prop · GY0346 · 2010-12-08 00:00:00 — Lagringstiden torde därmed vara en av de faktorer som kan påver- ka såväl etablerade som presumtiva aktörers investeringsvilja. Den tek- niska utvecklingen har också lett till att kunderna inte är beroende av nationsgränser när de väljer att teckna abonnemang för fast och mobil telefoni och Internet. Den lagringstid som bestäms i blir därmed, jämförd med de lagringstider som kommer att gälla i andra medlems- stater i EU, en faktor som påverkar konkurrensen, där en kortare lagringstid kan innebära vissa konkurrensmässiga fördelar för företag Flertalet av de medlemsstater som har genomfört Prop. 2010/11:46 direktivet har också valt en längre lagringstid än . Sammanfattningsvis finns det från brottsbekämpningssynpunkt således skäl att bestämma en så lång lagringstid som möjligt och som utred- ningen redovisat kommer en kortare lagringstid att innebära en ökad tids- press för de brottsbekämpande myndigheterna. Såväl skyddet för den personliga integriteten som kostnads-, säkerhets- och konkurrensaspekter talar emellertid för en kortare lagringstid. Enligt regeringens bedömning bör lagringstiden, främst med hänsyn till integritetsskyddet, bestämmas till den kortast möjliga, dvs. I detta sammanhang kan noteras att den lagringsskyldighet som införs inte innebär någon ändring av nuvarande regler om för vilka övriga ändamål leverantörerna kan spara trafikuppgifter (se avsnitt 5.1). De trafikuppgifter som har sparats av leverantörerna enligt befintliga regler, exempelvis för fakturering eller marknadsföring, kommer således alltjämt att vara tillgängliga. För sådana uppgifter kommer nuvarande regler om utplåning eller avidentifiering i 6 kap. 5 § lagen om elektronisk kommunikation alltjämt att gälla. En annan fråga är från vilken tidpunkt lagringstiden ska beräknas. Artikel 6 i direktivet om lagring av trafikuppgifter anger att lagringstiden ska räknas från det datum kommunikationen ägde rum. En kommunika- tion börjar och slutar oftast inte utan den har en viss varaktighet. För att syftet med lagringen av trafikuppgifter ska tillgodo- ses så långt som möjligt bör lagringstiden räknas från det att kommunika- tionen avslutades. Vid telefoni och meddelandehantering blir kommuni- kationens slut utgångspunkten för lagringstidens beräkning. Utgångs- punkten vid Internetåtkomst blir i stället avloggningen. I enlighet med vad Lagrådet påpekat bör utgångspunkten även vid anslutningsform vara avloggningen. Artikel 7 i direktivet om lagring av trafikuppgifter föreskriver att upp- gifterna ska förstöras vid slutet av lagringstiden, utom de uppgifter för vilka tillgång har medgivits och som har bevarats. Det är alltså enligt direktivet inte tillåtet att enbart avidentifiera uppgifterna som har lagrats för brottsbekämpande syften (jfr 6 kap. 5 § lagen om elektronisk kommu- nikation). Därför bör det införas ett uttryckligt krav på att uppgifterna ska utplånas vid lagringstidens slut, om inte de brottsbekämpande myndighe- terna har begärt tillgång till uppgifterna, men ännu inte fått ut dem. I en sådan situation ska uppgifterna i stället utplånas av leverantören så snart de har lämnats ut till den myndighet som har begärt dem. 7.1Vem ska ansvara för lagringsskyldigheten? Regeringens förslag: Det är leverantörerna som ska vara skyldiga att lagra trafikuppgifter. En leverantör ska dock kunna uppdra åt någon annan att utföra lagringen. Utredningens förslag överensstämmer i sak med regeringens. Remissinstanserna: Flertalet remissinstanser har tillstyrkt eller inte framfört några invändningar mot förslaget. har anfört att det ur de brottsbekämpande myndigheternas perspektiv skulle vara en fördel om en begäran om uppgifter som lagrats kunde lämnas till ett och samma ställe. har anfört att en lagring hos leverantörerna innebär att staten överlämnar ansvaret för skyddandet av integritetskänsliga uppgifter om enskilda till många olika privata aktörer, vilket innebär en risk för att uppgifterna sprids till obehöriga personer eller används för otillåtna ändamål samt innebär att det blir svårt att över- blicka och utöva tillsyn över hanteringen av uppgifterna. IT&Telekom- företagen, och har anfört att de extra kostnader som framför allt drabbar mindre operatörer skulle kunna reduceras om lagringen skedde centralt. IT&Telekomföretagen har vidare föreslagit en möjlighet för marknaden att arrangera en centraliserad lagring, vilket även skulle minska risken för problem med säkerhet och kvalitet. har ansett det orimligt att ansvaret för tvångsmedel landar på privatägda företag. ombudsmän () har påtalat en motsägelse i att spridningen av lagring på flera leverantörer av utred- ningen beskrivs som en fördel från integritetssynpunkt som möjligheten att anlita annan för lagringen framställs som något positivt. Enligt JO är det en fördel från integritetssynpunkt att den föreslagna lagringsskyldigheten åligger envar leverantör och att lagringen således sprids på flera håll. Ju fler uppgifter som kan sammanställas, desto större blir det potentiella integritetsintrånget. Om flera leverantörer sluter sig samman för att ordna lagringen gemensamt alternativt lejer ut den till någon som erbjuder denna tjänst, innebär det integritetsrisker som inte synes helt lätta att överblicka. .SE har betonat att möjligheten att anlita annan för att fullgöra lagringen i sig medför en risk för att en stor mängd information från olika källor samlas på samma plats och därmed kan komma att utgöra en måltavla för olika typer av attacker. och har ansett att en centraliserad lagring inte bör tillåtas av säkerhetsskäl. Skälen för regeringens förslag: I avsnitt 6.1 föreslås att uppgifter som genereras eller behandlas av den enskilde nät- eller tjänsteleverantören ska lagras. En fråga som då uppstår är vem som ska ansvara för denna lagring. En utgångspunkt i direktivet är att lagringen bör ske på ett sådant sätt att man undviker att uppgifterna lagras mer än en gång (skäl 13). En ganska självklar utgångspunkt kan tyckas vara att leverantörerna lagrar de uppgifter som genereras eller behandlas i den tjänst som leve- rantören tillhandahåller. En annan möjlig modell för lagring av trafikupp- gifterna skulle kunna vara att leverantörerna skickar de uppgifter som ska lagras till ett centralt lager. Detta skulle innebära att antingen staten eller en utsedd aktör skulle lagra samtliga trafikuppgifter som alla leverantörer genererar eller behandlar. En fördel med ett sådant centrallager skulle, såsom påpekat, vara att alla säkerhetsåtgärder som behövs för att skydda uppgifterna i lagret kan vidtas på ett enda ställe. För de brottsbekämpande myndigheterna skulle det också vara effektivt att enbart behöva vända sig till ett ställe när trafikuppgifter ska begäras ut, något som påpekats av . skulle en central lagring också kunna innebära vissa fördelar ur kostnads- synpunkt, främst för de mindre operatörerna. central lagring i statlig regi. Regeringen anser, trots de beskrivna fördelarna, i likhet med utred- ningen att en central lagring skulle vara problematisk, framför allt ur Även andra skäl talar mot ett centrallager. lösning skulle ställa stora krav på kunnande både i fråga om den teknik som finns hos leverantörerna och den teknik som behövs för själva lagringen och säkerhetsåtgärderna. Om staten skulle ta ansvaret för en sådan central lagring skulle det innebära att staten behövde bygga upp en egen kompetens på områden där leverantörerna redan besitter en hög En central lagring skulle också, oavsett vem som skulle ta ansvaret för denna, ställa mycket stora krav på lagringsvolym och säkra lösningar för överförande av uppgifterna från leverantörerna. säkerhetsskäl har också och avstyrkt en centraliserad lagring och .SE har pekat på att ansamlingar av uppgifter utgör en säkerhetsrisk. Regeringen anser på de angivna skälen att lagringen inte bör ske centralt. Den modell som innebär att trafikuppgifterna lagras där de genereras eller behandlas, dvs. hos leverantörerna, framstår enligt regeringen som ett bättre alternativ. Denna lösning innebär stora fördelar ur främst integritetssynpunkt, då trafikuppgifterna oftast inte kommer att vara läsbara eftersom den enskilde leverantören i många fall bara kommer att ha information som måste ställas samman med trafikupp- gifter som lagrats av någon annan leverantör för att en enskild persons kommunikation ska kunna utläsas. Det förhållandet att trafikuppgifterna oftast inte finns samlade hos en enda nät- eller tjänsteleverantör, utan kan involvera flera olika leverantörer med delansvar för kommunikationen innebär visserligen, som utredningen konstaterat, att det är närmast omöjligt att skapa ett system som garanterar att uppgifterna inte lagras mer än en gång. För ett sådant system skulle leverantörerna behöva ha kontroll över vilka andra leverantörer som genererat eller behandlat upp- gifter i samband med en kommunikation. Detta skulle vara kostsamt och tekniskt komplicerat och innebära nackdelar från integritetssynpunkt. Den bästa lösningen är, enligt regeringens mening, att lagringen som utgångspunkt sker hos leverantörerna. Genom att de leverantörer som genererar och behandlar uppgifterna också lagrar dem säkerställs vidare att lagringen sker så enkelt och säkert som möjligt med utnyttjande av den kunskap om teknik som varje leverantör har. Det som dock bör övervägas är om det, som utredningen funnit, ska vara tillåtet för leverantörerna att uppdra åt någon annan att utföra lagringen av uppgifterna. Som framhållits av JO är det ur integritets- skyddssynpunkt önskvärt att uppgifterna lagras på så spridda håll som Som utredningen har redovisat finns det emellertid mycket stora skillnader mellan de leverantörer som kommer att omfattas av lagrings- skyldigheten, både i fråga om verksamhet och volym. rerna skulle, om de var skyldiga att anpassa sina system för att själva kunna lagra uppgifterna, kunna drabbas av betydande kostnads- och kon- kurrensmässiga nackdelar i förhållande till leverantörer som hanterar en väsentligt större mängd uppgifter. Om de däremot ges en möjlighet att uppdra åt annan att utföra lagringen kan kostnaderna sannolikt begränsas och möjligheten till konkurrens därmed förbättras. Enligt regeringens Prop. 2010/11:46 bedömning överväger dessa fördelar de möjliga nackdelar som vissa remissinstanser pekat på. Det bör framhållas att det inte är själva lagringsskyldigheten och de förpliktelser som följer med denna som kan uppdras åt annan. Behand- ling av personuppgifter när annan anlitas för lagringen regleras i 30 § första stycket personuppgiftslagen (1998:204). Den som anlitas benämns personuppgiftsbiträde. Av andra stycket samma bestämmelse framgår att det ska finnas ett personuppgiftsbiträdesavtal samt att detta ska innehålla bestämmelser dels om att biträdet endast får behandla uppgifterna enligt instruktioner från den ansvarige, och dels om att biträdet är skyldigt att vidta de säkerhetsåtgärder som anges i 31 § första stycket. Av detta följer att den lagringsskyldige leverantören aldrig genom ett avtal om att annan ska utföra lagringen kan frånhända sig någon skyldighet gentemot myn- digheter eller enskilda. Exempelvis ska de brottsbekämpande myndighe- terna alltid kunna vända sig till den som enligt bestämmelsen är skyldig att lagra uppgifterna med en begäran om utlämnande. Visserligen kan en möjlighet att uppdra åt annan att fullgöra lagringen ge intryck av en motsägelse, som JO påpekat, om utgångspunkten är att lagringen av integritetsskäl ska ske hos respektive leverantör. Risken för att alla leverantörer kommer att använda sig av denna möjlighet eller att alla de som väljer att utnyttja möjligheten kommer att välja samma aktör måste dock betraktas som begränsad. Utvecklingen i denna fråga måste emellertid bevakas. Om det framöver skulle bildas mycket stora samlade lager, närmast liknande ett centrallager, kan frågan behöva ses över och bedömningen bli en annan. 7.2Vilka leverantörer ska vara lagringsskyldiga? Regeringens förslag: De leverantörer som är anmälningspliktiga enligt lagen om elektronisk kommunikation ska vara skyldiga att lagra trafikuppgifter. ska i enskilda fall få besluta om undantag från lagringskravet. Om ett undantagsbeslut har förenats med villkor och villkoren inte följts eller om det finns andra särskilda skäl ska beslutet kunna återkallas. Utredningens förslag överensstämmer i huvudsak med regeringens förslag. Utredningen föreslog även att sekretess skulle gälla för uppgifter som hänför sig till tillsynsmyndighetens verksamhet för prövning av frågor om undantag. Remissinstanserna: Flertalet remissinstanser har inte framfört några invändningar mot förslaget. har förespråkat en utvidg- ning av kretsen av lagringsskyldiga, med hänvisning till att det hos de brottsbekämpande myndigheterna finns ett behov av att fler leverantörer än de som följer av direktivet får skyldighet att lagra trafikuppgifter. har avstyrkt möjligheten till undantag från lagringsskyl- digheten. och har ifrågasatt om direktivet tillåter att undantag medges samt påtalat den vikt det ur brottsutredande perspektiv är att så många trafikuppgifter som möjligt Prop. 2010/11:46 lagras. De har pekat på risken att kriminella söker sig till operatörer som undantas från lagringsskyldigheten. har vidare anfört att en undantagsmöjlighet missgynnar konkurrensen, eftersom vissa operatörer då kan slippa kostnader och administration för lagrings- skyldighet. , .SE och SNUS har efterlyst ett klargörande av förslaget om undantag från lagringsskyldigheten. Även Ekobrottsmyn- digheten har efterlyst en tydligare reglering kring undantagsmöjligheten och framfört att en författningsreglering avseende tidsbegränsning och omprövning bör övervägas. Myndigheten har vidare framfört att det kan övervägas om en vandelsprövning bör införas om undantag ska kunna beviljas för vissa operatörer i likhet med 3 kap. 2 § andra stycket första punkten lagen (2004:297) om bank- och finansieringsrörelse samt har ifrågasatt om den sekretess som utredningen föreslagit får någon effekt så länge leverantörerna själva inte kan förhindras att offentliggöra undan- tagsbesluten. IFPI Svenska Gruppen och Svenska har understrukit vikten av att en prövning av undantag från lagrings- skyldigheten ska göras även med beaktande av information rörande vissa leverantörers verksamhet som kan finnas tillgänglig hos dem. Rikspolis- styrelsen och Säkerhetspolisen har anfört att det uttryckligen bör regleras att en konkursförvaltare eller likvidator som övertar en lagringsskyldig leverantörs verksamhet ser till att lagringen fullgörs under hela den åter- stående lagringstiden. Skälen för regeringens förslag Anmälningspliktiga leverantörer föreslås bli lagringsskyldiga Direktivet om lagring av trafikuppgifter omfattar leverantörer av allmänt tillgängliga elektroniska kommunikationstjänster eller allmänna kommu- nikationsnät. Det innebär att en leverantör av kommunikationstjänster inte behöver leverera ett nät för att omfattas av skyldigheten att lagra trafikuppgifter (se t.ex. artikel 1 och 3). Direktivets uttryck om vilka som omfattas av lagringsskyldigheten ansluter till formuleringarna i 2 kap. 1 § lagen om elektronisk kommuni- kation, där det anges att allmänna kommunikationsnät av sådant slag som vanligen tillhandahålls mot ersättning eller allmänt tillgängliga elektro- niska kommunikationstjänster endast får tillhandahållas efter anmälan till tillsynsmyndigheten (). Av 2 kap. 2 § samma lag framgår att någon anmälan inte behöver göras för verksamheter som enbart består i att överföra signaler via tråd för utsändning till allmänheten av program i ljudradio eller annat som anges i 1 kap. 1 § tredje stycket yttrandefrihetsgrundlagen samt att får meddela föreskrifter om ytterligare undantag från anmälningsplikten. Undantaget för verksamhet som består i trådsändningar som omfattas av grundlagsskyddet i yttrandefrihetsgrundlagen har sin grund i att vissa av de krav som lagen om elektronisk kommunikation ställer för bedrivande av anmälningspliktig verksamhet annars skulle komma i konflikt med etableringsfriheten i 3 kap. 1 § yttrandefrihetsgrundlagen för sådan sändningsverksamhet. Med den omfattning som direktivet anger blir inte alla leverantörer lagringsskyldiga. I de flesta fall då exempelvis en e-posttjänst tillhanda- hålls ett slutet sällskap såsom anställda i företag och myndigheter (där e- postadressen ofta slutar med företags- eller myndighetsnamnet), är före- taget respektive myndigheten närmast att betrakta som tjänsteleverantör utan att leverera en allmänt tillgänglig tjänst. Företaget eller myndigheten omfattas då inte heller av skyldigheten att lagra enligt direktivet. har förespråkat att kretsen av lagrings- skyldiga vidgas med hänvisning till att det hos de brottsbekämpande myndigheterna finns ett behov av att fler leverantörer än de som följer av direktivet får skyldighet att lagra trafikuppgifter. Ur ett brottsbekäm- pande perspektiv ligger det förvisso en begränsning i att direktivet om lagring av trafikuppgifter enbart omfattar leverantörer av allmänna kom- munikationsnät eller allmänt tillgängliga elektroniska kommunikations- tjänster. Regeringens ansluter sig dock till utredningens bedömning att ett system som innebär att andra än anmälningspliktiga leverantörer skulle omfattas av lagringsskyldigheten skulle bli svårt att överblicka och kontrollera. Skyldigheten att lagra trafikuppgifter bör därför ansluta till direktivet och till anmälningsplikten i 2 kap. 1 § lagen om elektronisk kommunikation. Det är till () som anmälan ska göras och det blir PTS som genom sin tillämpning av bestämmelsen om anmälningsplikt avgör vilka leverantörer som också ska vara lagringsskyldiga. Att leverantörer som bedriver grundlagsskyddad verk- samhet i form av trådsändningar inte kommer att omfattas av skyldigheten att lagra trafikuppgifter följer redan av att de inte är anmäl- ningspliktiga enligt lagen om elektronisk kommunikation. En annan fråga är om det, som utredningen föreslagit, med hänsyn till den stora variationen mellan leverantörerna i fråga om storlek och verk- samhet, ska finnas en möjlighet till undantag från lagringsskyldigheten (även om anmälningsplikt enligt 2 kap. 1 § lagen om elektronisk kommu- nikation föreligger). Flera remissinstanser har avstyrkt en sådan undan- tagsmöjlighet. och har ifrågasatt om direktivet tillåter att undantag medges samt påtalat vikten, ur ett brottsutredande perspektiv, av att så många trafikuppgifter som möjligt lagras. Regeringen delar och synpunkt att trafikuppgifter är mycket viktiga för utredandet av brott, vilket kommit till uttryck på många sätt i det aktuella förslaget. Det kan emellertid inte uteslutas att en del verksamheter, som i och för sig är anmälningspliktiga, är av så liten omfattning och har ett så begränsat intresse ur ett brottsbekämpande perspektiv att det skulle vara opropor- tionerligt att kräva att leverantören som bedriver verksamheten helt eller delvis ska lagra trafikuppgifter på det sätt som direktivet kräver. I direkti- vet framhålls att skyldigheterna för leverantörerna ska vara proportioner- liga (exempelvis skäl 23). Flera medlemsstater som har genomfört direk- tivet har också infört undantag för de minsta leverantörerna. Det måste mot denna bakgrund anses finnas en möjlighet att meddela undantag från lagringsskyldigheten och regeringen anser i likhet med utredningen att en sådan undantagsmöjlighet är rimlig. Regeringens mening är, i motsats till vad har anfört, att en sådan undantagsmöjlighet bidrar till att mildra de negativa effekter lagringskravet annars skulle kunna ha på konkurrensen. Det kan i detta sammanhang nämnas att även den anpassningsskyldighet som gäller enligt 6 kap. 19 § fjärde stycket lagen om elektronisk kommunikation för hemlig teleavlyssning och hemlig teleövervakning innehåller en liknande möjlighet till undantag. En prövning av om undantag från lagringsskyldigheten ska medges bör, som utredningen föreslagit, göras av tillsynsmyndigheten efter en ansökan av en leverantör. Vid prövningen får en avvägning göras mellan nyttan för brottsbekämpningen av att leverantören lagrar trafikupp- gifterna och kostnaden eller andra negativa effekter som lagringsskyldig- heten innebär för leverantören. Undantagsmöjligheten bör tillämpas restriktivt. bör inför sitt beslut samråda med repre- sentanter för de brottsbekämpande myndigheterna. Bestämmelser om detta bör ges i förordning. I det samråd som ska föregå beslutet kommer naturligtvis leverantören och dennes verksamhet att granskas innan något undantag godtas. Regeringen ser inte något behov av att därutöver, som föreslagit, införa en lagstadgad vandelsprövning av de leverantörer som ansöker om undantag. Regeringen delar IFPI Svenska Gruppens och Svenska åsikt så till vida att det är av vikt att tillsynsmyndigheten vid sin bedömning har ett fullgott besluts- underlag, men anser inte att någon skyldighet att samråda med andra än ovan nämnda myndigheter bör regleras. För att minska den risk som , och pekat på, att personer som bedriver allvarlig brottslig verksamhet kommer att söka sig till de leverantörer som är undantagna från lagringsskyldigheten, föreslog utredningen att sekretess skulle gälla för uppgifter som hänför sig till tillsynsmyndig- hetens verksamhet för prövning av frågor om undantag. Regeringen delar redovisade remissinstansers åsikt att det är mycket viktigt att utveck- lingen inte blir sådan att vissa leverantörer, i syfte att locka till sig kunder som bedriver kriminell verksamhet, anpassar sin verksamhet så att de ska medges undantag från lagringsskyldigheten. Regeringen delar dock bedömning att en reglering som föreskriver sekretess för tillsynsmyndighetens verksamhet vad avser undantagsbeslut blir tämligen verkningslös eftersom det alltjämt står de leverantörer som medgivits undantag fritt att själva uppge att de inte omfattas av lagrings- kravet. Regeringen föreslår därför inte någon sådan sekretessreglering. Ett par remissinstanser har efterlyst en tydligare reglering av undan- tagsmöjligheten. Enligt regeringens mening talar emellertid den snabba tekniska utvecklingen och variationen i leverantörernas verksamhet med styrka för att systemet bör utformas som en möjlighet för tillsynsmyndig- heten att i enskilda fall meddela undantag från lagringsskyldigheten och inte som en generell föreskrift. En ordning där undantagsbeslut meddelas i enskilda fall torde också vara den som minimerar risken för att leveran- törer anpassar sin verksamhet för att undgå lagringskravet. Här kan note- ras att möjligheten till undantag från anpassningsskyldigheten enligt 6 kap. 19 § fjärde stycket lagen om elektronisk kommunikation också är utformad som en möjlighet till undantag efter beslut av PTS i enskilda fall. Inte heller för sådana beslut gäller sekretess. Av stor vikt i detta sammanhang är att tillsynsmyndigheten övervakar de leverantörer som medgivits undantag. har anfört att en författningsreglering avseende tidsbegränsning och ompröv- ning av beslut om undantag bör övervägas. Som myndigheten påpekat följer det av allmänna förvaltningsrättsliga principer att det finns en möjlighet att tidsbegränsa och återkalla ett undantagsbeslut. Ett beslut om undantag från lagringsskyldigheten är dock ett för leverantören gynnande förvaltningsbeslut. Av hänsyn till den enskildes trygghet är huvudregeln beträffande dessa beslut att de inte kan återkallas. Åter- kallelse anses emellertid möjlig bl.a. med stöd av förbehåll i själva beslu- tet eller i den författning som ligger till grund för beslutet (se prop. 1985/86:80 s. 39 f.). Regeringen gör i likhet med bedömningen att det i bestämmelsen som reglerar möjligheten att medge undantag från lagringsskyldigheten för tydlighets skull bör anges att ett beslut om undantag får förenas med villkor samt att ett sådant beslut får återkallas om villkoren i beslutet inte har följts.