sou · H5B3100 · 2017-12-12 00:00:00 — Husrannsakan och andra undersökningar i it-miljö rekommenderat att de nationella konkurrensmyndigheterna i EU:s medlemsstater ska få tillgång till servrar var som helst i världen i syfte att samla bevis i antitrustförfaranden. Rätten att samla elek- tronisk bevisning borde enligt rekommendationen omfatta rätt att få del av information som det inspekterade objektet har tillgång till och som har koppling till den undersökta verksamheten. Arbetsgruppen gjorde bedömningen att internationell rättslig hjälp är den primära vägen för stater att få del av elektronisk bevis- ning från andra stater, i synnerhet när det gäller s.k. innehållsdata, dvs. innehåll i molnkonton och liknande. Man menade att inter- nationell rättslig hjälp visserligen ofta inte är en realistisk väg när det handlar om bevisning i molnet, men att möjligheterna att an- vända denna process ändå måste uttömmas om nya och innovativa vägar ska kunna få bred acceptans. Man lämnade därför ett antal förslag till effektivisering av förfarandet. Arbetsgruppen rekom- menderade också att man inleder förhandlingar om ett tilläggs- protokoll till it-brottskonventionen med regler om bl.a. effektivi- sering av förfarandet med internationell rättslig hjälp i brottmål. När det gäller möjligheten för stater att bereda sig tillgång till fjärrlagrad information genom direktåtkomst rekommenderade arbets- gruppen att man vid förhandlingarna om ett tilläggsprotokoll åter- igen överväger vissa förslag som tidigare lagts fram av it-brotts- kommitténs transbordergrupp. De förslag som enligt arbetsgruppen bör tas upp till förnyat övervägande är följande. –Gränsöverskridande direktåtkomst när de brottsbekämpande myndigheterna på laglig väg fått fram inloggningsuppgifter eller motsvarande. En sådan möjlighet skulle förutsätta att den andra staten underrättas och att rättssäkerhetsgarantier skapas. –Gränsöverskridande direktåtkomst i vissa situationer, t.ex. när det är nödvändigt i syfte att skydda liv eller hälsa eller för att förhindra att bevisning förstörs. Denna möjlighet skulle even- tuellt också kunna täcka situationer där den brottsbekämpande myndigheten under en undersökning inte vet att det system som genomsöks finns på främmande territorium eller inte vet i vilket territorium informationen finns, eller av misstag kan ha fått tillgång till bevisning från främmande territorium. Även i denna situation skulle det behöva inrättas villkor och rättssäker- hetsgarantier. Husrannsakan och andra undersökningar i it-miljö –Vid ”loss of location”, t.ex. när man inte vet var informationen finns lagrad, den är uppdelad, flyttas runt eller finns på flera platser , skulle man kunna överväga en annan grund för jurisdiktion än den plats där informationen fysiskt är lagrad. En tänkbar anknytningspunkt skulle vara den person som kan ändra, radera eller undertrycka information, eller att göra den oanvänd- bar eller att exkludera andra från att ta del av eller använda infor- mationen. Sedan Molnbevisgruppen lämnade sin rapport, vilken T-CY prin- cipiellt ställde sig bakom, har ett förslag presenterats med villkor för utarbetande av ett andra tilläggsprotokoll till it-brottskonven- tionen.60 Förslaget antogs av T-CY . be- slutade T-CY också att inrätta en förslagsgrupp till vilken samtliga stater som tillträtt it-brottskonventionen får utse egna experter.61 Därmed pågår inom ett arbete för att få till stånd lösningar avseende bl.a. loss of location-problematiken. Dessa frågor kommer således att i närtid bli föremål för fortsatta diskussioner. 6.10.4Arbetet inom Europeiska unionen Frågor om jurisdiktion i cyberrymden diskuteras också på EU-nivå. Liksom i har fokus då legat på tre frågor, nämligen samarbete och behov av en effektivisering av förfarandet med inter- nationell rättslig hjälp, samverkan med den privata sektorn och – mest relevant för vår del – hur man ska agera i situationer där samarbete är omöjligt eftersom man inte vet var den elektroniska informationen är lagrad eller varifrån en cyberattack skett. har av Europeiska unionens råd uppmanats att vidta vissa åtgärder för att samarbetet med tjänsteleverantörer ska förbättras och att i samarbete med medlemsstaterna och, vid behov, tredjeländer finna sätt att snabbare och effektivare säkra och inhämta elektronisk bevisning genom en effektivare användning av 60Terms of Reference for the Preparation of a Draft 2nd Additional Protocol to the Convention on Cybercrime, se of-a-draft-2nd-additional-proto/168072362b Husrannsakan och andra undersökningar i it-miljö föraranden för ömsesidig rättslig hjälp och, i tillämpliga fall, ömse- sidigt erkännande. Därutöver har kommissionen uppmanats att tillsammans med medlemsstaterna, EUROJUST och EUROPOL undersöka möjligheterna för en gemensam EU-strategi för verk- ställande juristdiktion i cyberrymden i situationer där de befintliga ramarna inte är tillräckliga, t.ex. där ett antal informationssystem används inom flera jurisdiktioner för att begå ett enda brott, situationer där relevant e-bevisning rör sig mellan olika juris- diktioner under väldigt korta tidsavsnitt, eller där sofistikerade meto- der används för att dölja var den elektroniska bevisningen finns eller den kriminella verksamheten pågår. Slutresultatet ska omfatta specifika inslag för en gemensam EU-strategi och förslag för genom- förandet av denna, inbegripet möjligheten att arbeta för ett lagstift- ningsinitiativ. presenterade kommissionen, i ett s.k. nonpaper62, olika tänkbara lösningar i arbetet med elektronisk bevisning och juris- diktion i cyberrymden. När det gäller frågan om loss of location angavs bl.a. följande. In some situations the location of data, infrastructure or a service pro- vider cannot be established (”loss of knowledge of location situations”) or there is a risk of losing data. In such cases, a number of Member States already today provide for possibilities to access and in some cases copy the data directly from a computer system. The experts suggest that at EU level common conditions and minimum safeguards for such direct access in potential crossborder situations could be defined, as well as mitigating measures such as notifications to other possibly affected countries. Such common conditions and safeguards would aim to reinforce mutual trust and loyal cooperation between the Member States while preserving national measures where they exist. Alternatively, this could also be limited to providing a common frame- work for notification of another (Member) State affected, while not touching the domestic regime for direct access.63 Vid rådets sammanträde begärde ministrarna att kom- missionen skulle fortsätta sitt arbete med att föreslå praktiska åt- gärder och lägga fram konkreta lagstiftningsförslag. Kommissionären har därefter meddelat att det är hennes intention att lägga 62En rapport med förbehållet ”This document is prepared by the Commission services and cannot be considered as stating an official position of the Commission.” 63Se Non Paper, Improving cross-border access to electronic evidence: Findings from the expert process and suggested way forward. Husrannsakan och andra undersökningar i it-miljö fram lagstiftningsförslag som kan antas av kommissionen . Även inom EU kan således fortsatta diskussioner (och kanske också lagförslag) på området förväntas. 6.10.5Det finns stora skillnader mellan olika staters synsätt De svårigheter som beskrivits ovan är en konsekvens av den tekniska utvecklingen och är globala till sin karaktär. Som framgått finns det ännu inte någon global eller regional konsensus om hur de ska hanteras. Det praktiska behovet av att de brottsbekämpande myndigheterna kan få tillgång till externt lagrad elektronisk infor- mation och till andra slags undersökningar på distans har lett till att flera stater har infört möjligheter till detta. Det finns dock stora skillnader när det gäller hur man förhåller sig till information som är lagrad i utlandet, i synnerhet i loss of location-situationer m.m. I vissa EU-länder anses det möjligt för de brottsbekämpande myndigheterna att under vissa premisser bereda sig direkt tillgång till information fastän denna kan tänkas vara lagrad i utlandet, om man inte kan identifiera en tjänsteleverantör som är ansvarig för lagringen av informationen, eller om det inte går att klarlägga var informationen finns. Men det finns också flera EU-länder vars natio- nella lagstiftning inte tillåter eller anses tillåta detta.64 Vissa stater, däribland och , har valt lösningen att alltid utgå från att informationen är lagrad på det egna territoriet, om det är tekniskt omöjligt att fastställa lagringsplatsen. I ett sådant fall tillämpar dessa stater sin inhemska reglering i fråga om de undersökningsåtgärder som får vidtas. Andra stater har en mer försiktig inställning, varvid man alltid överväger att en under- sökningsåtgärd kan påverka ett annat land. Enligt italiensk rätt måste det i ett domstolsförfarande visas att det finns rimlig grund för antagandet att informationen var lagrad i landet för att den ska få användas som bevis. 64 Redogörelsen om rättsläget i andra EU-länder bygger i huvudsak på en sammanställning av svaren på en frågeenkät som på gick ut till EU:s medlemsländer om deras reglering på området (Questionnaire on improving criminal in cyberspace) och på en mötesapport från ett expertgruppsmöte den 17–(Meeting Report – Expert meeting on Cross-border access to electronic evidence, 17/18 January 2017, ). Husrannsakan och andra undersökningar i it-miljö Vissa stater utnyttjar nationella åtgärder för att fastställa var in- formationen finns. Om det visar sig att den finns i utlandet kon- taktar man det landets myndigheter för att få besked om åtgärden får fortsätta. Om detta inte tillåts begär man rättslig hjälp (och ). Ett land som i praxis har infört vissa möjligheter för de brotts- bekämpande myndigheterna att ta del av viss externt lagrad infor- mation är . I dansk rätt finns det inga särskilda regler om genomsökning av utrustning eller om möjlighet att under en hus- rannsakan ta del av externt lagrad information. Emellertid har Højesteret i en dom ansett reglerna om hemlig husrannsakan tillämpliga på genomsökning av profiler på Facebook och Messenger, trots att dessa var lagrade på servrar i utlandet. I ärendet hade polisen fått tillgång till den misstänktes lösenord genom telefonavlyssning och använde dessa för att logga in på hans Facebook- och Messengerkonton. Man kunde där undersöka de upplysningar och meddelanden som vid respektive inloggningstillfälle fanns på hans profiler, inklusive mot- tagna och avsända meddelanden. Højesteret konstaterade att man från vilken dator som helst kunde bereda sig tillgång till profilerna. Det ansågs inte röra sig om meddelanden under befordran, eftersom de fanns lagrade på profilerna och var tillgängliga med hjälp av lösenorden. Det var därför fråga om en husrannsakan. Højesteret konstaterade att det handlade om en brottslighet som omfattades av dansk jurisdiktion, att utredningen genomfördes av danska myn- digheter och att åtgärden kunde vidtas utan hjälp av utländska myn- digheter. Vid sådant förhållande ansågs det inte ha någon betydelse att de aktuella profilerna var lagrade på servrar i utlandet. Enligt norsk rätt kan en husrannsakan (ransaking) bl.a. avse infor- mation som är elektroniskt lagrad i ett informationssystem, t.ex. på hårddisken i en dator. Enligt förarbetena kan tvångsmedlet också användas för att genomsöka virtuella användarkonton, såsom ett e- postkonto eller någon annan lagringstjänst där innehållet lagras på en extern server hos en tjänsteleverantör.65 Undersökningen sker då utan att den brottsbekämpande myndigheten är fysiskt närvar- ande på platsen. Det problematiseras inte i förarbetena kring frågan om att informationen kan vara lagrad i utlandet och vad det i så fall 68 L s. 226. Husrannsakan och andra undersökningar i it-miljö Vi har från Utredningen om hemlig dataavläsning, som gjort ett studiebesök i , fått veta att lagringsplatsen inte utgör ett relevant kriterium för att avgöra frågan om norsk juris- diktion i dessa fall. I stället är motsvarande kriterier som de som danska Højesteret enligt ovan anförde och andra anknytningspunk- ter till av relevans. 6.10.6Det finns skäl att överväga andra anknytningsmoment än lagringsplatsen Som framgått i det föregående är det en internationellt uppmärk- sammad och omdiskuterad fråga om och i så fall på vilka premisser det kan godtas att en stats brottsbekämpande myndigheter genom direktåtkomst bereder sig tillgång till information som är lagrad i en server i en annan stat. Det föreligger inte någon internationell eller regional konsensus om hur man bör se på saken. Vissa länder har hanterat svårigheterna att komma åt informationen genom egna lösningar. Ett exempel är , vars högsta dom- stol slagit fast att de danska brottsbekämpande myndigheterna har rätt att logga in på virtuella användarkonton och ta del av den infor- mation som lagrats på kontot, under vissa förutsättningar. I finns inte några motsvarande överrättsavgöranden. Det finns några få avgöranden där domstolen ansett det tillåtet för den verkställande myndigheten att ladda ner och kopiera externt lagrad information. Vi har redogjort för dessa i avsnitt 6.6.4. Avgörandena innehåller inga resonemang om var informationen finns lagrad i fysisk mening och domstolen har inte problematiserat frågan om jurisdiktion. De fördelar som en möjlighet till undersökning på distans skulle medföra minskar avsevärt, om sådan undersökning bara får äga rum i fall där man vet att informationen är lagrad i , eller i varje fall inte har anledning att tro något annat. Som framhållits i olika sammanhang är en tolkning av territorialitetsprincipen som enbart tar sikte på den stat där elektronisk information finns lagrad inte anpassad till it-miljön. Det finns all anledning att ifrågasätta om just lagringsplatsen är den mest relevanta grunden för jurisdiktion när det gäller molnlagrad information, med tanke på att internet är tänkt att vara gränslöst. är det slumpen som avgör var informationen lagras och användaren har sällan något inflytande Husrannsakan och andra undersökningar i it-miljö över saken, förutom om han eller hon medvetet väljer en lagrings- tjänst som har server i ett visst land. Informationen kan finnas speglad i flera länder och kan sekundsnabbt flyttas från ett land till ett annat. Vi ser mycket positivt på det arbete som pågår i EU och och som förhoppningsvis kommer att leda till överenskommelser som gör direktåtkomst möjlig. Det vore givet- vis önskvärt med en så bred internationell konsensus som möjligt, där medborgarnas intresse av att brott utreds snabbt, effektivt och på ett rättssäkert sätt tas om hand och där även informations- säkerhetsaspekterna beaktas. Det finns en viss risk för att användningsområdet för vårt för- slag om undersökning på distans, i varje fall inledningsvis, kan bli begränsat eftersom informationen är lagrad i utlandet eller det inte kan utredas var den finns lagrad. Denna risk blir påtaglig om man för svenskt vidkommande håller fast vid den syn på jurisdiktionsfrågan som antagits gälla och som vi berört inledningsvis i detta avsnitt. Utredningen om hemlig dataavläsning har i sitt betänkande (SOU 2017:89) utförligt resonerat kring detta spörsmål. Vi anser för vår del att tiden nu är mogen för en tolkning av folkrättens territorialitetsprincip som faktiskt fungerar i förhål- lande till den moderna informationstekniken och ett gränslöst internet. I likhet med Utredningen om hemlig dataavläsning kommer vi till slutsatsen att det, i linje med det ovan nämnda danska avgörandet från högsta instans, numera finns anledning att fokusera på vilka andra anknytningsmoment som finns och som bör kunna grunda jurisdiktion, snarare än i själva lagringsplatsen. Detta gäller särskilt vid ”loss of location”, dvs. situationer där man inte vet var elektronisk information är lagrad eller vilken stats regler som ska tillämpas på informationen. Detta ställningstagande lämpar sig inte för lagstiftning, utan de närmare förutsättningarna för jurisdiktion bör i stället utmejslas i rättspraxis. Husrannsakan och andra undersökningar i it-miljö Förslag: Om det finns skäl att anta att någon har möjlighet att öppna en informationsbärare eller ett annat informationssystem med hjälp av biometrisk autentisering är han eller hon skyldig att på tillsägelse medverka till detta, om det kan antas att en hus- rannsakan eller undersökning på distans annars försvåras. Om han eller hon vägrar får en polisman verkställa autentiseringen och då använda våld enligt 10 § polislagen. Åtgärderna ska protokoll- föras. De biometriska uppgifterna får inte sparas eller behandlas för något annat ändamål. En brottsmisstänkt som inte har fyllt är skyldig att och kan tvingas till att medverka till biometrisk autentisering, om det finns särskilda skäl. Tjänstemän vid och har samma befogenhet som en polisman att verkställa biometrisk autenti- sering. Biometri är ett samlingsnamn för sådan automatiserad teknik som syftar till att identifiera en person eller avgöra om en påstådd identitet är riktig. Den baseras på fysiska karaktärsdrag hos den som ska identifieras. Mönster av fingeravtryck, ansiktsgeometri, ögats iris, regnbågshinna och näthinna, röst, hand, blodkärl, dna eller gång är exempel på områden där sådan teknik kan användas. Gemensamt för teknikerna är att kroppen mäts elektroniskt. Det har blivit allt vanligare att mobiltelefoner och andra informationsbärare kan öppnas med hjälp av biometrisk autentisering (identifikation), t.ex. finger- avtryck och röst- eller ansiktsigenkänning. Biometrisk autentisering kan vara ett alternativ eller ett komplement till lösenordsspärrar. Användningen av biometrisk autentisering kan stärka informa- tionssäkerheten och underlätta för användaren att snabbt öppna sin informationsbärare eller ett annat informationssystem. kan det leda till ytterligare svårigheter för de brottsbekämpande myndigheterna att undersöka innehållet i en informationsbärare, eller att använda informationsbäraren för en undersökning på distans. Frågan är om de brottsbekämpande myndigheterna enligt gällande Husrannsakan och andra undersökningar i it-miljö rätt har möjlighet att tvinga en enskild att medverka till biometrisk autentisering i syfte att man ska kunna öppna t.ex. en mobiltelefon. Om de inte har en sådan möjlighet är frågan om det borde införas bestämmelser som skapar en sådan rätt. 6.11.2Det saknas tydligt lagstöd för åtgärden Enligt 2 kap. 6 § första meningen RF är var och en gentemot det allmänna skyddad mot påtvingat kroppsligt ingrepp. Detta skydd får begränsas genom lag under de förutsättningar som i allmänhet gäller för inskränkningar i de grundlagsskyddade rättigheterna (2 kap. 20 § första stycket 2 RF). Den lag där tvångsåtgärder tillåts ska vara tydlig och förutsebar och måste ha ett legitimt syfte. In- greppet måste dessutom vara proportionerligt. Frågan är om det finns lagstöd för åtgärder som går ut på att man tvingar någon att medverka till biometrisk autentisering. I 28 kap. RB finns det regler om kroppsbesiktning. Med kropps- besiktning avses undersökning av människokroppens yttre och inre samt tagande av prov från människokroppen och undersökning av sådana prov. Besiktningen får ske på den som skäligen kan miss- tänkas för ett brott med fängelse i straffskalan. Tillåtna syften är att man ska söka efter föremål som kan tas i beslag eller i förvar eller annars för att utröna omständigheter som kan vara av betydelse för utredningen om brottet eller om förverkande av utbyte av brottslig verksamhet enligt 36 kap. 1 b § . Genom en lagändring som trädde i kraft får en kroppsbesiktning också göras för utredning om den misstänktes ålder, om den har betyd- else för om påföljd får dömas ut eller betydelse för påföljdsfrågan i övrigt. (28 kap. 12 § RB.) Kroppsbesiktning på någon annan person än den som skäligen kan misstänkas för brottet får bara ske genom salivprov och på vissa särskilt angivna villkor (28 kap. 12 b § RB). Bestämmelserna om kroppsbesiktning kan enligt vår mening inte anses ge stöd för åtgärder som går ut på att man tvingar någon att med hjälp av sitt fingeravtryck eller liknande medverka till bio- metrisk autentisering. Det handlar nämligen varken om en under- sökning eller en provtagning. Husrannsakan och andra undersökningar i it-miljö I 28 kap. 14 § RB finns det bestämmelser om bl.a. fotografering och tagande av fingeravtryck. Av paragrafen framgår till att börja med att det är tillåtet att fotografera eller ta fingeravtryck på den som är anhållen eller häktad. Han eller hon får också underkastas någon annan liknande åtgärd. Frågor om vilka åtgärder som tillåts enligt paragrafen och förutsättningarna för dessa åtgärder får anses vara fullständigt reglerade i förordningen (1992:824) om fingerav- tryck m.m. Förutom fingeravtryck och fotografi innefattas endast avtryck av hand, fot eller öra samt videofilmning. Samma åtgärder får också vidtas beträffande någon annan än den som är skäligen misstänkt, om det krävs för vinnande av utredning om brott på vilket fängelse kan följa. Det kan möjligen hävdas att bestämmelserna i 28 kap. 14 § RB ger stöd åt åtgärder som går ut på att man tvingar någon att sätta sitt fingeravtryck på t.ex. en mobiltelefon. Saken är dock långtifrån klar. Man kan t.ex. ifrågasätta om en sådan åtgärd är förenlig med ändamålet att man genom åtgärden ska ”vinna utredning om brott”. När det gäller husrannsakan och beslag, anses det att åtgärden ska ha en direkt betydelse för utredningen, varför det t.ex. inte anses tillåtet att göra husrannsakan i syfte att man ska beslagta en nyckel, som i sin tur kan användas för en annan husrannsakan (se bl.a. JO dnr 2346-2003). Användning av någons fingeravtryck som biometrisk autentisering har inte i sig något värde för utred- ningen, utan utgör närmast en sorts ”nyckel” till informations- bäraren eller något annat slags informationssystem. Det framstår därför som tveksamt om bestämmelsen gör det möjligt att man tvingar någon att sätta sitt fingeravtryck på t.ex. en mobiltelefon. Än mindre kan man läsa ut att det skulle vara tillåtet med tvång i samband med t.ex. ansiktsigenkänning eller näthinneavläsning, efter- som dessa åtgärder inte kan jämställas med fotografering även om telefonens kamera används. Regler om tvångsanvändning finns också i polislagen. En polisman får, i den mån andra medel är otillräckliga och det med hänsyn till omständigheterna är försvarligt, använda våld för att genomföra en tjänsteåtgärd. Detta får bl.a. ske om polismannen med laga stöd ska avvisa eller avlägsna någon från ett visst område eller utrymme eller verkställa eller biträda vid kroppsvisitation, kroppsbesiktning eller annan liknande åtgärd, vid beslag eller annat omhändertagande av egendom eller vid sådan husrannsakan som avses i Husrannsakan och andra undersökningar i it-miljö (se 10 § första stycket 4 polislagen). Enligt andra stycket samma paragraf är bestämmelsen tillämplig i fråga om våld mot person endast då polismannen eller den som han eller hon biträder möts av motstånd. I JO 1998/99 s. 107 påpekas att lagtexten inte medger att polisen använder våld i sådana fall där man visserligen kan förmoda att den misstänkte inte kommer att åtlyda polisens direktiv men där något handlande eller annat förhållningssätt från dennes sida som kan betecknas som motstånd ännu inte har förekommit. Med “annan liknande åtgärd” avses exempelvis tagande av fotografi och fingeravtryck samt blodundersökning enligt lagen (1958:642) om blodundersökning m.m. vid utredning om faderskap.66 Vår bedömning är att nuvarande regler i och polislagen inte kan anses ge ett sådant lagstöd som krävs för tvångs- ingrepp mot enskilda som går ut på att personen tvingas medverka till biometrisk autentisering. Detta gäller särskilt som det handlar om att det är fråga om personuppgifter och att dessa används med tvång.