prot · H009123 · 2013-06-14 00:00:00 — Uppdraget handlar tydligt om att spana på utländska hot och inte inhemsk kommunikation. Det rimmar illa med TDV. Ministern menar att jag blandar ihop FRA:s signalspaningsuppdrag med dess uppdrag inom informationssäkerhetsområdet, men eftersom personuppgifterna strömmar fritt mellan TDV och FRA är kopplingen tydlig. Det är oroande att FRA, efter överenskommelse med de så kallade TDV-uppdragsgivarna, har för avsikt att använda och behandla personuppgifter som hanteras i TDV-verksamhetens informationssäkerhetsdel i signalspaningsverksamheten och att FRA har för avsikt att använda uppgifter som inhämtas i it-hotsverksamheten i signalspaningsverksamheten i TDV-verksamheten. Det handlar således om ett flöde åt två håll av känsliga personuppgifter och helt utan lagstöd. Datainspektionen menar för övrigt att utgångspunkten i förarbetena har varit att de aktuella uppgifterna inte används vidare i FRA:s försvarsunderrättelse- eller utvecklingsverksamhet inom ramen för myndighetens signalspaning, utan återsänds till uppdragsgivarna alternativt förstörs. Hur ser egentligen ministern på detta? Anser ministern att det handlar om en ändamålsglidning, att FRA:s verksamhet , precis som människor varnade för, utvidgas till att omfatta områden och myndigheter som inte fanns med från början? Vad tycker ministern om att FRA genom detekteringssystemet får tillgång till TDV:s personuppgifter, och hur är det förenligt med att FRA endast får spana på utländska hot? 40 Försvarsminister (M): Som jag redogjorde för i mitt interpellationssvar handlar interpellationen inte om signalspaning i försvarsunderrättelseverksamhet. Det här systemet är någonting annat. Det handlar nämligen om att stärka vår informationsverksamhet. Införandet av ett sådant system innebär inte på något sätt att det sker en ändamålsglidning när det gäller vilka förhållanden signalspaning kan riktas mot. Där håller jag inte alls med . Hela syftet med systemet är att stärka vår informationssäkerhet och därmed skydda samhällsviktig verksamhet och infrastruktur. Bakgrunden till att det här har prövats det är fortfarande en pilotverksamhet är att de avancerade it-angreppen blir allt vanligare. De riktar sig mot kommersiella intressen men också mot rent samhällsviktig verksamhet. Mot bakgrund av denna utveckling gav regeringen två olika uppdrag, ett och ett . De handlade om hur informationssäkerheten i samhällsviktig verksamhet skulle kunna stärkas genom TDV. Uppdragen har redovisats i två omgångar. Den första redovisningen, , handlade om hur detta skulle kunna fungera rent tekniskt, och vid den andra redovisningen, , belystes ytterligare aspekter av systemet. Vid redovisningarna föreslog FRA att uppgiften att ta fram och placera ut varningssystemet inledningsvis skulle genomföras i begränsad skala och att rutiner, teknikstöd och samarbetsformer skulle utvecklas efter hand. I budgetpropositionen beskrev och framhöll regeringen att utifrån detta finns det behov av att rutiner, teknikstöd och samverkansformer vidareutvecklas och att förebyggande arbete i kombination med andra skyddsåtgärder, såsom TDV, ökar möjligheterna till skydd. Regeringen anförde också att TDV bör genomföras successivt inom ramen för FRA:s verksamhet i syfte att stärka skyddet för samhällsviktig verksamhet. Vi ska dock komma ihåg att ett fullständigt skydd mot it-angrepp troligtvis aldrig kommer att kunna uppnås, men förebyggande arbete i kombination med andra skyddsåtgärder, såsom ett sådant här varningssystem, ökar möjligheterna. Ändå måste man ha en grund av god informationssäkerhet i sitt arbete. Sedan kan TVD läggas ovanpå detta. hjälper FRA:s informationssäkerhetsavdelning andra myndigheter att analysera deras nätverk och datasystem. Det här skulle kunna göra att man blir ännu bättre på att reagera på intrången, vilket är syftet med hela systemet. Här har regeringen och staten en viktig uppgift att stödja myndigheters verksamhet. Om vi inte gör någonting finns risken att medborgare drabbas av att de samhällsviktiga verksamheterna inte kan fungera. Jag ser alltså inte någon risk för ändamålsglidning, och jag ser fram emot att få utveckla detta i nästa inlägg. 41 (MP): Jag skulle ändå vilja säga att det finns en tydlig koppling och sammanblandning. Eftersom de personuppgifter som samlas in via TDV sedan används i FRA:s signalspaningsuppdrag blir det en väldigt tydlig koppling. Personuppgifter som man har fått tillgång till på ett sätt används i en helt annan verksamhet. kom ett yttrande från Datainspektionen angående just detekteringssystemet TDV och användningen av personuppgifter. Datainspektionen ifrågasätter i sitt yttrande till FRA lämpligheten av att utan uttryckligt stöd i lag eller annan författning bedriva en verksamhet som består i att överföra personuppgifter mellan en verksamhet som FRA bedriver med stöd av 4 § instruktionen för FRA och sådan signalspaning i försvarsunderrättelseverksamhet som myndigheten bedriver med stöd av 1 § i sin instruktion och lagen (2008:717) om signalspaning i försvarsunderrättelseverksamhet. Det gäller även om de personuppgifter som utgörs av s.k. signaturer. Det kan vara e-postadresser, IP-adresser, kodsnuttar och uppgifter om servrar som sparas i så kallade signaturer. Detta är mycket uppseendeväckande. FRA har utbytt personuppgifter med TDV utan laglig grund. Det är en verksamhet, där möjligheten till utomstående insyn är starkt begränsad, som har byggt upp system och skickat personuppgifter mellan verksamheter utan att det finns ett lagstöd för det. Datainspektionen skriver att det är viktigt att det styrande regelverket för FRA är klart och tydligt. Jag håller med om det. Men tyvärr är det inte så , vilket uppenbarligen utnyttjas. Detta är inte första gången som Datainspektionen kritiserar FRA:s personuppgiftshantering. Något som också oroar mig är hur regeringen ständigt hänvisar till att området är oreglerat och därför måste regleras ytterligare för att motivera massövervakning och stora inskränkningar av den personliga integriteten. Det lät likadant när FRA-lagen debatterades 2008. Då påstods det att det var bättre om verksamheten reglerades än att den fortsatte oreglerat. Det som det i praktiken betyder är att FRA bedrev signalspaning även trots att det inte fanns någon laglig grund för det. Man massövervakade även trots att det inte fanns någon laglig grund för det. Det är alltså inte första gången som regeringen sätter i gång en verksamhet utan laglig grund för att sedan driva igenom det i i efterhand. Den utvecklingen oroar mig starkt. Jag skulle vilja ha ett tydligt besked från försvarsministern på hur hon ser på detta agerande. Är det inte mycket allvarligt att verksamheten sker utan stöd i lagen? 42 Försvarsminister (M): Vad är TDV och vad innebär det? Det är det man måste veta innan man ska gå in på vilken typ av lagar som ska reglera detta. Självklart ska det finnas ett stöd i lag för allting som görs. Hela den FRA-debatt som vi hade handlade just om en avvägning mellan behovet av att kunna bedriva försvarsunderrättelseverksamhet och det viktiga i att ha så liten inskränkning i den personliga integriteten som möjligt. Vi fick en lagstiftning på plats, och vi har kontroller och kontrollmyndigheter som följer detta. Det här handlar om en annan sak, nämligen om informationssäkerhet och om att för att skydda sig ha ett system för att upptäcka intrång. Det finns en okunskap, och det är inte så konstigt eftersom systemet är en försöksverksamhet. TDV består, förenklat, av en sensor, en kommunikationslösning och en central funktion för analys. TDV placeras så att uppdragsgivarens nätverkstrafik passerar en sensor. Detta system reagerar enbart på intrångsförsök. Skulle ett sådant upptäckas finns det givetvis ett behov av att analysera hur angreppet har gått till och göra en teknisk analys av vad det är som har utlöst larmet. Systemet identifierar enbart skadlig kod och inget annat. När den skadliga koden identifieras skickas larm till systemägaren och till FRA. Sedan kan FRA analysera den skadliga koden. I det fall skadlig kod finns inuti till exempel en fil kan det finnas behov för FRA att ta del av innehållet i hela filen för att komma åt den skadliga koden och analysera den. Hela detta arbete sker på uppdrag av kunden, det vill säga myndigheten eller det statliga bolag som har systemet, och skiljer sig egentligen inte från befintliga antivirussystem som också larmar för inkommande virus. Den stora skillnaden är att det här systemet är mer kapabelt. Det ska föras och förs redan en diskussion om hur denna informationsdelning ska se ut. Det är den delen som Datainspektionen har tagit upp. De legala aspekterna på TDV har belysts i de uppdrag som FRA har redovisat till regeringen. Precis som all annan statlig verksamhet ska denna utföras i enlighet med det som riksdag och regering har beslutat. Det är av vikt att påtala det tillsynsansvar för personuppgiftshantering som kan förekomma i samband med att skadlig kod upptäcks. Det ligger på Datainspektionen, och här finns en dialog där jag förutsätter att alla dessa frågeställningar diskuteras. Man ska komma ihåg att det kan röra sig om inkommande meddelanden till en myndighet. Vi kan jämföra med hur man skulle göra om det kommer in ett fysiskt brev som man misstänker innehåller något skadligt till en myndighet. Vi måste ha en lagstiftning och lösningar som är teknikneutrala. Det var bland annat därför som FRA-lagen antogs. Jag förutsätter att dialogen fortsätter. Vi kommer att ytterligare bereda TDV för att se om det är på det sättet som vi ska fortsätta. Det som är viktigt för mig är att all samhällsviktig verksamhet kan skyddas. Då är TDV ett viktigt redskap. 43 (MP): behöver, som ett militärt alliansfritt land, en effektiv underrättelseverksamhet. Signalspaning kan möjligtvis vara ett verktyg i detta, men som FRA-lagen är utformad innebär den oproportionerligt långtgående ingrepp i medborgerliga fri- och rättigheter. utökades dessutom FRA:s signalspaningsuppdrag. kan även Säkerhetspolisen och inrikta signalspaningen. Såväl Datainspektionen som Statens inspektion för försvarsunderrättelseverksamheten, Siun, har gjort uppföljningar av FRA-lagen och påpekat brister i den, bland annat när det gäller hur känsliga personuppgifter hanteras. har ingen riktigt lyckats förklara skälen till att all datatrafik in och ut ur vårt land ska kunna avlyssnas av . Jag tackar ministern för debatten. Det är viktigt att vi diskuterar dessa frågor. Det är fullständigt avgörande för hur vi hanterar arbetet mot cyberbrottslighet och terrorism. Jag noterar dock att ministern inte har kommenterat det faktum att personuppgifter flödar fritt i TDV-verksamheten för att förhindra it-brottslighet och används därefter i FRA:s signalspaningsuppdrag. Det innebär definitivt en ändamålsglidning då personuppgifter som från början inte var tänkta att användas i FRA:s signalspaning nu kan användas. Ministern har inte heller kommenterat att Datainspektionen konstaterar att det är en verksamhet som bedrivs utan stöd i lag eller annan författning. Det finns helt enkelt inget lagstöd för en sådan hantering av personuppgifter. Jag hoppas att ministern tar med sig detta och att vi i fortsättningen inte kommer att ha en verksamhet som saknar lagstöd. 44 Försvarsminister (M): Balansen mellan å ena sidan vikten av att ha en så god bild som möjligt av dels försvarsunderrättelser, dels hur man ska kunna skydda sin verksamhet så att man kan genomföra sitt uppdrag och å andra sidan eventuella integritetskränkande aspekter på detta är självklart viktig. Vi har på olika sätt i lagstiftningen kommit långt i . Det finns väl fungerande kontrollsystem. Det gäller att inte blanda ihop den kritik som Datainspektionen och Siun riktat mot FRA när det gäller personuppgiftshantering i samband med signalspaningsuppdraget en kritik som det givetvis är viktigt att vi diskuterar med det som handlar om TDV-systemet och FRA:s informationssäkerhetsuppdrag. Det vore olyckligt. Här finns ett uppdrag att ständigt utvärdera vad vi gör. Det ska vi också göra, och det är därför vi har kontrollorganen. Siuns uppgift är att kontrollera att försvarsunderrättelseverksamheten bedrivs i enlighet med de lagar som vi har på det här området. Då handlar det om försvarsunderrättelseverksamhet. TDV är inte ett system för signalspaning utan för informationssäkerhet och går in under FRA:s informationssäkerhetsuppdrag. Med detta sagt ser jag ändå positivt på att det finns en dialog mellan FRA och Siun också på detta område, inte minst för att undvika att göra sammanblandningen av en redan svårhanterbar och svårdiskuterad materia ännu större. Överläggningen var härmed avslutad. Anmäldes och bordlades betänkande 2012/13:FiU31 Förvaltare av alternativa investeringsfonder betänkanden /13:KU20 Granskningsbetänkande 2012/13:KU21 Redogörelser för behandlingen av skrivelser utlåtande /13:KU26 Granskning av grönbok om förberedelse för en helt konvergerad audiovisuell värld betänkande 2012/13:FiU41 Medgivande för att delta i Internationella valutafondens (IMF) finansieringslösning till förmån för låginkomstländer utlåtande /13:FöU12 Granskning av grönbok om försäkring mot katastrofer 15 § Anmälan om frågor för skriftliga svar Anmäldes att följande frågor för skriftliga svar framställts 2012/13:592 Kameraövervakning och regional förvaltning i fisket av (S) till landsbygdsminister (C) 2012/13:593 ALF-medel till av (S) till utbildningsminister (FP) 2012/13:594 Hobbyverksamhet med veteranbilar av (S) till miljöminister (C) 2012/13:595 Antalet platser vid av (S) till utbildningsminister (FP) Frågorna redovisas i bilaga som fogats till snabbprotokoll . 16 § Kammaren åtskildes . Förhandlingarna leddes av förste vice talmannen från sammanträdets början till och med 13 § anf. 39 (delvis) och av tredje vice talmannen därefter till sammanträdets slut.