sou · H5B375 · 2017-10-11 00:00:00 — Det konstaterades dock att för att de lagrade uppgifterna skulle tjäna sitt syfte, nämligen att kunna användas för att upptäcka, utreda och lag- påverkan på reglerna om datalagring föra allvarliga brott, så måste de finnas tillgängliga under en så pass att de brottsbekämpande myndigheterna har en reell möjlig- het att hinna begära ut dem innan de raderas. Av uppgifter som inhämtats från polisen framgick att teledata m.m. som inhämtas i underrättelseverksamhet i de flesta fall är yngre än en månad men att det även finns ärenden där historik upp varit av stor vikt i analysarbetet. Det framgick också att den största andel upp- gifter som begärs in i utredningsverksamheten är yngre än . Uppskattningsvis 20–angavs dock vara äldre än och av den totala mängden äldre än . Behovet av äldre uppgifter angavs särskilt gälla tidskrävande förundersökningar avseende grova våldsbrott av spaningskaraktär samt bekämpning av grova seriebrott som våldtäkter och mord- försök där det finns behov av äldre trafikdata för att kunna knyta en person till tidigare anmälda brott (s. 86). Mot bakgrund av detta riskerade, enligt bedömningen i prome- , en kortare lagringstid än att leda till att syftet med lagringen inte kunde uppfyllas, särskilt vad gäller de grövsta brotten där det finns ett uttalat behov av äldre uppgifter. Det fram- hölls att det ur ett proportionalitetsperspektiv inte är acceptabelt med ett lagringskrav som tillgodoser behovet av uppgifter för att utreda mindre allvarlig brottslighet, som uppgifter inte finns till- gängliga för att utreda grövre brott. Om en lagring för brottsbekäm- pande ändamål över huvud taget ska ske, ansågs det att tiden för lagringen måste vara sådan att det blir möjligt för de brottsbekäm- pande myndigheterna att använda de lagrade uppgifterna (s. 86). Sammanfattningsvis bedömdes därför en lagringstid uppfylla krav på att tiden ska begränsas till vad som kan anses strikt nödvändigt (s. 86–87). 8.3.4Säkerheten för de lagrade uppgifterna Skyddsregler och utplåning av uppgifter fann i Digital Rights-domen att direktivets regler om skydd för lagrade uppgifter var otillräckliga på flera punkter (punk- terna 66 och 67 i domen). Domstolen konstaterade att artikel 7 inte ställde upp säkerhetskrav anpassade till (i) den stora mängd data som ska lagras enligt direktivet, (ii) uppgifternas känsliga natur eller (iii) påverkan på reglerna om datalagring risken för att uppgifterna kommer i orätta händer, på ett sätt som kan sägas garantera att uppgifterna hålls konfidentiella. Inte heller hade medlemsstaterna förpliktats att själva föreskriva en sådan ordning. Domstolen fann vidare att artikel 7, läst tillsammans med artikel 4.1 i direktiv /58 samt artikel 17.1 i direktiv /46, inte ställde krav på att en särskilt hög säkerhetsnivå upprätthålls hos leverantörerna vad gäller tekniska och organisatoriska åtgärder. Detta eftersom leverantörerna tilläts att ta ekonomiska hänsyn vid bestämmandet av lämplig säkerhetsnivå. Dessutom framhöll dom- stolen att direktivet inte ställde något absolut krav på att uppgifterna utplånas vid slutet av lagringstiden. I analysen i promemorian konstaterades inledningsvis att de svenska leverantörerna, genom regleringen i 6 kap. 3 a § LEK som tar sikte enbart på uppgifter lagrade enligt 16 a § samma kapitel, har en skyldighet att vidta de särskilda tekniska och organisatoriska åtgärder som behövs för att skydda uppgifterna, utan att de i den bedömningen tillåts ta några ekonomiska hänsyn. Den kritik EU- domstolen riktade mot direktivet i det hänseendet bedömdes därför inte relevant för den svenska regleringen (s. 90 i promemorian). Vidare konstaterades i analysen att 37 § FEK har utformats i mycket nära anslutning till artikel 7 i direktivet. Det ansågs mot den bakgrunden, med hänsyn till uttalanden, kunna ifrågasättas om enbart regleringen i 6 kap. 3 a § LEK och 37 § FEK ställer upp ett tillräckligt preciserat skydd för de lagrade uppgifterna. I den delen beaktades dock även de krav som följer av de föreskrifter som har meddelats av PTS. Det framhölls att dessa föreskrifter är detaljerade och de reglerar såväl frågor om behörighet och åtkomst som om fysiskt skydd för den utrustning som används för att lagra uppgifterna. De reglerar även i detalj frågor om loggning, som gör det möjligt att i efterhand se vem som haft tillgång till lagrade upp- gifter, samt säkerhetskopiering. Sammantaget ansågs detta inte kunna leda till någon annan slutsats än att det skydd som i regleras genom lag, förordning och myndighetsföreskrifter är betydligt mer omfattande och mer detaljerat än vad som följde av direktivets krav (s. 90). Det påpekas också att skyddsnivån är betyd- ligt högre och skyddsreglerna mer preciserade än när det gäller de uppgifter leverantörerna har tillstånd att lagra med stöd av direktiv /58. Utifrån de kriterier domstolen lyfte fram bedömdes de påverkan på reglerna om datalagring svenska regler som ska säkerställa skyddet för de lagrade uppgifterna vara tillräckligt strikta och precisa. I analysen framhölls också att bestämmelsen i 6 kap. 16 d § LEK ställer krav på leverantörerna att utplåna uppgifterna vid lagrings- tidens utgång eller, om en begäran om utlämnande inkommit men inte hunnit behandlas, så fort uppgifterna har lämnats ut. När det däremot gäller det fortsatta bevarandet hos de brotts- bekämpande myndigheterna av uppgifter som lämnats ut noteras att det av naturliga skäl inte finns någon bestämd frist föreskriven för hur länge uppgifterna får bevaras. Det påpekades dock att frågan om utplåning av uppgifter från hemlig övervakning inte är oreglerad, utan bestämmelser om detta finns i främst 27 kap. 24 § RB och 9 § IHL. Det framhölls också att det av praxis följer att förstörandet av material från hemliga tvångsmedel innan en rättegång är avslutad i vissa fall kan kränka den misstänktes rätt till en rättvis rättegång (domar i målen Natunen mot , , och Janatuinen mot , , vilka båda avsåg material som inhämtats vid hemlig avlyss- ning). Ett krav på utplåning av uppgifterna vid en viss bestämd tid- punkt, utan att hänsyn tas till var i processen ett ärende befinner sig, bedömdes därför kunna kränka den misstänktes rätt till en rättvis rättegång enligt artikel 47 i rättighetsstadgan och artikel 6 i Europa- konventionen (s. 91–92). Sammanfattningsvis bedömdes att regleringen i 6 kap. 16 d § LEK om utplåning av uppgifter vid lagringstidens slut hos leverantören uppfyller de krav på ett sådant oåterkalleligt förstörande av upp- gifterna som efterlyste (s. 92–93). Krav på lagring inom EU pekade i Digital Rights-domen på att datalagrings- direktivet inte krävde att uppgifterna skulle lagras inom unionen. Detta innebar enligt domstolen att den oberoende myndighets- kontrollen av att skydds- och säkerhetskraven för de lagrade upp- gifterna följs – vilken föreskrivs i artikel 8.3 i stadgan – inte fullt ut kunde anses vara garanterad (punkt 68). Enligt domstolen är en sådan kontroll en grundläggande beståndsdel i skyddet för enskilda individer i samband med behandlingen av personuppgifter. påverkan på reglerna om datalagring I promemorian framhölls att det mot bakgrund av domstolens uttalanden om intresset av effektiv tillsyn fanns mycket som talade för att det bör införas ett krav på att lagringen av uppgifter ska göras inom EU eller EES (s. 97). I anslutning till denna bedömning redogjordes också för risken för ändamålsglidning, dvs. att uppgifter som lagras för ett visst ändamål kommer till användning i annan verksamhet eller för andra ändamål. Det konstaterades att en leve- rantör som väljer att lagra uppgifter i en server på en annan stats territorium kan tvingas att lämna ut dessa till utländska myndigheter i enlighet med lagstiftningen i lagringslandet. Det ansågs därför inte kunna uteslutas att uppgifter som lagras med stöd av svensk lag- stiftning enbart för ändamål som rör bekämpning av vissa närmare avgränsade typer av brott skulle kunna komma till användning i annan verksamhet eller för bekämpning av annan brottslighet. Ett rimligt antagande ansågs vara att riskerna för sådan ändamålsglidning generellt sett torde öka om lagringen sker i ett tredje land jämfört med om den sker inom EU eller EES (s. 96–97). Sammanfattningsvis framhölls i analysen att det svenska regelverket avseende lagring enligt 6 kap. 16 a–f §§ LEK samt bestämmelserna om tillgång och behandling av sådana uppgifter med beaktande av uttalanden, inte strider mot unionsrätten eller europarätten. Utredaren fann dock att det fanns skäl att ändå närmare överväga några frågor. Det gällde dels lagringsskyldigheten avseende ett par uppgiftskategorier, dels reglerna om tillsyn såvitt avser in- hämtning av abonnemangsuppgifter samt reglerna om en oberoende kontroll såvitt gäller inhämtning av uppgifter i underrättelseskedet. Vidare ansågs att det kunde övervägas om ett uttryckligt förbud mot lagring utanför EU/EES borde införas (s. 101). 8.4Datalagringsutredningens överväganden (SOU 2015:31) Som en uppföljning av analysen i departementspromemorian Data- lagring, och svensk rätt (Ds 2014:23) gav regeringen en utredare i uppdrag att överväga ytterligare rättssäkerhets- och inte- påverkan på reglerna om datalagring gritetsstärkande åtgärder för IHL och för reglerna om lagring enligt 6 kap. 16 a–f §§ LEK (dir. 2014:101). Utredningen, som antog namnet , redo- visade sina slutsatser i betänkandet Datalagring och integritet (SOU 2015:31) . slutsatser redovisas i det följande. 8.4.1Inget förslag om förändring i fråga om vilka uppgiftskategorier som ska lagras I departementspromemorian gjordes bedömningen att inga av de uppgifter som omfattas av datalagringsskyldigheten var att anse som oviktiga. Vissa bedömdes dock vara mindre viktiga (avsnitt 8.3.1). Enligt de uppgifter inhämtade framgick dock att samtliga uppgiftskategorier som ska lagras enligt LEK bedömdes vara av stor vikt för brottsbekämpningen (SOU 2015:31 s. 167). Mot bakgrund härav föreslog inte utredningen någon för- ändring i fråga om vilka uppgiftskategorier som skulle lagras enligt datalagringsreglerna. 8.4.2Inget förslag om krav på lagring inom EU Som antecknades i departementspromemorian, fanns inte något krav i datalagringsdirektivet på var uppgifterna skulle lagras. I den mån de lagrade uppgifterna var personuppgifter kunde dock den allmänna dataskyddaregleringen påverka i vilken utsträckning det var möjligt att överföra uppgifterna till andra länder (s. 93 i Ds 2014:23). konstaterade att enligt svensk rätt gäller leverantörens skyldigheter enligt de bestämmelser som anger hur lagringsskyldigheten ska fullgöras, t.ex. de krav som rör säkerheten för de lagrade trafikuppgifterna, även om lagringen förläggs utom- lands (SOU 2015:31 s. 178 med hänvisning till prop. 2010/11:46 s. 60). Detta skulle enligt särskilt beaktas av leverantörerna vid överväganden att lagra trafikuppgifter utomlands. Det ingår i PTS ansvar att kontrollera att leverantörerna följer regleringen i LEK och de föreskrifter som har meddelats med stöd av lagen. Det ansvaret gäller oberoende av var leverantörerna väljer att lagra uppgifter. Som framgår nedan har PTS vissa befogenheter för påverkan på reglerna om datalagring att kontrollera att leverantörerna följer skydds- och säkerhets- reglerna. Regeringen bedömde när datalagringsdirektivet genom- fördes att de befogenheterna fick anses vara tillräckliga för att myndigheten skulle kunna utöva en aktiv och ändamålsenlig till- synsverksamhet (prop. 2010/11:46 s. 58). PTS befogenhet att få tillträde till områden, lokaler och andra ut- rymmen där verksamhet som omfattas av LEK bedrivs kunde enligt i praktiken utövas endast i . Däremot torde möjligheterna att utöva de övriga befogenheter myndigheten har till sitt förfogande, t.ex. att begära upplysningar eller att meddela förelägganden och förbud, inte påverkas av var leverantören väljer att lagra uppgifterna. Mot den bakgrunden kom Datalagringsutred- ningen till slutsatsen att PTS har vissa möjligheter att bedriva en aktiv och ändamålsenlig tillsynsverksamhet även gentemot leverantörer som väljer att lagra uppgifter utanför unionen (SOU 2015:31 s. 179). I sammanhanget framhöll att regleringen i dataskyddsdirektivet, dataskyddskonventionen och PUL innebär att personuppgifter inte får föras över till länder som inte erbjuder en adekvat nivå av skydd för uppgifterna. Vid bedömningen av om skyddet kan anses adekvat skulle det enligt beaktas om de tillämpliga reglerna i det tredje landet innehåller den kärna av dataskyddsprinciper som gäller inom EU. Dessa principer innebär bl.a. att kvaliteten på det aktuella landets skyddsmekanismer är en viktig omständighet vid bedömningen av skyddsnivån. Regler- ingen innebär således att uppgifter får föras över bara till sådana tredje länder som har tillräckliga skyddsmekanismer sett i förhållande till den aktuella typen av uppgifter. Kraven på skydd ska också ställas högre ju känsligare uppgifter det är fråga om (SOU 2015:31 s. 179). Mot den bakgrunden kom till slutsatsen att den oberoende myndighetskontrollen var garanterad i svensk rätt även i förhållande till leverantörer som väljer att lagra uppgifter utan- för unionen. Avsaknaden av ett krav på lagring inom EU eller EES innebar således, enligt , inte att regleringen i svensk lag stred mot bestämmelserna om grundläggande rättigheter i EU-stadgan. Enligt utredningen skulle dessutom ett förbud mot lagring utanför EU strida mot åtaganden enligt dataskydds- konventionen. (SOU 2015:31 s. 179–182) påverkan på reglerna om datalagring 8.4.3Uppgifter som omfattas av tystnadsplikt Inget förbud mot övervakning av personer som omfattas av tystnadsplikt I fråga om förbud mot övervakning av personer med tystnadsplikt konstaterade inledningsvis att svensk rätt intar ståndpunkten att det normalt är en uppgifts innehåll som avgör om den omfattas av skydd mot avlyssning och undantag från vittnes- plikt. Trots det kunde det enligt utredningen i vissa situationer finnas ett intresse av att begränsa myndigheternas insyn i att kom- munikation över huvud taget har förekommit, t.ex. vid kommuni- kation med sådana personer som berörs av meddelarskyddet. I dessa fall skulle redan en uppgift om att någon har varit i kontakt med en journalist kunna leda till att det anonymitetsskydd som garanteras genom journalistens tystnadsplikt hotas (SOU 2015:31 s. 208). En uppgift om att en person har kommunicerat med en journalist omfattas av skydd för meddelarfrihet endast i de fall då kommuni- kationen innebär att ett meddelande lämnas för publicering. Vid inhämtning av uppgifter om elektronisk kommunikation känner de brottsbekämpande myndigheterna normalt sett inte till innehållet i kommunikationen. Det innebär att det oftast inte går att avgöra vilka uppgifter som omfattas av tystnadsplikt. Ett förbud mot att hämta in sådana uppgifter skulle därför enligt vara mycket svårt att tillämpa. Om myndigheten i något fall skulle känna till att de aktuella uppgifterna omfattas av yrkesmässig tystnadsplikt redan innan inhämtning utförs, torde dessutom en tillämpning av proportionalitetsprincipen normalt sett leda till att uppgiften inte får hämtas in. Ett uttryckligt förbud mot inhämtning av uppgifter i sådana situationer skulle därför, enligt , vara av begränsat praktiskt värde. Något förslag på sådant förbud lämna- des därför inte (SOU 2015:31 s. 209). Ett annat tänkbart alternativ för att stärka skyddet för uppgifter som omfattas av yrkesmässig tystnadsplikt var enligt Datalagringsutred- ningen att införa regler om att sådana uppgifter ska förstöras i efter- hand. Även tillämpningen av en sådan regel skulle visserligen nor- påverkan på reglerna om datalagring malt förutsätta att den brottsbekämpande myndigheten känner till innehållet i kommunikationen. Det skulle dock enligt utredningen inte vara otänkbart att det i undantagsfall skulle kunna inträffa att myndigheten får sådan kännedom, t.ex. då hemlig övervakning av elektronisk kommunikation används tillsammans med hemlig avlyss- ning av elektronisk kommunikation. I den utsträckning kommuni- kationen i en sådan situation omfattas av avlyssningsförbud har den brottsbekämpande myndigheten en skyldighet att förstöra upptag- ningarna och uppteckningarna från avlyssningen. Däremot finns det inte någon uttrycklig skyldighet att radera också uppgiften om att kommunikationen har ägt rum. Detta gäller även om myndigheten genom avlyssningen fått kännedom om att t.ex. ett meddelande lämnades till en journalist för publicering. Enligt Datalagringsutred- ningens uppfattning var detta en brist i skyddet för den yrkesmässiga tystnadsplikten. Utredningen kunde inte heller se några tungt vägande skäl mot att den brottsbekämpande myndigheten i en sådan situation skulle vara skyldig att radera även uppgifter som anger att kommunikationen har ägt rum (SOU 2015:31 s. 209–210). Mot bakgrund av det ovan anförda föreslog Datalagringsut- redningen en skyldighet för de brottsbekämpande myndigheterna att förstöra uppteckningar från hemlig övervakning av elektronisk kommunikation och inhämtning av uppgifter enligt IHL i de delar uppteckningarna innehåller uppgifter som, på grund av bestämmel- serna i 36 kap. 5 § andra–sjätte styckena RB, inte skulle ha kunnat inhämtas genom vittnesförhör i domstol. Eftersom möjligheten att avgöra om tystnadsplikt gäller för uppgifter om att kommunikation förekommit normalt är beroende av vad kommunikationen innehöll torde det endast sällan bli aktuellt att tillämpa dessa regler. Det var emellertid enligt inte något starkt skäl för att avstå från att införa reglerna (SOU 2015:31 s. 210). gjorde en genomgång av tillämpningen av IHL hos , och . För denna genomgång hänvisas till betänkande Datalagring och integritet (SOU 2015:31 s. 213–283). påverkan på reglerna om datalagring I anslutning till denna genomgång övervägdes ett antal förslag som skulle kunna stärka rättssäkerheten och integritetsskyddet. Dessa förslag redogörs för i det följande. Inget förslag med krav på förhandskontroll av domstol inledde sina överväganden i fråga om ändrad beslutsordning med att erinra om att alternativet med dom- stolsprövning övervägdes redan i samband med att IHL infördes. Regeringen uttalade då följande (prop. 2011/12:55 s. 88–89). Att allmän domstol fattar beslut om hemliga tvångsmedel under en för- undersökning är lämpligt och väl förenligt med det tvåpartsförfarande och de möjligheter till rättslig prövning som gäller där. Frågan blir då om allmän domstol, som har förordat, också bör fatta beslut om inhämtning i underrättelseverksamhet. Som redovisas […] ovan gör sig andra intressen gällande i underrättelseverksamhet än under en förundersökning. Integritetsaspekten präglas i underrättelse- skedet mer av ett medborgarperspektiv än av ett sådant tvåpartsför- farande som särskilt lämpar sig för rättslig prövning i allmän domstol. Det får också, såsom bl.a. JO och har fram- fört, anses vara principiellt tveksamt att de allmänna domstolarna på för- hand rättsligt prövar olika åtgärder som vidtas inom ramen för under- rättelseverksamhet. Kännetecknande för den verksamheten är att den är operativ, kunskapssökande och undersökande men inte primärt inriktad mot någon viss inträffad gärning eller någon viss misstänkt person. För det fall allmän domstol generellt skulle rättsligt pröva olika åtgärder som vidtas i underrättelseverksamheten och därmed i många fall skulle ge tillstånd till olika operativa spaningsåtgärder, kan det finnas risk för att domstolens roll som oberoende prövningsinstans i brottmålsförfarandet ifrågasätts, i varje fall när åtgärderna senare leder fram till förundersök- ning och åtal. En sådan roll skulle för domstolen också vara delvis främ- mande i det svenska rättssystemet. Enligt lagen om åtgärder för att för- hindra vissa särskilt allvarliga brott är det visserligen domstol som ger tillstånd till inhämtningen efter ansökan av åklagare (6 §). Det rör sig dock i det fallet om en tidsbegränsad lag som enligt uppgift har kommit att tillämpas när en förundersökning är förestående, dvs. i praktiken inom ramen för vad som brukar benämnas förutredning (SOU 2009:70 s. 172). Den nu föreslagna regleringen är avsedd att ha ett vidare tillämp- ningsområde. Det kan dessutom ifrågasättas om domstolarna skulle kunna tillgodose behovet av snabba beslut utanför kontorstid. Att införa en ordning med dygnetruntberedskap för de allmänna domstolarna för att pröva frågor om inhämtande av uppgifter i underrättelseverksamhet framstår inte som ändamålsenligt. Mot den angivna bakgrunden anser regeringen att allmänna domstolar inte bör ges beslutanderätten för påverkan på reglerna om datalagring inhämtning av uppgifter om elektronisk kommunikation i de brotts- bekämpande myndigheternas underrättelseverksamhet. Enligt uppfattning saknades det skäl att göra någon annan bedömning än den regeringen gjorde när IHL in- fördes. De argument som då fördes fram mot en domstolsprövning hade fortfarande bärkraft. Vidare noterade utredningen att under- rättelseverksamheten, till skillnad från en förundersökning, inte primärt är inriktad på någon viss gärning eller någon viss person. Till detta kom den omständigheten att det är tveksamt om domstolarna, inom ramen för den nuvarande jourorganisationen, skulle kunna tillgodose de brottsbekämpande myndigheternas behov av snabba beslut. Däremot skulle behovet av snabba beslut kunna tillgodoses genom att de brottsbekämpande myndigheterna får en möjlighet att i brådskande fall fatta interimistiska beslut, med en efterföljande prövning av beslutet i domstol. En sådan ordning var dock inte heller helt oproblematisk enligt . Dels kvarstår övriga argument mot en domstolsprövning. Dels gäller i princip samtliga beslut enligt IHL uppgifter i förfluten tid. När domstolen väl överprövar ett interimistiskt beslut skulle därför i de allra flesta fall uppgifterna redan vara levererade till den brottsbekämpande myndighet som begärt dem. I sådana fall skulle det behövas regler om vad följden blir om domstolen upphäver det interimistiska beslutet, i likhet med dem som gäller i fråga om interimistiska beslut om hem- liga tvångsmedel under en förundersökning (27 kap. 21 a § RB). Att föreskriva att inhämtade uppgifter i en liknande situation inte får användas i en förundersökning är enligt logiskt, eftersom det får den konsekvensen att uppgifterna inte kan användas som bevisning. I underrättelseverksamhet är det dock mer oklart vad en motsvarande bestämmelse skulle få för praktiska följder. En bestämmelse som exempelvis innebär att myndigheten i sådan verksamhet måste bortse från information som den faktiskt känner till framstod enligt inte som för- troendeingivande. (SOU 2015:31 s. 288–289) Ett annat skäl som enligt talade mot att beslutskompetensen skulle anförtros domstol, eller någon annan myndighet som är fristående från de brottsbekämpande myndig- heterna, var intresset av att kunna hålla den information som finns i underrättelseärendena inom en så snäv personkrets som möjligt. Även om domstolarna naturligtvis har stor vana av att hantera sekre- påverkan på reglerna om datalagring tesskyddat material på ett säkert sätt, går det enligt utredningen inte att bortse från att risken för spridning av informationen ökar ju större personkrets som får tillgång till den. (SOU 2015:31 s. 289) lämnade därför inte något förslag på förhandsprövning av domstol. Inget förslag om möjlighet att överklaga Ett annat alternativ som övervägde var att konstruera ett system med en möjlighet att överklaga de brotts- bekämpande myndigheternas beslut enligt IHL till domstol. En sådan ordning inrymde dock enligt utredningen en hel del praktiska problem. Eftersom de personer som besluten gäller förutsätts inte känna till dem, måste någon annan anförtros uppgiften att granska samtliga beslut för att avgöra vilka som eventuellt bör överklagas. Detta skulle enligt utredningen förutsätta att ett offentligt ombud eller motsvarande involveras i beslutsprocessen hos myndigheterna.