sou · H5B375 · 2017-10-11 00:00:00 — Datalagring – brottsbekämpning och integritet Utredningen om datalagring och SOU och Ds kan köpas från kundservice. Beställningsadress: kundservice, 106 47 Ordertelefon: Webbplats: /offentligapublikationer För remissutsändningar av SOU och Ds svarar på uppdrag av . Svara på remiss – hur och varför Statsrådsberedningen, SB PM 2003:2 (reviderad ). En kort handledning för dem som ska svara på remiss. Häftet är gratis och kan laddas ner som pdf från eller beställas på /remisser Layout: Kommittéservice, Tryck: , 2017 Till statsrådet och chefen för Regeringen beslutade att tillkalla en särskild utredare med uppdrag att se över bestämmelserna om skyldighet att lagra uppgifter om elektronisk kommunikation som gäller leve- rantörer av allmänna kommunikationsnät och allmänt tillgängliga elektroniska kommunikationstjänster samt bestämmelserna om de brottsbekämpande myndigheternas tillgång till sådana uppgifter. Utredaren fick även i uppdrag att se över rättssäkerhetsgarantierna och mekanismerna som ska skydda den personliga integriteten när hemliga tvångsmedel för särskilt allvarlig brottslighet används, vilket redovisas i ett senare betänkande. , ordförande i nämnden, förordnades att vara särskild utredare. Följande personer förordnades att från som experter biträda utredaren: kriminalkommissarien och juristen vid , seniora strategiska rådgivaren och chefsjuristen vid , juristen vid Data- inspektionen, stabsjuristen vid Tull- verket, professorn vid , chefs- åklagaren vid , kam- maråklagaren vid , enhets- chefen vid , kanslichefen vid , generalsekreteraren vid , råd- mannen vid samt kansliråden vid och vid . Som sekreterare anställdes hovrättsassessorn och kanslirådet . Utredningen har antagit namnet Utredningen om datalagring och . svarar som utredare ensam för innehållet i betänkandet även om också experterna har ställt sig bakom det, i den mån inte annat framgår av ett särskilt yttrande. Särskilda uppfattningar i enskildheter och i formuleringar kan dock förekomma utan sådant yttrande. Härmed överlämnas delbetänkandet Datalagring – brottsbekämp- ning och integritet (SOU 2017:75). Utredningen fortsätter nu sitt arbete att se över rättssäkerhets- garantierna och mekanismerna som ska skydda den personliga integ- riteten när hemliga tvångsmedel för särskilt allvarlig brottslighet används. 1.1Förslag till lag om ändring i lagen (2003:389) om 1.2Förslag till lag om ändring i lagen (2012:278) om inhämtning av uppgifter om elektronisk kommunikation i de brottsbekämpande 1.3Förslag till förordning om ändring i förordningen (2003:396) om elektronisk kommunikation ......................... Utredningens uppdrag och arbete ................................ Rätten till personlig integritet................................................ Regleringen av skyddet för privatlivet ................... 3.2 Skyddet för personuppgifter.................................................. Allmänt om elektronisk kommunikation ............................. 4.2Integritetsskydd och tystnadsplikt vid elektronisk Allmänt ...........................om straffprocessuella tvångsmedel Uppgifter om elektronisk kommunikation i Regleringen .......................................av lagring av uppgifter Regleringen .....................................av tillgång till uppgifter 6.2.3Hemlig övervakning av elektronisk Säkerheten för lagrade uppgifter.......................................... Kontrollmekanismer och rättssäkerhetsgarantier............... 6.4.3Begränsningar i rätten att använda Nyttan och behovet av uppgifter om elektronisk kommunikation i brottsbekämpande verksamhet......... Användandet av kommunikationstjänster........................... Mobiltelefoner och mobilt internet...................... Internet i hemmet.................................................. Nyttan och behovet av de olika uppgifterna....................... påverkan på reglerna om datalagring........... Direktivets syfte och tillämpningsområde ............ Tillgången till lagrade uppgifter............................. Den svenska genomförandeprocessen................... första dom – Digital Rights-domen........... Analysen efter Digital Rights-domen (Ds 2014:23) ............ Tillgången till uppgifterna...................................... Säkerheten för de lagrade uppgifterna................... 8.4 överväganden (SOU 2015:31)... 153 8.4.1Inget förslag om förändring i fråga om vilka uppgiftskategorier som ska lagras ......................... Inget förslag om krav på lagring inom EU ........... Uppgifter som omfattas av tystnadsplikt ............. andra dom – Tele2-domen .................. Direktiv /58 är tillämpligt på datalagringsreglerna....... Artikel 15.1 ska tolkas strikt................................................. Artikel 15.1 ska tolkas mot bakgrund av rättighetsstadgan.... 9.4Inskränkningar i rättighetsskyddet får bara göras om åtgärden är proportionell ...................................................... 9.5De svenska reglerna utgör inskränkningar i artikel 7, 8 och 11 i rättighetsstadgan ..................................................... 9.6Inskränkningarna som de svenska reglerna medför är 9.7.1Generell och odifferentierad lagring är inte motiverad ens för att bekämpa grov Endast för att bekämpa grov brottslighet ............. Precisa krav måste föreskrivas............................... 9.8.3Tillgång bara till uppgifter om personer som är inblandade i ett allvarligt brott .............................. 9.8.4Förhandskontroll av domstol eller oberoende Information till de berörda.................................... 9.9Skydds- och säkerhetsnivåer, lagring inom EU och Målet i Kammarrätten i ............................. Målet i förvaltningsrätten...................................................... Målet i kammarrätten ............................................................ 10.3.1 Den inledande delen av rättegången ...................... 10.3.2 Kammarrättens dom .............................................. 11.1.4 Skydd för de lagrade uppgifterna........................... 11.2.4 Skydd för de lagrade uppgifterna........................... 11.3.4 Skydd för de lagrade uppgifterna........................... Abonnemangsuppgifter omfattas inte av Tele2-domen Det är nödvändigt att reformera svensk lagstiftning.......... Ingen generell och odifferentierad lagring som ......... 12.4.1 Uppgifterna får endast lagras för att bekämpa 12.4.2 Utrymme finns för en fortsatt Olika modeller för lagring ................................................... Ingen riktad lagring............................................... 12.5.2 Inget bevarandeföreläggande av uppgifter som operatörerna behöver för egna ändamål .............. 12.5.3 Ingen lagring av senaste aktiviteten på 12.5.4 Ingen bibehållen lagring med kryptering............. 12.5.5 En begränsad lagringsskyldighet bör införas....... En begränsad lagringsskyldighet ......................................... 12.6.2 Bara uppgifter som är strängt nödvändiga........... Telefonitjänster och meddelandehantering......... 12.6.5Inget undantag för personer med Lagringskyldighetens ramar bör framgå av lag.... 12.7 En differentierad lagringstid ................................................ ger en ram för lagringstiden ............... 12.7.2Inom den av angivna ramen bör regeringen föreskriva kortare frister för vissa 12.8 Tillgången till trafik- och lokaliseringsuppgifter................ Endast för att bekämpa grov brottslighet............ Precisa krav måste fastställas................................ 12.8.3Tillgång bara till uppgifter om personer som på något sätt är inblandade i brott – som 12.8.4Förhandskontroll av domstol eller oberoende 12.8.5 Information till berörda ........................................ 12.8.6Tillgången ska avse även uppgifter som lagras för operatörernas egna ändamål ............................ Tillgången till abonnemangsuppgifter ................................. 12.10 Skydds- och säkerhetsnivåer, lagring inom och Skydds - och säkerhetsnivåer ................................. Konsekvenser ...............................och genomförande Inga konsekvenser för miljön Ingen anmälningsskyldighet för tekniska Förslaget till lag om ändring lagen (2003:389) om 14.2Förslaget till lag om ändring i lagen (2012:278) om inhämtning av uppgifter om elektronisk kommunikation i de brottsbekämpande myndigheternas 14.3 Förslaget till förordning om ändring i förordningen (2003:396) om elektronisk kommunikation......................... lagen (2007:979) om åtgärder för att för- hindra vissa särskilt allvarliga brott som bildats med stöd av artikel 29 i dataskyddsdirektivet skydd för enskilda vid automatisk behand- ling av personuppgifter (ETS 108) förenade målen C-293/12 och C-594/12 direktiv /46 eller 95/46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (EGT L 281, 1995, s. 31) 2002/58/EG av om behandling av personuppgifter och integri- tetsskydd inom sektorn för elektronisk kommunikation (direktivet om integritet och elektronisk kommunikation) (EGT L 201, 2002, s. 37), i dess lydelse direktiv /136/EG av 2009 (EUT L 337, 2009, s. 11) direktiv /24 eller 2006/24/EG av om lag- ring av uppgifter som genererats eller behandlats i samband med tillhanda- hållande av allmänt tillgängliga elekt- allmänna kommunikationsnät och om ändring av direktiv /58/EG (EUT L 105, 2006, s. 54) den Europeiska domstolen för de mänsk- den europeiska konventionen angående skydd för de mänskliga rättigheterna och de grundläggande friheterna, med de tillägg och ändringar som gjorts genom de förordningen (2003:396) om elektronisk fördraget om Europeiska unionens funk- lagen (2012:278) om inhämtning av upp- gifter om elektronisk kommunikation i de lagen (2003:389) om elektronisk kom- lagen (1991:572) om särskild utlännings- Nationella operativa avdelningen (del av Nationellt underrättelsecenter (del av 2016/681/EU av om (PNR-uppgifter) för att förebygga, för- hindra, upptäcka, utreda och lagföra terro- ristbrott och grov brottslighet (EUT L 119, 2016, s. 132) Regionalat underrättelsecenter (del av Europeiska unionens stadga om de grund- läggande rättigheterna (EGT C 202, 2016) i de förenade målen C-203/15 och C-698/15 förenade mål C-203/15 och C-698/15 Utredningens uppdrag och arbete uttolkning av i Tele2-domen har gjort det nödvändigt att reformera de svenska reglerna kring datalagring, både avseende lagring och åtkomst. Utredningens uppdrag har varit att göra de svenska reglerna förenliga med . Uppdraget har inrymt överväganden inom ett mycket komplext område, både juridiskt och tekniskt. Det har dessutom utförts under stor skynd- samhet eftersom det har varit angeläget att snabbt få en reglering på plats som är förenlig med de uttalanden som gjort i Tele2-domen. Experter från brottsbekämpande myndigheter, till- synsmyndigheter, domstolar, , och har deltagit i utredningen. Grundläggande rättigheter som tillförsäkras enskilda finns i bl.a. regeringsformen, och EU:s rättighetsstadga. Det finns två sidor av enskildas grundläggande rättigheter: dels enskildas rätt att bli fredade från kränkningar från statens sida, dels statens plikt att tillförsäkra enskilda ett skydd mot kränkningar från andra enskilda, t.ex. genom ingripande åtgärder i en brottsutredning. Det ankommer på staten att upprätta ett ramverk som är förenligt med dessa delvis konkurrerande principer. De rättigheter som främst är av intresse för uppdraget är rätten till privatliv, rätten till skydd för personuppgifter och rätten till yttrande- frihet. Samtliga dessa rättigheter garanteras i regeringsformen, Europa- konventionen och EU:s rättighetsstadga. Integritetsskydd vid elektronisk kommunikation För att säkerställa full respekt för rätten till privatliv och rätten till skydd för personuppgifter inom sektorn för elektronisk kommuni- kation har EU antagit direktiv /58. Direktivet ålägger medlems- staterna att t.ex. säkerställa konfidentialitet vid elektronisk kom- munikation och därmed förbundna trafikuppgifter. Uppgifter som inte längre behövs ska enligt direktivet utplånas eller avidentifieras. Medlemsstaterna får dock göra undantag från dessa åligganden om det behövs för bl.a. brottsbekämpande verksamhet. Direktivet är genomfört i svensk rätt främst genom bestämmelser som tagits in i lagen (2003:389) om elektronisk kommunikation. Brottsbekämpande verksamhet består av två övergripande delar, underrättelseverksamhet och utredande verksamhet. Underrättel- severksamheten är i huvudsak inriktad på att avslöja om en viss inte närmare specificerad brottslighet har ägt rum, pågår eller kan antas komma att begås. Ett övergripande mål med underrättelseverksam- heten är att förse de brottsbekämpande myndigheterna med kunskap som kan omsättas i operativ verksamhet. Den utredande verksam- heten utgår från en redan uppkommen händelse. Myndigheten ska, ofta inom en förundersökning, utreda om brott har begåtts och vem som i så fall skäligen kan misstänkas för brottet samt skaffa till- räckligt material för bedömning av frågan om åtal ska väckas. I både brottsutredande verksamhet och underrättelseverksamhet används hemliga tvångsmedel. Det tvångsmedel som är av intresse för datalagringsfrågan är hemlig övervakning av elektronisk kom- munikation, som regleras i . Härtill kommer tvångs- medlen enligt lagen (1991:572) om särskild utlänningskontroll och lagen (2007:979) om åtgärder för att förhindra vissa särskilt allvarliga brott, som har sin tillämpning i underrättelseverksamhet. Även in- hämtning av uppgifter enligt lagen (2012:278) om inhämtning av uppgifter om elektronisk kommunikation i de brottsbekämpande myndigheternas underrättelseverksamhet utgör ett hemligt tvångs- medel. Inhämtning av abonnemangsuppgifter enligt lagen (2003:389) om elektronisk kommunikation är däremot inte ett hemligt tvångs- medel. Uppgifter om elektronisk kommunikation i brottsbekämpande verksamhet Uppgifter om elektronisk kommunikation delas in i olika grupper. Med abonnemangsuppgifter avses t.ex. uppgifter om abonnentens nummer, namn, titel och adress. Till sådana uppgifter brukar även räknas uppgifter om exempelvis avtal och fakturering. Vidare inne- fattas såväl uppgift om vem som använt en fast eller dynamisk ip- adress eller ett IMSI-nummer (ett nummer som är kopplat till abon- nentens sim-kort och därmed telefonnummer) som ett flertal andra uppgifter. Den exakta gränsen är svår att dra. Med trafikuppgifter avses i detta sammanhang enkelt uttryckt de uppgifter som behövs för att förmedla ett elektroniskt meddelande i ett elektroniskt kom- munikationsnät eller för att fakturera ett sådant meddelande. Vid sidan av begreppet trafikuppgifter används även uttrycket lokali- seringsuppgifter för att beteckna uppgifter som är knutna till lokali- seringen av en kommunikationsutrustning. Det kan t.ex. vara fråga om vilken cell (antenn på basstation) som utrustningen kopplat upp sig mot. Nuvarande regleringen av lagring av uppgifter Uppgifter om elektronisk kommunikation är mycket viktiga för brottsbekämpningen. Det finns därför regler i lagen (2003:389) om elektronisk kommunikation som säkerställer att myndigheterna kan få tillgång till dessa uppgifter. För detta syfte föreskriver lagen om elektronisk kommunikation en lagringsskyldighet för dem som till- handahåller elektroniska kommunikationstjänster. Lagringsskyldig- heten omfattar vissa uppräknade uppgifter som genereras eller behandlas i verksamheten. Lagringsskyldigheten omfattar telefoni- tjänster (fasta och mobila), meddelandehantering och internet- åtkomst. Nuvarande regleringen av tillgång till uppgifter Hur myndigheterna kan få tillgång till de uppgifter som omfattas av lagringsskyldigheten – och andra uppgifter som behandlas i verksam- heten, t.ex. på grund av operatörernas faktureringsbehov – beror på vilken typ av uppgift det är och i vilket syfte tillgång begärs. För trafik- och lokaliseringsuppgifter regleras tillgången i rättegångs- balken och lagen (2012:278) om inhämtning av uppgifter om elek- tronisk kommunikation i de brottsbekämpande myndigheternas underrättelseverksamhet. Härtill kommer lagen (1991:572) om sär- skild utlänningskontroll och lagen (2007:979) om åtgärder för att förhindra vissa särskilt allvarliga brott, som hänvisar till rättegångs- balkens bestämmelser. Tillgången till abonnemangsuppgifter har inte bedömts utgöra ett hemligt tvångsmedel och regleras direkt i lagen om elektronisk kommunikation. Tillgång till trafik- och lokaliseringsuppgifter i den brotts- utredande verksamheten kräver domstolsbeslut och är endast möjlig vid allvarliga brott. I underrättelseverksamheten är tillgången till trafikuppgifter något mer begränsad men kräver som huvudregel inte domstolsbeslut. Tillgången till abonnemangsuppgifter kräver inget domstolsbeslut utan beslutas av den brottsbekämpande myndigheten själv. Det krävs inte heller att brottet är av visst allvar. För att skydda personers integritet och upprätthålla en hög grad av rättssäkerhet innehåller regelverket kring myndigheternas tillgång till uppgifter om elektronisk kommunikation ett antal kontroll- mekanismer och rättssäkerhetsgarantier. För all användning av tvångsmedel gäller ändamålsprincipen, behovsprincipen och proportionalitetsprincipen. Tvångsmedlen får därmed endast användas för det ändamål som framgår av lagstift- ningen, om det finns ett påtagligt behov och en mindre ingripande åtgärd inte är tillräcklig samt om åtgärden står i rimlig proportion både till nyttan av åtgärden och till de intrång eller men som åtgär- den innebär. Nyttan och behovet av uppgifter om elektronisk kommunikation i brottsbekämpande verksamhet Det finns ett påtagligt behov av uppgifter om elektronisk kom- munikation för brottsbekämpningen och uppgifterna ger de brotts- bekämpande myndigheterna stor nytta. Det gäller samtliga de upp- gifter som ska lagras enligt förordningen (2003:396) om elektronisk kommunikation. Däremot är inte nyttan och behovet desamma för alla uppgifter och inte heller desamma , eftersom beteende- mönster och teknik förändras. Som exempel kan nämnas den minskade användningen av fast telefoni, den ökande använd- ningen av internet i mobiltelefoner samt en ökad användning av ip- telefoni genom mobilappar. påverkan på reglerna om datalagring Med anledning av att datalagringsdirektivet (2006/24) ogiltig- förklarades av (Digital Rights- domen) gav chefen för en utredare i uppdrag att analysera konsekvenserna för den svenska lagstiftningen (Ds 2014:23). Som en uppföljning av analysen i departementsprome- gav regeringen en utredare i uppdrag att överväga ytterligare rättssäkerhets- och integritetsstärkande åtgärder bl.a. för reglerna om lagring av uppgifter om elektronisk kommunikation (SOU 2015:31). Den svenska lagstiftningen bedömdes i båda analyserna som förenlig med , även om vissa förslag på förändringar presenterades. Tele2-domen och domen från Kammarrätten i Kammarrätten i begärde ett förhandsavgörande av EU- domstolen med anledning av ett överklagat föreläggande från mot ett lagringsskyldigt företag om att lagra upp- gifter om elektronisk kommunikation. besvarade kammarrättens begäran genom Tele2-domen. ansåg att direktiv /58 är tillämpligt på de svenska reglerna om data- lagring, även avseende tillgång till uppgifterna. Artikel 15.1 i direk- tivet, som i viss utsträckning tillåter datalagring, ska enligt dom- stolen tolkas strikt och mot bakgrund av rättighetsstadgan. De svenska reglerna om datalagring bedömdes utgöra inskränkningar i rättigheterna enligt artiklarna 7, 8 och 11 i stadgan. Inskränkningar i rättigheterna får enligt endast göras under vissa förutsättningar, däribland att de är proportionella och strängt nöd- vändiga. uttalade vidare att en generell och odifferen- tierad lagring aldrig kan vara strängt nödvändig, inte ens för att bekämpa grov brottslighet. När det gäller tillgång till uppgifterna fastslog att precisa krav måste föreskrivas, att tillgång endast får ges för att bekämpa grov brottslighet och att tillgången i princip bara får avse personer som på något sätt är inblandade i grov brottslighet. Tillgång ska enligt som huvudregel ges först efter förhandskontroll av domstol eller annan oberoende myndighet och berörda ska informeras, så snart det inte längre skadar myndighetens utredningar. Därutöver uttalade domstolen att leverantörerna av elektroniska kommunikationstjänster måste garantera en särskilt hög skydds- och säkerhetsnivå genom lämpliga tekniska och organisatoriska åtgärder, uppgifterna måste förstöras när lagringstiden gått ut och lagringen måste ske inom unionen. EU- domstolens slutsatser är att utgör ett hinder för (1) en nationell lagstiftning som i brottsbekämpande syfte föreskriver en generell och odifferentierad lagring av samtliga trafikuppgifter och lokaliseringsuppgifter avseende samtliga abonnenter och registrerade användare och samtliga elektroniska kommunikationsmedel samt (2) en nationell lagstiftning som inte begränsar tillgången till trafik- och lokaliseringsuppgifter till enbart åtgärder som syftar till att bekämpa grov brottslighet, inte föreskriver att tillgången ska vara underkastad förhandskontroll av en domstol eller en oberoende förvaltningsmyndighet och inte kräver att uppgifterna ska lagras inom unionen. Med hänvisning till dom upphävde kammar- rätten föreläggandet från . Flera länder har påbörjat analyser av Tele2-domen. I betänkandet redovisas gällande rätt och förändringsarbetet i , , , , och . Värt att notera är att över- synerna ännu inte lett till lagstiftning i något land. Av Tele2-domen framgår att har ansett sig ha kom- petens även på området för lagring av och tillgång till datalagrade uppgifter för brottsbekämpande ändamål och för vitala intressen som nationell säkerhet och försvar (p. 65–81 och 119 i domen). Slutsatsen kan således dras att oavsett för vilket ändamål uppgif- terna används så är operatörernas lagring och myndigheternas till- gång till dessa uppgifter underkastade den reglering som följer av . Det innebär att oavsett om det är fråga om brotts- bekämpning som handhas av den öppna polisen, eller eller om det är fråga om Säkerhetspolisens brottsbekämpning så är datalagringsfrågan underkastad samma EU- rättsliga regelverk, låt vara att öppnar för något mer tillåtande nationella regler när det gäller tillgång till uppgifter inom verksamhetsområde (p. 119 i domen). Abonnemangsuppgifter omfattas inte av domen men av avgörande berör inte behandlingen av abonne- mangsuppgifter utan endast trafik- och lokaliseringsuppgifter. Att inte berör abonnemangsuppgifter är naturligt efter- som de inte berörs i de artiklar i det direktiv (direktiv /58) som tolkas av domstolen. uttalanden av mer generellt slag om t.ex. inskränkningar i skyddet för personuppgifter är där- emot relevanta även för behandlingen av abonnemangsuppgifter. I utredningen har det väckts frågan om ip-adresser ändå ska anses omfattas av domen. Det skulle i så fall innebära att domens före- skrifter om t.ex. föregående domstolsprövning vid tillgång till infor- mation om vem som använt en ip-adress skulle bli tillämpliga. Även reglerna om att tillgång endast skulle kunna beredas de brotts- bekämpande myndigheterna vid grova brott skulle behöva beaktas. Som ovan angetts är det dock utredningens bedömning att ip- adresser (och andra abonnemangsuppgifter) inte omfattas av domen. Det är nödvändigt att reformera svensk lagstiftning ställer strängare krav på datalagringen och tillgången till datalagrade uppgifter än vad svensk lag gör. De svenska reglerna måste därför anpassas. Härvid måste dock vissa motstående intressen beaktas. För det första måste beaktas att det brottsbekämpande intresset kräver en fungerande lagstiftning kring datalagring. Vissa brott med internet som arena skulle annars riskera att i praktiken bli För det andra måste beaktas våra internationella åtaganden.