sou · H5B389 · 2017-11-16 00:00:00 — Vidare krävs enligt förslaget att det, då programvara används för verkställighet, såväl loggas som dokumenteras på ett verifierbart vis. Dessutom får programvaran, när den har installerats, inte minska säkerheten i det informationssystem den riktas mot. På liknande vis stadgas i tysk rätt att nyckelinformation relaterad till de tekniska metoder som används vid motsvarigheten till data- 47 om kommunikasjonskontroll, romavlytting og dataavlesing (FOR-2016-09-09-1047), vilken på normhierarkisk nivå motsvarar en svensk förordning. Hemlig dataavläsning – en ny lag avläsning ska loggas. Den information som avses är benämningen på tekniken som används, vilket datum den används, vilken brotts- bekämpande organisation som genomför åtgärden samt identifi- kationsuppgifter avseende det informationssystem åtgärden riktas mot och inhämtade data. Nödvändiga åtgärder måste vidtas för upprätthållande av en stark informationssäkerhet Trots att det är svårt att tydligt redogöra för och kvantifiera de kon- kreta riskerna för informationssäkerheten med hemlig dataavläsning på ett generellt plan och att perspektivet helt saknas i utrednings- direktiven står det klart att lagen om hemlig dataavläsning måste förses med någon typ av reglering som balanserar informationssäker- hetsrisker. Frågan är då hur en sådan ska se ut. Till en början kan sägas att vi i föregående kapitel bedömt att det kan accepteras en viss minskning av informationssäkerheten i det informationssystem hemlig dataavläsning enligt tillståndet ska avse , men inte utanför detta system, varken i andra informationssystem eller i de nät som informationssystemet är anslutet till. Detta är utgångspunkten för våra förslag här. Vid avvägningen av hur en bestämmelse på området lämpligen bör utformas har vi beaktat att den antingen kan ha karaktären av förbud eller begränsning (t.ex. att informationssäkerheten i visst avseende inte får minska till följd av hemlig dataavläsning) eller instruktion (t.ex. att nödvändiga åtgärder ska vidtas för att undvika en minskad informationssäkerhet). Vi har stannat för att det senare alternativet är lämpligast eftersom det torde skapa bättre och mer dynamiska förutsättningar för de som har att verkställa åtgärden, utan att för den skull medföra några ökade risker. Dessutom bör en regel som ska balansera risker för informationssäkerheten utformas generellt och neutralt, för att fånga upp de olika typer av risker och situationer som kan uppstå. Vidare har vi, med viss inspiration från den norska lagstiftningen, konstaterat att det endast bör vara vissa, särskilt kvalificerade, personer som kan komma i fråga för att ansvara för att verkställa hemlig dataavläsning. Denna slutsats hänger samman med att de olika tekniska metoder som kan aktualiseras i samband med verk- ställighet torde förutsätta särskilda kunskaper, bl.a. på informations- Hemlig dataavläsning – en ny lag Det finns därför, enligt vår mening, skäl att redan i lagtexten ange att det ska finnas en ansvarig för verkställigheten. Lämpligen kan detta ske genom att det uttrycks att den som ansvarar för verkställigheten ska vidta vissa åtgärder. Det bör ankomma på de brottsbekämpande myndigheterna att utse ansvariga personer för verkställigheten. Vi återkommer i avsnitt 10.12.4 till vilka kvalifika- tionskrav som lämpligen bör ställas på den ansvarige. Den som ansvarar för verkställigheten ska se till att inga åtgärder vidtas som minskar informationssäkerheten utanför informations- systemet. Lämpligen kan detta uttryckas så att den ansvarige ska vidta nödvändiga och tillräckliga åtgärder för att informationssäker- heten utanför det informationssystem tillståndet avser inte åsido- sätts, minskas eller skadas till följd av verkställigheten. Med en så generell utformning av bestämmelsen uppnås å ena sidan en neutra- litet som möjliggör dynamiska lösningar av den som ansvarar men å andra sidan medför en sådan utformning ett mycket brett ansvarsfält för den ansvarige. kan, mot bakgrund av att det visat sig svårt att bringa klarhet i hur stora riskerna för informationssäker- heten faktiskt kan vara, inget annat än en bred men ändå skarp reglering komma i fråga eftersom informationssäkerheten är ett så väsentligt intresse. När det gäller riskerna för informationssäkerheten i det infor- mationssystem som tillståndet avser får det, som vi konstaterat i föregående kapitel, accepteras en viss minskning av denna som avläsningen ska pågå om det är nödvändigt. Redan av den generella aktsamhetsregeln som vi presenterat ovan följer att denna risk, liksom övriga olägenheter och skador, ska begränsas till vad som är absolut nödvändigt. Däremot kan det inte accepteras att informationssäkerheten förblir mindre än vid avläsningens början när åtgärden avslutas. Åtgärder när verkställighet avslutas Som vi nämnde kan det inte anses acceptabelt om hemlig data- avläsning får som konsekvens att det informationssystem som tillståndet avser har ett sämre skydd efter att avläsningen avslutats. Detta gäller från både ett informationssäkerhets- och ett integritets- perspektiv. Det bör därför föreskrivas att den verkställande myndig- Hemlig dataavläsning – en ny lag heten i samband med att verkställighet avslutas ska vidta de åtgärder som behövs för att säkerheten i det informationssystem som till- ståndet avser ska hålla åtminstone samma nivå som vid verkställig- hetens början. Mer detaljerad än så bör en lagreglering inte vara mot bakgrund av de olika tekniker som ska kunna användas i samband med verkställighet. Det bör dock påpekas att kravet bör gälla oavsett vilken teknik som använts i samband med verkställighet. När tekniska hjälpmedel (programvara eller hårdvara) har använts i samband med verkställighet bör motsvarande regel som gäller vid hemlig kameraövervakning och hemlig rumsavlyssning gälla, se 27 kap. 25 a § fjärde stycket . Den innebär att ett tekniskt hjälpmedel ska tas bort eller göras obrukbart när tvångs- medelsanvändningen avslutas (dvs. när tiden för tillståndet har gått ut eller tillståndet har upphävts). Eftersom det vid hemlig dataavläs- ning kan komma i fråga att använda programvara som installerats utan fysisk tillgång till det informationssystem som avses bör det av bestämmelsen framgå att det kan vara tillräckligt med avinstallation. Vårt förslag blir därför att ett tekniskt hjälpmedel ska tas bort, avinstalleras eller annars göras obrukbart så snart detta kan ske efter att tiden för tillståndet har gått ut eller tillståndet har upphävts. Det ska således inte vara möjligt för den brottsbekämpande myndigheten att efter tillståndstiden löpt ut (eller åtgärden avbrutits) kunna utnyttja samma verktyg igen. För att tillgodose kravet bör det exempelvis vara möjligt för den brottsbekämpande myndigheten att ”tidsinställa” ett tekniskt hjälpmedel som används. 10.11 Vissa andra rättssäkerhetsgarantier 10.11.1Allmänt om rättssäkerhetsgarantier i lagstiftningen om hemliga tvångsmedel När vi i kapitel 3 skisserade en översikt avseende de nuvarande hemliga tvångsmedlen delade vi in denna i dels materiella förutsätt- ningar för nuvarande hemliga tvångsmedel (avsnitt 3.4), dels rätts- säkerhetsgarantier och skyddet för den personliga integriteten i lag- stiftningen om hemliga tvångsmedel (avsnitt 3.5). Anledningen till indelningen var pedagogisk men som angavs där utgör även de mate- riella förutsättningarna i någon mening integritetsskyddsregler och Hemlig dataavläsning – en ny lag rättssäkerhetsgarantier eftersom ju hemliga tvångsmedel inte tillåts om de materiella förutsättningarna inte föreligger. Ett möjligen mer korrekt förhållningssätt är att utgångspunkten är att staten, genom de brottsbekämpande myndigheterna, inte får använda hemliga tvångsmedel mot enskilda. Endast om de särskilda förutsättningar som följer av regeringsformen och Europakonven- tionen är uppfyllda får undantag göras från denna utgångspunkt. Som vi redovisat i föregående kapitel är det vår bedömning att sådana förutsättningar finns när det gäller hemlig dataavläsning. Enligt krävs att reglerna om hemliga tvångs- medel är sådana att deras tillämpning är förutsebar samt att till- räckliga kontrollmekanismer finns för att se till att normer för förut- sebarheten efterlevs. Vad avser reglernas utformning har Europa- domstolen beträffande dolda spaningsåtgärder (främst avlyssning) utarbetat en minimistandard enligt vilken följande ska framgå. –Arten av de brott som skulle kunna leda till en begäran om dolda spaningsåtgärder. –En definition av de personkategorier som skulle kunna riskera att t.ex. få sin telefon avlyssnad. –En begränsning av åtgärdens varaktighet. –Förfaranderegler för undersökning, användning och lagring av de uppgifter som inhämtats. –Försiktighetsåtgärder vid överföring av information till andra parter. –Angivande av de omständigheter under vilka inspelningarna kan eller måste raderas eller förstöras. Flera av de krav som enligt minimistandard ska finnas med i lagstiftning om hemliga tvångsmedel har behandlats redan i det föregående, t.ex. arten av de brott eller den brottslighet som kan föranleda åtgärden och de personkategorier som kan träffas av bestämmelserna. Några av kraven har emellertid ännu inte disku- terats. I detta avsnitt analyseras därför i vad mån de rättssäkerhets- garantier som gäller enligt nuvarande regler om hemliga tvångs- medel, vilka i många avseenden är ett utflöde av praxis, ska gälla även för hemlig dataavläsning. Hemlig dataavläsning – en ny lag Den svenska regleringen av hemliga tvångsmedel – och dess rättssäkerhetsgarantier – utvärderades av en särskild utredare och bedömdes då leva upp till både regeringsformens och Europa- konventionens krav (bl.a. avseende den minimistandard som framgår ovan). Utredaren framhöll att det inte av rättssäkerhetsskäl fanns behov av några förändringar av de rättssäkerhetsgarantier som om- gärdar tvångsmedelsanvändningen enligt de lagar som utvärderades.48 Det finns skäl att låta de slutsatserna utgöra en utgångspunkt för våra bedömningar avseende de rättssäkerhetsgarantier som här ska diskuteras.49 Utredningens förslag: Under förundersökning ska det som gäller för hemlig avlyssning av elektronisk kommunikation beträffande användning av överskottsinformation gälla för hemlig dataavläsning. När det är fråga om att läsa av eller ta upp rums- avlyssningsuppgifter ska dock i stället det som gäller för använd- ning av överskottsinformation vid hemlig rumsavlyssning enligt gälla. I underrättelseverksamhet ska mot- svarande det som gäller för användning av överskottsinformation enligt preventivlagen, LSU och inhämtningslagen gälla även för hemlig dataavläsning. Nuvarande regler om användning av överskottsinformation Överskottsinformation är uppgifter som vid verkställande av tvångs- medel har kommit fram om annat än den brottslighet som har legat till grund för tillståndet. För annat än hemliga tvångsmedel finns i svensk rätt inte någon lagstadgad begränsning av hur överskotts- information får användas utan där råder reglerna om fri bevis- 48Se SOU 2012:44 s. 666. 49Det ska anmärkas att regeringen gett Utredningen om datalagring och i uppdrag att se över rättssäkerhetsgarantierna och mekanismerna som ska skydda den personliga integri- teten vid användning av hemliga tvångsmedel, se Dir. 2017:16. Till dess annat framkommer finns emellertid skäl att utgå från att de slutsatser som redovisades i SOU 2012:44 äger fortsatt giltighet. Hemlig dataavläsning – en ny lag prövning och fri bevisföring utan begränsningar, se t.ex. 35 kap. 1 § . Regler om användning av överskottsinformation finns i 27 kap. 23 a § , 12 § preventivlagen, 21 a § LSU och 7 och 8 §§ inhämtningslagen. Enligt dessa får överskottsinformation alltid användas för att förhindra förestående brott. I övrigt finns vissa skillnader beroende på vilket tvångsmedel som avses och ändamålet med tvångsmedelsanvändningen. Enligt regler gäller för hemlig avlyssning av elek- tronisk kommunikation, hemlig övervakning av elektronisk kom- munikation och hemlig kameraövervakning som huvudregel att överskottsinformation får användas för att utreda brott. Den begränsning som finns för dessa tvångsmedel är att förundersökning eller motsvarande utredning får inledas på grund av överskotts- informationen endast om det är föreskrivet fängelse eller där- över för brottet och det kan antas att brottet inte föranleder endast böter, eller om det finns särskilda skäl. Pågår det redan en förunder- sökning beträffande det andra brottet, eller inleds en sådan på grund av andra uppgifter än överskottsinformationen, får de senare upp- gifterna användas i den undersökningen. För hemlig rumsavlyssning gäller att överskottsinformation får användas för att utreda brottet endast om det är fråga om brott som anges i 27 kap. 20 d § (dvs. brott som kan föranleda hemlig rumsavlyssning), eller annat brott, om det är föreskrivet fängelse eller däröver för brottet. Bestämmelserna om överskottsinformation i underrättelseverksamhet Motsvarande bestämmelse som gäller för hemlig rumsavlyssning gäller beträffande användning av överskottsinformation enligt 12 § preventivlagen, dock med den skillnaden att det i stället för brott som kan föranleda hemlig rumsavlyssning ska vara fråga om brott (eller försök, förberedelse eller stämpling till sådant brott) som kan föranleda tvångsmedelsanvändning enligt den lagen. Enligt 21 a § LSU gäller samma förutsättningar för användande av överskotts- Hemlig dataavläsning – en ny lag information som gäller för hemlig avlyssning och övervakning av elektronisk kommunikation enligt . Enligt 7 § inhämtningslagen gäller att om det vid inhämtning av uppgifter enligt den lagen har kommit fram uppgifter om annan brottslig verksamhet än sådan som omfattas av beslutet om inhämt- ning så får uppgifterna användas för att förhindra brott. Enligt 8 § inhämtningslagen får uppgifter som kommit fram vid inhämtning enligt lagen användas i en förundersökning endast efter tillstånd till hemlig övervakning av elektronisk kommunikation. Utan ett sådant tillstånd får dock inhämtade uppgifter ligga till grund för beslut om att inleda en förundersökning. Bakgrund till nuvarande bestämmelser om överskottsinformation Regleringen i 27 kap. om överskottsinformation från hemlig avlyssning av elektronisk kommunikation, hemlig över- vakning av elektronisk kommunikation och hemlig kameraöver- vakning infördes . hade frågan disku- terats och utretts . Diskussionen avsåg bl.a. om en sådan reglering var nödvändig på grund av de krav som ställs upp i regeringsformen och . Regeringen bedömde i förarbetena till lagändring dels att artikel 8 i Europakon- ventionen och praxis tydligt talade för att användningen av överskottsinformation borde regleras, dels att det fick anses bäst överensstämma med integritetsskyddet i regerings- formen att grundläggande bestämmelser ges i lag om hur och i vilken omfattning överskottsinformation från telefonavlyssning får användas (prop. 2004/05:143 s. 30). Frågan var då hur regleringen skulle utformas. Regeringen kon- staterade att inte innehåller något förbud mot att använda överskottsinformation från hemliga tvångsmedel för att utreda och bevisa brott. Vidare bedömde regeringen att varken integritetsintresset eller risken för missbruk av tvångsmedlen i sig utgjorde skäl att begränsa möjligheterna att använda överskotts- information. När det gäller integritetsintresset motiverades det med att intresset hos den som begått ett brott att inte avslöjas som brottsling inte kunde räknas till ett skyddsvärt sådant intresse. Däremot konstaterades att de brottsbekämpande myndigheterna Hemlig dataavläsning – en ny lag inte verkade ha något generellt behov av att använda sådan infor- mation som bevis. Från myndighetshåll hade det framhållits bl.a. att det allmänt sett inte var rimligt att åberopa uppgifter från hemlig avlyssning av elektronisk kommunikation för att bevisa exempelvis ett snatteri eller en ringa misshandel. Regeringen ansåg därför att övervägande skäl talade för att begränsa användningen av över- skottsinformation vid utredning om mindre allvarliga brott (prop. 2004/05:143 s. 32 f.) När det gäller de strängare reglerna beträffande hemlig rums- avlyssning och tvångsmedelsanvändning enligt preventivlagen ska först sägas att dessa innebär ett lägre ställt krav än vad som gällde tidigare. Ändringarna, som gjordes , föranleddes bl.a. av att Utredningen om vissa hemliga tvångsmedel i sitt betänkande Hem- liga tvångsmedel mot allvarliga brott (SOU 2012:44) presenterade en utvärdering som visade att de strängare reglerna hade lett till att tydlig information om mycket allvarliga brott (bl.a. mord och män- niskohandel) inte kunde användas. Dessutom visade utvärderingen att det inte fanns några omständigheter som talade för att hemliga tvångsmedel användes i det otillbörliga syftet att generera över- skottsinformation. Regeringen fann, till skillnad från utredningen (som föreslog helt enhetliga överskottsinformationsregler), att det fanns skäl att ställa upp högre krav för att överskottsinformation från hemlig rumsavlyssning ska få användas jämfört med vad som gäller enligt 27 kap. eftersom hemlig rumsavlyss- ning ofta genererar betydande mängder kringinformation. Även beträffande de preventiva tvångsmedlen enligt preventivlagen fann regeringen att det fanns anledning att vara mer restriktiv eftersom dessa normalt används i ett skede innan något brott har begåtts. Någon ändring beträffande LSU gjordes dock inte. Användning av överskottsinformation vid hemlig dataavläsning Vi har redan förklarat att om uppgifter läses av eller tas upp som inte är av den uppgiftstyp som tillståndet avser, s.k. otillåten tilläggs- information, så får dessa uppgifter inte användas, se avsnitt 10.10.2. Frågan om hur överskottsinformation ska få användas vid hemlig dataavläsning bör därför bedömas utifrån den uppgiftstyp tillståndet avser. Hemlig dataavläsning – en ny lag En naturlig första utgångspunkt är att låta reglerna om över- skottsinformation i lagen om hemlig dataavläsning följa de regler som gäller för sådan information för ”bakomliggande” hemliga tvångsmedel. Reglerna om användning av överskottsinformation skiljer sig emellertid åt en aning beroende på om hemliga tvångs- medel används i förundersöknings- eller underrättelseverksamhet. Det framstår därför som rimligt att låta reglerna om användning av överskottsinformation i lagen om hemlig dataavläsning utformas olika beroende på ändamålet för åtgärden. Vi har tidigare gjort bedömningen att hemlig dataavläsning för att läsa av eller ta upp lagrade uppgifter eller uppgifter som visar hur ett informationssystem används motsvarar hemlig avlyssning av elek- tronisk kommunikation såvitt avser integritetsrisker, se t.ex. avsnitt 10.5.1. Denna slutsats bör vara utgångspunkt även vid bedömningen av hur användning av överskottsinformation när hemlig dataavläs- ning avser sådana uppgifter ska göras. I 27 kap. 23 a § görs skillnad mellan å ena sidan överskottsinformation vid hemlig avlyssning eller övervakning av elektronisk kommunikation och hemlig kameraövervakning och å andra sidan överskottsinformation vid hemlig rumsavlyssning. För att i lagen om hemlig dataavläsning uppnå överensstämmelse med denna reglering bör det göras motsvarande skillnad mellan å ena sidan överskottsinformation vid hemlig dataavläsning för att läsa av eller ta upp rumsavlyssningsuppgifter och å andra sidan överskotts- information vid hemlig dataavläsning när åtgärden används för att läsa av eller ta upp någon av de övriga uppgiftstyperna. I det förra fallet bör motsvarande gälla som gäller för hemlig rumsavlyssning enligt 27 kap. 23 a § andra stycket och i det senare fallet bör motsvarande gälla som gäller för övriga hemliga tvångs- medel enligt 27 kap. 23 a § första stycket . När det gäller överskottsinformation i underrättelseverksamhet bör motsvarande gälla för hemlig dataavläsning i de olika under- rättelsefallen som gäller enligt 12 § preventivlagen, 21 a § LSU och 7 och 8 §§ inhämtningslagen. Lämpligen kan , preventivlagens, LSU:s och inhämtningslagens regler om användning av överskottsinformation göras direkt tillämpliga genom hänvisningar i lagen om hemlig data- avläsning med de förtydliganden som krävs. Hemlig dataavläsning – en ny lag 10.11.3Granskning, bevarande och förstörande av upptagningar och uppteckningar vid hemlig dataavläsning Utredningens förslag: Under förundersökning ska det som gäller för hemlig avlyssning av elektronisk kommunikation beträffande granskning, bevarande och förstörande av upptag- ningar och uppteckningar gälla för hemlig dataavläsning. I de fall särreglering av hemlig rumsavlyssning görs ska dock motsvarande gälla när hemlig dataavläsning avser eller har avsett rumsavlyss- ningsuppgifter. I underrättelsefallen ska motsvarande det som gäller för granskning, bevarande och förstörande av upptagningar och upp- teckningar enligt preventivlagen, LSU och inhämtningslagen gälla även för hemlig dataavläsning. Nuvarande regler om granskning, bevarande och förstörande av upptagningar eller uppteckningar vid användning av hemliga tvångsmedel Regler om granskning, bevarande och förstörande av upptagningar eller uppteckningar vid användning av hemliga tvångsmedel finns i 27 kap. 24 § , 13 § preventivlagen, 22 § LSU och 9 § inhämtningslagen. Upptagningar eller uppteckningar som har gjorts under förundersökning vid hemlig tvångsmedelsanvändning ska granskas möjligt och ska, i de delar som är av betydelse från brottsutredningssynpunkt, som huvudregel, bevaras till dess för- undersökningen lagts ned eller, om åtal väcks, målet har avgjorts slutligt. I de delar upptagningarna eller uppteckningarna är av bety- delse för att förhindra förestående brott, ska de bevaras så länge det behövs för att förhindra brott. De ska därefter förstöras. Som en specialregel gäller, trots kravet på förstörande, att brotts- bekämpande myndigheter får behandla uppgifter från upptagningar och uppteckningar i enlighet med vad som är särskilt föreskrivet i lag, vilket kan vara fallet om det har kommit fram uppgifter som får behandlas i register eller på annat sätt enligt de förutsättningar som ställs upp i exempelvis polisdatalagen. Uppgifter från hemlig rums- avlyssning får dock behandlas endast om de rör förestående brott eller brott som kan föranleda beslut om hemlig rumsavlyssning eller Hemlig dataavläsning – en ny lag annat brott, om det är föreskrivet fängelse eller däröver för brottet. Vid tvångsmedelsanvändning enligt preventivlagen gäller i stort sett motsvarande regel som enligt såvitt avser granskning, bevarande och förstörande av upptagningar eller upp- teckningar. Dock gäller, såvitt avser bevarandeskyldigheten, att det endast är i de delar upptagningarna och uppteckningarna innehåller uppgifter om brott som enligt 12 § preventivlagen får användas för att utreda brott som upptagningarna eller uppteckningarna ska bevaras till dess att förundersökningen har lagts ned eller avslutats eller, om åtal har väckts, målet har avgjorts slutligt. Enligt preven- tivlagen får också uppgifter från upptagningar och uppteckningar behandlas i enlighet med vad som är särskilt föreskrivet i lag om uppgifterna rör förestående brott eller brott som kan föranleda tvångsmedelanvändning enligt preventivlagen, eller försök, för- beredelse eller stämpling till ett sådant brott, om en sådan gärning är belagd med straff, eller ett annat brott för vilket det är föreskrivet fängelse eller däröver. Såvitt avser LSU gäller i allt väsentligt motsvarande regler som i genom hänvisning dit (22 §). Dock föreskrivs särskilt att om upptagningen eller uppteckningen innehåller något som inte är av betydelse för ändamålet med tvångsmedelsanvänd- ningen så ska den i denna del förstöras efter gransk- ningen. Enligt 9 § inhämtningslagen ska uppteckningar av uppgifter granskas möjligt.