sou · H3B331 · 2015-03-30 00:00:00 — Det ansågs därför inte kunna uteslutas att uppgifter som lagras med stöd av svensk lagstiftning enbart för ändamål som rör bekämpning av vissa närmare avgränsade typer av brott skulle kunna komma till användning i annan verksamhet eller för bekämpning av annan brottslighet. Ett rimligt antagande ansågs vara att riskerna för sådan ändamålsglidning generellt sett torde öka om lagringen sker i ett tredje land jämfört med om den sker inom EU eller EES. konstaterades i analysen att en reglering som innebär att leverantörerna förbjuds att överföra uppgifter för lagring i ett tredje land skulle komma i konflikt med den generella regleringen på detta område, främst kommissionens beslut om adekvat skydds- nivå (se avsnitt 3.2.5.1). Det bedömdes dock att medlemsstaterna ändå kan rättfärdiga ett överföringsförbud med hänvisning till att den aktuella lagringen till sin art, omfattning och varaktighet inne- fattar ett så långtgående ingrepp i enskildas personliga integritet att kraven på säkerhet vid lagringen förutsätter att uppgifterna inte förs över till ett tredje land. Sammanfattningsvis framhölls att slutsatserna i analysen innebär att det kan finnas skäl att närmare överväga några frågor. Det gäller dels lagringsskyldigheten avseende ett par uppgiftskategorier, dels reglerna om tillsyn såvitt avser inhämtning av abonnemangsuppgifter och reglerna om en oberoende kontroll såvitt gäller inhämtning av uppgifter i underrättelseskedet. Vidare ansågs att det kan övervägas om ett uttryckligt förbud mot lagring utanför EU/EES bör införas. Det betonades att dessa åtgärder skulle verka för att ytterligare stärka rättssäkerheten och integritetsskyddet i den svenska regle- ringen. Som nämnts ovan var dock den samlade bedömningen i analysen att det svenska regelverket avseende lagring enligt 6 kap. 16 a–f §§ LEK samt övriga bestämmelser om tillgång och behand- ling av sådana uppgifter, även utan sådana åtgärder och med beak- tande av uttalanden, inte strider mot unionsrätten eller europarätten. 4.5.1.1Inledande reaktioner på domen I nära anslutning till att dom offentliggjordes med- delade flera leverantörer av elektroniska kommunikationstjänster och kommunikationsnät i att de gjorde bedömningen att den svenska lagstiftning som genomför direktivet står i strid med EU- rätten och att de därför avsåg att upphöra med lagringen av upp- gifter enligt 6 kap. 16 a § LEK. Några av dem gick också ut med information om att lagrade uppgifter skulle komma att raderas. Ett par leverantörer begärde i anslutning till domen även besked från PTS om vilken bedömning myndigheten gjorde av domen. Många leverantörer vägrade också att tillämpa de föreskrifter om avgifter för utlämnande av uppgifter som PTS med stöd av 46 § förordningen om elektronisk kommunikation har beslutat ska gälla (PTSFS 2013:5). PTS informerade på sin hemsida på internet efter att domen hade meddelats att myndigheten ”inte [kommer] att vidta några åtgärder utifrån datalagringsreglerna”. efter att analysen redovisades meddelade PTS leverantörerna att myndigheten utgick från att datalagringsreglerna skulle tilläm- pas. Trots det var det flera leverantörer som höll fast vid sin inställ- ning att inte lagra uppgifter. PTS har därefter vidtagit tillsynsåtgär- der. Bland annat har myndigheten förelagt flera leverantörer att lagra uppgifter för brottsbekämpande ändamål (beslut , Dnr 14-4175, beslut , Dnr 14-4682 och beslut , Dnr 14-8147). Av uppgifter som utredningen har inhämtat från polisen och PTS framgår att de flesta leverantörerna av elektroniska kommuni- kationstjänster och kommunikationsnät nu lagrar uppgifter enligt regleringen i LEK. Två av leverantörerna har emellertid överklagat förelägganden till förvaltningsrätten. har förvaltnings- rätten meddelat dom i ett av målen (Förvaltningsrättens i dom i mål nr 14891-14). I domen prövade för- valtningsrätten den svenska regleringens förenlighet med de aktuella fri- och rättigheterna i RF, och rättighets- stadgan. Förvaltningsrätten konstaterade inledningsvis i domen att den lagringsskyldighet som gäller enligt svensk rätt helt innefattar den lagringsskyldighet som datalagringsdirektivet föreskrev, och att den på några punkter går längre än direktivet. Förvaltningsrätten fann därför att de aktuella bestämmelserna om lagring i LEK och FEK innebär en inskränkning i rätten till respekt för privatlivet och skyd- det för personuppgifter. Dessutom utgör enligt domstolen myndig- heternas tillgång till uppgifterna ytterligare intrång i rättigheterna och att det mot bakgrund av den mängd uppgifter som lagras är fråga om ett betydande intrång. I likhet med fann dock förvaltningsrätten att bestämmelserna om lagring inte kränker det väsentliga innehållet i de aktuella rättigheterna, att de motiveras av ett godtagbart ändamål – nämligen att bekämpa grov brottslighet och bidra till den allmänna säkerheten – och att regleringen får anses vara ägnad att uppnå detta ändamål. Domstolen prövade sedan om inskränkningarna kan anses vara proportionerliga utifrån fyra områden: omfattningen av lagringen, tillgången till de lagrade uppgifterna, lagringstiden och säkerheten för de lagrade uppgifterna. När det gäller omfattningen av lagringen konstaterade förvalt- ningsrätten att den kritik som riktat mot direktivet i den delen kan göras gällande även mot den svenska lagstiftningen. Förvaltningsrätten framhöll att, vid bedömningen av om lagrings- skyldigheten går utöver vad som kan anses nödvändigt och pro- portionerligt, hänsyn ska tas till om lagringen skulle kunna begränsas utan att syftet med bestämmelserna går förlorat. Mot bakgrund av att det inte är möjligt att på förhand veta vilka personer som kan bli inblandade i allvarliga brott eller på vilka platser brott kan komma att begås, ansåg förvaltningsrätten att en sådan begränsning av lag- ringsskyldigheten skulle äventyra syftet med lagringen. Detsamma gällde enligt rätten en eventuell avgränsning till vissa kommunika- tionsslag, eftersom det inte är möjligt att i förväg känna till vilken utrustning som kommer att användas. Lagringsskyldighetens omfatt- ning ansågs därför inte i sig gå utöver vad som är nödvändigt för att uppnå syftet med bestämmelserna. Förvaltningsrätten framhöll också att det måste göras en sammantagen bedömning av reglernas proportionalitet, och att lagringens omfattning måste ses mot bak- grund av hur bestämmelserna om tillgång till uppgifter är utformade, hur länge uppgifterna ska lagras samt säkerheten kring de lagrade uppgifterna. Vad avser frågan om tillgången till uppgifter prövade förvaltnings- rätten, på samma sätt som gjordes i analysen, de tre olika regelverk som reglerar tillgången, dvs. bestämmelserna om tillgång till abonne- mangsuppgifter enligt LEK, bestämmelserna om hemlig övervakning av elektronisk kommunikation enligt och bestäm- melserna i inhämtningslagen. När det gäller regleringen i LEK konstaterade förvaltningsrätten att bestämmelserna i viss mån kan kritiseras eftersom inhämtningen inte förutsätter att uppgifterna gäller misstanke om allvarliga brott, att flera myndigheter kan få tillgång till uppgifterna utan att det sker någon förhandskontroll och att kretsen av myndighetspersoner som kan få tillgång till uppgifterna inte är begränsad. ningsrätten ska dock den kritik som riktade mot direktivet i det avseendet ses mot bakgrund av den mängd uppgifter som skulle lagras enligt direktivet och som därmed kunde lämnas ut under otydliga och oprecisa former. Förvaltningsrätten framhöll att abonnemangsuppgifter i sig inte är lika integritetskänsliga som några av de övriga uppgifter som skulle lagras enligt direktivet. Be- hovet av en begränsning av tillgången till enbart allvarligare brotts- lighet, en begränsning av kretsen av myndighetspersoner som kan få tillgång till uppgifter samt behovet av förhandskontroll kunde därför inte anses vara lika starkt. Domstolen påpekade också att tillgången till abonnemangsuppgifter är av stor betydelse för utred- ning av internetrelaterade brott. Förvaltningsrätten fann mot den bakgrunden att inhämtningen enligt LEK uppfyller de krav som kan ställas på lagstiftningen utifrån proportionalitetsprincipen. Vad därefter gäller tillgången enligt konstate- rade förvaltningsrätten att de uppgifter som kan inhämtas enligt regleringen är integritetskänsliga eftersom det är möjligt att utifrån uppgifterna dra slutsatser kring en persons vanor och privatliv. Enligt förvaltningsrätten är dock tillgångsbestämmelserna i rätte- gångsbalken tydliga och precisa samt begränsade till vad som är strängt nödvändigt. När det slutligen gäller bestämmelserna i inhämtningslagen kon- staterade förvaltningsrätten – av samma skäl som när det gäller till- gång enligt – att de uppgifter som lagen ger tillgång till är integritetskänsliga. Det ansågs därför vara av särskild vikt att möjligheterna att få tillgång till uppgifterna inte går utöver vad som är strikt nödvändigt. Domstolen framhöll i det sammanhanget att den brottslighet som lagen är avsedd att användas mot är mycket allvarlig och att den med god marginal är att betrakta som sådan allvarlig brottslighet som angavs i direktivet. Behovet av att möjlig- göra utredning kring sådan brottslighet utgör enligt domstolens mening godtagbara skäl för mer långtgående inskränkningar i den personliga integriteten än om det hade varit fråga om mindre all- varlig brottslighet. Den kritik som förvaltningsrätten ansåg kunde riktas mot inhämtningslagen rörde främst antalet personer som är behöriga att få tillgång till uppgifterna samt avsaknaden av förhands- kontroll. I den delen konstaterade domstolen att antalet personer som är behöriga att få tillgång till uppgifter är begränsad på så sätt att beslutsfattaren ska vara en myndighetschef eller någon som fått delegation av denne. Vad gäller förhandskontroll framhölls att en sådan i och för sig skulle medföra att risken för obefogad inhämt- ning skulle minska. konstaterade förvaltningsrätten att det ligger i sakens natur att underrättelseverksamhet kräver snabb tillgång till aktuella uppgifter och att en förhandskontroll skulle kunna riskera att fördröja denna tillgång. Slutligen påpekades även att SIN:s tillsyn över myndigheternas tillämpning av lagen utgör en ytterligare försäkran. Sammantaget fann förvaltningsrätten att tillgångsbestämmelserna i såväl som inhämtningslagen är tydliga och precisa samt begränsade till vad som är strikt nödvändigt. Bestämmelserna bedömdes därför uppfylla de krav som kan ställas på lagstiftningen utifrån RF, , EU:s rättighetsstadga och direktiv om integritet och elektronisk kommunikation. Förvaltningsrätten fortsatte sin prövning med att undersöka frågan om lagringstiden. I den delen framhölls inledningsvis att EU- domstolen inte hade anmärkt på en lagringstid , utan vad som hade föranlett kritik var i stället att direktivet inte ställde upp några kriterier för när en kortare respek- tive längre lagringstid kan godtas. Förvaltningsrätten konstaterade att enligt svensk rätt gäller samma korta lagringstid för alla typer av lagrade uppgifter och att en kortare lagringstid än inte kan anses meningsfull. För att kunna utreda brott måste myndig- heterna enligt förvaltningsrätten ha en reell möjlighet att hinna inhämta relevanta uppgifter. Domstolen fann därför att bestämmel- serna om lagringstiden i LEK är proportionerliga och att de upp- fyller de krav som kan ställas på dem. Därefter behandlade förvaltningsrätten frågan om säkerheten för de lagrade uppgifterna. Det noterades att det vid implementeringen av direktivet hade införts en bestämmelse i LEK som innebär att lagringsskyldiga leverantörer ska vidta de särskilda tekniska och organisatoriska åtgärder som behövs för att skydda de lagrade upp- gifterna. Domstolen framhöll att det framgår av förarbetena att bestämmelsen inte lämnar något utrymme för att bestämma säker- hetsnivån genom en avvägning mellan teknik, kostnader och risken för integritetsintrång (prop. 2010/11:46 s. 75). Det påpekades även att PTS föreskrifter om säkerheten bl.a. innebär att leverantörer ska vidta åtgärder för att skydda uppgifterna mot oavsiktlig eller otillåten förstöring, mot otillåten lagring, behandling av eller tillgång till och otillåtet avslöjande av uppgifterna. Leverantörerna ska även bedriva ett kontinuerligt och systematiskt säkerhetsarbete med beaktande av de särskilda risker som lagringsskyldigheten medför. Förvalt- ningsrätten ansåg därför att den svenska regleringen kring säker- heten för uppgifterna är mer omfattande och preciserad än motsva- rande regler i datalagringsdirektivet, och att de också medför ett högre krav på skyddsnivå. Den korta lagringstiden ansågs dessutom medföra mindre risker för konkreta integritetsskador. Den kritik som riktade mot direktivet kunde därför enligt för- valtningsrätten inte göras gällande mot de svenska reglerna. Vidare konstaterade domstolen att regleringen i LEK ställer krav på att uppgifterna ska utplånas efter utgången av lagringstiden. Förvaltningsrätten noterade att det i svensk rätt saknas bestäm- melser som reglerar frågan om var uppgifterna ska lagras. Frågan var därför om den oberoende myndighetskontrollen som föreskrivs i artikel 8.3 i EU:s rättighetsstadga kan garanteras samt om svensk rätt ger tillräckliga garantier för att säkerställa ett effektivt skydd mot riskerna för missbruk och otillåten tillgång eller användning av uppgifterna. I denna del konstaterade domstolen att leverantörerna ska uppfylla de höga krav som ställs på säkerheten oavsett var dessa väljer att lagra uppgifterna. Det framhölls att det ingår i PTS tillsyns- ansvar att leverantörerna följer LEK och de föreskrifter som har meddelats med stöd av lagen, samt att PTS har omfattande befogen- heter för att säkerställa att leverantörerna gör detta. Förvaltnings- rätten ansåg att dessa regler möjliggör en tillfredsställande obero- ende myndighetskontroll av skyddet för personuppgifter och att de även utgör tillräckliga garantier, vilka säkerställer ett effektivt skydd mot riskerna för missbruk och otillåten tillgång eller användning av uppgifterna. Domstolen framhöll dock att en reglering om var upp- gifter får lagras skulle förtydliga och i viss mån höja säkerheten för uppgifterna. Avsaknaden av en sådan reglering bedömdes emellertid inte medföra att säkerheten var så låg att lagringen borde upphöra. Avslutningsvis gjorde förvaltningsrätten en samlad bedömning av den svenska regleringens proportionalitet. Domstolen påpekade att den funnit att tillgångs- och säkerhetsbestämmelserna, trots vissa svagheter, uppfyller de krav som proportionalitetsprincipen ställer. Den fråga som återstod var därför om lagringens omfattning är förenlig med de fri- och rättigheter som ska garanteras enskilda. Förvaltningsrätten beaktade att, även om den svenska regleringen möjliggör en omfattande lagring, reglerna om tillgång och säkerhet är tydliga och precisa samt begränsade till vad som är strikt nödvän- digt. Till detta kom enligt domstolen att lagringen är motiverad av det mycket angelägna behovet av att tillhandahålla de brottsbekäm- pande myndigheterna effektiva verktyg vid utredning av brott. Med beaktande av detta behov fann förvaltningsrätten att de inskränk- ningar som de aktuella bestämmelserna innebär i rätten till respekt för privatliv samt skydd för personuppgifter uppfyller proportio- nalitetskravet och är förenliga med RF, , EU:s rättighetsstadga samt direktiv om integritet och elektronisk kommunikation. Förvaltningsrätten avslog därför överklagandet. Den aktuella leverantören har överklagat förvaltningsrättens dom till kammarrätten. En annan leverantör har också anmält till att begår fördragsbrott genom att fort- sätta att genomdriva en lagstiftning om datalagring som står i strid med artiklarna 7 och 8 i stadgan. 4.5.2.1Uttalande från artikel 29-gruppen antog den s.k. artikel 29-gruppen2 ett uttalande med anledning av dom om datalagringsdirektivet (14/EN/WP 220). I uttalandet konstaterades att nationell lagstift- ning baserad på direktivet inte direkt påverkas av domen. Trots det uppmanade gruppen medlemsstaterna och EU:s institutioner att utvärdera domens konsekvenser för nationell lagstiftning och tillämp- ning av regler om datalagring. Det påpekades därvid att nationell lagstiftning måste stå i överensstämmelse med artikel 15(1) i direk- tiv 2006/24/EU, rättighetsstadgan och allmänna prin- ciper. Gruppen framhöll särskilt att nationella datalagringsregler bör utformas på ett sådant sätt att masslagring av alla typer av uppgifter undviks, och att lagringen i stället blir föremål för lämpliga differen- tieringar, begränsningar eller undantag. Enligt gruppen bör nationella myndigheters tillgång till lagrade uppgifter begränsas till det strikt nödvändiga vad gäller kategorier av uppgifter och personer som 2 Se vidare om artikel 29-gruppen i avsnitt 6.3.1. Vidare bör tillgången vara föremål för materiella och pro- cessuella villkor. Slutligen framhölls i uttalandet att den nationella lagstiftningen bör erbjuda ett effektivt skydd mot risken för otillåten tillgång eller annat missbruk av uppgifter. Ett sådant system bör innehålla krav på att datalagringen kontrolleras av en oberoende myndighet som garanterar att EU:s dataskyddslagstiftning följs. I regleras skyldigheten att lagra uppgifter om elektronisk kommunikation i § 786 i retsplejeloven. Enligt den bestämmelsen är leverantörer av telenät och teletjänster skyldiga att registrera och bevara uppgifter om elektronisk kommunikation för att kunna användas vid utredning och lagföring av brott. Lagringsplikten gäller både tele- och internetkommunikation och omfattar upplysningar om vem som har haft kontakt med vem, däremot inte upplysningar om innehållet i meddelanden. Lagringspliktens omfattning definieras närmare i förordning och omfattar en rad olika uppgiftskategorier i fråga om fast och mobil telefoni, kommunikation med sms, ems och mms samt internettrafik och e-post (Bekendtgørelse nr. 988 af om udbydere af elektroniske kommunikations- nets og elektroniske kommunikationstjenesters registrering og op- bevaring af oplysninger om teletrafik [logningsbekendtgørelsen]). De uppgifter om elektronisk kommunikation som leverantörer- na är skyldiga att lagra är till största delen historiska trafikuppgifter. Det innebär enligt dansk rättspraxis att utlämnande av uppgifter kan ske med stöd av retsplejelovens regler om edition. Normalt krävs då att även förutsättningarna för ingrepp i meddelandehemligheten är uppfyllda. I vissa fall är det dock tillräckligt att enbart förut- sättningar för edition föreligger. Det gäller i de fall det begärs upp- gifter om vilka en mobiltelefon har varit uppkopplad mot eller uppgifter om vem som varit brukare av en specifik internet- adress . Enligt retsplejeloven är det endast polisen som kan få tillstånd till att göra ingrepp i meddelandehemligheten och därigenom få till- gång till uppgifter om historisk teletrafik (§ 780). De närmare förut- sättningarna för sådana ingrepp framgår av § 781. ska få göras krävs enligt den bestämmelsen att det föreligger viss misstanke (misstankekravet) och ett behov av att göra ingreppet (behovskravet) samt att den brottslighet som utreds är av visst allvar (kriminalitetskravet). Sålunda krävs att det finns särskilda skäl (bestemte grunde) att anta att åtgärden kommer att ge upplys- ningar om meddelanden eller försändelser som har skickats till eller från en misstänkt, och att ingreppet kan antas vara av avgörande betydelse för utredningen. Det är vidare ett krav att utredningen avser ett brott som kan leda till fängelse eller upp- såtliga brott mot straffelovens kapitel 12 (brott mot statens själv- ständighet och säkerhet) eller 13 (brott mot statsförfattningen och de översta statsmyndigheterna, terrorism m.m.). Möjligheten att göra ingrepp i meddelandehemlighet omfattar vidare ett antal särskilt upp- räknade brott där behovet av en sådan möjlighet har ansetts vara särskilt stort. Det gäller bl.a. barnpornografibrott, koppleri och brott mot utlänningslagen (udlændingeloven). Gemensamt för de särskilt uppräknade brotten är att de har lägre straffskala än fängelse. Ett ingrepp i meddelandehemligheten kräver att åtgärden står i proportion till föremålet för ingreppet, sakens betydelse och den kränkning och olägenhet som ingreppet kan antas vålla den som ingreppet rör (§ 782). Vidare får ingrepp göras endast efter beslut av domstol, om inte situationen är sådan att ändamålet med åtgär- den går förlorat om domstolens beslut avvaktas. I sådana fall ska åtgärden läggas fram inför domstol timmar från verkställig- heten av ingreppet (§ 783). Innan rätten beslutar i frågor om in- grepp i meddelandehemligheten ska en advokat utses för den som ingreppet rör. Advokaten ska ha möjlighet att yttra sig (§ 784). Enligt retsplejelovens § 788 ska den som ingreppet riktas mot som huvudregel underrättas om åtgärden i efterhand. Detta gäller dock inte om underrättelsen skulle vara till skada för en utredning om brott som kan leda till ingrepp i meddelandehemligheten. När det gäller reglerna om edition framgår av retsplejelovens § 804 att rätten, som ett led i utredningen av en lagöverträdelse som faller under allmänt åtal, kan förelägga en person som inte är misstänkt att visa upp eller ge in ett föremål som han eller hon har rådighet över. Förutsättningarna för ett sådant föreläggande är att det finns anledning att anta att föremålet antingen kan tjäna som bevis, bör beslagtas eller vid lagöverträdelsen har frånhänts någon som kan kräva det tillbaka. I motsats till reglerna om ingrepp i meddelandehemligheten kräver editionsreglerna inte att lagöverträ- delsen ska vara av någon viss svårhetsgrad. Beslut om edition fattas av domstol. Om ändamålet med åtgärden skulle gå förlorat om domstolen beslut avvaktas får dock polisen besluta om åtgärden (retsplejelovens § 806). Om den som beslutet riktas mot i ett så- dant fall motsätter sig beslutet ska frågan möjligt och läggas fram inför domstolen. Säkerheten för lagrade uppgifter regleras i dansk rätt av person- dataloven. Av lagen framgår att den registeransvariga ska vidta lämp- liga tekniska och organisatoriska säkerhetsåtgärder för att skydda mot oavsiktlig eller otillåten förstörelse, förlust eller försämring av uppgifter samt mot obehörigt röjande, missbruk eller annan be- handling i strid med lagen (§ 41 och 42). I lagens förarbeten förut- sätts att dessa åtgärder, med hänsyn till aktuell teknisk nivå och de kostnader som är förknippade med åtgärderna, ska säkerställa en tillräckligt hög säkerhetsnivå i förhållande till de risker som behand- lingen innebär och arten av de uppgifter som ska skyddas. Av lagen framgår också att personuppgifter bara får föras över till ett tredje land om landet i fråga säkerställer en tillräcklig säkerhetsnivå (§ 27). Bedömningen av om skyddsnivån är tillräcklig ska göras på grund- val av samtliga omständigheter som påverkar överföringen, särskilt uppgifternas art, behandlingens syfte och varaktighet, ursprungs- landet och det slutliga destinationslandet samt de rättsregler som tillämpas i det tredje landet. Enligt lagens § 55 utövar Datatillsyns- myndigheten (Datatilsynet) tillsyn över all personuppgiftsbehand- ling som omfattas av lagen. Myndigheten utövar sina befogenheter helt oberoende (§ 56). publicerade en rapport där dom och de danska datalagringsregler- nas förhållande till analyserades grundligt (Saknr. 2014- 6140-0620, dokument 1188632). Bakgrunden till rapporten var att det efter att domen meddelades hade rests frågor om huruvida de danska reglerna kan upprätthållas (se rapporten s. 19). Inledningsvis noterades i rapporten att lagringsplikten enligt de danska reglerna tar sin utgångspunkt i det upphävda direktivet och att den således gäller samma typer av uppgifter och att syftet med lagringen är detsamma som enligt direktivet, dvs. att möjliggöra an- vändning av uppgifterna vid utredning och lagföring av brott. Med utgångspunkt i dom bedömde