sou · H5B389 · 2017-11-16 00:00:00 — Enligt skulle de brottsbekäm- pande myndigheterna med en sådan lösning lagligen och gränsöver- skridande kunna bereda sig tillgång till elektroniskt lagrade uppgifter oavsett var de är lagrade så länge det finns förutbestämda begräns- ningar av när så får ske.21 Inom ramen för sitt arbete granskade Molnbevisgruppen också den s.k. ”long-arm”-doktrinen som tillämpas i fråga om EU:s regel- verk på antitrustområdet. har bl.a. rekommen- derat22 att de nationella konkurrensmyndigheterna i EU:s medlems- stater ska kunna bereda sig tillgång till uppgifter i servrar var som helst i världen i syfte att samla bevis i antitrustförfaranden. Rätten att samla elektronisk bevisning, borde enligt rekommendationen om- fatta en rätt att få del av uppgifter som det inspekterade objektet har tillgång till och som har koppling till den undersökta verksam- heten.23 Molnbevisgruppen gjorde mot bakgrund av det som anförts bedömningen att ett ramverk som behandlar vad som ska gälla för gränsöverskridande tillgång till elektroniskt lagrade uppgifter måste definiera vilka förutsättningar och rättssäkerhetsgarantier som ska gälla för att både skydda enskildas rättigheter och förhindra att andra staters eller dessas myndigheters rättigheter inskränks eller påverkas (ömsesidigt erkännande).24 Inför de rekommendationer som Molnbevisgruppen lämnade konstaterade den inledningsvis att internationell rättslig hjälp (eng. mutual legal assistance) är den primära vägen för stater att få del av elektronisk bevisning som lagras i andra stater än den egna. Sam- tidigt konstaterades att detta instrument sällan är en möjlig väg framåt när det är fråga om molnlagrade uppgifter, dels på grund av tidsaspekten (bl.a. risken att information försvinner), dels på grund av att det är svårt eller omöjligt att veta var uppgifterna finns. 21Se Molnbevisgruppens rapport s. 16 (p. 46–47). 22European , Recommendation on the power to collect digital evidence, including by forensic means, tillgänglig på 23Se Molnbevisgruppens rapport s. 16 och 17 (p. 24Se Molnbevisgruppens rapport s. 17 (p. Jurisdiktionsfrågor och internationella förhållanden detta anförde Molnbevisgruppen att möjligheterna till internationell rättslig hjälp måste uttömmas för att nya och innovativa förslag till lösningar avseende jurisdiktionsfrågorna ska kunna få bred acceptans.25 När det sedan gäller rekommendationerna, vilka tog sikte inte bara på loss of location-problematiken utan även på andra frågor om insamling av molnlagrad bevisning, anförde Molnbevisgruppen bl.a. att konventionsparterna skulle överväga att vidta generella åtgärder beträffande utbildning, statistik och uppföljning avseende inter- nationell rättslig hjälp för att denna skulle bli mer effektiv. Därtill föreslogs ett antal mer direkta åtgärder för att väsentligt förbättra det internationella rättsliga samarbetet på området, såsom att för- stärka möjligheterna till dygnetruntkontakter mellan stater och strömlinjeformning av processer vid ansökningar om rättslig hjälp.26 Enligt finns skäl att inom ramen för utarbetandet av ett tilläggsprotokoll till it-brottskonventionen behandla bl.a. de nämnda förslagen. I arbetet med ett sådant tilläggsprotokoll finns enligt Moln- bevisgruppen också skäl att överväga frågor som mer direkt tar sikte på de här relevanta svårigheterna och möjligheten för stater att bereda sig tillgång till fjärrlagrade uppgifter genom gränsöver- skridande direktåtkomst till dessa. Det rekommenderades att några av de förslag som tidigare lagts fram av Transbordergruppen, efter den ovan presenterade kartläggningen, tas upp till förnyad behand- ling. De förslag som enligt Molnbevisgruppen bör tas upp till för- nyat övervägande är följande.27 –Gränsöverskridande direktåtkomst till uppgifter utan samtycke då de brottsutredande myndigheterna på laglig väg fått fram inlogg- ningsuppgifter till en molntjänst. En sådan bestämmelse skulle kunna ge en konventionspart rätt att utan tillstånd av en annan part, under en brottsutredning eller rättegång och från ett infor- mationssystem på sitt territorium, bereda sig tillgång till och samla in uppgifter som lagras elektroniskt i en annan stat. skulle förutsätta att den informationssökande konventionsparten fått inloggningsuppgifterna genom lagliga utredningsåtgärder. 25Se Molnbevisgruppens rapport s. 35 (p. 90 och 91). 26Se Molnbevisgruppens rapport s. 35–36. 27Se Molnbevisgruppens rapport s. 45 f. Exemplen är översatta av utredningen. Jurisdiktionsfrågor och internationella förhållanden Den informationssökande parten skulle också vara skyldig att underrätta den andra parten före, under eller efter att uppgifterna samlats in. Ytterligare villkor och skyddsåtgärder skulle också behövas. –Gränsöverskridande direktåtkomst till uppgifter utan samtycke i god tro eller i nödsituationer eller under liknande omständigheter. En sådan bestämmelse skulle kunna tillåta gränsöverskridande till- gång till uppgifter i specifika situationer för att förhindra över- hängande fara, fysisk skada, en misstänkts flykt eller liknande. Bestämmelsen skulle också kunna innefatta situationer där det finns risk för att relevant bevisning förstörs eller går förlorad. Bestämmelsen kan också behöva täcka in ”godtrossituationer”, dvs. där en brottsbekämpande myndighet vid en utredning inte vet (säkert) om uppgifterna lagras på ett främmande territorium, inte vet på vilket territorium uppgifterna lagras eller där upp- gifterna av misstag samlats in från ett främmande territorium. Särskilda villkor och skyddsåtgärder skulle liksom i föregående förslag behöva definieras och bestämmas och det bör krävas underrättelse till den andra staten. –Tillmätande av andra anknytningsfaktorers betydelse vid bedöm- ningen av territorialitetsprincipen och därmed också av juris- diktionsfrågan. Detta förslag tar sikte på den specifika loss of location-problematiken och den traditionella tolkningen av terri- torialitetsprincipen. Sådana omständigheter som att elektroniskt lagrade uppgifter kan finnas på olika platser (i olika territorier), vara dynamiskt sammansatta från olika geografiska områden eller, genom s.k. cachning (lokalt sparande) eller speg- ling finnas tillgängliga på flera ställen innebär att det kan vara svårt att förlita sig på den hävdvunna tolkningen av terri- torialitetsprincipen (som grundar sig på platsen där uppgifterna lagras eller informationssystem finns) för att avgöra vilken stat som har jurisdiktion. Det har därför hävdats att nya sätt att tolka och tillämpa territorialitetsprincipen är nödvändiga. I samman- hanget har föreslagits att andra anknytningsfaktorer än uppgif- ternas eller informationssystemets lokalisering kan vara möjliga att tillmäta betydelse. Exempelvis skulle sådana relevanta anknyt- ningsfaktorer kunna vara platsen där personen som har möjlighet att ta bort uppgifterna finns eller platsen där den som äger eller Jurisdiktionsfrågor och internationella förhållanden kontrollerar uppgifterna finns. Även om lagringsplatsen inte kan bestämmas tydligt kan uppgifterna (och därmed jurisdiktionen) kopplas till en person som t.ex. har befogenhet att ändra, ta bort, undertrycka eller göra informationen oanvändbar för andra samt har rätt och möjlighet att utesluta andra från åtkomst, tillgång eller användning av informationen. Även vid en ändrad tolkning och tillämpning av territorialitetsprincipen kommer det krävas att särskilda villkor och skyddsåtgärder utarbetas. Sedan Molnbevisgruppen lämnade sin rapport, vilken T-CY princi- piellt ställde sig bakom, har ett förslag presenterats med villkor för utarbetande av ett andra tilläggsprotokoll till it-brottskonventionen.28 Förslaget antogs av T-CY . beslutade T-CY också att inrätta en förslagsgrupp till vilken samtliga stater som till- trätt it-brottskonventionen får utse egna experter.29 Därmed pågår inom ett arbete för att få till stånd lösningar avseende bl.a. loss of location-problematiken. De presenterade förslagen kommer således att inom relativ närtid bli föremål för fortsatta diskussioner. Eftersom inte har tillträtt it-brottskonventionen deltar inte med representanter i dessa diskussioner. 11.3.3EU:s arbete på motsvarande område Även inom EU pågår, som nämnts, arbete med motsvarande frågor som de frågor diskuterar. Där har fokus möjligen varit ännu mer inriktat på själva insamlingen av elektroniskt lagrad bevisning och metoder för sådan, mot bakgrund av att det ansetts att dagens metoder ger för otillfredsställande resultat.30 åtog sig kommissionen att ta itu med de utmaningar som finns på området för it-relaterad brottslighet. Rådet ställde sig bakom kommissionen och uttalade bl.a. att samarbetet med tjänsteföretagen på området ska förbättras, att processerna för 28Se proto/168072362b 30Se trafficking/e-evidence_en Jurisdiktionsfrågor och internationella förhållanden det internationella rättsliga samarbetet måste effektiviseras och att reglerna om exekutiv jurisdiktion i cyberspace ska ses över.31 Rådet begärde att kommissionen skulle lämna en delrapport för att sedan, , presentera resultatet av sina undersök- ningar. Kommissionen har i arbetet med frågorna vidtagit olika åtgärder; bl.a. har man konsulterat experter och berörda aktörer, inkluderande t.ex. privat sektor, brottsbekämpande myndigheter och organi- sationer från det civila samhället, för att söka lösningar på proble- men. Man har också hållit såväl bilaterala som multilaterala möten. redovisade kommissionen för rådet hur arbetet dit- tills förflutit och pekade i rapporten bl.a. på de problem som uppstår när det inte är möjligt att lokalisera var vissa uppgifter finns (loss of location) och de risker som uppstår när medlemsstaterna hanterar detta på olika sätt.32 presenterade kommissionen, i ett s.k. nonpaper33, olika tänkbara lösningar i arbetet med e-bevisning och jurisdiktion i cyberspace. När det gäller frågan om loss of location angavs bl.a. följande. In some situations the location of data, infrastructure or a service provi- der cannot be established (“loss of knowledge of location situations”) or there is a risk of losing data. In such cases, a number of Member States already today provide for possibilities to access and in some cases copy the data directly from a computer system. The experts suggest that at EU level common conditions and minimum safeguards for such direct access in potential crossborder situations could be defined, as well as mitigating measures such as notifications to other possibly affected countries. Such common conditions and safeguards would aim to rein- force mutual trust and loyal cooperation between the Member States while preserving national measures where they exist. Alternatively, this could also be limited to providing a common framework for notification of another (Member) State affected, while not touching the domestic regime for direct access.34 31 Se rådets slutsatser på crime-and-human-trafficking/council_conclusions_on_improving_criminal__in_cyber space_en.pdf 33En rapport med förbehållet ”This document is prepared by the Commission services and cannot be considered as stating an official position of the Commission.” 34Se paper_electronic_evidence_en.pdf Jurisdiktionsfrågor och internationella förhållanden Vid rådets sammanträde begärde ministrarna att kom- missionen skulle fortsätta sitt arbete med att föreslå praktiska åtgärder och lägga fram konkreta lagstiftningsförslag. Kommissionären har därefter meddelat att det är hennes intention att lägga fram lagstiftningsförslag som kan antas av kommissionen . har en s.k. inception impact assessment på temat ”Legislative proposal on access to electronic evidence in criminal investigations” publicerats för att få in synpunkter från berörda parter. Därtill har seminarier för intressenter hållits och ett frågeformulär för att fånga upp allmänhetens synpunkter funnits tillgängligt. Även inom EU kan således fortsatta diskussioner (och kanske också lagförslag) på området förväntas. Det saknas såvitt utredningen känner till avgöranden i överrätterna som tar sikte på hur territorialitetsprincipen vid exekutiv jurisdiktion ska tolkas i . Utredningen har däremot kännedom om två underrättsavgöranden (tingsrätt) som har gällt s.k. intrångsunder- sökningar i upphovsrättsliga mål. I de fallen har domstolarna tillåtit sådana undersökningar även beträffande molnlagrade uppgifter. I har den högsta domstolen (Højesteret) i ett mål avseende s.k. hemliga upprepade rannsakningar slagit fast att sådana kan avse uppgifter på ett användarkonto (i det fallet en persons Facebook- och Messengerprofil till vilka den brottsbekäm- pande myndigheten hade lösenorden). Højesteret godkände åtgär- den och angav beträffande territorialitetsfrågan följande. Da den kriminalitet, T er sigtet for, er undergivet dansk straffemyndig- hed, da sagen efterforskes af danske myndigheder, og da indgrebene kan foretages uden at involvere udenlandske myndigheder, kan det ikke føre til et andet resultat, at T fra februar 2010 til februar 2011 befandt sig i udlandet, og at oplysningerne på profilerne befinder sig på servere i udlan- det. Herefter – og da de øvrige betingelser for at godkende indgrebene i retsplejelovens § 794 findes at være opfyldt – tiltræder Højesteret, at det er tilladt politiet at aflæse Ts Facebook- og Messengerprofiler. 35 Se avgörande från Højesteret i sag 129/2011, tillgängligt på /hoejesteret/nyheder/Afgorelser/Documents/K-129-11.pdf Jurisdiktionsfrågor och internationella förhållanden Højesteret använde således andra anknytningspunkter (kriminalite- ten omfattades av dansk jurisdiktion, utreddes av danska myndigheter och ingreppet kunde vidtas utan hjälp av utländska myndigheter) än sådana som den svenska hållningen avseende territorialitetsprincipen (lagringsplatsen) skulle ta sikte på. I kan, som tidigare framhållits, såväl hemlig dataavläsning som hemlig rannsakan riktas mot användarkonton på internet- baserade kommunikations- och lagringstjänster. Motsvarande mot- svarande kriterier som de Højesteret i framhöll och andra anknytningspunkter till synes då vara av relevans beträffande jurisdiktionsfrågan.36 Utredningens bedömning: Det finns starka skäl att nyansera den hittillsvarande svenska hållningen avseende vad territorialitets- principen vid exekutiv jurisdiktion innebär för elektroniskt lagrade uppgifter. Detta gäller särskilt i de fall då det inte är känt och inte kan klarläggas i vilket eller vilka länder som de elek- troniska uppgifterna lagras (loss of location). Frågan bör dock inte nu bli föremål för nationell lagstiftning utan den bör prövas i rättstillämpningen. bör aktivt arbeta för att få till stånd internationella överenskommelser i aktuella frågor. Ett första steg för att ta bör vara att ratificera it-brottskonventionen för att alls få delta i de samtal och diskussioner som förs i . Nya tekniska lösningar för bl.a. lagring och kommunikation har inneburit utmaningar för brottsbekämpande myndigheter såvitt avser jurisdiktion. Fenomenet är inte lokalt utan snarare globalt. Trots detta finns inga breda internationella överenskommelser på området utöver it-brottskonventionen, vilken endast löser en mycket liten del av den beskrivna problematiken. För svensk del är inga internationella överenskommelser på det här relevanta området tillämpliga eftersom vi inte har tillträtt it-brottskonventionen. 36 Se t.ex. kap. 5 i Skjulte tvangsmidler, og , Universitets- forlaget / kommentarutgaver.no - 28-03-2017. Jurisdiktionsfrågor och internationella förhållanden I svenska lagar som ger myndigheter möjligheter att vidta åtgär- der mot enskilda (t.ex. tvångsmedel) nämns aldrig uttryckligen att det ska föreligga exekutiv jurisdiktion för för att åtgärdena ska få vidtas. Det är underförstått att så ska vara fallet och att de svenska lagarna endast gäller om svensk jurisdiktion föreligger. I de lagar som reglerar det internationella samarbetet finns visserligen regler som ger svenska myndigheter vissa möjligheter att agera även när det inte finns jurisdiktion med sedvanlig tillämpning av terri- torialitetsprincipen. Ett exempel på detta är reglerna om direkt- överföring vid hemlig avlyssning av elektronisk kommunikation enligt lagen om internationell rättslig hjälp i brottmål. Sådana regler grundar sig på avtal som antingen är bi- eller multilaterala. När det inte finns några sådana avtal (och inhemska bestämmelser) gäller enligt den angivna lagen att åklagaren kan begära rättslig hjälp från den andra staten (se t.ex. 1 kap. 7 § lagen om internationell rättslig hjälp i brottmål). Någon möjlighet att utan sådan hjälp vidta åtgärder föreskrivs inte i lag, och skulle inte heller ha någon verkan även om den föreskrevs. När det särskilt gäller den s.k. loss of location-problematiken är det praktiskt möjligt för den brottsbekämpande myndigheten att ta del av uppgifter som lagras utanför det egna territoriet utan att befinna sig där uppgifterna finns. Så kan i de fallen ske utan den andra statens hjälp. En sådan möjlighet finns aldrig när det är fråga om annat än uppgifter som finns lagrade (eller kanske snarare manifesterade) på annat sätt än elektroniskt, t.ex. på papper. Eftersom det finns risk för att uppgifter av värde för en brottsutred- ning kan försvinna som det tar att utreda (om det alls är möjligt att utreda) var uppgifterna finns lagrade kan de beskrivna skillnaderna på mycket goda grunder utgöra en anledning att ifråga- sätta om den svenska hållningen avseende territorialitetsprincipen vid frågor om exekutiv jurisdiktion alltid har skäl för sig när det gäller utredningar som tangerar ”det digitala rummet”. Som framgått har flera andra stater valt att använda sig av ett annat synsätt när det gäller hur territorialitetsprincipen ska tillämpas under dessa för- hållanden. Enligt vår uppfattning finns det ett principiellt och två mer prak- tiskt orienterade skäl till att tillämpa territorialitetsprincipen för exekutiv jurisdiktion på det sätt som sker i . Det princi- är att genom en sådan tillämpning uppstår en överensstäm- Jurisdiktionsfrågor och internationella förhållanden melse mellan hur principen tillämpas i den fysiska och den digitala världen; två verkligheter som givetvis binds samman av att de elek- troniska uppgifterna ju rent faktiskt lagras på servrar och skickas genom nät som existerar i den fysiska världen (dvs. inom och mellan staters faktiska territorier). Genom att använda samma princip för att bestämma vem eller vilka som har jurisdiktion uppnås således förutsebarhet. Det bör också tilläggas att den svenska hållningen är tämligen enkel att tillämpa. Genom att säga att så snart det föreligger osäkerhet så saknas jurisdiktion uppställer man ju krav på visshet avseende var uppgifterna lagras. Till detta principiella argument kommer alltså åtminstone två argument som får anses vara mer prak- tiskt orienterade. För det första kan en ändrad svensk uppfattning om när exekutiv jurisdiktion ska anses föreligga leda till risk för konflikter med andra stater som tillämpar territorialitetsprincipen på annat sätt (t.ex. enligt nuvarande svensk hållning). Utan överenskommelser om vad som ska gälla mellan och andra stater kan det således tänkas att en annan stat anser att , om man enligt svensk inhemsk rätt tillåter brottsbekämpande myndigheter att från ta del av uppgifter som lagras i den andra staten, inkräktar på den andra statens suveränitet (genom att hämta uppgifter därifrån). För det andra torde en sådan inhämtning av uppgifter från en annan stat kunna innebära att det finns risk för att den som verkställer åtgärden gör sig skyldig till brott i den andra staten (t.ex. dataintrång). Detta problem ska dock inte överdrivas, utan är snarare ett närmast akademiskt påpekande. Det är svårt att på annat sätt förklara att det, såvitt utredningen känner till, inte uppstått någon sådan situation trots att flera stater alltså redan har lämnat den tolkning av territoria- litetsprincipen som tillämpar. Det finns enligt vår mening också väldigt goda skäl för ett annat synsätt än det nuvarande i frågan när ska anses ha juris- diktion. Även här kan argumenten delas in i en principiell och en mer praktiskt orienterad kategori. Till de principiella argumenten hör att även en ändrad hållning skulle kunna vara förutsägbar, givet att den manifesteras tydligt. Det skulle således kunna bli lika enkelt (eller svårt) som att veta när svensk jurisdiktion föreligger om bara de anknytningspunkter som används för att avgränsa juris- diktionen är tydligt uttryckta. Som ett exempel kan nämnas att om den svenska hållningen innebar att när en brottsutredning bedrivs i Jurisdiktionsfrågor och internationella förhållanden om ett brott begånget här och den misstänkte finns här i landet samt den tjänst där den misstänkte har sitt användarkonto är allmänt tillgängligt från så skulle den jurisdiktionsmässiga avgränsningen vara tämligen klar, och därmed också förutsägbar. Såvitt avser de praktiska skälen för att förändra den svenska hållningen är det enligt vår mening starkaste argumentet att det, när en brottsutredning (eller ett underrättelseärende) pågår i och riktas mot en person som befinner sig här samt avser ett brott som begåtts (eller planeras) i riket, framstår som tämligen märkligt att svenska brottsbekämpande myndigheter inte ska kunna samla in elektroniskt lagrade uppgifter trots att de kan tillgängliggöras i utan att någon risk t.ex. för informationssäkerheten uppstår i den stat (eller i förekommande fall de stater) där uppgifterna lagras. Än mer märkligt blir detta med hänsyn till att lagringsplatsen i de allra flesta fall torde vara både irrelevant och okänd för den som äger eller disponerar informationen, och som alltså finns i , så länge hen kan få fram informationen på eget kommando. Med så många anknytningspunkter till en svensk utredning är det helt enkelt svårt att se varför lagringsplatsen i dessa fall ska avgöra den exekutiva jurisdiktionsfrågan. En jämförelse kan här göras med den danska högsta domstolens avgörande där Højesteret nöjde sig med klart färre anknytningsfaktorer än de nu nämnda för att anse att dansk jurisdiktion förelåg. Det faktum att artikel 32 i it-brottskonventionen tillåter en kon- ventionspart att genom ett informationssystem inom sitt territorium samla in uppgifter som finns lagrade i annan stat när det finns frivilligt samtycke av den som äger/disponerar informationen talar enligt vår mening dessutom i viss mån för att användande av inlogg- ningsuppgifter (som erhållits på lagligt vis) för att bereda sig tillgång till uppgifter på ett användarkonto på en internettjänst inte utgör en kränkning av den andra statens suveränitet, vilket har hävdats som en riskfaktor avseende mellanstatliga konflikter. Om det hade ansetts som en kränkning med inloggning från en annan stats brottsbekäm- pande myndigheter borde inte ett principiellt undantag från den hävdvunna tolkningen av territorialitetsprincipen alls kunnat ha accepterats av de 56 stater som ratificerat konventionen. Mot detta kan dock hållas att det kan ifrågasättas om inloggning med samtycke faktiskt utgör sådan myndighetsutövning som kan föranleda kränk- ningar. Jurisdiktionsfrågor och internationella förhållanden Till det anförda kommer den omständigheten att en rad stater har infört unilaterala lösningar som innebär att inloggning från den egna staten med lagligen erhållna inloggningsuppgifter för inhämtning av uppgifter som lagras i en annan stat eller på okänd plats är tillåtet. Dessa lösningar synes, såvitt utredningen känner till, inte ha föranlett mellanstatliga konflikter vilket talar för en viss acceptans av för- farandet stater emellan. Det synes således föreligga ett, åtminstone tyst, accepterande av åtgärderna, vilket också kan tolkas som att inloggning inte utgör en kränkning av den andra statens suveränitet.