sou · GZB313 · 2011-03-29 00:00:00 — FRA:s förmåga att avgränsa inhämtningen till den för försvarsunderrättelseuppdraget relevanta trafiken är därför central för integritetsskyddet. Försvarsunderrättelsedomstolen bildades då den övertog uppgift att pröva frågor om tillstånd till signalspaning. Domstolen tillkom som en följd av att tillståndskravet även kom att omfatta den signalspaning som utförs på regeringens uppdrag. Som ytterligare skäl för att inrätta en domstol angav regeringen i proposition Förstärkt integritetsskydd vid signalspaning (prop. 2008/09:201 s. 45) att det var angeläget att tillståndsverksamheten var organiserad på ett sätt som var ägnat att inge förtroende. Mot den bakgrunden fanns det skäl att så långt som möjligt markera tillståndsgivningens oberoende genom att låta prövningen ske i domstol. Genom ändringarna i signalspaningslagen kom tillståndsprövningen inte endast att omfatta vad FRA på ett övergripande plan får göra utan även till vissa delar FRA:s genomförande av ett signalspaningsuppdrag. En annan förändring bestod i att ansvaret för ansökan om tillstånd flyttades från de inriktande myndigheterna till FRA. Bestämmelser om domstolen regleras i lagen (2009:966) om Försvarsunderrättelsedomstol och förordning (2009:968) med instruktion för Försvarsunderrättelsedomstolen. Av dessa författningar framgår bl.a. att domstolen leds av en ordförande. Ordföranden anställs av regeringen som ordinarie domare i domstolen. Därutöver består domstolen av en eller högst två vice ordföranden och minst två och högst sex särskilda ledamöter. Dessa förordnas av regeringen . Domstolen är domför med ordförande och två särskilda ledamöter. Vid domstolens sammanträden föredrar närvarande representanter från FRA ansökningsärendet för domstolen. Även ett integritetsskyddsombud är närvarande under sammanträdet. Integritetsskyddsombuden ska vara eller ha varit advokat eller ordinarie domare och förordnas av regeringen. Vid prövningen av tillstånd till signalspaning ska integritetsskyddsombudet på ett generellt plan företräda integritetsskyddsintresset i allmänhet. har tre externa kontrollorgan haft i uppgift att följa verksamheten vid FRA. , som genom detta betänkande fullgjort sitt uppdrag, har Statens inspektion för försvarsunderrättelseverksamheten (Siun) och Datainspektionen inom ramen för sina uppdrag genomfört flera inspektioner på FRA. Siun är ett permanent kontrollorgan som utför fortlöpande kontroller. Datainspektionen har under nämnd period haft ett särskilt uppdrag att granska personuppgiftshanteringen vid FRA. Inom FRA finns också en intern insynsfunktion benämnd integritetsskyddsrådet. 2.4.1Statens inspektion för försvarsunderrättelseverksamheten (Siun) Siun:s uppdrag omfattar kontroll, utredningsskyldighet och att säkerställa att FRA endast ges tillgång till tillståndsgivna signalbärare. tillsattes 1976 och utgjorde regeringens insyns- och kontrollorgan avseende försvarsunderrättelseverksamheten. För att förtydliga att försvarsunderrättelseverksamheten inte är en angelägenhet endast för Försvarsmakten och för att markera självständighet i förhållande till den kontrollerade verksamheten fick myndigheten ett nytt namn, Statens inspektion för försvarsunderrättelseverksamheten. Siun är en nämndmyndighet som har till uppgift att kontrollera att den försvarsunderrättelseverksamhet som bedrivs av Försvarsmakten, , och sker enligt de lagar och förordningar som styr respektive verksamhet. Genom införandet av signalspaningslagen uppkom ett ökat behov av att kontrollera signalspaningsverksamheten. Detta bl.a. till följd av att signalspaningsmandatet skulle utvidgas till att även innefatta inhämtning via tråd. Försvarets underrättelsenämnds mandat utökades därför från att följa underrättelsetjänsten inom de myndigheter som utövar försvarsunderrättelseverksamhet till att kontrollera dessa. Kontrolluppdraget omfattar enligt signalspaningslagen alla delar av FRA:s signalspaningsverksamhet, men är särskilt inriktat på att granska sökbegrepp, förstöring av uppgifter och rapportering. Siun leds av en nämnd vars ledamöter utses av regeringen. Nämndens ordföranden och vice ordföranden ska vara eller ha varit ordinarie domare. Övriga ledamöter ska utgöras av personer föreslagna av partigrupperna i . Nämndens arbete stöds av ett kansli med kompetens främst inom områdena försvarsunderrättelseverksamhet och juridik. Siun har även teknisk expertis knuten till sig. Siuns granskningar av signalspaningsverksamheten genomförs utifrån nämndens beslut om granskningsområde. Efter interna förberedelser genomförs inspektion på FRA. Därefter sammanställs resultatet av inspektionen och med detta som underlag fattar nämnden beslut om det finns anledning att lämna några synpunkter eller förslag med anledning av granskningen. genomförda granskningar har omfattat sökbegrepp, förstöring, signalspaningsprocessen och spårbarheten. De granskningar som har genomförts har resulterat i att nämnden haft synpunkter . Nämnden ansåg att spårbarheten inte var tillräckligt tydliggjord då man tittade på rapporteringen. Nämndens inspektionsprotokoll är offentliga. De synpunkter som föranleds av granskningsverksamheten lämnas till FRA och i den mån det anses erforderligt till . Utredningsskyldighet – på begäran av enskild Enligt 10 a § signalspaningslagen är Siun skyldigt att på begäran av enskild kontrollera om hans eller hennes meddelande har inhämtats i samband med signalspaning. Siun ska därvid utreda om inhämtningen och behandlingen av inhämtade uppgifter har skett enligt lag. Sedan kontroll har genomförts underrättar Siun den enskilde om att kontrollen har utförts. Vilka uppgifter som i övrigt kan lämnas beror på vilken sekretess som gäller i fallet. Siuns kontroll utmynnar normalt i ett besked till den enskilde om huruvida det i samband med signalspaning har förekommit något otillbörligt som berört honom eller henne. sin utredning kan konstatera att ingen signalspaning överhuvudtaget har förekommit eller att signalspaning visserligen har förekommit men skett lagenligt, bör enligt förarbetena till lagen3 den enskilde få besked om att inget otillbörligt skett. Om Siun vid en sådan kontroll skulle finna att meddelanden inhämtats i strid med signalspaningslagen bör den enskilde i normalfallet upplysas om detta och få del av de uppgifter som kan lämnas med hänsyn till sekretessen. Vidare bör Siun anmäla sina iakttagelser till den myndighet som ansvarar för aktuell fråga. Om Siun exempelvis påträffar förhållanden som bedöms innebära att personuppgiftsbehandling skett utan stöd av lag, bör detta anmälas till Datainspektionen. Inkoppling av signalbärare till FRA För att FRA inte ska ges praktisk tillgång till andra signalbärare än de som omfattas av ett tillstånd till signalspaning har Siun givits rådigheten över de signalbärare som trådägarna överför till samverkanspunkter. Signalbärare är den minsta fysiska beståndsdel i vilka signaler transporteras. Samverkanspunkterna utgörs av en geografisk plats där trådägarna lämnar över signalerna till Siun. För detta ändamål har det byggts upp ett system som endast ger Siun tillträde till den operativa delen och som gör det möjligt för myndigheten att sköta uppkopplingen av tillståndsgivna signalbärare till FRA. Kommittén har besökt en samverkanspunkt och Siun har demonstrerat hur myndigheten genomför inkoppling av signalbärare till FRA. 2.4.2Ett integritetsskyddsråd inom FRA Utöver den externa kontrollfunktionen som Siun svarar för har enligt 11 § signalspaningslagen ett integritetsskyddsråd inrättats för att ge en fortlöpande insyn i de åtgärder som vidtas och för att säkerställa integritetsskyddet i signalspaningsverksamheten. Organisatoriskt utgör integritetsskyddsrådet en del av FRA och rådets ledamöter utses av regeringen och utgörs av två vid allmän domstol ordinarie domare och en f.d. ambassadör. främsta uppgift är att utifrån lagstiftningen granska hur FRA styrs genom de interna föreskrifterna och rutinerna. 2008/09:201 s. 93. Rådet rapporterar sina iakttagelser till FRA och, om rådet finner att det finns skäl för det, till Siun. Kommittén har haft möten med integritetsskyddsrådet och tagit del av resultatet från rådets granskning avseende FRA:s interna föreskrifter, arbetsordning och den praktiska ärendehanteringen. Rådet har beskrivit hur man utifrån en dokumentinriktad granskning har gjort iakttagelser som lett fram till synpunkter och förslag till förändringar med integritetsskyddande syfte. FRA har beaktat dessa synpunkter. 3 Verksamheten vid FRA När det tog slut uppstod ett nytt läge i och närområde. Den tidigare stormaktskonflikten hade upphört och hotet om krig i vår del av världen hade minskat. Den militära hotbilden ersattes av ett mer otydligt och svårdefinierat inre och yttre hot. Dagens hot kan vara icke-militära och utgår från icke-statliga aktörer. Fram till genomförandet av signalspaningslagen var signalspaning en i stort sett oreglerad verksamhet som var begränsad till eterspaning. Utgångspunkten hade varit att etern var fri att avlyssna och att denna form av signalspaning därför inte krävde något uttryckligt lagstöd. ändrades förutsättningarna för underrättelseinhämtning via signalspaning genom att den elektroniska kommunikationen alltmer kom att ske via tråd (kabel). FRA uppskattar att av all internationell trafik numera går i tråd. För att bevara och stärka den svenska försvarsunderrättelseverksamheten ansåg regering och riksdag att det var nödvändigt att ge FRA tillgång till såväl etersom trådburen kommunikation och att inhämtning av signaler också behövde särskild reglering i lag. Lagen skulle därför utformas så att man fick till stånd en lämplig avvägning mellan integritetsskyddsintresset och behovet av en effektiv underrättelseverksamhet. När signalspaningslagen trädde i kraft fanns bl.a. bestämmelser som reglerade under vilka förutsättningar signalspaning fick ske, hur sökbegrepp fick användas, i vilka fall inhämtade uppgifter skulle förstöras och hur insynen i verksamheten skulle bedrivas. I syfte att förstärka integritetsskyddet vid signalspaning genomfördes vissa lagändringar i signalspaningslagen och det var också från och med denna tidpunkt som FRA medgavs möjlighet att bedriva signalspaning via tråd. FRA leds av en generaldirektör. Därutöver finns en överdirektör, en stab och fyra avdelningar jämte vissa särskilda funktioner. Den operativa verksamheten är organiserad i två avdelningar, nämligen avdelningen för signalunderrättelsetjänst och informationssäkerhetsavdelningen. Avdelningen för signalunderrättelsetjänst har som uppgift att producera underrättelser och i denna verksamhet inryms inhämtning av signaler, bearbetning och analys samt rapportering. Informationssäkerhetsavdelningen svarar bl.a. för stöd till informationssäkerhetsarbetet hos myndigheter och statliga bolag. FRA arbetar efter myndighetsövergripande respektive avdelningsinterna föreskrifter. Dessa reglerar bl.a. sökbegreppshantering och förstöringsskyldighet. Vidare finns verksamhetsregler omfattande bl.a. behörighet, loggning samt formerna för granskning och godkännande av uppdrag. FRA arbetar även efter etiska riktlinjer. FRA har under de senaste 10–20 åren genomgått en omfattande förändringsprocess. Kommunikationsspaningen vid FRA var organisatoriskt uppdelad i en del som avsåg signalspaning riktad mot militära kommunikationsmedel och en del som avsåg signalspaning riktad mot icke-militära kommunikationsmedel. Denna uppdelning var naturlig eftersom de militära respektive icke-militära kommunikationsmedlen vanligtvis användes av helt olika aktörer. Även tekniskt var de av helt olika slag, varför de olika signaltyperna enkelt kunde särskiljas från varandra. Detta innebar bl.a. att den privata, integritetskänsliga kommunikationen i stort sett inte förekom bland den militära tjänstetrafiken. Den kommunikationsteknologiska utveckling som ägt rum , inte minst framväxten och utvecklingen av Internet, liksom utvecklingen vad gäller mobil kommunikation, har gjort att de icke-militära kommunikationsmedlen i allt större omfattning kommit att användas även för militära ändamål. De ur signalspaningssynpunkt intressanta kommunikationsmedlen innehåller därför numera en blandning av tjänstetrafik och privatpersoners kommunikation. Behovet av en lagreglering av verksamheten har växt fram, bland annat med hänsyn till de integritetsskyddsfrågor som därmed har aktualiserats. För att möta förändringarna har FRA vidtagit olika åtgärder som syftar till att ge myndighetens personal övergripande kunskaper om de regler som styr signalspaning. Vidare har insatserna varit inriktade mot att de anställda ska se sin egen och verksamhetens roll i samhället. Samtliga anställda, oavsett befattning, genomgår ett utbildningspaket där sådana frågor behandlas. FRA har inför kommittén betonat att integritetsskyddsfrågorna har getts central betydelse i verksamheten och även sätter sin prägel på utbildningen. FRA har utarbetat etiska riktlinjer för sitt arbete. Dessa diskuteras enligt uppgift från FRA kontinuerligt och ingående med de anställda. Av riktlinjerna framgår bl.a. följande. FRA tar ansvar för genomförandet såväl som resultatet av sitt arbete samt för hur underrättelserna eller informationssäkerhetsrapporterna kan komma att användas. FRA arbetar objektivt, sakligt och med integritet. FRA underlättar för kontrollorganen att följa upp myndighetens verksamhet. Det utvecklas ett policyforum i verksamheten med representation från olika delar av organisationen. Dess uppgift är att identifiera och diskutera etik- och integritetsskyddsfrågor av principiell art och även att ta upp bedömningsfrågor som uppkommer i det löpande arbetet. Policyforumet ska utarbeta praktiska riktlinjer. Det skulle innebära en mycket allvarlig form av integritetsintrång för den enskilde om inhämtad trafik, genom uppsåtligt handlande eller oaktsamhet, spreds till obehöriga eller om den användes för andra ändamål än det tillåtna. Skyddet för enskildas integritet kräver att den inhämtade trafiken är skyddad så att den inte kan behandlas för andra ändamål än de avsedda genom obehörig eller olaglig åtkomst. FRA har ett omfattande inre och yttre skydd runt sin verksamhet. Det handlar om ett väl uppbyggt yttre fysiskt skydd i form av stängsel, bevakning, låsta kontorsdörrar och säkerhetsskåp. Mycket av det inre skyddet är kopplat till IT och skyddet för där behandlad information. Kontrollen består bl.a. i att alla åtgärder som hand- läggarna gör i datasystemen loggas. För att genomföra vissa åtgärder, såsom att lägga in sökbegrepp vid inhämtning av signaler, krävs motivering och särskilt godkännande. Dessa åtgärder syftar till att ge ett skydd mot felaktig hantering av känsliga uppgifter. Alla anställda vid har genomgått säkerhetsprövning. För att upprätthålla en hög säkerhetsnivå sker även en kontinuerlig personkontroll av personalen. FRA arbetar parallellt med flera olika uppdrag. Endast ett fåtal personer, som befinner sig på centrala och koordinerande befattningar behöver ha tillgång till den information som ger överblick över vilka uppdrag myndigheten har och vilket resultat som signalspaningen ger. Av sekretesskäl utförs det operativa arbetet i slutna enheter som är skilda från varandra. Det innebär i praktiken att enskilda tjänstemän inte har detaljerad kännedom om annat än det uppdrag han eller hon är knuten till. Behörigheten till uppdragen är begränsad till att endast omfatta den information som respektive medarbetare behöver för att utföra sin uppgift. Bemanningen av uppdragen är väl avgränsade, vilket bl.a. innebär att man endast delar information inom uppdraget. De sekretessmässiga barriärerna medför begränsad och kontrollerad spridning av information. Signalspaning inleds med att regeringen, eller Försvarsmakten inriktar FRA:s signalspaning mot vissa för försvarsunderrättelseverksamheten aktuella områden. Detta sker genom regeringens årliga inriktning och genom och Försvarsmaktens närmare inriktningar. Regeringens övergripande inriktning ska avse de samlade behoven av underrättelser. Försvarsmakten och ges möjlighet att inom den ram som regeringen fastställt närmare inrikta signalspaningsverksamheten mot de för försvarsunderrättelseverksamheten relevanta företeelserna. FRA omsätter uppdragsgivarnas inriktning till uppdrag. FRA ska följa uppdragsgivarnas behov av underrättelseinformation då myndigheten förbereder och genomför inhämtningen. Varje inriktning måste kunna motiveras utifrån de syften för vilka försvarsunderrättelseverksamhet genom signalspaning får bedrivas. Detta innebär att det ska alltid finns ett ändamål enligt lag som motiverar åtgärden. I 1 §, andra stycket signalspaningslagen preciseras för vilka ändamål signalspaning får bedrivas. Enligt bestämmelsen får signalspaning bedrivas i syfte att kartlägga bl.a. yttre militära hot, andra utländska förhållanden som kan påverka nationell och internationell säkerhet, förutsättningarna för svenskt deltagande i internationella insatser, förhållanden avseende internationell terrorism, utveckling och spridning av krigsmateriel och massförstörelsevapen, främmande underrättelseverksamhet mot svenska intressen samt främmande makts agerande eller aktivitet av väsentlig betydelse för svensk utrikes-, säkerhets- eller försvarspolitik. Detta hindrar dock inte att signalspaning även kan avse vissa förgreningar inom landet. Exempelvis kan en utländsk organisation med verksamhet som utgör ett hot mot landet verka genom representanter i . Signalspaning kan i dessa fall bidra till att följa upp den utländska företeelsens koppling till . Signalspaning får dock inte avse kommunikation mellan två personer som befinner sig i . Den kommunikation som är föremål för signalspaning avser alltid utländska företeelser. FRA följer företeelserna genom inhämtning av signaler från kommunikation som huvudsakligen härrör från utlandet. Det kan röra sig om inhemsk trafik i landet A eller internationell trafik mellan landet A och landet B. Bakom alla företeelser och kommunikation kring dessa ligger människor och det kan därför vara nödvändigt att utnyttja information om fysisk person som en utgångspunkt för vidare inhämtning av signaler. Signalspaning kan ge information om vad en viss person sysslar med och i vilka kretsar vederbörande rör sig. Av 4 § 3 st signalspaningslagen framgår dock att en inriktning av signalspaningen inte får avse endast en viss fysisk person. Detta innebär att signalspaning inte får användas för att endast kartlägga en utpekad person. Gränsdragningen mellan att kartlägga företeelser och förbudet att kartlägga endast en viss fysisk person är inte helt tydlig eftersom signalspaning bedrivs mot kommunikation mellan människor. I praktiken är det dock en avsevärd skillnad. En viktig utgångspunkt är att personer i signalspaningssammanhang endast är intressanta som bärare av information. Om personen i fråga kan misstänkas för brott saknar i sammanhanget relevans. Ett uppdrag får alltså syfta till att kartlägga personers förehavanden endast om uppdraget har fokus på den företeelse som inriktningen avser. Förbudet mot att kartlägga en viss fysisk person bör också ses i sammanhanget av att försvarsunderrättelseverksamheten inte får avse uppgifter som ligger inom ramen för polisens och andra myndigheters brottsbekämpande och brottsförebyggande arbete. Inhämtning av signaler kan även ske inom ramen för FRA:s utvecklingsverksamhet. Denna syftar till att möjliggöra försvarsunderrättelseuppdraget och tillgodoser FRA:s behov av att följa utvecklingen inom signalmiljön och för att kontinuerligt kunna anpassa sina tekniska system till utvecklingen. Inhämtning av signaler i utvecklingsverksamheten förutsätter att det är nödvändigt för försvarsunderrättelseuppdraget och sker utifrån regeringens inriktning. Den inhämtning av signaler som sker i utvecklingsverksamheten omfattas av samma bestämmelser i signalspaningslagen som underrättelseverksamheten. Den variationsrikedom som förekommer i signalmiljön är mycket stor och ökar . FRA har oftast ingen eller högst begränsad kännedom om den tekniska utformningen eller användningen av en ny signal som upptäcks i signalmiljön. Många signaler följer inte en standard utan FRA måste rekonstruera hur signalen är uppbyggd. Kunskapen används för att göra innehållet i signalen tillgängligt. Detta arbete sker inom utvecklingsverksamheten. FRA bedriver utvecklingsverksamhet av följande skäl. För att följa förändringar i signalmiljön i omvärlden (signalundersökning). FRA använder särskilda inhämtningssystem och analysverktyg för att ta reda på vilken slags trafik som finns på de satellitkanaler och de signalbärare i tråd som är tekniskt, geografiskt och tillståndsmässigt möjliga att inhämta. Likaså undersöks mellan vilka geografiska regioner i världen trafik på dessa signaler förmedlas. För att följa den tekniska utvecklingen i omvärlden (signalutvecklingen). FRA letar efter okända signaler och tar reda på deras tekniska utformning och hur de används. För att följa förändringar i signalskyddet i omvärlden. Ett exempel på detta är FRA:s kryptoanalytiska arbete. För att fortlöpande utveckla ny teknik och ny metodik som behövs för verksamheten. För att FRA ska kunna verkställa signalspaning krävs enligt 4 a § signalspaningslagen tillstånd. Tillståndskravet omfattar all inhämtning av signaler oavsett syfte och teknik för inhämtning. Tillstånd lämnas av Försvarsunderrättelsedomstolen. Av 4 a § signalspaningslagen följer att en tillståndsansökan till Försvarsunderrättelsedomstolen ska innehålla en redogörelse för inhämtningsuppdraget, vilket behov som föranleder ansökan, vilken inriktning uppdraget hänför sig till, vilka sökbegrepp eller kategorier av sökbegrepp som är avsedda att användas vid inhämtningen och vilken tid tillståndet ska gälla. Vad avser signaler i tråd måste FRA även ange vilken eller vilka signalbärare myndigheten behöver tillgång till. Ansökan om tillstånd måste göras för all signalspaning. FRA formulerar ansökan om tillstånd utifrån den inriktning som givits för signalspaning. För att uppfylla de krav på ansökan som finns i signalspaningslagen måste FRA ta fram ett underlag för ansökan. Denna hantering följer interna föreskrifter som bl.a. reglerar vilka överväganden som måste göras i samband med att en ansökan ska lämnas till Försvarsunderrättelsedomstolen. FRA gör bl.a. en bedömning av den avsedda effekten med åtgärden i förhållande till det integritetsintrång som inhämtningen kan komma att innebära. Slutligen är det generaldirektören som beslutar om utformningen av ansökan. Kommittén har tagit del av ansökningar om tillstånd till signalspaning som inkommit till och Försvarsunderrättelsedomstolen. När FRA lämnat in ansökan om signalspaning till Försvarsunderrättelsedomstolen utser domstolen ett integritetsskyddsombud i målet och håller därefter ett sammanträde. Sammanträdet hålls vid Försvarsunderrättelsedomstolen i , . Vid sammanträdet föredrar företrädare för (jurist och tjänsteman från signalunderrättelsetjänsten) ärendet för domstolen. Ett av regeringen förordnat integritetsskyddsombud närvarar under sammanträdet i syfte att bevaka integritetsskyddsintresset. Efter domstolens enskilda överläggning meddelas beslut i målet. Enligt 5 § signalspaningslagen får tillstånd ges endast om inhämtningsuppdraget är förenligt med lagen om försvarsunderrättelseverksamhet och signalspaningslagen och om syftet med inhämtningsuppdraget väger klart tyngre än det integritetsintrång som inhämtning kan innebära (proportionalitetsprincipen) och detta syfte inte kan tillgodoses på ett mindre ingripande sätt (behovsprincipen). Vidare måste de sökbegrepp eller kategorier av sökbegrepp som är avsedda att användas vara förenliga med lagens särskilda bestämmelser om sökbegrepp. Med kategorier av sökbegrepp som är hänförliga till fysisk person avses uppgifter om en grupp som identifierar flera fysiska personer med tydlig anknytning till varandra.