sou · H3B331 · 2015-03-30 00:00:00 — därför att även de danska reglerna utgör ett ingrepp i rätten till privatliv och rätten till skydd för personuppgifter enligt artiklarna 7 och 8 i EU-stadgan. Vidare gjorde ministeriet bedömningen att lagringsplikten har ett legitimt ändamål och att majoriteten av regler- na är ägnade att uppnå detta ändamål. Därefter gjordes en bedömning av om de danska reglerna kan anses tillräckligt avgränsade när det gäller lagringsskyldighetens om- fattning, reglerna om tillgång till uppgifterna samt lagringstiden. När det gäller lagringspliktens omfattning konstaterades att de danska reglerna i vissa avseenden går längre än vad direktivet krävde, t.ex. kräver dansk rätt att vissa uppgifter om mobiltelefonsamtal lagras vilket inte krävdes enligt direktivet. Det påpekades också att de danska reglerna, på samma sätt som reglerna i direktivet, är generella och utan någon form av begränsning som tar hänsyn till målet att bekämpa brott. Såvitt avser tillgången till lagrade uppgifter framhöll Justitie- ministeriet att de materiella villkor som gäller för att ingrepp i med- delandehemligheten ska få göras innebär att viss misstanke ska före- ligga (misstankekravet), att det ska finns ett behov av uppgifterna (indikationskravet) och att den brottslighet som utreds ska vara av viss svårhetsgrad (kriminalitetskravet). Det påpekades att krimi- nalitetskravet som huvudregel kräver att brottet har fängelse i straffskalan, men att även en rad andra brott med lägre straffskala omfattas av möjligheten till ingrepp. Det framhölls därtill att ett ingrepp också förutsätter att åtgärden bedöms proportioner- lig i det enskilda fallet. Vidare konstaterades att inhämtning av historiska teleuppgifter kräver att förutsättningar för såväl ingrepp i meddelandehemlig- heten som edition föreligger. I rapporten påpekades att dansk rätt i dessa situationer innehåller en rad processuella förutsättningar som t.ex. krav på domstolsbeslut, krav på att det utses en advokat för den som ingreppet gäller samt krav på underrättelse till den enskilde i efterhand. Det påpekades också att det även vid inhämtning av andra uppgifter, där endast reglerna om edition gäller, finns pro- cessuella krav. Till exempel fattas beslut om edition som huvud- regel av rätten på begäran av polisen. Sammanfattningsvis konstaterades i rapporten att dansk rätt innehåller ett antal garantier avseende lagringen av uppgifter och tillgången till dessa. Särskilt vad gäller tillgången ansågs de danska reglerna skilja sig väsentligt från det upphävda direktivet som till stor del lämnade regleringen av dessa frågor till medlemsstaterna. När det sedan gäller lagringstiden hänvisades till de övervägan- den som gjorts när reglerna infördes. Det noterades att den bedöm- ning som då hade gjorts var att en lagringstid inte går utöver vad som är nödvändigt med hänsyn till intresset av att före- bygga, utreda och lagföra brott. Det framhölls också att dansk rätt även på denna punkt skiljer sig från det upphävda direktivet som överlät till medlemsstaterna att själva bestämma en lagringstid mellan och . bedömde mot den bak- grunden att på denna punkt har fastslagit en klar avgräns- ning i lag som är baserad på hänsyn till möjligheterna att bekämpa brott. I rapporten noterades också att riktat anmärk- ningar mot att datalagringsdirektivet, i fråga om säkerheten för de lagrade uppgifterna, inte innehöll tillräckliga garantier mot risken för missbruk och olovlig tillgång till uppgifterna. I den delen fram- hölls att dansk rätt kräver att tjänsteleverantörerna fastställer en säkerhetspolicy vilken som minimum ska säkerställa att det endast är en begränsad personkrets som kan få tillgång till uppgifterna för legitima ändamål och att obehörig lagring, bearbetning, tillgång eller utlämnande av uppgifter inte kan ske. Det påpekades också att leve- rantörerna ska följa persondatalovens bestämmelser om nödvändiga tekniska och organisatoriska säkerhetsåtgärder. Vidare påpekades att dansk rätt innehåller en skyldighet att radera eller anonymisera uppgifterna vid utgången av lagringstiden. Vad avser påpekande om att direktivet inte krävde att uppgifterna lagras inom EU framhölls i rapporten att dansk rätt innebär att personuppgifter får föras över till tredje land endast om det tredje landet säkerställer en adekvat skyddsnivå för uppgifterna, om förutsättningarna i § 27 stycke 3 i persondataloven är uppfyllda, om har gett tillstånd till över- föringen eller om överföringen görs i enlighet med ett avtal som bygger på sådana standardklausuler som godkänts av kommissionen. I rapportens slutsatsavsnitt framhöll att de danska reglerna – på samma generella sätt som direktivet – omfattar alla personer, alla elektroniska kommunikationsmedel och alla trafik- data utan någon form differentiering, begränsning eller undantag som tar hänsyn till målet att bekämpa allvarlig brottslighet. hänsyn till att dom bygger på en samlad bedöm- ning kunde denna omständighet enligt ministeriets uppfattning emel- lertid inte ensamt anses innebära att de danska reglerna står i strid med rättighetsstadgan. Det framhölls att de danska reglerna är klara och precisa och att de innehåller en rad väsentliga garantier som tar sikte på att effektivt skydda de lagrade uppgifterna mot missbruk och olovlig tillgång. Det påpekades också att dansk rätt, till skillnad från direktivet, innehåller flera materiella och processuella bestäm- melser som reglerar tillgången till uppgifterna. Särskilt framhölls att tillgången sker enligt retsplejelovens regler om ingrepp i med- delandehemligheten och/eller edition, vilket medför att flera sådana materiella och processuella bestämmelser blir tillämpliga. Därutöver fastställer dansk rätt en lagringstid med skyldighet för leverantörerna att därefter radera eller anonymisera uppgifterna. På dessa grunder fann vid en samlad bedömning att det inte finns anledning att anta att de danska reglerna om lagring av och tillgång till uppgifter står i strid med rättighetsstadgans be- stämmelser om rätt till privatliv och rätt till skydd för person- uppgifter. I har ett lagstiftningsarbete genomförts vilket har inneburit bl.a. att ett stort antal bestämmelser som reglerar frågor om elektronisk kommunikation har samlats i en ny informations- samhällesbalk. Enligt den proposition som låg till grund för förslaget om balken (RP 221/2013 rd) skulle även det centrala innehållet i den finska datalagringsregleringen föras över i oförändrad form till den nya balken. Propositionen överlämnades emellertid till den finska i tiden före dom och innehåller därför inte några resonemang om finsk rätts förhållande till domen. När lagstiftningsärendet behandlades av den finska kommu- nikationsutskott (KoUB 10/2014 rd) inhämtade utskottet ett ut- låtande från grundlagsutskottet vilket däremot innehåller en analys av dom och dess konsekvenser för den nationella regleringen (GrUU 18/2014 rd s. 4 ff.). konstaterade inledningsvis i utlåtandet att det inte följer av domen att en fråga som berörs av ett ogiltigförklarat direktiv inte kan vara föremål för nationell lagstiftning. Det fram- hölls dock att den nationella lagstiftningen i den aktuella situationen måste bedömas inte bara utifrån de nationella grundlagsbestämmel- serna utan också med hänsyn till den i domen nämnda EU-stadgan om de grundläggande rättigheterna och dess bestämmelser om respekt för privatlivet (artikel 7) och skydd av personuppgifter (artikel 8). Enligt utskottet måste de anmärkningar som gjorde läggas till grund för den konstitutionella bedömningen av de finska reglerna. Därmed måste också den nationella regleringen uppfylla de förutsättningar som nämns i domen, även om domen inte direkt gäller den nationella genomförandelagstiftningen. Det framhölls sam- tidigt att domen inte ger något direkt svar på hur den nationella lagstiftningen ska utformas för att uppfylla kraven på proportio- nalitet när det gäller privatlivet och personuppgifter. Man måste enligt utskottet dock utgå från att åtminstone sådana bestämmelser strider mot proportionalitetskravet som innebär omfattande, ospeci- ficerad och långvarig lagring av uppgifter i kombination med att myndigheter har ospecificerad och obegränsad tillgång till uppgifter- na. Den nationella lagstiftningen måste i vart fall ha betydligt mer exakta bestämmelser om begränsningar i fråga om förvaring och användning än vad som fanns i det ogiltigförklarade direktivet. När det gäller lagringsskyldighetens utformning konstaterade ut- skottet att redan omfattningen av de uppgifter som lagras – samtliga personer, samtliga elektroniska kommunikationsmedel och samtliga trafikuppgifter – är problematisk med hänsyn till proportionaliteten. Utskottet ansåg dock att en reglering som avgränsar lagringsskyldig- heten i fråga om såväl personkrets som innehåll i meddelanden uppenbarligen skulle vara mycket svårgenomförbar såväl innehålls- mässigt som tekniskt. Utskottet menade också att domen inte direkt sätter hinder för en reglering där proportionalitetskraven tillgodoses på andra sätt. Vidare stod det enligt utskottet klart att intresset av att bekämpa allvarlig brottslighet är en grund som talar för bestäm- melserna. Regleringen borde därför bedömas även i det perspektivet. Utskottet konstaterade vidare att innehållet i lagringsskyldig- heten kan anges genom en hänvisning till det ogiltigför- klarade direktivet. De uppgifter som ska lagras måste därför speci- ficeras i lagen. Utskottet påpekade därvid att det i lagförslaget måste preciseras vilka uppgifter som är nödvändiga med hänsyn till det bakomliggande syftet med regleringen, dvs. att undersöka, utreda och åtalspröva allvarliga brott. Detta eftersom det inte ansågs kunna förutsättas att uppgifter som inte är nödvändiga för det syftet ska få lagras. Såvitt avser användningen av de lagrade uppgifterna konstate- rade utskottet att den finska lagstiftningen är klart mer exakt än direktivet. Utskottet beaktade i den delen att uppgifterna får använ- das endast för att undersöka vissa specificerade brott och att endast myndigheter som enligt någon annan lag har rätt att få uppgifterna har tillgång till dem. Den regleringen ansågs uppfylla domens krav på ett objektivt kriterium som gör det möjligt att begränsa antalet personer som är behöriga att få tillgång till och använda de lagrade uppgifterna och endast använda dem i samband med allvarliga brott. Utskottet anförde vidare att det, för att få tillgång till sådana tele- övervakningsuppgifter som avses i tvångsmedelslagen och polislagen, krävs domstolstillstånd och att regleringen därför är problemfri även i den delen. När det gäller lagringstiden konstaterade utskottet att den finska regleringen anger att uppgifterna ska lagras från den dag kommunikationen ägde rum, och att är kortare än den som direktivet tillät. Utskottet ansåg dock att det i ljuset av EU- domstolens dom är betänkligt att lagringstiden inte är specificerad utifrån den möjliga nytta som uppgifterna kan ge när det gäller att bekämpa allvarlig brottslighet. rekommenderade därför kommunikationsutskottet att bedöma lagringstiden för upp- gifterna med hänsyn till lagens syfte och vid behov gradera lagrings- tiden för olika uppgifter i antingen eller . hänvisade i sitt betänkande i stora delar till grundlagsutskottets utlåtande. Utskottet framhöll dock för egen del att skyldigheten att lagra uppgifter för myndigheternas behov endast ska gälla företag som anges genom särskilt beslut av inrikesministeriet. Enligt utskottets uppfattning minskar detta för- slag sannolikt antalet lagringsskyldiga teleföretag, vilket minskar mängden uppgifter som måste lagras. Vidare framhöll ut- skottet att lagringsplikten endast gäller sådana uppgifter som teleföre- tagen också annars lagrar för sina egna behov, t.ex. för att säker- ställa att fakturor är korrekta, och att lagringsplikten i första hand säkerställer att uppgifterna finns tillgängliga än vad som annars skulle ha varit fallet. Utskottet konstaterade därför att lagförslaget ställer upp väsentligt strängare krav och förbehåll för lagringen av uppgifter än vad det ogiltigförklarade direktivet gjorde. menade vidare att det fortfarande finns ett klart och vägande samhälleligt behov av att för myndig- heternas behov lagra uppgifter om kommunikation. Det påpekades att kommunikationsnäten och användningen av olika kommuni- kationsmedel utgör en väsentlig del av människornas vardag och samhället i stort. Utskottet anförde att uppgifter om kommuni- kation därför oundvikligen har en central roll för myndigheternas förutsättningar att bedriva brottsutredning. Utskottet såg det som nödvändigt att säkerställa att i synnerhet uppgifter som är oumbär- liga i polisverksamhet och brottsutredningar fortsatt måste lagras. När det gäller lagringsskyldighetens omfattning framhöll utskottet att de uppgifter som ska lagras måste preciseras i lag och att det i detta sammanhang måste bedömas vilka av de uppgifter som är nöd- vändiga med hänsyn till det bakomliggande syftet med regleringen, dvs. att undersöka, utreda och åtalspröva allvarliga brott. Kom- munikationsutskottet menade därvid att vissa uppgifter, utifrån tillgänglig utredning, inte kunde anses nödvändiga för utredning av brott eller åtalsprövning. Detta ansågs gälla telefonitjänster i fasta nät (s.k. trådtelefon), e-posttjänster, tilläggstjänster, EMS-tjänster eller multimedietjänster i mobilnät. Utskottet föreslog därför att skyldigheten att lagra uppgifter för myndigheternas behov i fortsätt- ningen ska gälla endast uppgifter som avser mobilnätets telefoni- tjänster och SMS-tjänster, internettelefonitjänster och internet- accesstjänster. Vidare föreslog utskottet att de uppgifter från respek- tive tjänst som ska lagras specificeras i en uttömmande förteckning i förordning eller myndighetsföreskrifter. gjorde också, utifrån viss statistik angående åldern på utlämnade uppgifter , en bedömning av möjligheterna att gradera lagringstiden för olika uppgifter i antingen eller . Med ledning av den be- dömningen föreslog utskottet att lagringstiden införs stegvis så att uppgifter som avser telefonitjänster och textmeddelandetjänster i mobilnät ska lagras , uppgifter om internetaccess- tjänster och internettelefonitjänster räknat från det att kommunikationen inleddes. Det framhölls i be- tänkandet att utskottet också hade diskuterat och bedömt möjlig- heten att införa ännu kortare förvaringstider. dock att teleföretagen redan nu lagrar uppgifter för egna behov så länge att kortare, enhetligare förvaringstider skulle ändra och för- sämra balansen mellan regleringens fördelar och nackdelar. Vidare pekade utskottet på att regeringen föreslagit att lagrings- skyldiga företag i fortsättningens ska få registrera också förmed- lingsuppgifter och andra uppgifter, till exempel uppgifter som upp- kommit genom bläddring av webbsidor, om det är nödvändigt för identifiering av en användare av internetaccesstjänster, elektroniska posttjänster eller internettelefonitjänster. Utskottet konstaterade att motiven till detta förslag pekar på praktiska, med brottsutred- ning förknippade behov som i sig är relevanta. Trots det ansåg ut- skottet att det inte är möjligt att efter unionsdomstolens avgörande godkänna att nuvarande lagringsskyldighet utvidgas till den typen av internetbaserade uppgifter. Utskottet föreslog därför att den före- slagna bestämmelsen stryks. Behovet av en sådan bestämmelse och möjligheterna att verkställa den kunde enligt utskottet bedömas senare i samband med uppföljningen av konsekvenserna av pro- positionen. Slutligen föreslog kommunikationsutskottet att god- känner följande uttalande: förutsätter att det tillsätts en arbetsgrupp för utvärdering av regleringen av lagring av förmedlingsuppgifter för myndigheternas behov. Arbetsgruppen ska göra en heltäckande utredning av vilka myn- dighetsbehoven är, om lagringen av uppgifterna och om frågor som hänför sig till integritetsskyddet i samband med lagringen. Utifrån utredningen ska behovet av eventuella ändringar av bestämmelserna bedömas och vid behov utformas ändringsförslag utan onödiga dröjs- mål. godkände slutligt förslagen enligt kommunikationsutskottets betänkande. är inte medlem i EU. Däremot är landet anslutet till avtalet om det europeiska ekonomiska samarbetsområdet () vilket syftar till att utvidga EU:s inre marknad till att även omfatta länder i Europeiska frihandelssammanslutningen (Efta). För att EU-rättsakter ska bli bindande för avtalsparterna krävs att lagstift- ningen införlivas i avtalet genom att den inkluderas i förteckningen över protokoll och bilagor till avtalet. För detta ändamål finns en gemensam som består av företrädare för och de tre Efta-länderna , och . Kommittén har bl.a. i uppgift att granska nya EU-rättsakter om den inre marknaden och besluta i frågor om vilken lagstiftning som ska införlivas i EES- avtalet(se artikel 98 i avtalet), vilket sker genom enhälligt beslut i kommittén (artikel 93.2). Flera tusen akter har på detta sätt införli- vats i avtalet. Något beslut om att införliva datalagringsdirektivet har dock inte fattats. Trots detta lade fram ett lagförslag till som syftade till att genomföra datalagringsdirektivet i norsk rätt (prop. 49 L [2010-2011]). antog lagförslagen och regleringen skulle därmed ha trätt i kraft (Lovvedtak 46 [2010-2011]). Ikraftträdandet har dock skjutits upp , bl.a. i avvaktan på dom. Sedan domen meddelades har den norska regeringen uttalat att den avser att grundligt gå igenom domen (se t.ex. prop. 1 S [2014-2015] s. 75). Enligt uppgifter i norsk media har statsminister också uppgett att arbetet med implementeringen har lagts på is tills vidare, men att regeringen har för avsikt att återkomma till med ett nytt lagförslag vid ett senare tillfälle.3 I reglerades skyldigheten att lagra uppgifter om elektro- nisk kommunikation i 102 a § i telekommunikationslagen (Tele- kommunikationsgesetz 2003, TKG 2003). Enligt den bestämmelsen skulle leverantörer av allmänna kommunikationstjänster lagra upp- gifter om användarnas kommunikation från det att kommunikationen avslutades. förklarade författningsdomstol (Verfassungsgerichtshof) att de österrikiska reglerna om datalag- ring, samt vissa regler om de brottsbekämpande myndigheternas tillgång till sådana uppgifter, stod i strid med dataskydds- lag, vilken har konstitutionell status (mål G 47/2012-49 m.fl.). 3 , , Regjeringen legger DLD-arbeidet på is, stolen konstaterade i domen att reglerna om datalagring och de brottsbekämpande myndigheternas tillgång till datalagrade uppgifter innebär intrång i rätten till skydd för personuppgifter enligt data- skyddslagen. påpekade domstolen att dessa regler syftar till att uppnå mål som nämns i artikel 8 i och att intresset av att uppnå dessa mål väger tungt. Domstolen fram- höll dock att gränserna för möjligheterna att inskränka skyddet för personuppgifter är snävare definierat i dataskyddslagen än i artikel 8 i . Dataskyddslagen tillåter nämligen att intrång görs bara om det är nödvändigt för att skydda ett tyngre vägande legitimt intresse. Uppgifter som till sin natur är särskilt skydds- värda får därutöver användas bara för att skydda viktiga allmänna intressen och att det i lag föreskrivs tillräckliga skyddsmekanismer som ska syfta till att skydda individens intresse av konfidentialitet. Enligt författningsdomstolen innebär dessa regler att den propor- tionalitetsbedömning som ska göras enligt dataskyddslag är striktare än den som krävs enligt artikel 8 i . Författningsdomstolen prövade därefter om reglerna om till- gång till datalagrade uppgifter kunde anses leva upp till konstitut- ionens krav. Domstolen konstaterade att, enligt en bestämmelse i straffprocesslagen, utlämnande av uppgifter var tillåtet bl.a. om det kunde främja utredningen av ett uppsåtligt brott som kan leda till fängelse . Sådana utlämnanden skulle begäras av åkla- garen baserat på ett tillstånd av domstol, vilket kunde överklagas av rättsskyddsombudet (). Domstolen fram- höll i den delen att det i och för sig är möjligt för lagstiftaren att knyta möjligheten att få tillgång till lagrade uppgifter till brottens straffskalor, men detta kräver enligt domstolen att lagstiftningen också innehåller bestämmelser som säkerställer att brottets allvar i det enskilda fallet är sådant att det rättfärdigar ett intrång i de konstitutionella rättigheterna. Enligt domstolen var den aktuella bestämmelsen alltför onyanserad i det avseendet, eftersom möjlig- heten att få tillgång till uppgifter inte var begränsad till brott som antingen leder till höga straff eller vars lösning med nödvändighet kräver tillgång till datalagrade uppgifter. Domstolen ansåg därför att den inte kunde garanteras att den aktuella bestämmelsen bara används i sådana fall där det är nödvändigt för ändamål som anges i artikel 8 i . Bestämmelsen bedömdes därför vara oproportionerlig och därmed oförenlig med konstitutionen. Vidare konstaterade domstolen att säkerhetsmyndigheter under vissa förutsättningar kunde få tillgång till uppgifter om namn och adress för en användare som tilldelats en ip-adress , om uppgiften behövdes för att myndigheten skulle kunna motverka en konkret fara som hotar en individs liv, hälsa eller fri- het eller om den behövdes för att avvärja en allvarlig attack eller en kriminell sammanslutning. Domstolen noterade att säkerhetsmyn- digheterna kunde få tillgång till dessa uppgifter utan domstols- prövning. Däremot krävdes att rättsskyddsombudet skulle under- rättas så fort som möjligt. Vidare konstaterades att bestämmelsen saknade begränsningar relaterade till allvaret i en förestående hän- delse. Även denna reglering bedömdes därför vara oproportionerlig. Domstolen framhöll att den bedömningen inte förändrades av det faktum att reglerna endast gav säkerhetsmyndigheterna tillgång till uppgifter om namn och adress. Vad därefter gäller själva lagringsplikten konstaterade författ- ningsdomstolen inledningsvis att lagringen omfattade en stor del av befolkning, och att den nästan uteslutande träffade enskilda individer som inte agerat på ett sätt som skulle ha kunnat rättfärdiga att deras uppgifter lagrades. Domstolen slog vidare fast att, även om innehållet i kommunikationen inte sparades, det inte kunde uteslutas att de lagrade uppgifterna skulle kunna användas för att dra slutsatser om enskilda som står i strid med den kon- stitutionella rätten till skydd för personuppgifter. I det samman- hanget beaktades även att antalet leverantörer av kommunikations- tjänster med tillgång till lagrade uppgifter är stort, och att den österrikiska lagstiftningen, även om den innehöll skyddsbestäm- melser som gick utöver vad datalagringsdirektivet krävde, inte innehöll något straffrättsligt skydd mot missbruk av uppgifterna. Vidare beaktades att det hade framkommit att varken Dataskydds- kommissionen eller hade gjort några kon- troller för att säkerställa att skyddsreglerna efterlevs som regleringen hade varit i kraft. Domstolen tog också hänsyn till att de individer, vars uppgifter sparades utan att de gett någon anledning till det, inte hade någon möjlighet att utöva sin rätt enligt dataskyddslagen att kräva att uppgifterna raderades. Enligt dom- stolen var reglerna i det avseendet inte tillräckligt specificerade för att leva upp till dataskyddslagens krav. Domstolen ansåg också att det var oklart om skyldigheten att radera uppgifter efter lagrings- tidens slut innebar att uppgifterna måste utplånas rent fysiskt, eller om den endast innebar att vidare tillgång till uppgifterna skulle förhindras. Slutligen framhöll författningsdomstolen särskilt att skyldigheten att lagra uppgifter helt skulle förlora sin mening i och med att dom- stolen funnit att reglerna om de brottsbekämpande myndigheternas tillgång till de lagrade uppgifterna skulle upphävas. Att lagra upp- gifter utan ett specifikt syfte skulle enligt domstolen under alla för- hållanden vara oförenligt med konstitutionen. Mot den bakgrunden fastslog domstolen att även reglerna om lagringsskyldigheten var oproportionerliga.