sou · GZB313 · 2011-03-29 00:00:00 — Ett mer uppenbart intrång i den personliga integriteten kan uppkomma då kommunikationen inhämtas av FRA och när den i vissa fall rent faktiskt granskas av tjänsteman på myndigheten. Inhämtad information kan bestå av uppgifter om kommunikationen (trafikdata) och innehållet i meddelandet. Sådant intrång i den personliga integriteten sker inom ramen för FRA:s signalspaningsverksamhet. 4.3Kommitténs intryck och generella konstateranden För att kunna se integritetsfrågorna i sitt sammanhang är det viktigt att belysa frågan om verksamheten präglas av professionalitet, dvs. om FRA utför sitt uppdrag med yrkesmässighet och skicklighet. Kommittén försöker besvara denna fråga utifrån de intryck som givits i samband med studiebesök på FRA, övriga kontakter med myndigheten och genom den bild som förmedlats av tillstånds- och kontrollorganen. Kommittén har mött ett stort antal personer inom FRA med olikartade arbetsuppgifter och yrkesbakgrund. 2006/07:63, bilaga 11. heten är ytterst komplex inrymmer den många olika professioner. De tjänstemän som arbetar med signalspaning har kompetens inom områdena främmande språk, teknik, matematik, datateknik och statskunskap. Det finns också stor kunskap kring förhållanden som rör de länder och företeelser som är föremål för svensk underrättelsetjänsts intresse. En professionell verksamhet utgår från sitt uppdrag och utför detta med hjälp av kompetent personal. Kommittén har fått intrycket att kompetens- och kunskapsnivån hos personalen är hög och att det finns en tydlig strävan hos dem att utföra uppdraget inom de ramar som regering och riksdag har bestämt. De personer som kommittén har mött har varit väl insatta i sina respektive arbetsområden och de har presenterat och demonstrerat verksamheten på ett kunnigt och nyanserat sätt. Deras redogörelser har bl.a. innehållit beskrivningar av de svårigheter och brister som är inneslutna i verksamheten. Då arbetsmetoder beskrivits har kommittén ställt frågor om risker för integritetsintrång. Det sätt på vilket frågorna har besvarats har gett kommittén uppfattningen att integritetsfrågan har en naturlig plats i verksamheten och att tjänstemännen tar integritetsskyddsfrågor på allvar. Den integritetsskyddande delen av lagstiftningen har aldrig inför kommittén beskrivits som ett hinder i verksamheten utan som en förstärkt del av den utveckling som, oavsett den nya lagen, pågått inom FRA . Verksamheten vid FRA bedrivs enligt kommittén på ett professionellt sätt. Utifrån de redogörelser som lämnats av FRA och kontrollorganen har kommittén fått uppfattningen att organisationen har genomtänkta rutiner och att åtgärder vidtas då brister uppmärksammas. Den signalspaning som FRA bedriver handlar ofta om att inom ramen för en inriktning och ett tillstånd förutse kommande skeenden eller följa pågående skeenden i omvärlden. Vidare arbetar myndigheten med att inom samma ram söka efter information gällande sådant som redan har hänt. Det ligger därför i sakens natur att tillgången till signaler, liksom inhämtningen av signaler, behöver omfatta en större mängd information än den som på förhand kan bedömas relevant. Kommittén konstaterar att detta innebär att även icke relevant information kan komma att inhämtas och lagras av FRA , men att denna informationen tas bort i så gott som samtliga fall innan någon människa tagit del av den. 4.3.3Sammanfallande effektivitets- och integritetsintressen En effektiv signalspaningsprocess strävar efter att begränsa underlaget till det som ur verksamhetsperspektiv utgör relevant information. FRA har därför intresse av att begränsa det inhämtade materialet till en hanterbar mängd information. Detta gör att kommittén fått uppfattningen att FRA saknar intresse av att inhämta mer trafik än vad som är nödvändigt för att utföra uppdraget. I detta avseende sammanfaller effektivitets- och integritetsskyddsintressena. Kommittén konstaterar att detta är ett förhållande som oavsett lagreglering ligger inbyggt i verksamheten och som gagnar integritetsskyddet. Att FRA har god förmåga att avskilja den tillåtna och relevanta trafiken i ett tidigt skede är således centralt för att integritetsintrången ska begränsas men också för att verksamheten ska vara framgångsrik. De säkerhetssystem som FRA har byggt upp utgör en naturlig del av verksamheten och har främst varit föranledda av sekretesskraven, men har en mycket viktig roll för skyddet av den personliga integriteten. Det ligger i underrättelsetjänstens natur att upprätthålla en hög grad av säkerhet kring alla uppgifter i verksamheten. Den information som lämnats till kommittén tyder på att säkerhetsnivån är hög på FRA och att hantering som inte följer givna instruktioner har förutsättningar att upptäckas och beivras. Den trådutbyggnad som pågår förväntas innebära att en ökande mängd elektronisk kommunikation kommer att hanteras av FRA. Detta medför att FRA har ett ansvar för att det vidtas särskilda tekniska åtgärder för att åstadkomma erforderligt skydd för den inhämtade kommunikationen. 4.3.5Avgränsning mellan underrättelseverksamhet och utvecklingsverksamhet FRA bedriver underrättelseverksamhet och utvecklingsverksamhet. Underrättelseverksamhet bedrivs med syfte att producera underrättelserapporter till berörda myndigheter och inhämtning av signaler avser både meddelandeinnehållet och trafikdata, t.ex. information om mellan vilka viss kommunikation äger rum. Utvecklingsverksamheten har två huvudsakliga syften. Det första är att optimera användningen av den befintliga förmågan att bedriva signalspaning och därigenom understödja den pågående underrättelseverksamheten. Det andra är att ta fram nya förmågor att signalspana och därigenom skapa tekniska och metodmässiga förutsättningar för framtida försvarsunderrättelseverksamhet. I utvecklingsverksamheten inhämtas signaler främst för att få tillgång till trafikdata. Den inhämtning av signaler som sker för framtida metodutveckling handlar exempelvis om att FRA behöver skaffa sig förmåga att inhämta och bearbeta en ny typ av signal. För detta ändamål undersöker FRA hur signalen är uppbyggd och hur den ska kunna tas om hand. Inhämtning sker för att skaffa den mängd exempelmaterial som behövs för den tekniska analysen av signalen. Slutresultatet av detta arbete ger FRA förmåga att göra information som överförs med den nya typen av signal läsbar eller hörbar. Metoden kan innebära att icke-relevant trafik inhämtas och att tjänstemän under den tekniska underökningen av signalen kan läsa eller lyssna på meddelandeinnehållet. FRA har beskrivit att detta sker för att myndigheten med hjälp av den nya kunskapen framgent ska kunna göra ett urval utifrån innehållet i signalen och därigenom säkerställa att endast relevant trafik inhämtas. FRA har också förklarat att det vanligtvis endast krävs en liten mängd exempelmaterial, att detta material sällan är av relevans för försvarsunderrättelseuppdraget och att det är långt ifrån säkert att den personal som arbetar med denna typ av uppgifter förstår det aktuella språket. Inom den utvecklingsverksamhet som sker i syfte att stödja den pågående underrättelseverksamheten inhämtas trafikdata men normalt inte meddelandeinnehåll. Utifrån bl.a. utseendet på inhämtad trafikdata blir det möjligt att ta ställning till om signalen bör inhämtas inom ramen för underrättelseverksamheten. I dessa sammanhang kan det ibland finnas anledning att använda uppgifter från utvecklingsverksamheten även inom underrättelseverksamheten. ligheten till sådan hantering ges under den i 1 kap. 6 § 4 p FRA-PuL angivna förutsättningen att personuppgifter inte behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in. I förarbetena till nämnd lag uttalade regeringen att det fick anses motiverat att använda de inhämtade uppgifterna i båda verksamheterna utifrån det förhållandet att utvecklingsverksamheten syftar till att möjliggöra underrättelseverksamheten.2 Utgångspunkten för nämnd hantering utgörs av den inriktning som regeringen, och Försvarsmakten angett för signalspaningen. Mot bakgrund av beskrivna förhållanden drar kommittén slutsatsen att delar av utvecklingsverksamheten utgör en direkt nödvändig förutsättning för att FRA ska kunna generera underrättelserapportering utifrån de ändamål som anges i lagen. Underrättelseverksamheten och utvecklingsverksamheten har således beröringspunkter och utgör inte två åtskilda delar av FRA:s verksamhet. Det har också framgått att de båda verksamheterna inte kan definieras utifrån inhämtning av meddelandeinnehåll respektive inhämtning av trafikdata eftersom sådan inhämtning förekommer i både underrättelseverksamheten respektive utvecklingsverksamheten. Syftet med inhämtningen skiljer sig dock åt. Kommittén konstaterar också att det inte finns en allmänt gällande gräns för hur inhämtade personuppgifter används inom FRA eftersom uppgifter som inhämtats inom ramen för utvecklingsverksamheten kan komma att användas i underrättelseverksamheten. Skyddet för den enskildes integritet utgörs i dessa fall av att FRA jämlikt 1 kap. 6 § 4 p FRA-PuL prövar att uppgifterna används inom ramen för den inriktning som uppgifterna har samlats in. Siuns uppdrag gör det möjligt att följa upp FRA:s tillämpning i detta avseende. Kommitténs slutsatser och bedömningar: -FRA:s inhämtning av signaler via tråd har varit under uppbyggnad. Kommittén har därför främst följt FRA:s signalspaning via etern. Eftersom signalspaning i tråd förväntas innebär att FRA kommer att hantera ökade trafikvolymer anser kommittén att det framgent finns behov 2 Personuppgiftsbehandling hos Försvarsmakten och , prop. 2006/07:46 s. 68. av att följa upp konsekvenserna för enskildas integritet av att FRA bedriver signalspaning i tråd. En sådan uppföljning inbegriper att studera effekterna av en förmodad ökning av trafikdatahanteringen samt av de säkerhetsmässiga åtgärderna kring inhämtad information. Uppföljningen bör ha ett nationellt perspektiv omfattande konsekvenserna för personer bosatta i . -FRA utvecklar konkreta verktyg för beslutsstöd gällande proportionalitetsbedömningar och etiska överväganden. Detta arbete tillsammans med insatser som främjar ett öppet diskussionsklimat kring bl.a. etiska frågor är enligt kommittén viktiga åtgärder vid sidan om lagstiftningen för att skapa ett robust integritetsskydd kring signalspaningsverksamheten. Hur dessa åtgärder utvecklas och vad de får för effekter bör framöver följas upp. -FRA har utarbetat regelverk, rutiner och tekniska metoder utifrån signalspaningslagens bestämmelser om förbudet mot inhämtning av inhemsk trafik, sökbegreppsanvändningen och förstöringsskyldigheten. Enligt kommitténs bedömning avser åtgärderna att medföra att signalspaning bedrivs så att intrånget iden personliga integriteten minimeras. Kommittén anser att det finns ett särskilt behov av att FRA fortsätter utveckla metoder som så långt det är möjligt säkerställer att den inhemska trafiken inte inhämtas. -Signalspaning kan innebära intrång i den personliga integriteten. Intrånget kan uppkomma då signalspaning möjliggörs genom att enskildas kommunikation överlämnas till en samverkanspunkt och när kommunikationen inhämtas av FRA. FRA ges därmed faktisk tillgång till trafiken. Personer bosatta i som kommunicerar över landets gräns berörs huvudsakligen av att dess kommunikation förs över till samverkanspunkterna. Den kommunikation som blir föremål för FRA:s inhämtning avser utländska förhållanden och omfattar iallt väsentligt trafik utan avsändare eller mottagare i . I vissa fall kan dock personer i som kommunicerar över landets gräns få uppgifter om sin kommunikation sparad som trafikdata. Signalspaning via tråd är en metod som i jämförelse med signalspaning via etern berör större kommunikationsmängder och fler människor utan anknytning till yttre hot mot svensk och internationell säkerhet. Det är framförallt det inledande skedet, då signaler görs tillgängliga för signalspaning, som berör ett stort antal människor. FRA:s inhämtning av signaler via tråd avgränsas till vissa tillståndsgivna signalbärare. FRA har beskrivit att myndigheten av effektivitets- och kapacitetsskäl vid varje given tidpunkt endast inhämtar viss del av de frekvenser som används för att föra över trafik i tråd över gränser. Detta innebär att FRA inhämtar mindre trafikvolymer än vad som omfattas av tillståndet och av vad som totalt förekommer i de tillståndsgivna signalbärarna. Utifrån ett integritetsskyddsperspektiv ser kommittén positivt på FRA:s förmåga att avgränsa inhämtningen till de delar av signalbäraren där man bedömer att den intressanta trafiken finns. Därigenom minskar risken för inhämtning av för verksamheten icke-relevanta meddelanden. Kommittén har inte funnit anledning att betvivla FRA:s uppgifter avseende pågående och planerad inhämtning av signaler och inte heller myndighetens beskrivningar avseende inhämtad trafikmängd i förhållande till den mycket omfattande trafik som transporteras i internationella kablar. Som kommittén beskrivit har vi emellertid bristande bedömningsunderlag för att uttala oss om konsekvenserna för enskildas integritet av signalspaning i tråd. Trafikvolymerna är ännu inte av den omfattning att några för uppdraget relevanta bedömningar kan göras. Kommittén anser därför att det framgent bör göras en uppföljning av konsekvenserna för enskildas integritet av signalspaning i tråd. Denna bör innefatta hur FRA säkerhetsmässigt anpassar sin verksamhet till den ökade trafikmängden. Inhämtning av elektronisk kommunikation enligt signalspaningslagen innefattar både meddelandeinnehåll och trafikdata. Trafikdata utgörs av de uppgifter som beskriver hur, när och mellan vilka teleadresser kommunikationen äger rum, utan att beskriva innehållet i den överförda kommunikationen. Trafikdata i form av exempelvis IP-adresser, e-postadresser och telefonnummer inhämtas både i underrättelseverksamheten och i utvecklingsverksamheten. Inhämtningen sker enligt signalspaningslagen. Genom inhämtning och bearbetning av trafikdata är det möjligt för FRA att skaffa sig en uppfattning om mellan vilka länder trafik förs på en viss signal utan att behöva undersöka innehållet i trafiken eller att behöva förstå språket. Trafikdata används också för att FRA ska kunna skapa sig en bild av hur personer som är intressanta ur ett underrättelseperspektiv kommunicerar samt för att snabbt kunna rekonstruera sambandsstrukturer och lokalisera avvikelser från normala trafikmönster. Av 2 § 2 st förordningen (2007:261) om behandling av personuppgifter i Försvarets radioanstalts försvarsunderrättelse- och utvecklingsverksamhet följer att trafikdata kan sparas i uppgiftssamlingar för råmaterial. Informationen i uppgiftssamlingar för råmaterial ska gallras . Genom att inhämtad trafikdata lagras kan den ge information bakåt i tiden. Detta har FRA beskrivit som mycket viktigt för underrättelseverksamheten. FRA:s behov av att använda trafikdata förväntas öka efterhand som kommunikationstekniken blir mer komplex och i takt med att de överförda informationsmängderna blir större i ett utbyggt system för signalspaning i tråd. Genom att trafikdata kan ge uppgifter som begränsar sökningarna till det som är relevant trafik ökar dess betydelse för hantering av stora trafikmängder. Användningen av trafikdata kan därför medföra att behovet av att inhämta och bearbeta meddelandeinnehåll begränsas. Trafikdata kräver betydligt mindre datalagringsutrymme än meddelandeinnehåll och blir därför mer lätthanterlig. Vidare kräver inte trafikdata lika omfattande bearbetningsresurser som upptagningar eller uppteckningar. Trafikdata kan ge för uppdraget tillräcklig information som kan rapporteras snabbt. Även av dessa skäl kommer trafikdata sannolikt få ökad betydelse framöver. Trafikdata ger upplysningar om kommunikationen utan att ge information om innehållet i meddelandet. Därigenom kan inhämtningen av signaler med trafikdata sägas vara mindre integritetskänslig än den inhämtning som sker för att ta del av meddelandeinnehåll. berör inhämtning av trafikdata fler individer. Sökbegreppen för inhämtning av trafikdata är nämligen mindre specifika än de som används vid inhämtning av trafik med meddelandeinnehåll. Detta innebär att även för underrättelsesyftet icke relevant kommunikation kan komma att inhämtas av FRA och sparas i form av trafikdata. Detta gäller den kommunikation som transporteras i de signalbärare som FRA bedriver inhämtning från och som bedömts innehålla för verksamheten intressant trafik. De personer som kommunicerar i de signalbärare som FRA bedriver inhämtning mot kan därigenom få uppgifter om sin kommunikation sparad hos FRA i form av trafikdata. Intrånget innefattar exempelvis att FRA får kunskap om att person med visst telefonnummer kommunicerar med annat telefonnummer och när detta sker. Eftersom lagring av trafikdata kan innebära integritetsintrång finns det anledning att fortsätta att följa hur inhämtningen av trafikdata via tråd utvecklas. Eftersom denna del av verksamheten ännu befinner sig i sin linda är det svårt att göra en bedömning av omfattningen av FRA:s framtida trafikdatahantering. Kommittén menar att det blir viktigt att följa upp konsekvenserna för den personliga integriteten av en förmodad ökning av FRA:s trafikdatahantering. Detta bör främst ske ur perspektivet i vad mån de personer som är bosatta i och kommunicerar över rikets gräns kan få uppgifter om sin kommunikation inhämtad och sparad som trafikdata. 4.4.3FRA:s övervägande gällande proportionalitet och etik FRA bedömer proportionalitet i alla skeden från inhämtning av signaler till rapportering. I varje skede måste FRA väga in en mängd olika faktorer då myndigheten prövar om syftet med åtgärden väger tyngre än det intrång i den personliga integriteten som den kan innebära. Proportionalitetsbedömningar görs bl.a. utifrån lagen, de interna föreskrifterna och praxis. Proportionalitetsbedömningar är allmänt sett svåra att göra och utgörs i huvudsak av etiska överväganden där olika värden ställs mot varandra. Dessa värden kan vara styrda av lag och andra normer. I viss mån innehåller FRA:s interna föreskrifter övergripande riktlinjer för prövning av proportionalitet. FRA har informerat kommittén om att bedömningarna görs av enskilda tjänstemän utifrån deras omdöme och erfarenhet. FRA har förklarat att det inte har gått att skapa en generell metod eller mall för proportionalitetsbedömningar eftersom uppkomna frågeställningar kan vara mycket skiftande. Ett förfarande som används är att hänskjuta svåra frågor till chefsnivå. FRA har också informerat om att det utvecklas ett policyforum med uppgift bl.a. att skapa praxis kring hur vissa återkommande frågor ska bedömas. FRA saknar myndighetsgemensamma metoder samt tydliga och konkreta riktlinjer för proportionalitetsbedömningar. Ansvaret för att göra bedömningar avseende olika aspekter på en åtgärd ligger till stor del på enskilda medarbetare. Kommittén anser att det finns behov av att utveckla beslutsstödet till tjänstemännen för att åstadkomma systematiska överväganden kring proportionalitet. Det arbete som har påbörjats med att systematisera och precisera myndighetens praxis kan enligt kommitténs uppfattning komma att utvecklas till ett viktigt beslutsstöd som förhindrar godtycklig tillämpning. FRA bedriver en etiskt känslig verksamhet som kräver att personalen ges stöd för de etiska överväganden som kan uppkomma i olika delar av verksamheten. Myndigheten har arbetat fram föreskrifter och en etisk policy som stöd för sådana överväganden och personalen får undervisning om innehållet i dessa dokument. FRA har också upplyst om att det nyinrättade policyforumet kommer att hantera etikrelaterade frågor. Kommittén konstaterar att FRA har gjort flera insatser för att hantera de etiska problem som kan uppkomma i verksamheten. Det utvecklas också ständigt nytt material och nya arbetsformer som syftar till att ge personalen adekvat stöd kring etiska frågor. Etiska frågor kommer vid sidan av andra frågeställningar att hanteras i det nyinrättade policyforumet med representanter från olika delar av verksamheten. Hur denna verksamhet kommer att fungera i praktiken är det för tidigt att uttala sig om. Det är dock enligt kommitténs bedömning viktigt att policyforumet ges erforderlig kompetens för att hantera också de etiska frågorna. Vid sidan om konkreta verktyg för bedömning är det också viktigt att det inom organisationen finns en ständigt pågående diskussion kring myndighetens etiska policy och vad denna innebär då den ska tillämpas i olika delar av verksamheten. Insatser som främjar ett öppet diskussionsklimat kring dessa frågor kan därför vid sidan av lagen och annan dokumentinriktad styrning ha viktig integritetsskyddande verkan. Vidare krävs det återkommande utbildningsinsatser som är inriktade på metoder för etiska överväganden och proportionalitetsbedömningar. Detta är inte minst viktigt på grund av att det är en verksamhet som är svår att detaljreglera och därför delvis måste styras utifrån övergripande principer. Kommittén kan inte bedöma om pågående insatser av nämnt slag kommer att ge önskvärd integritetsskyddande effekt eller utgör adekvat stöd för handläggarna. mittén anser att det framgent finns behov av att följa upp de åtgärder som vidtagits i detta avseende och bedöma metoderna och resultatet av detta arbete. 4.4.4Inhämtning av signaler och integritetsskyddet i signalspaningslagen FRA:s underrättelseverksamhet innefattar inhämtning av signaler, bearbetning och analys samt rapportering. Kommittén har framförallt följt inhämtningsfasen eftersom denna sker med utgångspunkt från signalspaningslagen och dess integritetsskyddande reglering. I signalspaningslagen är det främst tre bestämmelser som verkar integritetsskyddande vid inhämtning av signaler. Dessa är reglerna om att inhemsk trafik inte får inhämtas (2 och 2 a §§), att inhämtningen ska göras med hjälp av sökbegrepp som medför ett så begränsat integritetsintrång som möjligt (3 §) och att inhämtad trafik med visst innehåll omgående ska förstöras (7 §). Närmast redogörs för några av kommitténs slutsatser och bedömningar avseende hur FRA tillämpar dessa bestämmelser. Inhämtning av signaler får inte avse inhemsk trafik. I den mån detta sker ska det inhämtade materialet förstöras så snart det står klart att sådana signaler har inhämtats. Som framgått av tidigare avsnitt har kommittén informerats om hur dessa regler tillämpas av FRA. Bland annat har FRA beskrivit att man är noga med att förhindra inhämtning av inhemsk trafik men att det gällande inhämtning som sker i det globala nätet finns praktiska svårigheter med att separera denna från den gränsöverskridande trafiken. Problemet bottnar i att moderna kommunikationstjänster inte följer nationsgränserna. Kommittén har informerat sig om vilka metoder FRA har utvecklat för att undvika inhämtning av inhemsk trafik och vilka metoder och rutiner som finns för hantering av felaktigt inhämtad trafik. Kommittén har också fått information om hur ofta FRA förstör material i enlighet med 2 a § signalspaningslagen. Utifrån dessa uppgifter har vi kunnat skapa oss en bild av FRA:s förmåga att förhindra inhämtning av inhemsk trafik. I sammanhanget måste beaktas att de åtgärder som vidtas för att förhindra att inhemsk trafik inhämtas kan medföra att FRA går miste om tillåten gränsöverskridande trafik med underrättelsevärde. För att få till stånd en rimlig intresseavvägning gör FRA därför en löpande utvärdering av effekterna av de åtgärder som vidtas för att förhindra inhemsk inhämtning. Signalspaningslagen medger utrymme för sådan avvägning. Eftersom bestämmelsen utgör ett från nationellt perspektiv centralt integritetsskydd anser kommittén att FRA måste vara inriktad mot att finna tekniska metoder som säkerställer att den inhemska trafiken skiljs bort innan den når FRA:s hantering för bearbetning och analys.