sou · H5B375 · 2017-10-11 00:00:00 — Enligt föreskrifterna gäller bl.a. att den lagringsskyldige ska bedriva ett kontinuerligt och systematiskt säkerhetsarbete samt att rutiner och processer i detta avseende ska dokumenteras. Vidare ska endast personal med särskild behörighet ha tillgång till de lagrade uppgifterna och all behandling av uppgifterna ska loggas. (Post- och föreskrifter och allmänna råd om skyddsåtgärder i samband med lagring och annan behandling av uppgifter för brottsbekämpande ändamål, PTSFS 2012:4). har inte gjort något uttalande i den nu aktuella domen som gör att analysen efter Digital Rights-domen behöver frångås. Enligt utredningens bedömning uppfyller således den svenska regleringen i detta hänseende krav. anger att den nationella lagstiftningen måste före- skriva att datalagrade uppgifter inte ska få lagras utanför unionen (avsnitt 9.9). Vid den inledande analysen efter Digital Rights-domen föreslogs att frågan om ett förbud mot lagring utanför EU/EES borde utredas vidare (Ds 2014:23 s. 101). I den efterföljande analysen gjordes bedömningen att det inte bör införas något uttryckligt för- bud mot att uppgifter som lagras enligt de svenska datalagrings- reglerna förs över till tredje land (SOU 2015:31 s. 178). Genom EU- domstolens tydliga ställningstagande blir den nu nämnda bedöm- ningen inte längre hållbar. Enligt utredningen bör det därför i vart fall införas ett förbud mot att lagra de nu aktuella uppgifterna utan- för EU. För att regleringen ska bli enhetlig bör detsamma gälla abonnemangsuppgifter. Som nämnts ovan (avsnitt 8.4.2) menade att lagring utomlands inte minskar möjligheterna att bedriva en aktiv och ändamålsenlig tillsynsverksamhet (se även prop. 2010/11:46 s. 58–60 och bet. 2010/11:JuU14 s. 13–14). noterade i och för sig att PTS befogenhet att få tillträde till områden, lokaler och andra utrymmen i praktiken endast kan utövas i . Däremot påverkades enligt samma utredning inte möjligheterna att utöva de övriga befogenheter myndigheten har till sitt förfogande, t.ex. att begära upplysningar eller att meddela förelägganden och förbud, av var leverantören väljer att lagra uppgifterna. Mot den bakgrunden kom till slutsatsen att PTS har möjlighet att bedriva en aktiv och ändamålsenlig tillsynsverksamhet även gentemot leverantörer som väljer att lagra uppgifter utanför unionen. Även om man kan instämma i bedöm- ning är det ofrånkomligt att en skyldighet för operatörerna att lagra uppgifterna i skulle göra PTS tillsyn ännu mer . När nu regelsystemet måste förändras vore det enligt utredningen värde- fullt om den ytterligare förstärkning av tillsynen, som det skulle innebära med ett lagringskrav i , skulle tas till vara (se även p. 241 i generaladvokatens förslag till avgörande i Tele2-målet). Här- utöver finns det skäl att tro att konfidentialiteten skyddas på ett bättre sätt om uppgifter endast lagras i . Vidare blir det inte möjligt att i lagstiftningsarbetet göra en rättvis proportionalitetsbedömning, om det inte är möjligt att avgränsa vilka myndigheter (eller andra) som kan beredas tillgång till upp- gifterna och för vilket syfte. Någon närmare harmonisering av lagrings- och tillgångsbestämmelser avseende uppgifter om elektro- nisk kommunikation mellan staterna finns nämligen inte. Om uppgifterna lagras i ett annat land, som har en snävare lagrings- skyldighet men generösare tillgångsbestämmelser, kan användnings- området för uppgifterna bli oproportionerligt stort. En bestämmelse om att lagring inte får ske utanför kan således motiveras utifrån flera syften. En nackdel med en begränsning till är att operatörer som har verksamhet i flera EU-länder inte kan centralisera sin lagring och på så sätt kostnadseffektivisera processen. Motsvarande nackdel gäller för operatörer som verkar både i och utanför EU. Vid bedömningen av om det nu diskuterade lagringskravet ska införas är frågan om åtaganden enligt dataskyddskon- ventionen hindrar det. Som beskrivs ovan förbjuder nämligen data- skyddskonventionen en nationell lagstiftning som endast av integri- tetsskyddsskäl (”for the sole purpose of the protection of privacy”, artikel 12.2) hindrar att personuppgifter förs över till en annan konventionsstat för att behandlas där (avsnitt 3.2.3). synes närmast ha kommit till slutsatsen att en lagstiftning som påbjuder lagring endast inom EU inte skulle vara förenlig med åtaganden enligt dataskyddskonventionen (SOU 2015:31 s. 181–182). Det finns dock skäl att numera ifråga- sätta den slutsatsen eftersom i Tele2-domen har före- skrivit att lagring måste ske inom unionen och att lagring i kon- ventionsstater utanför EU alltså inte är tillåten. Vid ett första påseende kan slutsats synas svårförenlig med data- skyddskonventionen, men har uppenbarligen inte ansett att konventionen hindrar en sådan ordning. (I sammanhanget bör påpekas att samtliga EU-medlemsstater har ratificerat kon- ventionen). Förklaringen till resonemang måste sökas i domskälen. Domstolen lyfter här fram inte bara integritets- aspekter utan även t.ex. konfidentialitet (p. I resonemanget pekar även på vikten av en effektiv tillsyn (p. 123) och hänvisar till Digital Rights-domen p. 68, i vilken myndighets- kontrollen anförs som det bärande skälet för att förbjuda lagring utanför unionen (se även generaladvokatens förslag till avgörande i Tele2-målet p. Det kan visserligen argumenteras för att även tillsyn omfattas av ”protection of privacy”. Med beaktande av att bestämmelserna om tillsyn infördes först genom tilläggsprotokollet till dataskyddskonventionen och att detta inte har ratificerats av alla konventionsstater framstår emellertid inte det ha varit syftet. I förslaget till en ny dataskyddskonvention är kapitlet om tillsyn också placerat efter den motsvarande bestämmelsen om fri rörlighet för personuppgifter. Det framgår alltså att även om integritetsintresset har vägts in i resonemang så har det inte varit ensamt avgörande (således inte ”the sole purpose”). Vid en sådan bedömning hindrar inte dataskyddskonventionen en ordning där lagring inte tillåts i andra konventionsstater. Dataskyddskonventionen är under reform men det finns inget som tyder på att nu aktuell bestämmelse i dataskydds- konventionen skulle få ett så annorlunda innehåll att bedömningen skulle bli annorlunda när den nya konventionen börjar tillämpas. I sammanhanget ska noteras att direktiv /46 innehåller en reglering som i detta hänseende i stora drag motsvarar konventio- nens (skäl 9 och artikel 1.2) och som skulle kunna utgöra ett hinder mot att förbjuda att lagring sker i andra unionsländer. Detsamma gäller den kommande dataskyddsreformen (avsnitt 3.2.2). Det är inte möjligt att inom ramen för detta betänkande göra en tillräckligt djup analys av dataskyddsregleringen för att kunna bedöma om det utifrån ett EU-rättligt perspektiv är möjligt att förbjuda lagring i andra EU-länder. Oavsett hur det dataskyddsrättsliga regelverket förhåller sig till olika former av geografiska begränsningar för lagringen måste beaktas att sektorn för elektronisk kommunikation i omfattas av säkerhetsskydd, dvs. skydd mot brott som riktar sig mot totalför- svaret eller rikets säkerhet i övrigt, säkerhetsskyddslagen (1996:627). PTS har tillsynsansvar över säkerhetsskyddet för bolag som verkar inom området för elektronisk kommunikation, 40 § säkerhets- skyddsförordningen (1996:633). Av det nu sagda följer alltså att området för elektronisk kom- munikation är av vikt för rikets säkerhet och att PTS har ett till- synsuppdrag att fullfölja på området. Även om det som är mest skyddsvärt i telekomsektorn är själva driftsäkerheten i de allmänna näten så är utformningen av lagringsystemen en så integrerad del av driften att även den får anses vara en del av det som är skyddsvärt för rikets säkerhet. För att PTS ska kunna fullgöra sitt tillsynsansvar på säkerhetsskyddsområdet på ett effektivt sätt fordras att lagringen görs i . (Hur tillsynen enligt säkerhetsskyddslagen ska vara utformad är föremål för överväganden, dir. 2017:32). Eftersom de centrala intressena för staten inte omfattas av utgör inte heller något hinder mot en sådan ordning. Enligt utredningen bör det således införas ett förbud för opera- törerna att lagra uppgifterna utanför . Det ska i samman- hanget nämnas att lagring utanför inte torde förekomma alls eller endast i mycket liten utsträckning. har fastslagit att kräver att uppgifter som är föremål för datalagring oåterkalleligen ska förstöras när deras lagringstid har gått ut. Bestämmelsen i 6 kap. 16 d § LEK ställer krav på leverantörerna att utplåna uppgifterna vid lagringstidens utgång eller, om en begäran om utlämnande inkommit men inte hunnit behandlas, så fort upp- gifterna har lämnats ut. Den svenska regleringen är således i överensstämmelse med EU- rättens krav. Utredningens bedömning: Reglerna om tillsyn uppfyller de krav som ställer. Som beskrivs ovan måste medlemsstaterna enligt garantera att en oberoende myndighet kontrollerar att den skyddsnivå som säkerställs i unionsrätten iakttas vad gäller skyddet för fysiska personer vid behandlingen av personuppgifter (avsnitt 9.10). I är tillsyn över personuppgiftsbehandling delvis upp- delad. När det gäller tillsynen över personuppgiftsbehandling gene- rellt är Datainspektionen tillsynsmyndighet. När det gäller den per- sonuppgiftsbehandling som utförs i brottsbekämpande verksamhet har även SIN en roll. Härtill kommer att PTS har tillsynsansvar över operatörerna. Att dessa tre myndigheter har tillräcklig grad av obe- roende i en europeisk kontext är uppenbart (12 kap. 2 § RF). Enligt utredningen finns tillräcklig grad av oberoende tillsyn för att det svenska regelverket ska vara förenligt med . Utredningens bedömning: Förslagen om en ändrad lagrings- skyldighet, förbud mot lagring utanför och förhands- prövning vid beslut enligt IHL kommer att stärka integritets- och personuppgiftsskyddet. Förslaget om en ändrad lagringsskyldig- het kommer möjligen att innebära att de brottsbekämpande myndigheternas förmåga att bekämpa brottslighet försämras i någon mån men torde inte innebära att brottsligheten kommer att öka. kommer att behöva ytterligare resurser. Miljön kommer inte att påverkas av förslagen. Utredningens förslag: Förslaget om förhandsprövning av beslut enligt IHL innebär att kommer att behöva ett större årligt anslag () och ett engångsbelopp () som bör finansieras med neddragning av an- slagen för (för den löpande ram- höjningen och för engångsbeloppet), Säker- hetspolisen (för den löpande ramhöjningen och för engångsbeloppet) och (för den löpande ramhöjningen och för engångs- beloppet). Den kostnadsökning som drabbar operatörerna för lagring, säkerhet och anpassning ska de själva stå för. De företag som är relevanta för förslagen i detta betänkande utgör tillsammans en mycket heterogen grupp bestående av cirka 500 före- tag. De erbjuder olika tjänster i segmentet och har en mycket varie- rande marknadsandel. Dessutom varierar deras storlek mätt i om- sättning kraftigt. Bland mobiloperatörerna märks en tydlig fokusering kring fyra stora företag som tillsammans har en marknadsandel på . Den årliga omsättningen för det företag med störst marknadsandel ligger på som ett av de företag med minst marknadsandel har en omsättning på . Av naturliga skäl varierar resultatet och balansomslutningen kraftigt mellan företagen. Även antalet abonnemang varierar kraftigt. Vissa av de små företagen räknar sina kunder i hundratal som de största företagen har miljontals kunder. I segmentet fast telefoni (inklusive ip-telefoni) finns ett företag med av marknaden. Det näst största har en marknadsandel som är på . Den årliga omsätt- ningen för det största företaget uppgår till som ett av de minsta omsätter . Även i denna del av segmentet varierar resultatet och balansomslutningen kraftigt mellan företagen. Några redovisar sina kunder i hundratal, de flesta i tusental och några i hundratusental. Endast ett företag har över en miljon kunder. Även i det segment som erbjuder internetabonnemang finns en fokusering kring några stora företag. De tre största har en mark- nadsandel på . Det närmast därefter har en andel på av marknaden. Därutöver finns det en stor mängd företag med en marknadsandel som understiger en procent. Det största företaget omsätter och ett av de minsta . På samma sätt som för övriga segment varierar resultat och balansomslutning kraftigt. Antalet abonnemang redo- visas för de flesta företagen i hundra- eller tusental. Fem av företagen räknar sina kunder i hundratusental och endast fyra i miljontal. Stärkt integritets- och personuppgiftsskydd för medborgarna Genom förslaget på en mindre omfattande lagring stärks skyddet för den enskildes privatliv och kommunikation; såväl intrånget som risken för intrång minskar. Färre uppgifter kommer att lagras om människors kommunikationer och rörelser och därmed lagras mindre information som gör det möjligt att dra slutsatser om indivi- ders vanor och företeelser. En mindre omfattande lagring och även begränsningen i sig torde också innebära att folks eventuella känsla av att vara övervakade minskar. Utöver att antalet känsliga uppgifter minskar förstärks skyddet för uppgifterna genom förslaget på ett förbud att lagra uppgifterna utanför . Skyddet ökar också genom att det inte längre blir möjligt i något fall för myndigheterna att få tillgång till de lagrade trafik- och lokaliseringsuppgifterna utan en förhandsprövning av en åklagare eller oberoende myndighet. Härigenom omgärdas upp- gifterna av ytterligare en rättssäkerhetsgaranti. Det kan därigenom antas att förtroendet för statens tvångsmedelsanvändning ökar. En mindre omfattande lagring kan även få negativa följder för integritetsskyddet för den som är misstänkt för ett allvarligt brott. Ett sämre utbud av uppgifter och därmed en minskad nytta av hem- lig övervakning av elektronisk kommunikation kan i något fall leda till att mer integritetskränkande tvångsmedel måste användas i stället. Sammantaget bedöms dock förslaget innebära integritetsvinster. En minskad brottsuppklarning för narkotika- och våldsbrottslighet Lagringsskyldigheten minskar tämligen kraftigt.1 Effekten av hemlig övervakning av elektronisk kommunikation, som är beroende av till- gång till lagrade uppgifter, kommer därför att minska. Det kommer att påverka brottsuppklarningen på ett negativt sätt. 1 Denna analys utgår i sin helhet från en jämförelse med dagens lagstiftning. I vart fall delar av den nuvarande lagstiftningen har inte tillämpats efter Tele2-domen och Kammarrätten i dom. En i sin helhet tillämpbar lagstiftning innebär självklart att bekämpningen av brott förstärks kraftigt i förhållande till en motsvarande lag som inte tillämpas. ning verkar utredningens förslag att NAT-teknik nu inte längre kommer att hindra en meningsfull inhämtning av uppgifter. För att bedöma hur stora effekter förslagen får på brottsuppklar- ningen är en rimlig utgångspunkt att ställa tvångsmedelsanvänd- ningen i relation till den totala brottsutredande verksamheten. Där- efter måste försöka skattas hur stor påverkan förändringarna har på den brottutredande verksamheten. Dessutom bör fastställas för vilka brottstyper detta får störst effekt. En uppenbar svårighet med denna analys är att hitta något mått på den brottutredande verksamheten som är rimligt att jämföra med tvångsmedelsanvändningen. Ett mått som redovisas både för tvångs- medelansvändningen och för den brottsutredande verksamheten är antalet personer som varit föremål för hemliga tvångsmedel respek- tive lagföring. Detta mått är dock förenat med en viss svaghet efter- som uttrycket lagföring endast omfattar åklagarens beslut om åtal, strafföreläggande och åtalsunderlåtelse samt beslut om företagsbot som ersättning för straff, men alltså inte nedlagda förundersök- ningar. Dock kan det självklart ha förekommit hemlig övervakning av elektronisk kommunikation även i en nedlagd förundersökning. Oavsett vilket mått man väljer så kommer det vara behäftat med svagheter och det är svårt att se att något annat mått skulle vara sär- skilt mycket bättre. lagfördes drygt 100 000 misstänkta personer genom . För var mot- svarande siffra knappt 2 000. Hemlig övervakning av elektronisk kommunikation användes mot drygt 2 000 personer. Säkerhets- polisen ingår inte i denna statistik. Myndigheterna använde alltså hemlig övervakning av elektronisk kommunikation mot av dem som var föremål för förundersökningar. Det är mot denna grupp utredningarna riskerar att försämras. Nästa svårighet är att försöka skatta hur stor effekt förändrings- förslagen har på den brottsutredande verksamheten. Även om viktiga uppgifter så som lokalisering och tid för kommunikationen fortfarande lagras så kommer en stor andel av uppgifterna inte längre att omfattas av lagringskravet. Dessutom ska lokaliseringsuppgifter bara lagras en tredjedel av tiden, jämfört med dagens lagstiftning. Det ska dock noteras att de brottsbekämpande myndigheterna fort- farande kommer att ha tillgång till den uppgiftsmängd som sparas för operatörernas egna ändamål. Därtill kan det antas att andra infor- mationskällor kan komma att användas i högre utsträckning i vissa fall och därmed minska de negativa effekterna av en minskad lagring. Om andra informationskällor kommer att användas kan det innebära en omfördelning av resurser, som får till följd att t.ex. färre mindre allvarliga brott upp. Till analysen hör också att NAT-teknik inte längre att vara ett hinder för meningsfull inhämtning. Att problemet med NAT-teknik betraktats som ett stort problem av myndigheterna framgår t.ex. av Säkerhetspolisens remissvar på Data- lagringsutredningens betänkande. Däri lyfts farhågan att bestäm- melserna om hemlig övervakning av elektronisk kommunikation i praktiken kan bli helt meningslösa på grund av NAT-tekniken. När nu detta problem åtgärdas torde det vara en tämligen verkningsfull förstärkning av de brottsbekämpande myndigheternas förmåga att klara upp brott, särskilt när den begåtts med hjälp av internet. Icke desto mindre gör utredningen bedömningen att brottsuppklarningen torde komma att påverkas negativt i viss omfattning. Det är i princip omöjligt att göra en bedömning av hur många ouppklarade brott som blir följden av detta, men det är rimligt att tro att ytterligare ett antal brottslingar kommer att gå fria på grund av förslaget om en förändrad lagringsskyldighet. Den brottslighet som kan komma att påverkas mest är narkotika- och våldsbrottslighet eftersom det är i dessa förundersökningar som hemlig övervakning av elektronisk kommunikation används mest. Dessutom är dessa utredningar ofta tidsödande och därmed behovet av äldre uppgifter större där än i andra utredningar. Den minskade brottsuppklarning som möjligen kan inträffa torde inte vara tillräcklig för att påverka brottsligheten i samhället. Vad gäller förslaget om förhandskontroll vid inhämtning enligt IHL bedöms det inte påverka brottsbekämpningen alls. Datalagringsutred- ningen fann inga tecken på att lagen överanvänts eller på annat sätt missbrukats av de brottsbekämpande myndigheterna (SOU 2015:31 avsnitt 9.2.3.10, jfr dock om viss kritik av SIN mot hur lagen tillämpas av de brottsbekämpande myndigheterna i avsnitt 12.8.4). Det kan därför inte antas att ett krav på förhandsprövning av en åklagare, i sig skulle innebära att inhämtningarna skulle minska. Underrättelseverksamheten kommer att påverkas av den förändrade lagringsskyldigheten. De lagar som ger de brottsbekämpande myndig- heterna tillgång till uppgifter hos operatörerna i underrättelseverk- samheten är IHL och preventivlag. Även effektiviteten i dessa lagar påverkas av en minskad lagringsskyldighet. Men på sam- ma sätt som i den brottsutredande verksamheten gynnas effektivi- teten av att NAT-tekniken inte längre kommer att vara ett hinder för meningsfull inhämtning. Även denna aspekt har lyfts fram av Säker- hetspolisen i sitt remissvar över betän- kande där myndigheten har pekat på att inhämtning enligt IHL kan bli helt meningslös på grund av NAT-tekniken. Problemet med att kvantifiera påverkan på underrättelseverk- samheten är att den innehåller ännu färre mått på sin omfattning än vad utredningsverksamheten gör. Även om man skulle kunna kvanti- fiera omfattningen är det möjligen än svårare att bedöma hur under- rättelseverksamheten påverkas. Det som dock kan konstateras är att det i princip saknas straffprocessuella tvångsmedel som kan kompen- sera för sänkt effektivitet i de hemliga tvångsmedlen enligt IHL och preventivlag. De försämringar i underrättelseverksamheten som blir följden av en minskad lagringsskyldighet kommer således inte att kunna kompenseras med andra åtgärder i någon större utsträckning. Påverkan på underrättelseverksamheten kommer därför sannolikt att bli större än på förundersökningsverksamheten. Ingen påverkan på utlänningskontrollen Antalet fall av användande av hemliga tvångsmedel vid LSU är mycket få, skr. 2016/17:72. Någon mätbar påverkan av en minskad lagringsskyldighet kommer därför inte att uppstå. För de lagringsskyldiga inom it- och telekomområdet kommer det verka kostnadsdrivande att behöva anpassa sina datasystem till de nya förslagen. Operatörerna kommer även i vissa fall att behöva lagra många fler uppgifter än förut (om de använder NAT-teknik). detta verkar kostnadsdrivande. innebär förslagen att många uppgifter som förut lagrades nu inte längre omfattas av lagrings- skyldigheten. I sin helhet bedöms dock lagringsmassan öka och där- med operatörernas löpande kostnader. Det är svårt att ens uppskatta den ökade lagringsmassan som är hänförlig till NAT-tekniken. Olika beräkningar ger olika svar och om de ingående parametrarna varierar något så ger det stor påverkan på den slutliga produkten. Det finns uppskattningar på att en miljon kunder genrerar en NAT-relaterad lagring på 150 terabyte per månad.2 En annan uppgift som förekom- mit är att NAT-relaterad lagring för samtliga svenska mobilabonne- mang skulle uppgå till drygt 80 terabyte per månad.3 Operatörerna själva har för utredningen uppgett att den extra lagringen för NAT skulle uppgå till 30 terabyte för en normalstor internet- leverantör. Oavsett vilken siffra som hamnar närmast verkligheten kan det konstateras att själva lagringskapaciteten inte kommer att medföra särskilt betungande investeringar även om man beaktar att särskilda krav ställs på stabilitet och säkerhet. Det ska anmärkas att datautrymme är billigare än vad det var när datalagringsskyldig- heten infördes. I samband med att den nya regleringen införs kan det komma att behövas kostnadskrävande anpassningar för att datasystemen ska kunna klara av att hantera de potentiellt miljardtals uppgifter kopp- lade till NAT-teknik som kan bli nödvändiga att lagra. Operatörerna har å ena sidan för utredningen uppgett att ett sådant genomförande skulle medföra att kostnaderna skulle skjuta i höjden och hamna på helt orimliga nivåer, inte minst mot bakgrund av att operatörerna redan har gjort dyra investeringar i datalagringssystem grundat på den lagringsskyldighet som följer av dagens reglering. Å andra sidan har någon operatör uppgett att systemet i princip redan finns på plats, eftersom NAT-tekniken infördes medan datalagringsdirektivet fortfarande var gällande. Även om operatörerna inte har förmått att kvantifiera kost- naderna som kommer att uppstå på grund av utredningens förslag är det uppenbart att de kommer att öka – i vart fall för de operatörer 2The Internet Task Force, , . 3PTS rapport från ÅF: NAT i mobila nätverk, . som använder NAT-teknik. Frågan är hur dessa kostnader ska för- delas. Den nuvarande modellen för kostnadsfördelning mellan det all- männa och operatörerna innebär att operatörerna står för kostnaderna för anpassning, drift och underhåll och de brottsbekämpande myndig- heterna betalar en ersättning till operatörerna vid varje utlämnande av uppgifter.