sou · H5B375 · 2017-10-11 00:00:00 — I direktiven uppmärksammar regeringen vidare att i Tele2-domen uttalat sig om skyddet och säkerheten för de lagrade uppgifterna, däribland att leverantörerna av elektroniska tjänster måste garantera en särskilt hög skydds- och säkerhetsnivå, att den nationella lagstiftningen måste föreskriva att lagringen sker inom unionen, att uppgifterna oåterkalleligen förstörs när lagringstiden gått ut samt att det utförs kontroll av en oberoende myndighet. Mot denna bakgrund ska utredningen enligt direktiven analysera hur reglerna om lagring av uppgifter enligt 6 kap. 16 a § LEK och 39– 43 §§ FEK, reglerna om tillgång till de lagrade uppgifterna samt reglerna om skydd av och säkerhet för dessa uppgifter förhåller sig till dom. Därutöver ska utredningen överväga olika alternativ till förändringar i de delar reglerna inte är förenliga med domen, belysa fördelar och nackdelar med alternativen samt föreslå författningsändringar och andra åtgärder som behövs. I uppdraget ingår även en internationell utblick. Utredaren ska redovisa gällande rätt och pågående arbete i och och de övriga länder som bedöms vara relevanta. Vidare ska utredaren följa arbetet på EU-nivå. Utredaren får enligt direktiven ta upp sådana närliggande frågor som har samband med de frågeställningar som ska utredas. Exempel på en sådan fråga är vilken efterhandskontroll som bör finnas samt om någon myndighet bör ha tillsyn över att uppgifter om elek- tronisk kommunikation lämnas ut på ett korrekt sätt. Uppdraget har inrymt överväganden inom ett mycket komplext område, både juridiskt och tekniskt. Det har dessutom utförts under stor skyndsamhet eftersom det har varit angeläget att snabbt få en reglering på plats som är förenlig med de uttalanden som EU-dom- stolen gjort i Tele2-domen. Utredningen har haft flera samman- träden med de förordnade experterna. Därutöver har utredningen haft ett separat möte med experter från , Säker- hetspolisen och , för att närmre utreda myndigheternas behov av lagrade uppgifter om elektronisk kommunikation. Utredningens uppdrag och arbete syfte har studiebesök genomförts hos , Polis- myndigheten och Säkerhetspolisen. Utredningen har även haft sammanträden med en grupp företrädare från it- och telekomföre- tagen. Gruppen har utformats av branchorganisationen IT&Telekom- företagen och bestått av företrädare från branchorganisationen samt från Bahnhof, Comhem, Hi3G, Tele2, och . Utred- ningen har även haft kontakt med personer som arbetar med mot- svarande frågor i andra unionsländer och på EU-nivå. Därtill har utredningen samrått med bl.a. (Ju 2016:08), Utredningen om hemlig dataavläsning (Ju 2016:12) och Utredningen om självkörande fordon (N 2015:07). Slutligen har utredningen tagit del av synpunkter från enskilda personer och organisationer. Den näraliggande fråga om efterhandskontroll som nämns i direktiven har inte varit möjliga att behandla. Den efterföljande delen av betänkandet inleds med avsnitt 3, om enskildas grundläggande rättigheter, i synnerhet avseende personlig integritet, skyddet för personuppgifter och yttrandefrihet. Därefter beskrivs i avsnitt 4 relevant gällande rätt kring elektronisk kommu- nikation. Avsnitt 5 utgör en översiktlig beskrivning av de brotts- bekämpande myndigheternas utredande verksamhet och under- rättelseverksamhet. Regleringen kring datalagring i brottsbekäm- pande syfte redogörs för i avsnitt 6. Därefter, i avsnitt 7, beskrivs nyttan och behovet av uppgifter om elektronisk kommunikation. Avsnitt 8–10 handlar om påverkan på utformingen och tillämpningen av reglerna om datalagring. En internationell utblick finns i avsnitt 11. Utredningens överväganden och förslag finns mot slutet av betänkandet, i avsnitt 12, medan författningsförslagen finns i avsnitt 1. Den sista delen av betänkandet utgörs av en konsekvens- analys, avsnitt 13, och en författningskommentar, avsnitt 14. 3.1Rätten till personlig integritet Som anförs i betänkande finns det i svensk rätt inte någon allmängiltig definition av begreppet personlig integri- tet, SOU 2015:31 s. 51. Någon definition finns inte heller i inter- nationell rätt, SOU 2016:65 s. 34. Olika utredningar har med ut- gångspunkt i bl.a. de grundläggande fri- och rättigheterna i RF:s andra kapitel försökt klargöra begreppet genom att skilja mellan den rumsliga integriteten (hemfriden), den materiella integriteten (egen- domsskyddet), den kroppsliga integriteten (skydd för liv och hälsa samt mot ingrepp i eller mot kroppen), den personliga integriteten i fysisk mening (skyddet för den personliga friheten och rörelse- friheten) och den personliga integriteten i ideell mening (skyddet för privatlivet och för personligheten inklusive den privata ekonomin), se t.ex. betänkande Tvångsmedel – Anony- mitet – Integritet, SOU 1984:54 s. 42. Ett annat sätt att bestämma begreppet personlig integritet är att ange vilka handlingar som utgör kränkningar av densamma. Enligt denna modell kan kränkningarna delas in i tre huvudgrupper: 1) intrång i en persons privata sfär i fysisk eller annan mening, 2) insamlande av uppgifter om en persons privata förhållanden och 3) offentliggörande eller annan användning (t.ex. som bevisning i rättegång) av uppgifter om en persons privata förhållanden, se prop. 2006/07:63 s. 61. Utformningen av integritetsskyddet i svensk rätt synes inte i praktiken ha tagit sin utgångspunkt i en viss definition av begreppet, utan skyddet har i stället kommit att bestämmas av summan av ett stort antal skyddsregler av varierande slag, SOU 2015:31 s. 51. I för- arbetena till RF och personuppgiftslagen (1998:204) har lagstiftaren dock försökt att beskriva kärnan i vad som avses skyddas av lag- stiftningen genom att slå fast att kränkningar av den personliga integriteten utgör intrång i den fredade sfär som den enskilde bör vara tillförsäkrad och där ett oönskat ingrepp bör kunna avvisas (prop. 2005/06:173 s. 15 och prop. 2009/10:80 s. 175). Det är viktigt i en rättsstat att den offentliga maktutövningen är bunden av förutsebara normer och underkastad vissa begränsningar. Detta gäller inte minst de metoder som används i statens brotts- bekämpande verksamhet. Den som t.ex. är misstänkt för ett brott har rätt att ställa krav på att staten respekterar hans eller hennes berättigade krav på respekt för de grundläggande fri- och rättig- heterna samt skydd mot godtycke. har var och en som vistas i rätt att göra anspråk på att staten vidtar effektiva åtgärder för att skydda hans eller hennes säkerhet. I detta ligger bl.a. att staten måste anstränga sig för att se till att brott förebyggs och utreds samt att gärningsmän ställs till svars för sina brottsliga handlingar. Staten har alltså ett ansvar för att skydda enskildas privatliv och personliga integritet mot intrång som begås av andra enskilda. Detta följer bl.a. av artikel 8 i Europakon- ventionen (se t.ex. mål mot , , § 78 och mot , , § 57). Motsvarande skydd följer av rättighetsstadgan. Även utan att det har förekommit något ingripande från en myndighet eller en offentlig tjänsteman kan staten således bryta mot artikel 8 genom att tolerera en existerande situation eller genom att inte skapa till- räckligt rättsligt skydd. Staten kan då bli ansvarig för sin underlåten- het trots att det specifika övergreppet har utförts av en enskild person, för vars handlande staten inte i och för sig är ansvarig. Vad som i huvudsak kan förväntas är att staten utfärdar lagar som ger ett till- fredsställande skydd åt privatliv, familjeliv, hem och korrespondens och att de rättsvårdande myndigheterna håller kontroll över att dessa lagar respekteras. En förutsättning för att staten ska kunna leva upp till kraven på att upprätthålla rättstryggheten för enskilda är att staten har en välfungerande och effektiv brottsbekämpning (SOU 2015:31 s. 51–52 jfr även p. 149 i yttrande 1/15 ). Att ha en välfungerande brottsbekämpning innebär t.ex. att myndigheterna ska ha tillgång till effektiva utredningsverktyg – även i den elektroniska miljön. När så inte har varit fallet har staten ansetts kränka de rättigheter som följer av . Ett exempel på detta var när en person som gjort sig skyldig till förtal eller möjligen sexuellt ofredande av ett 12-årigt barn i inte kunde identifieras på grund av att den nationella lagstiftningen inte möjliggjorde att uppgift om vem som använt en ip-adress inte kunde inhämtas från operatören. I det aktuella fallet uttalade domstolen särskilt att konfidentialitet för kommunikation och yttrandefrihet ibland måste få vika för brottsbekämpande ändamål. (Europadom- stolens dom , K.U. mot , särskilt § 49). Statens skyldighet att upprätthålla ett straffrättsligt skydd och göra skyndsamma ingripanden mot allvarliga brott följer även av andra artiklar i och rättighetsstadgan, exem- pelvis avseende frihetsberövanden, artikel 5 i samt artiklarna 6 och 52.3 i rättighetsstadgan, se även , Mänskliga rättigheter i Europeisk praxis, 5:e uppl., s. 112 och p. 42 i Digital Rights-domen. 3.1.3Regleringen av skyddet för privatlivet Grundläggande bestämmelser som har betydelse för det allmännas ansvar att skydda enskildas privatliv och integritet finns i bl.a. RF. Av målsättningsstadgandet i 1 kap. 2 § framgår att den offentliga makten ska utövas med respekt för den enskilda människans frihet och värdighet samt att det allmänna ska värna den enskildes privatliv och familjeliv. Enligt 2 kap. 6 § första stycket RF gäller vidare att var och en gentemot det allmänna är skyddad mot undersökning av förtroliga brev och andra förtroliga försändelser samt mot hemlig avlyssning eller upptagning av telefonsamtal eller andra förtroliga meddelanden. Därtill gäller enligt paragrafens andra stycke ett skydd mot betydande intrång i den personliga integriteten, om det sker utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhållanden. Av artikel 8 i följer att var och en har rätt till skydd för sitt privat- och familjeliv, sitt hem och sin korrespon- dens. Begreppet privatliv tolkas i praxis vitt. Grundläggande rättigheter SOU 2017:75 Domstolen har framhållit att det inte är möjligt att definiera begreppet genom en uttömmande beskrivning av olika aspekter som rör den enskildes privata förhållanden (se t.ex. S. och Marper mot , , § 66 och mot , , § 66). Begreppet täcker olika aspekter av en enskild individs såväl fysiska som psykiska integritet. Det omfattar bl.a. uppgifter om den enskildes identitet, inklusive namn och kön, uppgifter om hälsa och sexuell läggning och infor- mation som rör den personliga utvecklingen och relationer till andra individer. Vidare omfattar skyddet enligt artikeln bl.a. kommuni- kation genom telefon och e-post (m.fl. mot , , § 56 och däri hänvisade rättsfall). Registre- ring av vilka telefonnummer en person ringer kan utgöra ett ingrepp i rätten till privatliv, beroende på i vilket syfte den görs (P.G. mot , , § 42). Europa- domstolen har emellertid påpekat att det är en väsentlig skillnad mellan det och att avlyssna vederbörandes kommunikation. Detsam- ma gäller exempelvis gps-positionering av en person, som bedömts som mindre allvarligt än t.ex. avlyssning (Uzun mot , , §§ 52 och 66). Till privatlivet hör vidare en rätt till skydd mot angrepp av den enskildes ära och ryktbarhet och mot spridning av information som rör privata förhållanden (t.ex. K.U. mot , , §§ 42 och 43, och mot , , § 50). Rätten till respekt för privatlivet innefattar även skyddet av person- uppgifter (, Mänskliga rättigheter i europeisk praxis, 5:e uppl., s. 386). Om staten exempelvis lagrar information hän- förligt till folks privatliv, kan både det och tillgången till infor- mationen utgöra ett intrång i rätten till privatliv (exempelvis mot , , § 48). Det gäller även om informationen består av enbart offentliga och okänsliga uppgifter samt sker utan hjälp av något hemligt tvångsmedel (m.fl. mot , , § 72; Uzun mot , , § 46, samt Amann mot , , §§ 65–67). Trots att inte uttryckligen reglerar skydd av person- uppgifter (jfr artikel 8 EU:s rättighetsstadga, se nedan avsnitt 3.2.1) så omfattar konventionen således ett sådant skydd. Respekten för privatlivet omfattar inte enbart skydd av rent privata relationer utan kan även omfatta relationer och aktiviteter som är relaterade till den enskildes yrkesliv (t.ex. Rotaru mot , , § 43). Som nämnts ovan, innebär rätten till privatliv inte bara ett skydd mot myndigheters ingrepp, utan även en skyldighet för stater att kriminalisera brott och tillämpa straffrättsliga bestämmelser genom effektiv utredning och lagföring. När brott har begåtts mot en persons fysiska eller psykiska hälsa krävs det att det, i rimlig mån, finns redskap som gör det möjligt att identifiera och lagföra föröva- ren. Det måste beaktas att redskapen används på ett sätt som är förenligt med de mänskliga rättigheterna i övrigt. Det är lagstiftarens skyldighet att upprätta ett ramverk som är förenligt med samtliga dessa konkurrerande principer. mot , , §§ 46–49 och p. 149 i yttrande 1/15 ) En bestämmelse om rätt till respekt för bl.a. privatlivet finns också i artikel 7 i rättighetsstadgan. Av samma artikel följer att var och en har rätt till respekt för sina kommunikationer. Av artikel 52.3 i stadgan följer att i den mån stadgan omfattar rättigheter som motsvarar sådana som garanteras av ska de ha samma innebörd och räckvidd som enligt konventionen eller ett mer långtgående skydd. Rättighetsstadgan riktar sig till medlemsstaterna endast när de tillämpar unionsrätten (artikel 51.1). Av EU-dom- stolens praxis framgår att detta innebär att rättigheterna i stadgan måste iakttas inte bara vid tillämpningen av nationell lagstiftning som genomför EU-rätt, utan så snart nationell lagstiftning omfattas av unionens tillämpningsområde (se t.ex. , mål C- 617/10, § 21). Av Tele2-domen följer att rättighetsstadgan är av vikt vid utformningen av bestämmelser om datalagring även för brotts- bekämpande ändamål. Frågor om skydd för privatlivet tilldrar sig stort intresse runt om i världen. Detta gäller inte minst i förhållande till frågor om över- vakning av elektronisk kommunikation. Exempelvis har ett stort antal organisationer som arbetar för integritetsfrågor tillsammans arbetat fram ett antal principer som stater uppmanas att följa vid sådan övervakning.1 Dessa principer innehåller bl.a. uppmaningar om att övervakningsåtgärder ska regleras i lag och endast vara tillåtna när det är nödvändigt, lämpligt och proportionerligt i förhållande till ett 1 Principerna finns att läsa på Vidare ska åtgärderna beslutas av en behörig rätts- lig myndighet. Den som utsätts för åtgärderna ska underrättas om dem. Staterna ska också inrätta kontrollmekanismer som ska säker- ställa transparens och ansvar för åtgärderna. Av intresse är även de principer som upprättats av Artikel 29- gruppen. Gruppen har bl.a. satt upp garantier som gruppen menar måste följas för att en inskränkning i skyddet för personuppgifter ska vara godtagbar.2 Ett skydd mot godtyckligt ingripande i fråga om privatliv, familj, hem eller korrespondens finns även i andra internationella instrument, se t.ex. artikel 12 i allmänna förklaring om de mänskliga rättigheterna och artikel 17 i inter- nationella konvention om medborgerliga och politiska rättigheter.3 Inskränkningar i skyddet får göras Rätten till skydd av privatlivet och den personliga integriteten är inte absolut. En individ som lever i ett samhälle och sålunda ingår i en gemenskap med andra människor kan inte göra gällande något absolut anspråk på att i alla situationer få leva i fred från andra indivi- der eller ostörd av samhällets organ. I syfte att tillförsäkra med- borgarna trygghet och säkerhet mot yttre och inre hot kan det ibland vara nödvändigt med vissa inskränkningar av integritets- skyddet. Som anges ovan har staten till och med en skyldighet att införa sådana regler (avsnitt 3.1.2–3.1.3). Det är en svår uppgift att avväga å ena sidan skyddet för enskilda mot ingrepp från staten mot å andra sidan statens plikt att skydda individen, dvs. att se till att myndigheterna har effektiva verktyg till sin hjälp för att bekämpa brott. En självklar utgångspunkt i sådana avvägningar är och rättighetsstadgan. En annan viktig utgångspunkt är att myndigheterna inte får ges sådana befogenheter att medborgarnas tilltro till dem påverkas negativt. Förtroendet kan skadas om medborgarna upplever att det finns risk 2Article 29 data protection working party, WP 237, . 3Om rätten till privatliv i den digitala eran, läs t.ex. Annual report of the United Nations High Commissioner for Human Rights and reports of the Office of the High Com- missioner and the Secretary-General, /HRC/27/37, samt resolution (2014) och rekommendationer 2033 (2014). för att myndigheterna utan deras vetskap samlar information om enskilda och deras privatliv utan att detta motiveras av tungt vägande allmänna intressen. Medborgarnas bild av det allmännas verksamhet påverkas dock också av i vilken utsträckning myndigheterna ges förutsättningar att använda effektiva arbetsmetoder. Myndigheterna är samhällsorgan som ytterst har till uppgift att värna om med- borgarna. Om medborgarna upplever att myndigheterna inte har för- måga eller tillräckliga medel för att hantera hot mot samhället och enskilda kan även detta leda till minskat förtroende. Enligt 2 kap. 20 § RF får det integritetsskydd som följer av RF endast begränsas genom lag. En begränsning får göras endast för att tillgodose ett ändamål som är godtagbart i ett demokratiskt samhälle. En begränsning får aldrig gå utöver vad som är nödvändigt med hänsyn till det ändamål som har föranlett den och får inte heller sträcka sig så långt att den utgör ett hot mot den fria åsiktsbild- ningen såsom en av folkstyrelsens grundvalar (2 kap. 21 § RF). En begränsning måste alltså vara proportionerlig. Vad avser lagrings- skyldighet för elektroniska kommunikationsuppgifter, som medför en inskränkning i integritetsskyddet, uttalade regeringen, i samband med att bestämmelserna om lagring av trafikuppgifter för brotts- bekämpande ändamål infördes, att principerna kring lagringsskyldig- heten och begränsningar till teknikområden borde vara reglerade i lag medan den mer tekniska specifikationen av lagringskravet kunde regleras i förordning (prop. 2010/11:46 s. 28). På liknande sätt får rättigheter enligt artikel 8 Europakonven- tionen inskränkas endast genom lag. Kravet på lagstöd är inte endast formellt. Det krävs även att den rättighetsbegränsande lagen upp- fyller rimliga anspråk på rättssäkerhet och skydd mot godtycke. Den måste vara tillgänglig för allmänheten och utformad med tillräcklig precision, så att inskränkningarna i den grundläggande konventions- rättigheten i rimlig utsträckning kan förutses. En nationell lag som ger de rättstillämpande organen ett tolkningsutrymme och en rätt till skönsmässig prövning är emellertid inte i och för sig oförenlig med kravet på förutsebarhet, under förutsättning att gränserna för den skönsmässiga bedömningen är tillräckligt klara för att ge individen skydd mot godtyckliga ingrepp (, Mänskliga rättig- heter i Europeisk praxis, 5:e uppl., 2015, s. 370 samt mot , , § 55). När det gäller dolda spaningsåtgärder innebär kravet på förutse- barhet inte att en person bör kunna veta på förhand t.ex. när myndigheterna sannolikt avlyssnar dennes samtal, så att han eller hon kan anpassa sitt beteende därefter. Lagstiftningen om sådana åtgärder måste däremot vara så tydlig att den ger medborgarna en tillräcklig indikation om vilka omständigheter som krävs för att myndigheterna ska få använda sig av åtgärderna. Det gäller oavsett om övervakningen riktar sig mot en individ eller är av mer över- gripande karaktär. (och mot , , § 93, samt m.fl. mot , , § 63) har utarbetat en minimistandard som ställer följande krav på lagstiftning om hemliga övervakningsåtgärder (t.ex. Uzun mot , , § 61 med hänvisningar): •Arten av de brott som skulle kunna leda till en begäran om åtgärden måste framgå. •Det ska finnas en definition av de personkategorier som skulle kunna riskera att bli föremål för åtgärden, t.ex. få sin telefon avlyssnad. •Åtgärdens varaktighet ska vara begränsad. •Det måste finnas förfaranderegler för undersökning, användning och lagring av de uppgifter som inhämtas. •Försiktighetsåtgärder vid överföring av information till andra parter ska vidtas. •De omständigheter under vilka inhämtade uppgifter (t.ex. in- spelningar) kan eller måste raderas ska anges. De viktigaste punkterna har bedömts vara de två förstnämnda. Vad avser karaktären på de förseelser som kan föranleda övervakning krävs inte att det finns en lista med namngivna brott; det är till- räckligt med exempelvis information om minimistraff för brottet. När det gäller avgränsning av personkategori har ansett det kunna vara berättigat att även personer som inte är miss- tänkta för brott men som kan ha upplysningar om brottet berörs av åtgärden, bl.a. har domstolen bedömt det vara befogat att avlyssna en telefon tillhörande partnern till en dödad person. , samt Roman mot , , §§ 231, 243–245) Det kan konstateras att den grad av förutsebarhet som krävs varierar beroende på vilken typ av spaningsåtgärd som lagstiftningen avser och hur ingripande åtgärden är. I det ovan nämnda målet Uzun mot , vilket rörde övervakning via gps av förflyttningar på offentliga platser, uttalade domstolen att de relativt strikta krav som minimistandarden ställer har utarbetats i mål om telefonavlyssning. Domstolen fann att dessa krav inte var tillämpliga i målet eftersom övervakning av en persons rörelser med hjälp av GPS-utrustning, i jämförelse med telefonavlyssning, utgjorde ett mindre intrång i dennes privatliv (Uzun mot , , §§ 65 och 66; jfr även P.G. mot , , § 42). En rimlig slutsats är att verksamhet och åtgärder som utgör större intrång i privatlivet borde tillhandahållas med tydligare bemyndiganden och bli föremål för fler restriktioner än verksamhet som utgör mindre sådana intrång (SOU 2015:31 s. 57). har också slagit fast att nationell lagstiftning om dolda spaningsåtgärder måste innehålla kontrollmekanismer för att skydda mot missbruk av den prövningsrätt som finns. Vad som krävs i det avseendet beror på omständigheter som åtgärdernas karaktär, räckvidd och varaktighet, vilka motiv som krävs för att besluta, utföra och övervaka dem samt vilken typ av rättsmedel som finns i den nationella lagstiftningen. Beträffande telefonavlyssning har ansett att beslutet normalt sett ska kontrolle- ras av domstol, åtminstone i sista instans (t.ex. Szabó och Vissy mot , ). Den nationella lagstiftningen måste också, såvitt avser telefonavlyssning, innehålla tillfredsställande mekanismer för att övervaka vad som sker med överskottsinformation. När det gäller mindre ingripande åtgärder ställer konventionen däremot lägre krav. Som ett exempel på detta kan nämnas dom i målet P.G. I målet uttalade domstolen att vad som krävs i fråga om skydds- åtgärder beror, åtminstone i viss utsträckning, på det aktuella in- trångets natur och omfattning. Domstolen fann att de brittiska reglerna om telefonövervakning innehöll tillräckliga garantier mot missbruk, trots att det saknades lagregler (i motsats till interna rikt- linjer för polisen) om lagring och förstörande av den information som samlades in. Det kan sägas att domstolen i det aktuella målet satte en låg standard för ”med stöd av lag” eftersom det inte fanns något ut- tryckligt bemyndigande för hemlig övervakning av elektronisk kommunikation i det brittiska systemet. Uppfattningen har också framförts att det är mycket sannolikt att i fram- tiden kommer att kräva någon form av system för efterföljande kontroll av hemlig övervakning av elektronisk kommunikation om och när den konfronteras med denna fråga igen, se , Expert- rapport åt , SOU 2010:103 s. 547–548.