sou · H5B389 · 2017-11-16 00:00:00 — Dessutom framgår av den bestäm- melsen att om åklagaren har meddelat en verkställbarhetsförklaring får verkställighet genom omedelbar överföring till den andra med- lemsstaten av meddelanden eller uppgifter om meddelanden inte ske förrän domstolen har fastställt förklaringen. I övriga fall, dvs. när verkställighet av hemlig avlyssning och övervakning av elektronisk kommunikation inte sker genom omedelbar överföring och när det är fråga om verkställighet av övriga hemliga tvångsmedel, tillämpas 36 §. Dess innebörd är att upptagningar och uppteckningar inte behöver granskas enligt 27 kap. 24 § och att upp- tagningar som finns kvar i när ärendet avslutats får bevaras endast om det är tillåtet enligt 27 kap. 24 § . Dess- utom gäller enligt bestämmelsen särskilda regler beträffande under- rättelse till enskild, för att anpassa regleringen till att det i dessa fall inte är en svensk förundersökning som pågår. I förarbetena till bestämmelsen sägs bl.a. följande om de särskilda reglerna om under- rättelse. Med hänsyn till att åtgärden vidtas i en utländsk brottsutredning ska, i fråga om tidpunkten för underrättelse, bestämmelserna i 27 kap. 31 § fjärde stycket inte tillämpas. I stället knyts under- rättelseskyldigheten till den tidpunkt då avlyssningen eller övervak- ningen avslutades. Vad underrättelsen ska innehålla framgår av bestäm- melserna i 27 kap. 32 § . De undantag från under- rättelseskyldigheten som gäller enligt 27 kap. 31 § femte stycket och Jurisdiktionsfrågor och internationella förhållanden 33 § första stycket ska tillämpas. Utöver de sekre- tessbestämmelser som nämns i det sistnämnda lagrummet ska även sekretess enligt 18 kap. 17 § offentlighets- och sekretesslagen (2009:400) medföra att underrättelsen skjuts upp. Tidsfristen , som gäller i sekretessfallen, ska dock räknas från det att avlyssningen eller övervak- ningen avslutades, vilket ersätter bestämmelserna i 27 kap. 33 § andra stycket . Det är inte möjligt för svenska myndigheter att göra en sekretessprövning utan att kontakta den behöriga myndig- heten i den andra medlemsstaten som har utfärdat utredningsordern. En sådan sekretessprövning bör göras dels i samband med att åtgärden avslutas, dels i samband med att ettårsfristen löper ut. Därutöver bör svenska myndigheter företa en ny prövning när de får sådan information från den utländska myndigheten som ger anledning till omprövning av sekretessfrågan. Underrättelse ska inte lämnas om den utländska brotts- utredningen avser en gärning som motsvarar brott som anges i 27 kap. 33 § tredje stycket rättegångsbalken.8 Enligt vår bedömning bör verkställighet av en utredningsorder för hemlig dataavläsning som utgångspunkt regleras i enlighet med vad som gäller enligt 36 §, dvs. på motsvarande vis som gäller för övriga hemliga tvångsmedel när upptagning eller uppteckning skett i . Eftersom lagen om hemlig dataavläsning emellertid innehåller sär- skilda bestämmelser av motsvarande innebörd som de det hänvisas till i 36 § bör hänvisningarna göras till dessa bestämmelser. Av tyd- lighetsskäl bör detta skrivas ut i en ny bestämmelse. Av den nya bestämmelsen bör således först framgå att granskning inte behöver ske. Hänvisningen bör göras till 23 § första stycket lagen om hemlig dataavläsning som sedan hänvisar till rättegångs- balkens bestämmelse om detta. Vidare bör det upplysas om att upp- tagningar och uppteckningar som finns kvar i efter det att ärendet har avslutats hos åklagaren och bevismaterialet har över- lämnats till den andra staten endast får bevaras om det är tillåtet enligt 23 § lagen om hemlig dataavläsning. När det gäller underrättelse till enskild är det tillräckligt med en hänvisning till 36 § andra stycket tillsammans med ett påpekande om att det som där anges gäller för hemlig dataavläsning enligt vad som framgår av 23 § andra stycket lagen om hemlig dataavläsning, som anger att 27 kap. 31–33 §§ gäller även vid hemlig dataavläsning. Det bör också anges att 25 § lagen om hemlig data- avläsning ska tillämpas eftersom det där görs ett förtydligande av 2016/17:218 s. 287. Jurisdiktionsfrågor och internationella förhållanden betydelse för underrättelsereglerna när de tillämpas vid hemlig dataavläsning. Det bör också införas en bestämmelse som klargör att när en utredningsorder för hemlig dataavläsning som avser kommuni- kationsavlyssnings-, kommunikationsövervaknings- eller lokali- seringsuppgifter ska verkställas i så bör det, på motsvarande vis som gäller för hemlig avlyssning och övervakning av elektronisk kommunikation, finnas möjlighet till omedelbar överföring. Den bestämmelsen kan lämpligen utformas genom hänvisningar till 34 och 35 §§, dock med angivande av reglerna i lagen om hemlig dataavläs- ning i stället för regler i förekommande fall. Den nya bestämmelsen bör placeras efter den regel som klargör vad som ska gälla vid verkställighet av utredningsorder om hemlig kamera- övervakning eller rumsavlyssning. Underrättelse om hemlig dataavläsning Utredningens förslag: En särskild bestämmelse införs om att det som gäller för hemlig avlyssning och övervakning av elektronisk kommunikation såvitt avser underrättelse från till annan stat och från annan stat till när det inte behövs något bistånd för att genomföra åtgärden ska gälla även för hemlig dataavläsning vid avläsning av kommunikationsavlyssnings-. kommunikationsövervaknings- och lokaliseringsuppgifter. I 4 kap. 12–15 §§ finns bestämmelser om underrättelse till annan medlemsstat och om förfarandet när annan medlemsstat underrättar beträffande hemlig avlyssning eller övervakning av elek- tronisk kommunikation som avses att genomföras, genomförs eller har genomförts beträffande ett telefonnummer, en annan adress eller elektronisk kommunikationsutrustning som används på den andra statens territorium. Bestämmelserna grundar sig på artikel 31 direk- tivet om en europeisk utredningsorder, se vidare prop. 2016/17:218 s. 226 ff. Eftersom hemlig dataavläsning vid avläsning av kom- munikationsavlyssnings-, kommunikationsövervaknings- och lokali- seringsuppgifter i praktiken kommer att vara ett sätt att komma åt samma uppgifter som får hämtas in genom hemlig avlyssning eller övervakning av elektronisk kommunikation bör motsvarande gälla Jurisdiktionsfrågor och internationella förhållanden beträffande underrättelse och prövning av annan stats underrättelse som gäller för dessa tvångsmedel, för att ska fullgöra sina förpliktelser enligt direktivet. Lämpligen bör därför en bestämmelse som, när hemlig dataavläsning används i dessa fall, hänvisar till reglerna om hemlig avlyssning av elektronisk kommunikation tas in i lagen om europeisk utredningsorder. 11.3Exekutiv jurisdiktion vid hemlig dataavläsning; lagringsfallen hållning när det gäller exekutiv jurisdiktion vid tvångs- medelsanvändning är att svenska brottsbekämpande myndigheter inte har rätt att ta del av elektroniska uppgifter som är lagrade i andra stater, oavsett om ägaren eller innehavaren av informationen finns i och om andra faktorer anknyter till . Inte heller om det är oklart var uppgifterna lagras har de svenska brottsbekämpande myndigheterna ansetts ha rätt att bereda sig tillgång till den. Detta är ett utflöde av den svenska tolkningen av territorialitetsprincipen vid exekutiv jurisdiktion. Det kan redan här sägas att när hemlig dataavläsning ska avse uppgifter i informationssystem som är användarkonton till kommu- nikations- eller lagringstjänster så innebär den svenska hållningen att hemlig dataavläsning kan förväntas bli begränsat effektiv. Det hänger samman med att de allra flesta stora kommunikations- och lagrings- tjänsteföretagen kan antas lagra de uppgifter som deras användare förser dem med på annan plats än i . I vart fall är sannolik- heten stor att det, även om tjänsteleverantören har servrar i , inte går att klarlägga att just de aktuella uppgifterna lagras här verkställighet sker. Den svenska tolkningen av territorialitetsprincipen står emellertid inte oemotsagd. Många andra länder gör nämligen en annan tolk- ning, vilket kommer att framgå i de följande avsnitten. De folkrättsliga principerna om exekutiv jurisdiktion har vuxit fram i tider då information inte var rörlig på det sätt som elektronisk information av dagens snitt är. Därför utgår principerna från fysiska snarare än virtuella eller faktiska förhållanden. Det kan mot den bakgrunden ifrågasättas om strikta tolkning är rimlig och Jurisdiktionsfrågor och internationella förhållanden kommer att stå sig . Inte minst det arbete som sker på bred global front till följd av unilaterala lösningar talar för att någonting måste göras. Kapitlet avslutas därför med en diskussion om för- och nackdelar med att i vissa avseenden göra avsteg från den hittillsvarande svenska hållningen avseende exekutiv jurisdiktion. 11.3.2Europarådets arbete med it-brottskonventionen och frågan om exekutiv jurisdiktion på internet Inom pågår ett internationellt arbete som handlar om det vi beskrivit som lagringsfallen och andra liknande frågor. Diskus- sionerna där tar sin utgångspunkt i konvention om it- relaterad brottslighet (ETS nr 185, nedan kallad it-brottskonven- tionen) och några särskilda bestämmelser i den konventionen. För att sätta de diskussioner som förs i ett sammanhang har vi därför funnit det lämpligt att först redovisa något om it-brottskonven- tionen och de aktuella bestämmelserna innan vi behandlar de nutida diskussionerna. Tillkomsten av it-brottskonventionen ska ses mot bakgrund av de genomgripande förändringar i samhället som datoriseringen och de globala datornätverken har fört med sig och att en effektiv kamp mot it-relaterad brottslighet kräver ett utvidgat, snabbt och väl fungerande internationellt samarbete. beslutade för brottsfrågor (CDPC) att uppdra åt en expertkommitté att utreda frågor rörande it-relaterad brottslighet med sikte på en konvention eller annan bindande internationell över- enskommelse. Efter beslut i ministerrådet påbörjades arbetet på en konvention om it-relaterad brottslighet . Den slutliga versionen av konventionen förelades ministerrådet . Kon- ventionen antogs av ministerrådet och öppna- des för undertecknande samt trädde i kraft . (per ) har 56 stater ratificerat konventionen.9 En överväldigande majoritet av EU:s med- Jurisdiktionsfrågor och internationella förhållanden lemsstater har ratificerat konventionen. Det har också de övriga nordiska länderna. Även stater som inte är medlemmar i har anslutit sig till och ratificerat konventionen, t.ex. , , och . undertecknade konventionen som den upp- rättades, men har, i likhet med fyra andra länder som undertecknat den, ännu inte ratificerat den. Frågan om bör tillträda kon- ventionen och tilläggsprotokollet samt vilka lagändringar som krävs för ett tillträde har behandlats i dels promemorian Brott och brotts- utredning i it-miljö (Ds 2005:6), dels betänkandet konvention om it-relaterad brottslighet (SOU 2013:39). I prome- gjordes bedömningen att bör tillträda konventionen och i betänkandet, där direktiven förutsatte att konventionen skulle tillträdas, lämnades förslag på författningsändringar som behövs för att ska kunna leva upp till kraven i konventionen och dess tilläggsprotokoll. Beredningsarbete pågår inom . Den omständigheten att inte har anslutit sig till konventionen innebär bland annat att inte deltar i de diskussioner som förs om ändringar av och tillägg till konventionen till följd av t.ex. de problem som uppstår vid loss of location. It-brottskonventionens innehåll avseende möjligheten att bereda sig tillgång till elektroniskt lagrade uppgifter i annan stat I it-brottskonventionens artikel 32 finns bestämmelser som gäller staters möjlighet att bereda sig tillgång till uppgifter som lagrats inom andra fördragsslutande staters territorium. Enligt artikel 32 får en fördragsslutande stat –utan tillstånd av en annan sådan stat bereda sig åtkomst till lagrade datorbehandlingsbara uppgifter som är allmänt tillgängliga, oav- sett var uppgifterna befinner sig geografiskt, eller –genom ett datorsystem inom sitt territorium bereda sig åtkomst till eller ta emot lagrade datorbehandlingsbara uppgifter som finns hos annan fördragsslutande stat, om den förstnämnda staten erhåller lagligt och frivilligt samtycke av den person som har laglig rätt att röja uppgifterna för staten via det datorsystemet. Jurisdiktionsfrågor och internationella förhållanden Artikeln medför i sig inte några egentliga förpliktelser utan är att betrakta som en överenskommelse om att tillåta en annan fördrags- slutande stat att utan underrättelse eller tillstånd ta del av dator- behandlingsbara uppgifter som tekniskt sett finns på det egna territoriet. De två situationer då en stat ska kunna få åtkomst till uppgifter på en annan stats territorium, utan underrättelse eller tillstånd, som räknas upp i artikeln är situationer som alla de stater som var med och utarbetade konventionen var eniga om redan vid dess tillkomst var folkrättsligt tillåtna. (SOU 2013:39 s. 196). Det kan nämnas att det i den förklarande rapporten till konventionen anges bl.a. följande beträffande artikel 32. The issue of when a Party is permitted to unilaterally access computer data stored in another Party without seeking mutual assistance was a question that the drafters of the Convention discussed at length. There was detailed consideration of instances in which it may be acceptable for States to act unilaterally and those in which it may not. The drafters ultimately determined that it was not yet possible to prepare a comprehensive, legally binding regime regulating this area. In part, this was due to a lack of concrete experience with such situations to date; and, in part, this was due to an understanding that the proper solution often turned on the precise circumstances of the individual case, thereby making it difficult to formulate general rules.10 Man bör när man läser citatet komma ihåg att uttalandena om att det bl.a. på grund av bristande konkret erfarenhet av situationerna ännu inte var möjligt att reglera frågorna på ett bindande sätt gjordes och att diskussionerna fördes . Det ska också sägas att artikel 39.3 i it-brottskonventionen anger att ingenting i konventionen ska inverka på en parts övriga rättig- heter, begränsningar, skyldigheter eller ansvar. Enligt den cite- rade förklarande rapporten innebär detta att konventionen varken tillåter eller utesluter gränsöverskridande åtkomst till elektroniskt lagrade uppgifter utan tillstånd från den andra staten i andra situa- tioner än de som anges i artikel 32.11 10Explanatory Report to the Convention on Cybercrime s. 53 p. Rapporten finns tillgänglig på 11Se föregående not, samma ställe. Jurisdiktionsfrågor och internationella förhållanden arbete på området efter it-brottskonventionens upprättande Inom har det inrättats en särskild kommitté för it- brottskonventionen (T-CY) vars uppdrag bl.a. är att underlätta tillämpningen och genomförandet av konventionen, vara en platt- form för utbytande av information mellan konventionens parter och överväga eventuella ändringar av konventionen. När det gäller här relevanta frågor har olika arbetsgrupper knutits till kommittén. Tidi- gare arbetade den s.k. Transbordergruppen12 med frågorna. Av sär- skilt intresse här är att den gruppen i en rapport kartlade och redovisade tillämpningen (avseende åren 2009–2010) i ett antal olika länder beträffande gränsöverskridande tillgång till elektroniskt lagrade uppgifter samt kom med rekommendationer till T-CY.13 I den nämnda kartläggningen utgick man från olika exempel vilka redovisas i det följande.14 Exempel 1) Gränsöverskridande tillgång till uppgifter vid rannsakan Vid en rannsakan mot en misstänkt person påträffas en påslagen dator. Den brottsbekämpande myndigheten får, av den misstänkte, nödvändiga inloggningsuppgifter för att komma åt uppgifter som lagras elektroniskt på annan plats än lokalt i datorn men som kan tillgängliggöras från datorn. I de flesta stater som ingick i kartläggningen var det tillåtet för den brottsbekämpande myndigheten att från den misstänktes dator direkt bereda sig tillgång till uppgifter som lagras på annan plats om det inte var uppenbart i vilken stat uppgifterna lagrades. De flesta stater tillät också användning av inloggningsuppgifter erhållna från den misstänkte för sådan direkt tillgång. Om det däremot stod klart att uppgifterna lagras i annan stat än den egna kunde brottsbekäm- pande myndigheter i sju länder15 bereda sig tillgång till uppgifterna 12Enligt var en ”Ad-hoc sub-group of the T-CY on jurisdiction and transborder access to data and data flows”, se /en/web/cybercrime/tb 13Se Transborder access and jurisdiction: What are the options?, tillgänglig på 14Uppgifterna i det följande är hämtade från rapportens avsnitt 4. Översättningar från engelska till svenska är gjorda av utredningen. 15Finland, , , , och . Jurisdiktionsfrågor och internationella förhållanden medan detta i tio länder16 då inte var tillåtet, såvida inte den miss- tänkte själv frivilligt samarbetar i enlighet med vad som gäller enligt artikel 32. I nästan alla stater gjorde det ingen skillnad för frågan om rätten till gränsöverskridande tillgång till uppgifterna om det var brådskande eller förelåg en risk för att informationen skulle kunna försvinna. I vissa stater fanns krav på underrättelse till annan stat. Exempel 2) Gränsöverskridande tillgång till uppgifter med lagligt erhållna inloggningsuppgifter Den brottsbekämpande myndigheten har på ett lagligt sätt erhållit inloggningsuppgifter till en tjänst med påstått olagligt innehåll eller graverande (eng. incriminating) bevisning. De flesta svarande staterna kunde i detta fall bereda sig tillgång till uppgifterna från de brottsbekämpande myndigheternas egna datorer om det inte var uppenbart var uppgifterna lagrades. Även om det stod klart att uppgifterna lagrades utanför den egna staten kunde fortfarande de flesta17 stater bereda sig sådan tillgång från de egna datorerna. Exempel 3) Gränsöverskridande tillgång till uppgifter med särskild mjukvara eller tekniska metoder Under en brottsutredning har den brottsbekämpande myndigheten fått kännedom om ett datorsystem med påstått olagligt innehåll eller graverande bevisning. Brottsbekämpande myndigheter i vissa stater var, enligt den in- hemska lagstiftningen, med hjälp av mjukvara eller andra tekniska metoder tillåtna att skaffa sig tillgång på distans till information om uppgifterna om det inte var uppenbart i vilken stat uppgifterna lagra- des. av dessa stater var det dock endast tillåtet under mycket speciella förhållanden. Om det stod klart att det informations- system som åtgärden skulle riktas mot fanns i en annan stat än den egna var sådana åtgärder endast tillåtna i några få svarande länder.18 16Tjeckien, , , , , och , , , och . 17De enda undantagen utgjordes av , , , , och Neder- länderna. 18Bosnien och , och (kanske) . Jurisdiktionsfrågor och internationella förhållanden Exempel 4) Gränsöverskridande tillgång till uppgifter med samtycke Under en brottsutredning får den brottsbekämpande myndigheten lagligen och frivilligt samtycke från en person att bereda sig tillgång till elektroniska uppgifter som tillhör denne och kan utgöra viktig bevisning men som lagras i en annan stat än den egna. Brottsbekämpande myndigheter i nästan alla svarande stater kunde i detta fall bereda sig tillgång till och genom nedladdning (eng. down- load) säkra bevisningen om den person som lämnat sitt samtycke fysiskt fanns i den egna staten. Om personen fanns i staten där upp- gifterna lagrades var det fortfarande tillåtet i de flesta svarande stater, medan det i några var otillåtet alternativt tveksamt eller krävde ytter- ligare förutsättningar eller inte var tydligt reglerat. I de flesta stater var det i detta fall också av betydelse att den som erbjöd tillgången hade rätt att avslöja uppgifterna i den stat där dessa lagrades. Exempel 5) Information erhållen från tjänsteleverantör Under en brottsutredning måste den brottsbekämpande myndigheten komma åt teknisk information som rör en misstänkt från en internet- baserad tjänstetillhandahållare. I alla svarande stater gällde att tjänsteleverantören, om uppgifterna avsåg en person i den egna staten samt lagrades och administrerades där, var skyldig att förse den brottsbekämpande myndigheten med uppgifterna. Om uppgifterna däremot avsåg en person i den egna staten men fanns lagrade och administrerades i en annan stat krävdes i de flesta fall internationell rättslig hjälp (mutual legal assistance, MLA). Det gällde också om informationen gällde en person i en annan stat som hade gjort sig skyldig till brott i den egna staten om uppgifterna lagrades och administrerades i en annan stat. Det kon- staterades också att många stater upplevde stora problem, både tek- niska och juridiska, med att samla in uppgifter som lagrades i en annan stat. Sedan Transbordergruppens mandat löpt ut inrättades en ny grupp som knöts till T-CY, (nedan kallad Moln- bevisgruppen). Dess huvudsakliga fokus är, som namnet antyder, Jurisdiktionsfrågor och internationella förhållanden frågor som rör bevisning i molnet. Gruppen fick i uppdrag att avge en slutrapport senast med alternativ och rekommen- dationer till hur man kan gå vidare med frågor som gäller tillgång till molnlagrad bevisning. I Molnbevisgruppens rapport19 diskuteras bl.a. frågor som här är av intresse, bl.a. exekutiv jurisdiktion vid frågor om loss of location. Där anges att det är långtifrån klart vilka regler som gäller i fråga om möjligheten för brottsbekämpande myndigheter att bereda sig till- gång till uppgifter som lagrats i molnet. Enligt rapporten är det möjligt att vid molnlagring och loss of location, till skillnad från vad som är fallet i den fysiska världen där ju fysiska ting endast kan finnas på ett ställe , argumentera för andra relevanta anknytnings- punkter än platsen där lagring sker för att avgöra vilket land som har exekutiv jurisdiktion. Förutom den stat där uppgifterna finns lagrade eller servern finns skulle exekutiv jurisdiktion enligt rapporten kunna tillkomma exempelvis en stat där tjänsteleverantören har sitt säte, en stat där tjänsteleverantören har en filial, en stat där den miss- tänkte har träffat avtal om molntjänsten, en stat där den misstänkte finns eller en stat där den misstänkte är medborgare. I rapporten konstateras vidare, bl.a. med hänvisning till Trans- bordergruppens arbeten, att avsaknaden av ett tydligt, effektivt och fungerande (”feasible”) internationellt regelverk har lett till att stater i allt högre grad väljer att tillgripa unilaterala lösningar för att få till- gång till elektroniskt lagrade uppgifter i molnet. Det tycks således enligt rapporten vara utbrett att de brottbekämpande myndigheterna inom ramen för sina ärenden skaffar sig tillgång inte bara till sådana elektroniska uppgifter som är lagrade i en misstänkts elektroniska informationsbärare utan också till information på exempelvis ett webbmejlkonto eller molntjänstkonton, om informationsbäraren är olåst under undersökningen eller man på lagligt sätt fått tag i inlogg- ningsuppgifter. Detta sker, såvitt framgår av rapporten, även när myndigheterna vet att uppgifterna finns i ett annat, känt, land.20 En av slutsatserna i rapporten är att det behövs ett gemensamt internationellt ramverk som minskar risker för mellanstatliga konflikter och stärker skyddet för enskilda, inklusive deras säkerhet. 19Criminal access to electronic evidence in the cloud: Recommendations for consideration by the T-CY, tillgänglig på 20Se Molnbevisgruppens rapport s. 16. Jurisdiktionsfrågor och internationella förhållanden En sådan lösning skulle enligt Molnbevisgruppen t.ex. kunna foku- sera mindre på var elektroniskt lagrade uppgifter finns och i stället mer på var personen som innehar informationen och en eventuell målsägande finns.