prop · GY0346 · 2010-12-08 00:00:00 — Datainspektionen har utfärdat allmänna råd, Säkerhet för personuppgifter, som preciserar personuppgiftslagens krav på säkerhet vid behandling av personupp- gifter. Eftersom personuppgiftslagen är subsidiär till annan lagstiftning (2 §) och 6 kap. 3 § lagen om elektronisk kommunikation tar sikte på integri- tetsskyddet torde 31 § personuppgiftslagen inte vara direkt tillämplig för leverantörerna avseende hantering av trafikuppgifter (jfr 6 kap. 2 § lagen om elektronisk kommunikation). Bestämmelsen kan dock ändå vara av intresse vid tolkning av det närmare innehållet i begreppet tekniska och organisatoriska åtgärder. Precisering av leverantörernas skyldigheter Som närmare redovisats i avsnitt 7.1 föreslås leverantörerna få ansvaret för lagringen av trafikuppgifter. Det blir därmed även leverantörernas ansvar att lagringen är förenlig med de krav på kvalitet och säkerhet som direktivet ställer. Det innebär att leverantörerna måste ha en god kännedom om vilka trafikuppgifter som ska lagras, ha en tillräckligt stor lagringskapacitet, ha tekniska lösningar som innebär att lagrade trafik- uppgifter har samma kvalitet som uppgifterna i nätverket och en drift- säkerhet som minimerar risken för att uppgifterna förstörs, förloras eller förvanskas. För att systemet ska fungera och för att medborgarna ska kunna ha förtroende för att lagrade trafikuppgifter enbart behandlas när det är tillåtet och lämnas ut endast i de fall där de används för att bekämpa brott, behövs det regler som tar sikte på risken för otillåten eller obehörig åtkomst. Att bristande säkerhet skulle kunna få stora konsekvenser för enskilda påpekas bland andra av . Det innebär att de lagrade trafikuppgifterna måste skyddas inte bara genom tekniska lösningar utan också genom organisatoriska och administrativa åtgärder som begränsar tillgången till uppgifterna. Den nuvarande bestämmelsen i 6 kap. 3 § lagen om elektronisk kom- munikation tar sikte på ett grundskydd för behandlingen av trafikupp- gifter. Bestämmelsen reglerar kraven på säkerhet för de uppgifter som får sparas enligt nuvarande regler, dvs. i huvudsak de trafikuppgifter som behövs för att säkerställa att avtalsförhållandet mellan leverantör och kund fullgörs. Den lagringsskyldighet som föreslås har emellertid ett helt annat syfte och kommer dessutom att säkerställa att en mycket stor mängd trafikuppgifter finns bevarade. Detta medför att kravet på säkerhet bör höjas och att säkerhetsnivån bör preciseras i lagen om elektronisk kommunikation. Trafikuppgifter är ofta också personuppgifter. Regeringen delar därför utredningens bedömning att det är lämpligt att ta det skydd för person- uppgifter som gäller enligt personuppgiftslagen som utgångspunkt för fastställandet av den skyddsnivå som bör gälla även för lagrade trafik- Med denna utgångspunkt bör kravet på säkerhet för trafikupp- Prop. 2010/11:46 gifterna formuleras på så sätt att leverantörerna ska vidta de särskilda tekniska och organisatoriska åtgärder som krävs för att säkerställa att behandlade uppgifter skyddas. I detta ligger att behandlingen ska vara sådan att uppgifterna bibehåller en hög kvalité, är tillförlitliga och att det finns ett tillräckligt skydd mot intrång och annan otillåten behandling. har uttryckt oro över att en bestämmelse som den föreslagna är för vagt formulerad. Regeringens mening är dock att en detaljerad bestämmelse riskerar att alltför snabbt bli föråldrad. Med hänsyn till den snabba teknikutvecklingen och leverantörernas fort- löpande säkerhetsarbete är det lämpligare att tillsynsmyndigheten närmare fastställer nivån på säkerheten genom föreskrifter. Det är då upp till tillsynsmyndigheten att närmare överväga exempelvis de tekniska hjälpmedel som föreslås av KTH. Som ett antal remissinstanser påpekat är det av stor vikt att föreskrifterna är tydliga. Föreskrifterna bör tas fram efter samråd med och Datainspektionen. Den slutliga bedömningen av om de vidtagna åtgärderna är tillräckliga ska ske genom tillsynsåtgärder i enskilda fall (se närmare om tillsynsmyndighetens befogenheter i avsnitt 8.2). har anfört att motsvarande säkerhetskrav som ställs på leverantörerna även bör ställas på de brottsbekämpande myndigheterna vad gäller överföringen och mottagandet av trafikupp- gifter. Regeringen delar åsikten att det är av stor vikt att säkerhetsnivån är hög hos alla inblandande aktörer som behandlar trafikuppgifter. Hos de brottsbekämpande myndigheterna regleras skyddet för inhämtade trafikuppgifter i första hand genom 31 § personuppgiftslagen, som är tillämplig på myndigheternas verksamhet. Det kan också konstateras att de mängder information som ska hanteras kommer att skilja sig väsentligt mellan leverantörerna och de brottsbekämpande myndig- heterna, där de senare endast kommer att hantera en bråkdel av alla de uppgifter som totalt sett har lagrats. Regeringen anser sammanfattningsvis att säkerhetsnivån, genom den beskrivna skärpningen av kravet på leverantörernas säkerhetsarbete till- godoser kravet på säker behandling av uppgifterna. Regeringens bedömning: bör ha att utöva tillsyn över leverantörernas lagring av trafikuppgifter. Myndighetens nuvarande tillsynsbefogenheter är ändamålsenliga och tillräckliga. Utredningens bedömning överensstämmer med regeringens. Remissinstanserna: Flertalet remissinstanser har delat eller inte fram- fört några invändningar mot utredningens bedömning. ombudsmän () har dock förespråkat att Säkerhets- och integritets- skyddsnämnden ges en roll i sammanhanget, antingen som direkt till- synsmyndighet eller på annat sätt. Enligt JO skulle det främja den tillit till systemet som utredningen eftersträvat. Säkerhets- och integritets- skyddsnämnden har anfört att det vore naturligt att nämndens tillsyn i framtiden får omfatta all tillgång till trafikuppgifter som brottsbekäm- Prop. 2010/11:46 pande myndigheter har, inte bara som är fallet vid hemlig teleöver- har uttryckt farhågor över att Post- och tele- styrelsens (PTS) utökade roll enligt förslaget riskerar att leda till alltför detaljerade föreskrifter från myndigheten. () har anfört att tillsynsverksamhetens bedömningar och resultat regelbundet bör rapporteras publikt för att förtroendet för systemet ska kunna upprätthållas. Skälen för regeringens bedömning Post- och nuvarande verksamhet Enligt direktivet om lagring av trafikuppgifter ska medlemsstaterna utse en eller flera behöriga tillsynsmyndigheter som ska övervaka att bestäm- melserna om säkerhet för lagrade trafikuppgifter efterlevs. Den eller de myndigheter som svarar för tillsynen ska vara helt oberoende (artikel 9). Enligt gällande regler utövar PTS tillsyn över verksamhet som bedrivs med stöd av lagen om elektronisk kommunikation. PTS har ett samlat ansvar inom området för elektronisk kommunikation och ska genom sin tillsyn främja tillgången till säkra och effektiva elektroniska kommunika- tioner enligt de mål som anges i lagen. Vidare ska PTS bl.a. främja en sund konkurrens, övervaka pris- och tjänsteutvecklingen samt följa utvecklingen inom området för elektronisk kommunikation, särskilt vad gäller säkerhet vid elektronisk informationshantering och uppkomsten av eventuella miljö- och hälsorisker. PTS ska pröva frågor om tillstånd och skyldigheter, fastställa och analysera marknader samt pröva tvister enligt lagen om elektronisk kommunikation. Myndigheten ska också vara delaktig i EU-arbetet och annan internationell verksamhet (1, 3, 4 och 9 §§ förordningen [1997:401] med instruktion för Post- och telestyrel- sen). Vidare ska PTS utöva tillsyn när det gäller leverantörernas anpass- ning av systemen så att hemlig teleavlyssning och hemlig teleövervak- ning kan verkställas (6 kap. 19 § lagen om elektronisk kommunikation) samt utöva tillsyn enligt säkerhetsskyddslagen. Myndighetens tillsyns- område är således relativt stort. För att utöva tillsyn har PTS rätt att få tillträde till områden, lokaler och andra utrymmen där verksamhet som omfattas av lagen bedrivs (7 kap. 2 §). Den som bedriver sådan verksamhet kan också föreläggas att tillhandahålla myndigheten upplysningar och handlingar som behövs för utövandet av kontrollen bl.a. av efterlevnaden av de allmänna skyldigheter som gäller enligt lagen om elektronisk kommunikation (7 kap. 3 § första stycket 2). Myndigheten kan efter yttrande från leveran- tören meddela föreläggande och förbud som får förenas med vite. Sker inte rättelse kan PTS besluta om återkallelse av tillstånd, ändring i till- ståndsvillkor eller att en leverantörs verksamhet helt eller delvis ska upphöra (7 kap. 5 §). Om en överträdelse utgör ett allvarligt hot mot allmän ordning, allmän säkerhet eller folkhälsan eller kan befaras orsaka allvarliga ekonomiska eller operativa problem för tillhandahållare eller användare av elektroniska kommunikationsnät eller elektroniska kommu- nikationstjänster får myndigheten, i avvaktan på att ärendet avgörs slut- ligt, meddela förelägganden, återkalla tillstånd eller ändra Prop. 2010/11:46 tillståndsvillkoren samt besluta att en verksamhet helt eller delvis ska upphöra (7 kap. 8 §). PTS får också meddela de verkställighetsföreskrifter som behövs för frågor om anmälan, ansökan, tillstånd, tillsyn och prövning av tvister enligt lagen om elektronisk kommunikation (4 § förordningen [2003:396] om elektronisk kommunikation). Utredningen har dock redovisat att myndigheten inte har använt sig av möjligheten att meddela verkställighetsföreskrifter på nätsäkerhetsområdet. Beslut som PTS fattar enligt lagen om elektronisk kommunikation eller enligt föreskrifter som meddelas med stöd av lagen får överklagas hos allmän förvaltningsdomstol (8 kap. 19 § lagen om elektronisk kommuni- kation). Vid överklagande till kammarrätten krävs prövningstillstånd. När det gäller behandlingen av personuppgifter utövas tillsynen av Datainspektionen. De båda myndigheternas tillsynsverksamheter över- lappar således varandra i de fall de trafikuppgifter som operatörerna hanterar även utgör personuppgifter. bör utses till tillsynsmyndighet för lagringen Inledningsvis kan det konstateras att direktivet om lagring av trafikupp- gifter kräver att en eller flera behöriga, oberoende tillsynsmyndigheter utses för övervakning av att bestämmelserna om säkerhet för lagrade trafikuppgifter efterlevs. Som framgått av redovisningen ovan är det PTS som utövar till- syn över leverantörernas verksamhet enligt lagen om elektronisk kom- munikation, bl.a. i fråga om hur trafikuppgifter behandlas. Utredningen har föreslagit att PTS ska tilldelas tillsynsuppgiften även rörande den nu föreslagna lagringsskyldigheten. Förslaget grundas främst på det för- hållande att PTS är den myndighet som besitter kunskap om de leveran- törer som kommer att omfattas av skyldigheten att lagra trafikuppgifter och den verksamhet de annars bedriver. JO och har i detta samman- hang förespråkat att ges en utökad tillsynsfunktion. JO har anfört att nämnden exempelvis skulle kunna utses till direkt tillsynsmyndighet avseende lagringen av trafikdata alternativt ges någon annan tillsynsfunktion. Säkerhets- och integritets- skyddsnämnden har föreslagit att nämndens tillsyn ska omfatta all tillgång till trafikuppgifter som brottsbekämpande myndig- heter har, inte bara som är fallet vid hemlig teleövervakning. har i uppdrag att utöva till- syn över brottsbekämpande myndigheters användning av bl.a. hemliga tvångsmedel. Nämnden inrättades som ett led i att stärka rättssäkerheten för enskilda i samband med att de brottsbekämpande myndigheterna fick möjlighet till bl.a. hemlig rumsavlyssning och preventiv tvångsmedels- användning. Att, så som JO föreslagit, även ge nämnden i uppdrag att bevaka att privata leverantörer sköter sin lagringsuppgift enligt direktivet om lagring av trafikdata på ett korrekt sätt skulle, enligt regeringens mening, vara verksamhetsfrämmande. Vad avser påpekandet att ska Prop. 2010/11:46 ges en utökad tillsynsfunktion i fråga om de brottsbekämpande myndig- heternas tillgång till uppgifter om elektronisk kommunikation, så har en sådan ordning föreslagits av i delbetänkandet En mer rättssäker inhämtning av uppgifter om elektronisk kommunikation i brottsbekämpningen (se vidare avsnitt 5.1). Förslaget avses behandlas i en lagrådsremiss . De lagändringar som krävs för att genomföra direktivet om lagring av trafikuppgifter föreslås införas i lagen om elektronisk kommunikation. Av den redogörelse som ovan lämnats framgår att det är PTS som enligt 7 kap. 1 § lagen om elektronisk kommunikation har tillsyn över efterlev- naden av lagen och de beslut, skyldigheter eller villkor samt de före- skrifter som har meddelats med stöd av lagen. Regeringen anser det lämpligt att PTS utövar denna tillsyn även fortsättningsvis och anser inte att det finns anledning att utse någon annan myndighet till tillsynsmyn- dighet över efterlevnaden av de bestämmelser som införs. PTS:s tillsynsverksamhet kommer således att omfatta exempelvis att leverantörerna lagrar rätt uppgifter, att uppgifterna utplånas efter den föreskrivna tiden, att leverantörerna vidtar de särskilda tekniska och organisatoriska åtgärder som föreskrivits till skydd för de lagrade upp- gifterna och att uppgifterna lämnas ut till de brottsbekämpande myndig- heterna utan dröjsmål och på ett sätt som gör att de enkelt kan tas om hand samt att ett utlämnande av uppgifter inte röjs. Ovan har redogjorts för de åtgärder PTS har tillgång till för utövandet av sin tillsyn. Där framgår att PTS, för det fall myndigheten skulle finna att en leverantör inte uppfyller sina skyldigheter, har möjlighet att vidta ett antal olika åtgärder, varav vissa får anses mycket långtgående. Såsom utredningen funnit får de befogenheter PTS har därmed anses tillräckliga för att myndigheten ska kunna utöva en aktiv och ändamålsenlig tillsyns- verksamhet. Regeringen delar inte TeliaSonera AB:s farhågor om risk för att PTS meddelar allt för detaljerade föreskrifter. Som redovisats i avsnitt 8.1 har ett antal remissinstanser efterlyst mycket tydliga föreskrifter från tillsyns- myndigheten. Det är även regeringens mening att detta bör vara myndig- hetens ambition. SNUS har anfört att tillsynsverksamhetens bedömningar och resultat regelbundet bör rapporteras publikt. PTS publicerar sina föreskrifter, allmänna råd, rapporter och beslut. Detta främjar allmän- hetens insyn och kan därför sägas möta de synpunkter som SNUS fram- fört. 8.3Överföring av personuppgifter till ett annat land Regeringens bedömning: Trafikuppgifter bör kunna lagras i ett annat land under förutsättning att den lagringsskyldige lever upp till de krav och skyldigheter som följer av personuppgiftslagens regler och de bestämmelser som föreslås gälla vid genomförandet av direktivet om lagring av trafikuppgifter. Utredningens bedömning överensstämmer i huvudsak med rege- ringens. Remissinstanserna: Flertalet remissinstanser delar eller har inte haft några invändningar mot utredningens bedömning. Säkerhetspolisen, , och .SE har emellertid ifrågasatt utredningens bedömning att lagring av trafik- uppgifter med tillräcklig grad av säkerhet kan ske även utomlands. Skälen för regeringens bedömning: Inledningsvis kan konstateras att det i direktivet om lagring av trafikuppgifter inte finns några uttryckliga regler om var trafikuppgifter får eller inte får lagras. Inom området för elektronisk kommunikation kan en och samma leverantör verka i flera länder. Det innebär att lagringen av trafikuppgifter som har genererats i kan förläggas till ett annat land och att trafikuppgifter som har genererats i ett annat land kan lagras i . En leverantör som har sådan verksamhet i som medför anmälningsskyldighet enligt 2 kap. 1 § lagen om elektronisk kommunikation föreslås vara lagrings- skyldig (se avsnitt 7.2). Om en utländsk leverantör inte är anmälnings- pliktig för verksamhet i utan enbart förlägger sitt lager av trafikuppgifter här i landet gäller däremot inte den svenska regleringen för lagring av trafikuppgifter. Leverantörens hantering av uppgifterna i lagret kan dock komma att omfattas av t.ex. bestämmelserna i person- uppgiftslagen, om hanteringen innebär behandling av sådana trafik- uppgifter som är personuppgifter. Ett antal remissinstanser har ifrågasatt utredningens bedömning att lagring av svenska trafikuppgifter med tillräcklig grad av säkerhet kan ske även utomlands. Regeringen har förståelse för den oro som framförts. I de länder där direktivet redan har införts har det, såvitt känt, emellertid inte införts några uttryckliga begränsningar som gör att trafikuppgifter inte får lagras i ett annat medlemsland. När det gäller övriga EU-länder kan också konstateras att det i samtliga medlemsländer finns rättsregler för data- skydd som grundar sig på EU:s dataskyddsdirektiv (95/46/EG) och på direktiv /58/EG om integritet och elektronisk kommunikation. Regeringen delar därför utredningens bedömning att direktivet inte ger något utrymme för att begränsa leverantörernas möjligheter att förlägga lagret av trafikuppgifter till ett annat EU-land. Vad gäller lagring av trafikuppgifter som också är personuppgifter i ett tredjeland (dvs. ett land som varken ingår i EU eller är anslutet till EES) innehåller personuppgiftslagen bestämmelser som begränsar sådana möjligheter. Enligt 33 § personuppgiftslagen är det förbjudet att till tredjeland föra över personuppgifter som är under behandling eller att föra över uppgifterna för behandling i ett sådant land, om landet inte har en adekvat nivå för skyddet av personuppgifterna. Frågan om en adekvat skyddsnivå föreligger ska bedömas med hänsyn till samtliga omständig- heter som har samband med överföringen. Särskild vikt ska läggas vid uppgifternas art, ändamålet med behandlingen, hur länge behandlingen ska pågå, ursprungslandet, det slutliga bestämmelselandet och de regler som finns för behandlingen i det tredjelandet. Trots förbudet är det enligt 34 § samma lag tillåtet att föra över personuppgifter till tredjeland, om den registrerade har gett sitt samtycke till överföringen eller om över- föringen är nödvändig för att den registrerades rättigheter ska kunna tas till vara eller skyddas. Det är också tillåtet att föra över personuppgifter Prop. 2010/11:46 för användning enbart i en stat som har anslutit sig till kon- vention om skydd för enskilda vid automatisk databehandling av person- uppgifter. Regeringen eller den myndighet som regeringen bestämmer får enligt 35 § personuppgiftslagen meddela undantag från förbudet att föra över personuppgifter till tredjeland. Regeringen har föreskrivit att person- uppgifter får föras över till tredjeland om och i den utsträckning kommissionen har konstaterat att landet har en adekvat nivå för skyddet av personuppgifter. Vilka de länderna är anges i en bilaga till person- uppgiftsförordningen. Datainspektionen får också meddela beslut om undantag i enskilda fall om det finns tillträckliga garantier till skydd för de registrerades rättigheter (13 och 14 §§ personuppgiftsförordningen [1998:1191]). Som inledningsvis nämnts finns det i direktivet om lagring av trafik- uppgifter inga uttryckliga regler som stadgar var lagringen av trafikupp- gifter får eller inte får ske. Om lagringen sker inom EU eller i ett land som är anslutet till EES tillämpas ett gemensamt regelverk som innebär ett starkt skydd för personuppgifterna. Möjligheterna att lagra i ett land utanför denna krets begränsas av bestämmelserna i personuppgiftslagen. Även om lagringen förläggs utomlands gäller dock leverantörens alla skyldigheter enligt de bestämmelser som anger hur lagringsskyldigheten ska fullgöras, t.ex. de krav som rör säkerheten för de lagrade trafikuppgifterna. Detta måste särskilt beaktas av leverantörerna om de överväger att lagra trafikuppgifter utomlands. Leverantörernas skyldig- heter inkluderar också bestämmelserna om tystnadsplikt. Tystnadsplikten för de uppgifter som ska lagras med stöd av de bestämmelser som genomför direktivet om lagring av trafikuppgifter föreslås endast kunna brytas med stöd av bestämmelserna i 6 kap. 22 § första stycket 2 eller 3 lagen om elektronisk kommunikation eller enligt 27 kap. 19 § , dvs. för att under vissa förutsättningar lämnas ut till åklagarmyndighet, polismyndighet eller annan myndighet. Med dessa angivna myndigheter åsyftas endast svenska inte utländska brotts- bekämpande myndigheter. Av skäl 25 i ingressen till direktivet om lagring av trafikuppgifter framgår också att direktivet inte påverkar medlemsstaternas möjligheter att använda sig av lagstiftning som reglerar nationella myndigheters rätt till tillgång till och användning av de lagrade uppgifterna. Sammanfattningsvis anser regeringen att befintliga regler får anses ge ett tillfredsställande skydd och att det således inte finns behov av komp- letterande lagbestämmelser. 8.4Det straff- och skadeståndsrättsliga skyddet Regeringens bedömning: De nya reglerna om lagring av trafikupp- gifter ger inte anledning att förändra någon straff- eller skadestånds- rättslig bestämmelse. Utredningens bedömning överensstämmer med regeringens. Remissinstanserna: Flertalet remissinstanser har delat eller inte haft några invändningar mot utredningens bedömning. Kammarrätten i och .SE har dock anfört att det bör övervägas att införa en bestämmelse om grovt dataintrång med en strängare straffskala. Data- inspektionen har påpekat att straffbestämmelserna i personuppgiftslagen inte torde omfatta en situation där trafikuppgifterna lagras än vad som är tillåtet eftersom straffbestämmelserna i 49 § b) personuppgiftslagen endast gäller sådan behandling i strid med person- uppgiftslagen som avser s.k. känsliga uppgifter och dit hör inte trafik- uppgifter. Skälen för regeringens bedömning Gällande regler om ansvar Av artikel 13 i direktivet om lagring av trafikuppgifter följer att medlemsstaterna ska säkerställa att rättslig prövning, ansvar och sanktioner finns till skydd för uppgifterna. Medlemsstaterna ska särskilt vidta nödvändiga åtgärder för att säkerställa att förbjuden tillgång till eller överföring av lagrade uppgifter beläggs med sanktioner, inbegripet administrativa eller straffrättsliga sanktioner, som är effektiva, proportio- nerliga och avskräckande. I utredningen redogörs för befintliga straff- och skadeståndsrättsliga bestämmelser till skydd för lagrade trafikuppgifter (se sid. 202 f.). Sammanfattningsvis redovisas följande bestämmelser. En anställd hos en leverantör som olovligen bereder sig tillgång till trafikuppgifter eller behandlar dem för ett otillåtet ändamål kan göra sig skyldig till dataintrång enligt 4 kap. 9 c § . Straffskalan för brottet är böter eller fängelse i högst . Bestämmelsen kan också bli tillämplig om någon utomstående olovligen bereder sig tillgång till de lagrade trafikuppgifterna. För dataintrång kan också dömas om någon ändrar, förstör eller blockerar en trafikuppgift. Förfarandet kan dessutom bli att bedöma enligt andra bestämmelser i , t.ex. bestämmel- serna om egenmäktigt förfarande och skadegörelse i 8 kap. 8 § respektive 12 kap. 1 § . Anställda hos en leverantör som bryter mot reglerna om tystnadsplikt i lagen om elektronisk kommunikation kan också göra sig skyldiga till brott mot tystnadsplikten enligt 20 kap. 3 § . Straffskalan för uppsåtliga brott mot tystnadsplikten är böter eller fängelse i högst . För brott som begåtts av oaktsamhet döms till böter. I ringa fall ska dock inte dömas till ansvar. Av 49 § personuppgiftslagen följer vidare bl.a. att det är straffbart att uppsåtligen eller av grov oaktsamhet behandla personuppgifter som utgör s.k. känsliga personuppgifter enligt 13 § samma lag i strid med lagen eller att föra över personuppgifter till ett tredjeland som inte har en adekvat skyddsnivå för behandling av uppgifterna i strid med 3335 §§ samma lag. Straffskalan är böter eller fängelse eller, om brottet är grovt, fängelse i högst . Skadeståndsrättslig reglering till skydd för enskilda som lidit skada till följd av felaktig behandling av trafikuppgifter återfinns, i de fall trafik-