sou · H5B375 · 2017-10-11 00:00:00 — Informationen som ska lagras är uppringande num- mer, uppringt nummer och nummer som samtalet styrts till, namn och adress för abonnenten eller den registrerade användaren till dessa nummer, mottagandebekräftelse för meddelanden, identiteten på kommunikationsutrustningen (IMSI- och IMEI-nummer), uppgift om den eller de celler en mobiltelefon är uppkopplad mot då kom- munikationen påbörjades och avslutades samt de tillhörande master- nas exakta geografiska eller fysiska placering för kommunikationen, tidpunkt när kommunikationen påbörjades och avslutades samt tidpunkt för den första aktiveringen av anonyma tjänster (oregistrerade kontantkort). Vid en internetsessions inledande och avslutande paket ska leve- rantörerna lagra uppgifter om avsändande och mottagande ip-adress, transportprotokoll, avsändande och mottagande portnummer samt tidpunkten för kommunikationen. När det gäller internetåtkomst ska det lagras tilldelat användar-id, användar-id och telefonnummer som tilldelats kommunikationen i ett allmänt tillgängligt elektro- niskt kommunikationsnät, namn och adress för abonnenten eller den registrerade användaren som tilldelats ett användar-id eller telefon- nummer för kommunikationen samt tidpunkt för när kommunikationen påbörjades och avslutades. Vid trådlös internet- åtkomst ska dessutom lagras information om det lokala nätverkets exakta geografiska eller fysiska placering samt identiteten på kom- munikationsutrustningen. Härutöver ska, vid slutbrukarens använ- dande av leverantörens egna e-posttjänster, lagras information om avsändande och mottagande e-postadress. Vid sådana internettelefonitjänster som leverantören själv till- handahåller ska uppgifter motsvarande dem för internetanvändning och -åtkomst, lagras. Informationen ska sparas . Tillgång till lagrade trafikuppgifter kan ges för utredning av brott för vilket inte är föreskrivet lägre straff än fängelse , brott mot rikets säkerhet, terroristbrott och vissa andra brott, däribland barn- pornografibrott. För att tillgång ska beviljas ska det finnas klara skäl att anta (bestemte grunde til at antage) att kommunikation sker till eller från en misstänkt och åtgärden ska antas vara av avgörande betydelse för utredningen. Tillgång till abonnemangsuppgifter och lokaliseringsdata kan ges mer generöst; det finns inga krav på brottstyp utan en prövning görs i stället utifrån om åtgärden är proportionell i det enskilda fallet. All tillgång kräver tillstånd från domstol. Domstolen avgör vilka uppgifter som ska lämnas ut. Uppgifterna som lämnas ut får avse även andra än misstänkta, exempelvis målsäganden eller vittnen. Samma regler för tillgång gäller oavsett om uppgifterna begärs inom en förundersökning eller i underrättelseverksamhet och om det begärs av t.ex. polismyndigheten eller av Politiets Efterretnings- tjeneste (danska säkerhetspolisen). Den som varit föremål för inhämtande av uppgifter ska under- rättas om det. Underrättelse får skjutas upp eller underlåtas, till exempel om den kan skada utredningen eller röja hemlig information om polisens undersökningsmetoder. 11.1.4Skydd för de lagrade uppgifterna Leverantörernas lagring övervakas av en oberoende tillsynsmyndighet. överväger att inkludera ytterligare information i lagrings- skyldigheten, exempelvis lokaliseringsuppgifter vid internetanvänd- ning. pågår en analys av Tele2- domen. Leverantörernas lagringsskyldighet av elektroniska kommunika- tionsuppgifter regleras i 19 kap. informationssamhällsbalken (Tietoyhteiskuntakaari) (917/2014). Tillgång regleras i flera delar av lagstiftningen, bl.a. i 5 kap. polis- lagen (872/2011) och 10 kap. tvångsmedelslagen (806/2011). Leverantörer av elektroniska kommunikationstjänster är skyldiga att lagra följande uppgifter. För telefoni-, internettelefoni- och textmeddelandetjänster som tillhandahålls av leverantören ska det lagras uppgifter om abonnen- tens och den registrerade användarens namn och adress, abonne- mangets identifieringsuppgifter och uppgifter med vilkas hjälp en användare av kommunikationstjänster kan identifieras samt använ- darens transaktioner, inklusive omstyrda samtal, kan fastställas utifrån meddelandets typ och mottagare samt tidpunkt och varak- tighet för kommunikationen. Lagringsskyldigheten omfattar även obesvarade samtal. För telefoni- och textmeddelandetjänster ska det dessutom lagras uppgifter med vilkas hjälp den kommunikationsutrustning som använts och utrustningens och abonnemangets position när trans- aktionen inleddes kan fastställas. För internetaccesstjänster som tillhandahålls av leverantören ska det lagras uppgifter om abonnentens och den registrerade använda- rens namn och adress, abonnemangets identifieringsuppgifter och installeringsadress samt uppgifter med vilkas hjälp en användare av kommunikationstjänster och den utrustning som använts kan identi- fieras samt tidpunkt och varaktighet för tjänsternas användning kan fastställas. Endast de uppgifter som med beaktande av tjänstens tek- niska genomförande är nödvändiga för att specificera informationen får lagras. Uppgifter avseende telefoni- och textmeddelandetjänster ska lagras , avseende internettelefonitjänster och av- seende internetaccesstjänster , från att transaktionen inleddes. De brottsbekämpande myndigheterna får inhämta trafik-, lokali- serings- och abonnemangsuppgifter avseende en person som är skäligen misstänkt för eller med fog kan antas göra sig skyldig till ett brott, för vilket det föreskrivna strängaste straffet är fängelse , ett brott som begåtts med användning av en teleadress eller teleterminalutrustning och för vilket det föreskrivna strängaste straffet är fängelse , samt för vissa andra brott, till exem- pel narkotikabrott, lockande av barn i sexuella syften, koppleri, grovt tullredovisningsbrott och förberedelse till grovt rån eller brott i terroristiskt syfte. Vid misstanke om sådant brott får även bas- stationstömningar göras. Endast uppgifter som gäller den förmodade brottstidpunkten får då inhämtas och bara från en basstation som finns i närheten av den förmodade brottsplatsen. Om det finns särskilda skäl får uppgifter dock inhämtas även för någon annan tid eller plats. Det är också möjligt för myndigheten att inhämta lokali- seringsuppgifter i syfte att få reda på var en misstänkt eller dömd person befinner sig, om brottet är sådant som inhämtning i övrigt kan beviljas för. Tillgång till uppgifterna beslutas, förutom i brådskande fall, av domstol. I brådskande fall kan en anhållningsberättigad tjänsteman besluta om inhämtning eller basstationstömning till dess domstolen avgjort frågan. Den som varit föremål för inhämtandet ska underrättas om det så snart syftet med inhämtningen har uppnåtts. Det gäller dock inte vid basstationstömningar. Underrättelse får underlåtas om det är nöd- vändigt för att trygga statens säkerhet eller skydda liv eller hälsa. 11.2.4Skydd för de lagrade uppgifterna utövar tillsyn över efterlevnaden av bestäm- melserna i informationssamhällsbalken. utvärderade sin lagstiftning avseende datalagring efter Digital Rights-domen. Lagstiftningen bedömdes då förenlig med , med beaktande av att tillgången till de lagrade uppgif- terna var begränsad. Efter Tele2-domen tillsatte parlamentet en ny utredning för att bedöma den finska lagstiftningen. Utredningen kom i sin rapport, som redovisades , fram till att den finska lagstiftningen om lagring inte krävde några omedelbara för- ändringar (Rapporter och utredningar 9/2017, finska Kommuni- kationsministeriet). Leverantörernas skyldigheter avseende lagring finns i 113a–§§ Telekommunikationsgesetz. Tillgång till lagrade uppgifter regleras i kap. VIII och IX Straf- prozeßordnung. är leverantörer av elektroniska kommunika- tionstjänster skyldiga att lagra abonnemangs- och trafikuppgifter och lokaliseringsuppgifter . Lagringsskyldig- heten omfattar följande trafikuppgifter. För allmänna telekommunikationstjänster ska det lagras uppgifter om uppringande nummer, uppringt nummer och nummer som sam- talet styrts till, datum och tid när kommunikationen påbörjades och avslutades samt information om tjänsten som används, om olika tjänster kan användas som en del av telefonitjänsten. För mobil- telefoni ska dessutom lagras uppgifter om internationellt prefix för numren och vid kontantkortstjänster datum och tid för första aktiveringen. För internettelefoni ska ip-adresser och användar-id för den uppringande och uppringda användaren lagras. Lagringsskyldig- heten gäller även obesvarade samtal. Motsvarande uppgifter ska lagras vid kommunikation via sms, mms eller liknande meddelande. Avseende tidsangivelser ska dessa avse när meddelandet skickades respektive togs emot. För allmänna internettjänster ska det lagras uppgifter om använ- darens ip-adress och användar-id, unikt id för anslutningsterminal samt datum och tid för påbörjandet och avslutandet av internet- användningen under den tilldelade ip-adressen. De lokaliseringsuppgifter som ska lagras avser endast mobil telefoni och internetanvändning. Leverantörerna är skyldiga att lagra information om den radiocell som används av det uppringande och uppringda numret vid början av kommunikationen. För internet- användning ska den radiocell som användes när internetåtkomsten påbörjades lagras. Härutöver ska leverantörerna spara information om den geografiska positionen och huvudsakliga riktningen för strålning hänförlig till respektive radiocell. Uppgifter hänförliga till institutioner och organisationer med särskilda sekretesskrav får däremot inte lagras. För att undvika lagring ska dessa institutioner och organisationers terminaler vara upptagna i en lista, som finns tillgänglig för automatiserad behandling. Tillgång till de lagrade uppgifterna får endast beviljas de brotts- bekämpande myndigheterna för utredning av vissa brott. För de uppgifter som leverantörerna frivilligt lagrar, exempelvis för fakturering, krävs att utredningen avser ett av flera särskilt listade allvarliga brott (schwere Straftat), exempelvis mord, narkotikabrott, rån, utpressning, bedrägeri och skattebrott, eller ett brott som begåtts genom telekommunikation. Tillgång till de uppgifter som leverantörerna är skyldiga att lagra kräver att utredningen avser ett särskilt allvarligt brott (Straftat von erheblicher Bedeutung), med vilket avses vissa specifika brott, där- ibland mord, människohandel, vissa sexualbrott, allvarligare narkotika- brott, barnpornografibrott och vissa brott mot staten. Inhämtning kan endast ske av uppgifter hänförliga till personer som är misstänkta för brott eller till andra personer, om det finns anledning att anta att de skickar eller tar emot meddelanden som kommer från eller är avsedda för den misstänkte. Underrättelsetjänsten kan inte beviljas tillgång till uppgifterna. Däremot är det tillåtet för leverantörerna att använda den lagrade informationen för att besvara förfrågningar om abonnemangs- uppgifter från bl.a. underrättelsetjänsten. Förutom såvitt avser abonnemangsuppgifter krävs det dom- stolsbeslut för all tillgång till lagrade uppgifter. Vid brådskande fall kan allmän åklagare bevilja tillgång, men bara till de uppgifter som frivilligt sparas av leverantörerna. Abonnemangsuppgifter begärs ut direkt från leverantörerna av åklagare eller polis. Underrättelse ska lämnas till den som varit föremål för inhämt- ningen. Underrättelse kan emellertid underlåtas i vissa fall, till exem- pel om den kan äventyra en pågående utredningen eller om personen endast i liten omfattning berördes av inhämtningen och kan antas sakna intresse av att bli underrättad. 11.3.4Skydd för de lagrade uppgifterna De uppgifter som omfattas av lagringsskyldigheten får endast lagras inom . Leverantörernas lagring övervakas av en oberoende tillsyns- myndighet. dom och dess konsekvenser för tysk rätt är under analys. I sammanhanget ska nämnas att en tysk regional domstol (Oberverwaltungsgericht für das Land ) i ett interimistiskt beslut har meddelat att reglerna om lagring av uppgifter rörande internetåtkomst inte behöver följas då de har bedömts vara oförenliga med (Az. 13 B 238/17). Efter Digital Rights-domen upphävde den österrikiska konstitu- tionsdomstolen berörd datalagringslagstiftning. Någon ny lagstift- ning har inte trätt i kraft men det finns däremot planer på att se över lagstiftningen i ljuset av Tele2-domen. I gäller en skyldighet för leverantörer av elektroniska kom- munikationstjänster att lagra trafik- och lokaliseringsuppgifter för alla abonnenter och registrerade användare. Efter Digital Rights- domen anpassades lagstiftningen genom att differentierade tillgångs- regler infördes. Lagringsreglerna lämnades oförändrade men man införde regler som möjliggjorde mer omfattande tillgång till lagrad data ju allvarligare brottet var. Efter Tele2-domen utmanades denna nya lagstiftning i den natio- nella . Något utslag har ännu inte kommit. Den portugisiska har prövat om den datalagring som föreskrivs i (lagring av ip-adresser och till- hörande uppgifter om abonnent ) var förenlig med den portugisiska konstitutionen. Domstolen kom fram till att så var fallet (dom 420/2017, ). Utredningens bedömning: har indirekt inflytande på det brottsbekämpande området. EU:s kompetens och befogenhet framgår av . Ett av dem är fördraget om den Europeiska Unionen. I nämnda fördrag framgår, enligt principen om tilldelade befogenheter, att unionen endast ska handla inom ramen för de befogenheter som medlems- staterna har tilldelat unionen i fördragen för att nå de mål som fastställs där. Varje befogenhet som inte har tilldelats unionen i för- dragen ska tillhöra medlemsstaterna (artikel 5). Dessutom framgår av fördraget att unionen ska respektera medlemsstaternas väsentliga statliga funktioner, särskilt funktioner vars syfte är att hävda terri- toriell integritet, upprätthålla lag och ordning och skydda den natio- nella säkerheten. I synnerhet ska den nationella säkerheten också i fortsättningen vara varje medlemsstats eget ansvar (artikel 4.2). har inte tilldelat EU någon generell befogenhet på det brotts- bekämpande området (jfr kapitel 4, avdelning V i FEUF). Frågan är då i vilken utsträckning som och Tele2- domen kan ha inflytande på nationell lagstiftning som rör just brotts- bekämpning, dvs. i detta fall LEK, IHL, RB, preventivlag och LSU. Frågan behandlas i det följande. Direktiv /58 har som syfte att säkerställa ett likvärdigt skydd för grundläggande fri- och rättigheter vid behandling av person- uppgifter inom sektorn för elektronisk kommunikation samt möjlig- göra fri rörlighet för dessa uppgifter inom gemenskapen (artikel 1.1). Direktivet i sig har alltså inget brottsbekämpande syfte utan har i stället till syfte att uppfylla målen om fri rörlighet på den inre mark- naden. Däremot innehåller direktivet bestämmelser som under vissa förutsättningar möjliggör nationella undantag från direktivet om det sker för brottsbekämpande ändamål. Undantagen rör, i nu relevant hänseende, konfidentialitet vid kommunikation (artikel 5), utplåning av trafikuppgifter (artikel 6) och behandling av andra lokaliserings- uppgifter än trafikuppgifter (artikel 9). konstaterar i detta sammanhang att, för att undantagsbestämmelsen inte helt ska förlora sin verkan, även statens verksamhet på det brottsbekämpande området måste omfattas av direktivets tillämpningsområde (p. 73 i domen). Av domen framgår, i linje med det nu anförda, att har ansett sig ha kompetens även på området för tillgång till data- lagrade uppgifter för brottsbekämpande ändamål och även för vitala intressen som nationell säkerhet och försvar (p. 65–81 och 119). Slutsatsen kan således dras att oavsett för vilket ändamål uppgifterna används så är operatörernas lagring och myndigheternas tillgång till dessa uppgifter underkastade den reglering som följer av . Detta innebär att oavsett om det är fråga om brottsbekämpning som handhas av den öppna polisen, eller Ekobrotts- myndigheten eller om det är fråga om brottsbekämpning som hand- has av Säkerhetspolisen så är datalagringsfrågan underkastad samma EU-rättsliga regelverk, låt vara att öppnar för något mer tillåtande nationella regler när det gäller tillgång till uppgifter inom verksamhetsområde (p. 119 i domen). 12.2Abonnemangsuppgifter omfattas inte av Tele2- domen men av Utredningens bedömning: Tele2-domen rör bara trafikuppgifter och lokaliseringsuppgifter men inte abonnemangsuppgifter. Behand- lingen av abonnemangsuppgifter omfattas av . Kammarrätten berör i sin begäran om förhandsavgörande framför allt trafikuppgifter och lokaliseringsuppgifter, men genom en hänvis- ning till en tidigare punkt i redogörelsen omfattar begäran även abonnemangsuppgifter1. avgörande berör dock inte 1 Vad begreppet abonnemangsuppgifter omfattar diskuteras i avsnitt 6.2.1. Samman- fattningsvis avses, något förenklat, uppgift om vilken abonnent eller registrerad användare abonnemangsuppgifter utan endast trafikuppgifter och lokaliserings- uppgifter. Att inte berör abonnemangsuppgifter är naturligt eftersom de inte behandlas i de artiklar i det direktiv (direk- tiv 2002/58) som tolkas av domstolen. Det finns t.ex. inte någon skyldighet att förstöra abonnemangsuppgifter och de omgärdas inte heller av någon tystnadsplikt enligt direktivet. Det motsatta gäller trafikuppgifter och lokaliseringsuppgifter vid kommunikation. De ska som huvudregel utplånas eller avidentifieras när de inte längre behövs för kommunikationen, artikel 6 i direktivet, och de är skyddade av tystnadsplikt enligt bestämmelsen i artikel 5, som gäller vid kom- munikation och därmed förbundna trafikuppgifter. Som framgår av domslutet förklarar hur artikel 15.1 mot bakgrund av bestämmelserna i rättighetsstadgan ska tolkas. Artikel 15.1 reglerar när undantag får göras från bl.a. bestämmelsen om konfidentialitet i artikel 5 och förstörandeskyldigheten i artikel 6. Artikeln saknar alltså relevans för behandlingen av abonne- mangsuppgifter, som inte omfattas av de rättigheter och skyldigheter som medlemsstaterna enligt den tolkade bestämmelsen får begränsa. Det är därför följdriktigt att bara svarar på frågan om trafikuppgifter och lokaliseringsuppgifter men inte abonnemangs- uppgifter. Den svenska regleringen av lagringen och tillgången till abonnemangsuppgifter påverkas således inte ens indirekt av domen. Det behöver knappast sägas att de uttalandena av mer generellt slag om t.ex. inskränkningar i skyddet för personuppgifter däremot är relevanta även för behandlingen av abonnemangsuppgifter. Det finns av andra skäl än Tele2-domen ändå anledning att beröra regleringen av abonnemangsuppgifter i betänkandet. För det första är det oundvikligt att inte göra det, eftersom regleringen bitvis har nära samband med bestämmelserna om trafik- och lokaliseringsupp- gifter. För det andra utgör behandling av abonnemangsuppgifter ett slags personuppgiftsbehandling och omfattas således av dataskydds- regleringen inom (t.ex. artikel 3 i direktiv /58). Där- med omfattas behandlingen också av de krav som följer av rättighets- stadgan. Det finns även anledning att beröra regleringen av abonne- som kan sammankopplas med en viss adress, t.ex. ett telefonnummer eller en ip-adress. mangsuppgifter på grund av integritetsskyddet som följer av Europa- konventionen. I utredningen har det väckts frågan om inte ip-adresser ändå omfattas av domen. De argument som förts fram redovisas nedan. Ett argument utgår från att användningen av dynamiska ip- adresser och NAT-teknik (som gör det möjligt för flera abonnenter att använda samma publika ip-adress) har ökat. För att kunna veta vem som använt en ip-adress vid ett specifikt tillfälle kan det därför vara nödvändigt att ha tillgång till exakta tidsuppgifter för när adressen användes. Härigenom påstås det att de uppgifter man måste behandla sammantaget kan lämna mycket exakt information om abonnenternas internetkommunikation. Enligt utredningen har detta argument inte någon större bärkraft. Det kan nämligen inte vara någon skillnad ur integritetssynpunkt mellan att kartlägga någon via en fast ip-adress eller med hjälp av t.ex. en dynamisk ip-adress, tids- loggar och portnummer; inte i något fall lagras vilka webbsidor som användaren har besökt eller annan motsvarande information. Därtill finns det ingen tidsmässig koppling mellan ip-adressen och över- föringen av information. Ip-adressen kan vara fast eller tilldelas en användare i samband med internetåtkomsten. Normalt används sedan den (dynamiska) ip-adressen under en i förväg bestämd lånetid eller tills användaren kopplar ner från internet; någon direkt kopp- ling till trafik finns därför inte. Ytterligare ett argument för att ip-adresser skulle omfattas av domen är att domstolen i punkt 98 nämner ip-adresser (och andra abonnemangsuppgifter) i beskrivningen av vilka uppgifter som leverantörerna är skyldiga att lagra enligt svensk rätt. nämner också att dessa uppgifter tillsammans med vissa uppräknade trafikuppgifter kan göra det möjligt att dra mycket precisa slutsatser om privatlivet (punkt 99). Man bör emellertid inte lägga allt för stor vikt vid att ip-adresser finns med i uppräkningen. Formuleringarna tycks vara hämtade från Digital Rights-domen (p. 26 och 27), som domstolen också hänvisar till, och utgör en allmän beskrivning av den svenska rätten. Abonnemangsuppgifter omfattades av data- lagringsdirektivet och därmed också av Digital Rights-domen. När domstolen därefter (p. 102 och framåt i Tele2-domen) uttalar sig om kraven som ställs på en lagstadgad lagringsskyldighet nämns endast trafik- och lokaliseringsuppgifter. Som nämns i inledningen av detta avsnitt är det också logiskt att begränsar uttalandena till dessa uppgifter. Ett tredje argumentet gör gällande att utredningens slutsats vilar på det felaktiga antagandet att uppgifter om abonnemang utgör en kategori uppgifter som ur ett EU-rättsligt perspektiv kan skiljas från kategorierna trafik- och lokaliseringsuppgifter. Denna invändning är enligt utredningen inte korrekt. Utredningen gör nämligen bedöm- ningen att det även inom görs en distinktion mellan de olika uppgiftsslagen. T.ex. är det så att datalagringsdirektivet ut- tryckligen reglerade abonnemangsuppgifter, medan de relevanta artiklarna i direktiv /58 inte gör det, se avsnitt 4.2. Om ip-uppgifter (och andra abonnemangsuppgifter) skulle anses omfattas av de uttalanden som görs om trafik- och lokaliserings- uppgifter i domen skulle det innebära att domens föreskrifter om t.ex. föregående domstolsprövning vid tillgång till information om vem som använt en ip-adress eller disponerar över ett telefon- nummer skulle bli tillämpliga. Även reglerna om att tillgång endast skulle kunna beredas de brottsbekämpande myndigheterna vid grova brott skulle behöva beaktas. I sådant fall skulle det krävas övervägan- den även i dessa delar. Som ovan angetts är det dock utredningens bedömning att inte ip-adresser (eller några andra abonnemangs- uppgifter) omfattas av domen. Några sådana överväganden redovisas därför inte. I detta sammanhang ska också nämnas att Förvaltnings- rätten i meddelade ett inhibitionsbeslut i ett mål (nr 6895-16) om utlämning av abonnemangsuppgifter. Dom- stolen beslutade att ett vitesföreläggande mot en internetoperatör tills vidare inte skulle verkställas, eftersom det kunde ifrågasättas om bestämmelserna om tillgång till lagrade uppgifter om elektronisk kommunikation är förenliga med de villkor som i Tele2-domen uttalat ska gälla. Det ska dock noteras att frågan om huruvida abonnemangsuppgifter omfattas av Tele2-domen och de tolkade artiklarna i direktivet alls inte berörs i beslutet. PTS, som utfärdat föreläggandet, överklagade beslutet till Kammarrätten i , som beslutade att inte meddela pröv- ningstillstånd (mål nr 3256-17). Slutligen ska påpekas att, som framgår i avsnitt 6.2.1, även de flesta medlemsstater i den informella rådsarbetsgruppen i EU som behandlar datalagringsfrågan efter Tele2-domen preliminärt har kommit till slutsatsen att ip-adresser är abonnemangsuppgifter, som inte omfattas av domen.