sou · H3B331 · 2015-03-30 00:00:00 — Den del som ansågs saknas i kon- ventionen var restriktioner för överföring av uppgifter till länder som inte är anslutna till konventionen. När det gäller processuella mekanismer framhölls att konventionen förpliktar staterna att lag- fästa dataskyddsprinciperna och att lämpliga sanktioner och rätts- medel ska finnas mot överträdelser av dessa. Detta borde enligt dokumentet vara tillräckligt för att säkerställa en tillräcklig nivå av efterlevnad av reglerna. Det påpekades dock att konventionen inte ålägger staterna att etablera några mekanismer som möjliggör gransk- ning av klagomål, även om konventionsstaterna i praktiken i regel har gjort så. Slutsatsen i dokumentet var att de flesta överföringar till stater som har ratificerat konventionen kan presumeras vara tillåtna enligt artikel 25.1 i dataskyddsdirektivet, under förutsättning att det aktuella landet har lämpliga mekanismer som säkerställer att reglerna följs och att landet är den slutliga destinationen för överföringen. Krav på lagring inom EU? antogs ett tilläggsprotokoll till dataskydds- konventionen (ETS 181). Enligt artikel 1 i protokollet ska varje konventionsstat se till att en eller flera myndigheter ansvarar för att kontrollera att de åtgärder respekteras som inom dess nationella lag- stiftning ger verkan åt de principer som anges i konventionen och i tilläggsprotokollet.3 Myndigheten ska därvid bl.a. ha befogenhet att utreda, ingripa och inleda rättsliga förfaranden om de nationella reglerna överträds. Myndigheten ska utöva sina funktioner helt obe- roende. Tilläggsprotokollet innehåller vidare bestämmelser som anger att konventionsstaterna ska vidta åtgärder för att säkerställa att överföring av personuppgifter till ett land som inte är konventions- part får ske bara om landet i fråga säkerställer en adekvat skydds- nivå för uppgifterna (artikel 2). Frågan om förhållandet mellan dataskyddsdirektivet och kon- ventionen behandlades också i samband med att personuppgifts- lagen infördes. Datainspektionen vände sig då emot att ett generellt undantag som tillåter överföring för användning enbart i en stat som anslutit sig till dataskyddskonventionen skulle tas in i lagen. Detta eftersom det enligt inspektionens uppfattning inte enbart var en nationell fråga att avgöra i vilken omfattning överföring får ske till stater som inte är medlemmar i unionen. Regeringen konstaterade dock att har skyldigheter inte bara gentemot Europeiska unionen utan också enligt konvention, och att det vore oförenligt med konventionen att införa en ordning som innebär att överföringen till en konventionsstat kan hindras av det skälet att staten i någon mening inte skulle anses ha en adekvat skyddsnivå för personuppgifter. Enligt regeringen var det inte heller antagligt att medlemsstaterna inom Europeiska unionen, varav de allra flesta vid antagandet av direktivet hade anslutit sig till konven- tionen, genom direktivet skulle ha skapat en ordning som vore oför- enlig med åtagandena enligt konventionen. De stater som anslutit sig till konvention fick enligt regeringens mening anses ha en sådan adekvat skyddsnivå som krävs enligt EG-direktivet (prop. 1997/98:44 s. 95). 3 I fullgörs denna uppgift av Datainspektionen. Krav på lagring inom EU? Utredningens bedömning: Det bör inte införas något uttryck- ligt förbud mot att uppgifter som lagras enligt de svenska data- lagringsreglerna förs över till ett tredje land för lagring där. konstaterade i datalagringsdomen att datalagrings- direktivet inte krävde att uppgifterna skulle lagras inom unionen vilket enligt domstolen innebar att den i artikel 8.3 i stadgan uttryck- ligen föreskrivna oberoende myndighetskontrollen av att skydds- och säkerhetskraven följs inte fullt ut kunde anses vara garanterad (p. Enligt domstolen är en sådan kontroll som ska utövas på grundval av unionsrätten en grundläggande beståndsdel i skyddet för enskilda i samband med behandlingen av personuppgifter. Det problem som domstolen satte fingret på var således inte i första hand att direktivet saknade ett krav på lagring inom EU, utan snarare de konsekvenser som domstolen ansåg att detta förde med sig för möjligheterna att utöva oberoende myndighetskontroll. Ett sätt att garantera effektiviteten av myndighetskontrollen skulle givetvis kunna vara att införa ett krav i nationell rätt på att upp- gifter som lagras med stöd av de tvingande datalagringsreglerna ska lagras inom EU eller EES. Ett sådant krav skulle också kunna bidra till att motverka risken för s.k. ändamålsglidning (se Ds 2014:23 s. 96 f.). Enligt utredningens uppfattning kan dock dom inte tolkas på så sätt att det skulle finnas något principiellt hinder mot en nationell lagstiftning som tillåter att uppgifter lagras utan- för unionen, så länge myndighetskontrollen ändå kan anses vara garanterad. Enligt svensk rätt gäller leverantörens skyldigheter enligt de be- stämmelser som anger hur lagringsskyldigheten ska fullgöras, t.ex. de krav som rör säkerheten för de lagrade trafikuppgifterna, även om lagringen förläggs utomlands (prop. 2010/11:46 s. 60). Detta måste särskilt beaktas av leverantörerna, om de överväger att lagra trafikuppgifter utomlands. Det ingår i PTS ansvar att kontrollera att leverantörerna följer regleringen i LEK och de föreskrifter som har meddelats med stöd av lagen. Även detta ansvar gäller oberoende av var leverantörerna väljer att lagra uppgifter. Som framgår ovan har PTS en rad befogenheter till sitt förfogande för att kontrollera att leverantörerna följer skydds- och säkerhetsreglerna. Krav på lagring inom EU? bedömde när datalagringsdirektivet genomfördes att de befogen- heter PTS har får anses vara tillräckliga för att myndigheten ska kunna utöva en aktiv och ändamålsenlig tillsynsverksamhet (a. prop. s. 58). PTS befogenhet att få tillträde till områden, lokaler och andra utrymmen där verksamhet som omfattas av LEK bedrivs kan i prak- tiken utövas endast i . Däremot torde möjligheterna att utöva de övriga befogenheter myndigheten har till sitt förfogande, t.ex. att begära upplysningar eller att meddela förelägganden och förbud, inte påverkas av var leverantören väljer att lagra uppgifterna. Mot den bakgrunden bedömer vi att PTS har vissa möjligheter att bedriva en aktiv och ändamålsenlig tillsynsverksamhet även gentemot leve- rantörer som väljer att lagra uppgifter utanför unionen. I sammanhanget bör det framhållas att regleringen i dataskydds- direktivet, dataskyddskonventionen och PUL innebär att person- uppgifter inte får föras över till länder som inte erbjuder en adekvat nivå av skydd för uppgifterna. Vid bedömningen av om skyddet kan anses adekvat ska det beaktas om de tillämpliga reglerna i det tredje landet innehåller den kärna av dataskyddsprinciper som gäller inom EU. Dessa principer innebär bl.a. att kvaliteten på det aktuella landets skyddsmekanismer är en viktig omständighet vid bedöm- ningen av skyddsnivån. Regleringen innebär således att uppgifter får föras över bara till sådana tredje länder som har tillräckliga skydds- mekanismer sett i förhållande till den aktuella typen av uppgifter. Kraven på skydd ska också ställas högre ju känsligare uppgifter det är fråga om. Enligt vår bedömning innebär det att det bör krävas att det tredje landet har inrättat någon form av system med fristående myndighetskontroll för att nivån av skydd för datalagrade uppgifter ska anses adekvat. I den mån uppgifter förs över till ett sådant land kommer således skyddet för uppgifterna att kontrolleras även av det tredje landets kontrollmyndighet. Det bör också nämnas att Data- inspektionen har i uppgift att utöva tillsyn över att personuppgifter inte förs över till sådana länder som saknar en adekvat skyddsnivå. Mot den bakgrunden bedömer vi sammantaget att den oberoende myndighetskontrollen är garanterad i svensk rätt även i förhållande till leverantörer som väljer att lagra uppgifter utanför unionen. Av- saknaden av ett krav på lagring inom EU eller EES innebär således inte att regleringen i svensk lag strider mot bestämmelserna om grundläggande rättigheter i EU-stadgan. Krav på lagring inom EU? Det kan också påpekas att en av de centrala principerna vid bedöm- ningen av om ett land lever upp till kraven på adekvat skyddsnivå är principen om avgränsning av ändamålet. Som framgår ovan innebär principen att personuppgifter får behandlas endast för ett specifikt ändamål och därefter får användas eller vidarebehandlas endast om det är förenligt med detta ändamål. I den mån ett tredje land har infört regler som innebär att lagrade uppgifter i stor utsträckning kan lämnas ut för andra ändamål än det för vilket de samlades in, kan skyddsnivån i landet därför normalt inte anses vara adekvat. Dessa regler innebär således att risken för ändamålsglidning begränsas. Ett krav i nationell rätt på lagring inom EU eller EES skulle vidare förutsätta att detta är förenligt med EU-regleringen på om- rådet och med internationella åtaganden i övrigt. Av regle- ringen i dataskyddsdirektivet framgår att överföring av personupp- gifter till tredje land i princip ska vara tillåten, om det tredje landet erbjuder en adekvat nivå av skydd för uppgifterna. Direktivet innehåller inte några bestämmelser som tillåter att medlemsstaterna förbjuder överföring till ett land trots att landet erbjuder en adekvat skyddsnivå. Ett generellt förbud mot överföring av uppgifter som lagras enligt de svenska datalagringsreglerna torde därför förutsätta att det kan konstateras att inget tredje land erbjuder en adekvat nivå av skydd för sådana uppgifter. Exempelvis skulle en möjlighet att motivera ett generellt förbud eventuellt kunna vara att resonera på så sätt att de nu aktuella uppgifterna är så integritetskänsliga att inget tredje land kan anses erbjuda ett adekvat skydd, helt oberoende av vilka skyddsregler som gäller i landet. Ett sådant resonemang är dock knappast hållbart. Regleringen i dataskyddsdirektivet förut- sätter att bedömningen av skyddsnivån görs individuellt och med beaktande av samtliga omständigheter hänförliga till en viss över- föring eller grupp av överföringar. En ståndpunkt som innebär att vissa uppgifter – oavsett omständigheterna – aldrig kan överföras till tredje land kan inte förenas med det synsättet. Vidare är medlemsstaterna skyldiga att följa kommissionens beslut som innebär att vissa tredje länder ska anses erbjuda en adekvat skyddsnivå vid tillämpningen av artikel 25 i dataskyddsdirektivet. Som framhölls i analysen skulle ett förbud mot överföring av den typ som diskuteras visserligen inte innebära något generellt åsidosättande av kommissionens beslut. Vad det handlar om är i stället att ta ställning till om det finns utrymme för att i nationell Krav på lagring inom EU? rätt, när det gäller en viss typ av noggrant avgränsad lagring av person- uppgifter, inskränka möjligheterna till överföring med hänsyn till att säkerhetskraven måste ställas så högt att en lagring i tredje land inte kan godtas trots att landet generellt anses erbjuda en adekvat skyddsnivå. Som nämnts är den bedömning av skyddsnivån som ska göras enligt dataskyddsdirektivet i grunden individuell, och ett tredje land kan mycket väl anses ha en adekvat nivå av skydd när det gäller en viss typ av uppgifter medan bedömningen kan bli den motsatta när det gäller en annan typ av uppgifter. är kom- missionens beslut utformade på ett sätt som inte lämnar något egent- ligt utrymme för individuella bedömningar när det gäller skyddsnivån i de tredje länder som omfattas av besluten. Besluten innehåller t.ex. inte några bestämmelser som gör det möjligt att undanta någon viss typ av uppgifter eller register. Därför talar det mesta för att kom- missionens beslut i fråga om skyddsnivå ska gälla för alla former av överföringar, oberoende av vilka uppgifter det handlar om eller för vilka syften uppgifterna behandlas. Som framgår ovan innehåller besluten dessutom detaljerade bestämmelser om vilka förutsättningar som ska vara för handen för att medlemsstaterna ändå ska få hindra överföring till ett tredje land som omfattas av ett beslut. Dessa bestämmelser ger inte stöd för att generellt förbjuda överföring av någon viss typ av uppgifter. Det förutsätts också i besluten att en åtgärd som innebär att överföring hindras är tillfällig och följer ett särskilt förfarande med bl.a. underrättelse till kommissionen. Möjligen skulle datalagringsdomen kunna tolkas så att den nu behandlade regleringen inte längre gäller för sådana uppgifter som skulle lagras enligt det upphävda direktivet. En sådan tolkning skulle i så fall kunna baseras på att skulle ha menat att adekvat skydd enligt dataskyddsdirektivet inte är en tillräckligt hög skyddsnivå för datalagrade uppgifter (se domen p. Enligt vår mening förefaller det emellertid mindre sannolikt att avsikt har varit att ändra förutsättningarna för tillämpningen av kommissionens beslut om adekvat skyddsnivå. Om denna tolkning vore riktig, borde dessutom kommissionen rimligtvis ha tagit initiativ till att se över sina beslut i syfte att möjliggöra för medlemsstaterna att förbjuda lagring utanför EU. Några sådana initiativ har såvitt vi har erfarit inte tagits. Enligt vår mening framstår det därför som mest förnuftigt att inte på nationell nivå införa ett generellt förbud som står i strid med kommissionens beslut. Ett förbud mot lagring Krav på lagring inom EU? utanför EU skulle dessutom strida mot åtaganden enligt dataskyddskonventionen. Det kan i sammanhanget påpekas att leverantörernas tystnads- plikt och deras skyldighet att se till att beslut om inhämtning av uppgifter kan verkställas inte påverkas av var uppgifterna lagras. Även om uppgifterna skulle lagras i tredje land har leverantörerna således skyldighet att t.ex. se till att verkställigheten sker på ett sådant sätt att den inte röjs. En av de brister i datalagringsdirektivet som pekade på i sin dom var att direktivet inte angav några objektiva kriterier för att avgränsa de nationella myndigheternas tillgång till och använd- ning av de lagrade uppgifterna. Domstolen ansåg därför att direktivet inte säkerställde att uppgifterna bara kunde användas för bekämp- ning av brott som kan anses vara av tillräckligt allvarligt slag för att motivera det aktuella ingreppet. Inte heller reglerades i direktivet vilka formella och materiella villkor som skulle gälla och vilka krav som skulle ställas på förfarandet för tillgång till uppgifterna. Dom- stolen noterade också att tillgången till uppgifter inte var underkastad någon förhandskontroll av en domstol eller oberoende myndighet som har till uppgift är att se till att tillgången begränsas till vad som är strikt nödvändigt. Abonnemangsuppgifter som lagras med stöd av de svenska data- lagringsreglerna får lämnas ut till de brottsbekämpande myndigheter- na enligt bestämmelsen i 6 kap. 22 § första stycket 2 LEK. Bestäm- melsen ställer inte några krav på att den brottslighet som uppgifterna lämnas ut för ska vara av någon viss svårhetsgrad. Vidare får upp- gifter hämtas in efter beslut av den brottsbekämpande myndigheten och således utan föregående kontroll av en oberoende instans. I analysen gjordes bedömningen att en nationell lagstiftning som tillåter att den aktuella typen av uppgifter – uppgifter om vem som har en viss adress eller ett visst telefonnummer – kontrolleras och lämnas ut till brottsbekämpande myndigheter för att bekämpa även annan brottslighet än sådan som objektivt sett kan betecknas som allvarlig inte i sig kan anses stå i strid med den unionsrättsliga proportionalitetsprincipen. Det framhölls också att det av EU-dom- stolens dom inte kan utläsas att rättighetsstadgan och unionsrättens allmänna principer innebär att det är nödvändigt att inrätta en ord- ning med förhandsprövning av varje slag av åtkomst till uppgifter. När det gäller inhämtning av abonnemangsuppgifter ansågs det till- räckligt med en oberoende kontroll och tillsyn i efterhand. Det framhölls dock att det inte är möjligt att vara helt säker på att den nuvarande utformningen av tillsynsansvaret och myndigheternas rutiner för dokumentation och loggning av beslut om inhämtning av abonnemangsuppgifter fullt ut tillgodoser kraven på en effektiv kontroll, och att svensk rätt under alla omständigheter inte bör balan- sera på gränser för vad som är tillåtet enligt unionsrätten och Europa- konventionen (Ds 2014:23 s. 69 ff.). Enligt våra direktiv ska vi, med utgångspunkt i den utförda analysen, föreslå de förändringar som bedöms lämpliga för att stärka skyddet för den personliga integriteten i förhållande till den svenska datalagringsregleringen. Mot bakgrund av vad som anfördes i analysen är en av de frågor som utredningen har att överväga således om det finns behov av åtgärder som förstärker kontrollen över de brotts- bekämpande myndigheternas tillämpning av reglerna om inhämtning av abonnemangsuppgifter. 7.2Vilket integritetsintrång innebär utlämnandet av abonnemangsuppgifter? Vid bedömningen av vilket kontrollsystem som bör krävas när det gäller de brottsbekämpande myndigheternas tillgång till en viss typ av uppgift har det stor betydelse hur integritetskänslig uppgiften typiskt sett är och hur den används i den brottsbekämpande verk- samheten. Det integritetsintrång som en viss åtgärd som vidtas i brotts- bekämpande verksamhet leder till är alltid beroende av omständig- heterna i det enskilda fallet. Däremot har det ansetts möjligt att jämföra olika åtgärder utifrån det integritetsintrång som de typiskt sett kan leda till. Det handlar då om att värdera de möjligheter till integritetsintrång som lagstiftningen om de olika åtgärderna erbjuder. När det gäller de hemliga tvångsmedlen brukar hemlig övervak- ning av elektronisk kommunikation anses medföra ett typiskt sett mindre integritetsintrång än hemlig avlyssning av elektronisk kom- munikation eftersom det förstnämnda tvångsmedlet inte ger någon information om innehållet i kommunikationen (se t.ex. prop. 2002/03:74 s. 23 f). Hemlig kameraövervakning och hemlig avlyss- ning av elektronisk kommunikation har – trots att metoderna är olika varandra och därmed svåra att jämföra – ansetts kunna leda till integritetsintrång på typiskt sett likvärdiga nivåer (se t.ex. prop. 1995/96:85 s. 21 f.). Hemlig rumsavlyssning har pekats ut som det hemliga tvångsmedel som typiskt sett medför det största intrånget (se t.ex. prop. 2013/14:237 s. 70). Med uppgifter om abonnemang avses t.ex. uppgifter om abon- nentens nummer, namn, titel och adress. Även s.k. IMSI-nummer har ansetts falla in under kategorin uppgift om abonnemang. Det är självfallet så att de brottsbekämpande myndigheterna liksom andra inhämtar uppgifter om abonnemang genom att utnyttja öppna källor, t.ex. telefonkatalog och internet. För uppgifter som inte på det viset är öppna genom avtalet mellan leverantören och kunden, t.ex. hemliga telefonnummer och ip-adresser, utnyttjas i stället bestämmelserna i lagen om elektronisk kommunikation. De olika typerna av abonnemangsuppgifter har det gemensamt att de – isolerade från andra uppgifter – inte kan användas för att kartlägga enskilda individer. För att abonnemangsuppgifter ska kunna användas på det sättet krävs att de kombineras med annan infor- mation. Till exempel kan abonnemangsuppgifter begäras ut för att få reda på vem som tilldelats en viss dynamisk ip-adress . Utan någon annan information, t.ex. i fråga om hur ip-adressen har använts , säger uppgiften ingenting om den aktuella abonnentens kommunikation. Om myndigheterna däremot känner till att en adress har använts för någon viss kom- munikation, t.ex. för att skicka ett hotfullt meddelande, kan upp- giften om vem som abonnerade på adressen när kommunikationen ägde rum givetvis ha stor betydelse. På motsvarande sätt kan en upp- gift om vilket telefonnummer en viss person använder kombineras med information om hur numret har använts. Uppgifterna kan då användas för att t.ex. kartlägga en misstänkts kontaktnät. En uppgift om att en misstänkt person abonnerar på ett visst telefonnummer kan också vara nödvändig för att ett beslut om t.ex. hemlig avlyss- ning eller övervakning av elektronisk kommunikation ska kunna meddelas. Utan tillgång till annan information kan uppgiften om vilket telefonnummer personen använder däremot inte användas för kartläggning. Utlämnandet av abonnemangsuppgifter innebär ett visst inte- gritetsintrång eftersom det innebär att abonnentens identitet röjs. Nivån av integritetsintrång kan också variera något beroende på vilken uppgift som lämnas ut. Vid användning av internet lämnar använ- daren ofta fler avtryck efter sig än vid t.ex. användning av telefoni. En uppgift om vem som har använt en viss ip-adress kan därför typiskt sett anses vara något mer känslig än motsvarande uppgift i fråga om ett telefonnummer. När de brottsbekämpande myndig- heterna begär ut en uppgift om vem som använt en viss ip-adress vid ett visst tillfälle torde dock syftet ofta vara att kontrollera vem som t.ex. har skrivit ett specifikt meddelande eller liknande, snarare än att i allmänhet kartlägga den aktuella personens aktiviteter på internet. Enligt vår uppfattning kan det sammantaget inte råda någon tvekan om att abonnemangsuppgifter typiskt sett är klart mindre integri- tetskänsliga än många andra kategorier av uppgifter, t.ex. trafik- och lokaliseringsuppgifter. Vid den bedömningen beaktar utredningen särskilt att enstaka abonnemangsuppgifter i sig inte gör det möjligt att kartlägga abonnentens kommunikationer, utan snarare är att betrakta som ett slags komplement till andra uppgifter. Vi bedömer därför att uppgifter om vem som innehar eller använder ett visst nummer – i jämförelse med många andra uppgifter – inte är särskilt integritetskänsliga. Abonnemangsuppgifter får också lämnas ut till flera olika myndigheter för andra ändamål än brottsbekämpande verksamhet. Till exempel får uppgifter under vissa förutsättningar lämnas ut till en myndighet som behöver uppgiften för delgivning (6 kap. 22 § första stycket 1 LEK), till om myndigheten behöver uppgiften i exekutiv verksamhet (första stycket 4) och till om verket finner att uppgiften har betydelse för ett ärende om kontroll av skatt eller avgift eller rätt folkbokföringsort (första stycket 5). Detta förhållande stödjer slut- satsen att abonnemangsuppgifter inte anses vara särskilt integritets- känsliga. Det kan i sammanhanget också noteras att uppgifter som går utöver vad som kan anses som identitetsuppgifter, t.ex. vilka andra ip-adresser som användaren har kommunicerat med, vilka hemsidor som en viss ip-adress har besökt och liknande, inte omfattas av den aktuella bestämmelsen i LEK. 7.3Rutiner för dokumentation och loggning Den öppna polisen har uppgett att har tagit fram nationella riktlinjer för hanteringen av uppgifter om elektronisk kommunikation.1 I tiden före den nya polisorganisa- tionen hanterades beslut och dokumentation avseende inhämtning av uppgifter enligt LEK av respektive polismyndighet enligt lokal rutin. gäller enligt myndighetens arbetsordning att möjligheterna till delegation har delats in i tre olika kompetens- nivåer utifrån den beslutskompetens som ärendena kräver. Beslut om inhämtning av uppgifter enligt 6 kap. 22 § första stycket 2 LEK har delats in i kompetensnivå 2, vilket innebär ”förmåga att hantera komplicerade och svårbedömda ärenden; Beslutsfattaren ska ha erfaren- het inom beslutsområdet och dessutom ha fördjupade kunskaper på området genom utbildning eller på annat sätt.” Detta är den miniminivå som gäller nationellt. Vid delegation ska även lämplighet vägas in. Den Nationella operativa avdelningen () har ett processansvar och arbetar för att skapa en mer enhetlig hantering. Till exempel är avsikten att göra ett beställ- ningsformulär som blir nationellt och generiskt. Däremot finns inga enhetliga rutiner om hur dessa förfrågningar dokumenteras eller loggas, utan hur det hanteras följer av gängse regler om diarieföring.