sou · H5B375 · 2017-10-11 00:00:00 — Enligt utredningens bedömning lever det svenska regelverket på detta område upp till krav. fastslår att kräver att de myndigheter som har beviljats tillgång till lagrade uppgifter, enligt tillämpliga natio- nella förfaranden, informerar de berörda personerna om detta så snart en sådan upplysning inte längre riskerar att skada myndig- heternas utredningar. Den informationen är enligt nödvändig bl.a. för att dessa personer ska kunna utöva sin rätt till rättslig prövning vid kränkning av deras rättigheter (avsnitt 9.8.5). Hemlig övervakning av elektronisk kommunikation Utredningens bedömning: Reglerna om information till de berörda när det gäller hemlig övervakning av elektronisk kom- munikation uppfyller de krav som ställer. Som framgår ovan finns det föreskrivet en underrättelseskyldighet i RB gentemot den enskilde vid användningen av hemliga tvångsmedel (avsnitt 6.4.2). Det finns dock vissa möjligheter att skjuta upp underrättelsen om de uppgifter som den ska innehålla omfattas av vissa typer av sekretess (27 kap. 33 § första stycket RB). Om sekre- tess fortfarande gäller efter att förundersökningen avslutades behöver underrättelse inte lämnas. I sådana fall ska dock SIN under- rättas om beslutet att underlåta underrättelse, 14 b § andra stycket förundersökningskungörelsen (1947:948). Vissa brott som faller inom ansvarsområde är helt undantagna från underrättelseskyldighet (27 kap. 33 § tredje stycket RB). anger att risk för skada för utredningen kan moti- vera en uppskjuten underrättelse till den enskilde (p. 121 i domen). De svenska bestämmelserna är dock bredare och ger även möjlighet att skjuta upp underrättelse t.ex. vid sekretess på grund av risker för skada för landets försvar, 27 kap. 33 § RB och 15 kap. 2 § offentlig- hets- och sekretesslagen (2009:400). Det får dock anses att EU- domstolen inte uttömmande har angett vilka sekretessgrunder som kan anföras som skäl för att skjuta upp underrättelse. Det skulle nämligen vara svårbegripligt om den nu angivna sekretessgrunden (skydd för landets försvar) inte skulle få åberopas men man skulle få skjuta upp underrättelse för att skydda en enda brottsutredning. Även sekretess för att skydda polisens arbetsmetoder måste rimligen få åberopas till stöd för att skjuta upp underrättelse (18 kap. 1 § offentlighets- och sekretesslagen). Att inte uttöm- mande har angett i vilka fall underrättelse får skjutas upp framgår också av hänvisningen till ”tillämpliga nationella förfaranden” (p. 121 i domen). Enligt utredningens bedömning bör således de svenska reglerna för att kunna skjuta upp underrättelse bibehållas. gör ingen bedömning i fråga om helt underlåten underrättelse. Domstolen berör endast uppskjuten underrättelse. Att den svenska rättordningen i vissa fall föreskriver att underrättelse till den enskilde helt kan underlåtas är dock inget som enligt utred- ningen står i strid med . För det första måste nämligen syftet med underrättelsen beaktas vid denna bedömning. Syftet är att bereda den enskilde möjlighet till en rättslig prövning vid kränkning av dennes rättigheter. Ju går desto mer klingar intresset av en rättslig prövning av. För det andra så säkerställs att det utförs en kontroll av att tvångsmedelsanvändningen har skett på ett korrekt sätt genom att SIN underrättas i de fall den enskilde inte underrättas (14 b § förundersökningskungörelsen). Endast i de fall tvångs- medelsanvändningen avser vissa brott som utreds av Säkerhets- polisen kan underrättelse underlåtas helt och hållet (27 kap. 33 § tredje stycket RB och 14 b § andra stycket förundersöknings- kungörelsen). Utrymmet för staten att avvika från skyddsreglerna för att värna sina vitala intressen är också något som bejakas av dom- stolen (p. 119 i domen, som i och för sig rör för vilka personer myndigheterna ska få tillgång till uppgifter om). När det gäller basstationstömning, dvs. vilka mobiltelefoner m.m. som har funnits inom ett visst geografiskt område, kan många icke misstänkta omfattas av åtgärden. Dessa personer underrättas typiskt sett inte om inhämtningen (27 kap. 31 § andra stycket RB). Enligt utredningen finns det två skäl som talar för att inte utgör hinder för en bibehållen sådan ordning. Det första är att EU-dom- stolen själv synes ge medlemsstaterna visst nationellt handlings- utrymme i denna fråga genom att hänvisa till ”tillämpliga nationella förfaranden” (p. Det andra är att underrättelseinstitutet enligt är avsett att möjliggöra för personer att kunna utöva sin rätt till rättslig prövning vid kränkning av deras rättigheter (p. I fallet med basstationstömning som drabbar icke miss- tänkta är integritetsintrånget för varje enskild individ mycket begränsat, eftersom det normalt endast är fråga om en positions- bestämning vid ett specifikt tillfälle (avsnitt 12.8.3). Något egentligt behov av att ha tillgång till rättslig prövning finns därför inte för dessa personer. Det ska även i sammanhanget noteras att den behandling av de icke misstänktas personuppgifter som utförs hos polisen och är kringgärdad av ett integritetsskyddande regelverk i form av polisdatalagen (2010:361) och tullbrottsdatalagen (2017:447). Utredningen gör mot bakgrund av det nu anförda bedömningen att de svenska reglerna om uppskjuten och underlåten underrättelse är förenliga med de krav som uppställer. Inhämtning av uppgifter i underrättelseverksamhet Utredningens bedömning: Reglerna om information till de berörda när det gäller inhämtning av uppgifter om elektronisk kommunikation i underrättelseverksamhet uppfyller de krav som ställer. När det gäller inhämtning av uppgifter i underrättelseverksamhet enligt IHL finns ingen motsvarighet till RB:s krav på underrättelse till enskild. Frågan om ett sådant krav borde införas övervägdes i samband med att lagen infördes. Regeringen uttalade då, med hänvisning till SOU 2009:1, att en skyldighet att underrätta enskilda om inhämtning av uppgifter i underrättelseverksamhet, med hänsyn till verksamhetens framåtblickande perspektiv och övergripande natur, skulle riskera att motverka huvudsyftet med underrättelse- verksamheten. Vidare uttalade regeringen att en sådan skyldighet därför skulle behöva förses med en rad undantag och det skulle i många fall kunna ta innan en underrättelse kunde lämnas, och den eventuella identifiering och granskning av kommuni- kationen som måste föregå en underrättelse skulle kunna innebära ett ytterligare integritetsintrång. Det beaktades även att använd- ningen av uppgifterna i en förundersökning förutsätter tillstånd av domstol till hemlig övervakning av elektronisk kommunikation. I dessa fall, där uppgifterna innebär en påtaglig integritetspåverkan för en enskild, skulle därmed bestämmelserna om underrättelseskyldig- het i RB bli tillämpliga (prop. 2011/12:55 s. 107). Det ska också noteras att i vissa fall är identiteten på den som omfattas av inhämtning enligt IHL inte känd på annat sätt än genom t.ex. ett smeknamn. I dessa fall är underrättelse omöjlig att lämna. Som regeringen konstaterade vid införandet av IHL omfattas uppgifterna av sekretess – i många fall dessutom av sekretess som är särskilt viktig att bibehålla. Dessutom är den brottslighet som är aktuell vid inhämtning enligt IHL mycket angelägen att bekämpa effektivt. Det rör sig nämligen om grov brottslighet, antingen sett till de straff som kan utdömas (2 § IHL) eller sett till att brotten riktar sig mot centrala delar av samhället och staten (3 § IHL). Som ovan anförs när det gäller hemlig övervakning av elektronisk kommunikation torde det finnas ett nationellt utrymme att underlåta underrättelse. Enligt utredningens bedömning täcker detta undantag in ett system där information till de berörda över huvud taget inte föreskrivs vid inhämtning av uppgifter om elektronisk kommuni- kation i underrättelseverksamhet. Vid denna bedömning har även beaktats att det finns en möjlighet för den enskilde att vända sig till SIN med en begäran att nämnden ska kontrollera om vederbörande har utsatts för inhämtning enligt IHL och om inhämtningen och behandlingen av uppgifterna varit lagenlig, 3 § lagen (2007:980) om tillsyn över viss brottsbekämpande verksamhet) samt att SIN under- rättas om beslut om inhämtning av uppgifter enligt IHL (6 §). har godtagit att underrättelse inte lämnas till den berörde när liknande kontrollsystem funnits att tillgå (jfr mot , , § 167 Roman mot , , § 288). Enligt utredningens bedömning innebär det nu beskrivna regelsystemet således att det svenska regel- verket lever upp till de krav som ställer enligt EU-dom- stolen. Utredningens bedömning: Reglerna om information till de berörda när det gäller hemlig övervakning av elektronisk kom- munikation enligt preventivlag uppfyller de krav som ställer. Som framgår ovan gäller att den som varit utsatt för övervakning enligt preventivlag avseende vissa brott som huvudsakligen utreds av ska underrättas om tvångsmedels- användningen (avsnitt 6.4.2). Underrättelseskyldigheten gäller alltså inte för de brott som huvudsakligen utreds av Säkerhetspolisen. Underrättelse kan skjutas upp om det gäller sekretess för upp- gifterna. Underrättelse får även underlåtas helt i vissa fall. Reglerna kring detta är utformade på motsvarande sätt som för underrättelse vid hemlig övervakning av elektronisk kommunikation enligt RB. De skäl som redovisas till stöd för utredningens uppfattning att under- rättelsereglerna i RB är förenliga med har giltighet även vid bedömningen av underrättelseskyldigheten enligt preventivlag. Utredningens bedömning är därför att underrättelse- skyldigheten enligt preventivlag är förenlig med . Utredningens bedömning: Avsaknaden av regler om infor- mation till de berörda vid särskild utlänningskontroll är inte i strid med . Som redovisas ovan finns det ingen underrättelseskyldighet till enskild när hemlig övervakning av elektronisk kommunikation sker som ett led i en särskild utlänningskontroll. Det som kan bli aktuellt inom ramen för en särskild utlänningskontroll är utredning om ut- länningen eller en organisation eller grupp som han eller hon tillhör eller verkar för planlägger eller förbereder terroristbrott enligt 2 § lagen (2003:148) om straff för terroristbrott. Sådana brott är riktade mot statens centrala och vitala intressen och tillhör Säkerhetspolisens verksamhetsområde. Det finns därför starka sekretesskäl att vara restriktiv med underrättelser till enskild. Som framgår ovan får anses vara mer tillåtande för undantag när det gäller så vitala statsintressen som det nu är fråga om, i synnerhet när dessa hotas av terrorism. Utredningen gör därför bedömningen att en underlåten underrättelseskyldighet vid tvångs- medelsanvändningen vid särskild utlänningskontroll är förenlig med . I sammanhanget kan nämnas att hemlig övervakning av elektro- nisk kommunikation i samband med särskild utlänningskontroll är en mycket begränsad företeelse. Redovisningsperioden –förordnades endast om tre fall av sådan över- vakning (skr. 2016/17:72 s. 4). 12.8.6Tillgången ska avse även uppgifter som lagras för operatörernas egna ändamål Utredningens bedömning: De brottsbekämpande myndigheter- nas tillgång till uppgifter om elektronisk kommunikation ska alltjämt avse inte bara de uppgifter som sparas enligt datalagrings- reglerna utan också den information som sparas för operatörernas egna ändamål, t.ex. uppgifter som behövs för fakturering. Enligt direktiv /58 gäller att operatörerna ska utplåna uppgifter när de inte längre behövs för sitt syfte att överföra kommunikation (artikel 6). Av samma artikel framgår att operatörerna, trots denna utplåningsskyldighet, får spara uppgifter i vissa fall. Utöver dessa uppgifter som enligt direktivet får sparas för egna ändamål finns det ett regelverk för lagring av uppgifter för brottsbekämpande ändamål. Man skulle alltså kunna uttrycka det som att operatörerna har två uppgiftsmängder: en för egna ändamål (som t.ex. fakturering) och en som de är ålagda att lagra enligt datalagringsreglerna (uppgifter som sparas för brottsbekämpande ändamål). Tudelningen av de lagrade uppgifterna framgår för svenskt vid- kommande genom 6 kap. 16 a och 16 c §§ LEK. Av dessa bestäm- melser kan utläsas att de trafikuppgifter som lagras för brottsbekäm- pande ändamål endast får behandlas vid tillämpning av reglerna om hemliga tvångsmedel. Detta innebär att om efter- forskar en försvunnen person (utan misstanke om brott) eller behöver uppgifter i ett ärende om kontroll av skatt så får myndigheten inte tillgång till de uppgifter som är lagrade för brottsbekämpande ändamål, men däremot de uppgifter som finns lagrade för operatörens eget behov (6 kap. 22 § LEK jämförd med 16 a och 16 c §§ samma kapitel). Det står alltså klart att endast de brottsbekämpande myndig- heterna har rätt att få tillgång till de uppgifter som är föremål för lagring enligt de speciella datalagringsreglerna. Vid det omvända förhållandet – alltså att de brottsbekämpande myndigheterna vill få åtkomst till uppgifter som lagras av operatörerna för eget behov – så finns inga begränsningar. De brottsbekämpande myndigheterna är alltså inte avskurna från tillgång till de uppgifter som en operatör lagrar för egna ändamål. En annan sak är att en sådan tillgång förut- sätter tillämpning av ett annat regelverk, t.ex. hemlig övervakning av elektronisk kommunikation med de begränsningar som följer av det regelverket (detta gäller självklart även vid tillgång till uppgifter som omfattas av lagringsskyldigheten). Från det ovanstående måste skiljas de uppgifter som operatörerna behandlar på grund av sina åligganden att medverka till att förmedla meddelanden som är av vikt för allmänheten vid en olycka eller en annan allvarlig händelse (5 kap. 7 d § LEK). Dessa uppgifter får användas endast för att förmedla sådana meddelanden och får således inte tillgängliggöras för de brottsbekämpande myndigheterna (5 kap. 10 b § LEK). Det ska i detta sammanhang nämnas att regleringen i 6 kap. 16 e § LEK innebär att operatörernas prissättning för att lämna ut uppgifter som inte omfattas av lagringsskyldigheten inte omfattas av PTS normgivningsbemyndigande. Det innebär att ett utlämnande av mycket likartade uppgifter kan skilja sig åt väsentligt i pris för de brottsbekämpande myndigheterna. Det är enligt utredningen en otillfredsställande ordning. Utredningen har dock inte inom ramen för sitt uppdrag haft möjlighet att lämna något förslag i denna del. Utredningens bedömning: Regleringen kring abonnemangs- uppgifter är förenlig med internationella åtaganden. Som tidigare nämnts omfattar inte Tele2-domen abonnemangs- uppgifter (avsnitt 12.2). Som framhålls där går det dock inte att i detta sammanhang underlåta att anlysera regleringen kring dessa uppgifter. Det ska inledningsvis konstateras att tillgång till abonnemangs- uppgifter inte utgör ett hemligt tvångsmedel (prop. 2013/14:237 s. 134) och sådana uppgifter har i sig inte ansetts vara särskilt integri- tetskänsliga, eftersom de endast ger uppgift om att personen är registrerad abonnent eller användare av ett visst abonnemang eller en ip-adress (avsnitt 6.2.2). Det bör emellertid poängteras att abonnemangsuppgifter utgör kopplingen mellan annars relativt anonyma uppgifter och en fysisk person. I den egen- skapen är abonnemangsuppgifter både skyddsvärda och integritets- känsliga, ungefär på samma sätt som en krypteringsnyckel. De kan dock inte likställas med trafik- och lokaliseringsuppgifter, av vilka man kan dra betydligt mer precisa slutsatser om personers privatliv (p. 99 i Tele2-domen). Det är därmed inte heller möjligt att analogt tillämpa resonemang om de brottsbekämpande myndigheternas tillgång till lagrade trafik- och lokaliseringsuppgif- ter. I stället måste utgångspunkt tas ur mer generella regler kring behandling av personuppgifter. I sammanhanget ska även poängteras att den begränsningen av tillgång till lagrade uppgifter som EU-dom- stolen uppställer i Tele2-domen, till att endast omfatta bekämpning av grov brottslighet, har sin utgångspunkt i artikel 15.1, som inte är relevant för abonnemangsuppgifter (p. 115 i Tele2-domen). Där- emot bör det även för abonnemangsuppgifter gälla att syftet med tillgångsbestämmelsen ska stå i proportion till hur allvarligt ingrepp i de grundläggande rättigheterna det innebär att ge tillgång till de lagrade uppgifterna. På liknande sätt blir inte heller de höga krav som Europa- konvention ställer på hemliga tvångsmedel tillämpbara (jfr hänvis- ningarna i avsnitt 3.1.3 till domar i målen Uzun mot samt P.G. mot , båda målen avsåg dessutom hemliga övervakningsåtgärder). Med den breda omfattning som skyddet för privatliv har (dom i målet Amann mot , § 65) får tillgången till abonnemangsuppgifter ändå anses innebära ett visst ingrepp i skyddet enligt artikel 8 i och artikel 8 i rättighetsstadgan. Det krävs därför att tillgången är begränsad till vad som är strängt nödvändigt och proportionerligt i ett demokra- tiskt samhälle (artikel 8.2 i och artikel 52.1 i rättighetsstadgan, Tele2-domen p. 96 och p. 122–124 i EU-dom- stolens yttrande 1/15 ). Utifrån praxis följer att betraktar abonnemangsuppgifter som ett viktigt verktyg för att skydda brottsoffers rätt till upprättelse. har näm- ligen i ett avgörande tolkat konventionen på så sätt att den innebär en förpliktelse för staterna att ha en lagstiftning som möjliggör åtkomst till abonnemangsuppgifter. Omständigheterna i avgörandet var i korthet följande. En okänd person hade gjort sig skyldig till förtal eller möjligen sexuellt ofredande av ett 12-årigt barn i genom att lägga ut en påhittad kontaktannons av sexuell natur i 12- åringens namn. Gärningsmannen kunde inte identifieras på grund av att den nationella lagstiftningen inte möjliggjorde att uppgiften om förövarens identitet kunde inhämtas från operatören. I det aktuella fallet uttalade domstolen särskilt att konfidentialitet för kommuni- kation och yttrandefrihet ibland måste få vika för brottsbekämpande ändamål. Domstolen ansåg att inte hade levt upp till sina skyldigheter enligt konventionen då det saknades lagstiftning som möjliggjorde för polisen att komma åt abonnemangsuppgifterna. (dom i målet K.U. mot , särskilt § 49). Det kan alltså sägas att inte bara tillåter en rättsordning där de brottsbekämpande myndigheterna i någon form ges tillgång till abonnemangsuppgifter, den påbjuder en sådan ord- ning. Utrymmet för att ha ett regelverk som över huvud taget inte tillåter de brottsbekämpande myndigheterna att komma åt abonnemangsuppgifter är således tämligen begränsat. Eftersom det inte är fråga om en hemlig övervakningsåtgärd och ingreppet i privatlivet är begränsat i jämförelse med tillgång till trafik- och lokaliseringsuppgifter, finns det inte heller något krav på för- handskontroll av domstol eller annan oberoende myndighet, eller på underrättelse till de berörda (angående förhandskontroll jfr även analysen i Ds 2014:23 s. 23–24 och avseende underrättelse, se SOU 2015:31 s. 192–194 och prop. 2011/12:55 s. 108). Vid en jäm- förelse med t.ex. husrannsakan, som normalt får beslutas av under- sökningsledaren, är inhämtning av abonnemangsuppgifter betydligt mindre integritetskränkande, både i utförande och med beaktande av vilken information som kan fås fram. I någon mån kan också en jäm- förelse göras med inhämtande av annan identitetsinformation som omfattas av tystnadsplikt, såsom uppgift om innehavaraen av ett visst bankkort eller ännu mer integritetskänslig information, såsom hur bankkortet har använts, 1 kap. 10 och 11 §§ lagen (2004:297) om bank- och finansieringsrörelse. Enligt utredningens bedömning behöver myndigheternas tillgång till abonnemangsuppgifter inte heller begränsas till misstanke om grov brottslighet. Ett intrång i skyddet för privatlivet torde normalt vara godtagbart om uppgifterna är nödvändiga för att det över huvud taget ska finnas förutsättningar för myndigheterna att utreda brottet, även om brottet har ett förhållandevis lågt straffvärde (Ds 2014:23 s. 68). När tillgångsbestämmelserna i 6 kap. 22 § första stycket 2 LEK utökades till att avse alla slags brott gjordes övervägandena bl.a. utifrån att trakasserier över internet och vuxnas kontakter med barn i sexuellt syfte blivit allt vanligare fenomen. Vid bedömningen av integritetsintrånget avseende utlämnande av abonnemangsinfor- mation om ip-adresser beaktades att privatpersoner ofta använder dynamiska ip-adresser. Det gjordes en avvägning mellan det integri- tetsintrång som ett utlämnande av abonnemangsuppgifter innefattar och den stora betydelse uppgifterna ofta kan ha för polisens möjlig- het att över huvud taget utreda brott som begås på internet. 2011/12:55 s. 102–103) Som framgår i avsnitt 7.3 fortsätter användandet av internet och telekommunikation att växa och det finns ingenting som talar för att it- och telekombrottsligheten avtar eller att de brottsbekämpande myndigheternas behov av abonne- mangsuppgifter minskat. Avvägandena framstår därmed fortfarande som giltiga. Mot bakgrund av detta framstår de brottsbekämpande myndigheternas tillgång till abonnemangsuppgifter som både strängt nödvändig och proportionell (se även avsnitt 12.6.4). Det gäller oav- sett om det gäller uppgifter som operatörerna lagrar för egna ända- mål eller endast i brottsbekämpande syfte. Sammantaget är det utredningens bedömning att varken EU-dom- stolens dom eller internationella åtaganden ger anledning att förändra förutsättningarna för de brottsbekämpande myndigheternas tillgång till uppgifter om abonnemang. Utredningen noterar att har kommit med motiverade förslag på bl.a. beslutsbehörighet inom myndig- heten och dokumentationskrav samt att dessa förslag alltjämt bereds inom (SOU 2015:31 avsnitt 7.5). Utredningen kan konstatera att en reformerad beslutsordning kan leda till ökad rätts- säkerhet, ökade möjligheter att ta fram tillförlitlig statistik och att förfrågningarna till operatörerna blir mer enhetligt utformade. 12.10Skydds- och säkerhetsnivåer, lagring inom och utplåning Utredningens förslag: Uppgifterna som omfattas av lagrings- skyldigheten får inte lagras utanför . Utredningens bedömning: Reglerna om skydds- och säkerhets- nivå uppfyller de krav som ställer. Reglerna om ut- plåning uppfyller de krav som ställer. 12.10.1 Skydds- och säkerhetsnivåer Som framgår ovan måste leverantörerna av elektroniska kommu- nikationstjänster enligt garantera en särskilt hög skydds- och säkerhetsnivå för trafik- och lokaliseringsuppgifter genom lämpliga tekniska och organisatoriska åtgärder (avsnitt 9.9). Artikel 4 i direktiv /58, som avser säkerhet i samband med behandling av uppgifter, berör personuppgifter generellt. EU-dom- stolens uttalanden om skydd och säkerhet för uppgifterna kan där- med få viss betydelse även för regleringen kring abonnemangsupp- gifter. Den särskilt höga skydds- och säkerhetsnivån som nämns i domen motiveras emellertid främst av att det är en stor mängd upp- gifter av känslig natur, vilket inte får samma bäring för abonne- mangsuppgifter. I analysen i departementspromemorian Datalagring, och svensk rätt konstaterades att de svenska leverantörerna, genom regleringen i 6 kap. 3 a § LEK, som tar sikte på uppgifter lagrade enligt 16 a § samma kapitel, har en skyldighet att vidta de särskilda tekniska och organisatoriska åtgärder som behövs för att skydda uppgifterna, utan att de i den bedömningen tillåts ta några ekono- miska hänsyn. Den kritik riktade mot direktivet i det hänseendet bedömdes därför inte relevant för den svenska regler- ingen. (Ds 2014:23 s. 90) Det saknas enligt utredningen anledning att göra någon annan bedömning . De svenska reglerna i detta avseende uppfyller alltså de krav uppställer. När det gäller säkerhetsnivå konstaterades i analysen efter Digital Rights-domen att de svenska regler som ska säkerställa skyddet för de lagrade uppgifterna var tillräckligt strikta och precisa; bl.a. beak- tades de krav som följer av PTS föreskrifter.