sou · H3B331 · 2015-03-30 00:00:00 — Som framgår ovan omfattas bl.a. uppgifter om abonnemang och andra uppgifter som angår ett särskilt elektroniskt meddelande som huvudregel av tystnadsplikt hos den som tillhandahåller ett elektro- niskt kommunikationsnät eller en elektronisk kommunikations- tjänst. De uppgifter som lagras enligt 6 kap. 16 a § LEK får, enligt 6 kap. 16 c §, lämnas ut till brottsbekämpande myndigheter endast enligt 22 § första stycket 2 i samma kapitel (abonnemangsupp- gifter), 27 kap. 19 § eller inhämtningslagen (för en närmare redogörelse för dessa regler, se avsnitt 3.5.3). De lag- ringsskyldiga leverantörerna ska enligt 6 kap. 16 f § LEK bedriva sin verksamhet så att uppgifterna kan lämnas ut utan dröjsmål och så att det inte röjs att uppgifterna lämnats ut. Uppgifterna ska också göras tillgängliga på ett sådant sätt att informationen enkelt kan tas om hand av de brottsbekämpande myndigheterna. De kostnader som uppstår vid utlämnande av lagrade trafikupp- gifter ska leverantören få ersättning för av den myndighet som begärt ut uppgifterna (6 kap. 16 e § LEK). Enligt 46 § förordningen om elektronisk kommunikation får PTS, efter att ha hört Polismyndig- heten, Säkerhetspolisen och , meddela föreskrifter om ersättningen. PTS har meddelat sådana föreskrifter (PTSFS 2013:5). Övriga kostnader för lagring, säkerhet och anpassning av tekniska system m.m. ska leverantörerna själva stå för. 4.2.4Säkerheten för lagrade uppgifter Vid genomförandet av direktivet i konstaterades att det i lagen om elektronisk kommunikation redan fanns regler om såväl driftsäkerhet (5 kap. 6 a §) som integritetsskydd (6 kap. 3 §). Sist nämnda bestämmelse, som genomför artikel 4.1 i direktiv /58/EG, reglerar leverantörernas skyldighet att vidta lämpliga åtgärder för att säkerställa att behandlade uppgifter skyddas. Åtgär- derna ska vara ägnade att säkerställa en säkerhetsnivå som, med beaktande av tillgänglig teknik och kostnaderna för åtgärderna, är anpassad till risken för integritetsintrång. Detta grundskydd ansågs dock inte tillräckligt för uppgifter som skulle lagras enligt data- lagringsdirektivet (prop. 2010/11:46 s. 54). Det angavs, mot bak- grund av det nya syfte för vilket uppgifter skulle lagras samt den mängd uppgifter det rörde sig om, att kravet på säkerheten borde höjas samt att säkerhetsnivån borde preciseras. Resultatet blev att det infördes en ny bestämmelse i 6 kap. 3 a § LEK av vilken det framgår att den som är lagringsskyldig enligt 6 kap. 16 a § samma lag ska vidta de särskilda tekniska och organisatoriska åtgärder som behövs för att skydda de lagrade uppgifterna vid behandling. I för- arbetena angavs att det därav följer att bestämmelsen, till skillnad från vad som gäller enligt 6 kap. 3 § LEK, inte lämnar något utrymme att bestämma säkerhetsnivån genom en avvägning mellan teknik, kostnader och risken för integritetsintrång (prop. 2010/11:46 s. 75). I 6 kap. 3 a § andra stycket LEK bemyndigas regeringen eller den myndighet regeringen bestämmer att komplettera lagbestämmelsen med ytterligare föreskrifter om säkerheten. Detta har regeringen gjort i 37 § förordningen om elektronisk kommunikation. Av be- stämmelsen, som har godkänts av , framgår att den som är lagringsskyldig ska vidta åtgärder för att säkerställa att de lagrade uppgifterna är av samma kvalitet och föremål för samma säkerhet och skydd som vid den behandling som skett före lagringen. Vidare framgår att åtgärder ska vidtas för att skydda uppgifterna mot oav- siktlig eller otillåten förstöring och oavsiktlig förlust eller ändring samt för att förhindra otillåten lagring, behandling av eller tillgång till och otillåtet avslöjande av uppgifterna. Slutligen får uppgifterna göras tillgängliga endast för personal med särskild behörighet. PTS får efter att ha hört , Säkerhetspolisen och Data- inspektionen meddela närmare föreskrifter om de åtgärder som ska vidtas. PTS har med stöd av 37 § i förordningen meddelat sådana före- skrifter (PTSFS 2012:4). Dessa går i korthet ut på att den lagrings- skyldige ska bedriva ett kontinuerligt och systematiskt säkerhets- arbete med beaktande av de särskilda risker lagringsskyldigheten medför (3 §). Rutiner ska finnas som säkerställer att bara personal med särskild behörighet har tillgång till lagrade uppgifter och de system som hanterar uppgifterna (4 §). Den utrustning som används för att lagra uppgifter ska också placeras i ett särskilt skyddat ut- rymme för att förhindra förlust av eller otillåten tillgång till upp- gifterna (5 §). Vidare ska all behandling av lagrade uppgifter loggas i krypterad form och på ett sådant sätt att det går att följa upp vem som har haft tillgång till uppgifterna och (6 §). Lagrade uppgifter ska också säkerhetskopieras (7 §). PTS fick därutöver i uppdrag att utöva tillsyn över leverantörer- nas lagring av trafikuppgifter. Det ansågs att myndighetens befint- liga tillsynsbefogenheter var ändamålsenliga och tillräckliga (prop. 2010/11:46 s. 55 f.). Av dessa följer att myndigheten bl.a. har rätt att förelägga en leverantör som bedriver verksamhet som omfattas av LEK att tillhandahålla myndigheten upplysningar och handlingar som behövs för att kontrollera lagens efterlevnad, att meddela före- lägganden och förbud som får förenas med vite och, om ingen rättelse sker, återkalla ett tillstånd att bedriva verksamhet. De tillsynsbeslut som PTS fattar får överklagas hos allmän förvaltningsdomstol. När det gäller behandlingen av personuppgifter utövar även Datainspek- tionen tillsyn. Vad slutligen gäller frågan om hanteringen av lagrade uppgifter vid lagringstidens slut anges i 6 kap. 6 d § LEK att den lagrings- skyldige genast ska utplåna uppgifterna. Om uppgifterna har begärts utlämnade före utgången av lagringstiden men innan uppgifterna har hunnit lämnas ut, följer dock av bestäm- melsen att leverantören ska fortsätta lagra uppgifterna till dess ett utlämnande har skett. Därefter ska leverantören genast utplåna dem. meddelade dom i de förenade målen C-293/12 och C-594/12, Digital Rights m.fl., angå- ende giltigheten av datalagringsdirektivet med anledning av begäran av förhandsavgöranden från nationella domstolar i respektive . förklarade i domen datalagringsdirek- tivet ogiltigt. konstaterade att de uppgifter som ska lagras enligt direktivet sammantaget gör det möjligt att dra mycket precisa slut- satser om enskildas privatliv, bl.a. om deras vanor i vardagslivet, om dagliga förflyttningar och sociala relationer (punkt 27). Domstolen slog fast att redan lagringsskyldigheten i fråga om de aktuella upp- gifterna avseende personers privatliv och kommunikationer utgör ett ingrepp i de rättigheter som skyddas enligt artikel 7 i rättighets- stadgan (punkt 34). Ett ytterligare ingrepp i denna rättighet görs när nationella myndigheter medges tillgång till lagrade uppgifter (punkt 35). Det kunde alltså konstateras att det här rörde sig om två olika former av ingrepp i rätten till respekt för privatlivet. Efter- som direktivet föreskrev en behandling av personuppgifter inne- fattade regleringen också ett ingrepp i den i artikel 8 i rättighets- stadgan skyddade rättigheten (punkt 36). Domstolen slog fast att direktivet innebar ett långtgående och synnerligen allvarligt ingrepp i rätten till privatliv och skyddet av personuppgifter. Domstolen noterade i samband med det bl.a. att lagringen och den senare användningen kan ge berörda personer en känsla av att deras privatliv står under ständig övervakning (punkt 37). Domstolen konstaterade trots det att skyldigheten för leverantörer av allmänt tillgängliga kommunikationstjänster eller allmänna kom- munikationsnät att lagra uppgifter och de nationella myndigheternas tillgång till dessa uppgifter inte kränkte det väsentliga innehållet i de skyddade rättigheterna och att datalagringsdirektivets materiella syfte – tillgängliggörandet av uppgifter för bekämpning av allvarlig brottslighet – motsvarade ett mål av allmänt samhällsintresse som erkänns av unionen (punkterna 39–42). Var och en har enligt stadgan rätt inte bara till frihet utan även till personlig säkerhet. Kravet att en inskränkning av en rättighet faktiskt måste svara mot ett allmänt samhällsintresse var därmed enligt uppfyllt (punkt 44). gjorde därefter en noggrann prövning av om direk- tivet levde upp till den unionsrättsliga proportionalitetsprincipen. Domstolen konstaterade inledningsvis att lagringen är ägnad att nå det eftersträvade målet eftersom de nationella myndigheternas till- gång till lagrade trafikuppgifter innebär att myndigheterna ges ytter- ligare ett värdfullt verktyg för att klara upp brott (punkt 49). För att lagringen skulle kunna anses vara en proportionerlig åtgärd för bekämpningen av brott noterade domstolen att en sådan inskränk- ning av de grundläggande friheterna enligt fast praxis måste begränsas till vad som är strikt nödvändigt (punkt 52). Det innebar enligt domstolen att unionslagstiftningen måste föreskriva tydliga och precisa bestämmelser som reglerar räckvidden och tillämpningen av den aktuella åtgärden och som uppfyller vissa minimikrav för att möjliggöra ett effektivt skydd mot riskerna för missbruk och otillåten tillgång och användning av enskildas personuppgifter (punkt 54). De förhållanden som domstolen särskilt uppmärksammade vid sin proportionalitetsbedömning var för det första att det i direktivet inte fanns några generella begränsningar i lagringsskyldigheten då det i fråga om de uppgifter som skulle lagras inte gjordes någon åt- skillnad eller några undantag som tog sin utgångspunkt i syftet att bekämpa brott (punkterna 57–59). Lagringskravet enligt direktivet omfattade nästintill all kommunikation – alla personer, alla kom- munikationsmedel och alla trafikuppgifter – mellan enskilda i hela . Domstolen konstaterade för det andra att det i direktivet inte angavs några objektiva kriterier för att avgränsa de nationella myndigheternas tillgång till och användning av de lagrade upp- gifterna för bekämpning av brott som kunde anses vara av till- räckligt allvarligt slag för att motivera det aktuella ingreppet. Det lämnades i stället till medlemsstaterna att själva bestämma vad som utgjorde allvarlig brottslighet i detta sammanhang (punkt 60). Inte heller reglerades i direktivet vilka formella och materiella villkor som skulle gälla och vilka krav som skulle ställas på förfarandet för tillgång till uppgifterna. Domstolen noterade också att tillgången till uppgifter inte var underkastad någon förhandskontroll av en domstol eller oberoende myndighet som har till uppgift är att se till att tillgången begränsas till vad som är strikt nödvändigt (punk- terna 61 och 62). Domstolen pekade vidare på att direktivet inte innehöll några bestämmelser som innebar att en åtskillnad skulle göras i fråga om lagringstiden för olika slags trafikuppgifter utifrån den nytta dessa har för att tillgodose syftet med lagringen och att det inte heller föreskrevs att lagringstiden måste bestämmas utifrån objektiva kriterier för att säkerställa att den inte går utöver vad som är strikt nödvändigt (punkterna 63 och 64). Slutligen uppmärk- sammade domstolen att det i direktivet saknades specifika regler om skydd av och säkerhet för lagrade personuppgifter som anpas- sade kraven till såväl mängden och arten av uppgifter som riskerna för otillåten tillgång till dessa. Domstolen menade i detta samman- hang att det inte fanns några garantier för att leverantörerna inte tar ekonomiska hänsyn när de bestämmer säkerhetsnivån eller för att uppgifterna förstörs när lagringstiden har gått ut. Domstolen ansåg också att kravet på en oberoende tillsyn inte kan garanteras om uppgifterna lagras utanför EU (punkterna 66–68). Domstolen fann vid en samlad bedömning av nämnda förhållan- den att EU:s lagstiftande församlingar överskridit sina befogen- heter då direktivet antogs eftersom regleringen inte ansågs leva upp till proportionalitetsprincipen mot bakgrund av artiklarna 7, 8 och 52.1 i rättighetsstadgan (punkt 69). dom i det aktuella målet har tillbakaverkande (retroaktiv) effekt. Det innebär att domen får till följd att rättsläget numera är detsamma som om datalagringsdirektivet aldrig hade funnits. Detta gäller om inte domstolen i det enskilda fallet beslutar att ogiltigförklaringen inte ska få omedelbar och tillbakaverkande effekt. Innebörden av att domen får tillbakaverkande effekt är inte att nationella genomförandeåtgärder också blir ogiltiga. Däremot bortfaller med retroaktiv verkan medlemsstaternas unions- rättsliga skyldighet att lojalt genomföra unionsrättsakten. gav chefen för en utredare1 i uppdrag att biträda departementet med att, i ljuset av EU-dom- stolens dom, bl.a. grundligt analysera reglerna om lagring av upp- gifter enligt 6 kap. 16 a–f §§ LEK, samt övriga bestämmelser om till- gång till och behandling av sådana uppgifter, och deras förhållande till unionsrätten. Analysen redovisades (Ds 2014:23). Analysen är upplagd på samma sätt som dom vilket innebär att svensk rätt analyserades i förhållande till de om- ständigheter som domstolen pekade särskilt på i domen. I analysen betonades att domstolens slutsats – att direktivet står i strid med rättigheter som garanteras av stadgan – bygger på en samlad bedöm- ning av alla de behandlade frågorna. Domen ansågs alltså inte kunna tolkas så att domstolen presenterade en lista som i alla delar måste vara uppfylld för att regleringen inte ska anses oproportionerlig, utan det är först vid den sammantagna bedömningen som svensk rätts förenlighet med fullt ut kan avgöras. På samma sätt som avslutades analysen därför med en samlad bedöm- ning av om den svenska regleringen är proportionerlig och förenlig med Europarätten och . Det konstaterades därvid att det kan finnas skäl att överväga några närmare angivna frågor och vidta några åtgärder som skulle verka för att ytterligare stärka rätts- säkerheten och integritetsskyddet i den svenska regleringen. Den samlade bedömningen var emellertid att det svenska regelverket av- seende lagring av uppgifter samt övriga bestämmelser om tillgång till och behandling av sådana uppgifter, även utan sådana åtgärder, inte strider mot unionsrätten eller europarätten. Slutsatserna i analysen redovisas närmare i det följande. 1 F.d. justitierådet och ordföranden i . konstaterade i sin dom (punkterna 56–59) att om- fattningen av den lagringsskyldighet som följer av artikel 3 och 5 i direktivet innebär att trafikuppgifter lagras för alla personer och alla elektroniska kommunikationssätt, utan att någon urskillning görs av de uppgifter som kan tänkas vara relevanta för att uppnå målet att bekämpa allvarlig brottslighet. Man kan därmed säga att den inskränkning i de grundläggande rättigheter som följer av artik- larna 7 och 8, som lagringen av domstolen konstaterades innebära, omfattar hela befolkning. Domstolen angav att lagrings- skyldigheten som följer av direktivet således omfattade även personer som inte misstänks ha någon koppling till allvarlig brottslighet och utan någon möjlighet till undantag ens för de yrkeskategorier vars kommunikation enligt nationella regler omfattas av tystnadsplikt. Inte heller ställdes det i direktivet upp några tidsmässiga eller geo- grafiska begränsningar och/eller begränsningar till en viss grupp av människor som gjorde att lagringsskyldigheten bara omfattade sådana uppgifter som av något skäl kan antas ha relevans för att förhindra, utreda eller åtala allvarliga brott. Som framgår ovan innehåller direktiv /58/EG regler om i vilka situationer och för vilka syften trafikuppgifter får behandlas. följde av artikel 11 i datalagringsdirektivet att artikel 15.1 i direktiv /58/EG inte skulle tillämpas på de uppgifter som speci- fikt måste lagras enligt datalagringsdirektivets bestämmelser. I det lagstiftningsärende som behandlade genomförandet av datalagrings- direktivet gjordes en sådan prövning i förhållande till artikel 15.1 följaktligen endast beträffande de uppgiftskategorier som skulle lagras utan att det fanns ett krav i datalagringsdirektivet. I analysen framhölls att när datalagringsdirektivet förklarats ogiltigt måste det prövas om lagringen av alla de aktuella trafikupp- gifterna kan anses vara en lämplig och proportionerlig åtgärd för att skydda allmän säkerhet och/eller för att förebygga, undersöka, av- slöja och lagföra brott. Det kunde därvid konstateras att uppgifter om elektronisk kommunikation är av stort värde för att kunna upp- täcka och utreda brott, inte minst vad gäller grov och organiserad brottslighet. Det framhölls att för viss typ av internetrelaterad brottslighet, som exempelvis barnpornografibrott, trafikuppgifter också är av avgörande betydelse för att kunna identifiera en miss- tänkt gärningsman. I denna del inhämtades uppgifter från polisen om behovet av de uppgifter som omfattas av lagringskravet enligt de svenska reglerna. Det framkom då att ingen lagrad information som kan hämtas in kan anses som oviktig. Som extremt viktiga angavs uppgifter om lokaliseringen av var en telefon eller internetsession kopplat upp och riktningen till basstationen vara. Dessa uppgifter används för att positionera offer och misstänkta, kontrollera alibin och för att hitta vittnen eller misstänkta i ett område. Några få uppgifter bedömdes som mindre viktiga. Dessa var, såvitt avser telefoni, upp- gifter om s.k. IMSI-nummer (del av 40 § punkten 1 förordningen om elektronisk kommunikation) eftersom denna information går att få fram genom telefonnummer, uppgifter om den första aktiveringen av en förbetald anonym tjänst (del av 40 § punkten 3 förordningen om elektronisk kommunikation) och upp- gifter som identifierar den utrustning där kommunikationen slut- ligt avskiljs från den lagringsskyldige till den enskilda abonnenten (41 § punkten 3 förordningen om elektronisk kommunikation). När det gäller internetåtkomst och tillhandahållande av internet- åtkomst ansågs uppgifter om typ av kapacitet för överföring och uppgifter som identifierar den utrustning där kommunikationen slut- ligt avskiljs från den lagringsskyldige till den enskilde abonnenten (43 § punkterna 4 och 5 förordningen om elektronisk kommunika- tion) inte som viktiga utan som bra att ha i vissa fall. Samtliga övriga uppgifter bedömdes som viktiga. Sammanfattningsvis ansågs denna redovisning stärka slutsatsen att de lagrade uppgifterna är ägnade att fylla en viktig funktion i de brottsbekämpande myndigheternas verksamhet med att skydda allmän säkerhet och förebygga, undersöka, avslöja och lagföra brott. Lagringen av uppgifterna för brottsbekämpande ändamål bedömdes därför som en lämplig åtgärd för att nå det eftersträvade målet. I proportionalitetsprövningen beaktades de aspekter som EU- domstolen särskilt lyfte fram i sin dom. Domstolens resonemang i denna del gick sammanfattningsvis ut på att det kan ifrågasättas om en lagring av trafikuppgifter som omfattar samtliga personer och samtliga elektroniska kommunikationsslag är en proportionerlig åtgärd, trots att de uppgifter som lagras i de allra flesta fallen inte har någon som helst koppling till brottslig verksamhet av allvarligt slag eller kan förväntas komma att användas vid utredande och lagföring av brott. I analysen konstaterades att det är svårt att se någon annan rim- lig väg för att på förhand begränsa lagringens omfattning till att omfatta endast uppgifter med koppling till brottslig verksamhet än att låta lagringsskyldigheten uppkomma först sedan någon form av misstanke riktats mot en viss person. En sådan begränsning bedöm- des dock inte kunna göras utan att en mängd uppgifter som är av stor vikt för brottsbekämpningen försvinner. Inga historiska trafik- uppgifter från tiden före ett brott begåtts och inga av de uppgifter som inhämtas i polisens underrättelseverksamhet för att förebygga, förhindra eller upptäcka allvarlig brottslighet skulle då med säkerhet finnas att tillgå. Datalagring som metod bedömdes kort sagt förutsätta att alla uppgifter lagras, bl.a. eftersom det inte är möjligt att i förväg veta eller misstänka vilka uppgifter som kan vara viktiga. ansågs i denna del sätta fingret på själva grund- tanken med lagringen av trafikuppgifter enligt datalagringsdirek- tivet, nämligen att säkerställa att uppgifterna finns tillgängliga för det fall de skulle behövas för att bekämpa allvarliga brott. Domen bedömdes dock inte kunna tolkas så att denna grundtanke, sedd för sig, hade underkänts av domstolen, utan det var den omfattande lagringen kombinerat med i första hand bristen på regler som begrän- sar tillgången till uppgifterna som gjorde lagringen oproportioner- lig. Det konstaterades att de svenska tillgångsreglerna därför var av avgörande betydelse även för bedömningen av frågan om lagringens omfattning kan anses proportionerlig. Även skyddet för den mer- part av alla uppgifter som lagras men aldrig begärs utlämnade måste också konstateras vara tillräckligt högt. 4.4.2.2Särskilt om uppgifter som omfattas av yrkesmässig tystnadsplikt Domstolen lyfte i sin dom också fram att det inte fanns någon begränsning i direktivet som möjliggjorde att kommunikation med personer som enligt nationell lag omfattas av yrkesmässig tystnads- plikt undantogs från lagringskravet. I analysen konstaterades att svenska regler om undantag från vittnesplikt för exempelvis advokater och läkare omfattar uppgifter som anförtrotts dem i deras yrkesut- övning. Vidare noterades att regeringen föreslagit att reglerna om avlyssningsförbud vid hemlig avlyssning av elektronisk kom- munikation i 27 kap. 22 § ska utökas från att avse endast kommunikation med försvarare till att omfatta alla de yrkes- kategorier som undantas från vittnesplikt enligt 36 kap. 5 § andra– sjätte styckena (prop. 2013/14:237 s. 131 f.). Det konstaterades att det aldrig har varit aktuellt med något motsvarande förbud för uppgifter som inhämtas genom hemlig över- vakning av elektronisk kommunikation. Med det synsätt som således kommer till uttryck i svensk lagstiftning – att det är uppgiftens innehåll som avgör om den omfattas av yrkesmässig tystnadsplikt – bedömdes det långsökt med en modell där exempelvis vissa telefon- nummer på förhand skulle undantas från ett lagringskrav som i övrigt gäller generellt. Det ansågs i stället lämpligast att säkerställa en proportionell avvägning mellan brottsbekämpnings- och inte- gritetsintresset genom en balanserad reglering om brottsbekämpan- de myndigheters tillgång till lagrade uppgifter. Det framhölls också att tillåter att medlemsstaterna löser frågor på olika sätt och enligt egna traditioner. Sammanfattningsvis gjordes bedömningen att det ur ett EU- rättsligt perspektiv inte finns något som tyder på en konflikt mellan reglerna om yrkesmässig tystnadsplikt och ett generellt lagringskrav avseende trafikuppgifter. 4.4.3Tillgången till lagrade uppgifter I artikel 4 i datalagringsdirektivet föreskrevs att medlemsstaterna ska vidta åtgärder för att säkerställa att uppgifter som lagras i enlig- het med direktivet görs tillgängliga endast för behöriga nationella myndigheter i närmare angivna fall och i enlighet med nationell lag- stiftning. De förfaranden som skulle följas och de villkor som skulle uppfyllas för att få tillgång skulle fastställas av varje medlemsstat för sig i enlighet med nödvändighets- och proportionalitetskraven samt i enlighet med och folkrätten, särskilt med beak- tande av . Av artikel 1.1 framgick att syftet med lagringen var att säkerställa att uppgifterna finns tillgängliga för ut- redning, avslöjande och åtal av allvarliga brott såsom de definieras av varje medlemsstat i deras nationella i lagstiftning. Tillgången var därigenom begränsad till brottsbekämpande myndigheter och brotts- bekämpande syften (se prop. 2010/11:46 s. 47 f.).