sou · H3B331 · 2015-03-30 00:00:00 — Myndigheterna har också framfört att gärningsmän som begår planerade grova brott ofta har som praxis att använda anonyma abonnemang. Att få tillgång till de aktuella uppgifterna hjälper polisen att få reda på om det identifierade abonnemanget är en möjlig ”brottslur”, dvs. ett abonnemang som använts endast strax före, under och kanske direkt efter ett brott. Enligt polisen kan uppgifterna om kontantkorten på detta sätt skapa nya ingångar och föra utredningen framåt. Detta kan enligt Säkerhetspolisen exem- pelvis relateras till terrorattackerna i där en gärningsman hade 13 mobiltelefoner. Behovet av att kunna få uppgifter om var dessa telefoner varit aktiverade, även om de inte använts, kan vara mycket värdefull information i det fortsatta kartläggningsarbetet för att eventuellt konstatera om det fanns medgärningsmän. Uppgifter som vid ip-telefoni och internetåtkomst identifierar den utrustning där kommunikationen slutligt avskiljs från den lag- ringsskyldige till den enskilda abonnenten är enligt myndigheterna nödvändiga för att identifiera användares kommunikationsutrustning eller den utrustning som de förmodas ha använt. Det är ofta så att en operatör inte har ett ansvar för hela kommunikationskedjan, utan ansvaret avslutas vid en slutpunkt där kommunikationen avskiljs vilket kan vara en anslutningspunkt till ett privat fastighetsnät eller till en annan operatör, exempelvis ett stadsnät. Dessa punkter där kommunikationen avskiljs är viktiga för polisen att kunna få upp- gifter om. Det kan innebära att kontakter kan tas med fastighets- ägaren för vidare utredning eller att kontakter tas med stadsnätet Vilka uppgiftskategorier ska lagras? för att få tillgång till resterande uppgifter. Myndigheterna har fram- hållit att det i dessa fall skulle vara svårt – om inte omöjligt – att identifiera ”slututrustningen” om inte uppgifter som identifierar den utrustning där kommunikationen slutligt avskiljs från den lagrings- skyldige finns att tillgå. Enligt myndigheterna är det alltså egentligen inte den ”första utrustningen” som är intressant. Men för att kunna få reda på vilken som är den ”sista utrustningen” behövs uppgiften för att på så sätt kunna leda fram till rätt slutanvändare. Polisen har också framhållit att huvudregeln bör vara att leveran- törerna så långt som möjligt ska lagra och lämna ut de uppgifter som kan identifiera slutanvändaren. Enligt polisen är detta ytterst en fråga om rättssäkerhet för att säkerställa att åtgärderna riktas mot rätt person. Alternativet kan vara att åtgärderna inte kan genomföras. När det slutligen gäller uppgifter om den typ av kapacitet som har använts för internetåtkomst har myndigheterna framfört att behovet av sådana uppgifter hänger samman med att ansvaret för kommunikationskedjan blir allt mer uppsplittrat. Den som tillhanda- håller internetåtkomst har inte alltid uppgifter om var användaren finns rent geografiskt utan endast om att han eller hon har anslutit via en operatör som tillhandhållit en fiberanslutning. Var fiberanslut- ningen terminerar har endast den som tillhandahåller kapacitet för internetåtkomst, dvs. fiberanslutningen, uppgifter om. Polisen måste därför kontakta den operatör som tillhandahåller fiberanslutningen för att få uppgift om den geografiska plats där användaren finns. Om inte uppgifter om kapacitet för internetåtkomst lagras, kan det innebära att myndigheten inte kan reda ut på vilken geografisk plats användaren befinner sig. Den som tillhandahåller internetåtkomst ska således lagra uppgifter om vilken operatör det är som tillhanda- håller kapacitet för internetåtkomst, exempelvis fiber. Genom denna uppgift kan myndigheten få reda på vilken leverantör man ska vända sig till för att få uppgifter om användarens kommunikation. Enligt myndigheterna är det också nödvändigt att kunna göra en kartläggning över en misstänkt persons möjligheter till kommuni- kation. Om det till exempel kommer fram att den misstänkte har en fiberförbindelse, så kan det innebära att misstankarna stärks och att man kan misstänka att förbindelsen utnyttjas till att kommuni- cera i brottsliga syften. Möjligheten att få en bild av en misstänkts kommunikationsmöjligheter är alltså viktig och kan också vara underlag för att sätta in tvångsmedel på rätt ställen. Vilka uppgiftskategorier ska lagras? har vidare betonat att, om myndigheterna inte kan få uppgifter om kapacitet för internetåtkomst, så kan det – i de fall det rör sig om kriminella organisationer som hyr en fiberförbindelse till en lokal varifrån brottslig verksamhet bedrivs – innebära att både platsen för lokalen och den kriminella verksamheten kan döljas. Myndigheter- na har framhållit att de aktuella uppgifterna visserligen finns hos tjänsteleverantören utan ett krav på lagring. Men om de inte uttryckligen omfattas av lagringskravet, så kan det hända att leverantören vägrar att lämna ut uppgifterna eller lämnar ut dem i ett format som inte enkelt kan läsas. Utredningens bedömning: Det bör inte göras några förändringar i fråga om vilka uppgifter som ska lagras enligt datalagringsreglerna. Lagring av uppgifter om elektronisk kommunikation är en åtgärd som inkräktar på rättigheter som enskilda är tillförsäkrade enligt regeringsformen, och EU:s rättighetsstadga. För att en sådan åtgärd ska vara godtagbar krävs att den objektivt sett är ägnad att uppnå syftet med åtgärden och att den är proportio- nerlig (se även artikel 15 i direktiv /58/EG). En åtgärd kan anses proportionerlig bara om den avgränsas på ett sådant sätt att integritetsintrånget inte blir större än vad som är strikt nödvändigt för att uppnå det eftersträvade målet. Som nämnts ovan gjordes i analysen bedömningen att det kan ifrågasättas om det finns behov av att lagra vissa av de uppgiftskate- gorier som lagras enligt dagens regler. Av de uppgifter som polisen nu har lämnat till utredningen framgår dock att samtliga uppgifts- kategorier som lagras enligt dagens regler bedöms vara av stor vikt för den brottsbekämpande verksamheten. I samband med vår kartläggning av inhämtningslagen (se av- snitt 9) har det kommit fram att inhämtningen enligt den lagen i princip uteslutande avser uppgifter om mobiltelefoni. Genom de uppgifter som kommit fram vid kartläggningen – samt de uppgifter som och Säkerhetspolisen har lämnat – anser vi att det är klarlagt att det finns ett stort behov av att de uppgifts- Vilka uppgiftskategorier ska lagras? kategorier som lagras beträffande mobiltelefoni även i fortsätt- ningen omfattas av lagringsskyldigheten. När det gäller behovet av att vid internetåtkomst lagra uppgifter om den typ av kapacitet för överföring som har använts och uppgifter som identifierar den utrustning där kommunikationen slutligt avskiljs från den lagringsskyldige till den enskilda abonnenten ger det som kommit fram vid vår kartläggning inte någon ledning. Av de upp- gifter som och Säkerhetspolisen har lämnat fram- går dock att det i vissa situationer kan finnas ett stort behov av dessa uppgifter. Enligt vår mening saknas det anledning att ifråga- sätta att det förhåller sig på det sättet. Beträffande några uppgiftskategorier, nämligen uppgifter om typ av kapacitet som används för internetåtkomst samt i vissa fall upp- gifter om IMSI-nummer, har det visserligen kommit fram att leve- rantörerna har tillgång till dessa även utan krav på obligatorisk lagring. För dessa uppgifter skulle det kunna övervägas att upphäva lagringsskyldigheten. Eftersom uppgifterna ändå finns tillgängliga skulle detta emellertid inte leda till någon förstärkning av skyddet för enskildas integritet. Utan ett lagringskrav finns det inte heller några garantier för att dessa uppgifter även kommer att sparas av leverantörerna. Enligt utredningens uppfattning utgör dessa omständigheter tillräckliga skäl för att inte föreslå några föränd- ringar beträffande de aktuella uppgifterna. Sammantaget står det enligt utredningens uppfattning klart att lagringsskyldighetens inte omfattar annat än vad som är strikt nöd- vändigt för att uppnå syftet med regleringen. Det bör därför inte göras några förändringar i fråga om vilka uppgiftskategorier som ska lagras. 6 Krav på lagring inom EU? Enligt är den oberoende myndighetskontrollen en grundläggande beståndsdel i skyddet för enskilda individer i samband med behandlingen av personuppgifter. Domstolen pekade i data- lagringsdomen på att en brist i datalagringsdirektivet var att denna kontroll av att skydds- och säkerhetskraven för de lagrade uppgifter- na följs – vilket föreskrivs i artikel 8.3 i stadgan – inte fullt ut kunde anses vara garanterat i direktivet (punkt 68). Detta var enligt dom- stolen en konsekvens av att direktivet inte krävde att uppgifterna skulle lagras inom unionen. I analysen framhölls att det mot bakgrund av de uttalanden EU- domstolen gjorde i domen om intresset av en effektiv tillsyn finns mycket som talar för att det i svensk rätt bör införas ett krav på att trafikuppgifter som genereras eller behandlas vid användningen av allmänna kommunikationsnät och kommunikationstjänster som om- fattas av lagringsskyldigheten ska lagras inom EU eller EES. Detta skulle kunna göras t.ex. genom ett särskilt förbud mot överföring av sådana trafikuppgifter till ett tredje land (dvs. ett land som inte ingår i EU eller är anslutet till EES) för lagring där. 6.2De svenska reglerna om säkerhet och tillsyn När datalagringsdirektivet genomfördes i konstaterade rege- ringen att de regler om driftsäkerhet och integritetsskydd som redan fanns i LEK inte var tillräckliga för de uppgifter som skulle lagras enligt direktivet (prop. 2010/11:46 s. 54). Det angavs, mot bakgrund av det nya syfte för vilket uppgifter skulle lagras samt den mängd Krav på lagring inom EU? uppgifter det rörde sig om, att kravet på säkerhet borde höjas och att säkerhetsnivån borde preciseras. Resultatet blev att det infördes en ny bestämmelse 6 kap. 3 a § LEK av vilken det framgår att den som är lagringsskyldig enligt 6 kap. 16 a § samma lag ska vidta de särskilda tekniska och organisatoriska åtgärder som behövs för att skydda de lagrade uppgifterna vid behandling. I förarbetena anges att det därav följer att bestämmelsen, till skillnad från vad som gäller enligt 6 kap. 3 § LEK, inte lämnar något utrymme att bestämma säker- hetsnivån genom en avvägning mellan teknik, kostnader och risken för integritetsintrång (prop. 2010/11:46 s. 75). I 6 kap. 3 a § andra stycket LEK bemyndigas regeringen eller den myndighet regeringen bestämmer att komplettera lagbestämmelsen med ytterligare föreskrifter om säkerheten. Detta har regeringen gjort i 37 § förordningen om elektronisk kommunikation. Av bestäm- melsen framgår att den som är lagringsskyldig ska vidta åtgärder för att säkerställa att de lagrade uppgifterna är av samma kvalitet och föremål för samma säkerhet och skydd som vid den behandling som skett före lagringen. Vidare framgår att åtgärder ska vidtas för att skydda uppgifterna mot oavsiktlig eller otillåten förstöring och oav- siktlig förlust eller ändring samt för att förhindra otillåten lagring, behandling av eller tillgång till och otillåtet avslöjande av uppgifterna. Slutligen får uppgifterna göras tillgängliga endast för personal med särskild behörighet. PTS får efter att ha hört , Säkerhetspolisen och Datainspektionen meddela närmare föreskrifter om de åtgärder som ska vidtas. PTS har med stöd av 37 § i förordningen meddelat sådana före- skrifter (PTSFS 2012:4). Dessa går i korthet ut på att den lagrings- skyldige ska bedriva ett kontinuerligt och systematiskt säkerhets- arbete med beaktande av de särskilda risker lagringsskyldigheten medför (3 §). Rutiner ska finnas som säkerställer att bara personal med särskild behörighet har tillgång till lagrade uppgifter och de system som hanterar uppgifterna (4 §). Den utrustning som används för att lagra uppgifter ska också placeras i ett särskilt skyddat utrymme för att förhindra förlust av eller otillåten tillgång till uppgifterna (5 §). Vidare ska all behandling av lagrade uppgifter loggas i krypte- rad form och på ett sådant sätt att det går att följa upp vem som har haft tillgång till uppgifterna och (6 §). Lagrade uppgifter ska också säkerhetskopieras (7 §). Krav på lagring inom EU? Vad slutligen gäller hanteringen av lagrade uppgifter vid lagrings- tidens slut anges i 6 kap. 16 d § LEK att den lagringsskyldige genast ska utplåna uppgifterna. Om uppgifterna har begärts utlämnade före utgången av lagringstiden, men inte har hunnit lämnas ut, ska dock leverantören fortsätta lagra uppgifterna till dess att de har lämnats ut. Därefter ska leverantören genast ut- plåna dem. PTS utövar tillsyn över verksamhet som bedrivs med stöd av LEK. Myndighetens tillsyn omfattar efterlevnaden av lagen och de beslut om skyldigheter eller villkor som har meddelats med stöd av lagen (7 kap. 1 § LEK). För att kunna utöva en effektiv tillsyn har PTS en rad befogen- heter till sitt förfogande. Enligt 7 kap. 2 § LEK har PTS rätt att för tillsynen få tillträde till områden, lokaler och andra utrymmen, dock inte bostäder, där verksamhet som omfattas av LEK bedrivs. Vidare får PTS förelägga en leverantör att tillhandahålla myndigheten de upplysningar och handlingar som behövs för kontrollen (7 kap. 3 §). Finner PTS skäl att misstänka att den som bedriver verksamhet enligt LEK inte efterlever lagen eller de föreskrifter som har meddelats med stöd av lagen, ska myndigheten underrätta den som bedriver verksamheten om detta förhållande och ge denne möjlighet att yttra sig (7 kap. 4 §). PTS får också meddela de förelägganden och för- bud som behövs för att rättelse av en överträdelse ska ske omedel- bart eller inom skälig tid. Ett sådant föreläggande eller förbud får förenas med vite (7 kap. 4 §). Om föreläggandet inte följs, får PTS återkalla ett tillstånd, ändra tillståndsvillkor eller ytterst besluta att den som har åsidosatt en skyldighet helt eller delvis ska upphöra med verksamheten. PTS beslut enligt lagen eller enligt en föreskrift som har meddelats med stöd av lagen får överklagas hos allmän för- valtningsdomstol (7 kap. 19 §). Krav på lagring inom EU? 6.3Överföring av personuppgifter till tredje land 6.3.1Bedömningen av skyddsnivån enligt dataskyddsdirektivet Som framgår ovan (avsnitt 3.2.5.1) innebär regleringen i dataskydds- direktivet att överföring av personuppgifter till ett land utanför EU och EES får ske bara om landet i fråga säkerställer en adekvat skydds- nivå för uppgifterna. Bedömningen av om skyddsnivån är adekvat ska ske på grundval av alla de förhållanden som har samband med en överföring eller en grupp av överföringar av uppgifter. Härvid ska särskilt beaktas uppgifternas art, den eller de avsedda överföringar- nas ändamål och varaktighet, ursprungslandet och det slutliga be- stämmelselandet, de allmänna respektive särskilda rättsregler som gäller i det tredje landet liksom de regler för yrkesverksamhet som gäller där (artikel 25.2). För att säkerställa att dataskyddsdirektivet tillämpas på ett en- hetligt sätt i medlemsstaterna har den så kallade artikel 29-gruppen bildats. Gruppen har fått sitt namn av artikel 29 i direktivet. I arti- kel 30 finns bestämmelser om gruppens uppgifter. Gruppen är råd- givande och oberoende och ska se till att direktivet tillämpas enhetligt i medlemsstaterna. Gruppen ska också yttra sig till EU-kommission- en om skyddsnivån i gemenskapen och i tredje land samt ge råd till kommissionen om förslag till ändringar av direktivet. Gruppen har publicerat ett arbetsdokument1 som innehåller riktlinjer för tillämp- ningen av artikel 25 och 26 i direktivet. Av arbetsdokumentet följer bl.a. att en bedömning av om ett tredje land erbjuder en adekvat skyddsnivå bör innehålla två grundläggande delar. För det första bör innehållet i de tillämpliga reglerna i det tredje landet analyseras. För att skyddet ska kunna anses adekvat bör enligt arbetsdokumentet reglerna innehålla åtminstone följande kärna av dataskyddsprinciper: •Principen om avgränsning av ändamålet innebär att personupp- gifter ska behandlas för ett specifikt ändamål och får därefter användas eller vidarebefordras endast om detta är förenligt med ändamålet för behandlingen. 1 Överföring av personuppgifter till tredje land: tillämpning av artiklarna 25 och 26 i EU:s dataskyddsdirektiv, GD XV D/5025/98. Krav på lagring inom EU? •Principerna om uppgifternas kvalitet och proportionalitet innebär att personuppgifter ska vara korrekta och, om nödvändigt, hållas aktuella. Uppgifterna ska vara adekvata, relevanta och inte mer omfattande än vad som krävs för ändamålet med behandlingen. •Enligt öppenhetsprincipen ska enskilda informeras om ändamålet med behandlingen och om vissa andra förhållanden som är för- knippade med personuppgiftsbehandlingen. •Säkerhetsprincipen innebär att tekniska och organisatoriska säker- hetsåtgärder ska vidtas av den personuppgiftsansvarige med hän- syn till den risk behandlingen innebär. •Rätten till tillgång, rättelse och invändningar innebär att den re- gistrerade ska ha rätt att få en kopia av uppgifter som behandlas om honom eller henne och rätt att få dessa uppgifter rättade om de är felaktiga. I vissa situationer ska den enskilde också ha rätt att motsätta sig behandlingen. •Enligt principen om restriktioner för vidare överföring till andra tredje länder bör sådan överföring vara tillåten endast om mot- tagaren också har att tillämpa bestämmelser som erbjuder ett adekvat skydd för uppgifterna. På vissa särskilda kategorier av personuppgifter bör enligt arbets- dokumentet ytterligare principer tillämpas. Till exempel bör ytter- ligare säkerhetsåtgärder ha vidtagits om överföringen innefattar sådana personuppgifter som avslöjar etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening, upp- gifter som rör hälsa och sexualliv samt uppgifter som rör lagöver- trädelser, brottmålsdomar och säkerhetsåtgärder. Det andra ledet i bedömningen av om ett tredje land säkerställer en adekvat skyddsnivå för personuppgifter är enligt arbetsdoku- mentet att analysera de mekanismer som finns för att säkerställa att reglerna tillämpas effektivt. Det påpekas i dokumentet att det i finns en bred samsyn om att en nödvändig del av dataskyddet är förekomsten av ett system med extern tillsyn av ett oberoende organ som har till uppgift att övervaka dataskyddsreglernas efterlevnad. Det framhålls att sådana mekanismer inte alltid finns i andra delar av världen. För att bedöma om skyddet i ett tredje land är tillräckligt bör analysen enligt dokumentet inrikta sig på att identi- Krav på lagring inom EU? fiera ändamålen med dataskyddsregleringen i landet och bedöma de judiciella och processuella mekanismer som används. För att kunna anses adekvat bör dataskyddssystemet innehålla mekanismer som har till ändamål att •upprätthålla en hög nivå av efterlevnad av dataskyddsregleringen, •erbjuda enskilda stöd och hjälp vid utövandet av deras rättig- heter, och •erbjuda enskilda möjligheter att få rättelse när reglerna inte följs. Enligt dataskyddsdirektivet ska hänsyn tas inte bara till lagstadgade regler i det tredje landet utan även till t.ex. branschregler och andra självregleringsinstrument. En förutsättning för att sådana regler ska få någon relevans vid bedömningen av om skyddsnivån är adekvat är dock att det kan fastställas att reglerna följs. 6.3.2Europeiska kommissionens beslut om adekvat skyddsnivå Enligt artikel 25.6 i dataskyddsdirektivet kan kommissionen besluta att ett tredje land genom sin interna lagstiftning eller på grund av sina internationella åtaganden har en skyddsnivå som är adekvat i den mening som avses i artikeln. Medlemsstaterna ska i sådana fall vidta de åtgärder som är nödvändiga för att följa kommissionens beslut. Kommissionen har fattat ett antal sådana beslut avseende bl.a. , , , , och . Vidare har kommissionen i förhållande till beslutat att de s.k. Privacy Principles, tillämpade i enlighet med den väg- ledning som ges i de frågor och svar som utfärdats av Förenta stater- nas handelsministerium, ska anses utgöra en adekvat skyddsnivå för personuppgifter som överförs från gemenskapen till organisationer som är etablerade i . Överföring av uppgifter till organisationer som har åtagit sig att följa dessa principer är följakt- ligen tillåtet. Överföring till är också tillåten, om mottagaren omfattas av landets lagstiftning om skydd för personuppgifter. Krav på lagring inom EU? Kommissionens olika beslut om adekvat skyddsnivå är i huvud- sak uppbyggda på samma sätt.2 I beslutsskälen redogörs närmare för det aktuella tredje landets regler när det gäller hanteringen av och skyddet för personuppgifter. Därefter innehåller skälen en bedöm- ning av om det tredje landets regler omfattar alla de grundprinciper som krävs för att skyddsnivån ska anses vara adekvat och om tillämp- ningen av reglerna garanteras genom administrativa och rättsliga medel samt genom någon form av kontrollorgan, tillsynsmyndighet eller liknande. Besluten innehåller sedan en artikel som anger att, för tillämpningen av artikel 25.2 i dataskyddsdirektivet, det tredje landet ska anses erbjuda en adekvat skyddsnivå för de personuppgifter som överförs från Europeiska unionen. Vidare innehåller besluten bestämmelser om att en medlemsstat under vissa specificerade om- ständigheter tills vidare får avbryta överföringen av personuppgifter till det tredje landet. 1.en behörig myndighet i det aktuella tredje landet har funnit att en viss mottagare bryter mot tillämpliga skyddsregler, eller 2.det är i hög grad sannolikt att skyddsreglerna överträds, det finns välgrundad anledning att tro att en behörig myndighet i det aktuella tredje landet inte vidtar eller inte kommer att vidta de åtgärder som behövs för att avgöra ärendet, en fortsatt över- föring av uppgifterna skulle innebära en överhängande risk för att de registrerade åsamkas allvarlig skada, och medlemsstaternas behöriga myndigheter har gjort vad som under rådande omstän- digheter rimligen kan begäras för att anmärka mot den part som är ansvarig för behandlingen och ge denna möjlighet att svara. Ett sådant tillfälligt avbrott i överföringen ska upphöra så snart det har säkerställts att skyddsreglerna följs och de behöriga myndig- heterna i gemenskapen har underrättats om detta. Medlemsstaterna har en skyldighet att utan dröjsmål underrätta kommissionen om åtgärder som innebär att överföringen av personuppgifter till det tredje landet har avbrutits. Kommissionens beslut har i svensk rätt genomförts genom be- stämmelsen i 13 § personuppgiftsförordningen (1998:1191). 2 Se t.ex. Kommissionens beslut av i enlighet med och rådets direktiv /46/EG om adekvat skydd för personuppgifter i (2010/625/EU) Krav på lagring inom EU? den bestämmelsen får personuppgifter föras över till ett tredje land om och i den utsträckning som Europeiska kommissionen har kon- staterat att landet har en adekvat nivå för skyddet av personupp- gifter i enlighet med artikel 25.6 i dataskyddsdirektivet. I en bilaga till personuppgiftsförordningen anges de beslut som kommissionen har fattat i det avseendet. 6.3.3Förhållandet mellan dataskyddsdirektivet och dataskyddskonventionen De principer om skydd för enskilda personers fri- och rättigheter, särskilt rätten till privatliv, som dataskyddsdirektivet innehåller utgör enligt skälen till direktivet en precisering och en förstärkning av principerna i dataskyddskonventionen (skäl 11). Av artikel 12.2 i konventionen framgår att konventionsstaterna som huvudregel inte av integritetsskyddsskäl får hindra att person- uppgifter förs över till en annan konventionsstat för att användas där. Frågan om förhållandet mellan denna bestämmelse och direk- tivets förbud mot överföring till länder som inte erbjuder en adekvat skyddsnivå har behandlats i olika sammanhang. Av det ovan nämnda arbetsdokumentet från artikel 29-gruppen, som gavs ut , framgår att dataskyddskonventionen i materiellt avseende då bedömdes innehålla fem av de sex grundläggande data- skyddsprinciper som nämns ovan.