliga regler som vi har beskrivit inne- bär sammantaget ett skydd både för själva trafikuppgifterna och för enskilda som skadas om uppgifterna hanteras på ett otillåtet sätt. Även om den nuvarande lagringen av trafikuppgifter främst sker för faktureringsändamål är uppgifterna i flera fall desamma och i många fall lika integritetskänsliga som de trafikuppgifter som kommer att lagras enligt vårt förslag. Skillnaden blir främst att mängden lagrade trafikuppgifter kommer att öka och att många fler typer av uppgifter kommer att lagras. Dessutom kommer lagringen generellt sett att pågå . Det är mot bak- grund av den skillnaden som vi ska överväga om riskerna för integ- ritetsskador ökar så att det finns ett behov av att göra förändringar i de straff- och skadeståndsrättsliga regler som gäller . Enligt vår bedömning ligger den främsta risken för integritets- förluster liksom i att trafikuppgifterna på ett otillåtet sätt, ge- nom uppsåtliga handlingar eller på grund av oaktsamhet, skulle spridas, förstöras eller förändras. De straffrättsliga regler som redan gäller täcker en rad olika si- tuationer där integritetskänsliga uppgifter behandlas i offentlig och privat verksamhet. Enligt vår bedömning täcker bestämmelserna också de olika situationer där trafikuppgifter kan kommas åt på ett otillåtet sätt och missbrukas medvetet eller av oaktsamhet. Vi be- dömer att det inte finns något behov av någon ytterligare straff- rättslig reglering som tar sikte på att skydda just lagrade trafikupp- gifter. En fråga som dock kan övervägas är om straffskalan i bestäm- melsen om dataintrång är tillräcklig. Mot bakgrund av den mängd integritetskänsliga uppgifter som kommer att lagras hos leverantö- rerna kan ett dataintrång få vittgående följder för både enskilda, företag och viktiga samhällsintressen. Det kan därför diskuteras om Det straff- och skadeståndsrättsliga skyddet straffskalan är tillräckligt sträng för att en adekvat påföljd ska kun- na dömas ut vid grövre brott. Det innebär att en bestämmelse om grovt dataintrång med en strängare straffskala skulle behöva över- vägas. Ett sådant övervägande bör dock inte göras enbart utifrån behovet av ett tillräckligt straffrättsligt skydd för lagrade trafik- uppgifter utan frågan om bestämmelsen om dataintrång bör ändras bör göras i ett sammanhang där också andra behov och skäl för en lagändring som kan finnas kan övervägas. Vi föreslår därför inte någon ändring av den bestämmelsen. Den straffrättsliga regleringen innebär också att företagsbot kan bli aktuellt t.ex. om leverantören inte har vidtagit tillräckliga åtgärder för att förebygga brott genom att exempelvis vidta särskil- da tekniska och organisatoriska åtgärder för att säkerställa ett till- räckligt skydd vid behandlingen av lagrade trafikuppgifter. Om ett brott har inneburit ekonomiska fördelar för leverantören kan vär- det eller del av värdet förverkas. En enskild som skadas på grund av brott kan få skadestånd. Förutom att den enskilde kan få ersättning för person-, sak- eller ren förmögenhetsskada kan ersättning för kränkning dömas ut om skadan orsakas genom dataintrång eller brott mot tystnadsplikten. Om skada orsakas genom brott mot lagen om skydd för företags- hemligheter kan den leverantör som skadas få ersättning genom bestämmelser i den lagen. Skadestånd enligt skadeståndslagen kan också dömas ut på grund av att trafikuppgifter har hanterats oaktsamt eller felaktigt utan att det har varit fråga om ett brott. Skadeståndslagen ger rätt till ersättning om skada har vållats genom oaktsamhet. I dessa fall blir det fråga om ersättning för person-, sak- eller ren förmögen- hetsskada. Personuppgiftslagen ger ett betydligt starkare skydd och ger rätt till skadestånd både för kränkning och person-, sak- och förmögenhetsskada om inte den personuppgiftsansvarige visar att felet inte berodde på honom eller henne. Det straff- och skadeståndsrättsliga systemet kompletteras ge- nom vissa bestämmelser som innebär att en enskild som har an- språk på skadestånd kan få biträde. Om skadeståndsanspråket grundar sig på ett brott kan den skadelidande få sitt skadeståndsan- språk prövat i samband med åtalet och sin skadeståndstalan utförd av åklagare enligt bestämmelserna i 22 och 45 kap. RB. Enligt lagen (1988:609) om målsägandebiträde kan den som är målsägande avse- ende ett brott enligt 4 kap. under vissa förutsättningar få bistånd av ett målsägandebiträde. Målsägandebiträdet ska ta till- Det straff- och skadeståndsrättsliga skyddet vara målsägandens intressen och bistå med talan om enskilt anspråk om det inte utförs av åklagaren. I en civilrättslig skadeståndstvist om kränkning kan den enskilde också beviljas rättshjälp enligt be- stämmelserna i rättshjälpslagen (1996:1619). Det straff- och skadeståndsrättsliga systemet kompletteras ock- så av tillsynsverksamheten. Tillsynen bör verka förebyggande så att förhållanden som gör brott möjliga eller medför risker för integri- teten på grund av oaktsamhet motverkas. Om olagligheter eller oaktsamheter ändå inträffat kan tillsynsmyndigheten i efterhand vidta åtgärder. har flera befogen- heter i sin verksamhet, t.ex. kan myndigheten meddela föreläggan- de och förbud vid vite och ytterst besluta att leverantören ska upp- höra med verksamheten. Vi återkommer till tillsynsfrågorna i av- snitt 10. Vi bedömer att de nuvarande straff- och skadeståndsrättsliga be- stämmelserna, som kompletteras av regler som ger enskilde rätt till biträde av åklagare eller annan juridisk hjälp och av tillsynsre- gleringen, inte behöver förändras i anledning av lagringen av trafik- uppgifter. De gällande reglerna ger således enligt vår mening ett skydd mot kränkningar av den personliga integriteten vid otillåten och oaktsam behandling av trafikuppgifter som svarar väl mot di- rektivets krav på sanktioner, inbegripet administrativa eller straff- rättsliga sanktioner, som är effektiva, proportionerliga och av- skräckande. 10.1Sammanfattning av våra förslag och bedömningar ska ha tillsyn över leverantörernas lagring av trafikuppgifter. Datainspektionens tillsyn enligt personuppgiftslagens be- stämmelser förändras inte på grund av våra förslag. Post- och nuvarande tillsynsbefogenheter är ändamålsenliga och tillräckliga. 10.2Direktivet om lagring av trafikuppgifter Våra förslag innebär att leverantörerna får ansvaret för att de tra- fikuppgifter som lagras är korrekta och att de är skyddade mot otil- låten eller oaktsam behandling och spridning. Det innebär att de som har skyldigheten att lagra också har ett särskilt ansvar för sy- stemets effektivitet, kvalitet och säkerhet. Leverantörernas ansvar för lagringen av trafikuppgifter behöver, inte minst mot bakgrund av den snabba teknikutvecklingen, preciseras och definieras. Det är också viktigt utifrån medborgarnas krav på skydd för den enskildes integritet och deras förväntningar på effektivitet i brottsbekämp- ningen att systemet följs upp genom en fortlöpande kontroll och tillsyn. Detta fordrar en aktiv tillsynsverksamhet med en tillsyns- myndighet som har god kännedom om regleringen av marknaden för elektronisk kommunikation och insikter om hur tra- fikuppgifter får användas i brottsbekämpningen. Enligt direktivet om lagring av trafikuppgifter ska medlemssta- terna utse en eller flera behöriga tillsynsmyndigheter som ska över- vaka att bestämmelserna om säkerhet för lagrade trafikuppgifter Den eller de myndigheter som svarar för tillsynen ska vara helt oberoende (artikel 9). I det följande redogör vi för hur gällande tillsynsreglering ser ut när det gäller trafikuppgifter och personuppgifter och för de över- väganden vi gör beträffande vilken eller vilka myndigheter som bör ha tillsyn över lagringen av trafikuppgifter samt vilka befogenheter tillsynsmyndigheten bör ha för att tillsynen ska leda till att trafik- uppgifterna lagras med hög kvalitet och säkerhet. PTS utövar tillsyn över verksamhet som bedrivs med stöd av lagen om elektronisk kommunikation. PTS har ett samlat ansvar inom området för elektronisk kommunikation och ska genom sin tillsyn främja tillgången till säkra och effektiva elektroniska kommunika- tioner enligt de mål som anges i lagen. Vidare ska PTS bl.a. främja en sund konkurrens, övervaka pris- och tjänsteutvecklingen samt följa utvecklingen inom området för elektronisk kommunikation, särskilt vad gäller säkerhet vid elektronisk informationshantering och uppkomsten av eventuella miljö- och hälsorisker. PTS ska prö- va frågor om tillstånd och skyldigheter, fastställa och analysera marknader samt pröva tvister enligt lagen om elektronisk kommu- nikation. PTS ska också vara delaktig i EU-arbetet och annan in- ternationell verksamhet (1, 3, 4 och 9 §§ förordningen [1997:401] med instruktion för ). Myndighetens till- synsområde är således relativt stort. För att utöva tillsyn har PTS rätt att få tillträde till områden, lo- kaler och andra utrymmen där verksamhet som omfattas av lagen bedrivs. PTS kan efter yttrande från leverantören meddela föreläg- gande och förbud som får förenas med vite. Sker inte rättelse kan PTS besluta om återkallelse av tillstånd, ändring i tillståndsvillkor eller att en leverantörs verksamhet helt eller delvis ska upphöra. Om en överträdelse utgör ett allvarligt hot mot allmän ordning, allmän säkerhet eller folkhälsan eller kan befaras orsaka allvarliga ekonomiska eller operativa problem för tillhandahållare eller an- vändare av elektroniska kommunikationsnät eller elektroniska kommunikationstjänster får myndigheten, i avvaktan på att ärendet avgörs slutligt, meddela förelägganden, återkalla till- stånd eller ändra tillståndsvillkoren samt besluta att en verksamhet helt eller delvis ska upphöra (7 kap. 1-9 §§ LEK). PTS får också meddela de verkställighetsföreskrifter som be- hövs för frågor om anmälan, ansökan, tillstånd, tillsyn och pröv- ning av tvister enligt lagen om elektronisk kommunikation (4 § förordningen om elektronisk kommunikation). Myndigheten har inte använt sig av möjligheten att meddela verkställighetsföreskrif- ter på nätsäkerhetsområdet. Beslut som PTS fattar enligt lagen om elektronisk kommunika- tion eller enligt föreskrifter som meddelas med stöd av lagen får överklagas hos allmän förvaltningsdomstol (8 kap. 19 § LEK). Vid överklagande till kammarrätten krävs prövningstillstånd. PTS har inte haft något tillsynsärende avseende leveran- törernas lagring av trafikuppgifter. påbörjades arbe- tet med direktivet om lagring av trafikuppgifter inom EU, varför PTS bedömde det som olämpligt att i det läget påbörja en sådan tillsyn. PTS saknar därför t.ex. specifik kännedom om hur länge trafikuppgifterna lagras. Myndigheten har inte heller närmare kännedom om vilka uppgifter som leverantörerna lagrar. PTS har inte sett något behov av att genom föreskrifter reglera vad som ska anses vara en trafikuppgift. Den bedömningen har gjorts mot bakgrund av de många förslag som finns på förändring av lagstiftningen inom området. PTS har inte heller tagit fram några allmänna råd avseende säkerhetsbestämmelser till skydd för integri- tetsintrång (6 kap. 3 § LEK). PTS har också tillsyn när det gäller leverantörernas anpassning av systemen så att hemlig teleavlyssning och hemlig teleövervak- ning kan verkställas (6 kap. 19 § LEK). Eftersom myndigheten inte fått några indikationer på att det skulle finnas några brister har tillsyn, vare sig egeninitierad eller annan, vidtagits . Datainspektionen svarar för tillsynen enligt personuppgiftslagen och personuppgiftsförordningen. Inspektionen har till uppgift att bl.a. verka för att människor skyddas mot att den personliga integ- riteten kränks genom behandling av personuppgifter. Datainspek- tionen ska följa och beskriva utvecklingen på IT-området när det gäller frågor som rör integritet och ny teknik. Inspektionen har också tillsyn över t.ex. de brottsbekämpande myndigheternas verk- samhet när det gäller behandling av personuppgifter. Datainspektionen har i sin tillsynsverksamhet rätt att på begäran få tillgång till de personuppgifter som behandlas, upplysningar om och dokumentation av behandlingen av personuppgifter och om säkerheten vid behandlingen samt tillträde till sådana lokaler som har anknytning till behandlingen av personuppgifter. Om inspek- tionen efter en sådan begäran inte kan få tillräckligt underlag för att konstatera att behandlingen av personuppgifter är laglig, får myn- digheten vid vite förbjuda den personuppgiftsansvarige att behand- la personuppgifter på något annat sätt än genom att lagra dem. In- spektionen ska också, om den konstaterar att personuppgifter be- handlas eller kan komma att behandlas på ett olagligt sätt, genom påpekanden eller liknande förfaranden försöka åstadkomma rättel- se. Inspektionen ska i första hand försöka åstadkomma rättelse ge- nom att samtala med berörd organisation och den personuppgifts- ansvarige. Går det inte att få rättelse på sådant sätt eller är saken brådskande, får myndigheten vid vite förbjuda den personuppgifts- ansvarige att fortsätta att behandla personuppgifterna på annat sätt än genom att lagra dem (43-46 §§ PUL). Datainspektionens beslut i tillsynsfrågor får överklagas till all- män förvaltningsdomstol. Vid överklagande till kammarrätten krävs prövningstillstånd. Datainspektionens tillsyn av vilka tekniska och organisatoriska säkerhetsåtgärder som den personuppgiftsansvarige vidtar för att skydda personuppgifter sker utifrån den avvägning som ska göras mellan de tekniska möjligheter som finns, kostnaderna för att genomföra åtgärderna, de särskilda risker som finns med behand- lingen av personuppgifterna och hur pass känsliga uppgifterna är. Det medför att utrymmet för generella föreskrifter om vilka säker- hetsåtgärder som bör vidtas är mindre och att tillsynen i stället in- nebär att Datainspektionen i enskilda fall avgör om vidtagna åtgär- der är tillräckliga med beaktande av den lämplighetsavvägning som ska göras.