sou · H5B375 · 2017-10-11 00:00:00 — Att ip-adresser och andra abonnemangsuppgifter är en särskild uppgiftstyp som inte förtjänar samma starka skydd är även en slutsats som den portugisiska har kommit till (dom 420/2017, ). 12.3Det är nödvändigt att reformera svensk lagstiftning Utredningens bedömning: Det är nödvändigt att reformera reglerna kring datalagring för att uppfylla internationella åtaganden. Som kommer att framgå i det följande uppställer i vissa delar strängare krav på datalagringen och tillgången till datalagrade uppgifter än vad svensk lag gör. Ett sätt att hantera den uppkomna situationen är att helt enkelt upphäva alla bestämmelser som står i strid med . Enligt utredningens bedömning är emellertid en sådan lösning utesluten av både brottsbekämpande och folkrättsliga skäl. Detta utvecklas i det följande. Som framgår av direktiven till Utredningen om hemlig data- avläsning har den ökande internationaliseringen i kombination med teknikutvecklingen och en tilltagande internet- användning inneburit att kriminaliteten delvis har ändrat karaktär (dir. 2016:36). Internet erbjuder lättillgängliga kontaktytor för brotts- planering inom och utom landets gränser och utgör bl.a. en etablerad plattform för våldsbejakande extremism och terrorismpropaganda. Viss typ av kriminalitet, t.ex. barnpornografibrott, har internet som brottsplats och den webbaserade narkotikahandeln har ökat massivt , och situationen i (2016) s. 10, som hänvisar till globaldrug- . Utvecklingen innebär att även förutsättningarna för att förhindra brott och säkra bevis för begångna brott har förändrats radikalt. Uppgifter om elektronisk kommunikation och andra elek- troniska spår är helt nödvändiga för brottsbekämpningen. Det sagda belyser att om de brottsbekämpande myndigheterna inte skulle ha tillgång till adekvata utredningsverktyg i den elektroniska miljön så skulle brotten i vissa fall vara omöjliga att klara upp och brotts- offer i motsvarande omfattning vara skyddslösa. En sådan situation är högst problematisk ur ett brottsbekämpande perspektiv. Vissa brott skulle i praktiken kunna bli straffria och många målsägande skulle aldrig kunna få upprättelse. Utöver detta brottsbekämpande perspektiv måste hänsyn tas till internationella åtaganden. Var och en som vistas i har rätt att göra anspråk på att staten vidtar effektiva åtgärder för att skydda hans eller hennes säkerhet. I detta ligger att staten måste anstränga sig för att se till att brott förebyggs, utreds och att gär- ningsmän ställs till svars för sina brottsliga handlingar. Staten har alltså en skyldighet att skydda enskildas privatliv och personliga inte- gritet mot intrång som begås av andra enskilda och, om intrång görs, se till att brotten utreds (avsnitt 3.1.2–3.1.3). Enligt utredningen skulle det inte vara förenligt med åtaganden att inte ge de brottsbekämpande myndigheterna möjlighet att effektivt utreda brott i den elektroniska miljön. Utöver det generella ansvar har att upprätthålla en effek- tiv brottsbekämpning har gjort specifika åtaganden för vissa typer av brott. Här kan nämnas plikten att bekämpa tillhanda- hållande, spridning och innehav av barnpornografi enligt artikel 20 i konvention om skydd för barn mot sexuell exploa- tering och sexuella övergrepp. Enligt konventionen har ett åtagande att vidta nödvändiga lagstiftningsåtgärder för att säkerställa effektiv utredning och åtal av sådana gärningar och tillåta möjlig- heten, där så är lämpligt, att genomföra hemliga utredningsåtgärder. Denna typ av brottslighet pågår i stor utsträckning på den elek- troniska arenan. Utan möjligheter till effektiva utredningsverktyg skulle inte uppfylla sina folkrättsliga åtaganden enligt den nämnda konventionen. Härtill kommer proportionalitets- och behovsargumenten. Om de brottsbekämpande myndigheterna fråntas möjligheten att komma åt trafikuppgifter i brottsutredningar måste de kompensera sig med andra metoder. Ett exempel på det skulle kunna vara följande. Anta att en person misstänks för ett brott utfört på en viss plats och att lokaliseringsuppgifter skulle kunna binda honom till den aktuella platsen (eller ge honom alibi). Om polis och åklagare inte skulle ges möjlighet att komma åt dessa uppgifter kan de, i enlighet med det ovan anförda, inte lägga ned förundersökningen utan måste i stället arbeta vidare med de metoder som står till buds. En sådan metod är t.ex. hemlig avlyssning av elektronisk kommunikation. Det sagda innebär alltså att frånvaron av möjlighet att inhämta trafikuppgifter kan leda till ett ännu allvarligare integritetsintrång (avlyssning) för den enskilde – att jämföra med det minskade integritetsintrånget för dem som inte får sina uppgifter lagrade. En sådan ordning skulle för den enskilde rimma illa med proportionalitets- och behovsprinci- perna, vilka utvecklats i praxis för all tvångsmedelsanvändning. Pro- portionalitetsprincipen innebär att en tvångsåtgärd i fråga om art, styrka, räckvidd och varaktighet ska stå i rimlig proportion till vad som står att vinna med åtgärden. Behovsprincipen innebär att en myndighet får använda ett tvångsmedel bara när det föreligger ett påtagligt behov och en mindre ingripande åtgärd inte är tillräcklig för att tillgodose behovet. Den svenska lagstiftningen måste således anpassas till vad rättig- hetsstadgan kräver såvitt avser skyddet mot statens ingrepp i den personliga integriteten som den måste tillgodose de skyldigheter har enligt bl.a. att ge de brottsbekämpande myndigheterna effektiva verktyg och på så sätt upprätthålla effektiviteten i brottsbekämpningen och därigenom skydda den enskilda mot övergrepp från andra. Hur detta kan göras utvecklas mer i det följande. 12.4Ingen generell och odifferentierad lagring som Utredningens bedömning: Lagring kan endast motiveras av intresset att bekämpa grov brottslighet, men inte ens detta ända- mål kan ensamt motivera en generell och odifferentierad lagring av samtliga trafikuppgifter och lokaliseringsuppgifter avseende samtliga abonnenter och registrerade användare och samtliga elektroniska kommunikationsmedel. Det finns ett fortsatt utrymme för en begränsad lagrings- skyldighet. Men lagringsskyldigheten måste göras mindre om- fattande än och anpassas till vad som är strängt nödvändigt. 12.4.1Uppgifterna får endast lagras för att bekämpa grov brottslighet konstaterar att endast intresset att bekämpa grov brottslighet kan motivera en lagringsskyldighet av trafikuppgifter och lokaliseringsuppgifter. Det kan emellertid inte ensamt motivera en generell och odifferentierad lagring av samtliga sådana uppgifter.2 (avsnitt 9.7.1 ovan och p. 102 och 103 i domen) Hur den nationella lagstiftningen, utifrån ett brottsbekämpande syfte, motiverar ett krav på lagring visar sig uteslutande genom en analys av för vilka brott som de brottsbekämpande myndigheterna tillåts få tillgång till de lagrade uppgifterna. I denna del hänvisas därför till resonemangen nedan om tillgången till uppgifterna, avsnitt 12.8.1. 12.4.2Utrymme finns för en fortsatt lagringsskyldighet När det gäller lagringens omfattning fastslår att rättighetsstadgan utgör hinder för en nationell lagstiftning som i brottsbekämpande syfte föreskriver en generell och odifferentierad lagring av samtliga trafikuppgifter och lokaliseringsuppgifter av- seende samtliga abonnenter och registrerade användare och samtliga elektroniska kommunikationsmedel (p. 1 i domslutet). Eftersom det är så som beskrivit den svenska lagstiftningen (p. 97 och 105 i domen) är det således uteslutet att lämna de svenska lag- ringsreglerna oförändrade, i vart fall om de endast kan motiveras utifrån bekämpning av grov brottslighet. Även om domslutet endast förbjuder en allomfattande lagring framgår det av domskälen att utrymmet för att över huvud taget föreskriva lagring är begränsat. Frågan är då hur begränsat detta ut- rymme är. delar upp sitt resonemang i denna fråga i två delar. Den första delen av resonemanget återfinns i punkt 97–107 och handlar om generell lagring. resonerar här kring den svenska lagstiftningen om datalagring och konstaterar att den före- skriver en generell och odifferentierad lagring av samtliga trafik- 2 “general and indiscriminate retention of all traffic and location data” i den engelska versionen och “la conservation généralisée et indifférenciée de l’ensemble des données relatives au trafic et des données de localisation” i den franska. uppgifter och lokaliseringsuppgifter för samtliga abonnenter och registrerade användare avseende samtliga elektroniska kommuni- kationsmedel och ålägger leverantörer av elektroniska kommu- nikationstjänster att systematiskt och kontinuerligt lagra dessa upp- gifter, utan undantag (p. Därefter konstaterar att denna mängd av uppgifter gör det möjligt att dra mycket precisa slutsatser om privatlivet för de personer vilkas uppgifter har lagrats (p. slutsats är att en sådan lagstiftning utgör ingrepp i de rättigheter som följer av stadgan (p. 100) och att därför endast grov brottslighet kan motivera lagring (p. Dock kan inte ens grov brottslighet i sig ensamt motivera en generell och odifferentierad lagring av samtliga trafikuppgifter och lokaliserings- uppgifter (p. Vid beskrivningen av den svenska lagstiftningen konstaterar domstolen att lagringen på ett allomfattande sätt berör samtliga personer som använder elektroniska kommunikationstjäns- ter, utan att dessa personer ens indirekt befinner sig i en situation som kan föranleda lagföring (p. 105) och att lagringen inte är begränsad till tid, geografiskt område eller krets av personer (p. Domstolens slutsats, som avslutar det första ledet av resonemanget, är att den svenska lagringen överskrider gränsen för vad som är strängt nödvändigt och därför står i strid med artikel 15.1 i direktiv /58 jämförd med artiklarna 7, 8, 11 och 52.1 i stadgan (p. Denna slutsats är också den som återfinns i domslutet (p. 1 i dom- slutet och p. 112 i domskälen). Denna del av resonemanget är alltså den nödvändiga delen av domskälen för att komma fram till dom- slutet. skulle följaktligen ha kunnat sluta sitt resone- mang här eftersom den redan har underkänt den svenska lagstift- ningen och besvarat frågan från kammarrätten. Domstolen fortsätter emellertid sina överväganden i en andra del av resonemanget. Denna del, som återfinns i punkterna 108–111, har ingen koppling till domslutet utan är närmast att se som ett obiter dictum (dvs. ett uttalande vid sidan om själva saken) och ett exempel på en möjlig form av lagringsskyldighet. Resonemanget här handlar om riktad lagring (jfr avsnitt 12.5.1) och i dessa punkter resonerar domstolen kring hur en sådan lagring skulle kunna vara utformad. Det föreskrivs här att riktad lagring, vad gäller vilka slags uppgifter som ska lagras, vilka kommunikationsmedel som avses, vilka perso- ner som berörs och hur länge lagringen ska ske, måste begränsas till vad som är strängt nödvändigt (p. Bland kraven på en riktad lagring märks särskilt att den berörda personkretsen måste vara avgränsad (p. Det har under utredningen framförts uppfattningen att endast en riktad lagring skulle vara förenlig med så som den har uttolkats i Tele2-domen. Det har då hänvisats just till EU-dom- stolens ovan angivna skrivningar om att villkoren för den nationella lagringen måste vara sådana att de klart avgränsar åtgärdens om- fattning och följaktligen den berörda personkretsen (p. 110) samt att domstolen särskilt uttalar att stadgan inte hindrar en riktad lagring (p. Som framgår ovan är emellertid utredningens slutsats att domstolens uttalande om riktad lagring endast är ett exempel och ett obiter dictum. Uttalandena i p. 110 om avgränsning av den berörda personkretsen tar sikte just på denna riktade lagring och således inte generellt på hur nationell lagstiftning om lagring ska vara utformad. Förespråkarna av riktad lagring som den enda möjliga modellen har också hänvisat till att i sin dom särskilt noterar att lagringsskyldigheten i även är tillämplig på personer där det inte föreligger något indicium som ger anledning att tro att deras beteenden ens kan ha ett indirekt eller avlägset samband med grov brottslighet (p. Att tolka detta uttalande som att det skulle för- bjuda en lagring också av andra än dem som räknas upp i nämnda punkt i domen förefaller långsökt. Om det skulle ha varit EU- domstolens avsikt att förbjuda sådan lagring hade det varit natur- ligare att utforma domslutet och skälen så att det tydliggjordes. Som antecknas nedan kan det dessutom noteras att efter Tele2-domen i en näraliggande fråga har accepterat att lagring, i brottsbekämpande syfte, av flygbolags passageraruppgifter omfattar samtliga flygpassagerare och således inte är riktad till sådana passa- gerare om vilka de förelåg någon misstanke att de kunde hota den allmänna säkerheten (yttrande 1/15, p. 41, 186 och 189). Man kan därutöver notera att en generell lagring förskrivs för vissa närmare angivna uppgifter enligt fjärde penningtvättsdirektivet3. Det förefaller inte heller som en rimlig tolkning att på ett så ingripande sätt skulle ha 3 och rådets direktiv (EU) 2015/849 av om åtgärder för att förhindra att det finansiella systemet används för penningtvätt eller finansiering av terrorism, om ändring av och rådets förordning (EU) nr 648/2012 och om upphävande av och rådets direktiv /60/EG och kommissionens direktiv /70/EG. haft för avsikt att beröva de brottsbekämpande myndigheterna möjligheten till en effektiv brottsbekämpning utan ingående resone- mang och överväganden i dessa delar. Innebörden av domstolens sätt att resonera är uppenbarligen att den svenska lagringen inte är förenlig med stadgan. Vid sitt konstate- rande av det betonar domstolen i flera punkter att det är just den all- omfattande generella svenska lagringen som underkänns. I punkt 103 uttalar sig domstolen om en generell och odifferentierad lagring av samtliga trafikuppgifter och lokaliseringsuppgifter. Punkt 104 hän- visar till den svenska lagstiftning med de särdrag som beskrivits i punkt 97, dvs. en lagstiftning som föreskriver en systematisk, konti- nuerlig, generell och odifferentierad lagring av samtliga trafik- uppgifter och lokaliseringsuppgifter för samtliga abonnenter och registrerade användare avseende samtliga elektroniska kommuni- kationsmedel utan undantag. Även resonemanget i punkt 105 avser en allomfattande lagringsskyldighet, närmare definierad som en lag- stiftning som på ett generellt sätt omfattar samtliga abonnenter och registrerade användare och avser samtliga kommunikationsmedel och samtliga trafikuppgifter, utan åtskillnader, begränsningar eller undantag. Det stämmer också väl överens med dom i målet Schrems, C‑362/14, punkt 93. Det går inte av domen att utläsa hur en mindre omfattande men ändå i någon mening generell lagringsskyldighet skulle ha bedömts. Vad antecknar om den riktade lagringen är som ovan konstaterats ett obiter dictum som beskriver hur en (mer tillåtande) riktad lagring skulle kunna utformas. Den delen av resonemanget ger ingen avgörande ledning i bedömningen av hur en sorts generell lagring ska vara utformad för att möta kraven i rättighetsstadgan. Vidare är det inte självklart vad som avses med ”samtliga trafik- uppgifter och lokaliseringsuppgifter”. Uttrycket verkar kunna här- ledas från kammarrättens fråga (punkt 51 i domen). Det kan emeller- tid noteras att det är flera trafik- och lokaliseringsuppgifter som inte ska lagras enligt den svenska lagstiftningen, t.ex. position när ett meddelande skickades och när det mottogs, position under ett mobilsamtal, position vid fast telefoni, utrustningsidentitet vid skickade och mottagna meddelanden, utrustningsidentitet vid fast telefoni, abonnemangsidentitet vid skickade och mottagna med- delanden, abonnemangsidentitet vid internetåtkomst, samtliga upp- gifter om samtal med annat än vanligt telefonnummer, t.ex. med användarnamn, (däribland uppringande och uppringt nummer, tid och position), uppgift om port och publik ip-adress vid internet- åtkomst4, meddelandehantering och ip-telefoni samt samtliga upp- gifter om samtal som inte kopplas fram på grund av tekniskt fel eller dylikt (däribland uppringande och uppringt nummer eller användar- namn, tid, utrustning och position). Därtill ska det inte lagras några rena lokaliseringsuppgifter, dvs. positioner som inte är kopplade till kommunikation. Det finns också en hel del trafikuppgifter av mer tekniskt slag som inte omfattas av lagringsskyldigheten. Sådana upp- gifter kan bl.a. avse peeringpunkter och kommunikationskoder (t.ex. ortogonala spridningskoder). Det är således långt ifrån samtliga trafik- och lokaliseringsuppgifter som omfattas av lagringsskyldig- heten. Även om det inte får någon bäring på vad som utgör samtliga trafik- och lokaliseringsuppgifter, enligt definitionerna i direk- tiv 2002/58, kan det dessutom noteras att kommunikationen alltmer har övergått till en typ som inte ger upphov till någon lagringsskyldighet hos operatörerna (avsnitt 7.3.1), dvs. sådana tjänster som inte tillhandahålls av en lagringsskyldig operatör utan andra tjänsteleverantörer, exempelvis Imessage och Face- time, Facebook Messenger, Skype, Gmail och Hotmail. Lagrings- skyldigheten omfattar inte heller t.ex. webbplatsbesök (surfning), sökningar med sökmotorer, onlinespel eller uppgifter om filöver- föring med hjälp av File Transfer Protocol (FTP). Även om en rimlig utgångspunkt måste vara att ansett att den svenska lagstiftningen, såsom den beskrivits i punk- terna 15–19 i domen, föreskriver en alltför omfattande lagrings- skyldighet, måste domstolens slutsats tolkas i ljuset av hur kam- marrätten ställt sina frågor och utvecklingen av alternativa kom- munikationstjänster i tiden därefter. Betydelsen av den ökade använd- ningen av sådana alternativa kommunikationstjänster noteras även i den finska utredningen som nämns ovan (avsnitt 11.2.5). I den utredningen görs även bedömningen att den finska och svenska lagringsskyldigheten är tämligen likartade, men att den finska är mer riktad och alltså förenlig med . Det sagda leder till tre slutsatser: För det första får det inte före- skrivas en generell och odifferentierad lagring av samtliga trafik- 4 Enligt PTS bedömning, se PTS skrivelse till EBM , dnr 15-1185. uppgifter och lokaliseringsuppgifter för samtliga abonnenter och registrerade användare avseende samtliga elektroniska kommunika- tionsmedel. För det andra måste det svenska regelverket för lagring, oaktat att det inte föreskriver en sådan lagring, göras mindre om- fattande. För det tredje kan det införas ett system med riktad lagring som tillåter en omfattande lagring men som är begränsad till tid, plats eller person. Även andra former av datalagring kan införas, så länge skyldigheten att lagra inte blir huvudregel och den begränsas i varje del till vad som är strängt nödvändigt. Enligt utredningens bedömning är nyttan av uppgifterna från elek- tronisk kommunikation så stor för de brottsbekämpande myndig- heterna att det finns skäl att behålla någon sorts lagring i preventivt syfte – dock mindre omfattande än . Det torde däremot inte vara tillräckligt att endast differentiera lagringstiderna, eftersom det inte får någon påverkan på huruvida lagring blir undantag eller huvudregel (jfr punkt 104 i domen). 12.5Olika modeller för lagring Utredningens bedömning: En viss begränsad och differentierad lagring bör föreskrivas. Som nämnts ovan tillåter en riktad lagring. Riktad lagring innebär en situationsanpassad preventiv lagring av uppgifter hän- förliga till vissa nummer, kommunikationsutrustningar eller platser. Lagringen kan vara tidsbegränsad. Frågan är om en sådan bör införas i . Vid bedömningen av denna fråga måste å ena sidan nyttan och behovet av en sådan vägas mot intrånget för de berörda perso- nerna. När det gäller den första frågan (nytta och behov) kan noteras att det är komplicerat att i förväg veta hur man ska rikta lagringen. Det är nämligen mycket svårt att i förväg veta när, var eller av vem ett allvarligt brott ska begås. Det är således vanskligt att på något meningsfullt sätt rikta lagringen till vissa tider, områden eller perso- ner. Utredningen kan därför inte se någon större praktisk nytta eller något större behov av en möjlighet till riktad lagring. Inte heller utredningens experter från de brottsbekämpande myndigheterna har sett något större värde med en sådan lagring. När det gäller den andra frågan (intrånget för de berörda perso- nerna) kan det noteras att all lagring innebär ett integritetsintrång. Att rikta lagringen till en viss person eller krets av personer (exem- pelvis i ett visst område eller personer med visst kön), utan att det finns någon konkret misstanke mot dessa personer, innebär rimligen en än större rättighetskränkning mot dessa människor. De brotts- bekämpande myndigheterna måste nämligen vid sådan lagring peka ut vissa personer eller personkategorier som mer brottsbenägna än andra så att lagring av just deras uppgifter ska utföras. Därtill innebär en sådan riktad lagring att förutsättningarna för att lösa allvarlig brottslighet blir olika för olika delar av landet, vilket är problema- tiskt. I vissa fall kan det dock vara så att brottsrisken ökar i ett visst område vid speciella händelser, t.ex. vid ett statsbesök i . I sådana fall skulle man kunna tänka sig en riktad lagring mot dessa delar av staden utan att kränka någons rättigheter ur den nu redovisade synvinkeln. Dock är värdet av en sådan lagring mycket lågt. Både underrättelseverksamheten och – i värsta fall – förunder- sökningsverksamheten avseende sådan brottslighet måste rikta sig mot betydligt större områden än själva attentatsplatsen. Planering och kontakter mellan gärningsmän sker nämligen med största säkerhet inte enbart på själva brottsplatsen och inte sällan . Det ovan anförda ger vid handen att riktad lagring skulle vara av ringa nytta för de brottsbekämpande myndigheterna som integritetsintrånget för de berörda personerna skulle vara påtagligt. Utöver den nu redovisade bristande proportionaliteten, är riktad lagring förknippad med ett annat problem. Om man ska rikta lagringen mot vissa tider eller områden så måste operatörerna under- rättas om detta beslut så att rätt uppgifter kan lagras. Antalet opera- törer överstiger 500 stycken. Även om antalet mobiloperatörer, som mest torde beröras av en riktad lagring, är väsentligt färre och vissa stora operatörer står för en mycket stor marknadsandel, så riskerar en underrättelse att behöva gå till många operatörer. Det skulle bli utmanande rent expeditionsmässigt som uppgiften om att ett visst område är av intresse för den brottsbekämpande verksam- heten skulle spridas till en alltför stor krets av personer. blem är särskilt betonat i underrättelseverksamheten där sekretess- kraven gör sig gällande med särskilt stor kraft. Det ska i sammanhanget även nämnas att den av under- tecknade (men ännu inte ratificerade) it-brottskonventionen5 inne- håller en bestämmelse om s.k. skyndsamt bevarande (artikel 16). Enligt den bestämmelsen ska varje part till konventionen vidta nöd- vändiga lagstiftningsåtgärder för att dess behöriga myndigheter genom förelägganden eller på liknande sätt ska kunna åstadkomma skyndsamt säkrande av särskilt angivna datorbehandlingsbara upp- gifter, innefattande trafikuppgifter, som har lagrats med hjälp av ett datorsystem, särskilt i de fall där det finns anledning att förmoda att de datorbehandlingsbara uppgifterna löper särskild risk att gå för- lorade eller förändras. För det fall misstankar riktas mot en viss person kan således en sorts riktad lagring komma till stånd genom ett föreläggande om bevarande i enlighet med reglerna i it-brotts- konventionen (SOU 2013:39, som bereds i ). Sammantaget leder det nu anförda till slutsatsen att riktad lagring varken framstår som proportionell eller lämplig. Utredningen lämnar därför inget förslag på riktad lagring. Det kan för övrigt noteras att slutsatsen om brist på nytta av riktad lagring överensstämmer med analysen i departementspromemorian Ds 2014:23 s. 53 (se av- snitt 8.3.1).