sou · H3B331 · 2015-03-30 00:00:00 — SOU och Ds kan köpas från kundtjänst. Beställningsadress: kundtjänst, 106 47 För remissutsändningar av SOU och Ds svarar på uppdrag av . Svara på remiss – hur och varför. Statsrådsberedningen, SB PM 2003:2 (reviderad ) En kort handledning för dem som ska svara på remiss. Häftet är gratis och kan laddas ner som pdf från eller beställas på regeringen.se/remiss. Layout: Kommittéservice, . Tryck: , 2015. Regeringen beslutade att tillkalla en särskild ut- redare med uppdrag att utvärdera lagen (2012:278) om inhämtning av uppgifter om elektronisk kommunikation i de brottsbekämpande myndigheternas underrättelseverksamhet och analysera Säkerhets- polisens behov av en möjlighet enligt lagen att hämta in uppgifter om brottslig verksamhet som innefattar vissa samhällsfarliga brott. I uppdraget har även ingått att överväga om de rättssäkerhets- och integritetsstärkande åtgärder som vidtogs när inhämtningslagen in- fördes har varit tillräckliga eller om det finns behov av andra sådana åtgärder. Vidare har det ingått i uppdraget föreslå de förändringar i övrigt som bedöms lämpliga för att stärka skyddet för den person- liga integriteten när det gäller reglerna om lagring av uppgifter om elektronisk kommunikation för brottsbekämpande ändamål. F.d. justitierådet och ordföranden i Högsta förvaltningsdom- förordnades att fr.o.m. vara särskild utredare. Förordnade experter under hela eller delar av utredningstiden har varit polisöverintendenten (), operative ledaren (Säkerhetspolisen), advokaten (), enhetschefen och föredraganden (Säkerhets- och integritets- skyddsnämnden), juristen (Post- och tele- styrelsen), enhetschefen och utredaren (), professorn () samt kanslirådet (). Rättssakkunnige har varit sekreterare. Förordnande- respektive anställningstider för experterna och sekreteraren framgår av en förteckning som bifogas. Utredningen har antagit namnet . är ensam utredningsman och svarar ensam för innehållet i betänkandet. Experterna har emellertid deltagit i arbetet i sådan utsträckning att det är befogat att använda vi-form i betänkan- det. Skilda uppfattningar i enskildheter och beträffande formuleringar kan dock förekomma utan att detta har behövt komma till uttryck i något särskilt yttrande. Härmed överlämnas betänkandet Datalagring och integritet (SOU 2015:31). I och med detta är utredningens uppdrag slutfört. Förteckning över förordnande- respektive anställningstider Polisöverintendenten , fr.o.m. Operative ledaren , fr.o.m. Advokaten , fr.o.m. Enhetschefen , fr.o.m. till Föredraganden , fr.o.m. Juristen , fr.o.m. Enhetschefen , fr.o.m. Utredaren , fr.o.m. Professorn , fr.o.m. , fr.o.m. Rättssakkunnige , anställd som sekreterare fr.o.m. Förslag till lag om ändring i ....................... 1.2Förslag till lag om ändring i lagen (2003:389) om 1.3Förslag till lag om ändring i lagen (2007:979) om åtgärder för att förhindra vissa särskilt allvarliga brott ......... 1.4Förslag till lag om ändring i offentlighets- och sekretesslagen (2009:400)........................................................ 1.5 Förslag till lag om ändring i postlagen (2010:1045) .............. 1.6Förslag till lag om ändring i lagen (2012:278) om inhämtning av uppgifter om elektronisk kommunikation i de brottsbekämpande myndigheternas 1.7Förslag till förordning om ändring i förordningen (2003:396) om elektronisk kommunikation Utredningens uppdrag och arbete ................................ Rätten till personlig integritet ................................................ 3.1.3 Regleringen av skyddet för privatlivet ........................ Skyddet för personuppgifter................................................... 3.2.5 Överföring av personuppgifter till tredje land ........... 3.3.1 Allmänt om elektronisk kommunikation................... 3.3.2 Integritetsskydd och tystnadsplikt vid 3.5Uppgifter om elektronisk kommunikation i 3.5.1 Allmänt om straffprocessuella tvångsmedel............... 3.5.2 Hur används uppgifter om elektronisk 3.5.3 Regleringen av tillgången till uppgifter....................... 4.1.1 Direktivets syfte och tillämpningsområde ............... 4.1.3 Hanteringen av lagrade uppgifter.............................. Den svenska regleringen ....................................................... Utlämnande av uppgifter............................................ 4.2.4 Säkerheten för lagrade uppgifter................................ 4.4.3 Tillgången till lagrade uppgifter................................. 4.4.5 Säkerheten för lagrade uppgifter................................ Reaktioner på domen............................................................. Vilka uppgiftskategorier ska lagras?............................ Uppgifter som lagras ............................................................. 5.2.2 Lagringsskyldigheten enligt svensk rätt.................... Behovet av lagrade uppgifter ................................................. Krav på lagring inom EU?.......................................... De svenska reglerna om säkerhet och tillsyn ....................... Överföring av personuppgifter till tredje land..................... 6.3.1 Bedömningen av skyddsnivån enligt 6.3.2 Europeiska kommissionens beslut om adekvat 6.3.3 Förhållandet mellan dataskyddsdirektivet och Inhämtning av abonnemangsuppgifter ........................ 7.2Vilket integritetsintrång innebär utlämnandet av Rutiner för dokumentation och loggning............................ En särskild tillsynsuppgift?........................................ Underrättelse till enskild?.......................................... Parlamentarisk kontroll?............................................ 7.5.4 Beslut om inhämtning av abonnemangsuppgifter bör fattas på en viss nivå ............................................ Krav på dokumentation ............................................. 7.5.7 Utlämnande för andra ändamål ................................. 7.5.8 Utlämnande av abonnemangsuppgifter i Uppgifter som omfattas av yrkesmässig tystnadsplikt ... Skyddet för yrkesmässig tystnadsplikt ................................ Undantag från vittnesplikt ........................................ 8.2.4 Skyldighet att förstöra upptagningar och 8.3.1 Förbud mot att hämta in uppgifter om kommunikation med personer som omfattas av yrkesmässig tystnadsplikt?......................................... Åtgärder för att stärka rättssäkerheten eller 9.3.1 Integritetsstärkande åtgärder vidtogs när 9.3.2 Bör inhämtningslagens beslutsordning ändras?........ 9.3.3 Åtgärder inom ramen för den befintliga 9.4Säkerhetspolisens behov av en särskild möjlighet att inhämta uppgifter om viss brottslig verksamhet.................. Tystnadsplikt för kvarhållande av försändelse enligt lagen om preventiva tvångsmedel ......................................... behov av en möjlighet att hämta in uppgifter enligt inhämtningslagen......................... Brottslig verksamhet som innefattar spridning av Genomförande och konsekvenser................................ 11.2.2 Ekonomiska konsekvenser ........................................ 11.2.3 Övriga konsekvenser.................................................. Förslaget till lag om ändring i .................. Förslaget till lag om ändring i lagen om elektronisk Förslaget till lag om ändring i lagen om åtgärder för att förhindra vissa särskilt allvarliga brott ................................. Förslaget till lag om ändring i offentlighets- och Förslaget till lag om ändring i postlagen.............................. 12.6Förslaget till lag om ändring i lagen om inhämtning av uppgifter om elektronisk kommunikation i de brottsbekämpande myndigheternas 12.7 Förslaget till förordning om ändring i förordningen om I lagen om elektronisk kommunikation finns bestämmelser som anger att leverantörer av allmänt tillgängliga elektroniska kommuni- kationstjänster ska lagra vissa uppgifter som genereras eller behandlas i samband med att sådana tjänster tillhandahålls för att uppgifterna ska kunna användas vid brottsbekämpning. Vårt uppdrag har varit att föreslå de förändringar som bedöms lämpliga för att stärka skyd- det för den personliga integriteten i förhållande till den regleringen. Den s.k. inhämtningslagen reglerar , Säker- hetspolisens och möjligheter att få tillgång till uppgifter om elektronisk kommunikation i sin underrättelseverksamhet. Ut- redningen har haft i uppdrag att kartlägga och utvärdera hur lagen har tillämpats samt att överväga om den bör förändras för att stärka rättssäkerheten eller skyddet för den personliga integriteten. Ett annat syfte med uppdraget har varit att analysera Säkerhetspolisens behov av en särskild möjlighet att inhämta uppgifter om viss brotts- lig verksamhet som inte omfattas av inhämtningslagens huvudregel samt lämna förslag på hur ett sådant behov bör tillgodoses och balanseras mot integritetsintresset. Skyddet för privatlivet m.m. I betänkandets bakgrundsavsnitt redogör vi för de regler om skydd för enskildas privatliv som finns i regeringsformen, Europakonven- tionen och EU:s rättighetsstadga. Där behandlas också vissa bestäm- melser om skydd för enskildas personuppgifter. Vidare innehåller bakgrundsavsnittet beskrivningar av de brottsbekämpande myndig- heternas verksamhet och de bestämmelser som reglerar dessa myn- digheters möjligheter att få tillgång till vissa uppgifter om elektronisk kommunikation som behövs i verksamheten. Det s.k. datalagringsdirektivet (och rådets direk- tiv 2006/24/EG om lagring av trafikuppgifter som genererats eller behandlats i samband med tillhandahållande av allmänt tillgängliga elektroniska kommunikationstjänster eller allmänna kommunika- tionsnät och om ändring av direktiv /58/EG) syftade till att harmonisera medlemsstaternas regler om skyldigheter för leveran- törer av allmänt tillgängliga elektroniska kommunikationstjänster eller allmänna kommunikationsnät att lagra vissa uppgifter om elektro- nisk kommunikation för att säkerställa att uppgifterna finns till- gängliga för avslöjande, utredning och åtal av allvarliga brott. De bestämmelser som genomförde direktivet i svensk rätt finns i lagen om elektronisk kommunikation. meddelade dom i målen C-293/12 och C-594/12, Digital Rights m.fl., angående giltigheten av datalagringsdirektivet. förklarade i domen data- lagringsdirektivet ogiltigt. Domstolen konstaterade att direktivet innebar ett omfattande och särskilt allvarligt intrång i rätten till privatliv och skyddet av personuppgifter. Domstolen konstaterade dock att en skyldighet att lagra uppgifter är en ändamålsenlig åtgärd för att uppnå syftet att bekämpa allvarlig brottslighet och upprätt- hålla allmän säkerhet. Eftersom direktivet inte fastställde tydliga och preciserade regler för omfattningen av intrånget i de aktuella rättig- heterna ansåg domstolen emellertid att intrången inte begränsades till vad som var absolut nödvändigt för att uppnå sitt syfte. I domen pekade domstolen ut vissa omständigheter som beaktades särskilt vid bedömningen av om direktivet levde upp till kraven på proportio- nalitet. Domstolen fann vid en samlad bedömning att EU:s lag- stiftande församlingar överskridit sina befogenheter då direktivet antogs eftersom det inte lever upp till proportionalitetsprincipen med avseende på de aktuella rättigheterna. Vilka uppgiftskategorier ska lagras? Lagringsskyldighetens omfattning enligt svensk rätt regleras av be- stämmelser i lagen och förordningen om elektronisk kommunika- tion. Enligt dessa bestämmelser ska leverantörer av elektroniska kom- munikationsnät och kommunikationstjänster lagra vissa uppgifter om bl.a. telefonsamtal, internettrafik och meddelandehantering. Skyldigheten gäller räknat från den dag kommunika- tionen avslutades. Skyldigheten att lagra dessa uppgifter inkräktar på rättigheter som enskilda är tillförsäkrade enligt regeringsformen, Europakonven- tionen och EU:s rättighetsstadga. För att en sådan åtgärd ska vara godtagbar krävs att den objektivt sett är ägnad att uppnå syftet med åtgärden och att den är proportionerlig. Av uppgifter som vi har inhämtat från polisen framgår att samt- liga uppgiftskategorier som lagras enligt dagens regler är av stor vikt för den brottsbekämpande verksamheten. Vår bedömning är därför att lagringsskyldighetens inte omfattar annat än vad som är strikt nödvändigt för att uppnå syftet med regleringen. Det bör därför inte göras några förändringar i fråga om vilka uppgiftskategorier som ska lagras. Krav på lagring inom EU? Enligt är den oberoende myndighetskontrollen en grundläggande beståndsdel i skyddet för enskilda individer i sam- band med behandlingen av personuppgifter. Domstolen pekade i datalagringsdomen på att en brist i datalagringsdirektivet var att den oberoende myndighetskontrollen av att skydds- och säkerhets- kraven för de lagrade uppgifterna följs inte fullt ut kunde anses vara garanterad i direktivet. Detta var enligt domstolen en konsekvens av att direktivet inte krävde att uppgifterna skulle lagras inom unionen. Vi har mot den bakgrunden övervägt om det bör införas ett för- bud mot att uppgifter som lagras enligt de svenska reglerna förs över till ett s.k. tredje land för lagring där. Emellertid har vi funnit att det svenska regelverket är utformat på ett sådant sätt att tillsyns- myndigheten, , har möjligheter att bedriva en aktiv och ändamålsenlig tillsynsverksamhet även gentemot leveran- törer som väljer att lagra uppgifter utanför unionen. beaktat att personuppgifter får föras över till tredje land endast om landet i fråga säkerställer en adekvat nivå av skydd för uppgifterna. Kravet på adekvat skydd innebär bl.a. att det tredje landet ska ha inrättat kontrollmekanismer som bevakar att landets skyddsregler i fråga om personuppgifter följs. Vår bedömning är därför att den oberoende myndighetskontrollen är garanterad i svensk rätt även i förhållande till leverantörer som skulle välja att lagra uppgifter utan- för EU. Vidare har vi funnit att ett krav i nationell rätt på lagring inom EU eller EES inte går att förena med den övriga EU-regleringen på området samt med åtaganden enligt dataskyddskonven- tionen. Mot den bakgrunden gör vi bedömningen att det inte bör in- föras något generellt förbud mot att uppgifter som lagras enligt de svenska datalagringsreglerna förs över till tredje land för lagring där. En av de brister i datalagringsdirektivet som pekade på i sin dom var att direktivet inte angav några objektiva kriterier för att avgränsa de nationella myndigheternas tillgång till och an- vändning av de lagrade uppgifterna. Domstolen noterade också att direktivet inte krävde att tillgången till uppgifter skulle vara under- kastad någon förhandskontroll av en domstol eller oberoende myn- dighet som har till uppgift är att se till att tillgången begränsas till vad som är strikt nödvändigt. Abonnemangsuppgifter som lagras med stöd av de svenska data- lagringsreglerna får lämnas ut till brottsbekämpande myndigheter utan krav på att den brottslighet som uppgifterna lämnas ut för ska vara av någon viss svårhetsgrad. Vidare får uppgifter hämtas in efter beslut av den brottsbekämpande myndigheten och således utan föregående kontroll av en oberoende instans. Vi har mot den bakgrunden övervägt ett flertal olika åtgärder som skulle kunna bidra till att stärka kontrollen över de brotts- bekämpande myndigheternas tillämpning av reglerna om inhämtning av abonnemangsuppgifter. Bland annat har vi övervägt om ett till- synsorgan bör få i uppgift att utöva tillsyn som specifikt tar sikte på tillämpningen av dessa regler. Vi gör dock bedömningen att nackdelarna med en sådan ordning överväger fördelarna. föreslår vi att beslut om inhämtning av abonnemangsuppgifter ska få fattas endast av vissa särskilt utpekade befattningshavare inom den myndighet som begär uppgifterna. Vidare föreslår vi att beslut om inhämtning av sådana uppgifter ska dokumenteras på visst sätt. Dessa åtgärder bedöms kunna bidra till högre kvalitet i besluts- fattandet och till att den tillsyn som bedrivs av JO, JK, Data- inspektionen och SIN blir mer effektiv. Vidare lämnar vi förslag på vissa förtydliganden i bestämmelsen om inhämtning av abonne- mangsuppgifter. Syftet är att göra det tydligt att bestämmelsen kan tillämpas i de brottsbekämpande myndigheternas underrättelse- verksamhet. Uppgifter som omfattas av yrkesmässig tystnadsplikt lyfte i sin dom fram att en brist i datalagringsdirek- tivet var att det inte innehöll några undantag från lagringskravet, vilket innebar att det var tillämpligt även på personer vilkas kom- munikation enligt nationell rätt omfattas av tystnadsplikt. Vi har därför övervägt om det bör införas ett förbud mot att hämta in uppgifter om kommunikation med personer som omfattas av yrkesmässig tystnadsplikt. I svensk rätt är det emellertid en upp- gifts innehåll som avgör om den omfattas av tystnadsplikt. Vid in- hämtning av s.k. metadata känner den myndighet som hämtar in uppgifterna normalt inte till innehållet i kommunikationen. Vår bedömning är därför att ett sådant förbud skulle vara mycket svårt att tillämpa. Vidare bedömer vi att ett sådant förbud skulle vara av begränsad praktisk betydelse. Detta eftersom proportionalitets- principen normalt hindrar att uppgifter hämtas in, om myndigheter- na i något undantagsfall på förhand skulle känna till att kom- munikationen omfattas av tystnadsplikt. Däremot föreslår vi att det ska införas regler om att uppgifter om sådan kommunikation ska förstöras i de fall myndigheterna i efterhand får kännedom om att kommunikationen omfattas av sådan tystnadsplikt. En del av vårt uppdrag har varit att kartlägga den hittillsvarande tillämpningen av inhämtningslagen. Den undersökningsmetod som vi har valt innebär att vi på djupet har granskat ett urval av under- rättelseärenden där inhämtningslagen har tillämpats av Polismyndig- heten, Säkerhetspolisen eller . I samband med undersök- ningen har utredningen, i vart och ett av de utvalda ärendena, tagit del av de beslut enligt inhämtningslagen som fattats i ärendena samt bakomliggande skriftligt material. Därefter har företrädare för utredningen intervjuat den ansvarige handläggaren om ärendet. Syftet har varit att på djupet tränga in i frågorna om nytta, behov och inte- gritetsintrång. Resultatet av kartläggningen redovisas i detalj i betänkandet och har varit en viktig del av underlaget för vår analys, våra bedömningar och våra förslag i fråga om inhämtningslagen. Vi har kunnat kon- statera att de brottsbekämpande myndigheterna hanterar ärenden enligt inhämtningslagen på ett i allt väsentligt tillfredsställande sätt. Vidare har vi funnit att lagen är ett viktigt redskap i myndigheter- nas underrättelseverksamhet. Tillämpningen av lagen leder i de allra flesta fall till att myndigheterna får tillgång till relevant information som bidrar till att föra underrättelseärendena framåt. Det finns där- för underlag för bedömningen att lagen innebär beaktansvärd nytta i underrättelseverksamheten. Lagen leder dock även till integritets- intrång, både för de personer som ärendena avser och de personer som dessa har kontakt med. pekade i datalagringsdomen på att direktivet inte föreskrev att de behöriga nationella myndigheternas tillgång till lag- rade uppgifter skulle vara underkastad någon förhandskontroll utförd av en domstol eller oberoende myndighet. Vi har därför, och i enlighet med våra direktiv, övervägt bl.a. om allmän domstol bör anförtros uppgiften att fatta beslut om inhämtning av uppgifter. Emellertid har vi funnit att frågor om inhämtning av uppgifter i underrättelseverksamhet lämpar sig mindre väl för prövning i allmän I underrättelseverksamheten, som är skild från och ligger i tiden före en förundersökning, är syftet att genom en bred infor- mations- och kunskapsinsamling ge underlag för bearbetning och analys. Utgångspunkten för underrättelseverksamheten är, ofta utifrån en mer övergripande ansats, att studera och kartlägga en befarad brottslig verksamhet för att förebygga eller förhindra att brottsligheten genomförs. Eftersom verksamheten inte som i en förundersökning, är inriktad mot någon specifik brottslig gärning – och ofta inte heller mot någon särskild utpekad person – gör sig partsintresset inte heller gällande på samma sätt i underrättelseverk- samheten som under en förundersökning. Integritetsaspekten i under- rättelseskedet präglas därför mer av ett medborgarperspektiv än av ett sådant tvåpartsförfarande som lämpar sig för prövning i allmän domstol. Det finns också anledning att vara tveksam till om dom- stolarna skulle ha möjlighet att tillgodose behovet av snabba beslut. Vi har också övervägt om beslutsbefogenheten enligt inhämt- ningslagen bör anförtros åklagare eller ett nytt beslutsorgan, t.ex. en nämnd. Sådana alternativ har samma svagheter som en domstols- prövning. Det finns också andra nackdelar. Vi bedömer t.ex. att en uppgift för åklagare att fatta beslut om den aktuella inhämtningen skulle vara svår att förena med den roll åklagarna har i det straff- processuella systemet. Mot bakgrund av att dagens beslutsordning fungerar väl gör vi därför bedömningen att beslut enligt inhämt- ningslagen även i fortsättningen bör fattas av de brottsbekämpande myndigheterna. Åtgärder inom ramen för den befintliga beslutsordningen Vi har också övervägt vissa åtgärder som skulle kunna vidtas inom ramen för den befintliga beslutsordningen och som skulle kunna bidra till att förstärka kontrollen över tillämpningen. Bland annat har vi övervägt om möjligheten att delegera beslutsbefogenhet inom den beslutande myndigheten kan skärpas. Vi har dock funnit att den nuvarande delegationsbestämmelsen har en så strikt utformning som man rimligen kan begära. Vi föreslår därför inte några ändringar av den. Inom både och finns numera centralt placerade enheter som har ett övergripande ansvar för att skapa en- hetliga riktlinjer för handläggningen av ärenden enligt inhämtnings- lagen och följa upp hur denna verksamhet hanteras inom respektive myndighet. Vi bedömer att detta med stor sannolikhet kommer att bidra till att höja och garantera kvaliteten i beslutsprocessen hos myndigheterna. Vidare arbetar såväl som f.n. med att utarbeta nya system för delegation av beslutsbesluts- befogenhet enligt lagen. Vi anser oss kunna utgå från att myndig- heterna i det arbetet kommer att se till att besluten fattas på en till- räckligt hög nivå för att garantera en beslutsordning som uppfyller höga krav på kompetens och rättssäkerhet. Vidare har vi övervägt om det skulle vara möjligt att vidta någon eller några åtgärder för att förbättra förutsättningarna för SIN:s tillsynsverksamhet. Vi har då kommit fram till att det bör före- skrivas att myndigheternas skyldighet att underrätta nämnden om beslut som fattats enligt inhämtningslagen bör fullgöras genom att myndigheten ger in själva beslutet till nämnden. Däremot bedömer vi att det inte vore lämpligt att förändra kraven på vilka uppgifter besluten ska innehålla. Vi bedömer också att det inte är nödvändigt att förändra kraven på dokumentation i ärenden enligt inhämtnings- lagen. Anledningen till det är att det har kommit fram att skälen för inhämtningsbesluten i regel finns dokumenterade i ärendena och att de således är tillgängliga för SIN. Slutligen har vi också övervägt om det finns anledning att öka möjligheterna för teleoperatörerna att lämna uppgifter till SIN an- gående verkställigheten av beslut enligt inhämtningslagen. Vi bedömer dock att en sådan möjlighet inte skulle leda till någon förbättring av förutsättningarna för SIN:s tillsyn. Säkerhetspolisens behov av en särskild möjlighet att inhämta uppgifter om viss brottslig verksamhet Enligt inhämtningslagens huvudregel får uppgifter hämtas in, om omständigheterna är sådana att åtgärden är av särskild vikt för att förebygga, förhindra eller upptäcka brottslig verksamhet som inne- fattar brott för vilket inte är föreskrivet lindrigare straff än fängelse .