sou · H5B375 · 2017-10-11 00:00:00 — The Tele2 judgment shows that the CJEU has deemed its own legal competence to include retention of and access to electronically retained data for the purpose of preventing crime, and also vital interests such as national security and defence (pp. 65–81 and 119 of the judgment). The conclusion may thus be drawn that, regardless of the purpose for which the data are used, the operators’ retention of and the agencies’ access to these data are subject to the rules pursuant to EU law. This means that, irrespective of whether the crime fighting is pursued by the Authority, Swedish Customs, the Swedish Economic Crime Authority or the , the issue of data retention is subject to the same EU legal framework, although the CJEU allows slightly more leeway for national rules regarding access to data in the ’s area of operations (p. 119 of the judgment). Subscription data excluded from judgment but covered by EU law The CJEU’s decision does not concern processing of subscriber data, but only traffic and location data. The fact that the Court does not touch on subscription data is natural since they are not dealt with in the articles of the Directive (2002/58) that the Court interprets. The Court’s more general statements on, for example, limitations on protection of personal data are, on the other hand, also relevant to processing of subscription data. In the Commission, the question has been raised of whether IP addresses should nevertheless be regarded as covered by the judgment. If so, it would mean that the provisions in the judgment concerning prior review by a court or an independent administrative authority when there is access to information on who has used an IP address, for example, would be applicable. The rules that access might be made available to law enforcement agencies only in cases of serious crime would also need to be considered. As stated above, however, the Commission’s view is that neither IP addresses nor any other subscription data are covered by the judgment. Necessity of Swedish legislative reform The CJEU imposes more stringent requirements than Swedish law on data retention and access to electronically retained data. The Swedish rules must therefore be reformed. However, certain opposed interests must be considered. First, it must be taken into account that the interest of law enforcement calls for effective legislation on data retention. Otherwise, there would be a risk of complete impunity in practice for certain crimes with the Internet as their arena. Second, our international commitments must be taken into account. single resident in is entitled to demand effective measures by the state to protect his or her safety. Accordingly, the state must strive to ensure that crime is prevented and investigated, and that perpetrators are held accountable for their criminal acts. The state thus has an obligation to protect individuals’ private life and data privacy against intrusions by other individuals and, in the event of intrusions, ensure that these crimes are investigated. Failing to enable law enforcement agencies to effectively collect evidence in the electronic environment would not be compatible with ’s commitments. No general and indiscriminate retention as at present The CJEU has stated that the EU law constitutes an obstacle to national legislation that, for crime fighting purposes, prescribes general and indiscriminate retention of all traffic and location data concerning all subscribers and registered users, and for all electronic means of communication. It is also clear from the grounds for the judgment that the scope for generally prescribing retention is limited. The question is then how limited this scope is. The CJEU sets out its reasoning on this issue in two sections. The first section of the reasoning is about general retention. Here, in considering Swedish legislation on data retention, the CJEU takes the view that existing legislation provides for general and indiscriminate retention of all traffic and location data of all subscribers and registered users relating to all means of electronic communication and that it imposes on providers of electronic communications services an obligation to retain that data syste- matically and continuously, with no exceptions. The Court’s conclusion, at the end of the first section of its reasoning, is that Swedish retention exceeds the limit of what is strictly necessary and therefore contravenes Article 15.1 of the Directive, compared with Articles 7, 8, 11 and 52.1 in the Charter of Fundamental Rights. The Court has now stated all the grounds required for its ruling in this section. Nevertheless, the Court continues its considerations in a second section of the reasoning. This second part has no connection with the ruling; instead, it may almost be seen as an obiter dictum (i.e. an incidental expression of opinion outside the scope of the case). Here, the reasoning is about targeted data retention as an example of a retention compatible with the EU-law. In this part, the Court presents arguments on the possible nature of such data retention. Among the requirements for a targeted retention, the fact that the circle of individuals concerned must be limited is especially notable. The Commission’s assessment is that scope for a limited retention obligation remains, but that the obligation must be made less extensive than today and adapted to what is strictly necessary. A limited and differentiated retention should be prescribed. The other possible retention models (targeted data retention, data preservation, retention of the latest activity and continued data retention with encryption or anonymization) entail such weaknesses that it is not reasonable to prescribe any of them instead. The Commission’s proposal involves a radical reform of the current model for the retention obligation for telephony, messaging and, to a certain extent, Internet access. Owing to the proposed changes, the obligation will no longer be general; much of the traffic data, as well as all location data that are not traffic data, will not be subject to the obligation. Retention will thus become the exception, not the rule (Tele2 judgment p. In addition, the obligation to retain data will be differentiated by being adapted to cover only data that are strictly necessary to retain for fighting serious crime, taking useful- ness, needs, data privacy and proportionality into account (Tele2 judgment p. At the same time, retention periods will be differentiated on the basis of divergent needs and differing sensi- tivity in terms of privacy. The proposal means that the infringement on subscribers’ privacy would be reduced, but that scope for obstructing, preventing and investigating crime may also, in some cases, be impaired. Editorial changes and technology neutrality The Commission recommends dividing the retention obligation into two parts: (1) telephony and messaging and (2) Internet access. The rules should be made technology-neutral. One implication of that is that operators’ use of NAT technology (which allows subscribers to share the same public IP address) would not affect the scope for identifying subscriber. For telephony and messaging, the proposal is that only data on communications via a mobile network access point should be retained. This means that no data would be retained on telephony or messaging that takes place in the fixed-line (landline) telephone network or through fixed Internet access. On the other hand, information will be retained if one of the parties communicates via a mobile network access point, but only at that party’s service provider. Traffic data will still be retained; but the obligation to retain will be limited to data on who contacted whom (number and subscriber, and for telephony also subscription and equipment numbers) and at what time. Data on IP addresses should not be retained for tele- phony and messaging. The same applies to data on which service has been used, time of logging into and out of the service and data identifying the equipment where the communication with IP telephony is finally separated to the subscriber (see below on Internet access, however). Location data at the beginning and end of a call will still be retained but, as before, no other location data will be retained. For prepaid anonymous services (i.e. unregistered prepaid phone cards), information about communication equipment and initial activation will still be retained. The retention obligation should still include missed (such as unanswered) calls, but not those that fail to get connected. For Internet access, the Commission proposes that the retention obligation should include data that make it possible to identify the subscriber or registered user. Accordingly, the following data should be retained: IP address and other technical data necessary to identify the subscriber or registered user, time data for logging in and out of the service providing Internet access, subscriber information, and data identifying the equipment where the communication is finally separated to the subscriber. However, the Commission suggests that there should no longer be any obligation to retain connection capacity data. No exception for people bound by professional secrecy No exceptions to retention should be introduced for people obliged to follow professional secrecy rules. The Data Retention Com- mission’s proposal to impose an obligation to destroy data subject to professional secrecy rules should be considered. Limits of retention obligation to be clarified by law The outer limits of the retention obligation should be made clear by law and the more detailed regulations in an ordinance by the Government. To some extent, the Government should be able to delegate the power to issue the necessary ordinance. It should be specified in law that the data subject to the retention obligation should be stored for the period prescribed by the Government, but not exceeding ten months from the date when the communication ended. The Government shall prescribe the following. Location data for calls should be stored for two months. Data on Internet access, except for data identifying the equipment where the communication is finally separated to the subscriber, should be retained for ten months. Other data should be retained for six months. Access to traffic and location data Only for prevention of serious crime Access to retained traffic and location data should be given only for prevention of serious crime. ‘Serious crime’ refers to the same categories of crime for which secret surveillance of electronic com- munications is currently permitted and also for retrieval of data on electronic communications in the law enforcement agencies’ intelligence activities. Swedish law is thus compatible with EU law in this respect. Access only to data on people involved in some way in crime – as a main rule Access to retained data may in principle, according to the Court, be granted only for data on people suspected of planning, committing or having committed a serious crime or being implicated in one way or another in such a crime. In some cases, access may also be granted for data on other people. The Swedish rules on access to data comply with EU legal requirements in this respect. Prior review by a court or by an independent administrative body EU law requires that access by law enforcement agencies to retained data, except in justified urgent cases, be preceded by a prior review by a court or by an independent administrative body. The Swedish regulations meet this requirement except for access to retained data in intelligence activities. The Commission therefore proposes that prosecutors shall be appointed as an independent administrative body to decide on such access following an application by the Authority, or Customs. Information for those concerned The CJEU states that EU law requires the public agencies that have been granted access to retained data, according to applicable national regulations, to inform the people affected about this as soon as there is no longer a risk of such information being detrimental to the agencies’ investigations. The Swedish rules on information for those concerned meet the requirements of EU law in this respect. Access to include data stored for operators’ own purposes enforcement agencies’ access to data on electronic com- munications should continue to include not only the data retained under data retention rules, but also information stored for the operators’ own purposes, such as information needed for . Access to subscription data As mentioned above, the Tele2 judgment does not cover processing of subscription data. With the broad scope of privacy protection, access to subscription data may nonetheless be thought to involve an interference with the protection under Convention on Human Rights and the Charter of Fundamental Rights. fore essential for access to be limited to what is strictly necessary and proportionate in a democratic society. Overall, the Commission’s view is that neither the CJEU’s judgment nor ’s international commitments provide any reason to change the requirements for the law enforcement agencies’ access to subscription data. Protection and security levels, retention in and destruction The data subject to the retention obligation should not be allowed to be stored outside . The CJEU states only that national legislation must prescribe that electronic data storage may not take place outside the EU. However, confining the retention to would enable more effective supervision while improving protection of both individuals’ confidentiality and national security. Since the matter now in question concerns crucial state interests, there are no EU legal barriers to prescribing that storage takes place only in . The rules on protection and security levels, and also those on data destruction, comply with the requirements of EU law. The proposals for a reformed retention obligation, prohibition of retention outside and advance review of decisions pursuant to the Act (2012:278) on Acquiring Information about in the ’ Intelligence Activities will strengthen protection for privacy and personal data. The recommended reform of the retention obligation may possibly mean that the law enforcement agencies’ capacity for crime fighting is impaired to some extent, but should not mean that crime will increase. The environment will not be affected by the proposals. The proposal on prior review of decisions pursuant to the Act (2012:278) on Acquiring Information about in the ’ Intelligence Activities means that the Swedish Prosecution Authority will need a larger annual appro- priation (million) and a lump sum (million) that should be financed by reducing appropriations for the Authority (for the current framework increase and million for the lump sum), the (for the current framework increase and for the lump sum) and Customs (for the current framework increase and for the lump sum). Those who are obliged to retain data should bear the cost increases they incur – for retention, security and adaptation – themselves. The proposals in the Commission’s report should enter into force on . lag om ändring i lagen (2003:389) om elektronisk kommunikation Härigenom föreskrivs att 6 kap. 16 d § lagen (2003:389) om elektronisk kommunikation ska ha följande lydelse. Uppgifter som avses i 16 a § Uppgifter som avses i 16 a § ska lagras den tid regeringen från den dag kommunikationen föreskriver dock som längst i tio Vid utgången av den- månader räknat från den dag na tid ska den lagringsskyldige genast utplåna dem, om annat Vid utgången av ska inte följer av andra stycket. den lagringsskyldige genast ut- plåna dem, om annat inte följer av andra stycket. Om uppgifter som avses i första stycket begärts utlämnade före utgången av den föreskrivna lagringstiden men uppgifterna inte har hunnit lämnas ut, ska den lagringsskyldige lagra uppgifterna till dess så har skett och därefter genast utplåna de lagrade uppgifterna. Denna lag träder i kraft . 1 Senaste lydelse 2012:127. lag om ändring i lagen (2012:278) om inhämtning av uppgifter om elektronisk kommunikation i de brottsbekämpande myndigheternas underrättelseverksamhet Härigenom föreskrivs att 4–6 §§ lagen (2012:278) om inhämtning av uppgifter om elektronisk kommunikation i de brottsbekämpande myndigheternas underrättelseverksamhet ska ha följande lydelse. uppgifter fattas av myndigheten. uppgifter fattas av åklagare efter rätten att fatta beslut om in- hämtning till en annan anställd vid myndigheten som har den och erfarenhet som behövs. Den som rätten att fatta beslut har delegerats till, får inte fatta beslut om inhämtning i sådan eller hon deltar i. I ett beslut om inhämtning av uppgifter ska det anges vilken brotts- lig verksamhet och vilken tid beslutet avser samt vilket telefonnum- mer eller annan adress, vilken elektronisk kommunikationsutrustning eller vilket geografiskt område beslutet avser. Tiden får inte bestäm- mas längre än nödvändigt och får, när det gäller tid som infaller efter beslutet, inte överstiga en månad för beslutet. Om det inte längre finns skäl Om det inte längre finns skäl för ett beslut om inhämtning av för ett beslut om inhämtning av uppgifter, ska beslutet omedel- uppgifter, ska beslutet omedel- bart hävas av den ansökande ska underrättas om ett beslut om inhämtning av uppgifter enligt denna lag. Underrättelsen ska lämnas senast efter det att ärendet om inhämtning avslutades. Underrättelse enligt första stycket ska fullgöras av den an- sökande myndigheten. Denna lag träder i kraft . förordning om ändring i förordningen (2003:396) om elektronisk kommunikation Härigenom föreskrivs i fråga om förordningen (2003:396) om elektronisk kommunikation2 dels att 42 och 43 §§ ska upphöra att gälla, dels att 37–41 och 44 §§ ska ha följande lydelse. Den som är skyldig att lagra uppgifter enligt 6 kap. 16 a § lagen (2003:389) om elektronisk kommunikation ska vidta de åtgärder som krävs för att säkerställa att de lagrade uppgifterna är av samma kvalitet och föremål för samma säkerhet och skydd som vid den behandling som skett före lagringen. Den lagringsskyldige ska vidta de åtgärder som krävs för att skydda uppgifterna mot oavsiktlig eller otillåten förstöring och oavsiktlig förlust eller ändring. Sådana åtgärder ska även vidtas för att förhindra otillåten lagring, behandling av eller tillgång till och otillåtet avslöjande av uppgifterna. Uppgifterna får göras tillgäng- liga endast för personal med särskild behörighet. Uppgifterna får inte lagras utanför . får, efter att ha hört , Säkerhetspolisen och Datainspektionen, meddela närmare före- skrifter om de åtgärder som ska vidtas enligt första och andra styckena. För att fullgöra lagrings- För att fullgöra lagrings- skyldigheten i 6 kap. 16 a § lagen skyldigheten i 6 kap. 16 a § lagen (2003:389) om elektronisk kom- (2003:389) om elektronisk kom- 3Senaste lydelse 2014:1270. 4Senaste lydelse 2012:128. munikation ska den lagrings- munikation ska den lagrings- skyldige lagra de uppgifter som skyldige lagra de uppgifter som anges i 39–43 §§. anges i 39 och 40 §§. När det gäller internetåtkomst ska följande lagras: ska följande lagras: 1. uppringande nummer, annan uppgift som är nödvändig för att identifiera abonnent och 2. uppringt nummer och num- 2. uppgifter om abonnent och mer som samtalet styrts till, 3. datum och och uppringd abonnent och, i på- och avloggning i tjänsten som ger internetåtkomst, och 4. datum och spårbar tid då den utrustning där kommuni- kationen slutligt avskiljs från den om den eller de tjänster som har använts. Om den som slutligt avskiljer kommunikationen till den en- skilda abonnenten är någon som lagen (2003:389) om elektronisk skiljer kommunikationen till den som slutligt avskiljer kommuni- kationen till den enskilda abon- nenten. 5 Senaste lydelse 2012:128. 1. uppgifter som avses i 39 § första stycket 1–3 ska lagras , När det gäller telefonitjänst via en mobil nätanslutnings- punkt ska, utöver det som anges i 39 §, följande lagras: 1. uppringandes och uppringds nummer eller motsvarande adress, uppringandes och uppringds abon- 3. datum, spårbar tid och loka- registrerad användare som upp- aktiveringen av en förbetald ano- gifterna i 1 och 2 kan hänföras till, skickades och mottogs, nikationen påbörjades och avslu- 6. datum, spårbar tid och loka- aktiveringen av en förbetald ano- När det gäller telefonitjänst som använder ip-paket för över- lagen (2003:389) om elektronisk föring ska, utöver det som anges i kommunikation förordnas att: 39 och 40 §§, följande lagras: 1. uppringandes och uppringds ip-adresser, 6Senaste lydelse 2012:128. 7Senaste lydelse 2012:128. får också meddela föreskrifter om vilka närmare upp- gifter som ska lagras enligt 39 och 2.datum och spårbar tid för på- och avloggning i den eller de tjänster som använts, och 3.uppgifter som identifierar den utrustning där kommuni- kationen slutligt avskiljs från den lagringsskyldige till den enskilda abonnenten. Om den som slutligt avskiljer kommunikationen till den enskilda abonnenten är någon som inte omfattas av 6 kap. 16 a § lagen (2003:389) om elektronisk kom- munikation, ska första stycket 3 gälla för den som avskiljer kom- munikationen till den som slutligt avskiljer kommunikationen till den enskilda abonnenten. 2.uppgifter som avses 39 § första stycket 4 och andra stycket samt 40 § 1–4 och 6 ska lagras , och 3.uppgifter som avses i 40 § 5 ska lagras . får meddela närmare föreskrifter om de uppgifter som ska lagras enligt 39–43 §§. 1.Denna förordning träder i kraft . 2.Lagringsskyldigheten enligt 39 § första stycket 1 om annan uppgift som är nödvändig för att identifiera abonnent och registrerad användare behöver inte tillämpas förrän . 8 Senaste lydelse 2012:128. 2Utredningens uppdrag och arbete Regeringen beslutade att ge en särskild utredare i uppdrag att se över bestämmelserna om skyldighet att lagra upp- gifter om elektronisk kommunikation som gäller leverantörer av allmänna kommunikationsnät och allmänt tillgängliga elektroniska kommunikationstjänster1, samt bestämmelserna om de brotts- bekämpande myndigheternas tillgång till sådana uppgifter. Över- synen ska ske i syfte att anpassa det svenska regelverket till såsom den uttolkats av i Tele2-domen. Utredaren fick även i uppdrag att se över rättssäkerhetsgarantierna och meka- nismerna som ska skydda den personliga integriteten när hemliga tvångsmedel för särskilt allvarlig brottslighet används, vilket kommer att redovisas i ett senare betänkande. Enligt utredningens direktiv bör det även fortsättningsvis finnas ett utrymme för tvingande regler för leverantörernas lagring av upp- gifter om elektronisk kommunikation men måste det utredas hur stort det utrymmet är och vilket behov som finns av en sådan lagring. En särskild fråga enligt direktiven är vilken effekt EU-dom- stolens dom har på verksamheten som avser säkerhet, dvs. sådan verksamhet som ligger inom ansvarsområde. Även regelverket om tillgång till lagrade uppgifter behöver enligt direktiven ses över, bl.a. vad gäller vilka krav som bör ställas på brottets allvar för att uppgifterna ska få hämtas in, krav på under- rättelse till enskilda, beslutsordningen för inhämtning och om ett 1 I betänkandet används termerna operatör och leverantör synonymt med lagringsskyldig och inte med den distinktion som följer av LEK, i den mån inte annat framgår av sammanhanget. Därtill används ibland termen lagringsskyldig. Utredningens uppdrag och arbete särskilt skydd behövs för uppgifter som omfattas av yrkesmässig tystnadsplikt.