sou · H5B375 · 2017-10-11 00:00:00 — får bara göras om åtgärden är proportionell Enligt artikel 52.1 i rättighetsstadgan ska varje begränsning i utö- vandet av de rättigheter och friheter som erkänns i stadgan vara före- skriven i lag och vara förenlig med rättigheternas och friheternas väsentliga innehåll. Begränsningar får, med beaktande av proportio- nalitetsprincipen, endast göras om de är nödvändiga och faktiskt svarar mot mål av allmänt intresse som erkänns av unionen eller mot andra dom – Tele2-domen behovet av skydd för andra människors rättigheter och friheter (p. 94 i domen). Artikel 15.1 i direktivet föreskriver att medlemsstaterna får vidta en åtgärd som avviker från principen om konfidentialitet vid kom- munikation och därmed förbundna trafikuppgifter om åtgärden ”i ett demokratiskt samhälle är nödvändig, lämplig och proportionell” för de syften som anges i den bestämmelsen. Skäl 11 i direktivet precise- rar att en åtgärd av sådant slag måste stå i strikt proportion till det av- sedda ändamålet. Vad särskilt gäller lagring av uppgifter kräver artikel 15.1 andra meningen i direktivet att uppgifter endast bevaras och att lagringen motiveras av de skäl som fastställs i artikel 15.1 första meningen i direktivet. 95 i domen) Att proportionalitetsprincipen ska iakttas framgår även av dom- stolens fasta praxis, enligt vilken skyddet av den grundläggande rätten till respekt för privatlivet på unionsnivå kräver att undantag från och begränsningar av skyddet för personuppgifter ska inskränkas till vad som är strängt nödvändigt (p. 96 i domen). 9.5De svenska reglerna utgör inskränkningar i artikel 7, 8 och 11 i rättighetsstadgan När det gäller frågan om den svenska lagstiftningen uppfyller kraven på proportionalitet, påpekar domstolen att den svenska lagstift- ningen föreskriver en generell och odifferentierad lagring av samtliga trafikuppgifter och lokaliseringsuppgifter för samtliga abonnenter och registrerade användare avseende samtliga elektroniska kom- munikationsmedel och ålägger leverantörer av elektroniska kom- munikationstjänster att systematiskt och kontinuerligt lagra dessa uppgifter utan undantag (p. 97 i domen). De uppgifter som leverantörer av elektroniska kommunikations- tjänster således är skyldiga att lagra är sådana som gör det möjligt att spåra och identifiera en kommunikationskälla, identifiera slutmålet för en kommunikation, identifiera en kommunikations datum, tid- punkt, varaktighet och typ, identifiera användarnas kommunikations- utrustning och identifiera lokaliseringen av mobil kommunikations- utrustning. Bland dessa uppgifter ingår abonnentens eller den regi- strerade användarens namn och adress, det uppringande telefon- numret, det uppringda numret och ip-adressen för internettjänster. andra dom – Tele2-domen Dessa uppgifter gör det möjligt att få kännedom om med vilken person en abonnent eller registrerad användare har kommunicerat och på vilket sätt, hur länge kommunikationen varat och från vilken plats kommunikationen skett. Uppgifterna gör det dessutom möjligt att få kännedom om hur ofta abonnenten eller den registrerade användaren kommunicerat med vissa personer under en viss tids- period. 98 i domen) Dessa uppgifter kan enligt sammantagna göra det möjligt att dra mycket precisa slutsatser om privatlivet för de perso- ner vilkas uppgifter har lagrats, såsom deras vanor i vardagslivet, deras stadigvarande och tillfälliga uppehållsorter, deras dagliga förflytt- ningar och förflyttningar i övrigt, de aktiviteter de utövar, deras sociala relationer och de umgängeskretsar de rör sig i. Dessa uppgifter gör det enligt domstolen möjligt att kartlägga de berörda personerna på ett sätt som är lika känsligt ur integritetssynpunkt som själva innehållet i kommunikationerna. 99 i domen) Det ingrepp som en sådan lagstiftning utgör i de grundläggande rättigheter som är stadfästa i artiklarna 7 och 8 i stadgan är enligt långtgående och måste betraktas som synnerligen allvarligt. Den omständigheten att lagringen av uppgifterna och den senare användningen av dem sker utan att abonnenten eller den registrerade användaren är underrättad om detta kan enligt dom- stolen ge de berörda personerna en känsla av att deras privatliv står under ständig övervakning. 100 i domen) Även om en sådan lagstiftning inte medger lagring av innehållet i en kommunikation, och därför inte kan kränka det väsentliga inne- hållet i dessa grundläggande rättigheter, skulle lagringen av trafik- uppgifter och lokaliseringsuppgifter emellertid kunna inverka på användningen av de elektroniska kommunikationsmedlen och följ- aktligen på användarnas utövande av sin i artikel 11 i stadgan garan- terade yttrandefrihet (p. 101 i domen). 9.6Inskränkningarna som de svenska reglerna medför är inte proportionella konstaterar att den svenska lagstiftningen omfattar samtliga abonnenter och avser samtliga elektroniska kommunikations- medel och samtliga trafikuppgifter, och att det inte görs några åt- andra dom – Tele2-domen skillnader, begränsningar eller undantag utifrån det eftersträvade syftet. Domstolen konstaterar vidare att den på ett allomfattande sätt berör samtliga personer som använder elektroniska kommunika- tionstjänster, utan att dessa personer ens indirekt befinner sig i en situation som kan föranleda lagföring. Den är således även tillämplig på personer beträffande vilka det inte föreligger något indicium som ger anledning att tro att deras beteende ens kan ha ett indirekt eller avlägset samband med grov brottslighet. Den föreskriver inte heller några undantag, vilket innebär att den även är tillämplig på personer vilkas kommunikationer enligt nationell rätt omfattas av tystnads- plikt (p. 105 i domen). konstaterar vidare att en sådan lagstiftning inte kräver något samband mellan de uppgifter som ska lagras och ett hot mot den allmänna säkerheten. Den är inte begränsad till lagring av uppgifter avseende eller ett visst geografiskt område eller en viss krets av personer som på något sätt kan vara in- blandade i ett allvarligt brott eller till personer beträffande vilka lagringen av uppgifter av andra skäl skulle kunna bidra till bekämp- ningen av brott (p. 106 i domen). konkluderar att den svenska lagstiftningen över- skrider gränserna för vad som är strängt nödvändigt och att den inte kan anses motiverad i ett demokratiskt samhälle, såsom krävs enligt artikel 15.1 i direktiv /58 jämförd med artiklarna 7, 8, 11 och 52.1 i stadgan (p. 107 i domen). 9.7.1Generell och odifferentierad lagring är inte motiverad ens för att bekämpa grov brottslighet menar att – med hänsyn till det allvarliga ingrepp i de berörda grundläggande rättigheterna som en nationell lagstiftning som i brottsbekämpande syfte föreskriver lagring av trafikuppgifter och lokaliseringsuppgifter utgör – endast bekämpning av grov brotts- lighet kan motivera en sådan åtgärd (p. 102 i domen). bejakar i och för sig att en effektiv bekämpning av grov brottslighet, särskilt organiserad brottslighet och terrorism, i stor utsträckning kan vara beroende av användningen av moderna utredningstekniker. Fastän det syftet är av allmänt samhällsintresse andra dom – Tele2-domen kan det enligt domstolen inte i sig ensamt motivera en nationell lag- stiftning som föreskriver en generell och odifferentierad lagring av samtliga trafikuppgifter och lokaliseringsuppgifter (p. 103 i domen). Domstolen menar att inget hindrar att en medlemsstat antar lag- stiftning som i förebyggande syfte tillåter en riktad lagring av trafik- uppgifter och lokaliseringsuppgifter, i syfte att bekämpa grov brotts- lighet, förutsatt att lagringen av uppgifterna, vad gäller vilka slags uppgifter som ska lagras, vilka kommunikationsmedel som avses, vilka personer som berörs och hur länge lagringen ska ske, begränsas till vad som är strängt nödvändigt (p. 108 i domen). För att en riktad lagring ska vara förenlig med måste den nationella lagstiftningen enligt föreskriva tydliga och precisa bestämmelser som reglerar omfattningen och tillämplig- heten av en sådan lagringsåtgärd och som slår fast minimikrav, så att de personer vars uppgifter har lagrats har tillräckliga garantier som möjliggör ett effektivt skydd av deras personuppgifter mot riskerna för missbruk. Den måste särskilt precisera under vilka omständig- heter och villkor en sådan lagringsåtgärd får vidtas i förebyggande syfte, vilket säkerställer att lagringen begränsas till vad som är strängt nödvändigt (p. 109 i domen). Vad för det andra gäller de villkor som en nationell lagstiftning måste uppfylla för att säkerställa att den är begränsad till vad som är strängt nödvändigt, påpekar domstolen att även om villkoren kan variera utifrån vilka åtgärder som vidtas för att förebygga, undersöka, avslöja och väcka åtal för grov brottslighet, måste lagringen av upp- gifterna alltid uppfylla objektiva kriterier, som fastställer ett sam- band mellan de uppgifter som ska lagras och det eftersträvade syftet. I synnerhet måste villkoren vara sådana att de klart avgränsar om- fattning och följaktligen den berörda personkretsen (p. 110 i domen). Vad gäller avgränsningen av den personkrets och de situationer som kan komma att beröras av riktad lagring gör följande bedömning. Den nationella lagstiftningen ska grunda sig på objektiva omständigheter som gör det möjligt att ta sikte på en personkrets vars uppgifter kan avslöja en, åtminstone indirekt, kopp- ling till grov brottslighet och på ett eller annat sätt kan bidra till att andra dom – Tele2-domen bekämpa grov brottslighet eller förhindra en allvarlig risk för den allmänna säkerheten. En sådan avgränsning kan säkerställas genom ett geografiskt kriterium genom en bedömning att det i ett eller flera geografiska områden finns en förhöjd risk för förberedelse eller genomförande av sådana handlingar (p. 111 i domen). 9.8.1Endast för att bekämpa grov brottslighet När det gäller de syften som kan motivera en nationell lagstiftning som avviker från principen om konfidentialitet vid elektronisk kom- munikation anför följande. Tillgång till lagrade upp- gifter måste vara faktiskt och strikt begränsad till de fall då tillgången krävs för något av de syften som anges i artikel 15.1 i direk- tiv 2002/58. Då syftet med lagstiftningen måste stå i proportion till hur allvarligt ingrepp i de grundläggande rättigheterna det innebär att ge tillgång till de lagrade uppgifterna är det vid förebyggande, under- sökning, avslöjande av och åtal för brott endast bekämpning av grov brottslighet som kan motivera en sådan tillgång. 115 i domen) Vad gäller proportionalitetsprincipen fastslår att en nationell lagstiftning måste garantera att tillgång inte ges utöver vad som är strängt nödvändigt (p. 116 i domen). 9.8.2Precisa krav måste föreskrivas Eftersom de lagstiftningsåtgärder som avses i artikel 15.1 i direktiv /58 enligt skäl 11 i direktivet ska ”omfattas av lämpliga skydds- mekanismer”, måste en sådan åtgärd, enligt , dess- utom föreskriva klara och precisa bestämmelser som anger under vilka omständigheter och på vilka villkor leverantörer av elektroniska kommunikationstjänster måste ge behöriga nationella myndigheter tillgång till uppgifterna (p. 117 i domen). För att säkerställa att behöriga nationella myndigheters tillgång till lagrade uppgifter begränsas till vad som är strängt nödvändigt, ankommer det förvisso på nationell rätt att fastställa på vilka villkor leverantörer av elektroniska kommunikationstjänster ska ge sådan tillgång. Det räcker dock enligt inte att den berörda andra dom – Tele2-domen nationella lagstiftningen stadgar att tillgång enbart ska medges för något av de syften som avses i artikel 15.1 i direktiv /58, även om det gäller bekämpning av grov brottslighet. Den måste även ange de materiella och formella villkoren för de behöriga nationella myndig- heternas tillgång till de lagrade uppgifterna (p. 118 i domen). 9.8.3Tillgång bara till uppgifter om personer som är inblandade i ett allvarligt brott Eftersom en allmän tillgång till samtliga lagrade uppgifter, oberoende av om det finns någon koppling, ens indirekt, till det eftersträvade syftet, inte enligt kan anses vara begränsad till vad som är strängt nödvändigt, måste den berörda nationella lagstift- ningen vara grundad på objektiva kriterier som avgör under vilka omständigheter och på vilka villkor behöriga nationella myndigheter ska ges tillgång till uppgifter om abonnenter eller registrerade använ- dare. Tillgång kan enligt domstolen i princip bara beviljas, i samband med bekämpning av brott, till uppgifter om personer som misstänks planera, begå eller ha begått ett allvarligt brott eller på något sätt vara inblandade i ett sådant brott. I särskilda fall, som när vitala intressen för nationell säkerhet, försvar eller allmän säkerhet hotas av terro- rism, skulle dock enligt domstolen tillgång kunna ges även till upp- gifter om andra personer när det finns objektiva omständigheter som ger skäl att anta att de uppgifterna i ett konkret fall effektivt skulle kunna bidra till att bekämpa terrorism. 119 i domen) 9.8.4Förhandskontroll av domstol eller oberoende myndighet För att säkerställa att de ovan nämnda preciserade villkoren uppfylls fullt ut, är det enligt väsentligt att tillgången till de lagrade uppgifterna i princip, utom i motiverade brådskande fall, är underkastad förhandskontroll av en domstol eller en oberoende myndighet och att domstolen meddelar sitt avgörande eller myndig- heten fattar sitt beslut efter det att de behöriga nationella myndig- heterna framställt en motiverad ansökan (p. 120 i domen). andra dom – Tele2-domen 9.8.5Information till de berörda Enligt krävs att de myndigheter som har beviljats tillgång till lagrade uppgifter informerar de berörda personerna om detta enligt tillämpliga nationella förfaranden så snart en sådan upp- lysning inte längre riskerar att skada myndigheternas utredningar. Den informationen är enligt nödvändig bl.a. för att dessa personer ska kunna utöva sin rätt till rättslig prövning vid kränkning av deras rättigheter, såsom uttryckligen stadgas i artikel 15.2 i direk- tiv 2002/58, jämförd med artikel 22 i direktiv /46. 121 i domen) 9.9Skydds- och säkerhetsnivåer, lagring inom EU och utplåning Vad gäller bestämmelserna om skydd av och säkerhet för de upp- gifter som lagras av leverantörer av elektroniska kommunikations- tjänster, konstaterar att artikel 15.1 i direktiv /58 inte medger att medlemsstaterna avviker från artikel 4.1 eller 4.1a i direktivet. De sistnämnda bestämmelserna kräver att leverantörerna vidtar lämpliga tekniska och organisatoriska åtgärder för att säkerställa ett effektivt skydd av de lagrade uppgifterna mot riskerna för missbruk och otillåten tillgång till uppgifterna. Med hänsyn till att det är fråga om en stor mängd uppgifter och att dessa är av känslig natur samt att det finns en risk för otillåten tillgång till uppgifterna måste leverantörerna av elektroniska kommunikations- tjänster enligt garantera en särskilt hög skydds- och säkerhetsnivå genom lämpliga tekniska och organisatoriska åtgärder. Den nationella lagstiftningen måste i synnerhet föreskriva att lagringen sker inom unionen och att uppgifterna oåterkalleligen för- störs när deras lagringstid gått ut. 122 i domen) Medlemsstaterna måste enligt garantera att en oberoende myndighet kontrollerar att den skyddsnivå som säker- ställs i unionsrätten iakttas vad gäller skyddet för fysiska personer vid behandlingen av personuppgifter. En sådan kontroll krävs ut- tryckligen enligt artikel 8.3 i stadgan och utgör enligt domstolens andra dom – Tele2-domen fasta praxis en grundläggande beståndsdel i skyddet för enskilda i samband med behandlingen av personuppgifter. Annars skulle enligt domstolen de personer vars personuppgifter har lagrats berövas sin rätt enligt artikel 8.1 och 8.3 i stadgan att vända sig till de nationella tillsynsmyndigheterna med begäran om skydd för sina personuppgif- ter. 123 i domen) kom till följande två slutsatser. utgör ett hinder för en nationell lagstiftning som i brottsbekämpande syfte föreskriver en generell och odifferentierad lagring av samtliga trafikuppgifter och lokaliseringsuppgifter av- seende samtliga abonnenter och registrerade användare och samtliga elektroniska kommunikationsmedel. utgör hinder för en nationell lagstiftning som inte begränsar tillgången till trafik- och lokaliseringsuppgifter till enbart åtgärder som syftar till att bekämpa grov brottslighet, inte före- skriver att tillgången ska vara underkastad förhandskontroll av en domstol eller en oberoende förvaltningsmyndighet och inte kräver att uppgifterna ska lagras inom unionen. Den andra frågan i det engelska målet tog inte upp till prövning, eftersom ett besvarande av den frågan enligt dom- stolen inte skulle bidra till tolkningen av unionsrätten på ett sätt som är nödvändigt för att i unionsrättsligt avseende avgöra tvisten i det nationella målet (p. 132 i domen). Kommissionen har uttalat att den avser att komma med någon sorts vägledning eller kommentar med anledning av Tele2-domen. 10Målet i Kammarrätten i Kort efter Digital Rights-domen meddelade Tele2 PTS att bolaget skulle upphöra att lagra uppgifter om elektronisk kommunikation och även radera de uppgifter som tidigare lagrats i enlighet med 6 kap. PTS beslutade att förelägga Tele2 enligt 7 kap. 5 § LEK att lagra uppgifter i enlighet med 6 kap. 16 a § LEK jämte 37–43 §§ FEK. Tele2 överklagade föreläggandet till Förvaltnings- rätten i (mål nr 14891-14). Tele2 yrkade att förvaltningsrätten skulle upphäva föreläggandet. Till stöd för sin talan anförde bolaget i huvudsak följande. De svenska datalagringsbestämmelserna i 6 kap. LEK står i strid med Europa- konventionen och därmed också svensk grundlag. De svenska bestämmelserna lever inte upp till de krav på grundläggande fri- och rättigheter som angett följer av . De svenska datalagringskraven är så omfattande och långtgående att de rimligen inte kan vägas upp av regler som begränsar tillgången till de lagrade uppgifterna. PTS motsatte sig överklagandet och anförde i huvudsak följande. Digital Rights-domen innebär inte per automatik att den svenska lagstiftningen blir ogiltig. har inte funnit att data- lagring i syfte att ge nationella myndigheter tillgång till uppgifterna i sig är otillåten. I likhet med de slutsatser som redovisats i Ds 2014:23 Målet i Kammarrätten i har PTS funnit att det saknas skäl att underlåta att tillämpa de svenska reglerna om lagring. Förvaltningsrätten avslog överklagandet . I sina skäl fastslog domstolen inledningsvis att EU:s rättighetsstadga är tillämplig, att de svenska reglerna innebär ett intrång i rättig- heterna enligt stadgan och att inskränkningarna i rättigheterna som följer av den svenska lagstiftningen är betydande. Förvaltningsrätten konstaterade att de svenska reglerna tillkommit i syfte att bekämpa brott och skydda enskildas integritet, vilket är godtagbara ändamål enligt RF, , rättighetsstadgan och direk- tiv 2002/58. Enligt domstolen var den svenska datalagringsskyldig- heten mycket omfattande men mot bakgrund av att man inte på förväg kan veta vilka personer som kommer att bli inblandade i all- varliga brott eller på vilka platser brotten kommer att begås, skulle en begränsning av omfattningen äventyra syftet med lagringen. Detsam- ma gäller vid en eventuell begränsning till vissa kommunikationsslag, enligt domstolen. Följaktligen konstaterade förvaltningsrätten att bestämmelserna om lagring i sig inte kunde anses gå utöver vad som var nödvändigt för att uppnå det eftersträvade syftet. Förvaltnings- rätten gjorde därefter en proportionalitetsprövning av tillgångs- bestämmelserna, lagringstiden och bestämmelserna om säkerhet för de lagrade uppgifterna. En av de slutsatser som förvaltningsrätten kom fram till var att delar av den kritik som riktat mot direktiv /24 i Digital Rights-domen även kan riktas mot svensk lagstiftning, i synnerhet vad gäller omfattningen av lagrings- skyldigheten. Vidare fanns det, enligt domstolen, en del svagheter i de svenska bestämmelserna om tillgång till uppgifterna och säker- hetsåtgärder. Domstolen påpekade bl.a. att det inte fanns någon begränsning till allvarliga brott vid inhämtning av abonnemangs- uppgifter, att flera myndigheter själva kunde inhämta uppgifter, utan förhandsprövning av domstol, och att det saknades reglering om i vilket land uppgifterna får lagras. Vid en sammantagen bedömning ansåg förvaltningsrätten emellertid att svagheterna i regleringen vägdes upp av andra faktorer och att det totala intrånget i de grund- läggande rättigheterna därför kunde anses godtagbart. Förvaltnings- rätten ansåg sammanfattningsvis de berörda svenska bestämmelserna vara förenliga med grundlag, EU-rätt och . Målet i Kammarrätten i 10.3.1Den inledande delen av rättegången Tele2 överklagade förvaltningsrättens dom till Kammarrätten i (mål nr 7380-14) och vidhöll sitt yrkande om att före- läggandet skulle upphävas. PTS bestred yrkandet. Parterna anförde i huvudsak detsamma som vid förvaltningsrätten. Kammarrätten beslutade att inhämta ett för- handsavgörande från i enlighet med artikel 267 i funktionsfördraget. Förhandsavgörandet begärdes eftersom kam- marrätten ansåg att svensk lagstiftning i första hand måste prövas mot artikel 15.1 i direktiv /58 och att det inte entydigt framgår av Digital Rights-domen om proportionaliteten av lagringsskyldig- hetens omfattning ska bedömas för sig eller om det ska göras en sammanvägd bedömning med beaktande av bestämmelserna om till- gång till de lagrade uppgifterna, lagringstiden och säkerheten för de lagrade uppgifterna. besvarade kammarrättens frågor i Tele2-domen, som meddelades . De frågor som kammarrätten ställde och innehållet i dom framgår av avsnitt 9 ovan. Dagen efter dom beslutade kammarrätten, efter begäran från Tele2, att PTS beslut om föreläggande tills vidare inte skulle gälla. Kammarrätten meddelade dom i målet . Genom domen biföll kammarrätten överklagandet och upphävde PTS beslut att förelägga Tele2. I avgörandet redogjorde kammarrätten särskilt för omfattningen av domstolens prövning och förtydligade att prövningen endast gällde frågan om huruvida bestämmelserna i och FEK om lagring av trafikuppgifter m.m. för brottsbekämpande ändamål strider mot unionsrätten och PTS beslut om föreläggande därmed skulle upphävas. Vidare förtydligade kammarrätten att prövningen inte omfattade frågan om huruvida reglerna avseende lagring för andra ändamål, exempelvis underlag för fakturering, tillgång till lag- Målet i Kammarrätten i rade uppgifter, lagringstid och säkerhet för de lagrade uppgifterna var förenliga med . Efter en redogörelse för tillämpliga lagregler och motivering, konstaterade kammarrätten att det, med hänsyn till EU- domstolens uttalanden, är klarlagt att de svenska bestämmelserna om lagring av trafikuppgifter m.m. för brottsbekämpande ändamål inte är förenliga med artikel 15.1 i direktiv /58 jämförd med artiklarna 7, 8, 11 och 52.1 i stadgan samt att de därför strider mot unionsrätten. Vidare fastslog kammarrätten att det får till följd att bestämmelserna inte kan tillämpas och att PTS därför inte haft rätt att förelägga Tele2 att lagra uppgifter i enlighet med 6 kap. 16 a § LEK och 37–43 §§ FEK. Nedan redovisas översiktligt huvuddragen i gällande rätt och på- gående arbete i , , , , och . Värt att notera är att dom fått till följd att många länder påbörjat en översyn av berörda lagstiftningar. Dessa översyner har dock ännu inte lett till lagstiftning i något land, varför den nedanstående redogörelsen inte beskriver lagstiftning som har anpassats efter uttalandena i Tele2-domen. Leverantörernas skyldighet att lagra uppgifter om elektronisk kom- munikation finns i 2 kap. logningsbekendtgørelsen (988/2006). Bestämmelser om tillgång till de lagrade uppgifterna finns i 71 kap. retsplejeloven (1267/2016). Enligt dansk lagstiftning måste alla leverantörer av elektroniska kommunikationstjänster till slutkund lagra uppgifter om telefon- samtal från fasta och mobila nätet och om sms-, ems och mms- kommunikation.