sou · H5B3100 · 2017-12-12 00:00:00 — På motsvarande sätt har vi svårt att se att det i och för sig skulle ses som ett större ingrepp i privatlivet att i stället bereda sig tillgång till innehållet i externt lagrad information med hjälp av den brotts- bekämpande myndighetens utrustning. Informationen är ju den- Husrannsakan och andra undersökningar i it-miljö samma, oavsett hur man fått tillgång till den. Detsamma gäller om man via kommunikationsnät tar del av information som finns lokalt lagrad i personens egen dator m.m. Det handlar om information som man får undersöka under en husrannsakan eller efter ett beslag av datorn. Informationen i datorn är densamma och denna kan knappast anses mer känslig i sig för att man tar del av den via kommunikationsnät. Däremot kan det uppstå särskilda integritetsrisker, om åtgärden leder till risker för informations- säkerheten. Vi återkommer till den frågan i nästa avsnitt. Om en undersökning via kommunikationsnät skulle utföras utan att den drabbade är närvarande, framstår den visserligen som mer ingripande än en husrannsakan där personen är närvarande. En rätt till närvaro får här rimligen förstås som en möjlighet att sitta med i den brottsbekämpande myndighetens lokaler när undersökningen sker. Som vi kommit fram till i avsnitt 6.4.3 får en husrannsakan i någons frånvaro generellt anses som mer ingripande. Emellertid kan ju även fysiska husrannsakningar i vissa fall genomföras utan att personen är närvarande eller har fått möjlighet att tillkalla vittne. Någon principiell skillnad mellan en undersökning via kommun- ikationsnät och en husrannsakan föreligger det alltså inte heller i detta avseende. Den omständigheten att det kan förväntas bli vanligare – och med hänsyn till skälen för åtgärden förmodligen en huvudregel – att en undersökning via kommunikationsnät sker utan den drabbades närvaro, bör dock ses som en skillnad. Som framhölls i Ds 2005:6 innebär tillvägagångssättet en ökad risk för oriktiga åt- gärder genom att den drabbade inte genom sin närvaro kan för- hindra övertramp (s. 299). Risken ökar också för att man träffar på information av det slag som avses med beslagsförbudsreglerna i 27 kap. 2 § RB. Vi anser alltså att ett tillåtande av undersökning av t.ex. datorer och virtuella användarkonton via kommunikationsnät och med an- vändning av myndighetens egen utrustning visserligen inte skulle behöva innebära ett större ingrepp i den enskildes privatliv än så- dana åtgärder som redan är tillåtna, såvitt gäller den information som man kan få tillgång till. Om huvudregeln blir att åtgärden vid- tas utan att den enskilde får vara med, måste man dock beakta att den enskilde inte får möjlighet att under verkställigheten invända mot att man tar del av sådan information som är integri- tetskänslig och inte heller kan bidra till att man riktar in undersök- Husrannsakan och andra undersökningar i it-miljö ningen på det som är relevant. Han eller hon kan inte genom sin närvaro försäkra sig om att undersökningen går rätt till. På motsvarande sätt som när det gäller utvidgad undersökning gäller bedömningen om integritetsintrånget avseende själva informa- tionen under förutsättning att det handlar om en undersökning som ger en ögonblicksbild av vad som vid en viss given tidpunkt finns lagrat i en dator eller på ett användarkonto eller liknande, att det inte är fråga om någon löpande övervakning eller realtidsövervak- ning, och att den enskilde har en motsvarande rätt att få kännedom om åtgärden som om det vore en fysisk husrannsakan. Det anförda gäller också i fråga om informationsbärare som används i ett företag. Sådana informationsbärare kan innehålla både integritetskänslig information och sådan informa- tion som är känslig för verksamheten, t.ex. företagshemligheter. Med informationssäkerhet avses som tidigare utvecklats att elek- troniskt lagrad information skyddas så att den alltid finns där när den behövs (tillgänglighet), att man kan lita på att den är korrekt och inte manipulerad eller förstörd (riktighet), att endast behöriga personer får ta del av den (konfidentialitet) och att det går att följa hur och när informationen har hanterats och kommunicerats (spår- barhet). En allmän utgångspunkt är att informationssäkerhet är av stor betydelse för både enskilda, offentliga organ och samhället i stort. En minskad informationssäkerhet innebär en ökad risk för att både enskilda och offentliga organ utsätts för cyberattacker och annan it-relaterad brottslighet. Sådan illegal verksamhet kan sam- tidigt utgöra ett hot mot människors personliga integritet och före- tags verksamhet, genom att utomstående kan ta del av och sprida känslig information av olika slag. Det är därför viktigt att överväga vilka risker för informationssäkerheten som eventuellt kan finnas vid undersökning via kommunikationsnät, och vilka möjligheter som finns att motverka dessa. Eventuella risker för informationssäker- heten får därefter ställas mot behovet av åtgärden i den brottsutred- ande verksamheten. Husrannsakan och andra undersökningar i it-miljö När det gäller virtuella användarkonton och liknande (t.ex. Messenger och andra kommunikationstjänster) krävs det normalt att man har tillgång till inloggningsuppgifterna för att man ska kunna få tillgång till informationen på kontot. I fall där man har tillgång till inloggningsuppgifterna innebär själva inloggningen i princip inte några större risker för informationen på kontot än om personen själv hade loggat in. Det som vi anfört i avsnitt 6.7.3 är relevant även här. Vi anser alltså att risken för att inloggningsuppgifterna sprids är ytterst liten, liksom risken för att enskilda tjänstemän an- vänder uppgifterna på ett felaktigt sätt. Sammantaget bedömer vi att riskerna för informationssäkerheten är små. I vissa fall kan det vara möjligt att genom inloggning på distans bereda sig tillgång till innehållet i någons informationsbärare. Så länge det handlar om att man loggar in på samma sätt som använda- ren själv och utan att man behöver installera någon programvara eller maskinvara, ser vi inte att ett sådant förfarande behöver inne- bära några större risker för informationssäkerheten än en inlogg- ning i ett användarkonto i molnet. Riskerna bedöms alltså som små. Risker vid andra metoder Undersökningar av t.ex. den misstänktes egen dator eller mobiltelefon via kommunikationsnät är som regel mer komplicerade än under- sökningar i ett användarkonto. Ofta är det inte möjligt att få till- gång till innehållet i informationsbäraren genom någon form av inloggning. Liksom vid hemlig dataavläsning krävs det då normalt att man på något sätt placerar program- eller maskinvara i den tek- niska utrustning som ska undersökas (dvs. en elektronisk informa- tionsbärare). En metod är att den myndighet som utreder brottet installerar ett visst program i den informationsbärare som ska undersökas och som ger möjlighet att ta del av viss information. Man måste då be- akta den eventuella risken för att programmet sprids till andra an- vändare. I ett sådant fall kan åtgärden innebära risker för informa- tionssäkerheten inte bara hos den som åtgärden riktas mot, utan också mot andra. Husrannsakan och andra undersökningar i it-miljö En annan metod är att man utnyttjar sårbarheter i hård- eller mjukvara – s.k. buggar eller säkerhetshål – för att få tillgång till information i en viss informationsbärare. Det kan då handla om att man utnyttjar antingen sårbarheter som är kända eller sårbarheter som tidigare är okända, även för den som tillhandahåller den produkt där sårbarheten finns. Det sistnämnda brukar kallas för ”zero-day exploits”. Det är viktigt att hålla i minne att sårbarheter som de brotts- bekämpande myndigheterna kan använda för att få fram värdefull information i brottsutredningar också kan utnyttjas av kriminella, om de har eller får kännedom om dem. Ett exempel på detta tycks vara den världsomspännande cyberattacken med viruset Wannacry som drabbade hundratusentals datorer i hundra- tals länder. Viruset är en självspridande mask som utnyttjar ett känt säkerhetshål i Windows. Verktyg för att utnyttja buggen släpptes av en hackargrupp som hävdar att de stulit koden från den amerikanska säkerhetsmyndigheten ().41 Det handlade i det fallet om en känd sår- barhet som kunde utnyttjas eftersom många användare inte hade uppdaterat sina system. Också i de fall där de brottsbekämpande myndigheterna upp- dagar en sårbarhet som inte tidigare är känd finns det en risk för att kunskapen om sårbarheten får spridning och kan utnyttjas i illegala syften. Och även om kunskapen inte sprids från myndigheten finns det en risk för att kriminella på egen hand upptäcker sårbarheten och utnyttjar den för att begå brott. Det är omdiskuterat om myndigheterna över huvud taget borde få använda zero-day- sårbarheter utan i stället borde åläggas att verka för att de åtgärdas. Grunden för den sistnämnda ståndpunkten är att sådana sårbar- heter anses medföra särskilda risker.42 I en rapport som publicerats av lyfter man fram att zero-day-sårbar- 41Informationen om Wannacry är hämtad på webben, wannacry--har-ar-allt-du-behover-veta-om-den-massiva-ransomware-attacken 42Exempelvis har fri- och rättigheter och i en gemen- sam skrivelse till utredningen argumenterat för att de brottsbekämpande myndigheterna offentligt och lättillgängligt ska redovisa de metoder de har använt för att utnyttja sårbar- heter i programvaror och andra elektroniska system. De har också argumenterat för att zero day exploits inte ska få användas utan ska meddelas den aktör som bäst kan åt- gärda dem. Se också American Civil Liberties Union (), 2016, Comment on the Proposed Amendment to Rule 41 Concerning “Remote Access” Storage Media. Husrannsakan och andra undersökningar i it-miljö heter kan finnas i vilken hård- eller mjukvara som helst, att cyber- attacker som utnyttjar sådana sårbarheter ofta inte upptäcks eller t.o.m. år och att de är svåra är upptäcka, efter- som de flesta säkerhetsverktyg fokuserar på kända och inte på okända hot.43 Ett exempel som tas upp i rapporten är ”Operation Russian ” där okända sårbarheter i Adobe Flash och Windows ledde till en cyberattack mot en icke namngiven amerikansk statlig institu- tion. hävdar andra att det är nödvändigt att zero-day- sårbarheter kan utnyttjas och att riskerna kan motverkas på olika sätt.44 I har lagstiftaren förhållit sig till problematiken genom att inrätta en process där en särskild myndighetsöverskridande styrelse tar ställning till om en sårbarhet ska bevaras för att kunna utnyttjas, eller om den ska rapporteras till den som tillhandahåller den sårbara hård- eller mjukvaran. Enligt nederländsk lag får zero- day-sårbarheter utnyttjas, men brottsbekämpande myndigheter får inte köpa sådana sårbarheter och måste dessutom rapportera sårbar- heter som utnyttjas.45 Vissa debattörer har uttryckt en oro för att de brottsbekämpande myndigheternas intresse av att kunna utnyttja sårbarheter leder till att marknadens aktörer får ett incitament till att inte avhjälpa så- dana sårbarheter som de känner till. En viktig fråga är om undersökning via kommunikationsnät kan förväntas bli en effektiv åtgärd och om den i så fall kan förväntas medföra nytta i den brottsutredande verksamheten. Det finns här anledning att skilja på inloggningsfallen och andra fall. 43EU-parlamentet, Study for , , Legal Frameworks for Hacking by : Identification, Evaluation and Comparison of Practises s. 27. 44EU-parlamentet, Study for , , Legal Frameworks for Hacking by : Identification, Evaluation and Comparison of Practises s. 28. 45EU-parlamentet, Study for , , Legal Frameworks for Hacking by : Identification, Evaluation and Comparison of Practises s. 28. Husrannsakan och andra undersökningar i it-miljö När det gäller inloggning på ett användarkonto eller inloggning på distans i exempelvis en server gäller i huvudsak det som sagts i av- snitt 6.7.3. Det handlar med andra ord om en tekniskt okompli- cerad åtgärd som inte kräver några särskilda kunskaper. Man an- vänder helt enkelt inloggningsuppgifter på samma sätt som den enskilde själv för att få tillgång till informationen. Hur stort använd- ningsområdet blir beror, som vi sagt i avsnitt 6.7.3, på hur man förhåller sig till information som är lagrad i utlandet eller som man inte vet var den finns. Vi återkommer till den frågan i avsnitt 6.10.6. Nyttan kan också påverkas av kriminella personers riskmedveten- het och anpassning till de metoder som de brottsbekämpande myn- digheterna använder. Ett annat problem av mer praktisk art, är att det är vanligt att tjänsteleverantören skickar ett automatiskt meddelande till kontoinne- havaren varje gång någon loggar in på ett användarkonto från en ny enhet. Därigenom kan den som åtgärden riktas mot få kännedom om att åtgärden har vidtagits, vilket inte alltid är lämpligt. I värsta fall kan meddelandet leda till att den som åtgärden riktas mot snabbt loggar in och raderar den intressanta informationen, vilket kan om- intetgöra syftet med åtgärden. Undersökningar som kräver installation av program- eller maskinvara Om åtgärden i stället går ut på att man installerar en viss maskin- eller programvara krävs det noggranna förberedelser för att man ska minimera risken för upptäckt. Om sådana åtgärder vidtas är risken liten, men en viss risk finns ändå alltid enligt de uppgifter vi fått från de brottsbekämpande myndigheterna. Till skillnad från undersökningar som sker genom inloggning, skulle undersökningar som sker med hjälp av installation av program- eller maskinvara vara resurskrävande. Om åtgärden riktar sig mot någons dator, mobiltelefon eller liknande, kan åtgärden i tekniskt hänseende jämställas med hemlig dataavläsning som syftar till att man ska få tillgång till lagrad information. Det innebär att det skulle krävas tämligen omfattande förberedande arbete från de brottsbekämpande myndigheterna för att åtgärden ska kunna verkställas i ett enskilt Husrannsakan och andra undersökningar i it-miljö Det förberedande arbetet består av dels kartläggning, dels installation av en programvara som gör att man får tillgång till det lagrade innehållet eller delar av det. Utan en kartläggning av vilka informationsbärare som den intressanta personen använder och en analys av vilka möjligheter som kan finnas att få tillgång till någon av dessa, kan undersökningen inte verkställas. Därefter följer själva undersökningsfasen och, när denna är avslutad, avinstallations- eller avslutningsfasen. Med hänsyn till det sagda kan det förmodas att metoden, om den tillåts, bara kommer att komma till användning när det handlar om förhållandevis allvarlig brottslighet och det saknas andra möjligheter att (i rimlig tid) få tillgång till information av stor vikt i utredningen. Som nämnts i det föregående kan undersökning via kommunika- tionsnät i tekniskt hänseende jämställas med en hemlig dataavläs- ning som avser lagrad information. När det är fråga om undersök- ningar som sker genom inloggning krävs det ingen särskild teknisk utrustning eller särskilda program för verkställigheten. Det lär inte heller bli nödvändigt med särskilda utbildningsåtgärder. Ett tillåtande av denna metod medför såvitt vi kan bedöma inga ökade kostnader. Om det i stället handlar om att man bereder sig tillgång till någons tekniska utrustning på något annat sätt än genom ren inloggning, krävs det däremot särskilda tekniska åtgärder och utbildningsåtgär- der som riktas till den personal som ska verkställa åtgärden. Det kan t.ex. handla om inköp eller utveckling av särskild maskin- eller programvara. Utredningen om hemlig dataavläsning har kommit fram till att kostnaderna för anskaffning, implementering och utveckling av sådana tekniska lösningar skulle bli betydande. Om hemlig dataavläsning införs i enlighet med förslagen från utredningen om hemlig dataavläsning, skulle ett tillåtande av under- sökning via kommunikationsnät med hjälp av program- eller maskin- vara inte orsaka några större merkostnader, eftersom det som sagt handlar om samma teknik. Det torde då vara lämpligt att samordna och koncentrera användningen till vissa aktörer. Om hemlig data- avläsning inte införs, skulle kostnaderna för anskaffning, implemen- tering och utveckling av tekniska lösningar däremot bli betydande. Husrannsakan och andra undersökningar i it-miljö I det föregående har vi konstaterat att det i vissa fall finns ett behov från brottsutredningssynpunkt av att de brottsbekämpande myn- digheterna har möjlighet att, i stället för en fysisk husrannsakan eller ett beslag, genomföra en undersökning av elektroniskt lagrad information via kommunikationsnät. Innan man kan ta ställning till om åtgärden ska tillåtas eller inte, måste man dock ställa behovet mot de skäl som talar mot att den införs. Det finns då anledning att skilja mellan undersökningar via kommunikationsnät som äger rum genom inloggning och undersökningar som kräver installation av program- eller maskinvara. Vi har i avsnitt 6.7 gjort bedömningen att utvidgad undersökning bör tillåtas. De skäl som anförts där gör sig i allt väsentligt gällande också i fråga inloggning eller ett motsvarande förfarande från de brottsbekämpande myndigheternas egen tekniska utrustning. Från den enskildes perspektiv har det knappast någon större betydelse om man bereder sig tillgång till viss information med hjälp av person- ens egen informationsbärare vid en utvidgad undersökning eller med någon annan teknisk utrustning, så länge det handlar om inloggning eller ett motsvarande förfarande och inte om att man forcerar systemet med hjälp av program- eller maskinvara. Informa- tionen är densamma och riskerna för informationssäkerheten är små. Liksom i fråga om utvidgad undersökning bedömer vi att det är möjligt att utforma en reglering som är godtagbar med hänsyn till den enskildes integritet och rättssäkerhet. Det mest avgörande är då för det första att regleringen tydligt avgränsas mot de hemliga tvångsmedlen på så sätt att den ger möjlighet till en ögonblicksbild av den information som finns lagrad vid ett visst tillfälle men inte till en löpande övervakning av personens elektroniska kommunika- tion m.m. För det andra måste det ställas krav på brottsmisstanken, syftet med åtgärden och den anknytning som den enskilde har till det som undersöks. Om undersökningen görs hos någon annan än den misstänkte bör det ställas högre krav för att undersökningen ska få ske. Slutligen är det viktigt att den enskilde har en motsvar- Husrannsakan och andra undersökningar i it-miljö ande rätt som vid en fysisk husrannsakan att underrättas om åtgär- den. Vidare bör det beaktas att åtgärden, för att tjäna sitt syfte, måste vidtas utan föregående underrättelse och utan att den drabbade får vara närvarande. Detta innebär att den kan framstå som mer ingripande än en husrannsakan, eftersom huvud- regeln då är att personen har en rätt till närvaro. Det finns dock möjligheter till undantag från huvudregeln även vid husrannsakan. En undersökning via kommunikationsnät som sker i utevaro fram- står i princip inte som mer ingripande än en husrannsakan i ute- varo. Genom lämpliga begränsningar och rättssäkerhetsgarantier kan man enligt vår mening skapa ett tvångsmedel som, i fråga om integ- ritetsintrång och den enskildes rättssäkerhet, i princip motsvarar en husrannsakan. På i allt väsentligt samma skäl som när det gäller utvidgad undersökning, är det vår bedömning att de skäl som talar för ett införande av en möjlighet till inloggning på distans klart överväger. Med inloggning bör då jämställas andra motsvarande förfaranden som innebär att de brottsbekämpande myndigheterna bereder sig tillgång till informationen på samma sätt som den enskilde använd- aren själv kan göra. Under förutsättning att tvångsåtgärden begrän- sas på det sätt som vi angett ovan och förenas med lämpliga rätts- säkerhetsgarantier, anser vi att en möjlighet till inloggning eller motsvarande förfarande på distans utgör en godtagbar inskränk- ning av de rättigheter som följer av 2 kap. 6 § RF och artikel 8 i . Vår bedömning är därför att förfarandet bör tillåtas. Vi återkommer i avsnitt 6.9 till våra förslag om hur regler- ingen närmare bör utformas. Undersökningar som kräver installation av program-eller maskinvara Den andra möjligheten att bereda sig tillgång till information via kommunikationsnät är genom att forcera det system där informa- tionen finns med hjälp av program- eller maskinvara. I teknisk mening handlar det om samma slags åtgärder som skulle vidtas inom ramen för en hemlig dataavläsning, om detta införs. Husrannsakan och andra undersökningar i it-miljö Vår sammantagna bedömning är att det inte bör införas någon möjlighet till undersökning via kommunikationsnät genom sådana metoder som diskuteras. Det avgörande för vår bedömning är att det handlar om en åtgärd som ligger alltför nära de hemliga tvångsmedlen, och som i teknisk mening är identisk med hemlig dataavläsning, om den åtgärden införs. Om hemlig dataavläsning inte införs skulle ett införande medföra stora kostnader. Om hem- lig dataavläsning införs skulle ett tillåtande innebära att det blir möjligt att med samma tekniska metoder komma åt samma slags information med hjälp av två olika tvångsmedel med olika förut- sättningar. Det handlar också om samma slags information som man enligt dagens regler kan få tillgång till genom en hemlig avlyss- ning av elektronisk kommunikation. Det är naturligtvis en skillnad att det i det ena fallet rör sig om ett hemligt tvångsmedel och i det andra om ett öppet tvångsmedel. För att undersökning via kommu- nikationsnät ska fungera som det är tänkt, är det dock nödvändigt med en möjlighet att dröja med en underrättelse om åtgärden. Vi föreslår dessutom i avsnitt 10.4.3 att det ska finnas en möjlighet att dröja med en underrättelse om beslag och kopiering. Ett annat skäl mot införande, är att det framstår som svårför- klarligt att åtgärden att installera maskin- eller programvara i syfte att få tillgång till information i vissa fall skulle betraktas som ett hemligt tvångsmedel – som förutsätter bl.a. domstolsbeslut – och i andra fall som ett öppet tvångsmedel. Med tanke på de stränga krav som gäller för användning av hemliga tvångsmedel, kan man fråga sig varför de brottsbekämpande myndigheterna i något fall skulle välja hemlig dataavläsning om man lika gärna kan använda under- sökning via kommunikationsnät. Mot denna bakgrund anser vi att det handlar om en åtgärd av det slag som lämpligen bör regleras som ett hemligt tvångsmedel och förenas med de villkor och rättssäkerhetsgarantier som gäller för sådana tvångsmedel. Vi förordar därför att det behov som finns av en möjlighet att få tillgång till elektroniskt lagrad information med hjälp av installation av program- eller maskinvara tillgodoses genom införande av hemlig dataavläsning och att undersökning via kommunikationsnät med sådana metoder inte införs. Husrannsakan och andra undersökningar i it-miljö 6.9Våra förslag om undersökning på distans I det föregående har vi kommit fram till att det bör vara tillåtet att via kommunikationsnät på distans undersöka elektroniskt lagrad informa- tion genom inloggning eller ett motsvarande förfarande. Vi har också kommit fram till att detta bör kunna ske med hjälp av såväl en informationsbärare som man fått tillgång till vid t.ex. en husrann- sakan eller genom ett beslag, som någon annan teknisk utrustning som de brottsbekämpande myndigheterna har tillgång till, t.ex. deras egna datorer. har vi av bl.a. pedagogiska skäl gjort skillnad mellan ut- vidgad undersökning och undersökning via kommunikationsnät. När vi nu går över till frågan om hur regleringen bör se ut, kommer vi i huvudsak att lämna denna uppdelning, eftersom det inte i regler- ingen finns anledning att göra skillnad mellan de två förfarandena. Det är också viktigt att regleringen ges en så teknikneutral utform- ning som möjligt för att den inte alltför snabbt ska förlora sin aktualitet.