sou · H5B375 · 2017-10-11 00:00:00 — Var och en som vistas i har nämligen rätt att göra anspråk på att staten vidtar effektiva åtgärder för att skydda hans eller hennes säkerhet. I detta ligger att staten måste anstränga sig för att se till att brott förebyggs och utreds samt att gärningsmän ställs till svars för sina brottsliga handlingar. Staten har alltså en skyldighet att skydda enskildas privatliv och personliga integritet mot intrång som begås av andra enskilda och om intrång görs se till att brotten utreds. Det skulle inte vara förenligt med åtaganden att inte ge de brottsbekämpande myndigheterna möjlighet att använda spåren från den elektroniska miljön. Ingen generell och odifferentierad lagring som fastslår att utgör hinder för en nationell lagstiftning som i brottsbekämpande syfte föreskriver en generell och odifferentierad lagring av samtliga trafikuppgifter och lokali- seringsuppgifter avseende samtliga abonnenter och registrerade användare och samtliga elektroniska kommunikationsmedel. Det framgår även av domskälen att utrymmet för att över huvud taget föreskriva lagring är begränsat. Frågan är då hur begränsat detta utrymme är. delar upp sitt resonemang i denna fråga i två delar. Den första delen handlar om generell lagring. resonerar här kring den svenska lagstiftningen om datalagring och menar att den föreskriver en generell och odifferentierad lagring av samtliga trafikuppgifter och lokaliseringsuppgifter för samtliga abon- nenter och registrerade användare avseende samtliga elektroniska kommunikationsmedel och ålägger leverantörer av elektroniska kommunikationstjänster att systematiskt och kontinuerligt lagra dessa uppgifter, utan undantag. Domstolens slutsats, som avslutar det första ledet av resonemanget, är att den svenska lagringen över- skrider gränsen för vad som är strängt nödvändigt och därför står i strid med artikel 15.1 i direktivet jämförd med artiklarna 7, 8, 11 och 52.1 i stadgan. Domstolen har redovisat alla domskäl som behövs för domslutet i denna del. Domstolen fortsätter emellertid sina överväganden i en andra del av resonemanget. Denna andra del har ingen koppling till domslutet utan är närmast att se som ett obiter dictum (dvs. ett uttalande vid sidan om själva saken). Resonemanget här handlar om riktad lagring som ett exempel på en möjlig form av lagring. I denna del resonerar domstolen kring hur en sådan lagring skulle kunna vara utformad. Bland kraven på en riktad lagring märks särskilt att den berörda personkretsen måste vara avgränsad. Utredningens bedömning är att det finns ett fortsatt utrymme för en begränsad lagringsskyldighet. Men lagringsskyldigheten måste göras mindre omfattande än och anpassas till vad som är strängt nödvändigt. Olika modeller för lagring Det bör föreskrivas en viss begränsad och differentierad lagring. De övriga modeller för lagring som kan tänkas (riktad lagring, bevarande- föreläggande, lagring av senaste aktivitet och bibehållen lagring med kryptering eller maskering) är behäftade med sådana svagheter att de inte är rimligt att föreskriva någon av dem i stället. Utredningens förslag innebär att nuvarande modell för lagrings- skyldigheten reformeras kraftigt för telefonitjänst och meddelande- hantering samt i viss utsträckning för internetåtkomst. Genom de föreslagna förändringarna blir lagringsskyldigheten inte längre gene- rell; en stor del av trafikuppgifterna kommer inte att omfattas av skyldigheten liksom alla lokaliseringsuppgifter som inte är trafik- uppgifter. Lagringen blir därmed undantag och inte huvudregel (Tele2-domen p. Dessutom blir lagringsskyldigheten differen- tierad genom att den anpassas till att omfatta endast de uppgifter som är strängt nödvändiga att lagra för att bekämpa grov brottslig- het, med beaktande av nytta, behov, integritet och proportionalitet (Tele2-domen p. differentieras lagringstiderna ut- ifrån skillnader i behov och uppgifternas integritetskänslighet. Förslaget innebär att integritetsintrånget för abonnenterna blir lägre men även att möjligheterna att förebygga, förhindra och utreda brott i vissa fall torde försämras. Redaktionella ändringar och teknikneutralitet Utredningen föreslår att lagringsskyldigheten delas upp i två delar, dels telefonitjänst och meddelandehantering, dels internetåtkomst. Bestämmelserna görs teknikneutrala. Det betyder bl.a. att opera- törernas användning av NAT-teknik (en teknik för att tillåta att flera abonnenter delar på en och samma publika ip-adress) inte påverkar möjligheterna till identifiering av abonnenten. För telefonitjänst och meddelandehantering föreslås att endast upp- gifter om kommunikation via en mobil nätanslutningspunkt ska lagras. Det betyder att det inte kommer att lagras några uppgifter vid telefoni eller meddelandehantering som sker inom det fasta telefoni- nätet eller genom fasta internetanslutningar. Om någon av parterna kommunicerar via en mobil nätanslutningspunkt kommer däremot information att lagras, men bara hos den partens operatör. Trafik- uppgifter ska fortfarande lagras. Men lagringsskyldigheten begränsas till uppgifter om vem som kontaktat vem (nummer och abonnent samt för telefonitjänst även abonnemangsidentitet och utrustnings- identitet) och . Uppgifter om ip-adress ska i sig inte lagras vid telefonitjänst och meddelandehantering. Uppgift om vilken tjänst som använts, tid för på- och avloggning i tjänsten och uppgift om utrustning där kommunikationen vid ip-telefoni slutligt avskiljs (se dock nedan om internetåtkomst) ska inte omfattas av lagringsskyldigheten. Lokaliseringsuppgifter ska fortfarande lagras vid ett samtals början och slut. Men precis som tidigare ska inga andra lokaliseringsuppgifter lagras. För förbetalda anonyma tjänster (dvs. oregistrerade kontantkort) ska uppgift om kommunikations- utrustning och första aktivering fortfarande lagras. Lagringsskyldig- heten ska fortfarande omfatta misslyckade uppringningar, t.ex. obesvarade samtal – men inte samtal som inte kopplas fram. För internetåtkomst föreslår utredningen att lagringsskyldigheten ska omfatta uppgifter som gör det möjligt att identifiera abonnenten eller den registrerade användaren. Därmed ska det lagras ip-adress och annan teknisk uppgift som är nödvändig för att identifiera abonnen- ten eller den registrerade användaren, tidsuppgifter för på- och av- loggning i tjänsten som ger internetåtkomst, uppgifter om abonnent och registrerad användare och uppgifter som identifierar utrust- ningen där kommunikationen slutligt avskiljs. Det ska däremot inte längre finnas någon skyldighet att lagra uppgifter om anslutnings- kapacitet. Inget undantag för personer med tystnadsplikt Det bör inte införas något undantag från lagringen för personer med tystnadsplikt. förslag om att införa en förstörandeskyldighet för uppgifter som omfattas av yrkesmässig tystnadsplikt bör övervägas. Lagringskyldighetens ramar bör framgå av lag Lagringsskyldighetens yttre ramar bör framgå av lag och de mer detaljerade föreskrifterna av förordning. I viss utsträckning bör regeringen kunna delegera denna föreskriftsrätt. Det ska i lag anges att de uppgifter som omfattas av lagringsskyldig- heten ska lagras den tid regeringen föreskriver dock som längst räknat från den dag då kommunikationen avslutades. Reger- ingen ska föreskriva följande. Lokaliseringsuppgifter vid samtal ska lagras . Uppgifter om internetåtkomst, förutom upp- gifter som identifierar utrustningen där kommunikationen slutligt avskiljs, ska lagras . Övriga uppgifter ska lagras . Tillgången till trafik- och lokaliseringsuppgifter Endast för att bekämpa grov brottslighet Tillgång till lagrade trafik- och lokaliseringsuppgifter ska endast ges för bekämpning av grov brottslighet. Med grov brottslighet avses samma kategorier av brott som möjliggör hemlig övervakning av elektronisk kommunikation och inhämtning av uppgifter om elektronisk kommunikation i de brottsbekämpande myndigheternas underrättelseverksamhet. Svensk rätt är således förenlig med EU- rätten i detta hänseende. Tillgång bara till uppgifter om personer som på något sätt är inblandade i brott – som huvudregel Tillgång till lagrade uppgifter kan enligt domstolen i princip bara beviljas till uppgifter om personer som misstänks planera, begå eller ha begått ett allvarligt brott eller på något sätt vara inblandade i ett sådant brott. I vissa fall kan tillgång ges även till uppgifter om andra personer. De svenska reglerna om tillgång till uppgifter uppfyller krav i detta hänseende. Förhandskontroll av domstol eller oberoende myndighet kräver att de brottsbekämpande myndigheternas tillgång till datalagrade uppgifter, utom i motiverade brådskande fall, ska föregås av en kontroll av domstol eller en oberoende myndighet. Det svenska regelverket uppfyller detta krav utom vid inhämtning av uppgifter om elektronisk kommunikation i underrättelseverksamhet. Utredningen föreslår därför att åklagare utses som oberoende myndighet att fatta beslut om sådan inhämtning efter ansökan av , Säkerhetspolisen eller . Information till de berörda fastslår att kräver att de myndigheter som har beviljats tillgång till lagrade uppgifter, enligt tillämpliga natio- nella bestämmelser, informerar de berörda personerna om detta så snart en sådan upplysning inte längre riskerar att skada myndig- heternas utredningar. De svenska reglerna om information till de berörda uppfyller krav i detta hänseende. Tillgången ska avse även uppgifter som lagras för operatörernas egna ändamål De brottsbekämpande myndigheternas tillgång till uppgifter om elektronisk kommunikation ska alltjämt avse inte bara de uppgifter som sparas enligt datalagringsreglerna utan också den information som sparas för operatörernas egna ändamål, t.ex. uppgifter som behövs för fakturering. Som nämns ovan omfattar inte Tele2-domen behandling av abonne- mangsuppgifter. Med den breda omfattning som skyddet för privat- liv har, får tillgången till abonnemangsuppgifter ändå anses innebära ett ingrepp i skyddet enligt och rättighets- stadgan. Det krävs därför att tillgången är begränsad till vad som är strängt nödvändigt och proportionerligt i ett demokratiskt samhälle. Sammantaget är det utredningens bedömning att varken EU-dom- stolens dom eller internationella åtaganden ger anledning att förändra förutsättningarna för de brottsbekämpande myndigheternas tillgång till uppgifter om abonnemang. Skydds- och säkerhetsnivåer, lagring inom och utplåning Uppgifterna som omfattas av lagringsskyldigheten ska inte få lagras utanför . anger i och för sig endast att den nationella lagstiftningen måste föreskriva att datalagrade uppgifter inte ska få lagras utanför unionen. Genom att lagringen begränsas till uppnås emellertid en mer tillsyn som både enskilda personers konfidentialitet och nationell säkerhet skyddas på ett bättre sätt. Eftersom den nu aktuella frågan rör centrala intressen för staten finns inga EU-rättsliga hinder för att föreskriva att upp- gifterna endast ska få lagras i . Reglerna om skydds- och säkerhetsnivå uppfyller de krav som ställer. Reglerna om utplåning uppfyller de krav som EU- rätten ställer. Förslagen om en ändrad lagringsskyldighet, förbud mot lagring utan- för och förhandsprövning vid beslut enligt lagen (2012:278) om inhämtning av uppgifter om elektronisk kommunikation i de brottsbekämpande myndigheternas underrättelseverksamhet kom- mer att stärka integritets- och personuppgiftsskyddet. Förslaget om en ändrad lagringsskyldighet kommer möjligen att innebära att de brottsbekämpande myndigheternas förmåga att bekämpa brottslighet försämras i någon mån men torde inte innebära att brottsligheten kommer att öka. Miljön kommer inte att påverkas av förslagen. Förslaget om förhandsprövning av beslut enligt lagen (2012:278) om inhämtning av uppgifter om elektronisk kommunikation i de brotts- bekämpande myndigheternas underrättelseverksamhet innebär att kommer att behöva ett större årligt anslag () och ett engångsbelopp () som bör finansieras med neddragning av anslagen för (för den löpande ramhöjningen och för engångsbeloppet), Säkerhetspolisen (för den löpande ramhöjningen och för engångsbeloppet) och (för den löpande ramhöjningen och för engångsbeloppet). Den kostnadsökning som drabbar de lagringsskyldiga för lagring, säkerhet och anpassning ska de själva stå för. Förslagen i betänkandet ska träda i kraft . The Commission’s mandate and work The interpretation of EU law by the Court of of Union (CJEU) in its Tele2 judgment has necessitated reform of the Swedish rules on data retention, regarding both retention and access. This Commissions mandate has been to make these Swedish rules compatible with EU law. This mandate has included considerations in an area that is highly complex, both legally and technically. It has also been carried out with great promptness owing to the urgency of putting in place regulation consistent with the CJEU’s statements in the Tele2 judgment. Experts from Swedish law enforcement and supervisory agencies, ’s courts, the , and the Swedish Government Offices have served as experts in the Commission. Fundamental rights that are guaranteed to individuals are laid down in ’s Instrument of Government (part of the Constitution), Convention on Human Rights and the Charter of Fundamental Rights of the EU. Individuals’ fundamental rights are twofold: first, their right to be protected from violations by the state, and, second, the state’s duty to ensure – by, for example, a crime investigation – individuals’ protection against violations by other individuals. It is incumbent on the state to establish a frame- work that is reconcilable with these partially competing principles. The rights that are of primary interest for the mandate are the right to private life, the right to protection of personal data and the right to freedom of expression. All these rights are guaranteed by ’s Instrument of Government, Convention on Human Rights and the Charter of Fundamental Rights of the EU. Privacy protection in electronic communications To ensure full respect for the right to private life and the right to protection of personal data in the electronic communications sector, the EU adopted Directive 2002/58. This Directive requires member states to, for example, ensure confidentiality in electronic com- munications and associated traffic data. Data that are no longer needed must, under the Directive, be destroyed or de-identified. However, the member states may make exceptions to these obligations if it is necessary for e.g. crime fighting activities. The Directive has been implemented in Swedish law mainly through provisions in the Act (2003:389). Crime fighting activities consist of two main parts: intelligence and investigative work. Intelligence activities focus mainly on revealing whether particular crimes, not specified in detail, have taken or are taking place, or may be expected to be committed. One overall goal of intelligence work is to supply law enforcement agencies with knowledge that can be brought to bear in their operations. Investigative activity, in contrast, is based on an event that has already occurred. The agency’s task is to find out, often in a preliminary investigation, whether crimes have been committed and, if so, who may be reasonably suspected of committing them, and to obtain enough material to assess the question of whether to prosecute. In both criminal investigation and intelligence work, secret coercive measures are used. One such measure relevant to the issue of data retention is secret monitoring of electronic communications, which is regulated by the Swedish Code of Judicial Procedure. In addition, there are coercive measures under the Act (1991:572) concerning Special Controls in Respect of Aliens and the Act (2007:979) on the Use of Measures to Prevent Certain Serious Crimes that are applicable in intelligence activities. Data retrieval under the Act (2012:278) on Acquiring Information about Electronic Communications in the ’ Intelligence Activities also constitutes a secret coercive measure. However, collection of subscription data under the Act (2003:389) is not a secret coercive measure. Data on electronic communication in crime fighting Data on electronic communications are divided into various categories. Subscription data comprise, for example, subscribers’ numbers, names, titles and addresses. Such data are also usually deemed to include information about contracts and , for example. Moreover, this category includes information on which fixed or dynamic ip address a subscriber has used or IMSI numbers (those are associated with subscribers’ SIM cards and thus telephone numbers), and several other particulars. The exact boundary is difficult to draw. Traffic data refers in this context, simply expressed, to the data needed to convey an electronic message in an electronic communications network, or to invoice for such a message. Besides the concept of ‘traffic data’, the expression location data is also used, to denote data associated with the location of a communication device. It may, for example, be about the cell (base station antenna) to which the equipment is connected. Current regulation of data retention Data on electronic communications are very important for crime fighting. There are therefore rules in the Act (2003:389) to ensure that public agencies can access such data. To this end, the Act prescribes a retention obligation for those providing electronic communications services. This obligation includes certain listed data generated or processed by the provider. The obligation to retain includes tele- phony (fixed and mobile), messaging and Internet access. Current regulation of data access How public agencies can access the data covered by the obligation to retain – and other data processed in their work, for example owing to requirements – depends on what type of information is involved and the purpose for which access is requested. For traffic and location data, access is regulated in the Code of Judicial Procedure and the Act (2012:278) on Gathering of Data relating to as Part of Intelligence Gathering by . In addition, there are the Act (1991:572) concerning Special Controls in Respect of Aliens and the Act (2007:979) on Measures to Prevent Certain Particularly Serious Crimes, which refer to the provisions of the Code of Judicial Procedure. Access to subscription data has not been considered to be a secret coercive measure, and is regulated directly in the Act (2003:389). Access to traffic and location data in the criminal investigative process requires court decisions and is possible only in cases of serious crime. In intelligence activities, access to traffic data is more limited but, as a main rule, does not require court decisions. Access to subscription data does not require any court decision; the decision is taken by the law enforcement agency itself. is the crime required to be of a particular degree of seriousness. To protect individuals’ data privacy and maintain a high level of legal certainty, the regulations governing public agencies’ access to electronic communications data contain a number of control mechanisms and guarantees of legal certainty. For all use of coercive measures, the principles of purpose, need and proportionality apply. Consequently, the coercive measures may be used only for the purpose specified in the legislation, if there is an obvious need and a smaller intervention measure is insufficient. In addition, the measure must be in reasonable proportion to both the benefit resulting from, and the intrusion or harm entailed by, the measure. Benefit of and need for electronic communication data in crime fighting To combat crime, there is an obvious need for data on electronic communications, and these data are immensely useful to law enforcement agencies. This applies to all data to be retained pursuant to the Ordinance (2003:396). However, benefit and need are not the same for all data, nor over time, since behaviour patterns and technology are constantly changing. Examples are the decline of fixed telephony, growing Internet access in mobile phones and increased use of IP telephony through mobile apps. Impact of EU law on data retention rules Retention Directive (2006/24/EC) was annulled by the CJEU on (the Digital Rights judgment) and, for this reason, the head of the tasked an investigator with analysing the implications for Swedish legislation (Ministry Publication Series, Ds 2014:23). To follow up the analysis in the departmental memorandum, the Government instructed a special investigator to consider further measures to boost legal certainty and data privacy for such rules as those on retention of data concerning electronic communication (Swedish Government Official Report, SOU 2015:31). In both analyses, the Swedish legislation was judged to be compatible with EU law, although some reform proposals were presented. The Tele2 judgment and the Administrative Court of Appeal in judgment The Administrative Court of Appeal in requested a preliminary ruling by the CJEU on an injunction, which had been appealed, from the Authority against a company obliged to retain data about storing data on electronic communication. The CJEU’s response to the request was the Tele2 judgment. The CJEU considered Directive 2002/58 to be applicable to the Swedish rules on data retention, with respect to data access as According to the CJEU, Article 15.1 of the Directive, which to some extent allows data retention, should be interpreted strictly and in light of the Charter of Fundamental Rights. The Swedish rules on data retention were judged to constitute restrictions on the rights under Articles 7, 8 and 11. According to the CJEU, restrictions on rights may be imposed only under certain conditions, including their being proportionate and strictly necessary. The CJEU further stated that general and indiscriminate retention can never be strictly necessary – not even to fight serious crime. Regarding access to data, the Court states that precise requirements must be prescribed, that access may be given only for the purpose of fighting serious crime and that access may, in principle, relate only to people involved in some way in serious crime. According to the Court, access should, as a main rule, be granted only after prior judicial review by a court or other independent agency, and the people concerned should be informed as soon as this is no longer detrimental to the agency’s investigations. In addition, the Court states that providers of electronic communications services must guarantee a particularly high level of protection and security through appropriate technical and organisational measures; that the data must be destroyed when the retention period expires; and that the data must be stored in the EU. The CJEU’s conclusions are that EU law precludes (1) national legislation which, for the purpose of fighting crime, provides for general and indiscriminate retention of all traffic and location data of all subscribers and registered users relating to all means of electronic communication and (2) national legislation that does not restrict access to traffic and location data solely to fighting serious crime, where access is not subject to prior review by a court or an independent administrative authority, and where there is no require- ment that the data concerned should be retained within Union. With reference to the CJEU’s judgment, the Administrative Court of Appeal suspended the injunction from the Authority. Several countries have started analysing the Tele2 judgment. The Commission’s report gives an account of current law and reform under way in , , , , and . It is worth noting that these reviews have not yet led to legislation in any country. The Commission’s considerations