sou · H5B375 · 2017-10-11 00:00:00 — Det lär då oftast vara utrustningens identifierings- nummer, t.ex. MAC-nummer, som lagras. åtkomst torde den sista utrustningen oftast vara en viss cell i en bas- station. Uppgifterna motsvarar då de uppgifter som lagras för loka- lisering vid telefonitjänst (prop. 2010/11:46 s. 33). Uppgifterna är viktiga för att kunna hitta den geografiska plats som användaren kommunicerar från. Värdet av lokaliseringsupp- gifter har beskrivits i avsnitt 12.6.3. Eftersom det blir allt vanligare med samtals- och meddelandekommunikation genom appar och tjänster från leverantörer som inte omfattas av lagringsskyldigheten (avsnitt 7.3.1) blir uppgifterna hänförliga till internetåtkomst ännu viktigare . Internetåtkomst är inte bara kopplat till webbesök, samtal och meddelanden; fler och fler maskiner och fordon behöver åtkomst till internet (7.3.4). I hemmet är de flesta uppkopplade produkter an- slutna genom samma internetmodem som används för datorer och annan kommunikationsutrustning. De genererar därmed som regel inte några ytterligare uppgifter som lagras. Uppkopplade fordon däremot begär internetåtkomst genom en egen mobil uppkoppling. Vid en mer utbredd användning av internet i fordon skulle det där- med kunna bli möjligt att dra än mer långtgående slutsatser om folks privatliv, om uppgifterna lagras. Det skulle självklart bli till stor nytta för de brottsbekämpande myndigheterna om de kan få tillgång till uppgifter om var ett fordon ansluter till eller kopplar från internet. Men det skulle också innebära ett stort integritetsintrång. Lagringen skulle därigenom kunna bidra till att rörelsefriheten (2 kap. 8 § RF) i praktiken inskränks. Sammanfattningsvis finns det vissa betänklig- heter med att låta dessa uppgifter lagras, om fordon kom- mer att använda internet i större omfattning, i vart fall utan någon begränsning. Uppgifterna används också för att säkra uppgifter om hela kom- munikationskedjan, då främst enligt bestämmelsen i 43 § andra stycket FEK. Det är inte ovanligt att kommunikationskedjan sista del är ett nät som inte omfattas av lagringsskyldigheten, t.ex. en bostadsrättsförenings egna nät. De punkter där kommunikationen avskiljs är viktiga att få information om för att kunna gå till nät- ägaren för att få ytterligare uppgifter som kan leda fram till abonnen- ten. För att bestämmelserna ska bli meningsfulla och oberoende av infra- och bolagsstrukturella lösningar bör lagringsskyldigheten där- för även omfatta uppgifter som identifierar utrustningen där kom- munikationen slutligt avskiljs mellan den lagringsskyldige och den som slutligt avskiljer kommunikationen till den enskilde abonnen- ten, om den senare inte är lagringsskyldig. Sammanfattningsvis är de nu diskuterade uppgifterna i många fall nödvändiga för att hitta rätt slutanvändare, vilket gör dem viktiga. De är också nyttiga för att de i någon mån gör bestämmelserna om lagring av kommunikation mer teknikneutrala och anpassade till dagens teknik och användning av kommunikationstjänster. Upp- gifterna är således strängt nödvändiga att lagra. innebär uppgifterna, i vart fall vid mobil internetåtkomst, ett relativt stort integritetsintrång, eftersom de i praktiken utgör lokaliseringsupp- gifter. Intrånget är emellertid mindre än vid telefonitjänst och med- delandehantering, eftersom det inte finns någon korresponderande uppgift om t.ex. vem som personen kommunicerat med eller när kommunikationen ägt rum. Vid en sammantagen bedömning är det därför ändå proportionellt att uppgifterna lagras. Det ska emellertid noteras att om användandet av internet i fordon blir mer omfattande och mer utbrett kan det finnas anledning att göra en annan bedöm- ning och införa någon form av begränsning i lagringen. Kapacitet för överföring av internetåtkomst ska inte lagras Utredningen föreslår att uppgift om den typ av kapacitet för över- föring som har använts ska tas bort från lagringsskyldigheten. Information om kapacitet för överföring vid internetåtkomst har i jämförelse med andra uppgifter värderats lägre av de brottsbekäm- pande myndigheterna. Uppgiften har även tidigare bedömts som mindre viktiga men bra att ha vid brottsbekämpning, Ds 2014:23 s. 52 (se dock SOU 2015:31 s. 166–167). Som skäl för att behålla lagringsskyldigheten för uppgifterna har angetts att uppgifterna ger information om huruvida anslutnings- formen är fast eller mobil, vilket i sig kan ge lokaliseringsinformation och uppgift om vem som är abonnent. Vidare har angetts att upp- giften kan vara av intresse för att verkställa andra hemliga tvångs- medel. Uppgiften torde främst vara relevant för att enklare kunna identi- fiera rätt anslutning när kommunikationen övergår i ett nät som tillhandahålls av någon som inte är lagringsskyldig, t.ex. ett lokalt nät för en bostadsrättsförening. Något omfattande behov av uppgiften har emellertid inte framkommit. Uppgifterna bedöms inte som särskilt integritetskänsliga. Sammantaget är utredningens bedömning att det inte är strängt nödvändigt att behålla lagringsskyldigheten för uppgift om den typ av kapacitet för överföring som har använts. Utredningen föreslår att uppgift som är nödvändig för att identifiera abonnent och registrerad användare ska omfattas av lagringsskyldig- heten. Möjligheten att koppla en användare till en viss uppgift bör inte skilja sig åt beroende på vilken teknik en operatör använder sig av. Som uppmärksammades i betänkande, på- verkar användandet av NAT-teknik (dvs. en teknik för att låta flera användare dela på en och samma publika ip-adress) om de brotts- bekämpande myndigheterna kan identifiera den slutliga användaren eller inte (SOU 2015:31 s. 320). Detta framstår som orimligt och även oavsiktligt, se prop. 2010/11:46, särskilt s. 30. Lagstiftningen bör i stället vara teknikneutral. Även om en sådan förändring inte är föranledd av dom har den ett sådant samband med övriga föreslagna förändringar att den bör genomföras . Det bör således införas en skyldighet att lagra uppgifter som gör det möjligt att identifiera en abonnent.11 En mer teknik- neutral bestämmelse är även rimlig med beaktande av att det aktuella teknikområdet är under metamorfos och alltför specifika bestämmelser riskerar att snabbt bli inaktuella, SOU 2007:76 s. 137. Det har tidigare i detta betänkande anförts att en utvidgning av lagringsskyldigheten inte ligger i linje med bedömningen att färre uppgifter måste omfattas av en lagringsskyldighet för att den alls ska vara förenlig med (se t.ex. angående lokaliseringsuppgifter vid meddelandehantering, avsnitt 12.6.3). Den nu aktuella ändringen av lagringsskyldigheten kan visserligen föranleda att fler uppgifter lagras (om leverantörens teknik så kräver), men skiljer sig ändå 11 Se även den av PTS beställda rapporten från : NAT i mobila nätverk, . markant från en utvidgning av det slag som avses i föregående mening. De ytterligare uppgifter som eventuellt behöver lagras avser nämligen samma sakförhållande och krävs för att huvudinfor- mationen (ip-adressen) inte ska vara värdelös. Den begränsning som dagens lagstiftning leder till är, som nämnts ovan, oavsedd och för- anledd av att operatörerna nu använder sig av en viss teknik. Av samma anledning ökar inte integritetsintrånget i sig särskilt mycket av att dessa uppgifter lagras. De extra uppgifter som behöver lagras torde oftast vara portnummer och ytterligare en ip-adress. En teknikneutral bestämmelse har fördelar även utifrån den lagringsskyldiges perspektiv, eftersom det blir tydligt att det finns en skyldighet att lagra uppgifter som möjliggör identifikation av abonnenten. Nackdelen är dock att lagringsskyldighetens exakta om- fattning inte går att utläsa direkt ur författning. Eftersom det är fråga om ett offentligrättsligt åliggande gentemot de lagringsskyldiga kan det finnas en poäng i att mer tydligt ange exakt vad som ska lagras. Eftersom den tekniska utvecklingen snabbt kan förändra förutsätt- ningarna för vad som behöver lagras bör den exakta tekniska utform- ningen av lagringsskyldigheten fastställas i myndighetsföreskrifter. Ramarna av föreskriftsrätten bör dock alltjämt finnas i lag och förordning. Enligt utredningen bör PTS vara den myndighet som utformar de tekniska detaljerna för vad som ska lagras. Ett sådant bemyndigande torde PTS redan ha, 6 kap. 16 a § fjärde stycket LEK och 44 § FEK. Detta bemyndigande bör dock förtydligas (se avsnitt 12.6.6). Man kan förmoda att ipv6-adresser kommer att bli vanligare framöver. Ipv6 är en senare version av internetprotokollet, som gör det möjligt att använda långa ip-adresser, vilket möjliggör omkring 340 sextiljoner (3,4 · 1038) unika adresser. Det skulle inne- bära att användandet av NAT-teknik, utifrån brist på ip-adresser som enda grund, blir obehövligt. Däremot kan det ändå finnas anled- ning för operatörerna att fortsätta att använda tekniken. Om endast ipv6-adresser används borde någon annan uppgift än ip-adress och tillhörande uppgift om abonnent inte behöva lagras för att det ska vara möjligt att identifiera rätt abonnent eller registrerad användare. Det lär emellertid inte bli verklighet inom överskådlig framtid (Europols , Internet Organised Crime Threat Assessment, s. 58). Slutligen ska nämnas att lagring av destinations-ip, dvs. den adress som användaren kontaktat, vilket t.ex. kan vara en webbsida eller en mail-, chatt- eller spelserver, skulle kunna användas för att identifiera rätt användare vid användning av NAT-teknik. Lagras den uppgiften och tiden för kontakten begränsas nämligen antalet användare till dem med samma publika ip-adress som haft kontakt med samma destinations-ip (t.ex. besökt samma webbsida). En sådan lagring skulle innebära ett alltför stort integritetsintrång, eftersom en användares trafik över internet skulle finnas lagrad och tillgänglig. I linje med att innehållet av kommunikationen inte ska lagras bör därför inte heller sådan information tillåtas att lagras för att uppfylla lagringsskyldigheten i denna del. 12.6.5Inget undantag för personer med tystnadsplikt Utredningens bedömning: Det bör inte införas något undantag från lagringen för personer med tystnadsplikt. Datalagringsutred- ningens förslag om att införa en förstörandeskyldighet för upp- gifter som omfattas av yrkesmässig tystnadsplikt bör övervägas. noterar i domen att den svenska lagstiftningen inte innehåller något undantag för personer vilkas kommunikationer enligt nationell rätt omfattas av tystnadsplikt (p. 105, jfr även Digital Rights-domen p. Däremot uppställer inte domstolen något krav på en sådan begränsning av lagringsskyldigheten. Som konstaterade (se avsnitt 8.4.3) är det i svensk rätt huvudsakligen uppgiftens innehåll som avgör om den omfattas av skydd mot att de brottsbekämpande myndigheterna eller någon annan tar del av uppgiften. Förekomsten av kommuni- kation är däremot normalt inte skyddad. Tystnadsplikten omfattar inte heller vissa personer utan endast uppgifter som personerna fått del av i sin yrkesutövning (jfr 36 kap. 5 § RB, se även rättsfallet NJA 2010 s. 122, särskilt punkten 8). Ett förbud mot att lagra eller hämta in uppgifter som enligt svensk rätt omfattas av tystnadsplikt skulle därför kräva att man tar del av innehållet i kommunikationen, vilket framstår som ogörligt, både praktiskt och utifrån ett integritets- perspektiv. Ett förbud mot att lagra uppgifter av nu aktuellt slag skulle alltså innebära ett ökat integritetsintrång som det inte är något som krävs enligt . I vissa fall kan redan det faktum att det förevarit en kontakt mellan en person med tystnadsplikt och någon annan vara känsligt. Exempel på det kan vara kontakter med advokater, läkare eller präster. I detta sammanhang måste följande beaktas. För det första innehåller samtliga brottsbekämpande myndigheternas datalagar ett ramverk kring hur personuppgifter får behandlas, se polisdatalagen (2010:361), åklagardatalagen (2015:433) och tullbrottsdatalagen (2017:447). Det ger ett skydd för att uppgifter där behandlas korrekt, gallras om de inte behövs och inte sprids. För det andra skulle det vara en administrativt svår uppgift att ha ett system för att undanta vissa abonnenter från operatörernas lagringsskyldighet. Även om en sådan ordning skulle kunna införas är det ändå inte önskvärt att göra så. Skälet till det är att även advokater, läkare och präster kan miss- tänkas för brott. När de uppträder som brottsmisstänkta har de i princip ingen privilegierad ställning. Det är dock viktigt att notera att tystnadsplikten till förmån för klienten alltjämt gäller. Mot bakgrund av det nu anförda lämnar utredningen inget förslag på något undantag för personer med tystnadsplikt. Bedömningen om en uppgift ska inhämtas från en person vars uppgifter kan omfattas av tystnadsplikt bör i stället göras i varje enskilt fall med utgångspunkt i proportionalitetsprincipen (jfr även prop. 1988/89:124 s. 28 och NJA 2015 s. 631 p. I sammanhanget bör även påpekas att det råder ett grundlags- skyddat förbud för det allmänna att efterforska vem som lämnat uppgifter till t.ex. en journalist (3 kap. 4 § tryckfrihetsförordningen och 2 kap. 4 § yttrandefrihetsgrundlagen). Utredningen instämmer i bedömning att endast förekomsten av strukturerad data eller ens inhämtning av uppgifterna inte kan leda till att efterforskningsförbudet överträds, om det inte funnits ett syfte att efterforska en källa. delar utredningen slutsatsen att myndigheternas insyn i att kommunikation förevarit i någon mån kan riskera att hota meddelarskyddet eller sekretessen. Även om innehållet i informationen inte direkt framgår av de uppgifter som ska lagras, kan den som får tillgång till uppgifterna dra slutsatser och göra kvalificerade gissningar om sekretessbelagd information utifrån både lokaliseringsuppgifter, exempelvis vilka som varit på en viss klinik, och trafikuppgifter, t.ex. en journalists, advokats eller utredande polis förslag om en skyldighet att förstöra uppteckningar från hemlig övervakning av elektronisk kommunikation och inhämtning enligt IHL i de delar de innehåller uppgifter som omfattas av frågeförbudet i 36 kap. 5 § andra–sjätte styckena RB bör därför övervägas. Det ska dock i sammanhanget noteras att en sådan skyldighet är behäftad med vissa svårigheter. Som anför i sitt remissvar över Datalagrings- utredningens betänkande SOU 2015:31 så är frågeförbudet i vissa fall (t.ex. när det gäller advokater och läkare) utformat på så sätt att det avser vad som har ”anförtrotts” befattningshavaren i sin yrkes- utövning, eller vad han eller hon i samband därmed har ”erfarit” I fråga om rättegångsombud, biträden och försvarare gäller dock frågeförbudet endast vad som har ”anförtrotts” dem, och alltså inte vad de har ”erfarit”. Det är svårt att se hur det ska vara möjligt att – när det gäller just trafikuppgifter – bedöma vad som ska anses ha anförtrotts t.ex. en advokat under ett samtal. Därtill kan det finnas en rättssäkerhetsproblematik med att uppgifter som inhämtats av en brottsbekämpande myndighet raderas efter att de analyserats. Även i denna del hänvisas till vad som anförs i remissyttranden över Data- lagringsutredningens betänkande från , Polis- myndigheten och Säkerhetspolisen. 12.6.6Lagringskyldighetens ramar bör framgå av lag Utredningens bedömning: Lagringsskyldighetens yttre ramar bör framgå av lag och de mer detaljerade föreskrifterna av för- ordning. I viss utsträckning ska regeringen kunna delegera denna föreskriftsrätt. Som ovan beskrivits är området för elektronisk kommunikation i ständig förändring med nya kommunikationstjänster som till- kommer. Dessa nya kommunikationstjänster leder till nya kom- munikationsmönster hos användarna (avsnitt 7.3). Det leder i sin tur till att bedömningen av vad som är strängt nödvändigt att lagra kan förändras (avsnitt 12.6.3). Sådana förändringar kan komma snabbt och regelverket kring lagringsskyldigheten måste därför kunna ändras snabbt, dels för att människor inte ska utsättas för lagring som är strängt nödvändig, dels för att de brotts- bekämpande myndigheterna måste kunna bibehålla sin brotts- utredande förmåga även vid teknisk utveckling. Av dessa skäl bör i lag föreskriva de yttre ramarna för lagringen medan de mer detaljerade föreskrifterna huvudsakligen bör regleras i för- ordning. Det gör att även om många uppgifter nu tas bort från lagringsskyldigheten så bör ramarna för lagringen i LEK inte ändras mer än nödvändigt. När det gäller lagring av abonnemangsuppgifter vid internet- åtkomst kräver föreskrifternas utformning särskilt god och aktuell kunskap om tekniska lösningar hos operatörerna. Det är därför lämpligt att regeringen får rätt att delegera föreskriftsrätten till PTS i dessa fall, jfr 6 kap. 16 a § fjärde stycket LEK. Ett förtydligande om PTS behörighet kan därför behöva göras (avsnitt 12.6.4). Utredningens förslag: Det ska i lag anges att de uppgifter som omfattas av lagringsskyldigheten ska lagras den tid regeringen föreskriver dock som längst räknat från den dag då kommunikationen avslutades. Lokaliseringsuppgifter vid samtal ska lagras . Uppgifter om internetåtkomst, förutom uppgifter som identi- fierar utrustningen där kommunikationen slutligt avskiljs, ska lagras . Övriga uppgifter ska lagras . 12.7.1Riksdagen ger en ram för lagringstiden Som framgår ovan måste lagringen vara anpassad till vad som är strängt nödvändigt. En viktig komponent i en sådan anpassning är att differentiera lagringstiderna utifrån hur gamla uppgifter det finns ett påtagligt behov av. Som nämnts tidigare, är en differentiering av lagringstiderna emellertid ensamt inte en tillräcklig åtgärd för att göra den svenska lagstiftningen förenlig med . Utredningen föreslår att det skapas en flexibel ordning där riks- dagen i lag föreskriver en längsta lagringsfrist och att regeringen inom denna ram får föreskriva kortare lagringsfrister. Härigenom differentieras lagringsskyldigheten för respektive uppgiftsslag. 12.7.2Inom den av angivna ramen bör regeringen föreskriva kortare frister för vissa uppgifter Utredningen föreslår att lokaliseringsuppgifter vid samtal ska lagras . Uppgifter om internetåtkomst, förutom uppgifter som identifierar utrustningen där kommunikationen slutligt avskiljs, ska lagras och övriga uppgifter ska lagras . De uppgifter om elektronisk kommunikation som inhämtas av polisen i underrättelseverksamheten är i de flesta fall yngre än en månad. I polisens utredningsverksamhet är den största andelen yngre än , endast omkring 20–är äldre och ungefär en tiondel av den totala mängden är äldre än . De utred- ningar i vilka det finns ett behov av äldre uppgifter avser främst grova våldsbrott av spaningskaraktär samt bekämpning av grova seriebrott som våldtäkter och mordförsök. (SOU 2015:31 s. 129) Detta bör beaktas vid bestämmandet av lagringstiden. En annan faktor att beakta är att – som framgår av avsnitt 7.5 – de brotts- bekämpande myndigheterna har behov av längre lagringstid för ip- adresser vid ärenden som har internationell koppling, t.ex. barn- pornografibrott. Ytterligare en utgångspunkt vid dessa resonemang är att data- lagringsdirektivet ålade medlemsstaterna att i se till att uppgifter skulle lagras. Denna tid för lagring överläts till medlems- staterna att bestämma men skulle ligga i intervallet räknat för kommunikationen. valde den kortaste tiden för lagring, dvs. Som framgår ovan är de flesta uppgifterna som inhämtas i poli- sens verksamhet yngre än . verksamhet torde inte kräva några särskilt annorlunda lagringstider, vilket också stämmer med vad har uppgett. Det talar för att man inte behöver föreskriva en lagringstid som överskrider . måste några andra viktiga faktorer beaktas. När nu lagringsskyldighetens omfattning sett till vilka uppgifter som ska lagras minskar så minskar nyttan av tillgång till de datalagrade uppgifterna. Denna minskade omfattning av lagringen kan leda till att kartläggningen av elektroniska spår i brottsutredningar blir något långsammare. Dessutom – och kanske viktigare – är det, som fram- går ovan, framför allt vid bekämpning av grova brott som de äldre uppgifterna behövs. I underrättelseverksamheten är behovet av äldre uppgifter inte särskilt stort, möjligen med undantag av vissa delar av Säkerhetspolisens verksamhet. Mot bakgrund av det sagda bör lagringstiden alltjämt som huvud- regel vara . De allra flesta uppgifterna för telefonitjänst och meddelandehantering bör omfattas av huvudregeln. Vad gäller lokaliseringsuppgifter bör dock lagringstiden vara betydligt kortare. Lokaliseringsuppgifter kan potentiellt ge mer integritetskänslig information om en person än övriga uppgifter. En kortare lagringstid bör därför föreskrivas för dessa uppgifter. Enligt den tyska lagstift- ningen gäller en lagringsskyldighet för lokaliseringsuppgifter . Det är dock svårt att jämföra en viss rättsordning med den svenska och utifrån det göra bedömningar om hur det ska vara här. Lagringsskyldighetens längd är nämligen en del i en helhet där bl.a. den övriga regleringen kring tvångsmedel spelar in. Med detta sagt är det emellertid klart att det bör införas en kortare lagringsskyldighet för lokaliseringsuppgifter än för andra uppgifter. En rimlig avvägning mellan den nytta uppgifterna innebär för de brottsbekämpande myndigheterna och det integritetsintrång uppgiften innebär ger enligt utredningen att en lagringstid bör föreskrivas för lokaliseringsuppgifter. Uppgifter för den första aktiveringen av en förbetald anonym tjänst bör behandlas som en enhet, dvs. även inkluderat lokali- seringsuppgiften. Uppgifterna är inte särskilt integritetskänsliga. Det finns ett behov hos de brottsbekämpande myndigheterna att få till- gång till i vart fall uppgifter, avsnitt 7.5. Någon bärande anledning att lagra uppgifterna längre än huvudregeln har inte framkommit. De flesta uppgifter kopplade till internetåtkomst är mindre inte- gritetskänsliga eftersom de i sig inte innefattar uppgifter om kom- munikation (t.ex. vem internetanvändaren har haft kontakt med). Myndigheterna har – liksom vid övriga uppgifter – olika behov av dessa uppgifter. står för den absolut största delen av brottsbekämpningen varför lagringstiden främst bör anpassas till den. Som nämnts i avsnitt 7.5 är det flera av polisens utredningar som behöver läggas ned på grund av att lagringstiden är för kort när det gäller ip-adresser, eftersom dessa uppgifter ofta är helt avgörande för att kunna identifiera misstänkta gärningsmän. Uppgifter om ip-adresser (och andra uppgifter som krävs för att identifiera abonnenten) ger också ett tidsbegränsat användnings- område, eftersom uppgifterna ofta byts ut med korta mellanrum (avsnitt 12.6.4). Det leder både till att uppgifternas integritets- känslighet är lägre än annars och att det finns ett större behov av att spara uppgifterna . Övriga uppgifter om internetåtkomst krävs för att öka förståelsen och nyttan av de lagrade ip-uppgifterna. Utredningen finner att en lagringstid för uppgifter hänförliga till internetåtkomst (förutom uppgifter som identifierar utrustningen, se nedan) utgör en rimlig avvägning mellan de olika myndigheternas behov som hänsyn tas till integritets- aspekten. När det gäller uppgifter som identifierar den utrustning där kom- munikationen slutligt avskiljs från den lagringsskyldige till den enskilda abonnenten, är de uppgifterna mer integritetskänsliga än övriga uppgifter om internetåtkomst eftersom uppgifterna i princip utgör en lokaliseringsuppgift. I vart fall gäller det vid mobil åtkomst till internet. Även om dessa uppgifter inte har samband med någon kommunikation och därför inte är lika integritetskänsliga som lagrade lokaliseringsuppgifter för telefonitjänst, får de alltså anses mer känsliga än övriga uppgifter. En kortare lagringstid än bör därför föreskrivas. Sådana uppgifter bör i stället sparas . 12.8Tillgången till trafik- och lokaliseringsuppgifter 12.8.1Endast för att bekämpa grov brottslighet Utredningens bedömning: Tillgång till lagrade trafik- och loka- liseringsuppgifter ska endast ges för bekämpning av grov brotts- lighet.