sou · GVB376 · 2008-01-01 00:00:00 — Att uppgifter lagras om person- eller or- ganisationsnummer som kan kopplas till abonnenten eller den regi- strerade användaren, kan därför enligt vår bedömning motiveras även utifrån de överväganden som ska göras enligt artikel 15.1 i di- rektivet om integritet och elektronisk kommunikation. Uppgifter om när kommunikationen påbörjades och avslutades vid Internettelefoni och den typen av uppgifter för avsändande och mottagande av meddelande vid meddelandehantering är minst lika viktiga för de brottsbekämpande myndigheterna som samma typer av uppgifter vid fast och mobil telefoni, som på ett mer uttryckligt sätt anges i direktivet om lagring av trafikuppgifter. Vi gör även här den bedömningen att myndigheterna inte kommer att få tillgång till de uppgifter som behövs i det brottsbekämpande arbetet om en lagringsskyldighet för de nämnda uppgifterna inte skulle införas. Mot bakgrund av att samma typer av uppgifter ska lagras vid fast och mobil telefoni ser vi inte heller att integritetssynpunkter hind- rar att lagringsskyldighet införs. Lagringsskyldigheten kan därför enligt vår bedömning motiveras även utifrån de överväganden som ska göras enligt artikel 15.1 i direktivet om integritet och elektro- nisk kommunikation. Direktivet om lagring av trafikuppgifter omfattar fast och mobil telefoni, Internetåtkomst, e-post och Internettelefoni. Trafikuppgifter som ska lagras omfattas inte besök på websidor (surfning), besök på chattsi- dor (chattrum) och användning av File Transfer Protocol, FTP (t.ex. överföring/nedladdning av filer) av lagringsskyldigheten en- ligt direktivet. De brottsbekämpande myndigheterna har uttryckt ett stort behov av att få tillgång till sådana uppgifter. Det ska näm- nas att sådana uppgifter omfattas av den danska regleringen. blir det allt svårare att skilja de nämnda kommunika- tionstjänsterna åt. Exempelvis använder chattjänster sig av både tal, text och bild. Gränserna mellan vad som faller in under de olika begreppen suddas alltmer ut. Vårt uppdrag begränsar dock de för- slag som vi får presentera till uppgifter som avser fast och mobil telefoni, samt Internetåtkomst, e-post och Internettelefoni. Vi lämnar därför inte några förslag i sådana delar. 7.1Sammanfattning av våra förslag och bedömningar Lagring ska inte ske i ett centralt lager hos t.ex. staten. De leverantörer som är anmälningspliktiga enligt lagen om elektronisk kommunikation ska vara skyldiga att lagra tra- fikuppgifter. får efter samråd med Åklagarmyndig- heten och i enskilda fall medge undantag från lagringsskyldigheten. Uppgifterna ska lagras från det datum kommunika- tionen ägde rum. Vid lagringstidens slut ska uppgifterna utplånas, om inte de brottsbekämpande myndigheterna har begärt tillgång till uppgifterna men ännu inte fått ut dem eller le- verantören annars har rätt att fortsätta behandla uppgifter- na. Leverantörerna ska bedriva verksamheten så att uppgifterna enkelt kan tas om hand och lämnas ut utan dröjsmål. Trafikuppgifter som har lagrats för brottsbekämpande syf- ten får behandlas av leverantörerna endast för att lämnas ut efter beslut om hemlig teleövervakning eller enligt be- stämmelserna i lagen om elektronisk kommunikation, eller för att annan fullgör lagringen. 7.2Var ska trafikuppgifter lagras och av vem? Frågan om var lagring av trafikuppgifter ska ske och vem som ska vara lagringsskyldig hänger samman med frågan om uppgifterna ska lagras på ett eller flera ställen. I våra direktiv anges som en målsätt- ning att trafikuppgifterna ska lagras hos enbart en nät- eller tjänste- leverantör och inte hos flera leverantörer . I skäl 13 i in- gressen i direktivet om lagring av trafikuppgifter anges också att lagring bör ske på ett sådant sätt att man undviker att uppgifterna lagras mer än en gång och att tillämpningsområdet får begränsas till leverantörernas egna tjänster särskilt vid e-post och Internettelefo- ni. Innebörden av det sistnämnda är att leverantörerna inte ska åläggas att, så att säga, spara andra leverantörers uppgifter. De trafikuppgifter som är aktuella att lagra kan genereras eller behandlas på flera ställen i en kommunikationskedja. I många fall har de leverantörer som är inblandade i en del av en kommunika- tionskedja ingen vetskap om vilka andra leverantörer som också deltar. Trafikuppgifterna finns således inte samlade hos en enda tjänsteleverantör utan ett telefonsamtal (fast, mobilt eller med In- ternettelefoni) kan ofta involvera flera olika leverantörer med del- ansvar för framföringen. En del av de uppgifter som omfattas av direktivet om lagring av trafikuppgifter kommer därmed att kunna finnas hos flera leverantörer eller kanske enbart hos nå- gon av dem. För att åstadkomma att lagring sker endast en gång av respekti- ve uppgift och hos enbart en leverantör, skulle varje leverantör be- höva ha ett system för att finna ut vilka andra leverantörer som ge- nererat eller behandlat uppgifter i samband med en kommunika- tion. När det har skett behöver leverantörerna reda ut vilka uppgif- ter som båda har rörande exempelvis varje enskilt kommunika- tionstillfälle och komma överens om vem som ska lagra uppgifter- na. Det är av praktiska, tekniska, sekretessmässiga och kostnads- mässiga skäl oerhört svårt, för att inte säga omöjligt, att skapa ett sådant system. 7.2.2Ska lagring ske i ett centralt lager? Förslag: Lagring ska inte ske i ett centralt lager hos t.ex. staten. Ett alternativ för lagring av trafikuppgifter på ett ställe kunde vara att leverantörerna skickar de uppgifter som ska lagras till någon form av centralt lager. Det skulle innebära att antingen staten eller en leverantör lagrar samtliga trafikuppgifter som alla leverantörer genererar eller behandlar. Fördelen med ett centrallager för de trafikuppgifter som ska lag- ras enligt direktivet är att alla säkerhetsåtgärder som behövs för att skydda uppgifterna i lagret kan vidtas på ett enda ställe. För de brottsbekämpande myndigheterna skulle det också vara effektivt att behöva vända sig till enbart ett ställe när trafikuppgifter begärs ut. För leverantörerna skulle ett centrallager bli fördelaktigt om deras uppgift skulle inskränka sig till att söka och spara de trafik- uppgifter som ska lagras och sända dem vidare till centrallagret. Från integritetssynpunkt skulle ett centrallager dock bli pro- blematiskt eftersom det skulle innebära att stora informations- mängder om enskilda personer skulle finnas samlade på ett enda ställe. Ett centrallager skulle också föra med sig tekniska komplika- tioner. Om varje leverantör som genererar eller behandlar trafik- uppgifter som ska lagras skulle skicka dem till centrallagret, skulle det bli antingen ett antal dubbellagringar eller behövas teknisk ut- rustning som kunde identifiera vilka trafikuppgifter som redan lag- rats och sortera bort de överflödiga. Det är också svårt att tänka sig någon annan lösning än att staten skulle bli ansvarig för centrallag- ret. Verksamheten skulle därmed behöva skötas av en statlig myn- dighet eller uppdras åt en privat aktör. Oavsett vilken form som valdes skulle det ställa stora krav på kunnande både i fråga om den teknik som finns hos leverantörerna och den teknik som behövs för själva lagringen och säkerhetsåtgärderna. Det skulle innebära att staten skulle behöva bygga upp en egen kompetens på områden där leverantörerna redan har en hög kompetens. En central lagring skulle också ställa mycket stora krav på lagringsvolym och säkra lösningar för överförande av uppgifterna från leverantörerna. Alternativet är en lösning som innebär att trafikuppgifter ska lagras där de genereras eller behandlas. Det innebär visserligen att trafikuppgifter i vissa fall kommer att lagras på flera ställen men fördelarna med ett sådant system överväger ändå alternativet med ett centrallager. Genom att de leverantörer som genererar och be- handlar uppgifterna också lagrar dem säkerställs att lagringen sker så enkelt och säkert som möjligt med utnyttjande av den kunskap om teknik som varje leverantör har. Vi bedömer också att lagring hos leverantörerna är ett klart bättre alternativ från integritetssyn- punkt eftersom det minskar riskerna för att uppgifter om enskilda kan sammanställas. Vid lagring hos leverantörerna kommer trafik- uppgifterna inte att vara läsbara och i många fall kom- mer den enskilde leverantören bara att ha viss information som måste ställas samman med trafikuppgifter som lagrats av någon an- nan leverantör för att en enskild persons kommunikation ska kun- na utläsas. Den ordningen innebär visserligen att de brottsbekäm- pande myndigheterna ofta behöver inhämta trafikuppgifter från flera olika håll för att få tillgång till alla uppgifter och därmed få helhetsbilden. Vi är medvetna om att det inte är riktigt effektivt från brottsbekämpningssynpunkt men anser att fördelarna från in- tegritetssynpunkt väl uppväger de nackdelar som myndigheterna får och vi föreslår därför att lagring ska ske hos leverantörerna. 7.2.3Vilka leverantörer ska vara lagringsskyldiga? Förslag: De leverantörer som är anmälningspliktiga enligt lagen om elektronisk kommunikation ska vara skyldiga att lagra trafikuppgif- ter. får efter samråd med och i enskilda fall medge undantag från lagrings- skyldigheten. Direktivet om lagring av trafikuppgifter omfattar leverantörer av allmänt tillgängliga elektroniska kommunikationstjänster eller all- männa kommunikationsnät. Det innebär att en leverantör av kom- munikationstjänst inte behöver leverera ett nät för att omfattas av skyldigheten att lagra trafikuppgifter (se t.ex. artikel 1 och 3). En motsatt ordning skulle få allvarliga konsekvenser för det brottsbekämpande arbetet. T.ex. skulle en leverantör som både till- handahåller en tjänst och äger nät mycket lätt kunde undvika skyl- digheten genom att organisera dessa båda verksamheter i olika bo- lag. Lagringsskyldigheten gäller alltså leverantörer av allmänt till- gängliga elektroniska kommunikationstjänster eller allmänna kommunikationsnät. Det innebär att inte alla leverantörer blir lag- ringsskyldiga. Begreppet elektronisk kommunikationstjänst specificeras inte i direktivet om lagring av trafikuppgifter. Däremot finns en defini- tion i 1 kap. 7 § LEK som anger att det är fråga om en tjänst som vanligen tillhandahålls mot ersättning och som helt eller huvudsak- ligen utgörs av överföring av signaler i elektroniska kommunika- tionsnät. I samma bestämmelse definieras allmänt kommunika- tionsnät som elektroniskt kommunikationsnät som helt eller hu- vudsakligen används för att tillhandahålla allmänt tillgängliga elek- troniska kommunikationstjänster. Direktivets uttryck om lagringsskyldigheten ansluter till 2 kap. 1 § LEK, där det anges att allmänna kommunikationsnät av sådant slag som vanligen tillhandahålls mot ersättning eller allmänt till- gängliga elektroniska kommunikationstjänster endast får tillhanda- hållas efter anmälan till tillsynsmyndigheten (PTS). Av 2 kap. 2 § LEK framgår att någon anmälan inte behöver göras för verksamhe- ter som enbart består i att överföra signaler via tråd för utsändning till allmänheten av program i ljudradio eller annat som anges i 1 kap. 1 § tredje stycket yttrandefrihetsgrundlagen och att PTS får meddela föreskrifter om ytterligare undantag från anmälningsplik- ten. Sådana föreskrifter har inte meddelats. I propositionen utvecklade regeringen anmälningsplikten på föl- jande sätt (prop. 2002:03/110 s. 362). Bestämmelsen innebär att det ställs krav på alla som avser att tillhandahålla allmänna kommunikationsnät för kommersiellt bruk eller allmänt tillgängliga elektroniska kommunikations- tjänster att göra en anmälan till tillsynsmyndigheten innan de påbörjar verksamheten. Genom att det anges att anmälnings- plikten endast omfattar sådana allmänna kommunikationsnät som vanligen tillhandahålls mot ersättning avses att undanta t.ex. fastighetsnät i flerfamiljshus som utgör fastighetstillbe- hör och som fastighetsägaren inte tar ut någon särskild er- sättning för av en operatör. Fastighetsägaren är då inte an- mälningspliktig. Däremot kan nätet utgöra en del av ett all- mänt kommunikationsnät som tillhandahålls mot ersättning av den operatör som fastighetsägaren har slutit avtal med. Al- ternativt kan operatören tillhandahålla allmänt tillgängliga elektroniska kommunikationstjänster över nätet. Operatören är då anmälningspliktig för denna verksamhet. Att det ska vara fråga om en allmänt tillgänglig elektro- nisk kommunikationstjänst innebär att radio- och TV- utsändningar till allmänheten där mottagaren erhåller ett på förhand bestämt programutbud inte omfattas av anmälnings- plikten. Det gäller även utsändningar i digital form. Skulle en sådan tjänst bli en allmänt tillgänglig elektronisk kommuni- kationstjänst genom att utbudet inte kan anses på förhand bestämt, gäller emellertid regeln i 2 § för sådana sändningar som sker i tråd. I slutna nät är de tjänster som tillhandahålls bara åtkomli- ga inom en begränsad grupp och det står alltså inte öppet för en vid krets av användare att ansluta sig till nätet. Slutna nät är t.ex. interna företagsnät och nät inom myndigheter och andra organisationer. Det kan röra sig om telefonnät, tråd- burna datanät, radiobaserade sådana nät, interna kommunika- tioner för videoöverföring osv. inom företag, myndigheter och andra organisationer. Regeringen angav följande i propositionen rörande undantaget i 2 kap. 2 § LEK (prop. 2002:03/110 s. 363). Genom bestämmelsen undantas tillhandahållandet av kabel- TV-nät och liknande nät från anmälningsplikten enligt 1 §, om verksamheten enbart består i att överföra signaler via tråd för utsändningar till allmänheten av program i ljudradio eller annat som anges i 1 kap. 1 § tredje stycket YGL. Detsamma gäller tillhandahållande av elektroniska kommunikations- tjänster som avser sådan överföring som anges i sistnämnda lagrum. Regeln motiveras framförallt av att vissa av de krav som lagen ställer upp för den som bedriver anmälningspliktig verksamhet skulle kunna komma i konflikt med den grund- lagsfästa etableringsfriheten för sådana sändningar (se 3 kap. 1 § YGL). Bedrivs även annan verksamhet i sådana nät, t.ex. bredbandsanslutning till Internet, omfattas emellertid den verksamheten inte av undantaget. Vi bedömer att det mest lämpliga är att låta skyldigheten att lagra trafikuppgifter ansluta till anmälningsplikten i 2 kap. 1 § LEK. Därmed ska alltså leverantörer av allmänna kommunikationsnät av sådant slag som vanligen tillhandahålls mot ersättning och av all- mänt tillgängliga elektroniska kommunikationstjänster ha skyldig- het att lagra uppgifterna. Eftersom vi föreslår att skyldigheten att lagra trafikuppgifter ska följa med anmälningsplikten blir tolkning- en och tillämpningen av 2 kap. 1 § LEK avgörande för vilka som ska vara lagringsskyldiga. Det är till PTS som anmälan ska göras och det blir PTS som i första hand genom sin tillämpning av be- stämmelsen får avgöra gränserna för vilka leverantörer som ska vara lagringsskyldiga. I det avseendet är det givetvis av stor vikt att hän- syn tas till den snabba teknikutvecklingen. Bestämmelserna bör inte få en för snäv tillämpning så att färre verksamheter omfattas av lagringsskyldigheten än vad som är avsikten med reglerna om an- mälnings- och lagringsskyldigheterna i lagen om elektronisk kom- munikation. En del verksamheter, som i och för sig är anmälningspliktiga, är av liten omfattning som det inte är intressant ur ett brottsbekämpande perspektiv att leverantören som bedriver verk- samheten lagrar trafikuppgifter. Det behöver därför enligt vår me- ning finnas en möjlighet till undantag från lagringsskyldigheten. I t.ex. det danska förslaget har en generell gräns för skyldigheten att lagra satts till 100 enheter, dock enbart för vissa typer av före- ningar (andelsforeninger, ejerforeninger, antenneforeninger og lig- nende foreninger eller sammenslutninger heraf). Enligt vår bedöm- ning är det inte lämpligt att koppla skyldigheten att lagra trafik- uppgifter till antalet enheter/kunder eller till en viss minsta om- sättning. I takt med teknikutvecklingen kommer detta att skapa onödiga gränsdragningsproblem. Det får i första hand vara en fråga för tillsynsmyndigheten att närmare avgöra vilka leverantörer som ska undantas från skyldighe- ten att lagra trafikuppgifter. Vid den bedömningen får det ske en avvägning mellan nyttan för brottsbekämpningen av att leverantö- ren lagrar trafikuppgifterna och kostnaden för leverantören. Frågan blir då om undantagen från skyldigheten att lagra bör ske i föreskriftsform eller genom beslut i enskilda fall. Den anpassningsskyldighet som gäller enligt 6 kap. 19 § LEK för hemlig teleavlyssning och hemlig teleövervakning innehål- ler en möjlighet till undantag efter beslut av PTS i enskilda fall. Även BRU:s förslag till förändring av den bestämmelsen innehåller en möjlighet till sådana undantag. BRU motiverade detta på bl.a. följande sätt (SOU 2005:38 s. 286 f.). Den tekniska utvecklingen går fort. De tekniska förhållande- na hos varje operatör är i många avseenden unika. kan det sägas finnas en än högre grad av variation hos operatö- rerna när det gäller verksamheternas inriktning, omfattning och tekniska lösningar jämfört då an- passningsskyldigheten infördes i telelagen. Detta ställer krav på differentierade lösningar vad gäller anpassningen i detalj. Den bedömning som regeringen gjorde har blivit be- kräftad i den praktiska tillämpningen, nämligen att anpass- ningsskyldigheten i sig och särskilt undantag från denna inte lämpar sig att närmare beskriva i generella föreskrifter eller villkor av generell karaktär. Det kan leda till en osäkerhet så- väl hos operatörerna som hos de brottsutredande myndighe- terna om anpassningsskyldighetens innebörd och omfattning och därmed också till bristande effektivitet. Det ska också sägas att den grova brottsligheten enligt är uppmärksam på gränserna för de brottsutredande myndighe- ternas operativa möjligheter, dvs. generella föreskrifter om undantag från anpassningsskyldigheten, men även offentliga undantagsbeslut i enskilda fall, ger de kriminella personerna en bra uppfattning om vilka operatörer och vilka kommuni- kationsformer som är lämpliga att använda för deras verk- samhet. Till detta kommer särskilt att operatörerna har påta- lat för oss vikten av en tydlig, förutsebar reglering av anpass- ningsskyldigheten. De argument som BRU angav för att enligt 6 kap. 19 § LEK ge ut- rymme för att i enskilda fall medge undantag från anpassningsskyl- digheten har bäring även för vår bedömning av formerna för beslut om undantag. Den tekniska utvecklingen och variationen i leveran- törernas verksamhet är tungt vägande skäl för att systemet bör ut- formas som en möjlighet för tillsynsmyndigheten (PTS, se avsnitt 10.4) att meddela undantag i enskilda fall från skyldigheten att lagra uppgifter. Undantagen bör få meddelas efter en ansökan av en leve- rantör och efter samråd med och Rikspolis- styrelsen (jfr 36 § förordningen om elektronisk kommunikation). Det kan inträffa att personer som bedriver allvarlig brottslig verksamhet kommer att söka sig till de leverantörer som är undan- tagna från lagringsskyldigheten. Visserligen skulle det förhållandet att en leverantör får många nya kunder i och för sig vara ett skäl för att undantaget inte längre ska gälla. Detsamma gäller om de brotts- bekämpande myndigheterna skulle upptäcka att kriminella perso- ner söker sig till en viss leverantör som är undantagen från lagrings- skyldigheten. Vi menar att mer exakt information om vilka leveran- törer som inte är lagringsskyldiga kan skada både PTS verksamhet för prövning av frågor om undantag och brottsbekämpningen om de är offentliga. Vi föreslår därför att sekretess ska gälla hos myn- digheterna för uppgifter som hänför sig till PTS verksamhet för prövning av frågor om undantag, om det kan antas att syftet med beslutade eller förutsedda åtgärder motverkas eller den framtida verksamheten skadas om uppgiften röjs. Det är viktigt att påpeka att den möjlighet som PTS har enligt 7 § förordningen om elektronisk kommunikation att meddela un- dantag från anmälningsplikten enligt 2 kap. 1 § LEK inte är avsedd att användas i syfte att reglera lagringsskyldighetens omfattning. Vi återkommer till tillsynsmyndighetens befogenheter i avsnitt 10.5. Ur ett brottsbekämpande perspektiv ligger det en begränsning i att direktivet om lagring av trafikuppgifter enbart omfattar leveran- törer av allmänna kommunikationsnät eller allmänt tillgängliga elektroniska kommunikationstjänster. när t.ex. en e- posttjänst tillhandahålls ett slutet sällskap, t.ex. de anställda i fö- retag och myndigheter (där e-postadressen ofta slutar med före- tags- eller myndighetsnamnet), är företaget respektive myndighe- ten närmast att betrakta som tjänsteleverantör utan att leverera en allmänt tillgänglig tjänst. Företaget/myndigheten om- fattas då heller inte av skyldigheten att lagra enligt direktivet. Efter- som varje leverantör enbart ska lagra uppgifter som leverantören själv genererat eller behandlat, kommer uppgifterna i de fallen inte att lagras över huvud taget. Utifrån de brottsbekämpande myndigheternas behov av att få tillgång till viktig information, bör vi enligt våra direktiv överväga om sådana nät- och tjänsteleverantörer som inte omnämns i direk- tivet och som inte heller är anmälningspliktiga enligt lagen om elektronisk kommunikation borde omfattas av en skyldighet att lagra och lämna ut trafikuppgifter. Vi inser att det finns ett behov hos de brottsbekämpande myn- digheterna av att flera leverantörer än de som följer av direktivet om lagring av trafikuppgifter får skyldighet att lagra trafikuppgif- ter. skulle ett system som innebär att andra än anmäl- ningspliktiga leverantörer skulle omfattas av lagringsskyldigheten bli svårt att överblicka och kontrollera. Det får därför bli en fråga för framtiden om den lagringsskyldighet vi föreslår är rätt avvägd vad gäller kretsen lagringsskyldiga leverantörer. Artikel 6 i direktivet om lagring av trafikuppgifter anger att uppgif- terna ska lagras och högst från det datum då kommunikationen ägde rum. Våra direktiv anger i den frågan att utgångspunkten ska vara att lagringstiden inte ska understiga för någon typ av trafikuppgift och att andra lagringstider är möjliga om detta bedöms vara lämpligt. BRU konstaterade tidigare (SOU 2005:38 s. 326-328) att de brottsbekämpande myndigheterna har behov av trafikuppgifter som är gamla i utredningar av grova brott och att det finns flera orsaker till att leverantörerna relativt sällan får för- frågningar på uppgifter som är äldre än . De främsta skälen är enligt vad BRU kom fram till att det finns en skyldighet för leverantörerna att utplåna uppgifterna och att myndigheterna, när frågan om utlämnande blir aktuell, är medvetna om att utplå- nande måste ha skett och/eller att myndigheterna inte har möjlig- het att av kostnadsskäl begära uppgifterna. Säkerhetspolisen ut- tryckte till BRU att en lång lagringstid, uppåt , behövdes sär- skilt i utredningar av grov brottslighet, t.ex. grova våldsbrott, brott av organiserad karaktär och terroristbrott, där planering och förbe- redelser kan pågå , kanske , och att det finns behov av att få uppgifter äldre än i några hundra förundersökningar . Särskilt som det rör sig om grova brott där brottsligheten även kan sägas vara organiserad, instämde BRU i Säkerhetspolisens bedömning att det är av synner- lig vikt för det brottsutredande arbetet att uppgifter finns tillgäng- liga tillbaka än . , , och har uttryckt till oss att lagringstiden bör bestämmas till . Som skäl har myndigheterna fört fram trafik- uppgifternas stora betydelse i utredningar framför allt rörande or- ganiserad brottslighet. Myndigheterna har gett oss flera exempel på situationer där tillgången till trafikuppgifter även efter tolv måna- der är av synnerlig vikt för utredning av allvarlig brottslighet.