sou · H5B389 · 2017-11-16 00:00:00 — ter som får hämtas in med andra hemliga tvångsmedel och andra uppgifter. Vår bedömning är att alternativ 1 på ett tydligare sätt än alterna- tiv 2 beskriver vad som är vad och mer dynamiskt anger när tekniken för hemlig dataavläsning används för verkställighet respektive som ett eget tvångsmedel. innebär det första alternativet att en och samma teknik i vissa fall blir en verkställighetsmetod och i andra situationer i praktiken ett eget tvångsmedel. I det avseendet är alternativ 2 tydligare eftersom den tekniska metoden i det fallet utgör själva avgränsningen för åtgärden. På det sättet kan man säga att alternativ 2 liknar några av de nuvarande hemliga tvångsmedlen, vilka också avgränsas bl.a. av den tekniska metod som ska användas (jfr t.ex. hemlig rumsavlyssning där en del av definitionen av åtgär- den är att avlyssningen kan ske ”med ett tekniskt hjälpmedel som är avsett att återge ljud”). I någon mening kan nog det andra alter- nativet vara en aning mer lättillgängligt för den som ska ta del av bestämmelserna. Därtill kommer att alternativ 2 på ett enklare vis skulle kunna regleras i en lag medan det första alternativet sannolikt skulle kräva reglering såväl i en ny lag som i de nuvarande lagarna som reglerar den hemliga tvångsmedelsanvändningen. Mot det andra alternativet talar de svårigheter som vi nämnt i föregående kapitel med att avgränsa när åtgärden får användas med avseende på bl.a. integritetsfrågor, eftersom det är fråga om ett kraft- fullt verktyg, se diskussionen om ”supertvångsmedel” och differen- tiering av hemlig dataavläsning i avsnitt 9.5.2. De nuvarande hemliga tvångsmedlen är, som redan nämnts, reglerade på olika vis beroende på de integritetsintrång som de kan medföra. Skillnaden i vilka brott som kan föranleda hemlig övervakning av elektronisk kommuni- kation och de som kan leda till användning av hemlig rumsavlyssning är stor. Det är svårt att se framför sig hur man i alternativ 2 skulle kunna göra rimliga överväganden som innebär att intresset för den personliga integriteten kan upprätthållas på det sätt som befintlig lagstiftning föreskriver. I detta avseende skulle det första alternativet vara väsentligt enklare eftersom det med detta vore möjligt att före- skriva att samma integritetshänsyn som redan tas också ska tas när hemlig dataavläsning blir ett sätt att verkställa andra hemliga tvångs- medel. I den mån det bedöms nödvändigt att införliva även andra skyddsmekanismer vore det också förhållandevis enkelt i alternativ 1, t.ex. genom att samma regler som redan gäller ska gälla även vid Hemlig dataavläsning – en ny lag verkställighet med teknik för hemlig dataavläsning men att det då också ska gälla vissa andra skyddsregler. I den del alternativ 1 innebär ett nytt hemligt tvångsmedel vore det också möjligt att gradera den risk för integritetsintrång som åtgärden innebär och då bestämma vilken nivå integritetsskyddsreglerna ska hamna på i förhållande till andra hemliga tvångsmedel. Sammanfattningsvis har vi funnit såväl för- som nackdelar med båda de presenterade alternativen. Mot denna bakgrund har vi över- vägt om det är möjligt att ”plocka russinen ur kakan” på ett sätt som innebär att fördelarna med vart och ett av alternativen kan behållas utan att nackdelarna som framhållits blir kvar. Vi har konstaterat att det är möjligt med ett tredje alternativ. Det kallar vi för hybridalter- nativet. En kombination av de två alternativen ovan som innebär införande av bestämmelser om hemlig dataavläsning där åtgärden i och för sig är ett nytt tvångsmedel men där det tvångsmedlet kan användas för inhämtning av både uppgifter som får hämtas in med andra tvångsmedel och de andra typer av uppgifter som vi funnit tungt vägande behov av att hämta in. I alternativet kan också en differentiering göras beroende på vilka typer av uppgifter som ska hämtas in. Genom alternativ 3 kan man kombinera fördelarna som vi framhållit med de två tidigare alternativen, nämligen tydligheten med alterna- tiv 1 och enkelheten med alternativ 2. Med detta alternativ blir hem- lig dataavläsning visserligen ett nytt tvångsmedel, som i alternativ 2, men dess användningsområde begränsas till vilka typer av uppgifter som åtgärden i det enskilda fallet ska användas för att hämta in, liksom i alternativ 1. På så vis kan också de risker som teknik för hemlig dataavläsning kan medföra, se avsnitt 9.5.2, tas om hand och balanseras på ett rimligt sätt. Med hybridalternativet blir åtgärden förvisso inte en ren verkställighetsåtgärd, såsom skulle bli fallet enligt alternativ 1, men i praktiken ett tvångsmedel som kan använ- das för att hämta in uppgifter som också får hämtas in efter tillstånd till andra tvångsmedel, när förutsättningar för dessa föreligger. Genom att reglera hemlig dataavläsning på detta vis slipper man Hemlig dataavläsning – en ny lag också de särskilda svårigheterna att värna den personliga integriteten som föreligger med alternativ 2. Som kommer att framgå i det följande föreslår vi att hemlig dataavläsning blir ett nytt hemligt tvångsmedel. Det innebär att det är för att få använda hemlig dataavläsning som den brottsbekäm- pande myndigheten begär tillstånd. Dock kommer hemlig dataavläs- ning inte, som i alternativ 2, bli ett tvångsmedel som det är möjligt att alltid hämta in en massa olika typer av uppgifter med. I stället ska förutsättningarna i det enskilda fallet, och vilka uppgifter som är av intresse för den brottsbekämpande myndigheten, vara avgörande för hur åtgärden får användas. 10.1.2En tidsbegränsad lag om hemlig dataavläsning införs Vi har således funnit skäl att gå vidare med överväganden som utgår från alternativ 3. Innan vi kommer in på mer detaljerade frågor om själva lagstiftningen bör något dock sägas om var de nya bestäm- melserna ska placeras och om skälen för och emot att tidsbegränsa ny lagstiftning. Man skulle kunna tänka sig att, eftersom det redan finns upp- arbetade regelverk om hemliga tvångsmedel i både (förundersökningsfallen) och vissa speciallagar (underrättelsefallen), placera regler om ett nytt tvångsmedel i redan gällande lagar. Det är möjligt även om de nya reglerna ska tidsbegränsas, se t.ex. 3 § lagen om inhämtning av uppgifter om elektronisk kommunikation i de brottsbekämpande myndigheternas underrättelseverksamhet (inhämt- ningslagen). En fördel med att placera de nya reglerna i existerande lagar är att det går att använda den redan befintliga lagtekniska struk- turen i dessa. En annan fördel är att det blir mer lättillgängligt med hänvisningar till bestämmelser i samma lag än med motsvarande hänvisningar till andra lagar. I stort sett samtliga lagar på det hemliga tvångsmedelsområdet som medfört nya tvångsmedel eller gjort existerande hemliga tvångs- medel tillämpliga på nya områden har tidsbegränsats. Det har moti- verats med att en utvärdering av lagstiftningen bör ske när lagen har tillämpats . Även om vi i effektivitetsanalysen bedömt att hemlig dataavläsning bör vara en effektiv metod är det inte möjligt att fullt ut konstatera det eller vilken nytta metoden faktiskt kom- Hemlig dataavläsning – en ny lag mer att ge förrän den har tillämpats . Mot denna bakgrund och med beaktande av att hemlig dataavläsning blir en ny åtgärd i som innebär särskilda risker för den personliga integriteten bör den nya lagen tidsbegränsas. En senare utvärdering av lagens tillämpning kommer att utgöra ett ytterligare underlag inför ett ställningstagande om det finns skäl att permanenta lagen. De nya bestämmelserna bör med hänsyn till att lagen tidsbegränsas inte tas in i eller de andra lagar som reglerar hemliga tvångsmedel utan i en särskild lag. När det gäller hur som lagen bör vara i kraft innan en utvärdering kan göras bör beaktas att tekniska experter vid de brotts- bekämpande myndigheterna bedömt att antalet ärenden där den nya metoden kommer att kunna användas, åtminstone till en början kommer att vara begränsat. Det framstår därför inte som ändamåls- enligt att föreslå allt för kort giltighetstid för lagen. När lagen om hemlig rumsavlyssning infördes begränsades dess giltighetstid till . Den utredning som sedan tillsattes för att utvärdera lagen konstaterade att antalet fall av hemlig rumsavlyss- ning var så få att det inte utifrån dessa gick att dra några säkra slut- satser om den hemliga rumsavlyssningens effektivitet och praktiska värde.1 Det finns risk för att giltighetstid för en lag om hemlig dataavläsning leder till samma resultat. Lagen bör därför tids- begränsas till att gälla från dess införande. 10.2Innebörden av hemlig dataavläsning Utredningens förslag: Hemlig dataavläsning innebär avläsning eller upptagning som sker i hemlighet med ett tekniskt hjälp- medel, av uppgifter avsedda för automatiserad behandling i ett informationssystem. Med informationssystem avses antingen elektronisk kommu- nikationsutrustning eller ett användarkonto till, eller en på mot- svarande sätt avgränsad del av, en kommunikationstjänst, lagrings- tjänst eller liknande tjänst. 1 Se SOU 2009:70 s. 160. Hemlig dataavläsning – en ny lag 10.2.1Objektet för hemlig dataavläsning En ny lag om hemlig dataavläsning bör inledas med en definition som avgränsar åtgärden. Vid utformningen av en sådan definition är det naturligt att dels inspireras av utformningen av definitioner för andra hemliga tvångsmedel, dels knyta an till straffbestämmelsen om dataintrång, vilken ju begränsar möjligheten att använda tekniker för hemlig dataavläsning . Ett gemensamt drag i definitionerna för andra hemliga tvångs- medel är att samtliga slår fast vad objektet för åtgärden är, dvs. de uppgifter som åtgärden får användas för att hämta in. Vid exempelvis hemlig avlyssning av elektronisk kommunikation är objektet inne- hållet i meddelanden. När det gäller hemlig dataavläsning kommer åtgärden vara en metod för att hämta in olika typer av uppgifter, se avsnitt 10.3. Samtliga uppgiftstyper måste därför täckas in i det begrepp som används för att beskriva objektet för hemlig data- avläsning. I bestämmelse om dataintrång används begreppet uppgift som är avsedd för automatiserad behandling för att beskriva vilka uppgifter som omfattas av bestämmelsen. När lydelsen infördes i 4 kap. 9 c § angavs bl.a. följande i förarbetena. Avsik- ten med det nya begreppet "uppgift som är avsedd för automatiserad behandling" är att förtydliga att alla uppgifter, dvs. fakta, information eller begrepp, som uttrycks i en för en dator anpassad och läsbar form omfattas av bestämmelsen. I detta ligger att även program av olika slag omfattas. Det är för tillämpningen av begreppet utan bety- delse var uppgifterna finns eller förvaras i systemet. Det innebär att alla uppgifter oavsett på vilket datamedium de finns omfattas. Där- med innefattas också uppgifter som finns i en dators temporära minne. Det innebär vidare att uppgifter som är under befordran om- fattas. Det senare gäller oavsett på vilket sätt befordran sker.2 Mot bakgrund av att hemlig dataavläsning kommer att utgöra ett undantag från dataintrångsbestämmelsen och att begreppet uppgift som är avsedd för automatiserad behandling torde täcka samtliga de uppgiftstyper som kan aktualiseras vid hemlig dataavläsning framstår det som lämpligt att använda samma begrepp i den nya lagen. Lydelsen ger således en klar koppling mellan hemlig dataavläsning 2006/07:66 s. 49. Hemlig dataavläsning – en ny lag och bestämmelsen om dataintrång. Den tydliggör dessutom på ett teknikneutralt och ändamålsenligt vis vilka uppgifter åtgärden får användas för att hämta in. Objektet består också av själva inhämtandet av uppgifterna. Denna process beskrivs på olika sätt i definitionerna för de gällande hemliga tvångsmedlen. I bestämmelsen om hemlig avlyssning av elektronisk kommunikation anges t.ex. att meddelanden i hemlighet avlyssnas eller tas upp, se 27 kap. 18 § . Hemlig data- avläsning kommer kunna innebära en rad olika typer av inhämtning, t.ex. avlyssning, övervakning och inhämtning. Som ett samlings- begrepp bör avläsning användas. Det bör, liksom vid hemlig avlyss- ning av elektronisk kommunikation också anges att uppgifterna får tas upp för att tydliggöra att det inte endast är i realtid som gransk- ning av uppgifterna får ske. 10.2.2Metoden och hemlighållandet av åtgärden Redan i beskrivningen av vad hemlig dataavläsning är bör det anges hur avläsningen (eller upptagningen) går till. Eftersom det inte är fråga om någon enhetlig teknisk metod och det dessutom kan tänkas att olika tekniker kan komma att utvecklas bör i lagstiftningen ett teknikneutralt begrepp väljas. Att ange att den brottsbekämpande myndigheten får läsa av eller ta upp uppgifterna med ett tekniskt hjälpmedel framstår som ändamålsenligt. förklarade regeringen i en proposition att detta begrepp avser såväl hårdvara som programvara.3 Det säger sig självt att hemlig dataavläsning är en åtgärd som, när den utförs, ska ske utan att den enskilde mot vilken den riktas känner till detta. Av denna anledning behöver det i definitionen av åtgärden framgå att den ska ske i hemlighet. 1994/95:227 s. 29. Hemlig dataavläsning – en ny lag 10.2.3Det är uppgifter i ett informationssystem som åtgärden ska avse Det bör också av definitionen av hemlig dataavläsning framgå var de uppgifter som ska läsas av ska finnas. Av direktiven framgår att åtgärden är tänkt att riktas mot ”en dator eller annan teknisk utrust- ning som används för kommunikation”. Begreppet utrustning, utan annan förklaring, leder tankarna till fysiska ting. Typiskt sett är det nog också uppgifter i fysisk utrustning som det kommer att bli aktuellt att rikta åtgärden mot. Emellertid står det klart att även icke fysisk utrustning, t.ex. ett användarkonto till en kommunikations- eller lagringstjänst på internet, kan vara av mycket stort intresse i den brottsbekämpande verksamheten. I är det möjligt att använda hemlig dataavläsning inte bara avseende fysisk utrustning utan också mot uppgifter som finns tillgängliga via sådana konton. Eftersom det bör vara behovet av uppgifterna, snarare än var och hur de lagras, som ligger till grund för hur hemlig dataavläsning avgränsas finns inget egentligt skäl till att inte tillåta avläsning av uppgifter som finns tillgängliga via användarkonton (se dock diskussionen om juris- diktion i nästa kapitel). Vårt förslag innebär därför att hemlig data- avläsning ska få användas även beträffande sådana uppgifter. Mot den bakgrunden behövs ett annat begrepp än dator eller teknisk utrustning som används för kommunikation. Beredningen för rättsväsendets utveckling (BRU) använde i sitt förslag till hemlig dataavläsning (SOU 2005:38) begreppet informationssystem. Som skäl för det begreppet anförde BRU bl.a. att informationssystem används i många författningar och i andra sammanhang utan att det kan sägas finnas någon vedertagen definition och att begreppet täcker in de informationsmöjligheter och informationsvägar som finns nu och som kommer att finnas i framtiden.4 Vad BRU anförde har fortfarande skäl för sig och informations- system framstår även i övrigt som ett lämpligt begrepp att använda. Det finns dock anledning att i definitionen av hemlig dataavläsning avgränsa vad som ska avses med informationssystem, bl.a. för att minska risken för tillämpningsglidningar. En sådan avgränsning kan dessutom förenkla för den som ska tillämpa lagstiftningen eftersom den blir en utgångspunkt vid tolkningen av reglerna. 4 SOU 2005:38 s. 419. Hemlig dataavläsning – en ny lag en avgränsning i viss mån tillgodose att riskerna för den personliga integriteten inte blir större än vad som är absolut nödvändigt. Informationssystem kan vara antingen elektronisk kommunikationsutrustning… Informationssystem av fysisk karaktär kan vara t.ex. datorer, mobil- telefoner, surfplattor, smarta armbandsur och servrar. Vid bedöm- ningen av vad som bör framgå i lagtext kan man först konstatera att de nämnda exemplen, enligt en rent tekniskt språklig analys torde falla in under begreppet dator. En dator är en ”programstyrd anord- ning för bearbetning och hantering av data” eller en ”programstyrd digital maskin för matematiska och logiska beräkningar”.5 Begreppet dator och liknande utrustning skulle således kunna användas för att avgränsa vad som utgör informationssystem i lagens mening. Det finns emellertid ett begrepp i reglerna om tvångsmedel som torde motsvara det som avses, nämligen elektronisk kommunikationsutrustning. Det begreppet används både i bestäm- melserna om hemliga tvångsmedel, se t.ex. 27 kap. 19 § rättegångs- balken och 1 § inhämtningslagen, och i andra sammanhang under för- undersökning, se t.ex. 23 kap. 9 a § . När det senare lagrummet infördes klargjordes att med elektronisk kommunikations- utrustning avses all slags utrustning som kan användas för att kommu- nicera elektroniskt.6 Begreppet, med den innebörden, bör därför lämpligen användas i definitionen för att beskriva vad ett informationssystem i lagens mening kan vara när det är fråga om fysisk utrustning. Uttrycket är teknikneutralt på ett sätt som gör att även framtida teknisk utrustning som kan användas för elektronisk kommunikation kommer att omfattas av det. avgränsar det användningsområdet för hemlig dataavläsning så att om ny teknik inte kan anses rymmas i begreppet får åtgärden inte användas i utrust- ningen. 5Definitionerna är hämtade från Svenska datatermgruppens ordlista, /ordlista.html respektive webbsidan it-ords definition, https://it- ord.idg.se/ord/dator/ 2015/16:68 s. 74. Hemlig dataavläsning – en ny lag … eller användarkonton till vissa tjänster Även beträffande uppgifter i informationssystem som inte är elek- tronisk kommunikationsutrustning bör det alltså finnas en möjlighet att tillåta hemlig dataavläsning. De informationssystem som det är fråga om är främst internetbaserade kommunikations- eller lagrings- tjänster. Naturligtvis är dessa informationssystem uppbyggda genom fysisk utrustning och infrastruktur som den som tillhandahåller tjänsterna förfogar över. Det är dock vare sig utrustning eller infra- struktur som är av relevans här. I stället är det den enskildes använ- dande av själva tjänsterna. Givetvis måste de brottsbekämpande myndigheternas tillgång till uppgifter i sådana tjänster därför begrän- sas till endast de delar av informationssystemet som den som utsätts för åtgärden har behörighet till. I har detta hanterats genom att de brottsbekämpande myndigheterna enligt en uttrycklig bestäm- melse kan få tillstånd att rikta hemlig dataavläsning mot ett specifikt användarkonto (brukerkonto) till en kommunikations- eller lagrings- tjänst. I motiven till de norska reglerna anfördes bl.a. följande i detta sammanhang. Hver bruker har et virtuelt avgrenset område som er identifisert ved et brukernavn, og som kan benyttes fra et hvilket som helst passende datasystem med nødvendig nettverksforbindelse og programvare, ved å oppgi brukernavnet og som regel et passord eller en annen form for tilgangskode. Dersom mistenkte bruker slike tjenester via mange ulike nettverkstilkoblinger (for eksempel trådløse internettsoner) og flere forskjellige datasystemer, kan politiet være avskåret fra effektiv kontroll gjennom dataavlesing rettet mot bestemte datasystemer. Politiet bør derfor ha en viss adgang til å gjøre seg kjent med mistenktes bruk av en slik brukerkonto, uavhengig av hvilke datasystemer den mistenkte benytter for å skaffe seg tilgang til kontoen. Avlesing som begrenser seg til en bestemt brukerkonto kan også være mindre inngripende enn avlesing av for eksempel all aktivitet på en datamaskin.7 Vad som anfördes i det citerade uttalandet gäller i lika hög grad vid införande av hemlig dataavläsning i . Hemlig dataavläsning bör därför, när de relevanta uppgifterna finns i sådana tjänster som här diskuteras, endast få avse det som är virtuellt avgränsat till den enskilde användaren. Det bör kunna uttryckas som att med infor- 7 Se den norska propositionen Prop. 68 L (2015-2016) s. 270. Hemlig dataavläsning – en ny lag mationssystem avses ett användarkonto eller en på motsvarande sätt avgränsad del av en viss tjänst. De tjänster som kan vara relevanta vid hemlig dataavläsning bör avgränsas till kommunikations- och lagringstjänster och liknande tjänster. Kommunikationstjänster bör innefatta sådana tjänster som avses med elektroniska kommunikationstjänster i 1 kap. 7 § lagen om elektronisk kommunikation men även kommunikationstjänster som inte ryms i det begreppet. Exempel på kommunikationstjänster kan vara webbmejl-, samtals- och andra meddelandetjänster. För lagringstjänster finns inte någon sådan legaldefinition som finns för elektroniska kommunikationstjänster. Vad det är fråga om är emellertid tjänster som möjliggör lagring av data och information på annan plats än i den egna elektroniska kommunikationsutrust- ningen, s.k. molntjänster. Det torde också finnas andra tjänster som innefattar kommuni- kations- eller lagringsmöjligheter även om detta inte är det primära syftet med tjänsten. Om ett användarkonto på en sådan tjänst är av intresse för de brottsbekämpande myndigheterna i ett särskilt ärende bör det inte vara uteslutet att läsa av eller ta upp uppgifter som finns i tjänsten. Ett tillägg avseende liknande tjänster som kommuni- kations- och lagringstjänster bör därför göras i definitionen av vad ett informationssystem kan vara. 10.3Vilka uppgiftstyper får hemlig dataavläsning omfatta? Utredningens förslag: Hemlig dataavläsning får användas för att läsa av eller ta upp uppgifter 1.om innehåll i meddelanden som i ett elektroniskt kom- munikationsnät överförs eller har överförts till eller från ett telefonnummer eller annan adress, 2.om annat än innehållet i sådana meddelanden som anges i första punkten, 3.om i vilket geografiskt område en viss elektronisk kom- munikationsutrustning finns eller har funnits, 4.som innebär optisk personövervakning, Hemlig dataavläsning – en ny lag 5.som avser tal i enrum, samtal mellan andra eller förhand- lingar vid sammanträden eller andra sammankomster som all- mänheten inte har tillträde till 6.som finns lagrade i ett informationssystem men inte avses i 1–5 eller 7.som visar hur informationssystemet används men inte avses i1–6. Åtgärden får endast användas efter tillstånd enligt lagen. När det är fråga om att använda hemlig dataavläsning för att läsa av eller ta upp uppgifter enligt punkterna 1 eller 2 får meddelanden hindras från att nå fram. Eftersom hemlig dataavläsning kan användas för att läsa av eller ta upp en rad olika typer av uppgifter föreslår vi att en uttrycklig regel förs in i den nya lagen som klargör vilka uppgifter hemlig data- avläsning kan få användas för att läsa av eller ta upp.8 Den föreslagna bestämmelsen är central för lagen om hemlig dataavläsning eftersom den blir utgångspunkt i varje enskilt fall när det ska bestämmas vilka uppgifter som ska få läsas av eller tas upp. Det är alltså inte fråga om en katalog med uppgiftstyper som alltid får läsas av eller tas upp när ett tillstånd till hemlig dataavläsning har beslutats utan bedömningen av vilka uppgiftstyper som får läsas av eller tas upp görs alltid i det enskilda fallet, se vidare i avsnitt 10.9.4. 10.3.1Hemlig dataavläsning för att ”verkställa” andra hemliga tvångsmedel Mot bakgrund av att vi i vår behovsanalys kommit fram till att det finns ett tungt vägande behov av nya metoder för att komma åt sådana uppgifter som får hämtas in med gällande hemliga tvångs- medel bör det klargöras att hemlig dataavläsning får användas för att läsa av eller ta upp motsvarande uppgifter som kan hämtas in med de tvångsmedlen. De uppgifter som avses kan således ge tillgång till följande information. 8 Jfr t.ex. SOU 2012:44 s. 767 där Utredningen om vissa hemliga tvångsmedel, beträffande det tidigare förslaget om hemlig dataavläsning (SOU 2005:38), anförde att ”avgränsningen av vilken informationsinhämtning som får ske inte är helt klar”. Hemlig dataavläsning – en ny lag