sou · GVB376 · 2008-01-01 00:00:00 — Detsamma gäller uppgift som hänför sig till sådan underrättelseverksamhet som avses i 2 § lagen (1999:90) om behandling av personuppgifter vid medverkan i brottsutredningar samt sådan verksamhet som avses i 7 § 1 lagen (2005:787) om behandling av uppgifter i brottsbekäm- pande verksamhet. Sekretess enligt första och andra styckena gäller i annan verk- samhet hos myndighet för att biträda åklagarmyndighet, polismyn- dighet, , eller med att fö- rebygga, uppdaga, utreda eller beivra brott samt hos tillsynsmyn- digheten i konkurs och hos för uppgift som angår misstanke om brott. Utan hinder av sekretessen enligt andra stycket kan enskild få uppgift om huruvida han eller hon förekommer i Säkerhetspolisens register med anledning av den verksamhet som bedrevs med stöd av 1.personalkontrollkungörelsen (1969:446) och de tilläggsföre- skrifter som utfärdats med stöd av den, 2.förordningen med vissa bestämmelser om verksamheten vid , eller 3.motsvarande äldre bestämmelser. Sekretess gäller inte för uppgift som hänför sig till sådan verk- samhet hos som avses i andra stycket om uppgif- ten har införts i en allmän handling . I fråga om annan uppgift i allmän handling som hänför sig till sådan verksamhet som avses i andra stycket gäller sekretessen i högst . uppgift i allmän handling i övrigt gäller sekretessen i högst . Denna lag träder i kraft . lag om ändring i lagen (2003:389) om elektronisk kommunikation Härigenom föreskrivs i fråga om lagen (2003:389) om elektro- nisk kommunikation dels att 6 kap. 3 och 5 §§ ska ha följande lydelse, dels att rubriken närmast före 6 kap. 5 § ska ha följande lydelse, dels att det i lagen ska införas fem nya paragrafer, 6 kap. 6 a - 6 d och 19 a §§, av följande lydelse. Den som tillhandahåller en allmänt tillgänglig elektronisk kommunikationstjänst skall vid- ta lämpliga åtgärder för att sä- kerställa att behandlade uppgif- ter skyddas. Den som tillhanda- håller ett allmänt kommunika- tionsnät skall vidta de åtgärder som är nödvändiga för att upp- rätthålla detta skydd i nätet. Åt- gärderna skall vara ägnade att säkerställa en säkerhetsnivå som, med beaktande av tillgäng- lig teknik och kostnaderna för att genomföra åtgärderna, är anpassad till risken för integri- tetsintrång. Den som tillhandahåller en allmänt tillgänglig elektronisk kommunikationstjänst ska vidta lämpliga åtgärder för att säker- ställa att behandlade uppgifter skyddas. Den som tillhandahål- ler ett allmänt kommunika- tionsnät ska vidta de åtgärder som är nödvändiga för att upp- rätthålla detta skydd i nätet. Åt- gärderna ska vara ägnade att sä- kerställa en säkerhetsnivå som, med beaktande av tillgänglig teknik och kostnaderna för att genomföra åtgärderna, är anpas- sad till risken för integritetsin- trång. Lagringsskyldiga enligt 6 a § ska dessutom vidta särskilda tek- niska och organisatoriska åtgär- der för att säkerställa ett tillräck- ligt skydd vid behandlingen av lagrade trafikuppgifter. Trafikuppgifter som avser användare som är fysiska perso- ner eller avser abonnenter och som lagras eller behandlas på annat sätt av den som bedriver verksamhet som är anmälnings- pliktig enligt 2 kap. 1 §, skall utplånas eller avidentifieras när de inte längre behövs för att överföra ett elektroniskt medde- lande, om de inte får sparas för sådan behandling som anges i 6 eller 13 §. Trafikuppgifter som avser användare som är fysiska perso- ner eller avser abonnenter och som lagras eller behandlas på annat sätt av den som bedriver verksamhet som är anmälnings- pliktig enligt 2 kap. 1 §, ska ut- plånas eller avidentifieras när de inte längre behövs för att över- föra ett elektroniskt meddelan- de, om de inte sparas för sådan behandling som anges i 6, 6 a eller 13 §. Den som bedriver verksamhet som är anmälningspliktig enligt 2 kap. 1 § och som genererar eller behandlar uppgifter som avses i 20 § första stycket 1 och 3 ska lag- ra uppgifterna för brottsbekäm- pande syften. Lagrade uppgifter får behand- las endast 1.för att lämnas ut enligt 22 § första stycket 2 och 3 eller 27 kap. 19 § , eller 2.enligt 30 § första stycket personuppgiftslagen (1998:204). Lagring enligt 6 a § ska pågå från det datum kommunikationen ägde rum. Vid lagringstidens slut ska uppgifterna utplånas, om de inte har begärts utlämnade men ännu inte läm- nats ut eller den lagringsskyldige annars har rätt att fortsätta be- handla dem. Regeringen meddelar före- skrifter om lagringsskyldighet en- ligt 6 a §. Regeringen eller den myndig- het som regeringen bestämmer meddelar föreskrifter om säkerhet enligt 3 § andra stycket och får i enskilda fall medge undantag från lagringsskyldigheten enligt 6 a §. 6 d § Lagringsskyldiga enligt 6 a § har rätt till ersättning när lagrade trafikuppgifter lämnas ut enligt 22 § första stycket 2 och 3 eller 27 kap. 19 § . Er- sättningen ska betalas av den myndighet som har begärt uppgif- terna. Regeringen eller den myndig- het som regeringen bestämmer meddelar föreskrifter om ersätt- ningen. 19 a § Lagringsskyldiga enligt 6 a § ska bedriva verksamheten så att uppgifterna enkelt kan tas om hand och lämnas ut utan dröjs- mål. Denna lag träder i kraft . förordning (0000:00) om lagring av trafikuppgifter m.m. för brottsbekämpande syften 1 § I denna förordning ges föreskrifter om lagring av trafikuppgif- ter m.m. enligt 6 kap. 3 § andra stycket, 6 a, 6 c och 6 d §§ lagen (2003:389) om elektronisk kommunikation. 2 § I denna förordning avses med 1.Internettelefoni: telefoni som använder IP-paket via Internet för överföring, 2.Internetåtkomst: möjlighet till överföring av IP-paket som ger användaren åtkomst till Internet, 3.meddelandehantering: överföring av elektroniskt meddelande som inte är samtal, 4.misslyckad uppringning: samtal som kopplats fram utan att få svar eller samtal som kopplats fram utan att nå mottagaren, 5.mobil telefoni: elektronisk kommunikationstjänst till mobil nätanslutningspunkt som innebär möjlighet att ringa upp eller ta emot samtal via ett eller flera nummer inom en nationell eller inter- nationell nummerplan och som inte avser meddelande- hantering, 6.slutpunkt: ändpunkt för varje lagringsskyldigs behandling av kommunikation, 7.telefoni: elektronisk kommunikationstjänst som innebär möj- lighet att ringa upp eller ta emot samtal via ett eller flera nummer inom en nationell eller internationell nummerplan och som inte avser meddelandehantering. Uppgifter som ska lagras 3 § Den som är lagringsskyldig enligt 6 kap. 6 a § lagen (2003:389) om elektronisk kommunikation ska lagra de uppgifter som anges i 4-9 §§. 4 § Vid telefoni ska uppgifter om följande lagras: –uppringande telefonnummer, –nummer som slagits och nummer till vilka samtalet styrts, –uppgifter om abonnent och registrerad användare, –datum och spårbar tid då kommunikationen påbörjades och av- slutades, –den tjänst som använts, samt 5 § Vid mobil telefoni ska utöver det som anges i 4 § uppgifter om följande lagras: –uppringande parts abonnemangsidentitet och utrustningsidenti- tet, –uppringd parts abonnemangsidentitet och utrustningsidentitet, –lokaliseringsinformation för kommunikationens början och slut, samt –datum, spårbar tid och lokaliseringsinformation för den första aktiveringen av en förbetald anonym tjänst. 6 § Vid Internettelefoni ska utöver det som anges i 4 § uppgifter om följande lagras: –uppringande parts IP-adresser, samt –uppringd parts IP-adresser. 7 § Vid meddelandehantering ska uppgifter om följande lagras: –avsändarens och mottagarens meddelandeadress, –uppgifter om abonnent och registrerad användare, –datum och spårbar tid för på- och avloggning i meddelandetjäns- ten, –datum och spårbar tid för avsändande och mottagande av medde- lande, samt –den tjänst som har använts och spårbar tid för användandet. 8 § Vid Internetåtkomst ska uppgifter om följande lagras: –användarens IP-adresser, –uppgifter om abonnent och registrerad användare, –datum och spårbar tid för på- och avloggning i Internettjänsten, –typen av Internetanslutning som använts, samt 9 § Vid verksamheter som tillhandahåller kapacitet som ger möjlig- het till överföring av IP-paket för att få Internetåtkomst ska upp- gifter om följande lagras: –uppgifter om abonnent, –vilken typ av kapacitet för överföring som har använts och spår- bar tid för användandet, samt 10 § Lagringsskyldigheten för uppgifter enligt 4-6 §§ gäller även vid misslyckad uppringning. 11 § får efter samråd med Rikspolisstyrel- sen och Datainspektionen meddela verkställighetsföreskrifter om säkerhet enligt 6 kap. 3 § andra stycket lagen (2003:389) om elek- tronisk kommunikation. 12 § får efter samråd med Åklagarmyndig- heten och i enskilda fall medge undantag från lagringsskyldigheten enligt 6 kap. 6 a § första stycket lagen (2003:389) om elektronisk kommunikation. 13 § får efter samråd med Åklagarmyndig- heten, , och meddela föreskrifter om den ersättning som lagringsskyldiga har rätt till enligt 6 kap. 6 d § lagen (2003:389) om elektronisk kom- munikation. Denna förordning träder i kraft . 1Utredningens uppdrag och arbete Efter bombattentaten i fick rådet för rättsliga och inrikes frågor (RIF) i uppdrag av att anta gemensamma åtgärder om lagring av trafikuppgifter. Ett antal länder, däribland , utarbetade förslag som presen- terades och som därefter förhandlades. och rådet antog direktivet 2006/24/EG om lagring av trafikuppgifter (se avsnitt 3). Direktivet syftar till att harmonisera medlemsstaternas regler om de skyldig- heter som leverantörer av allmänt tillgängliga elektroniska kommu- nikationstjänster eller allmänna kommunikationsnät har att lagra vissa uppgifter som genereras eller behandlas i samband med att en kommunikation sker med fast eller mobil telefoni, eller på Internet. De uppgifter som avses i direktivet är trafik- och lokaliseringsupp- gifter samt de uppgifter som behövs för att identifiera en abonnent eller användare. I det följande används det samlande begreppet trafikuppgifter för samtliga nämnda uppgifter. Direktivet om lagring av trafikuppgifter syftar till att säkerställa att uppgifterna finns tillgängliga för utredning, avslöjande och åtal som gäller allvarliga brott. Direktivet anger de kategorier av uppgif- ter som ska lagras. Dessa kategorier är uppdelade på fast och mobil telefoni samt Internetåtkomst, e-post och Internettelefoni. De uppgifter som ska lagras svarar främst på frågorna vem kommuni- cerade med vem, när skedde det, var befann sig de som kommuni- cerade och vilken typ av kommunikation användes. Uppgifterna får dock inte avslöja innehållet i en kommunikation. Direktivet anger lagringstiden och högst och innehåller därutöver bestämmelser om bl.a. vem som ska lagra uppgifterna och krav på säkerhet. Utredningens uppdrag och arbete Direktivet om lagring av trafikuppgifter ålägger medlemsstater- na att genomföra bestämmelserna i nationell rätt senast den 15 sep- tember 2007. När det gäller Internetåtkomst, e-post och Internet- telefoni finns en möjlighet att skjuta upp genomförandet av direk- tivet till och med . Den möjligheten har utnyttjat. Vårt uppdrag är att lämna förslag till hur direktivet om lagring av trafikuppgifter ska genomföras i svensk rätt (dir. 2006:49, se bi- laga 1). Uppdraget skulle redovisas . Vi drog emellertid tidigt den slutsatsen att det inte var meningsfullt att först föreslå regler om lagring av trafikuppgifter som enbart rörde fast och mobil telefoni för att senare återkomma med förslag rörande övriga delar. I stället behövde förslagen presenteras i ett sammanhang. Detta ledde till att regeringen förlängde uppdraget genom tilläggsdirektiv till (dir. 2007:37, se bilaga 2). Vårt uppdrag innebär att vi ska lämna förslag till en rättslig re- glering om lagring av trafikuppgifter som tillgodoser både behovet av bekämpning av allvarlig brottslighet och skyddet för medbor- garnas integritet. Enligt våra direktiv ska vi arbeta med sakkunniga, experter och referensgrupper. Vi ska särskilt uppmärksamma beho- vet av samråd med berörda myndigheter samt med företrädare för berörda branscher och med näringslivet. Vi har haft sammanträden och mer informella kontakter med de sakkunniga, experterna och deltagarna i utredningens referens- grupper. I den kretsen finns företrädare för flera av departementen i , , , Eko- brottsmyndigheten, , , , , , Åklagarmyn- digheten, , , Kommuner och Landsting samt för flera av leverantörerna på marknaden för elektronisk kommunikation. Vid särskilda möten har synpunkter inhämtats från , Rikspolis- styrelsen, Säkerhetspolisen, , (Ju 2004:05), och . Vi har också genomfört en hearing för att få de integritetsfrågor som blir aktuella vid lagring av trafikuppgifter belysta. Utredningens uppdrag och arbete Utredningen har haft en referensgrupp med representanter för riksdagspartierna. Utifrån direktivet om lagring av trafikuppgifter och regeringens direktiv rörande vårt arbete har det inom denna referensgrupp funnits en relativt bred enighet i de frågor som be- handlas i betänkandet. De synpunkter som har anförts har behand- lats i anslutning till de olika delarna i betänkandet. Vi har följt det arbete som och medlemsstaterna har initierat med anledning av de nationella genomförandena av direk- tivet. Dessutom har vi inhämtat upplysningar om den rättsliga re- gleringen och planerade förändringar i den nationella rätten i några av de närliggande EU-länderna, företrädesvis , och de baltiska staterna. Vi har deltagit vid kommissionens ge- nomförandemöten i , haft informella kontakter med tjäns- temän i många länder rörande genomförandeåtgärderna i respektive land och möten med företrädare för det danska justitsministeriet och Home Office. Vi har även, i enlighet med vad som sägs i direktiven och som framgår i det följande, uppmärksammat sådana pågående kommit- téarbeten och lagförslag som har beröringspunkter med uppdraget. I ett inledande avsnitt om bakgrunden m.m. redovisas de nuvarande bestämmelserna i lagen (2003:389) om elektronisk kommunikation (LEK) som gäller behandling av uppgifter och de bestämmelser i den lagen och i (RB) som reglerar under vilka förutsättningar trafikuppgifter får lämnas ut till de brottsbekäm- pande myndigheterna, avsnitt 2. Vi presenterar därefter direktivet om lagring av trafikuppgifter i svensk översättning och redovisar något om genomförandet av direktivet i andra länder, avsnitt 3 och 4. Ett genomförande av direktivet om lagring av trafikuppgifter aktualiserar flera frågor som gäller skyddet för enskildas personliga integritet. Utgångspunkten för direktivet och för våra förslag är regleringen i om skydd för privatliv och kor- respondens och om skyddet för enskildas personliga integritet. Vi för resonemang som gäller integritetsskydd i anslutning till de för- slag vi lämnar. Frågorna behandlas också mer samlat i två särskilda avsnitt, varav det första tar upp regleringen av integritetsskyddet i bl.a. regeringsformen och det sista tar upp våra överväganden om Utredningens uppdrag och arbete balansen i våra samlade förslag till genomförande av direktivet, av- snitt 5 och 12. Frågorna om vilka uppgifter som ska lagras och hur lagrings- skyldigheten ska fullgöras, vem som ska ha skyldighet att lagra, un- der hur lagringen ska ske och för vilka ändamål de trafik- uppgifter som lagras får behandlas av leverantörerna, behandlas i avsnitt 6 och 7. De följande tre avsnitten rör frågorna om hur en säker lagring ska uppnås, dvs. vilken kvalitet och säkerhet som ska finnas för de lagrade trafikuppgifterna, om det behöver ske några förändringar av de straff- och skadeståndsrättsliga bestämmelserna och hur tillsynen ska vara utformad, avsnitt 8-10. I det följande av- snittet finns vår bedömning i frågan om det behöver ske några för- ändringar av bestämmelserna som ger de brottsbekämpande myn- digheterna tillgång till trafikuppgifterna, avsnitt 11. Vi gör därefter en analys av om våra förslag till rättslig reglering tillgodoser kravet på balans mellan intresset av att bekämpa allvarlig brottslighet och skyddet mot integritetsintrång, avsnitt 12. Vilka kostnader som uppkommer och hur de ska fördelas mellan det allmänna och leve- rantörerna och överväganden i frågan om konkurrens på markna- den finns i avsnitt 13 och 14. För att utgöra underlag för en utvär- dering av direktivet om lagring av trafikuppgifter ska det föras na- tionell statistik i olika avseenden. Frågor som gäller statistik be- handlas i avsnitt 15 och genomförandefrågor i avsnitt 16. Utredningar om allvarlig brottslighet innebär bl.a. en kartläggning av vilka personer som har haft kontakt med varandra, när och var kontakterna ägde rum och hur det gick till. En använd arbetsmetod för den typen av kartläggning har varit att följa personer genom fysisk (visuell) spaning. Det ingår också se- dan gammalt i polisens spaningsarbete att kartlägga en misstänkt persons telefonkontakter med andra. Teknikutvecklingen på områ- det elektronisk kommunikation är av stor betydelse i det moderna samhället och innebär stora möjligheter för medborgarna. Kom- munikationssätten blir fler och kommunikationen avsät- ter elektroniska spår. De möjligheter som teknikutvecklingen er- bjuder används av de flesta medborgare. innebär teknik- utvecklingen nya möjligheter för de personer som begår brott. Misstänkta personer använder tekniska hjälpmedel för att kommu- nicera med varandra och för att planera, genomföra och dölja brott. Det medför att mer traditionella metoder, som t.ex. fysisk spaning, inte är tillräckliga som verktyg för de brottsbekämpande myndig- heterna. har tillgången till spaningsuppgifter i form av tra- fikuppgifter blivit en helt nödvändig och ordinär arbetsmetod när allvarlig brottslighet utreds. Utvecklingen inom området elektronisk kommunikation inne- bär att leverantörerna av tjänster och nät inte kommer att ha samma behov av att spara trafikuppgifter för sin egen verk- samhet. Det medför att viktig information om allvarlig brottslighet inte kommer att sparas enligt de bestämmelser som tillåter lagring av trafikuppgifter . Syftet med direktivet om lagring av trafikuppgifter är att säkerställa att trafikuppgifter lagras och finns tillgängliga för att kunna lämnas ut till de brottsbekämpande myn- digheterna för att användas i utredningar om allvarlig brottslighet. Som en bakgrund till våra förslag redogör vi i detta avsnitt först för de nuvarande bestämmelserna om behandling av uppgifter, alltså främst frågan om för vilka ändamål leverantörerna får lagra trafik- uppgifter , och därefter för de bestämmelser som ger brotts- bekämpande myndigheter tillgång till uppgifterna. Vi går också igenom bestämmelserna om s.k. anpassningsskyldighet, dvs. skyl- digheten för leverantörer att i vissa fall anpassa sin verksamhet så att beslut om hemlig teleavlyssning och hemlig teleövervakning kan verkställas. Vi kommer därefter in på det uppdrag som Beredningen för rättsväsendets utveckling (BRU) hade och de förslag som be- redningen lämnade avseende tillgången till uppgifter om elektro- nisk kommunikation i brottsbekämpningen. 2.2Bestämmelserna om behandling av uppgifter Personuppgifter behandlas i en rad olika sammanhang både i allmän och privat verksamhet och en stor del av behandlingen sker på au- tomatisk väg. När moderna kommunikationslösningar används av medborgarna i både privata och andra sammanhang innebär tekni- ken att trafikuppgifter genereras och behandlas. Trafikuppgifter är ofta men inte alltid personuppgifter. Behandling av personuppgifter är generellt reglerad i person- uppgiftslagen (1998:204, PUL). Därutöver finns en rad olika för- fattningar som reglerar behandling av personuppgifter i olika verk- samheter. För rättsväsendets del gäller ett antal registerförfattning- ar som reglerar respektive myndighets behandling av personuppgif- ter. För behandling av trafikuppgifter som också är personuppgifter finns särskilda regler i lagen om elektronisk kommunikation som mer specifikt reglerar behandling av personuppgifter och integri- tetsskydd inom sektorn för elektronisk kommunikation. och rådet antog direktivet om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (data- skyddsdirektivet [95/46/EG]). Syftet med direktivet är att garante- ra en hög skyddsnivå när det gäller enskildas fri- och rättigheter med avseende på behandling av personuppgifter och en likvärdig skyddsnivå i alla medlemsstater. Dataskyddsdirektivet genomförs i svensk rätt genom person- uppgiftslagen. Syftet med lagen är att skydda fysiska personer som är i livet mot att deras personliga integritet kränks genom felaktig behandling av personuppgifter. Personuppgiftslagen innehåller de generella regler som följer av dataskyddsdirektivet i fråga om be- handling av personuppgifter men omfattar också sådant som faller utanför gemenskapsrätten. Personuppgiftslagen är subsidiär till an- nan lagstiftning, dvs. i den mån det finns särreglering i annan lag eller förordning som avviker från personuppgiftslagen gäller de be- stämmelserna. Med personuppgift avses enligt 3 § all slags information som di- rekt eller indirekt kan hänföras till en fysisk person som är i livet. En personuppgift är varje upplysning som avser en identifierbar eller identifierad fysisk person. En identifierbar person är någon som kan identifieras, direkt eller indirekt, framför allt genom hän- visning till ett identifikationsnummer eller till en eller flera faktorer som är specifika för hans fysiska, fysiologiska, psykiska, ekono- miska, kulturella eller sociala identitet (prop. 1997/98:44 s. 117 och 163). Vid bedömningen av om en person är identifierbar ska alla hjälpmedel beaktas som i syfte att identifiera vederbörande rimli- gen kan komma att användas antingen av den personuppgiftsansva- rige eller av någon annan person. Det krävs endast att en fysisk per- son är möjlig att identifiera med hjälp av informationen, inte att den personuppgiftsansvarige själv förfogar över samtliga uppgifter som gör identifieringen möjlig. Den personuppgiftsansvarige ska se till att personuppgifter all- tid behandlas på ett korrekt sätt och i enlighet med god sed samt att personuppgifter samlas in bara för särskilda, uttryckligt angivna och berättigade ändamål. Uppgifterna får inte behandlas för något ändamål som är oförenligt med det syfte för vilket de samlades in. Fler personuppgifter får inte behandlas än som är nödvändigt med hänsyn till ändamålen med behandlingen. Den personuppgiftsan- svarige ska se till att de personuppgifter som behandlas är riktiga och om nödvändigt aktuella, att alla rimliga åtgärder vidtas för att rätta, blockera eller utplåna sådana personuppgifter som är felaktiga eller ofullständiga med hänsyn till ändamålen med behandlingen samt att personuppgifter inte bevaras än vad som är nödvändigt med hänsyn till ändamålen med behandlingen (9 §). Med behandling av personuppgifter avses varje åtgärd som vidtas i fråga om uppgifter, som t.ex. att samla in, registrera, organisera, lagra, bearbeta och sprida uppgifter. Den behandling av personupp- gifter som en fysisk person utför som ett led i en verksamhet av rent privat natur faller emellertid enligt 6 § utanför lagen. Personuppgiftslagen reglerar när en behandling av personupp- gifter är tillåten (10 §). Behandlingen är tillåten om den registrerade har lämnat sitt samtycke till behandlingen eller behandlingen är nödvändig för vissa angivna ändamål. De ändamålen är att a)ett avtal med den registrerade ska kunna fullgöras eller åtgär- der som den registrerade begärt ska kunna vidtas innan ett avtal träffas, b)den personuppgiftsansvarige ska kunna fullgöra en rättslig skyldighet, c)vitala intressen för den registrerade ska kunna skyddas, d)en arbetsuppgift av allmänt intresse ska kunna utföras, e)den personuppgiftsansvarige eller en tredje man till vilken personuppgifter lämnas ut ska kunna utföra en arbetsuppgift i sam- band med myndighetsutövning, eller