prop · GY0346 · 2010-12-08 00:00:00 — Enligt regeringens bedömning bör det även vara möjligt att återkalla ett beslut om undantag från lagringsskyldigheten när det finns andra särskilda skäl för det. Ett villkor som uppställs kan exempelvis vara kopplat till verksamhetens omfattning och en återkallelse skulle exempelvis kunna bli aktuell i en situation då en leverantör som medgivits undantag efter beslutet får ett stort antal kunder eller att de brottsbekämpande myndigheterna skulle uppmärksamma en tendens att kriminella personer söker sig till en viss leverantör som är undantagen från lagringsskyldigheten. beslut i fråga om undantag bör kunna överklagas hos allmän förvaltningsdomstol. Vid överklagande till kammarrätten bör krävas prövningstillstånd (jämför 8 kap. 19 § lagen om elektronisk kom- munikation). Ansvaret vid verksamhetsövergång, konkurs och likvidation I utredningen gjordes bedömningen att det följer av föreslagna regler att skyldigheten att lagra uppgifter, liksom de regler om exempelvis utplå- nande och skyddsåtgärder som följer med lagringsskyldigheten, övergår till den som övertar en verksamhet som träffas av lagringsskyldigheten (dvs. om leverantören är anmälningspliktig enligt 2 kap. 1 § lagen om elektronisk kommunikation). Enligt utredningens bedömning innebär en konkurs eller likvidation inte i sig att lagringsskyldigheten upphör, utan det följer av gällande regler att den som under ett sådant förfarande före- träder den lagringsskyldige, i första hand konkursförvaltaren respektive likvidatorn, har att se till att skyldigheterna fullgörs under den åter- stående lagringstiden. Detta skulle enligt utredningen vara fallet både då verksamheten drivs vidare och då den upphör. och Säkerhetspolisen har härvid anfört att de anser att det uttryckligen bör regleras att en konkursförvaltare eller likvidator som övertar en lagringsskyldig leverantörs verksamhet ska se till att lagringen fullgörs under hela den återstående lagringstiden. Det följer av gällande regler att då en anmälningspliktig verksamhet Prop. 2010/11:46 drivs vidare har den som företräder verksamheten en skyldighet att se till att de förpliktelser som följer med verksamheten fortsätter att fullgöras (exempelvis lagring, utplåning, kvalitet och säkerhet). Detta gäller oav- sett om den som företräder verksamheten är en ny ägare eller en konkurs- förvaltare eller likvidator. Om verksamheten avvecklas torde dock inte någon sådan skyldighet föreligga. Som huvudregel gäller att när en verksamhet upphör genom konkurs eller likvidation så upphör även de skyldigheter som var förknippade med verksamheten. Detta är enligt regeringens bedömning fallet också beträffande skyldigheterna kring lagring av trafikuppgifter. Motsatt ordning skulle innebära att t.ex. en konkursförvaltare skulle åläggas skyldigheter som i många fall skulle motverka det övergripande syftet med konkursen, nämligen att för borgenärernas räkning på bästa sätt förvalta boets tillgångar och avveckla verksamheten. För att en sådan skyldighet skulle gälla skulle det därför, såsom och Säkerhetspolisen föreslagit, krävas en uttrycklig reglering därom. Rege- ringen kan dock inte förutse något behov av en specialreglering som tillser att lagringen fullgörs även efter ett beslut om konkurs eller likvidation. Det torde vara i ytterst sällsynta fall de brottsbekämpande myndigheterna har behov av att få tillgång till trafikuppgifter som finns just hos en leverantör som gått i konkurs eller trätt i likvidation och vars verksamhet hunnit upphöra innan behovet uppstod hos myndigheten. 7.3För vilka ändamål ska leverantörerna få behandla trafikuppgifter? Regeringens förslag: Trafikuppgifter som har lagrats för brotts- bekämpande syften ska, utöver den behandling som utgörs av lag- ringen, få behandlas av leverantörerna endast för att lämnas ut enligt 6 kap. 22 § första stycket 2 eller 3 lagen om elektronisk kommunika- tion eller efter beslut om hemlig teleövervakning enligt 27 kap. 19 § . Utredningens förslag överensstämmer i sak med regeringens. Remissinstanserna: Flertalet remissinstanser har tillstyrkt eller lämnat förslaget utan invändningar. IFPI Svenska Gruppen och Svenska Anti- piratbyrån har dock anfört att uppgifter som lagrats enligt direktivet även bör kunna lämnas ut till innehavare av immateriella rättigheter. har efterlyst tydliga direktiv avseende vilka som har rätt att få ut lagrade trafikuppgifter. Skälen för regeringens förslag: Enligt artikel 15.1 i direktiv /58/EG om integritet och elektronisk kommunikation får trafikupp- gifter lagras och lämnas ut för vissa närmare angivna syften, bl.a. för brottsbekämpning. Med stöd av denna bestämmelse har direktivet om lagring av trafikuppgifter tillkommit i syfte att harmonisera medlems- staternas bestämmelser när det gäller skyldigheten att lagra trafikupp- gifter för att säkerställa att uppgifterna finns tillgängliga för avslöjande, utredning och åtal av allvarliga brott. I artikel 4 i direktivet om lagring av trafikuppgifter stadgas vidare att medlemsstaterna ska anta åtgärder för att säkerställa att uppgifter som lagras i enlighet med direktivet om lagring av trafikuppgifter endast görs tillgängliga för behöriga nationella myndigheter i närmare angivna fall och i enlighet med nationell lagstiftning. Direktivet om lagring av trafikuppgifter syftar alltså inte till att säkerställa tillgången till dessa uppgifter för andra syften. Mot den bakgrunden instämmer regeringen i utredningens bedömning att de trafikuppgifter som ska lagras med stöd av direktivet bör vara för- behållna brottsbekämpande syften och brottsbekämpande myndigheter. I de nya bestämmelserna bör därmed uttryckligen anges att dessa uppgifter får behandlas endast för att lämnas ut till brottsbekämpande myndigheter enligt reglerna i 6 kap. 22 § första stycket 2 eller 3 lagen om elektronisk kommunikation eller enligt 27 kap. 19 § . Det innebär bl.a. att varken bestämmelser om vittnesförhör och edition eller de immaterialrättsliga bestämmelserna om s.k. informations- föreläggande kommer att kunna användas för att få ut de uppgifter som lagras med stöd av direktivet. Uppgifterna får alltså inte lämnas ut till någon annan eller för något annat syfte än vad som uttryckligen stadgas i de nya bestämmelserna. Det innebär också att uppgifter som lagras med stöd av direktivet inte får behandlas av leverantörerna för något internt intresse, såsom exempelvis fakturering och marknadsföring, eller för att förhindra och avslöja obehörig användning av ett elektroniskt kommuni- kationsnät eller en elektronisk kommunikationstjänst. Med anledning av de synpunkter som IFPI Svenska Gruppen och Svenska har framfört, om att det bör möjliggöras även för upphovsrättsinnehavare att få del av uppgifter som lagras med stöd av de nya bestämmelserna, vill regeringen tillägga följande. Visserligen möj- liggör artikel 15.1 i direktivet om integritet och elektronisk kommunika- tion att trafikuppgifter får lagras och lämnas ut även för att t.ex. enskilda ska kunna tillvarata sina rättigheter i en civilrättslig process. Den lagringsskyldighet som föreslås ska dock endast omfatta användning för brottsbekämpande syften. Vid sidan av denna skyldighet kommer reglerna som möjliggör lagring av uppgifter för vissa andra ändamål att fortsätta att gälla (se vidare nedan). För att fullgöra förpliktelsen att se till att uppgifter som lagras enligt den nya lagringsskyldigheten inte ska kunna användas för andra ändamål, måste den som lagrar uppgifter redan från början se till att lagringen sker på ett sätt som gör att det står klart för vilket eller vilka syften uppgifterna lagras. Av detta följer att det måste vara möjligt för en utomstående, exempelvis tillsynsmyndigheten, att kunna avgöra för vilket eller vilka syften uppgifter finns lagrade. Det ska alltså inte vara möjligt för exempelvis en Internetleverantör att först när ett utlämnande blir aktuellt, eller när det upptäcks att uppgifterna även behövs för t.ex. fakturering, bestämma för vilket eller vilka syften uppgiften är lagrad. Om en uppgift endast finns lagrad för brotts- bekämpande syften får uppgiften inte användas för några andra syften, inte ens för att leverantören själv ska kunna förhindra och avslöja obehörig användning. I övrigt kommer de regler om behandling av trafik- uppgifter som redan gäller alltså att fortsätta gälla. De allmänna bestämmelserna om behandling av trafikuppgifter finns främst i 6 kap. 5, 6 och 8 §§ lagen om elektronisk kommunikation. Enligt 6 kap. 5 § är huvudregeln att trafikuppgifter ska utplånas eller avidenti- fieras när de inte längre behövs för att överföra ett elektroniskt med- Prop. 2010/11:46 delande, men det finns flera undantag från denna huvudregel. t.ex. vara nödvändigt att spara denna typ av uppgifter för att kunna för- hindra och avslöja obehörig användning av ett elektroniskt kommunika- tionsnät eller en elektronisk kommunikationstjänst. Vidare får trafikupp- gifter sparas om de behövs för abonnentfakturering eller för betalning av avgifter för samtrafik. Sådana uppgifter får också behandlas för att mark- nadsföra elektroniska kommunikationstjänster, om den abonnent eller användare som uppgifterna avser har samtyckt till det. Dessa bestämmel- ser kommer att kvarstå oförändrade, vid sidan av den lagring som ska ske för brottsbekämpande syften. I den mån en leverantör har behov av att behandla de trafikuppgifter som enligt direktivet ska lagras för brotts- bekämpande syften även för andra ändamål som anges i lagen om elek- tronisk kommunikation så får dessa uppgifter alltså även sparas med stöd av gällande regler. Uppgifter som har sparats enligt nu gällande regler, dvs. uppgifter som inte enbart är lagrade på grund av den lagringsskyldighet som införs, ska precis som vara åtkomliga för vissa civilrättsliga ändamål, bl.a. enligt regler om vittnesförhör och edition samt enligt de immaterialrättsliga bestämmelserna om s.k. informations- föreläggande (jfr prop. 2008/09:67 s. 124 f. och 143 samt skäl 12 i direktivets ingress, se dock även Högsta domstolens beslut att inhämta förhandsavgörande i mål nr Ö 4817-09). När det gäller just bestämmelserna om informationsföreläggande kan dessutom tilläggas att regeringen genom beslut har tillsatt en särskild utredare som ska utvärdera hur regelverket påverkat rättighetshavare, och konsumenter (kommittédirektiv 2009:68). Utvärderingen ska bl.a. omfatta frågan om reglerna ger rättig- hetshavarna möjlighet att få tillgång till begärda uppgifter i befogad omfattning. Uppdraget ska redovisas . 7.4Anpassning för utlämnande av uppgifter Regeringens förslag: Leverantörerna ska bedriva verksamheten så att uppgifterna utan dröjsmål kan lämnas ut och så att verkställandet av utlämnandet inte röjs. Uppgifterna ska göras tillgängliga så att infor- mationen enkelt kan tas om hand. Utredningens förslag överensstämmer med regeringens. Remissinstanserna: Flertalet remissinstanser har tillstyrkt förslaget eller lämnat det utan invändningar. har framhållit att polisens behov av uppgifterna kan vara mycket akut och uppstå när som helst dygnet om. har anfört att det är rimligt att anta att kravet på att uppgifterna enkelt kan tas om hand och lämnas ut utan dröjsmål delvis är i konflikt med kraven på säker lagring, hantering och överföring av uppgifterna. Användning av t.ex. kryptering och metoder för verifiering av dataintegritet kan ju innebära att proces- serna tar . Det påpekas också att detta inte bara gäller till skydd för personlig integritet utan också för att säkerställa uppgifternas riktig- het, något som är avgörande för brottsbekämpningen. IT&Telekomföre- tagen och har kritiserat utredningens tolkning att ett utlämnande utan dröjsmål innebär att aktivitet ska inledas inom någon timme räknat från när leverantören tar emot (blir medveten om) begäran om att trafikuppgifter ska lämnas ut. IT&Telekomföretagen har anfört att ett sådant krav innebär stora kostnader som relativt sett drabbar små operatörer hårdare. har anfört att kravet i praktiken innebär att det måste finnas jourhavande personal för att serva myndig- heterna med information, vilket kommer i konflikt med att det av säker- hetsskäl krävs att endast ett fåtal personer med speciell utbildning och behörighet inom ett företag får hantera dessa känsliga uppgifter. Skälen för regeringens förslag: Enligt artikel 8 i direktivet om lagring av trafikuppgifter ska det säkerställas att uppgifterna lagras på ett sådant sätt att de tillsammans med annan nödvändig information utan dröjsmål kan överföras till myndigheterna efter begäran. Enligt 6 kap. 19 § lagen om elektronisk kommunikation ska en verk- samhet bedrivas så att beslut om hemlig teleavlyssning och hemlig teleövervakning kan verkställas och så att verkställandet inte röjs. Detta är innebörden av den s.k. anpassningsskyldigheten. Denna skyldighet innebär också att innehållet i och uppgifter om avlyssnade eller över- vakade telemeddelanden ska göras tillgängliga så att informationen enkelt kan tas om hand. Anpassningsskyldigheten gäller alltså för såväl hemlig teleavlyssning som hemlig teleövervakning och avser både histo- riska uppgifter och realtidsuppgifter. Av bestämmelsen framgår att anpassningsskyldigheten endast gäller för vissa verksamheter, nämligen tillhandahållande av 1.ett allmänt kommunikationsnät som inte enbart är avsett för utsänd- ning till allmänheten av program i ljudradio eller annat som anges i 1 kap. 1 § tredje stycket yttrandefrihetsgrundlagen, eller 2.tjänster inom ett allmänt kommunikationsnät vilka består av a)en allmänt tillgänglig telefonitjänst till fast nätanslutningspunkt som medger överföring av lokala, nationella och internationella samtal, tele- fax och datakommunikation med en viss angiven lägsta datahastighet, som medger funktionell tillgång till Internet, eller b)en allmänt tillgänglig elektronisk kommunikationstjänst till mobil nätanslutningspunkt. Som framgår av avsnitt 7.2 föreslår regeringen att skyldigheten att lagra trafikuppgifter ska omfatta samtliga de leverantörer som är anmäl- ningspliktiga enligt lagen om elektronisk kommunikation. Denna skyl- dighet omfattar därmed fler leverantörer än de som är anpassningsskyl- diga enligt 6 kap. 19 § lagen om elektronisk kommunikation. Skyldig- heten att lagra trafikuppgifterna bör därför förenas med en anpass- ningsskyldighet som innebär att samtliga de lagringsskyldiga leveran- törernas verksamhet ska bedrivas på ett sådant sätt att de lagrade upp- gifterna enkelt kan överföras till och användas av de brottsbekämpande myndigheterna. Det innebär att myndigheterna utan ansträngning ska kunna ta del av informationen även om den skulle vara exempelvis krypterad eller komprimerad. Uppgifterna måste emellertid alltid över- lämnas på ett sådant sätt att säkerheten och skyddet för uppgifterna inte eftersätts. Därutöver bör det ställas krav i fråga om hur snabbt uppgifterna ska Prop. 2010/11:46 göras tillgängliga för myndigheterna. Som ovan nämnts krävs i direktivet om lagring av trafikuppgifter att uppgifterna lagras på ett sådant sätt att de tillsammans med annan nödvändig information kan överföras till myndigheterna utan dröjsmål. En motsvarande lagbestämmelse bör införas avseende de uppgifter som lagras enligt direktivet. När det gäller den praktiska tillämpningen av begreppet utan dröjsmål har det framgått av remissynpunkterna att det finns intressen som talar i olika riktningar. Å ena sidan kan det hos de brottsbekämpande myndig- heterna i vissa situationer finnas ett akut behov av att få tillgång till trafikuppgifter och å andra sidan innebär en ständig beredskap hos leve- rantörerna ökade kostnader och i vissa fall eventuellt även ökade säker- hetsrisker. Enligt regeringens mening väger dock brottsbekämpnings- intresset i denna fråga mycket tungt, då en snabb verkställighet i vissa fall kan vara absolut nödvändig för att skydda allmänheten eller föra en brådskande utredning framåt. Regeringen delar därför utredningens bedömning att begreppet utan dröjsmål i den nya bestämmelsen rimligen bör tillämpas så att behandling av en begäran som inkommer under kontorstid ska inledas inom samt att leverantörerna kan komma att behöva arbeta med sådana förfrågningar även utanför kontors- tid. Hur snabbt ett utlämnande ska ske i det enskilda fallet är en fråga som kommer att få avgöras av de brottsbekämpande myndigheterna och leverantörerna i varje situation. Därutöver omfattar tillsynsmyndighetens allmänna tillsynsverksamhet enligt 7 kap. lagen om elektronisk kommu- nikation även tillsyn av att leverantörerna lever upp till sina skyldigheter i denna del (se vidare avsnitt 8.2). Slutligen ska, på samma sätt som gäller enligt 6 kap. 19 § lagen om elektronisk kommunikation, leverantörerna bedriva sin verksamhet på ett sådant sätt att verkställandet inte röjs. Överföring ska ske så snart någon uppgift finns tillgänglig. Det kan innebära att det sker överföring . Det kan för de brotts- bekämpande myndigheterna t.ex. vara av stort värde att en leverantör snabbt börjar lämna de uppgifter som finns tillgängliga och sedan kontinuerligt överför samtliga uppgifter allt eftersom de tas fram ur systemen. 8 Skyddet för de lagrade uppgifterna För att lagringen av trafikuppgifter ska ha den säkerhet som krävs för att uppnå syftet med lagringen och för att skapa en hög tillit till systemet måste lagringen utföras så att både integritetsskyddet och effektiviteten tillgodoses. Det tekniska, såväl som det organisatoriska skyddet måste vara tillräckligt, som de rättsliga regler som blir tillämpliga om trafikuppgifter ändå skulle komma att spridas i strid med lagen måste vara tydliga. Det fordrar också en aktiv tillsynsverksamhet med en till- synsmyndighet som har god kännedom om regleringen av marknaden för elektronisk kommunikation och insikter om hur trafikuppgifter får användas i brottsbekämpningen. En säker lagring av trafikuppgifter behöver med andra ord övervägas utifrån tekniska, administrativa, straff- Prop. 2010/11:46 rättsliga, civilrättsliga och förvaltningsrättsliga utgångspunkter. Regeringens förslag: I lagen om elektronisk kommunikation ska det införas en särskild bestämmelse om leverantörernas skyldighet att vidta särskilda tekniska och organisatoriska åtgärder som behövs för att skydda de trafikuppgifter som lagrats för brottsbekämpande syften. Regeringen eller den myndighet regeringen bestämmer ska få meddela föreskrifter om leverantörens skyldighet att vidta dessa åtgärder. Utredningens förslag överensstämmer med regeringens. Remissinstanserna: har framfört att lagring och hantering av trafikuppgifter kan utgöra en betydande säkerhetsrisk för enskilda brottsoffer. har anfört att inget elektroniskt system är så säkert att man kan garantera att obehöriga inte får tillgång till det och att risken för missbruk av de lagrade uppgifterna därför är stor. har anfört att det borde ställas mot- svarande säkerhetskrav på de brottsbekämpande myndigheterna vad gäller överföringen och mottagandet av trafikuppgifter. Kungliga teknis- ka högskolan (KTH) har förordat att man, för att minimera riskerna vid ett eventuellt dataläckage, tittar på tekniska hjälpmedel, t.ex. kryptering, där endast brottsutredande myndighet har möjlighet att avkryptera. har uttryckt oro för att den föreslagna säkerhets- bestämmelsen är för vagt formulerad. IT&Telekomföretagen, vid och .SE har efterlyst mycket tydliga föreskrifter från tillsynsmyndigheten för vilket säkerhetsarbete som krävs av leverantörerna. Försvarsmakten har påtalat att det är angeläget att de operatörer som kommer att behandla uppgifter enligt förslaget görs uppmärksamma dels på att uppgifterna, i vart fall i sammanställd form, skulle kunna omfattas av försvarssekretess, dels att en behandling av sådana uppgifter kan medföra att föreskrifterna i bl.a. säkerhetsskyddslagen (1996:627) ska tillämpas. har å sin sida anfört att en rätt avpassad kvalitet och säkerhet för operatörerna är en förutsättning för affärsverksamheten och det är hos operatörerna som den nödvändiga tekniska kunskapen finns. Eventuella föreskrifter bör därför utformas övergripande och främst inriktas på harmonisering mellan operatörer och tjänster. har anfört att sekretesskraven vad gäller lagrade trafikdata bör höjas och likställas med behandling av känsliga personuppgifter enligt personuppgiftslagen. Skälen för regeringens förslag En säker behandling av uppgifter En grundförutsättning för att syftet med lagringen av trafikuppgifter ska uppnås är att trafikuppgifter lagras med hjälp av en teknik som håller hög kvalitet och säkerhet. En hög kvalitet och säkerhet är också avgörande för medborgarnas förtroende för systemet. Direktivet innehåller flera artiklar som syftar till en säker lagring. Det anges att lagrade trafikuppgifter ska vara av samma kvalitet och vara föremål för samma säkerhet och skydd som uppgifterna i nätverket (artikel 7 a). Dessutom ska uppgifterna omfattas av lämpliga tekniska och organisatoriska åtgärder för att skyddas mot oavsiktlig eller olaglig förstöring, oavsiktlig förlust eller oavsiktlig ändring, eller otillåten eller olaglig lagring av, behandling av, tillgång till eller avslöjande av upp- gifterna (artikel 7 b). Uppgifterna ska också omfattas av lämpliga tekniska och organisatoriska åtgärder för att säkerställa att endast särskilt bemyndigad personal får tillgång till lagrade uppgifter (artikel 7 c). Regler om teknisk säkerhet finns i 5 kap. 6 a § och 6 kap. 3 § lagen om elektronisk kommunikation. Bestämmelsen i 5 kap. 6 a § gäller drift- säkerheten i leverantörernas system. Av bestämmelsen framgår att den som tillhandahåller allmänna kommunikationsnät eller allmänt tillgäng- liga elektroniska kommunikationstjänster ska se till att verksamheten uppfyller rimliga krav på god funktion och teknisk säkerhet samt har uthållighet och tillgänglighet vid extraordinära händelser i fredstid. Det innebär att systemen ska vara byggda så att störningar i normal drift eller vid extraordinära händelser inte leder till oacceptabla avbrott eller andra problem med driften och att konsekvenserna av inträffade avbrott eller driftstörningar minimeras. () har utfärdat allmänna råd i fråga om kravet på driftsäkerhet (PTSFS 2007:2). Av råden framgår att leverantörerna bör bedriva ett kontinuerligt och syste- matiskt säkerhetsarbete i vilket delmomenten riskanalys, riskhantering, planering för avbrott och störningar samt uppföljning av inträffade avbrott och störningar bör finnas. Råden innebär bl.a. att leverantörerna ska ha en säkerhetspolicy och en säkerhetsorganisation som garanterar en tillräcklig säkerhetsnivå. Bestämmelsen i 6 kap. 3 § lagen om elektronisk kommunikation gäller inte driftsäkerhet utan avser det integritetsskydd som ska upprätthållas. I bestämmelsen anges att den som tillhandahåller en allmänt tillgänglig elektronisk kommunikationstjänst ska vidta lämpliga åtgärder för att säkerställa att behandlade uppgifter skyddas. Åtgärderna ska vara ägnade att säkerställa en säkerhetsnivå som, med beaktande av tillgänglig teknik och kostnaderna för åtgärderna, är anpassad till risken för integritets- intrång. Den som tillhandahåller ett allmänt kommunikationsnät ska vidta de åtgärder som är nödvändiga för att upprätthålla samma skydd i nätet. I artikel 4.1 i direktivet om integritet och elektronisk kommunikation, som genomförs i 6 kap. 3 § lagen om elektronisk kommunikation, anges att det är tekniska och organisatoriska åtgärder som avses. Uttrycket tekniska och organisatoriska åtgärder förekommer även i 31 § personuppgiftslagen. Enligt den bestämmelsen ska den personupp- giftsansvarige vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas. Åtgärderna ska åstadkomma en säkerhetsnivå som är lämplig med beaktande av de tekniska möjlig- heter som finns, vad det skulle kosta att genomföra åtgärderna, de särskilda risker som finns med behandlingen av personuppgifterna och hur pass känsliga de behandlade personuppgifterna är.