sou · GVB376 · 2008-01-01 00:00:00 — Säkerhetspolisen är en av de myndigheter som för sina utred- ningar begär ut uppgifter från leverantörerna. Säkerhetspolisens uppdrag är att förebygga och avslöja brott mot rikets säkerhet, be- kämpa terrorism och skydda den centrala statsledningen. När Sä- kerhetspolisen begär ut uppgifter som från säkerhetssynpunkt har betydelse för rikets säkerhet eller för skyddet mot terrorism ställs det särskilda krav på säkerhet hos leverantörerna så att uppgifterna behandlas på ett betryggande sätt. Detta sker med stöd av säker- hetsskyddslagen (1996:627). De krav som Säkerhetspolisen kan ställa är att en säkerhetsprövning ska göras innan en person genom anställning eller på något annat sätt deltar i en viss verksamhet hos leverantören. Prövningen enligt 11 § säkerhetsskyddslagen ska klarlägga om personen kan antas vara lojal mot de intressen som skyddas och i övrigt pålitlig från säkerhetssynpunkt. Säkerhets- prövningen enligt säkerhetsskyddslagen omfattar registerkontroll och under vissa förutsättningar särskild personutredning. De sä- kerhetskrav som ställs på leverantörerna vid verkställighet av hem- liga tvångsmedel preciseras sedan i ett avtal (säkerhetsskyddsavtal, s.k. ) som träffas mellan Säkerhetspolisen och leverantö- ren. I de fall leverantörer har slutit säkerhetsskyddsavtal med Säker- hetspolisen sker som regel hanteringen av trafikuppgifter även till andra brottsbekämpande myndigheter i enlighet med innehållet i de avtalen. Det innebär att organisationen kring all hantering och ut- lämnande av uppgifter följer den säkerhetsnivå som säkerhets- skyddsavtalet ställer upp. 8.4Lagregleringen av säkerheten för lagrade trafikuppgifter m.m. Förslag: I lagen om elektronisk kommunikation ska det föras in en bestämmelse som preciserar leverantörernas skyldighet att vidta särskilda tekniska och organisatoriska åtgärder för ett tillräckligt skydd vid behandlingen av lagrade trafikuppgifter. får efter samråd med och Datainspektionen meddela de verkställighetsföreskrifter som behövs i frågor om säkerhet för trafikuppgifterna. Bestämmelsen i 5 kap. 6 a § LEK och den tillsyn som PTS bedriver inom det området syftar till att allmänna kommunikationsnät och allmänt tillgängliga elektroniska kommunikationstjänster ska upp- fylla rimliga krav på god funktion och teknisk säkerhet. Bestäm- melsen gäller inte enbart vid extraordinära händelser utan tillgodo- ser kravet på driftsäkerhet även vid andra driftavbrott. I de bedöm- ningar vi gör nedan utgår vi från att driften är säker. Direktivet om lagring av trafikuppgifter anger att lagrade upp- gifter ska vara av samma kvalitet och vara föremål för samma sä- kerhet och skydd som uppgifterna i nätverket, att uppgifterna ska omfattas av lämpliga tekniska och organisatoriska åtgärder för att skyddas mot oavsiktlig eller olaglig förstöring, oavsiktlig förlust eller oavsiktlig ändring, eller otillåten eller olaglig lagring av, be- handling av, tillgång till eller avslöjande av uppgifterna, och att uppgifterna ska omfattas av lämpliga tekniska och organisatoriska åtgärder för att säkerställa att endast särskilt bemyndigad personal får tillgång till lagrade uppgifter (artikel 7 a–7 c). Den nuvarande bestämmelsen i 6 kap. 3 § LEK tar sikte på ett grundskydd för behandlingen av trafikuppgifter. Bestämmelsen reglerar kraven på säkerhet för de uppgifter som får sparas enligt nuvarande regler, dvs. i princip endast de trafikuppgifter som be- hövs för att säkerställa att avtalsförhållandet mellan leverantör och kund fullgörs. Den lagringsskyldighet som vi föreslår har ett helt annat syfte och ska åstadkomma att trafikuppgifter som sammanställs av en brottsbekämpande myndighet kan ge svar på frågorna om vem som kommunicerat med vem, när det skedde, var de som kommunice- rade med varandra befann sig och vilken typ av kommunikation som användes vid tillfället. Det innebär att lagringen av trafikupp- gifter för brottsbekämpningssyften blir både mer omfattande och mer integritetskänslig. Det medför att kravet på säkerhet bör vara högre för de trafikuppgifter som lagras enligt våra förslag och att nivån på den säkerhet som bör gälla för uppgifterna bör preciseras i lagen om elektronisk kommunikation. Trafikuppgifter är ofta personuppgifter. Nivån på det skydd som bör finnas för trafikuppgifterna bör därför utformas med ut- gångspunkt i det skydd för personuppgifter som anges i person- uppgiftslagen. I den bestämmelse vi föreslår bör kravet på säkerhet för trafikuppgifterna uttryckas så att leverantörerna ska vidta de särskilda tekniska och organisatoriska åtgärder som är tillräckliga för att säkerställa att behandlade uppgifter skyddas. I detta ligger att uppgifterna ska vara tillförlitliga, ha tillräckligt hög kvalitet och ett tillräckligt skydd mot intrång och annan otillåten behandling. I säkerheten och skyddet för personlig integritet ligger att leve- rantörerna ska känna till vilka trafikuppgifter som omfattas av lag- ringsskyldigheten och hur lagringen i övrigt ska utformas. Det lig- ger i tillsynsmyndighetens uppgift att informera om omfattningen av leverantörernas skyldigheter. Hur den säkerhet som uttrycks i lagen om elektronisk kommunikation mer preciserat bör uppnås beror bl.a. på den teknik de olika leverantörerna har och på teknik- utvecklingen. Det bör vara en uppgift för tillsynsmyndigheten att mot bakgrund av teknikutvecklingen och leverantörernas fortlö- pande säkerhetsarbete fastställa nivån på säkerheten genom före- skrifter. Föreskrifterna bör tas fram efter samråd med Rikspolissty- relsen och Datainspektionen. Den slutliga bedömningen av om de vidtagna åtgärderna är tillräckliga kommer att ske genom tillsyns- åtgärder i enskilda fall. Det är viktigt att framhålla att leverantörer- na är skyldiga att lagra trafikuppgifterna med den säkerhet som förutsätts redan när lagstiftningen träder i kraft. Vi återkommer till frågan om tillsynsmyndighetens befogenheter i avsnitt 10.5. 8.5Överföring av personuppgifter till annat land Bedömning: Lagring av trafikuppgifter kan ske utanför gränser. Personuppgiftslagens bestämmelser om förbud mot över- föring av personuppgifter till tredje land är tillräckliga för att upp- rätthålla integritetsskyddet. Inom området för elektronisk kommunikation kan en och samma leverantör verka i flera länder. Det innebär att lagringen av trafik- uppgifter som har genererats i kan förläggas till ett annat land och att trafikuppgifter som har genererats i ett annat land kan lagras i . Enligt vårt förslag är en leverantör som har sådan verksamhet i som medför anmälningsskyldighet enligt 2 kap. 1 § LEK också lagringsskyldig. Även om lagringen förläggs utomlands gäller leverantörens alla skyldigheter enligt de bestäm- melser som anger hur lagringsskyldigheten ska fullgöras, t.ex. skyl- digheten som rör säkerheten för de lagrade trafikuppgifterna. Om en utländsk leverantör inte är anmälningspliktig för verksamhet i utan enbart förlägger sitt lager av trafikuppgifter här i lan- det gäller inte den svenska regleringen för lagring av trafikuppgif- ter. Däremot kan leverantörens hantering av uppgifterna i lagret komma att omfattas av t.ex. bestämmelserna i personuppgiftslagen om hanteringen innebär behandling av sådana trafikuppgifter som är personuppgifter. Även om en lagringsskyldig leverantör, som har lagret utom- lands, fullgör sina skyldigheter enligt svensk lag, kan lagringslan- dets regler om t.ex. tvångsmedel bli tillämpliga på uppgifterna i lag- ret. Huruvida uppgifter som finns i ett lager i ett annat land kan få spridning utöver vad som följer av svensk rätt beror på den rättsliga regleringen i landet där lagret finns. Det finns med andra ord inte någon garanti för att uppgifter som lagras i ett annat land inte an- vänds för andra ändamål än de som den svenska lagstiftningen medger utöver den garanti som ligger i att samtliga medlemsländer i EU har rättsregler för dataskydd m.m. som bygger på EG- direktiv. Säkerhetspolisen har pekat på att detta förhållande kan innebära att information som har stor betydelse för rikets säkerhet kan bli åtkomlig i andra länder. Vi inser att det finns avsevärda komplikationer som gäller rikets säkerhet och också skyddet för enskildas integritet om trafikupp- gifter som har genererats här lagras i ett annat land. är ett av de grundläggande syftena bakom direktivet om lagring av trafik- uppgifter att slå vakt om den fria rörligheten inom området för elektronisk kommunikation mellan EU-länderna. I de länder där direktivet redan har införts har det inte enligt vad vi har fått uppgift om införts några begränsningar som gör att trafikuppgifter inte får lagras i ett annat medlemsland. Vi bedömer att direktivet om lag- ring av trafikuppgifter inte ger något utrymme för att begränsa le- verantörernas möjligheter att förlägga lagret av trafikuppgifter till ett annat EU-land. Personuppgiftslagen innehåller bestämmelser som begränsar möjligheterna att förlägga lagringen av trafikuppgifter som är per- sonuppgifter till tredje land. Enligt 33 § PUL är det förbjudet att till tredje land (dvs. ett land som varken ingår i EU eller är anslutet till EES-samarbetet) föra över personuppgifter som är under be- handling eller att föra över uppgifterna för behandling i ett sådant land, om landet inte har en adekvat nivå för skyddet av personupp- gifterna. Frågan om en adekvat skyddsnivå föreligger ska bedömas med hänsyn till samtliga omständigheter som har samband med överföringen. Särskild vikt ska läggas vid uppgifternas art, ändamå- let med behandlingen, hur länge behandlingen ska pågå, ursprungs- landet, det slutliga bestämmelselandet och de regler som finns för behandlingen i det tredje landet. Trots förbudet är det enligt 34 § PUL tillåtet att föra över per- sonuppgifter till tredje land, om den registrerade har gett sitt sam- tycke till överföringen eller om överföringen är nödvändig för att den registrerades rättigheter ska kunna tas till vara eller skyddas. Det är också tillåtet att föra över personuppgifter för användning enbart i en stat som har anslutit sig till konvention om skydd för enskilda vid automatisk databehandling av person- uppgifter. Regeringen eller den myndighet som regeringen bestämmer får enligt 35 § PUL meddela undantag från förbudet att föra över per- sonuppgifter till tredje land. Enligt samma bestämmelse får reger- ingen meddela föreskrifter om att överföring av personuppgifter till tredje land är tillåten, om överföringen regleras av ett avtal som ger tillräckliga garantier till ett skydd för de registrerades rättigheter. Regeringen har föreskrivit att personuppgifter får föras över till tredje land om och i den utsträckning har kon- staterat att landet har en adekvat nivå för skyddet av personuppgif- ter. Vilka de länderna är anges i en bilaga till personuppgiftsförord- ningen. Vidare har regeringen bestämt att Datainspektionen får meddela beslut om undantag i enskilda fall om det finns tillträckliga garantier till skydd för de registrerades rättigheter (13 och 14 §§ personuppgiftsförordningen [1998:1191]). Information i frågan om överföring av uppgifter får ske kan lämnas av Datainspektionen. Vi bedömer att personuppgiftslagens bestämmelser om förbud mot överföring av personuppgifter till tredje land är tillräckliga för att upprätthålla integritetsskyddet för den enskilde. Sammantaget innebär våra överväganden att vi inte ser att leverantörernas möj- ligheter att förlägga lagret utanför kan begränsas i förhål- lande till andra medlemsländer i EU eller länder ansluta till EES- avtalet och inte heller utöver vad som följer av bestämmelserna i 33 och 34 §§ PUL. 8.6Ansvaret vid verksamhetsövergång m.m. Bedömning: Den som övertar en lagringsskyldig leverantörs verk- samhet, en konkursförvaltare eller en likvidator ska se till att lag- ringsskyldigheten fullgörs under den återstående lagringstiden. En särskild fråga är vad som ska ske med de lagrade trafikuppgif- terna när en leverantörs verksamhet som omfattar lagringsskyldig- het övergår till annan eller upphör. Även då måste lagringsskyldig- heten fullgöras. Det får inte bli så att de brottsbekämpande myn- digheterna står utan möjlighet att komma åt uppgifterna för att de exempelvis har utplånats före lagringstidens slut. Likaså måste t.ex. kraven på kvalitet och säkerhet för de lagrade trafikuppgifterna upprätthållas. Frågan är med andra ord viktig såväl ur ett brottsbe- kämpnings- som ett integritetsskyddsperspektiv och blir främst aktuell om en verksamhet övergår genom försäljning eller fusion, och om leverantören försätts i konkurs eller likvidation. De bestämmelser vi föreslår innebär bl.a. att den lagringsskyldi- ge ska se till att trafikuppgifter lagras , att uppgifterna utplånas efter den tiden och att åtgärder vidtas för att säkerställa att de behandlade uppgifterna skyddas. Det följer av de regler vi före- slår att skyldigheterna rörande exempelvis lagringstid, utplånande och skyddsåtgärder övergår till den som övertar verksamheten om verksamheten även fortsättningsvis träffas av lagringsskyldigheten, dvs. om leverantören är anmälningspliktig enligt 2 kap. 1 § LEK. En konkurs eller likvidation innebär inte i sig att lagringsskyldighe- ten upphör. Den som under ett sådant förfarande företräder den lagringsskyldige, i första hand konkursförvaltaren respektive likvi- datorn, har att se till att skyldigheterna fullgörs under den återstå- ende lagringstiden, bl.a. att uppgifterna lagras och ut- plånas därefter. Både när verksamheten övergår och upphör kan lagringen fullgöras genom att någon anlitas för det ändamålet (se avsnitt 7.5). De nu angivna förhållandena följer av de regler som redan gäller och behöver inte regleras särskilt i lagen om elektro- nisk kommunikation. 9Det straff- och skadeståndsrättsliga skyddet Lagringen av trafikuppgifter ger inte anledning att förändra några straff- eller skadeståndsrättsliga bestämmelser. Det kan övervägas om det behövs en bestämmelse om grovt dataintrång med en strängare straffskala. 9.2Direktivet om lagring av trafikuppgifter I avsnitt 7.5 har vi föreslagit att leverantörerna ska få behandla de trafikuppgifter som lagras enligt vårt förslag endast för vissa klart angivna ändamål. Dit hör att uppgifterna får behandlas för att läm- nas ut efter beslut om hemlig teleövervakning eller enligt bestäm- melserna i lagen om elektronisk kommunikation, eller för att annan fullgör lagringen. Vi har i avsnitt 8 redovisat våra överväganden i fråga om den säkerhetsnivå som bör gälla för leverantörernas be- handling av trafikuppgifterna och deras ansvar för att vidta särskil- da tekniska och organisatoriska åtgärder för att säkerställa ett till- räckligt skydd vid behandlingen av lagrade trafikuppgifter. För att skyddet mot integritetsintrång för enskilda ska vara till- räckligt starkt måste också de straff- och skadeståndsrättsliga reg- lerna verka avhållande som de, om skador ändå inträffar, innebär en tillräcklig straffrättslig reaktion och ett skadestånds- rättsligt skydd för den som drabbas. Direktivet om lagring av trafikuppgifter anger i artikel 13 att medlemsstaterna ska säkerställa att rättslig prövning, ansvar och sanktioner finns till skydd för uppgifterna. Medlemsstaterna ska särskilt vidta nödvändiga åtgärder för att säkerställa att förbjuden tillgång till eller överföring av lagrade uppgifter beläggs med sank- Det straff- och skadeståndsrättsliga skyddet tioner, inbegripet administrativa eller straffrättsliga sanktioner, som är effektiva, proportionerliga och avskräckande. Straffbestämmelser som skyddar enskildas integritet finns i ett flertal författningar. Vad som främst är aktuellt att behandla i detta sammanhang är vissa regler i 4 och 20 kap. , i person- uppgiftslagen och i lagen (1990:409) om skydd för företagshemlig- heter. Straffansvaret är personligt och innebär att endast fysiska per- soner som begått en straffbar handling kan dömas. Den lagrings- skyldighet vi föreslår ska fullgöras av den som är anmälningspliktig enligt lagen om elektronisk kommunikation. Det innebär att tra- fikuppgifter alltid kommer att lagras inom ramen för en närings- verksamhet. En otillåten behandling av trafikuppgifter kan därmed också bli att bedöma utifrån de sanktioner som kan åläggas närings- idkaren enligt reglerna om företagsbot och förverkande i 36 kap. . De skadeståndsbestämmelser som kan bli aktuella vid lagring av trafikuppgifter finns i lagen om elektronisk kommunikation, per- sonuppgiftslagen, lagen om skydd för företagshemligheter och ska- deståndslagen (1972:207). 9.3Skyddet i de straff- och skadeståndsrättsliga bestämmelserna I 4 kap. finns bestämmelser om brott mot frihet och frid. Enligt 4 kap. 8 § är det straffbart som brytande av telehemlighet att olovligen bereda sig tillgång till ett telemedde- lande. Paragrafen skyddar med andra ord innehållet i ett telemedde- lande och inte trafikuppgifterna i sig. Den bestämmelsen blir alltså inte aktuell i detta sammanhang. Även 4 kap. 9 § brottbalken om intrång i förvar skyddar innehållet i ett meddelande från att någon olovligen tar del av det. Även om också annat än meddelanden skyddas bedömer vi att paragrafen inte blir aktuell i fråga om skyd- det av de lagrade trafikuppgifterna. Detsamma gäller olovlig avlyss- ning enligt 4 kap. 9 a § . Det straff- och skadeståndsrättsliga skyddet Ett förfarande som innebär att någon olovligen bereder sig till- gång till trafikuppgifter blir närmast att bedöma enligt 4 kap. 9 c § om dataintrång. Bestämmelsen lyder på följande sätt. Den som i annat fall än som sägs i 8 och 9 §§ olovligen bere- der sig tillgång till en uppgift som är avsedd för automatise- rad behandling eller olovligen ändrar, utplånar, blockerar el- ler i register för in en sådan uppgift döms för dataintrång till böter eller fängelse i högst . Detsamma gäller den som olovligen genom någon annan liknande åtgärd allvarligt stör eller hindrar användningen av en sådan uppgift. Alla uppgifter (fakta, information eller begrepp) som uttrycks i en för en dator anpassad och läsbar form omfattas av bestämmelsen, således även trafikuppgifter och oavsett om dessa innehåller per- sonuppgifter eller inte. Det har ingen betydelse var uppgifterna finns i systemet eller på vilket datamedium de finns. Även om själva tillgången till uppgiften är lovlig, är det straffbart att olovligen änd- ra, utplåna eller blockera eller i register föra in uppgift som är av- sedd för automatiserad behandling. Att blockera en uppgift innebär att uppgiften görs oåtkomlig eller att den hindras från att flöda. Exempel på det är inmatning eller spridning av olika typer av sabo- tageprogram (datavirus, trojaner eller logiska bomber). Med regis- ter avses information som på något sätt har systematiserats, som t.ex. tabeller, kataloger och filer. Däremot avses inte löpande text. Skyddet gäller oavsett om effekten av den olovliga förändringen är tillfällig eller bestående. Som framgår av bestämmelsens andra me- ning finns ett straffansvar även för den som olovligen genom lik- nande åtgärd som i första meningen allvarligt stör eller hindrar an- vändningen av en uppgift som är avsedd för automatiserad behand- ling. Det gäller exempelvis s.k. tillgänglighetsattacker eller överbe- lastningsattacker. Bestämmelsen om dataintrång blir således tillämplig om någon utomstående olovligen vidtar åtgärder som innebär att han eller hon bereder sig tillgång till de lagrade trafikuppgifterna, ändrar i uppgifterna, förstör uppgifter eller för in uppgifter i leverantörens lager. Här bortser vi från de övriga brott som kan begås i sådana sammanhang, t.ex. skadegörelse enligt 12 kap. 1 § . Vi har föreslagit att leverantörerna ska få behandla de lagrade trafikuppgifterna endast för att lämna ut dem enligt ett beslut om hemlig teleövervakning eller enligt lagen om elektronisk kommu- Det straff- och skadeståndsrättsliga skyddet nikation eller när annan anlitas för lagringen (se avsnitt 7.5). Det innebär att annan behandling är förbjuden. Av det följer att den hos leverantören som behandlar uppgifterna för andra ändamål olovli- gen bereder sig tillgång till uppgifterna. Förfarandet kan därmed bli att bedöma enligt bestämmelsen om dataintrång. Skulle det vara fråga om att någon hos leverantören ändrar i uppgifterna, förstör eller utplånar uppgifter eller för in uppgifter som inte ska finnas i lagret blir även detta förfarande att bedöma enligt bestämmelsen om dataintrång. Förfarandet kan också bli att bedöma enligt andra bestämmelser i , t.ex. bestämmelserna om egenmäktigt förfarande och skadegörelse i 8 kap. 8 § respektive 12 kap. 1 § . Den personliga integriteten skyddas bl.a. genom regler om tyst- nadsplikt. Som framgår på flera ställen i betänkandet regleras tyst- nadsplikten i det allmännas verksamhet i sekretesslagen. När det gäller tillhandahållande av ett elektroniskt kommunikationsnät eller en elektronisk kommunikationstjänst regleras tystnadsplikten i 6 kap. 20 § LEK. Den bestämmelsen innebär att leverantörerna har tystnadsplikt i fråga om de trafikuppgifter som ska lagras enligt våra förslag. Bestämmelsen anger att den som i samband med till- handahållande av ett elektroniskt kommunikationsnät eller en elek- tronisk kommunikationstjänst har fått del av eller tillgång till upp- gift om abonnemang eller annan uppgift som angår ett särskilt elektroniskt meddelande inte obehörigen får föra vidare eller ut- nyttja det han har fått del av eller tillgång till. Straffskalan sträcker sig från böter till fängelse . Enligt 6 kap. 21 § LEK finns tystnadsplikt även för uppgift som hänför sig till användning av bl.a. hemlig teleövervakning. Bestämmelserna om tystnadsplikt är straffsanktionerade enligt bestämmelsen i 20 kap. 3 § om brott mot tystnads- plikten. Enligt den bestämmelsen kan den som röjer uppgift som han är skyldig att hålla hemlig enligt lag eller annan författning eller enligt förordnande eller förbehåll som har meddelats med stöd av lag eller annan författning, eller olovligen utnyttjar en sådan hem- lighet, dömas för brott mot tystnadsplikten. Straffskalan för brott mot tystnadsplikten är böter eller fängelse i högst . Det straff- och skadeståndsrättsliga skyddet tet begås av oaktsamhet döms till böter. I ringa fall ska dock inte dömas till ansvar. Skulle någon anställd hos de brottsbekämpande myndigheterna eller hos leverantören uppsåtligen eller av oaktsamhet bryta mot tystnadsplikten och föra vidare eller utnyttja trafikuppgifterna finns alltså ett skydd i bestämmelserna om tystnadsplikt. Tyst- nadsplikten träffar också andra aktörer, t.ex. den som på uppdrag av leverantören utför delar av tillhandahållandet av nätet eller tjäns- ten och den som leverantören har anlitat för att lagra uppgifterna (se avsnitt 2.3.2 och 7.5). I sammanhanget bör också nämnas något om den meddelarfri- het som normalt gäller och som innebär att var och en har rätt att lämna även sekretessbelagd information för offentliggörande i bl.a. tryckt skrift. Meddelarfriheten är i vissa fall begränsad såvitt avser trafikuppgifter (se 1 kap. 1 § tredje stycket tryckfrihetsförordning- en och 1 kap. 2 § yttrandefrihetsgrundlagen). Av 16 kap. sekre- tesslagen framgår att meddelarfriheten inte innebär en rätt att läm- na information som omfattas av 5 kap. 1 § sekretesslagen och som avser uppgift om hemlig teleövervakning. Det framgår också att den som har tystnadsplikt enligt 6 kap. 20 och 21 §§ LEK inte har meddelarfrihet såvitt avser uppgift om innehållet i ett elektroniskt meddelande eller annan uppgift som angår ett särskilt sådant med- delande samt om hemlig teleövervakning. Många av de trafikuppgifter som vårt förslag omfattar är personuppgifter, dvs. de kan direkt eller indirekt hänföras till en fysisk person som är i livet (3 §). Straffbestämmelsen i personuppgiftslagen finns i 49 §.