sou · H5B375 · 2017-10-11 00:00:00 — En inskränkning i rättigheter som skyddas av artikel 8 får vidare göras endast om det i ett demokratiskt samhälle är nödvändigt med hänsyn till statens säkerhet, den allmänna säkerheten, landets eko- nomiska välstånd eller till förebyggande av oordning eller brott eller till skydd för hälsa eller moral eller för andra personers fri- och rättigheter. Av praxis följer att en inskränkning måste kunna motiveras av ett angeläget samhälleligt behov och den måste stå i rimlig proportion till det syfte som ska tillgodoses genom inskränkningen. Konventionsstaterna har visst utrymme – of appreciation – att själva avgöra om en inskränkning är nödvändig. förbehåller sig dock rätten att övervaka om stater- nas avvägningar uppfyller konventionens krav på proportionalitet. Domstolens kontroll i detta avseende varierar beroende bl.a. på vilka ändamål som utgör grund för inskränkningen och är typiskt sett något mindre strikt när en stats vitala intressen motiverar en in- skränkning eller när det saknas en enhetlig europeisk rättsuppfatt- ning om hur en fråga ska bedömas (, Mänskliga rättig- heter i Europeisk praxis, 5:e uppl., s. 370–371). Vid bedömningen av om åtgärden är nödvändig i ett demokratiskt samhälle måste en helhetsbedömning göras av alla omständigheter, exempelvis omfattningen och varaktigheten av åtgärden, skälen för åtgärden, vem som är behörig att besluta om, genomföra och över- vaka åtgärden samt vilka rättsmedel som finns. Exempelvis skulle en vid formulering av villkoren för en hemlig övervakningsåtgärd delvis kunna uppvägas av en förhandskontroll i domstol. (Roman mot , , §§ 232, 248, 249 samt Uzun mot , , § 63). Vad avser just förhandskontroll av domstol har uttalat att ett system där sådan prövning saknas och de brottsbekäm- pande myndigheterna i stället har direktåtkomst till exempelvis upp- gifter om mobiltelefonkommunikation är särskilt känsligt för missbruk och att andra garantier mot godtycke och missbruk blir synnerligen stort med ett sådant system (Roman mot , , §§ 268–270). Vid positionsövervakning har det ansetts tillräckligt med en prövning av domstol efter att åtgärden redan skett, exempelvis genom att uppgifter som fram- kommit genom övervakningen inte får användas som bevis i rätte- gång, om övervakningsåtgärden inte varit lagenlig (Uzun mot , , §§ 71 och 72). har vidare ställt vissa krav på att lagstiftningar om hemliga tvångsmedel och övervakningsåtgärder även innehåller andra rättssäkerhetsgarantier. Domstolen har uttryckt att, eftersom det vid hemliga tvångsmedel finns en risk för missbruk i enskilda fall, det är lämpligt att en domare bör ha ansvaret för övervakningen. har domstolen godtagit att ett oberoende utomrättsligt organ med tillräckliga befogenheter ansvarar för tillsynen. (Roman mot , , §§ 233 och 275) Som huvudregel ska den som varit föremål för den hemliga tvångsåtgärden underrättas om det, för att han eller hon inte ska berövas möjligheten att söka gottgörelse för eventuell olaglig användning av tvångsmedlet. har emellertid inte uppställt något absolut krav, med hänvisning till att en underrättelse både kan äventyra syftet med åtgärden och också avslöja hemliga arbetsmetoder eller agenter inom den brottsbekämpande myndig- heten. Domstolen har, som exempel, godtagit att en oberoende myndighet avgör om underrättelse ska skickas eller inte eller att underrättelse underlåts om det finns möjlighet för en enskild som misstänker att han eller hon är föremål för hemlig övervakning att vända sig till en oberoende domstol med utredningsbefogenheter. (Klass m.fl. mot , , § 58 samt Roman mot , , §§ 286–288 och däri hänvisade rättsfall, särskilt mot , , § 167). När det gäller unionsrätten följer det av artikel 52.1 i rättighets- stadgan att varje begränsning i utövandet av de fri- och rättigheter som erkänns i stadgan måste vara föreskriven i lag och förenlig med det väsentliga innehållet i dessa fri- och rättigheter. Begränsningar får, med beaktande av proportionalitetsprincipen, göras endast om de är nödvändiga och faktiskt svarar mot mål av allmänt samhälls- intresse som erkänns av unionen eller behovet av skydd för andra människors fri- och rättigheter. Enligt fasta praxis kräver proportionalitetsprincipen att unionsinstitutionernas åtgär- der, för att vara godtagbara, för det första måste vara ägnade att uppnå de legitima mål som eftersträvas. För det andra får åtgärderna inte gå utöver vad som är lämpligt och nödvändigt för att uppnå de eftersträvade målen. Utrymmet för unionslagstiftaren att bedöma om proportionalitetsprincipens krav är uppfyllda kan begränsas på grund av omständigheter som t.ex. vilken rättighet som begränsas, hur omfattande och allvarligt ingreppet är, vilket syfte ingreppet har etc. Ju mer långtgående ett ingrepp är, desto mer strikt blir EU- domstolens kontroll av att proportionalitetsprincipens krav följs (SOU 2015:31 s. 59). Med kravet att rättighetsinskränkningarna ska vara föreskrivna i lag avses inte nödvändigtvis att föreskriften måste finnas i en författning som benämns just lag (i jämförelse med andra före- skrifter, t.ex. förordning). I sitt förslag till avgörande i Tele2-målet diskuterade generaladvokaten vad som avses med uttrycket i såväl stadgan som i direktiv /58. Efter en jämförelse av olika språk- versioner, en genomgång av praxis från och Europa- domstolen samt efter beaktande av det rättighetsintrång som en generell lagringsskyldighet medför, ansåg generaladvokaten det önskvärt att det väsentliga innehållet i skyldigheten anges i bestäm- melser som antas av den lagstiftande makten och att den verk- ställande makten närmare fastställer tillämpningsföreskrifterna till dessa (punkterna 134–153). Bestämmelser om skydd av personuppgifter finns i unionsrättens primärrätt och sekundärrätt. I artikel 8.1 i rättighetsstadgan slås fast att var och en har rätt till skydd av de personuppgifter som rör honom eller henne. Enligt artikel 8.2 i stadgan ska personuppgifter behandlas lagenligt för bestämda ändamål och på grundval av den berörda personens samtycke eller någon annan legitim och lagenlig grund. Var och en har vidare rätt att få tillgång till insamlade uppgif- ter som rör honom eller henne och att få rättelse av dem. artikel 8.3 i stadgan följer att en oberoende myndighet ska kontrol- lera att dessa regler efterlevs. Begränsningar i rätten till skydd av personuppgifter får – i likhet med vad som gäller för andra fri- och rättigheter enligt stadgan – göras på de grunder som anges i arti- kel 52. Rätten till skydd för enskilda personer avseende behandlingen av personuppgifter kommer till uttryck även i artikel 16 i FEUF där den rättsliga grunden för lagstiftningsåtgärder inom unionsrättens tillämpningsområde slås fast. I artikel 16.2 FEUF anges att oberoende myndigheter ska kontrollera att de bestämmelser som Europaparla- mentet och rådet antar följs. En särskild rättslig grund för lagstift- ning på området för den gemensamma utrikes- och säkerhets- politiken finns i artikel 39 FEUF. Även där slås fast att oberoende myndigheter ska kontrollera att bestämmelserna följs. 3.2.2EU:s dataskyddsdirektiv och dataskyddsreform En allmän reglering om skydd av personuppgifter inom EU finns i direktiv /46/EG (dataskyddsdirektivet). Direktivet har antagits med stöd av fördragens bestämmelser om den inre marknadens upp- rättande och funktion. Direktivet omfattar inte juridiska personer utan gäller bara i fråga om uppgifter som direkt eller indirekt kan hänföras till fysiska personer. Direktivet gäller inte på områden som faller utanför unionsrätten, såsom försvar, allmän säkerhet och statens verksamhet på straffrättens område. Det finns också andra rättsakter som kompletterar dataskyddsdirektivet, bl.a. rådets ram- beslut /977/RIF av om skydd för person- uppgifter som behandlas inom ramen för polissamarbete och straff- rättsligt samarbete, det s.k. dataskyddsrambeslutet. Dataskyddsdirektivet syftar dels till att skydda fysiska personers grundläggande fri- och rättigheter, särskilt rätten till privatliv, i samband med behandling av personuppgifter, dels till att säkerställa det fria flödet av personuppgifter mellan medlemsstaterna. I direk- tivet regleras ett antal allmänna principer om uppgifternas kvalitet och godtagbara grunder för behandling av personuppgifter. Vidare finns det bestämmelser om enskildas rätt till information och till- gång till behandlade uppgifter. Begränsningar i principerna får göras bl.a. om det är nödvändigt med hänsyn till statens säkerhet, allmän säkerhet eller förebyggande, undersökning, avslöjande av brott eller åtal för brott. Regleringen i dataskyddsdirektivet begränsar förutsättningarna för överföring av personuppgifter till tredje land, dvs. till en stat som varken ingår i EU eller är ansluten till EES. Sådan överföring av personuppgifter är som regel tillåten bara om tredje landet, med beaktande av bl.a. uppgifternas art, behandlingens ändamål och var- aktighet och de rättsregler och regler för yrkesverksamhet och säker- het som gäller i det landet, kan anses säkerställa en adekvat skydds- nivå för uppgifterna. Dataskyddsdirektivet har genomförts i medlemsstaterna genom nationell lagstiftning – i främst genom personuppgiftslagen – och medlemsstaterna får inom direktivets ram precisera villkoren för personuppgiftsbehandling. De nationella preciseringarna får dock inte hindra det fria flödet av personuppgifter inom EU. Både dataskyddsdirektivet och dataskyddsrambeslutet har varit föremål för ett omfattande reformarbete inom EU, i syfte att ytter- ligare harmonisera och effektivisera skyddet av personuppgifter. EU- förhandlingarna har pågått och antog rådet och parlamentet dels en dataskyddsförordning med en generell reglering som ska ersätta dataskyddsdirektivet, dels ett nytt direktiv med sär- skilda regler om dataskydd för den brottsbekämpande verksamheten.4 Förordningen ska börja tillämpas i medlemsstaterna och direktivet ska vara implementerat . Från den generella dataskyddsförordningens tillämpningsområde undantas behandling av personuppgifter som utförs av behöriga myndigheter i syfte att förebygga, förhindra, utreda, avslöja eller lag- föra brott eller verkställa straffrättsliga påföljder, i vilket även ingår att skydda mot samt förebygga och förhindra hot mot den allmänna säkerheten (artikel 2). För sådan behandling gäller i stället det nya dataskyddsdirektivet. Förordningen ska, liksom det nya dataskydds- direktivet, inte heller tillämpas på behandling av personuppgifter som utgör ett led i en verksamhet som inte omfattas av unionsrätten. 4 och rådets förordning (EU) 2016/679 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning) respektive och rådets direktiv (EU) 2016/680 om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut /977/RIF. Såväl förordningen som det nya direktivet innehåller regler som begränsar möjligheterna att överföra personuppgifter till tredje land. har ratificerat konvention om skydd för enskilda vid automatisk behandling av personuppgifter (ETS 108), som trädde i kraft . Konventionen, som brukar ses som en precisering av artikel 8 i , syftar till att säkerställa den enskildes grundläggande fri- och rättigheter i sam- band med automatisk behandling av personuppgifter hänförliga till den enskilde (artikel 1). Dataskyddskonventionen innehåller principer för dataskydd som staterna ska iaktta i sin nationella lagstiftning. Personuppgifter som är föremål för automatiserad behandling ska hämtas in och behandlas på ett korrekt sätt för särskilt angivna ändamål. Vidare ska upp- gifterna vara relevanta för ändamålen och får inte senare användas på ett sätt som är oförenligt med dessa. Uppgifterna måste också vara riktiga och aktuella och de får inte bevaras längre än vad som är nödvändigt för ändamålen. (artikel 5) Varje person ska ha rätt att få bekräftat om personlig information om honom eller henne har lagrats (artikel 8). Av artikel 12.2 konventionen följer som huvudregel att en kon- ventionsstat inte endast av integritetsskyddsskäl får hindra att personuppgifter förs över till en annan konventionsstat för att behandlas där. En konventionsstat har rätt att göra undantag från den bestämmelsen om statens lagstiftning innehåller särskilda bestäm- melser för vissa kategorier av personuppgifter eller automatiserade personregister på grund av uppgifternas eller registrens natur (artikel 12.3). Sådana undantag får dock göras bara när den andra partens föreskrifter inte ger ett likvärdigt skydd. antog ett tilläggsproto- koll till dataskyddskonventionen (ETS 181). Det innehåller bestäm- melser om tillsynsmyndigheter och överföring av personuppgifter till länder som inte är bundna av konventionen. Tilläggsprotokollet trädde i kraft . Av protokollet framgår bl.a. att varje konventionsstat ska se till att en eller flera myndigheter ansvarar för att kontrollera att de åtgärder respekteras som inom dess nationella lagstiftning ger verkan åt de principer som anges i konventionen. Tilläggsprotokollet innehåller vidare bestämmelser som anger att konventionsstaterna ska vidta åtgärder för att säkerställa att över- föring av personuppgifter till ett land som inte är konventionspart får ske bara om landet i fråga säkerställer en adekvat skyddsnivå för uppgifterna. Dataskyddskonventionen är föremål för översyn.5 Dataskyddsdirektivet har genomförts i svensk rätt genom framför allt personuppgiftslagen (1998:204). Lagen är i första hand tillämplig på personuppgiftsansvariga som är etablerade i (4 §). Det innebär att lagen tillämpas på sådana fysiska eller juridiska personer som ensamma eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen av personuppgifter och som har en effektiv och faktisk verksamhet med en stabil struktur i (skäl 19 i ingressen till direktivet). Lagen, som i huvudsak följer direktivets text och disposition, om- fattar all automatiserad behandling av personuppgifter och behandling av personregister. Rent privat användning av person- uppgifter är dock undantagen. Det görs även undantag med hänsyn till offentlighetsprincipen och tryck- och yttrandefriheten. Särregler i annan lagstiftning tar över bestämmelserna i personuppgiftslagen. Sådana särregler finns i t.ex. åklagardatalagen (2015:433) och polis- datalagen (2010:361). EU:s rättighetsstadga skyddar yttrandefriheten, artikel 11. I artikeln föreskrivs att var och en har rätt till yttrandefrihet. Denna rätt innefattar åsiktsfrihet samt frihet att ta emot och sprida uppgifter och tankar utan någon offentlig myndighets inblandning och oberoende av territoriella gränser. Motsvarande skydd finns i artikel 10 i Europa- konventionen. 5 /en/web/portal/28-january-data-protection-day-factsheet; förslag till ny kon- ventionstext samt en Draft Explanatory Report lämnades . Även enligt RF tillförsäkras yttrandefrihet. Var och en är gent- emot det allmänna tillförsäkrad yttrandefrihet, dvs. frihet att i tal, skrift eller bild eller på annat sätt meddela upplysningar samt ut- trycka tankar, åsikter och känslor (2 kap. 1 §). 4.1Allmänt om elektronisk kommunikation Elektronisk kommunikation innebär överföring av signaler i elekt- ronisk form. Elektronisk kommunikation omfattar telefoni, data- kommunikation samt utsändningar till allmänheten genom radio och tv. Gradvis växer dessa tre delar samman (SOU 2015:31). Denna utveckling har framför allt möjliggjorts genom digitaliseringen och den tekniska standardiseringen genom framväxten av internet. Detta innebär att olika infrastrukturer och tekniker för överföring av kom- munikation och tjänster som tidigare kunde tillhandahållas genom endast en teknik nu kan tillhandahållas genom flera. Det gör att det exempelvis är möjligt att ringa via datorn, använda internet via tv:n och se på tv i mobiltelefonen. Via elektroniska kommunikationsnät överförs ständigt en mycket stor mängd information. Där förmedlas bl.a. telefonsamtal, elektro- nisk post, datakommunikation och annan kommunikation som inne- håller meddelanden, dvs. information i form av text, bild eller ljud. 4.2Integritetsskydd och tystnadsplikt vid elektronisk kommunikation Som anförs ovan (avsnitt 3.1.3) skyddas mellanmänsklig kommuni- kation av rättighetsstadgan, som föreskriver att var och en har rätt till respekt för sitt privatliv och familjeliv, sin bostad och sina kommuni- kationer (artikel 7). Som också nämns ovan (avsnitt 3.2.1) föreskriver rättighetsstadgan även ett skydd för personuppgifter (artikel 8). I syfte att säkerställa full respekt för de rättigheter som följer av artikel 7 och 8 har EU antagit direktiv /58 som rör just inte- gritet och elektronisk kommunikation. Direktivet syftar även till att säkerställa fri rörlighet för sådana uppgifter samt för utrustning och tjänster avseende elektronisk kommunikation inom unionen. Direktivets bestämmelser preciserar och kompletterar dataskydds- direktivet och är därutöver avsedda att skydda berättigade intressen för de abonnenter som är juridiska personer, artikel 1. Direktivet definierar trafikuppgifter och lokaliseringsuppgifter men inte abonnemangsuppgifter, artikel 2. Bestämmelser om säkerhet vid behandlingen av uppgifter finns i artikel 4 i direktivet. Enligt artikel 4.1 ska leverantören av en all- mänt tillgänglig elektronisk kommunikationstjänst vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa säkerheten i sina tjänster, om nödvändigt tillsammans med leverantören av det allmänna kommunikationsnätet när det gäller nätsäkerhet. Dessa åtgärder ska säkerställa en säkerhetsnivå som är anpassad till den risk som föreligger, med beaktande av dagens tillgängliga teknik och kostnaderna för att genomföra åtgärderna. Enligt artikel 5 ska medlemsstaterna genom nationell lagstiftning säkerställa konfidentialitet vid kommunikation och därmed för- bundna trafikuppgifter via allmänna kommunikationsnät och allmänt tillgängliga elektroniska kommunikationstjänster. Medlemsstaterna ska särskilt förbjuda avlyssning, uppfångande med tekniskt hjälp- medel, lagring eller andra metoder som innebär att kommunikationen och de därmed förbundna trafikuppgifterna kan fångas upp eller övervakas av andra personer än användarna, utan de berörda använ- darnas samtycke och förutom när de har laglig rätt att göra så i enlighet med direktivet. I artikel 6 finns bestämmelser om för vilka ändamål trafikuppgifter får behandlas och krav på begränsningar i fråga om tillgången till upp- gifter för dem som behöver det för att utföra vissa närmare angivna arbetsuppgifter. Som huvudregel ska trafikuppgifter om abonnenter och användare som behandlas och lagras av en leverantör utplånas eller avidentifieras när de inte längre behövs för sitt syfte att överföra kommunikation. Trafikuppgifter som krävs för abonnentfakturering och betalning av samtrafikavgifter får dock behandlas. Om abonnen- ten har samtyckt till det får uppgifter också behandlas för vissa mark- nadsföringsändamål. I artikel 9 finns bestämmelser om andra lokaliseringsuppgifter än trafikuppgifter. Om sådana uppgifter kan behandlas, får dessa upp- gifter endast behandlas sedan de har avidentifierats eller om använ- darna eller abonnenterna gett sitt samtycke. Vidare finns i artikel 15 ett stöd för medlemsstaterna att – för vissa närmare specificerade ändamål – föreskriva undantag från de skyddsregler som finns i artiklarna 5, 6 och 9. Undantag får bl.a. göras om det i ett demokratiskt samhälle är nödvändigt, lämpligt och proportionerligt för att skydda nationell säkerhet, försvaret och allmän säkerhet samt för förebyggande, undersökning, avslöjande av och åtal för brott. Direktiv /58 har genomförts i svensk rätt främst genom bestämmelser som tagits in i LEK, se nedan. har lagt fram ett förslag till en ny förordning om respekt för privatlivet och skydd för personuppgifter i samband med elektronisk kommunikation som ska ersätta direktiv /58. Förordningen kommer enligt de utkast som har presenterats inte att förändra det nationella utrymmet att anta bestämmelser om datalagring för brottsbekämpande ändamål. Förslaget bereds inom EU. LEK trädde i kraft och syftade bl.a. till att genomföra flera EG-direktiv om elektronisk kommunikation. Lagen är i huvudsak en näringsrättslig lagstiftning som syftar till att enskilda och myndig- heter ska få tillgång till säkra och effektiva elektroniska kommuni- kationer och största möjliga utbyte vad gäller urvalet av elektroniska kommunikationstjänster samt deras pris och kvalitet. LEK gäller elektroniska kommunikationsnät och kommunikations- tjänster med tillhörande installationer och tjänster samt annan radio- användning (1 kap. 4 § första stycket). Elektroniskt kommuni- kationsnät definieras i lagen som system för överföring och i tillämp- liga fall utrustning för koppling eller dirigering samt andra resurser som medger överföring av signaler, via tråd eller radiovågor, på optisk väg eller via andra elektromagnetiska överföringsmedier, oberoende av vilken typ av information som överförs (1 kap. 7 §). Med elektro- nisk kommunikationstjänst avses i lagen en tjänst som vanligen till- handahålls mot ersättning och som helt eller huvudsakligen utgörs av överföring av signaler i elektroniska kommunikationsnät (1 kap. 7 §). Bestämmelser om säkerhet vid tillhandahållande av allmänt till- gängliga elektroniska kommunikationstjänster finns i 6 kap. 3–4 b §§ LEK. Dessa bestämmelser genomför regleringen i artikel 4 i direk- tivet om integritet och elektronisk kommunikation. Konfidentiali- teten enligt artikel 5 i direktivet säkerställs bl.a. genom bestämmelser om förbud mot avlyssning i 6 kap. 17 § LEK och bestämmelser om tystnadsplikt i 20 § samma kapitel. I 20 § föreskrivs således att den som i samband med tillhandahållande av ett elektroniskt kommuni- kationsnät eller en elektronisk kommunikationstjänst har fått del av eller tillgång till vissa närmare angivna uppgifter som rör ett med- delande inte obehörigen får föra vidare eller utnyttja det han eller hon har fått del av eller tillgång till. Tystnadsplikten omfattar uppgift om abonnemang, innehållet i ett elektroniskt meddelande eller annan uppgift som angår ett särskilt elektroniskt meddelande. Enligt lagen har operatörerna dessutom tystnadsplikt för uppgift som hänför sig till användning av vissa hemliga tvångsmedel, nämligen hemlig av- lyssning av elektronisk kommunikation, hemlig övervakning av elektronisk kommunikation, kvarhållande av försändelser samt in- hämtning av uppgifter enligt IHL (6 kap. 21 §). Ett obehörigt röjande eller utnyttjande av sådana uppgifter i strid med denna bestämmelse är straffsanktionerat som brott mot tystnadsplikten enligt 20 kap. 3 § . Vidare innehåller LEK bestämmelser om under vilka förutsätt- ningar trafikuppgifter får behandlas (6 kap. 5–8 §§). Som utvecklas närmare i avsnitt 6 finns även bestämmelser i lagen som anger att vissa uppgifter måste lagras under en närmare angiven tidsperiod för att de ska finnas tillgängliga för brottsbekämpande ändamål (6 kap. 16 a–f §§). Vissa bestämmelser i knyter an till om hemlig avlyssning av elektronisk kommunikation och hemlig övervakning av elektronisk kommunikation. I 6 kap. 19 § LEK regleras anpassnings- skyldigheten för operatörerna. Den innebär att vissa verksamheter ska bedrivas så att beslut om hemlig avlyssning av elektronisk kom- munikation och hemlig övervakning av elektronisk kommunikation kan verkställas under sådana former att verkställandet inte röjs. Inne- hållet i och uppgifter om avlyssnade eller övervakade meddelanden ska göras tillgängliga så att informationen enkelt kan tas om hand. En liknande bestämmelse finns i 16 f § samma kapitel.