sou · GVB376 · 2008-01-01 00:00:00 — Leveran- törerna bör vidta de särskilda tekniska och organisatoriska åtgärder som krävs för att endast särskilt behörig personal har tillgång till och hanterar trafikuppgifterna i systemen och vid ett utlämnande. Det rör sig om åtgärder i form av tillträdeskontroll, åtkomstkon- troll, behandlingshistorik och loggar m.m. I paragrafen anges att den kompetens som finns hos Rikspolis- styrelsen och Datainspektionen ska tas till vara i arbetet med sä- kerhetsföreskrifter. Det framgår av PTS skyldighet att samråda med de myndigheterna innan föreskrifter meddelas. Även enskilda leverantörers synpunkter kan givetvis inhämtas. PTS möjligheter att meddela föreskrifter för tillsynen i övrigt på området för elektronisk kommunikation regleras i 4 § förordning- en om elektronisk kommunikation. får efter samråd med och i enskilda fall medge undantag från lagringsskyldig- heten enligt 6 kap. 6 a § första stycket lagen (2003:389) om elektronisk kommunikation. Enligt den föreslagna 6 kap. 6 c § andra stycket LEK får regeringen eller den myndighet som regeringen bestämmer i enskilda fall med- ge undantag från lagringsskyldigheten (jfr 36 § förordningen om elektronisk kommunikation och 6 kap. 19 § fjärde stycket LEK). Frågan behandlas i avsnitt 7.2.3. I den nu aktuella paragrafen anges att PTS i enskilda fall får medge undantag från lagringsskyldigheten. Det är den enskilde le- verantören som kan initiera frågan om undantag genom ansökan till PTS. Leverantörens lagringsskyldighet gäller till dess att PTS har beslutat om undantag. Bestämmelsen är utformad på samma sätt som möjligheten till undantag från anpassningsskyldigheten enligt 6 kap. 19 § fjärde stycket LEK. Om PTS beslutar att en viss leverantör ska vara undantagen från lagringsskyldigheten innebär det att leverantören över huvud taget inte behöver lagra uppgifter. Undantagen är tänkta för de fall där en leverantör bedriver en verk- samhet av så liten omfattning att det vid en avvägning mellan det brottsbekämpande intresset av att leverantören lagrar uppgifter och kostnaden för detta inte framstår som rimligt att kräva att leveran- tören fullgör lagringsskyldigheten. Vid en bedömning av vilket in- tresse som finns från de brottsbekämpande myndigheternas sida av att en viss verksamhet anpassas för lagring av trafikuppgifter är dessa myndigheters uppfattning helt avgörande. Syftet med lag- ringsskyldigheten i sig får givetvis inte urholkas. Därför anges det i paragrafen att PTS ska samråda med och innan undantag från lagringsskyldigheten med- ges. De nämnda myndigheterna kan också inhämta synpunkter från andra myndigheter inför ett sådant samråd, t.ex. från Ekobrotts- myndigheten, och lokal polismyndighet, som har sär- skild kunskap om viss brottslighet. Innan undantag medges bör som regel leverantören ha uttömt möjligheten att anlita annan för att fullgöra lagringen. Möjligheten att medge undantag kommer därmed att behöva tillämpas sparsamt. PTS beslut om att medge undantag kan tidsbegränsas och kan komma att omprövas om verk- samheten får större omfattning. PTS beslut om undantag får enligt 22 a § förvaltningslagen (1986:223) överklagas hos allmän förvalt- ningsdomstol. Enligt förslaget till ändring av 5 kap. 1 § sekretessla- gen ska det gälla sekretess för uppgifter som hänför sig till PTS verksamhet för prövning av frågor om undantag, om det kan antas att syftet med beslutade eller förutsedda åtgärder motverkas eller den framtida verksamheten skadas om uppgiften röjs (se avsnitt 17.1). får efter samråd med , , och meddela fö- reskrifter om den ersättning som lagringsskyldiga har rätt till enligt 6 kap. 6 d § lagen (2003:389) om elektronisk kommunikation. Enligt den föreslagna 6 kap. 6 d § LEK meddelar regeringen eller den myndighet regeringen bestämmer föreskrifter om den ersätt- ning för utlämnandet som lagringsskyldiga har rätt till. Frågan om ersättning behandlas i avsnitt 13.8.4. I den nu aktuella paragrafen anges att PTS får meddela föreskrif- ter om ersättning. Föreskrifterna bör ges i form av vissa schablon- belopp. Schablonbeloppen bör bestämmas utifrån de kostnader som en leverantör med goda rutiner har i samband med utlämnande av trafikuppgifter. Det rör sig t.ex. om kostnader för tekniska sy- stem för att enkelt kunna söka efter uppgifter som omfattas av myndighetens begäran, kostnader för den personal som ska hantera och lämna ut uppgifterna (t.ex. för arbete utanför kontorstid), kostnader för att hitta ett gemensamt gränssnitt till mottagaren och kostnader för drift och underhåll av de tekniska systemen. Där- emot täcker ersättningen inte kostnaderna för själva lagringen, dvs. kostnaderna för att identifiera, spara och lagra uppgifterna. PTS ska samråda med , Ekobrottsmyndig- heten, (bl.a. Säkerhetspolisen och Rikskriminal- polisen) och innan föreskrifterna meddelas. Även leve- rantörers synpunkter bör givetvis vägas in när ersättningsfrågorna regleras. Det är den brottsbekämpande myndighet som begär uppgifter som ska betala ersättning. I en och samma utredning kan myndig- heten behöva betala ersättning till flera leverantörer. Myndigheten kan också behöva betala ersättning till samma leverantör i samma utredning om begäran sker , dvs. när det är fråga om flera beslut om hemlig teleövervakning eller flera begäran om utlämnande enligt lagen om elektronisk kommunika- tion. I avsnitt 7.4 behandlas frågan om att en leverantör ska bedriva verksamheten så att uppgifterna enkelt kan tas om hand och lämnas ut utan dröjsmål (se den föreslagna 6 kap. 19 a § LEK). Det innebär att överföring av uppgifter från leverantören till myndigheten kan behöva ske för att verkställa en och samma begä- ran. Ersättningen ska utgå för varje begäran oavsett hur många ut- lämnanden eller delleveranser som behöver göras inom ramen för varje begäran. Skyldigheten att utge ersättning inträder först när den brottsbe- kämpande myndigheten har fått samtliga uppgifter som kan levere- ras, dvs. när leverantören har helt verkställt en begäran om utläm- nande av trafikuppgifter. Lagringsskyldighetens omfattning bör vara noggrant reglerad i av beslutad lag och endast bör få besluta om väsentliga förändringar i lagringsskyldighetens omfattning Med hänsyn till de långtgående effekter lagring av trafikuppgifter kan ha för alla medborgare och deras privatliv bör lagringsskyldig- hetens omfattning noggrant regleras i av beslutad lag och på ett sätt som garanterar att behovet av utvidgningar i lag- ringsskyldighetens omfattning övervägs lika noga. Enligt min me- ning bör således medverkan också krävas för att väsent- liga ändringar av lagringsskyldighetens omfattning ska få genomfö- ras. Mot den bakgrunden kan jag inte acceptera utredningens före- slagna författningsreglering. Detta eftersom utredningens lagför- slag innehåller en mycket allmänt utformad regel i fråga om vilka uppgifter som ska lagras och som överlämnar till regeringen att inom en alltför vid ram besluta om vilka närmare uppgifter om medborgarnas kommunikation som ska lagras. Beslutet att lagra kommunikationsuppgifter för att bekämpa allvar- lig brottslighet är en extraordinär åtgärd av skådat slag med historiska dimensioner. Det inkräktar på medborgarnas dagliga liv och kan riskera de grundläggande värden och friheter som alla eu- ropeiska medborgare har och vårdar. Dessa ord av Artikel 29-gruppen belyser vilka grundläggande värden och friheter som står på spel. Att medverkan och beslut ska krävas för sådana ingrepp i enskildas liv framstår som helt givet. Emellertid innebär förslaget i betänkandet att EG- direktivets mycket detaljerade reglering av vilka uppgifter som ska lagras genomförs genom bestämmelser i lagen om elektronisk kommunikation (LEK) som anger att lagringsskyldigheten omfat- tar uppgifter om abonnemang och annan uppgift som angår ett sär- skilt elektroniskt meddelande (uppgifter som avses i 6 kap. 20 § först stycket 1 och 3 LEK). Enlig lagförslaget meddelar regeringen föreskrifter om lagringsskyldighet. Detta innebär att överlämnar till regeringen att inom en mycket vid ram bestämma vilka uppgifter om enskildas kommunikation som ska lagras. Den rättsliga ramen innebär i sig en väsentlig utvidgning i förhållande till den lagringsskyldighet som EU beslutat om genom antagande av lagringsdirektivet (2006/24/EG). Utredningens lagförslag inne- bär också att överlämnar till regeringen att vid behov besluta om förändringar av lagringsskyldighetens omfattning. Även om utredningen i sitt förslag till förordningsreglering i huvudsak föreslår en lagringsskyldighet som följer EG-direktivets krav finns det med utredningens lagtekniska utformning en risk för att lag- ringsskyldigheten i med tiden kan komma att få en omfatt- ning som väsentligt avviker från EG-direktivet och som då inte haft att särskilt ta ställning till. Som framgått anser jag att det bör vara som beslutar om lagringsskyldighetens omfattning och väsentliga förändringar av den såsom eventuella avvikelser och utvidgningar i förhållande till EG-direktivet. Det kan ske genom att man i lagen om elektro- nisk kommunikation (LEK) inför en detaljreglering motsvarande den i EG-direktivet. Att göra det i 6 kap. LEK passar dock mindre bra med hänsyn till att det kapitlet har rubriken integritetsskydd. Mot en detaljreglering i LEK kan också anföras författningsteknis- ka skäl hänförliga till hur den lagen i övrigt är utformad. Ett alter- nativ kan då istället vara reglering i en särskild ny lag med detalje- rade bestämmer om vilka uppgifter som ska lagras och de övriga bestämmelser som föranleds av lagringsdirektivet, såsom bestäm- melser om ändamål, säkerhet och utlämnande. Frågan om bestämmelserna om tillgången till trafikuppgifter behöver ändras kräver ytterligare analys Med hänsyn till rättsäkerhetsaspekterna och mot bakgrund av syf- tet med lagringsdirektivet anser jag att frågan om bestämmelserna om utlämnade av trafikuppgifter behöver analyseras närmare. I betänkandet gör utredningen bedömningen att den föreslagna lagringen av trafikuppgifter inte ger anledning att förändra be- stämmelserna om utlämnande enligt lagen om elektronisk kommu- nikation. Utredningen föreslår att de uppgifter som operatörer m.fl. ska vara skyldiga att lagra ska få lämnas ut inte bara enligt reg- lerna i 27 kap. 19 § utan också enligt 6 kap. 22 § första stycket 2 och 3 lagen om elektronisk kommunikation (LEK). Förutsättningarna för utlämnande av trafikuppgifter skiljer sig i väsentliga avseenden åt när det gäller utlämnande enligt reglerna i 27 kap. och de i lagen om elektronisk kommuni- kation (LEK). Ett utlämnande enligt LEK ställer inte krav på att det ska finnas en skäligen misstänkt person, att åtgärden ska bedö- mas ha synnerlig vikt för utredningen och att åtgärden enbart får avse enbart vissa teleadresser och telenät. Ett utlämnande enligt LEK förutsätter heller inte krav på tillstånd av domstol. utredningar såsom BRU har visat på dessa skillnader och har läm- nat förslag om upphävande av reglerna i LEK. För den enskilde skulle det innebära en ökad rättsäkerhet och en förstärkning av in- tegritetsskyddet. Den obligatoriska lagringsskyldighet som fö- reslås innebär att uppgifter om enskildas kommunikation kommer att finnas lagrade i en helt annan omfattning . Det inne- bär att det är än mer angeläget att åtgärda skillnaderna i rättsäker- hetskrav mellan utlämnande enligt och LEK. Till detta kommer att syftet med lagringen av trafikuppgifter enligt lag- ringsdirektivet är att uppgifterna ska finnas tillgängliga för utred- ning, avslöjande och åtal av allvarliga brott. Jag utesluter inte att det medför att förutsättningarna för utlämnande av trafikuppgifter som omfattas av lagringsdirektivet måste ställas högre än vad som gäller för uppgifter som operatörerna bevarar för sin verksamhet. Det kan ifrågasättas om utredningens förslag om att lagrade upp- gifter ska få lämnas ut enligt LEK är förenligt med lagringsdirekti- vets syfte att komma åt allvarlig brottslighet. Det gäller särskilt för- slaget om utlämnande enligt 6 kap. 22 § första stycket 2 LEK. Av ingresspunkt 9 i EG-direktivet framgår att antagandet av ett instrument om lagring av trafikuppgifter ansetts som en, enligt ar- tikel 8 i den Europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna, nödvändig åtgärd. I ingresspunkt 25 erinras dock om att medlemsstaternas lagar eller lagstiftningsåtgärder om rätten till tillgång till och användning av uppgifterna måste till fullo respektera de grundläggande rättigheter som är garanterade i den konventionen. Det innebär enligt vad som närmare anges i samma ingresspunkt ett krav på att offentliga myndigheters intrång i rätten till privatliv måste stå i förhållande till vad som är nödvändigt och proportionerligt och därför tjäna närmare angivna, tydliga och legitima syften samt utövas på ett sätt som är rimligt och relevant och som inte är överdrivet i förhållande till syftet med intrånget. Enligt min mening har utredningen inte utfört en tillräcklig ana- lys av om de regler för utlämnande som föreslås gälla för lagrade trafikuppgifter kommer att vara förenliga med kraven i den Euro- peiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna. Enligt min bedömning kräver en så- dan analys med nödvändighet bl.a. en närmare beskrivning av hur reglerna i LEK om utlämnande tillämpats och noggranna överväganden kring hur tillämpningen kan komma att förändras av att operatörerna nu blir skyldiga att lagra och hålla trafikuppgifter- na tillgängliga. Särskilt yttrande av Per Jag ansluter mig till särskilda yttrande och vill för egen del tillägga följande: Enligt min mening är det av vikt att lagstiftningen gör en tydlig åtskillnad mellan de uppgifter som måste lagras enligt lagringsdi- rektivet och de uppgifter som vi i väljer att på annan grund införa en lagringsskyldighet för. Den skarpa skillnad som följer av berörda direktiv, mellan ett bevarande enligt kraven i lagringsdirektivet respektive lagring med stöd av undantagsbestämmelserna i direktivet om integritet och elektronisk kommunikation, kommer emellertid inte till närmare uttryck i utredningsförslaget. Den författningstekniska lösningen för samman dessa olika kategorier av uppgifter under samma be- stämmelser. Därtill har motiven för förslagen i vissa fall utformats så att det som ett andrahandsalternativ – om viss uppgift inte skulle omfattas av lagringsdirektivet – görs gällande att det i vart fall finns stöd i artikel 15.1 i direktivet om integritet och elektro- nisk kommunikation för en lagring (se t.ex. avsnitt 6:14). Utred- ningen redovisar dock inte någon närmare genomgång av de förut- sättningar som måste vara uppfyllda för att kunna införa en lag- ringsskyldighet med stöd av undantagsbestämmelserna i artikel 15.1 och inte heller av hur länge lagring kan ske med ett sådant rättsligt stöd. Enligt min mening är förutsättningarna i dessa delar inte tillräckligt genomlysta. Utredningen har gjort sådana extensiva tolkningar av artikel 11 i lagringsdirektivet – där det föreskrivs att artikel 15.1 i direktivet om integritet och elektronisk kommunikation inte skall tillämpas på uppgifter som specifikt skall lagras enligt lagringsdirektivet (kursiverat här) – att direktivets detaljerade uppräkningar synes ha uppfattats närmast som exempel, inte som en avgränsning av vad som specifikt skall få lagras. Jag ifrågasätter dessa tolkningars riktighet. Särskilt yttrande av Per Vidare bör den argumentation från effektivitetssynpunkt som utredningen för fram i flera olika avsnitt uppmärksammas. Betän- kandet innehåller visserligen ett inledande och ett avslutande av- snitt om integritetsfrågor. I övrigt präglas beskrivningarna emeller- tid av citat från BRU där rader av skäl för en ökad och effektivare användning av trafikuppgifter i brottsutredningar räknas upp och stöds av förstärkande ord, utan motsvarande uppräkningar av de integritetshänsyn som måste ställas mot effektivitetsskälen. Jag de- lar inte den bedömning som dessa uppräkningar indirekt ger ut- tryck för. Slutligen vill jag påpeka att utredningens genomgång av vilka som skall anses vara lagringsskyldiga ger vid handen att en bety- dande gråzon kommer att finnas. Denna torde komma att drabba sådana mindre aktörer som vanligtvis saknar resurser för rättsut- redningar. Dessa oklarheter kan dessutom komma att utgöra hin- der i utvecklingen av nya elektroniska tjänster som tillhandahålls från . När en tjänst hamnar i denna gråzon torde tillhanda- hållaren i stället komma att förlägga tjänsten till andra länder än . Frågan blir också av betydelse från integritetssynpunkt. Enligt min mening behöver ärendet beredas ytterligare i denna del. Bilaga 1, Dir. 2006:49 Genomförande av EG:s direktiv om Dir. En särskild utredare får i uppdrag att lämna förslag till hur Eu- ropaparlamentens och rådets direktiv /24/EG om lagring av uppgifter som genererats eller behandlats i samband med till- handahållande av allmänt tillgängliga elektroniska kommunika- tionstjänster eller allmänna kommunikationsnät och om ändring av direktiv /58/EG4 skall genomföras i svensk rätt. Utredaren skall lämna förslag till de författningsändringar som är nödvändiga och övriga åtgärder som direktivet kan ge anledning till. Utredningens arbete skall ske i nära samverkan med berörda myndigheter, näringsliv och företrädare för berör- da branscher. Utredaren skall följa det arbete som och medlemsstaterna kan komma att initiera med anledning av de nationella genomförandena av direktivet. Uppdraget skall redovisas . 4 EUT L 105, , s. 54 (Celex 32006L0024). EG:s direktiv om lagring av trafikuppgifter Efter bombattentaten i fick rådet för rättsliga och inrikes frågor (RIF) i uppdrag av att anta gemensamma åtgärder om lagring av trafikupp- gifter. Ett antal länder, däribland , utarbetade ett förslag som presenterades och som förhandlades . och rådet antog direk- tiv 2006/24/EG om lagring av trafikuppgifter. Direktivet syftar till att harmonisera medlemsstaternas regler om de skyldigheter som leverantörer av allmänt tillgängliga elektroniska kommuni- kationstjänster eller allmänna kommunikationsnät har att lagra vissa uppgifter som genereras eller behandlas i samband med att en kommunikation sker per fast eller mobil telefoni, eller på Internet. Med uppgifter avses i direktivet trafik- och lokalise- ringsuppgifter samt de uppgifter som behövs för att identifiera en abonnent eller användare (nedan används begreppet trafik- uppgifter; samtliga ovannämnda uppgifter avses emellertid). Tanken är att se till att trafikuppgifter skall finnas tillgängliga och kunna lämnas ut till de brottsbekämpande myndigheterna för att de skall kunna avslöja, utreda och åtala för allvarlig brottslighet, såsom denna definieras i nationell lag. Direktivet hindrar inte medlemsstaterna att i sin nationella lagstiftning in- föra eller behålla en längre gående lagringsskyldighet för andra trafikuppgifter än vad som följer av direktivet, eftersom artikel 15.1 i direktivet 2002/58/EG om integritet och elektronisk kommunikation alltjämt gäller för dessa delar. Direktivet anger de kategorier av uppgifter som skall lagras. Dessa kategorier är uppdelade på fast och mobil telefoni samt Internetåtkomst, e-post och Internettelefoni. De uppgifter som skall lagras svarar främst, enkelt uttryckt, på frågorna vem kommunicerade med vem, när skedde det, var befann sig de som kommunicerade med varandra och vilken typ av kommuni- kation användes vid tillfället. Lagringsskyldigheten omfattar inte innehållet i en kommunikation. Direktivet anger lagringsti- den för alla kategorier av trafikuppgifter och högst , med möjlighet att ha en tidsbegränsad längre lagringstid vid särskilda omständigheter. Dessa åtgärder skall i sådana fall godkännas av . Direktivet innehåller också bestämmelser om bl.a. skydd av personuppgifter, statistik och utvärdering. Behovet av en utredning I svensk lagstiftning finns inga krav på att nät- och tjänsteleve- rantörer skall anpassa sin verksamhet för att kunna lagra histo- riska trafikuppgifter för brottsbekämpningsändamål. Tvärtom gäller enligt 6 kap. 5 § lagen (2003:389) om elektronisk kom- munikation som huvudregel att trafikuppgifter skall utplånas eller avidentifieras när de inte längre behövs för att överföra ett elektroniskt meddelande. Undantag från denna ordning gäller enligt 6 kap. 6 och 8 §§ samma lag om uppgifterna behövs t.ex. för fakturering, betalning av samtrafikavgifter eller för att för- hindra eller avslöja obehörig användning av ett nät eller en tjänst. I den mån trafikuppgifter finns kvar, kan polis och åkla- gare få tillgång till dessa t.ex. efter ett beslut om hemlig tele- övervakning enligt 27 kap. . Även om en nät- och tjänsteleverantör enligt 6 kap. 19 § lagen om elektronisk kommunikation skall anpassa sin verksamhet så att ett beslut om hemlig teleövervakning kan verkställas (s.k. anpassnings- skyldighet) innebär det inget krav på att trafikuppgifter måste lagras (se prop. 2002/03:74 s. 39). Anpassningsskyldigheten avser endast övervakning i realtid. För del medför di- rektivets krav på att historiska trafikuppgifter skall lagras såle- des ett behov av ändringar i lag. Nät- och tjänsteleverantörers anpassningsskyldighet enligt 6 kap. 19 § lagen om elektronisk kommunikation omfattar enbart dem som tillhandahåller allmänna kommunikationsnät eller tjänster inom sådana nät; vid tjänster finns vissa begränsningar i anpassningsskyldigheten när det gäller datakommunikation. Det skall jämföras med direktivet som inte innehåller några sådana begränsningar. Detta innebär således att anpassningsskyldighe- ten måste utökas till att även omfatta de krav som direktivet anger beträffande historiska trafikuppgifter. Enligt direktivet skall tillgången till trafikuppgifter regleras i nationell rätt, med beaktande av Europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande fri- heterna (). Polis och åklagare kan få tillgång till historiska trafikuppgifter från en nät- eller tjänstele- verantör enligt vissa bestämmelser i lag. Som nämnts ovan kan det ske efter ett domstolsbeslut om hemlig teleövervakning en- ligt 27 kap. 19 § , varvid bl.a. som huvudregel krävs att det finns en person som är skäligen misstänkt för brott med ett minimistraff om sex månaders fängelse. Trafikuppgif- terna kan även inhämtas genom att den tystnadsplikt som ålig- ger nät- och tjänsteleverantörer enligt 6 kap. 20–21 §§ i lagen om elektronisk kommunikation bryts, se 6 kap. 22 § samma lag. För detta krävs att utredningen avser ett brott vars minimistraff är fängelse. Uppgifter om abonnemang kan dock lämnas ut om fängelse är föreskrivet för brottet och det bedöms kunna föranleda annan påföljd än böter. Om det är en myndighet som bedriver televerksamhet gäller sekretesslagens (1980:100) bestämmelser (se 9 kap. 8 § och 14 kap. 2 § fjärde och femte styckena nämnda lag). Syftet med direktivet är att trafikuppgifter skall lagras för att kunna lämnas ut och användas i utredningar av allvarlig brotts- lighet. Vad som är allvarlig brottslighet är upp till varje stat att avgöra, men enligt en förklaring till direktivet skall hänsyn tas till den lista som finns i artikel 2 i rambeslutet om en europeisk arresteringsorder och överlämnande mellan medlemsstaterna (2002/584/RIF), vilket kan medföra att vissa överväganden kan behöva göras vid det nationella genomförandet av direktivet. De kostnader som uppkommer för nät- och tjänsteleverantö- rer i samband med att de skall anpassa sin verksamhet enligt 6 kap. 19 § lagen om elektronisk kommunikation belastar nät- och tjänsteleverantörerna. Däremot kan dessa kräva ersätt- ning vid verkställighet av ett beslut om hemlig teleövervakning eller vid utlämnande av uppgifter enligt 6 kap. 22 § samma lag. Det saknas däremot bestämmelser i lag eller annan författning om vilken nivå på ersättningen som nät- och tjänsteleverantö- rerna kan kräva i ett enskilt fall. Direktivet reglerar inte kost-