sou · H3B331 · 2015-03-30 00:00:00 — Enligt ett uttalande från rådet skulle medlemsstaterna, vid bedömningen av om de natio- nella brott som möjliggör ett utlämnande är tillräckligt allvarliga, ta ”vederbörlig hänsyn” till de brott som förtecknas i den lista som finns i artikel 2 i rådets rambeslut om en europeisk arresteringsorder och överlämnande mellan medlemsstaterna (2002/548/RIF) och till brott där telekommunikation ingår. List- brotten i rambeslutet är till övervägande del mycket allvarliga brott såsom terrorism, mord och våldtäkt, men även ett antal brott som i och för sig är av något mindre allvarlig karaktär men kan sägas vara typiska för organiserad brottslighet, såsom exempelvis it-brottlig- het, förfalskning och hjälp till olovlig inresa finns på listan. I domen kritiserade på ett antal punkter det faktum att datalagringsdirektivet inte närmare reglerade hur till- gång gavs till de uppgifter som lagrades enligt direktivet, utan i stor utsträckning lämnade fritt för medlemsstaterna att själva reglera den frågan (punkterna 60–62). Domstolen pekade på att det inte fanns något objektivt kriterium som begränsade tillgången till uppgifter i förhållande till brottets svårhetsgrad. Inte heller regle- rade direktivet närmare hur de nationella myndigheterna kan få tillgång till uppgifterna. Vidare innehöll direktivet inga bestämmel- ser som begränsade antalet personer som kan få tillgång till upp- gifterna till vad som kan anses absolut nödvändigt. Domstolen lyfte också fram att de nationella myndigheternas tillgång till lagrade trafikuppgifter inte var beroende av en föregående kontroll, antingen av en domstol eller av ett annat organ vars uppgift är att begränsa tillgången till vad som kan anses strikt nödvändigt. Som framgår ovan (avsnitt 3.5.3.3) har en åklagarmyndighet, Polis- myndigheten, Säkerhetspolisen eller annan myndighet som ska ingripa mot brott (, och ) rätt att få tillgång till abonnemangsuppgifter, om uppgiften gäller brott som myndigheten ska ingripa mot (6 kap. 22 § första stycket 2 LEK). Regleringen innebär att de brottsbekämpande myndigheterna i princip har rätt att inhämta abonnemangsuppgifter för att beivra alla typer av brott utom sådana brott som åtalas enbart av målsäganden. I analysen påpekades att en uppgift om vem som innehar eller använder ett visst nummer för kommunikation inte är information som i sig är särskilt integritetskänslig. isolerade i förhållandet till annan information om hur numret har använts kan sådana upp- gifter nämligen inte användas för att kartlägga och analysera en individs privatliv. Uppgifterna kan emellertid användas tillsammans med andra uppgifter om trafik som förekommer i de allmänna kom- munikationsnäten och därigenom indirekt utnyttjas för att kart- lägga integritetskänsliga uppgifter om den enskildes privatliv. kan uppgifter om vilka personer eller organisationer en individ har haft kontakt med i sig vara mycket integritetskänsliga, t.ex. om upp- gifterna kan avslöja att kontakter har förekommit med stödorgani- sationer för psykiatriska hälsoproblem eller med medicinska institu- tioner av olika slag. noterades att även om trafikanalys av metadata i vissa fall kan avslöja integritetskänsliga uppgifter, kan uppgifterna inte avslöja själva innehållet i kommunikationen. En enstaka uppgift om vem som är abonnent kan inte heller användas för att kartlägga sociala kontakter. Det påpekades också att upp- giften om vem som innehar ett visst internetabonnemang inte med säkerhet säger något om identiteten på användaren av en ip-adress eftersom en viss adress kan användas av flera personer. Möjlig- heterna att kartlägga enskildas privatliv med utgångspunkt i enstaka kontaktuppgifter bedömdes därför i många fall bli begränsade. Det konstaterades också att möjligheten till utlämnande av upp- gifter om en telefoni- eller internetanvändares identitet för brotts- bekämpande ändamål svarar mot ett viktigt samhällsintresse som kan rättfärdiga ett intrång i privatlivet. Det framhölls att intrånget måste begränsas till vad som är strikt nödvändigt och att ju allvarli- gare ett misstänkt brott är, desto större integritetsintrång måste den enskilde typiskt sett tåla. påpekades att enskilda kan bli tvungna att tåla intrång även när det gäller brott med förhållan- devis låga straffvärden, t.ex. i de fall uppgifterna är nödvändiga för att det överhuvudtaget ska finnas förutsättningar för myndighet- erna att utreda misstankar om brott. När det sedan gäller proportionaliteten bedömdes att medlems- staterna, trots generella uttalanden om att myn- digheternas tillgång ska begränsas till brott som är av tillräckligt allvarlig natur, måste anses ha ett visst utrymme för att reglera vad som ska gälla för att lämna ut olika typer av uppgifter. Det konsta- terades att domen inte kan tolkas så att varje form av utlämnande av någon lagrad uppgift som sker för att bekämpa mindre allvarlig brottslighet än sådan brottslighet som ursprungligen motiverat lag- ringsskyldigheten kommer i konflikt med unionsrätten. En nationell lagstiftning som tillåter att s.k. kataloguppgifter–uppgifter om vem som har en viss adress eller ett visst telefonnummer–kontrolleras och lämnas ut till brottsbekämpande myndigheter för att bekämpa även annan brottslighet än sådan som objektivt sett kan betecknas som allvarlig ansågs inte i sig stå i strid med den unionsrättsliga proportionalitetsprincipen. I den bedömningen beaktades att enbart kataloguppgifter inte är särskilt integritetskänsliga och att en enstaka uppgift om t.ex. en dynamisk ip-adress inte möjliggör någon mer omfattande kartläggning av den enskildes personliga förhållanden. Slutligen analyserades frågan om kontrollen över utlämnandet av abonnemangsuppgifter. Inledningsvis framhölls att det av EU- domstolens dom inte kan utläsas att rättighetsstadgan och unions- rättens allmänna principer innebär att det är nödvändigt att inrätta en ordning med förhandsprövning av varje slag av åtkomst till upp- gifter. Tvärtom ansågs det rimligt att skilda kontrollmekanismer bör kunna inrättas beroende bl.a. på vilket integritetsintrång som upp- kommer till följd av utlämnandet och användningen av uppgifterna (se t.ex. dom i P.G. mot , nr 44787/98, § 46). Mot bakgrund av att abonnemangs- uppgifter, tagna för sig, inte är särskilt integritetskänsliga bedömdes det tillräckligt med en oberoende kontroll och tillsyn i efterhand för att utlämnandet ska vara förenligt med regleringen om skydd för privatlivet och den personliga integriteten i , rättighetsstadgan och unionsrättens allmänna principer. Vid bedömningen av kontrollsystemet noterades i analysen att tillsynen över polisens och övriga brottsbekämpande myndigheters tillämpning av lagar och andra författningar i den brottsbekäm- pande verksamheten delas mellan flera myndigheter och att Data- inspektionen och SIN har delvis överlappande tillsynsansvar när det gäller polisens och Säkerhetspolisens behandling av personuppgifter (se avsnitt 3.5.4.2). Slutsatsen var dock att den svenska regleringen torde rymmas inom ramen för vad som är godtagbart. påpekades att det inte är möjligt att vara helt säker på att den nu- varande utformningen av tillsynsansvaret och de brottsbekämpande myndigheternas rutiner för dokumentation och loggning av inhämt- ning av abonnemangsuppgifter fullt ut tillgodoser kraven på effektiv kontroll. Vidare framhölls att unionsrätten och europarätten bara anger en miniminivå för skyddet av de grundläggande fri- och rättig- heterna, och att utgångspunkten är att den svenska regleringen inte bör balansera på gränser för vad som är tillåtet enligt unionsrätten och . 4.4.3.3Tillgången till uppgifter enligt Hemlig övervakning av elektronisk kommunikation kan användas av de brottsbekämpande myndigheterna för att få tillgång till trafik- uppgifter och lokaliseringsuppgifter under förundersökning och, i vissa fall, för att förhindra vissa särskilt allvarliga brott (se av- snitt 3.5.3.4). I analysen konstaterades inledningsvis att det stora flertalet brott som omfattas av tillämpningsområdet för hemlig övervakning av elektronisk kommunikation har ett minimistraff på minst sex månaders fängelse. Det ansågs inte råda någon tvekan om att dessa brott är att betrakta som allvarliga och att samhällsintresset av att förebygga och utreda brotten är starkt. Det noterades vidare att hemlig övervakning av elektronisk kommunikation därutöver får användas i förundersökning om nar- kotikabrott och narkotikasmuggling av normalgraden och för att utreda dataintrång och barnpornografibrott av normalgraden trots att dessa brott har lägre minimistraff än fängelse . Det framhölls att det vid hantering av betydande mängder narkotika i överlåtelsesyfte inte sällan döms till straff i den övre delen av straff- skalan. Samhällsintresset av att förebygga och utreda narkotika- brott ansågs vara betydande, inte minst för att denna brottstyp är vanligt förekommande inom ramen för organiserad brottslighet. Brotten bedömdes i dessa fall som allvarliga i objektiv mening. När det gäller barnpornografibrott och dataintrång framhölls att straffskalorna för dessa brottstyper stödjer slutsatsen att brotten inte är att betrakta som lika allvarliga som de övriga brottstyper som berättigar till användning av hemlig övervakning av elektronisk Det kunde dock konstateras att tillgången till trafikuppgifter kan vara helt avgörande för att det över huvud taget ska vara möjligt att utreda och lagföra dessa brott, något som naturligtvis påverkar proportionalitetsbedömningen. Mot bakgrund av samhällets starka intresse av att skydda barn mot sexuell exploatering ansågs en ordning som innebär att barnporno- grafibrott inte kan utredas knappast kunna godtas. Vid motsva- rande avvägning när det gäller dataintrång beaktades att brottet i vissa fall kan leda till omfattande integritetsintrång för enskilda och även andra omfattande skadeverkningar, bl.a. vid olika former av affärsspionage eller intrång i samhällsviktiga elektroniska uppgifts- samlingar. Samhällsintresset av att utreda brotten bedömdes därför vara betydande. I analysen noterades vidare att hemlig övervakning av elektro- nisk kommunikation får användas även för att utreda – samt i vissa fall också för att förhindra – vissa samhällsfarliga brott som inte har ett straffminimum på fängelse , exempelvis sabotage och spioneri. Dessa brott betraktas som särskilt allvarliga eftersom de riktar sig mot samhällsstrukturen och mot rikets säker- het. Det ansågs därför finnas ett starkt samhällsintresse av att brotten effektivt kan utredas och förhindras. I analysen beaktades också att den svenska regleringen inte bara innehåller specifika begränsningar i fråga om vilka brott som kan motivera en övervakningsåtgärd, utan även att de principer som gäller för all användning av straffprocessuella tvångsmedel innebär ytterligare begränsningar i möjligheterna till övervakning. Bland annat får en hemlig övervakningsåtgärd enligt 27 kap. rättegångs- balken användas bara när det är av synnerlig vikt för utredningen och en mindre ingripande åtgärd inte är tillräcklig. Tvångsmedlet måste även i fråga om sin art, styrka, räckvidd och varaktighet stå i rimlig proportion till vad som står att vinna med åtgärden. Vidare är myndigheternas befogenheter att använda ett tvångsmedel bundna till de ändamål för vilket tvångsmedlet har beslutats. I analysen framhölls också att den svenska regleringen av de brottsbekämpande myndigheternas tillgång till trafik- och lokalise- ringsuppgifter under pågående förundersökning bygger på att en allmän domstol i det enskilda fallet ska pröva om förutsättningarna för att lämna ut uppgifterna är uppfyllda innan uppgifterna lämnas ut och att undantag från denna regel gäller bara i vissa brådskande Vidare påpekades att tillsyn bedrivs även i efterhand av SIN genom inspektioner och genom kontroller på begäran av enskild. Systemet med domstolsprövning och tillsyn ansågs säkerställa att det finns en mycket effektiv kontroll som uppfyller europarättens och unionsrättens krav. Sammantaget bedömdes i analysen att den lagring av uppgifter som sker för utlämnande av trafik- och lokaliseringsuppgifter i enlighet med bestämmelserna i 27 kap. uppfyller de krav som följer av den unionsrättsliga proportionalitetsprincipen. 4.4.3.4Tillgången till uppgifter enligt inhämtningslagen Som framgår ovan är de brottsbekämpande myndigheternas tillgång enligt inhämtningslagen i princip begränsad till att avse uppgifter som är av särskild vikt för att förebygga, förhindra eller upptäcka brottslig verksamhet som innefattar brott för vilket det inte är före- skrivet lindrigare straff än fängelse . Av SIN:s redovisning av tillsynsverksamheten (dnr 891-2014) framgår att de vanligast förekommande brottsrubriceringarna vid inhämtning enligt lagen har varit grovt narkotikabrott och grov narkotikasmuggling. Av uppgifter från polisen framgår att i övrigt har uppgifter hämtats in om grova rån, mord, grov allmänfarlig ödeläggelse, grov penning- förfalskning, människohandel samt några enstaka beslut avseende andra brott såsom grov mordbrand, grov kapning och grovt spridande av gift eller smitta. Uppgifter får i vissa situationer inhämtas även avseende brott som inte har ett straffminimum fängelse. Det handlar om vissa särskilt angivna samhällsfarliga brott, exem- pelvis sabotage och spioneri som bekämpas av Säkerhetspolisen. I analysen framhölls inledningsvis att brott vars minimistraff är fängelse tveklöst tillhör kategorin allvarliga brott. Vidare bedömdes även de samhällsfarliga brott som omfattas av lagens tillämpningsområde trots att de har lägre minimistraff som allvarliga eftersom de riktar sig mot samhällsstrukturen och mot rikets säkerhet. Det framhölls också att lagen innehåller regler som definierar förutsättningarna för en begäran och vilka uppgifter inhämt- ningsbeslutet ska innehålla. Lagen innehåller också en proportionali- tetsregel. Ett frågetecken kring de svenska reglerna i ljuset av EU-dom- stolens dom ansågs däremot vara det förhållandet att uppgifter hämtas in av myndigheterna själva utan föregående prövning av en oberoende instans. framhölls att frågor om rättssäkerhet och integritetsskydd hade varit föremål för ingående överväganden när inhämtningslagen infördes, och det system som då beslutades hade ansetts uppfylla såväl dessa krav som kraven på ett praktiskt fungerande system. Vidare konstaterades att den statistik som har presenterats av SIN och de brottsbekämpande myndig- heterna visar att inhämtning sker i ett relativt begränsat antal ären- den och vid arbete med mycket grova brott. En möjlig slutsats av detta ansågs vara att, även om ingen oberoende instans i förväg prövar inhämtandebesluten, så har systemet med en efterföljande tillsyn av SIN en disciplinerande effekt på myndigheternas verksam- het. Dessa aspekter ansågs tyda på att den svenska regleringen vid en helhetsbedömning uppfyller kravet på att tillgången till lagrade uppgifter är begränsad till vad som kan anses strikt nödvändigt. I den bedömningen lades också stor vikt vid att uppgifter enligt in- hämtningslagen kan hämtas in bara för mycket allvarlig brottslighet för vilken samhällsintresset av att brotten upptäcks är betydande. konstaterade i sin dom att lagringskravet i direkti- vet hade ställts upp utan någon differentiering mellan olika katego- rier av data, baserat på hur användbara uppgifterna kan tänkas vara. Inte heller angavs i direktivet, med hänsyn till att medlemsstaterna har tillåtits ett tidspann upp till , några objek- tiva kriterier som tillgodoser att lagringstiden begränsas till vad som kan anses strikt nödvändigt (punkterna 63 och 64). Nämnas kan också att Generaladvokaten i sitt yttrande i målet hade kommit till slutsatsen att en lagringstid som överstiger inte kan anses proportionerlig. Som ovan redovisats valdes i den kortaste lagringstid direktivet tillåter för samtliga uppgiftskategorier, dvs. uppgifterna ska lagras räknat från den dag då kom- munikationen avslutades (6 kap. 16 d § LEK). I analysen noterades inledningsvis att, när datalagringsdirektivet förklarats ogiltigt, det inte längre finns några EU-rättsliga krav som hindrar att en kortare lagringstid än väljs. Det kon- staterades dock att för att de lagrade uppgifterna ska tjäna sitt syfte, nämligen att kunna användas för att upptäcka, utreda och lagföra allvarliga brott, så måste de finnas tillgängliga under en så pass att de brottsbekämpande myndigheterna har en reell möjlighet att hinna begära ut dem innan de raderas. Av uppgifter som inhämtats från polisen framgick att teledata m.m. som inhäm- tas i underrättelseverksamhet i de flesta fall är yngre än en månad men att det även finns ärenden där historik upp varit av stor vikt i analysarbetet. Det framgick också att den största andel uppgifter som begärs in i utredningsverksamheten är yngre än . Uppskattningsvis 20–angavs dock vara äldre än och av den totala mängden äldre än . Behovet av äldre uppgifter angavs särskilt gälla tidskrävande förundersökningar avseende grova våldsbrott av spaningskaraktär samt bekämpning av grova seriebrott som våld- täkter och mordförsök där det finns behov av äldre trafikdata för att kunna knyta en person till tidigare anmälda brott. Mot bakgrund av detta ansågs slutsatsen kunna dras att en kor- tare lagringstid än skulle leda till att syftet med lag- ringen riskerade att inte kunna uppfyllas, särskilt vad gäller de grövsta brotten där det finns ett uttalat behov av äldre uppgifter. Det framhölls att det ur ett proportionalitetsperspektiv inte är acceptabelt med ett lagringskrav som tillgodoser behovet av upp- gifter för att utreda mindre allvarlig brottslighet, som uppgifter inte finns tillgängliga för att utreda grövre brott. Om en lagring för brottsbekämpande ändamål över huvud taget ska ske, ansågs det att tiden för lagringen måste vara sådan att det blir möj- ligt för de brottsbekämpande myndigheterna att använda de lagrade uppgifterna. Sammanfattningsvis bedömdes därför en lagringstid om sex måna- der uppfylla krav på att tiden ska begränsas till vad som kan anses strikt nödvändigt. 4.4.5Säkerheten för lagrade uppgifter 4.4.5.1Skyddsregler och utplåning av uppgifter fann i sin dom att direktivets regler om skydd för lagrade uppgifter var otillräckliga på flera punkter (se punkterna 66 och 67 i domen). Domstolen konstaterade att artikel 7 inte ställde upp säkerhetskrav anpassade till (i) den stora mängd data som ska lagras enligt direktivet, (ii) uppgifternas känsliga natur eller (iii) risken för att uppgifterna kommer i orätta händer, på ett sätt som kan sägas garantera att uppgifterna hålls konfidentiella. Inte heller hade medlemsstaterna förpliktats att själva föreskriva en sådan ord- ning. Domstolen fann vidare att artikel 7, läst tillsammans med artikel 4.1 i direktiv /58 samt artikel 17.1 i direktiv /46, inte ställde krav på att en särskilt hög säkerhetsnivå upprätthålls hos leverantörerna vad gäller tekniska och organisatoriska åtgärder. Detta eftersom leverantörerna tilläts att ta ekonomiska hänsyn vid bestämmandet av lämplig säkerhetsnivå. Dessutom framhöll dom- stolen att direktivet inte ställde något absolut krav på att uppgif- terna utplånas vid slutet av lagringstiden. I analysen konstaterades inledningsvis att de svenska leveran- törerna, genom regleringen i 6 kap. 3 a § LEK som tar sikte enbart på uppgifter lagrade enligt 16 a § samma kapitel, har en skyldighet att vidta de särskilda tekniska och organisatoriska åtgärder som behövs för att skydda uppgifterna, utan att de i den bedömningen tillåts ta några ekonomiska hänsyn. Den kritik riktade mot direktivet i det hänseendet bedömdes därför inte relevant för den svenska regleringen. Vidare kunde det konstateras att 37 § förordningen om elektro- nisk kommunikation har utformats i mycket nära anslutning till artikel 7 i direktivet. Det ansågs mot den bakgrunden, med hänsyn till uttalanden, kunna ifrågasättas om enbart regle- ringen i 6 kap. 3 a § LEK och 37 § i förordningen ställer upp ett tillräckligt preciserat skydd för de lagrade uppgifterna. I den delen beaktades dock även de krav som följer av de föreskrifter som har meddelats av PTS. Det framhölls att dessa föreskrifter är detalje- rade och de reglerar såväl frågor om behörighet och åtkomst som om fysiskt skydd för den utrustning som används för att lagra upp- gifterna. De reglerar även i detalj frågor om loggning, som gör det möjligt att i efterhand se vem som haft tillgång till lagrade upp- gifter, samt säkerhetskopiering. Sammantaget ansågs detta inte kunna leda till någon annan slutsats än att det skydd som i regleras genom lag, förordning och myndighetsföreskrifter är betydligt mer omfattande och mer detaljerat än vad som följde av direktivets krav. Det påpekades också att skyddsnivån är betydligt högre och skyddsreglerna mer preciserade än när det gäller de uppgifter leve- rantörerna har tillstånd att lagra med stöd av direktiv /58. Utifrån de kriterier domstolen lyfte fram bedömdes de svenska regler som ska säkerställa skyddet för de lagrade uppgifterna vara tillräckligt strikta och precisa. I analysen framhölls också att bestämmelsen i 6 kap. 16 d § LEK ställer krav på leverantörerna att utplåna uppgifterna vid lagrings- tidens utgång eller, om en begäran om utlämnande inkommit men inte hunnit behandlas, så fort uppgifterna har lämnats ut. När det däremot gäller det fortsatta bevarandet hos de brotts- bekämpande myndigheterna av uppgifter som lämnats ut noterades att det av naturliga skäl inte finns någon bestämd frist föreskriven för hur länge uppgifterna får bevaras. Det påpekades dock att frågan om utplåning av uppgifter från hemlig övervakning inte är oregle- rad, utan bestämmelser om detta finns i främst 27 kap. 24 § rätte- gångsbalken och 9 § inhämtningslagen. Det framhölls också att det av praxis följer att förstörandet av material från hemliga tvångsmedel innan en rättegång är avslutad i vissa fall kan kränka den misstänktes rätt till en rättvis rättegång (se Europa- domstolens domar i målen Natunen mot , nr 21022/04, och Janatuinen mot , nr 28552/05, vilka båda avsåg material som inhämtats vid hemlig avlyssning). Ett krav på utplåning av upp- gifterna vid en viss bestämd tidpunkt, utan att hänsyn tas till var i processen ett ärende befinner sig, bedömdes därför kunna kränka den misstänktes rätt till en rättvis rättegång enligt artikel 47 i rättighetsstadgan och artikel 6 i . Med hänsyn härtill ansågs det uteslutet att kunde ha menat att det även borde finnas regler om utplåning av lagrade trafikuppgifter vid lagringstidens slut hos de brottsbekämpande myndigheterna. Sammanfattningsvis bedömdes att regleringen i 6 kap. 16 d § LEK om utplåning av uppgifter vid lagringstidens slut hos leverantören uppfyller de krav på ett sådant oåterkalleligt förstörande av upp- gifterna som efterlyste. 4.4.5.2Krav på lagring inom EU pekade i sin dom på att datalagringsdirektivet inte krävde att uppgifterna lagras inom unionen. Detta innebar enligt domstolen att den oberoende myndighetskontrollen av att skydds- och säkerhetskraven för de lagrade uppgifter följs – vilken före- skrivs i artikel 8.3 i stadgan – inte fullt ut kunde anses vara garanterad (punkt 68). Enligt domstolen är en sådan kontroll en grundläggande beståndsdel i skyddet för enskilda individer i samband med behand- lingen av personuppgifter. I analysen framhölls att det mot bakgrund av domstolens utta- landen om intresset av effektiv tillsyn finns mycket som talar för att det bör införas ett krav på att lagringen av uppgifter ska ske inom EU eller EES. I den bedömningen beaktades också risken för s.k. ändamålsglidning, dvs. att uppgifter som lagras för ett visst ändamål kommer till användning i annan verksamhet eller för andra ändamål. Det konstaterades att en leverantör som väljer att lagra uppgifter i en server på en annan stats territorium kan tvingas att lämna ut dessa till utländska myndigheter i enlighet med lagstift- ningen i lagringslandet.