sou · H5B389 · 2017-11-16 00:00:00 — För andra hemliga tvångsmedel gäller att domstolen prövar om de lagliga förutsättningarna för åtgärden är uppfyllda och den verk- ställande myndigheten avgör hur verkställigheten ska gå till. Samma sak bör gälla för hemlig dataavläsning. Det bör erinras både om att den verkställande myndigheten är skyldig att iaktta de grund- läggande principerna om ändamål, behov och proportionalitet även vid verkställigheten och att tillsynsmyndigheten i samband med sin kontroll kan anmärka mot åtgärderna och, om det behövs, vidta andra åtgärder om principerna inte följs i verkställighetsskedet. Till detta kommer att de krav som vi nedan ställer upp om anpassnings- skyldighet för den brottsbekämpande myndigheten av verkställig- hetstekniken, aktsamhetskrav och att en särskild person ska ansvara för verkställigheten bör leda till att särskild försiktighet iakttas vid verkställighet, vilket i sin tur också torde kunna motverka de risker som föreningarna ser framför sig. Det kan också påminnas om att det enligt 2 § polisdataförord- ningen åligger eller Säkerhetspolisen, när dessa planerar nya it-system av större omfattning eller nya it-system som kan innebära särskilda risker för intrång i den personliga integriteten, att samråda med Datainspektionen innan beslut i frågan är enligt uppgifter på webbsidan /om en partipolitiskt oberoende ideell förening vars syfte är att verka för informerade beslut om lagstiftning och teknologi i enlighet med de grundläggande rättigheterna till dataskydd och personlig integritet. 38DFRI är enligt uppgifter på webbsidan /dfri en ideell och partipolitiskt obun- den förening som verkar för främjandet av digitala rättigheter, vars mål är ett samhälle med så lite övervakning, spårning och avlyssning som möjligt där yttrandefrihet, transparens och informationsfrihet, personlig integritet och människors rätt att själva bestämma över sin personliga information och digitala fotspår värnas. Hemlig dataavläsning – en ny lag Detsamma gäller myndigheterna, när de genomför betydande förändringar i sådana system. De ska, när sådant samråd som nämnts krävs, även samråda med Säkerhets- och integritetsskydds- nämnden bl.a. i frågor som avser användning av hemliga tvångs- medel. Viss förhandskontroll av it-lösningar som kommer att användas vid hemlig dataavläsning kan således förväntas ske utanför de brottsbekämpande myndigheterna.39 Vår samlade bedömning av vad som anförts är att det inte finns skäl att inom ramen för domstols- prövningen överväga frågan om hur själva verkställigheten ska ske. Frågan om rapportering av säkerhetsbrister En annan fråga som och DFRI tagit upp i sin skrivelse till utredningen handlar om att om hemlig dataavläsning införs bör det finnas en skyldighet för de brottsbekämpande myndigheterna att rapportera säkerhetsbrister. De två intresseföreningarna uttrycker sina krav enligt följande. De brottsbekämpande myndigheterna ska offentligt och lättillgängligt redovisa de metoder de har använt för att utnyttja sårbarheter i pro- gramvaror och andra elektroniska system. Oavsett om de brottsbekäm- pande myndigheterna har fått tag på metoderna för att utnyttja sårbar- heter från andra myndigheter eller från näringslivet ska användningen omfattas av en redovisningsplikt som ska göras offentlig. Det ska alltså inte vara möjligt för myndigheterna att begagna sig av en metod för att utnyttja en sårbarhet i programvaror eller elektroniska system upp- repade gånger utan att sårbarheten sedan kan åtgärdas. Skälet till denna uppfattning är att ett krav på redovisningsskyldighet underlättar åtgärdande av sårbarheten för den stora majoriteten lag- lydiga användare av elektroniska verktyg. Ett annat sätt att uttrycka detta på, vilket gjorts i den allmänna debatten om riskerna med hem- lig dataavläsning, är att man genom hemlig dataavläsning kan bidra till ”en osäkrare digitaliserad tillvaro för oss alla genom att säkerhets- hål i de verktyg och tjänster vi använder inte täpps igen så snabbt som de kunde”.40 39Utredningen om 2016 års dataskyddsdirektiv har föreslagit vissa förändringar på området, se SOU 2017:29. Dock kommer det även med dessa förslag bli fråga om viss extern för- handskontroll. 40Citat från debattartikeln Hemlig dataavläsning – statliga virus i frihetens och öppenhetens tjänst… eller? av docenten i teknik och social förändring och doktorn i rättssociologi vid Hemlig dataavläsning – en ny lag Utredningen gör bedömningen att de skäl som anförs för en redovisningsskyldighet endast har viss giltighet. När sårbarheter eller säkerhetsbrister i informationssystem som redan är kända av den som utvecklar eller producerar informationssystemet utnyttjas vid hemlig dataavläsning så finns redan möjlighet för den både att åtgärda systemets svagheter och – i tiden till dess att så skett – upp- lysa användarna om bristen. Enligt utredningens mening kan därför brottsbekämpande myndigheters utnyttjande av sådana sårbarheter eller säkerhetsbrister varken anses öka riskerna för den breda massan eller upprätthålla vägar in i informationssystem (möjligen undan- taget det enskilda informationssystem som tillståndet avser). I detta sammanhang bör påminnas om att hemlig dataavläsning är en riktad åtgärd som kräver särskilt tillstånd för varje informationssystem som ska avses. När det däremot gäller utnyttjande av s.k. dag noll-sårbarheter, dvs. sådana sårbarheter eller säkerhetsbrister som inte är kända av den som utvecklar eller producerar informationssystemet, är situa- tionen delvis en annan. Genom att inte underrätta tillverkaren om sårbarheten i dessa fall kommer denna stå öppen inte bara för den brottsbekämpande myndigheten utan också för andra, och därmed även illasinnade personer. På så vis kan det sägas att säkerhetshålen inte täpps igen så snart som de skulle kunna täppas igen. Det innebär i förlängningen att det finns risk för att kriminella skulle kunna ut- nyttja samma hål som den brottsbekämpande myndigheten. Detta kan i viss mån sägas tala för en rapporteringsskyldighet avseende den typen av sårbarheter och säkerhetsbrister. Emellertid kommer de säkerhetsbrister och sårbarheter som diskuteras att finnas oavsett om de brottsbekämpande myndigheterna får kännedom om dem eller inte. Därmed kommer de kunna utnyttjas av den som upptäcker eller får kännedom om dem (samt har tillräckliga kunskaper för ett sådant utnyttjande) oberoende av om brottsbekämpande myndig- heter vet något om sårbarheterna. Dessutom kommer det endast vara en mycket begränsad mängd personer som har kännedom om de tekniker som används vid hemlig dataavläsning och därmed också om eventuella sårbarheter. Dessa personer kommer också att ha genomgått noggranna säkerhetskontroller varför risken för sprid- Lunds universitets internetinstitut . Artikeln finns publicerad digitalt på Dagens juridiks webbsida . Hemlig dataavläsning – en ny lag ning utanför den skara personer som känner till sårbarheterna är synnerligen liten. Vår sammanvägda bedömning är att det inte bör införas någon rapporteringsskyldighet avseende de tekniker som ska användas för verkställighet. Däremot kommer givetvis brottsbekämpande myndig- heter, i den mån de upptäcker sårbarheter eller säkerhetsbrister som de bedömer kan utgöra stor risk för informationssystem eller den generella informations- eller cybersäkerheten, vara oförhindrade att rapportera dessa. I vissa fall kan det till och med ligga i de brotts- bekämpande myndigheternas eget intresse att rapportera sådant, t.ex. då den brottsbekämpande myndigheten bedömer att ett hål som upptäckts kan utnyttjas av kriminella personer på ett sätt som gör att det finns risk för allmän ordning och säkerhet eller allmänhetens skydd (jfr 1 § polislagen) 10.10.2 Teknikanpassning av verkställighetsteknik Utredningens förslag: En särskild regel om att den teknik som används för verkställighet ska anpassas efter det tillstånd som meddelats införs så att det inte är möjligt att läsa av eller ta upp någon annan uppgiftstyp än den som tillståndet avser. Om andra typer av uppgifter än tillståndet avser ändå lästs av eller tagits upp ska dels upptagningarna av de felaktigt inhämtade uppgifterna förstöras, dels Säkerhets- och integri- tetsskyddsnämnden underrättas. Uppgifter som har kommit fram vid avläsning eller upptagning av en uppgiftstyp som inte avses i tillståndet får inte användas i en brottsutredning till nackdel för den som har omfattats av åtgärden, eller för någon annan som uppgifterna avser. Tekniken måste i det enskilda fallet begränsas utifrån tillståndet Teknik som får användas i samband med verkställighet av hemlig dataavläsning kan användas för att läsa av eller ta upp olika typer av uppgifter. Vi har föreslagit att det i lagen om hemlig dataavläsning ska tas in en förteckning avseende vilka uppgiftstyper metoden alls kan få användas för att läsa av eller ta upp och att det i tillståndet ska Hemlig dataavläsning – en ny lag anges vilken eller vilka uppgiftstyper tillståndet avser, se avsnitt 10.3 och 10.9.4. Det följer redan av ändamålsprincipen att endast upp- gifter som tillståndet avser får läsas av eller tas upp. Om teknik används för att läsa av eller ta upp en annan uppgiftstyp än en som tillståndet avser är det således fråga om en olaglig åtgärd, vilken dessutom skulle kunna bedömas som ett straffbart dataintrång. Även om det kan och bör förutsättas att de brottsbekämpande myndigheterna rättar sig efter de regler som gäller så att man inte, trots att det vore teoretiskt möjligt, utnyttjar tekniken för annat än det som tillståndet avser finns en risk för ryktesspridning och misstro mot åtgärden om inte också den faktiska möjligheten att utnyttja tekniken på ett icke avsett vis begränsas, se diskussion om detta i avsnitt 9.5.4. Det bör därför införas en bestämmelse som anger vilka anpassningar av tekniken den brottsbekämpande myndig- heten måste göra i samband med verkställighet. En sådan regel bör lämpligen ange att den teknik som används i samband med verk- ställighet i ett enskilt fall ska utesluta avläsning eller upptagning av annan typ av uppgift än sådan som tillståndet avser. Utredningen har av tekniska experter vid de brottsbekämpande myndigheterna för- säkrats om att det är möjligt att anpassa verkställighetstekniken på det sätt som vi föreslår. Vi har inte funnit anledning att ifrågasätta denna uppgift. Behövs ett förbud mot att använda otillåten tilläggsinformation? Det ska således inte vara praktiskt möjligt att läsa av eller ta upp annan typ av uppgift än sådan som tillståndet avser. Med annan typ av uppgift avses inte det som brukar kallas för överskottsinformation, dvs. uppgifter som i och för sig får hämtas in enligt ett tvångsmedels- tillstånd men som inte har samband med skälen för tvångsmedels- beslutet. De uppgifter som den brottsbekämpande myndigheten läser av eller tar upp som är av annan uppgiftstyp än den som avses i till- ståndet kanske snarare kan kallas för otillåten tilläggsinformation. Detta eftersom tillståndet inte tillåter avläsning eller upptagning av uppgifterna. Frågan är om det behövs någon bestämmelse för att begränsa användning av otillåten tilläggsinformation. Med en regel som den som föreslagits kan det tyckas överflödigt med en sådan bestämmelse, eftersom ju själva tanken är att begränsa den Hemlig dataavläsning – en ny lag praktiska möjligheten att läsa av eller ta upp andra uppgiftstyper än sådana som tillståndet avser. Om en korrekt anpassning av tekniken inte har skett kan det således komma i fråga med avläsning eller upptagning av otillåten tilläggsinformation. Har anpassning inte gjorts torde dessutom såväl straffrättsliga som disciplinära åtgärder kunna aktualiseras för den eller de som ansvarar för dataavläsningen. Icke desto mindre råder, som en grundläggande regel, fri bevis- prövning och fri bevisvärdering i , vilket bl.a. innebär att det är möjligt att inför domstol åberopa uppgifter utan begränsningar i bevismöjligheterna med hänsyn till en viss beviskällas art.41 Det betyder således att även om personer vid den verkställande myndig- heten kan ställas inför rätta på grund av sättet som viss bevisning åtkommits så hindras som utgångspunkt inte användningen av olagligt avlästa eller upptagna uppgifter i ett domstolsförfarande utan en särskild förbudsregel. Enligt vår uppfattning innebär det anförda att det bör regleras särskilt vad som ska gälla för otillåten tilläggsinformation. Att inte reglera detta skulle, trots vårt förslag om anpassning, kunna upp- fattas som att det i vissa fall vore möjligt eller rentav fördelaktigt att underlåta anpassning av tekniken för att kunna läsa av fler uppgifts- typer än tillståndet tillåter. Teknikerna för verkställighet i samband med hemlig dataavläsning uppvisar, när det gäller den teoretiska möjligheten till avläsning av otillåten tilläggsinformation, säregenhet jämfört med andra verkställighetstekniker. Det finns risk för misstro och ryktesspridning om det kan uppfattas som att brottsbekämp- ningen skulle gynnas av underlåten anpassning av tekniken. Detta leder oss till slutsatsen att frågan om otillåten tilläggsinformation bör regleras särskilt. Eftersom det inte bara skulle stå i strid med sed och moral att ut- nyttja otillåten tilläggsinformation utan framförallt att avläsning eller upptagning av sådan kan innebära brott mot såväl regeringsformen som finns skäl att inta ett strängt förhållnings- sätt beträffande användning av otillåten tilläggsinformation. Det ligger enligt vår mening närmast till hands att betrakta otillåten tilläggsinformation på motsvarande vis som annan förbjuden infor- mation, t.ex. uppgifter som omfattas av beslagsförbudet i 27 kap. 2 § eller uppgifter som omfattas av frågeförbudet i 41 Se t.ex. prop. 2004/05:143 s. 36. Hemlig dataavläsning – en ny lag 36 kap. 5 § . I analogi med vad som gäller för sådana uppgifter bör otillåten tilläggsinformation inte alls kunna komma till användning. Det bör därför föreskrivas att om det, trots den anpass- ning av tekniken som ska ske, kommer fram att fel typ av uppgifter har lästs av eller tagits upp så ska upptagningar av sådana uppgifter förstöras. Dessutom bör brottsbekämpande myndigheter åläggas att under- rätta tillsynsmyndigheten om ett så allvarligt fel som avläsning eller upptagning av uppgifter i strid med vad som anges i tillståndet. Detta bör göras för att tydliggöra att ett sådant fel är allvarligt och för att tidigt ge tillsynsmyndigheten upplysning om ett potentiellt tillsyns- ärende. I reglerna om interimistiska åklagarbeslut finns ett förbud mot att i en brottsutredning till nackdel för den som har omfattats av åtgär- den, eller för någon annan som uppgifterna avser, använda uppgifter som hämtats in efter ett åklagarbeslut som sedan upphävts av rätten se avsnitt 10.9.5. När den regleringen infördes i konstaterade regeringen att inhämtningen i sig innebär ett intrång i den enskildes privatliv som kan uppfattas som integritetskränkande. Att använda uppgifterna i en brottsutredning mot en person kan sägas innebära att integritetsintrånget tillåts fortsätta. Lämpligheten av att fritt kunna använda uppgifter som framkommit vid ett interi- mistiskt beslut som upphävs av domstol kunde därför enligt reger- ingens mening ifrågasättas (prop. 2011/12:55 s. 80). Motsvarande resonemang gör sig gällande för uppgifter som den brottsbekäm- pande myndigheten läst av eller tagit upp i strid med ett tillstånd. Det bör därför införas en motsvarande reglering för sådana uppgifter i lagen om hemlig dataavläsning. 10.10.3Aktsamhetskrav och informationssäkerhet i samband med verkställighet Utredningens förslag: En allmän aktsamhetsregel införs som innebär att det vid genomförande av hemlig dataavläsning inte får förorsakas olägenhet eller skada utöver vad som är absolut nöd- vändigt. Med hänsyn till risker för informationssäkerheten föreskrivs också att en person ska ansvara för verkställigheten av hemlig Hemlig dataavläsning – en ny lag dataavläsning och att denne ska vidta nödvändiga och tillräckliga åtgärder för att informationssäkerheten utanför det informations- system tillståndet avser inte åsidosätts, minskas eller skadas till följd av åtgärden. Den verkställande myndigheten ska dessutom vidta de åtgär- der som behövs för att säkerheten i det informationssystem till- ståndet avser när verkställigheten avslutas ska hålla åtminstone samma nivå som vid verkställighetens början. I lagen tas också in en bestämmelse om att ett tekniskt hjälp- medel som har använts ska tas bort, avinstalleras eller annars göras obrukbart så snart det kan ske efter att tiden för tillståndet gått ut eller tillståndet hävts. En allmän aktsamhetsregel införs vid verkställighet Proportionalitetsprincipen gäller i alla stadier av tvångsmedels- användning, således även när verkställighet ska ske. Trots detta finns det bland tvångsmedelsreglerna särskilda regler som påminner om att det ska finnas ett proportionalitetstänkande också i samband med verkställighet. Sådana exempel finns i 28 kap. 6 § avseende husrannsakan och 27 kap. 25 a § femte stycket rättegångs- balken avseende hemlig kameraövervakning och rumsavlyssning och innebär att när sådana åtgärder verkställs får olägenhet eller skada inte förorsakas utöver vad som är absolut nödvändigt. Vi gör bedöm- ningen att motsvarande generella aktsamhetskrav uttryckligen bör anges i lagen om hemlig dataavläsning. Det ska sägas att det ligger i den verkställande myndighetens intresse att inte orsaka olägenhet eller skada i samband med verkställighet, eftersom detta kan riskera att röja åtgärden. I föregående kapitel har vi framhållit att det finns risker för infor- mationssäkerheten som måste balanseras om hemlig dataavläsning ska kunna införas. Vi har också tidigare i detta kapitel nämnt att risker för informationssäkerheten bör föranleda vissa särskilda bestämmelser. Hemlig dataavläsning – en ny lag avfärdade regeringen motsvarigheter till hemlig dataavläsning genom att (i anslutning till en diskussion om hemlig avlyssning och övervakning av elektronisk kommunikation) uttala att av ”hänsyn till informationssäkerheten och skyddet för den enskilde bör den som företar en verkställighetsåtgärd inte få göra några ingrepp via telenät i de datorer m.m. som används för att befordra telemeddelanden”.42 Vad som mer i detalj avsågs med ut- talandet utvecklades emellertid inte närmare, inte heller förklarades vad som innefattades i begreppet informationssäkerhet. I den s.k. betänkande Informations- och cybersäkerhet i (SOU 2015:23) angavs informationssäkerhet vara en strävan att skydda information så att: –Informationen alltid finns när den behövs (tillgänglighet) –Det går att lita på att informationen är korrekt och inte manipulerad eller förstörd (riktighet) –Endast behöriga personer får ta del av informationen (konfi- dentialitet) –Det går att följa hur och när informationen har hanterats och kommunicerats (spårbarhet) Utredningen anförde också att informationssäkerhet omfattar såväl administrativa åtgärder för att skydda information (såsom före- skrifter, behörighetsrutiner, etc.) som tekniska åtgärder (såsom it- säkerhet och fysisk inpasseringskontroll).43 Som antyds i det betänkandets titel diskuterades också frågor om cybersäkerhet i betänkandet. Beträffande detta begrepp anförde utredningen bl.a. att det omfattar de mekanismer och åtgärder som används för att skydda cyberdomänen, både civilt och militärt, mot de hot som är förknippade med eller som kan skada dess ömsesidigt beroende nätverk och informationsinfrastruktur. Cybersäkerhet strävar efter att bevara nätverkens och infrastrukturens tillgänglighet och integritet samt konfidentialiteten hos informationen däri. Utredningen framhöll emellertid också att begreppen informations- säkerhet och cybersäkerhet ofta används utan särskillnad och att det 1994/95:227 s. 25. 43SOU 2015:23 s. 42. Hemlig dataavläsning – en ny lag för svensk myndighetsintern verksamhet (och med den samman- hängande normgivning) utan tvekan går bra att även använda begreppet informationssäkerhet.44 När vi i det följande diskuterar informationssäkerhet använder vi begreppet i vid mening, dvs. innefattande också cybersäkerhet. Vi inkluderar även, möjligen en aning oegentligt, nätsäkerhet, dvs. säkerheten i elektroniska kom- munikationsnät, i begreppet. Det har i olika sammanhang framförts att det finns risk för minskad informationssäkerhet om brottsbekämpande myndigheter tillåts använda tekniker för hemlig dataavläsning.45 Riskerna som anförs i dessa sammanhang tar sikte på olika avseenden, t.ex. risker för teknisk spridning av programvara utanför det informations- system som åtgärden avser, risker för minskad säkerhet i och utanför systemet och risker för att sårbarheter blir kända utanför kretsen av personer som ska vara betrodda med informationen. Det har varit svårt att under utredningsarbetet få närmare klarhet i hur stora och konkreta risker för informationssäkerheten som verkligen föreligger i olika sammanhang, i synnerhet när det gäller risker hänförliga till teknik som används. Klart är under alla förhållanden att en stark informationssäkerhet är ett så viktigt samhällsintresse att det inte utan vidare kan accepteras att nya åtgärder för att tillgodose brotts- bekämpningsintresset får leda till risker för informationssäkerheten för andra än den vars uppgifter ska läsas av eller tas upp.46 Sådana risker skulle ju för övrigt dessutom kunna verka kontraproduktivt, om de brottsbekämpande myndigheternas verksamhet leder till öppningar för ökad kriminalitet. Det behövs därför, vilket vi också framhållit i föregående kapitel, regler som klargör att risker för infor- mationssäkerheten inte får öka på grund av hemlig dataavläsning. 44SOU 2015:23 s. 42 f. 45Se t.ex. rapporten for Hacking by : Identification, Evaluation and Comparision of Practices, tillgänglig via . Se också Bellovin m.fl., Lawful Hacking: Using Existing Vulnerabilities for Wiretapping on the Internet, tillgänglig via =njtip 46I antogs t.ex. en Nationell strategi för samhällets informations- och cybersäkerhet 2016/17:213). Dess syfte är bl.a. att skapa långsiktiga förutsättningar för samhällets aktörer att arbeta effektivt med, höja medvetenheten och kunskapen om samt stödja de insatser och det engagemang som redan finns i samhället för att stärka informations- och cybersäkerheten. Se också redan nämnda SOU 2015:23 och SOU 2016:41, särskilt kapitel 22. Hemlig dataavläsning – en ny lag Något om hur informationssäkerhetsfrågan hanterats i andra länders lagstiftning på området Frågan om informationssäkerhet har om den alls hanterats i andra länders lagstiftning reglerats olika. I krävs enligt den norska straffeprosessloven kap. 16 d. § 216 p andra stycket att dataavläs- ningen utförs så att det inte onödigtvis skapas fara för driftsstörning eller skada på utrustning eller data. Polisen ska enligt samma bestäm- melse så vitt möjligt avvärja fara för att någon, som en följd av åtgärden, kan skaffa sig obehörig åtkomst till datasystemet eller skyddad information. Enligt kompletterande föreskrifter47 ska det i samband med verkställighet av dataavlesing föras protokoll i vilket det antecknas bl.a. följande. –Om polisen har brutit eller kringgått skydd i datasystemet. –Vilka risker datasystemet varit utsatt för vid avläsningen. –Information om vilka åtgärder som vidtagits för att avvärja fara för driftsstörning eller skada på utrustning eller data. –Information om risk för att någon, som ett resultat av genom- förandet, kan få obehörig åtkomst till datasystemet eller skyddade uppgifter. –Eventuellt kända skador som dataavläsningen inneburit. –Vilken personal som utfört dataavläsningen. Även i andra länders lagstiftning (och förslag till lagstiftning) på området synes vissa regler beträffande informationssäkerhet finnas. Enligt ett italienskt lagförslag som behandlas ska exempelvis krävas att dataavläsningen genomförs av brottsbekämpande myndigheter och inte av privat kontrakterade företag.