prop · H60386 · 2019-04-02 00:00:00 — Ecpat understryker vikten av abonne- mangsuppgifter för att kunna utreda och lagföra sexualbrott mot barn. Utan tillgång till abonnemangsuppgifter skulle flera sexualbrott mot barn som inte rubriceras som grova brott, som t.ex. köp av sexuell handling av barn eller kontakt för att träffa ett barn i sexuellt syfte, bli långt mer svårutredda. ifrågasätter inte utredningens bedömning, men anser att det bör bringas klarhet ifråga om vilka uppgifter som utgör abonnemangsuppgifter och att begreppet bör definieras i författningstext. () påpekar att det finns en risk för överutnyttjande av inhämtning av abonnemangsuppgifter om det inte finns en tydlig definition av begreppet i svensk lag. , Hovrätten för övre , Datainspektionen, och anser att det behövs en närmare analys av frågan. Datainspektionen och delar inte utredningens slutsats att abonnemangsuppgifter inte är lika integritetskänsliga som trafik- och lokaliseringsuppgifter och anför att definitionen av abonne- mangsuppgifter kommer från långt före den tekniska utvecklingen och innebär att de uppgifter som sorteras under abonnemangs- uppgifter är betydligt fler och mer integritetskänsliga än när begreppet infördes. , , och Civil Rights Defenders anser att ip-adresser omfattas av Tele2-domen. Någon upp- delning mellan abonnemangsuppgifter och trafik- och lokaliserings- uppgifter görs inte i direktiv /58. Det viktiga är i stället om uppgiften kan klassificeras som en konfidentiell personuppgift som i så fall skyddas av direktivet och därmed av krav. Tele2-domen måste läsas i ljuset av Digital Rights-domen och bestämmelserna i det upphävda datalagringsdirektivet som omfattade ip-adresser. Därför måste också Tele2-domen anses omfatta ip-adresser. Kammarrättens dom omfattar dessutom samtliga datalagringsbestämmelser, inklusive ip-adresser. Ip- adresser är långt mer integritetskänsliga än uppgifter om t.ex. vem som står bakom ett mobiltelefonnummer. , i och påpekar att användningen av dynamiska ip-adresser och NAT-teknik har ökat. För att kunna veta vem som använt en ip-adress vid ett specifikt tillfälle kan det därför vara nödvändigt att ha tillgång till exakta tidsuppgifter för när adressen användes. Detta innebär att de uppgifter man måste behandla sammantaget kan lämna mycket exakt information om abonnenternas internetkommunikation och därmed vara mer integritetskänslig. Skälen för regeringens bedömning Vad innefattas i uttrycket uppgift om abonnemang? Med uppgift om abonnemang i 6 kap. 20 § lagen om elektronisk kom- munikation avses t.ex. uppgifter om abonnentens nummer, namn, titel och adress (prop. 1992/93:200 s. 310). Vidare har det ansetts innefatta såväl fasta som dynamiska ip-adresser och IMSI-nummer (ett nummer som är kopplat till abonnentens simkort och därmed telefonnummer) (se t.ex. prop. 2011/12:55 s. 101 och Kammarrätten i dom den 19januari 2010 i RK 2010:1). I de bakomliggande EU-direktiven till lagen om elektronisk kommunikation anges inte uppgifter om abonnemang som en särskild kategori uppgifter. I motsats till vad som gäller i fråga om trafik- och lokaliseringsuppgifter ger därför inte någon direkt ledning för hur uppgift om abonnemang ska definieras, se vidare nedan. I likhet med utredningen anser regeringen att det kan ifrågasättas om det är lämpligt eller ens möjligt att definiera uppgifter om abonnemang endast utifrån vilken uppgift det är fråga om. I stället är det mer relevant att som utgångspunkt definiera uppgifter om abonnemang som uppgifter som identifierar abonnenten eller den registrerade användaren bakom ett visst nummer eller en viss adress, i motsats till uppgifter som redogör för hur numret eller adressen har använts. Med en sådan definition utgör t.ex. uppgift om vilken abonnent som är kopplad till ett visst IMSI-nummer en uppgift om abonnemang, medan information om vilka andra nummer eller adresser som ett visst IMSI-nummer har kommunicerat med inte gör det. Ett annat exempel är ip-adresser. En ip-adress är en adress som en dator eller ett lokalt nätverk tilldelas för att datapaket (en datamängd som behandlas som en enhet när data skickas från sändare till mottagare över datornät) ska kunna skickas och tas emot över internet genom den tekniska kommunikationsstandarden Internet Protocol. Ip-adressen kan därför, något förenklat, liknas vid en postadress för vanliga brevförsändelser. Ip- adressen är en teknisk uppgift som ingår i varje datapaket och som behövs för att datapaketet ska nå sin destination på internet. En ip-adress kan vara fast eller dynamisk och tilldelas en användare via t.ex. en internet- leverantör. Av praktiska skäl tilldelas privatpersoner vanligen dynamiska ip-adresser. Dessa är inte knutna till specifika datorer eller annan utrustning som kommunicerar över internet, utan tilldelas olika datorer beroende på vilka enheter som vid varje given tidpunkt är uppkopplade mot internet. Eftersom ip-adressen hänför sig till internetuppkopplingen som sådan och inte till något särskilt meddelande, kan ip-adressens huvudsakliga syfte sägas vara att identifiera abonnenten. Mot den bak- grunden anses ip-adressen, oberoende av om den är fast eller dynamisk, vara en uppgift om abonnemang (prop. 2011/12:55 s. 101). Det förtjänar också att påpekas att uppgifter som går utöver vad som kan anses som identitetsuppgifter, t.ex. vilka andra ip-adresser som innehavaren har kommunicerat med, vilka webbplatser som en viss ip-adress har besökt och liknande uppgifter inte omfattas (prop. 2011/12:55 s. 102). Att ip- adresser, oavsett om de är fasta eller dynamiska, är att anse som uppgift om abonnemang har också bekräftats av Kammarrätten i i en dom (mål nr 2471-18), se vidare nedan. Den beskrivna definitionen av uppgifter om abonnemang kan också sägas vara i linje med hur de olika uppgiftskategorierna exemplifierades i 2018/19:86 förarbetena till telelagen, varifrån begreppet ursprungligen härstammar (prop. 1992/93:200 s. 310 och prop. 2002/03:110 s. 271). användes emellertid annan teknik och enskildas kommunikationsmönster var annorlunda. Kammarrätten i har dock i domen RK 2010:1, i överensstämmelse med den angivna definitionen, uttalat att uppgifter som syftar till att identifiera ett abonnemang eller en abonnent i princip avser uppgifter om abonnemang. Enligt och bör begreppet abonnemangsuppgifter definieras i författningstext. Av beskrivningen ovan framgår vad som enligt förarbeten och praxis anses utgöra en uppgift om abonnemang. Det saknas beredningsunderlag för att författningsreglera vad som faller under begreppet. Mot denna bakgrund ser regeringen ingen möjlighet och inte heller något behov av en författningsreglering. Regleringen om de brottsbekämpande myndigheternas tillgång till uppgifter om abonnemang En operatör som tillhandahåller ett elektroniskt kommunikationsnät eller en elektronisk kommunikationstjänst har tystnadsplikt för bl.a. uppgifter om abonnemang (6 kap. 20 § första stycket 1 lagen om elektronisk kommunikation). Uppgifter om abonnemang finns tillgängliga för leverantören i elektronisk form. För att uppgifter om en fysisk person ska tas in i en abonnentförteckning som görs allmänt tillgänglig krävs att den enskilde lämnat sitt samtycke till det (6 kap. 16 §). I den utsträckning uppgifter finns tillgängliga i sådana allmänt tillgängliga förteckningar omfattas de, till följd av abonnentens samtycke, i praktiken inte av tystnadsplikten. Bestämmelserna om skyldighet att lämna ut uppgifter om abonnenter får därför betydelse i första hand i fråga om uppgifter som rör abonnenter som inte har lämnat sitt samtycke till att uppgifterna offentlig- görs och när det gäller uppgifter som normalt inte offentliggörs, såsom t.ex. ip-adresser. Uppgifter om abonnemang är typiskt sett mindre integritetskänsliga än t.ex. trafik- och lokaliseringsuppgifter. Uppgifter om abonnemang i sig går enbart i mer begränsad utsträckning att använda för det slags ingående kartläggning av enskilda personer som anser utgör en mycket ingripande begränsning av enskildas rättigheter enligt stadgan. Enligt nuvarande regelverk har tillgången till uppgifter om abonnemang inte bedömts utgöra ett hemligt tvångsmedel och regleras direkt i lagen om elektronisk kommunikation. Operatörerna är skyldiga att på begäran lämna ut uppgifter om abonnemang till de brottsbekämpande myndig- heterna om det finns misstanke om brott (6 kap. 22 § första stycket 2 lagen om elektronisk kommunikation). Det krävs inte att brottet är av visst allvar. När tillgångsbestämmelserna i 6 kap. 22 § första stycket 2 lagen om elektronisk kommunikation utökades till att avse alla slags brott gjordes övervägandena bl.a. utifrån att trakasserier över internet och vuxnas kontakter med barn i sexuellt syfte blivit ett allt vanligare fenomen. Vid bedömningen av integritetsintrånget när abonnemangsinformation om ip- adresser lämnas ut beaktades att privatpersoner ofta använder dynamiska ip-adresser. Det gjordes en avvägning mellan det integritetsintrång som ett utlämnande av uppgifter om abonnemang innefattar och den stora betydelse uppgifterna ofta kan ha för polisens möjlighet att över huvud taget utreda brott som begås på internet. 2011/12:55 s. 102–103) Användandet av internet och telekommunikation har därefter fortsatt att växa och det finns ingenting som talar för att användningen av it-verktyg och elektronisk kommunikation vid brottslighet avtar eller att behovet av uppgifter om abonnemang för brottsbekämpningen minskar. Avvägning- arna framstår därmed fortfarande som giltiga. Eftersom tillgång till abonnemangsuppgifter inte utgör en hemlig övervakningsåtgärd och ingreppet i privatlivet är begränsat i jämförelse med tillgång till trafik- och lokaliseringsuppgifter, finns det inte något krav på förhandskontroll av domstol eller annan oberoende myndighet, eller på underrättelse till de berörda. Vid en jämförelse med t.ex. husrannsakan, som normalt får beslutas av undersökningsledaren, är inhämtning av uppgifter om abonnemang betydligt mindre integritetskränkande, både i utförande och med beaktande av vilken information som kan fås fram. I någon mån kan också en jämförelse göras med inhämtande av annan identitetsinformation som omfattas av tystnadsplikt, såsom uppgift om innehavaren av ett visst bankkort eller ännu mer integritetskänslig information, såsom hur bankkortet har använts, 1 kap. 10–12 §§ lagen (2004:297) om bank- och finansieringsrörelse. Enligt denna reglering krävs inte beslut av domstol och bestämmelserna ger undersökningsledare eller åklagare möjlighet att besluta att kreditinstitutet, dess styrelse- ledamöter eller anställda inte får röja för kunden eller för någon utomstående att uppgifter har lämnats eller att det pågår en förunder- sökning. Några remissinstanser, t.ex. , i och , påpekar att användningen av dynamiska ip-adresser och NAT-teknik (som gör det möjligt för flera abonnenter att använda samma publika ip-adress) har ökat. För att kunna veta vem som använt en ip-adress vid ett specifikt tillfälle kan det därför vara nödvändigt att ha tillgång till exakta tidsuppgifter för när adressen användes. Remissinstanserna anser därför att de uppgifter man måste behandla sammantaget kan lämna mycket exakt information om abonnenternas internetkommunikation och därmed vara mer integritets- känslig. Enligt regeringens mening torde det ur integritetssynpunkt dock inte vara någon större skillnad mellan att kartlägga någon via en fast ip- adress, via en dynamisk ip-adress eller via en ip-adress där trafiken styrs av NAT-teknik. Inte i något fall lagras vilka webbplatser som användaren har besökt eller annan motsvarande information. Det finns inte heller någon tidsmässig koppling mellan ip-adressen och överföringen av information. Ip-adressen kan vara fast eller tilldelas en användare i samband med internetåtkomsten. Normalt används sedan den (dynamiska) ip-adressen under en i förväg bestämd lånetid eller tills användaren kopplar ner från internet; någon direkt koppling till trafik finns därför inte. Den svenska regleringen om abonnemangsuppgifter är förenlig med EU- rätten Med anledning av dom i Tele2-målet har frågan väckts om uppgifter om abonnemang, och i synnerhet ip-adresser, omfattas av domen eller inte. Bedömningen av denna fråga får bl.a. betydelse för vilka regler som ska gälla för de brottsbekämpande myndigheternas möjlighet att få tillgång till dessa uppgifter. Om uppgifter om abonnemang (inkluderat ip- adresser) skulle anses omfattas av de uttalanden som görs om trafik- och lokaliseringsuppgifter i Tele2-domen skulle det innebära att domstolens uttalanden om bl.a. föregående kontroll av en domstol eller annan oberoende myndighet för att få tillgång till uppgifterna skulle bli Även uttalandena om att tillgång endast ska kunna ges de brottsbekämpande myndigheterna vid grova brott skulle behöva beaktas. Utredningen bedömer att avgörande i Tele2-domen inte berör uppgifter om abonnemang. Remissinstanserna har olika upp- fattningar i frågan där bl.a. utredningens bedömning, medan flera operatörer och föreningar, såsom , och Civil Rights Defenders, är av motsatt En del remissinstanser, t.ex. , Hovrätten för övre , Datainspektionen och , efterlyser en närmare analys av frågan. Den analys som behövs för detta ställnings- tagande redogörs för nedan. Det bör dock redan nu påpekas att det efter att utredningen lämnat sitt betänkande och remissinstanserna inkommit med sina remissvar har tillkommit ny rättspraxis som gör att frågeställningarna numera är bättre belysta och i stort får anses klargjorda, vilket regeringen återkommer till nedan. Direktiv /58 syftar till att harmonisera nationella bestämmelser för att säkerställa ett likvärdigt skydd för de grundläggande fri- och rättigheterna, särskilt rätten till integritet och konfidentialitet (som bl.a. följer av artikel 7 och 8 i EU:s stadga) när det gäller behandling av personuppgifter inom sektorn för elektronisk kommunikation (artikel 1). Direktivet syftar även till att säkerställa fri rörlighet för sådana uppgifter samt för utrustning och tjänster avseende elektronisk kommunikation Direktivet definierar trafikuppgifter och lokaliserings- uppgifter (artikel 2), men inte uppgifter om abonnemang. upphävda datalagringsdirektivet gjordes emellertid en distinktion mellan trafik- och lokaliseringsuppgifter och de uppgifter som är nödvändiga för att identifiera en abonnent eller en användare (jfr. artikel 1, 2 och 5 i direktiv /24). Enligt artikel 5 i direktiv /58 ska medlemsstaterna genom nationell lagstiftning säkerställa konfidentialitet vid kommunikation och därmed förbundna trafikuppgifter via allmänna kommunikationsnät och allmänt tillgängliga elektroniska kommunikationstjänster. I artikel 6 finns bestäm- melser om för vilka ändamål trafikuppgifter får behandlas och krav på begränsningar i fråga om tillgången till uppgifter för dem som behöver det för att utföra vissa närmare angivna arbetsuppgifter. trafikuppgifter som behandlas och lagras av en leverantör utplånas eller avidentifieras när de inte längre behövs för sitt syfte att överföra kom- direktiv /58 ska tolkas i förhållande till artiklarna 7, 8, 11 och 52.1 i Artikel 15.1 reglerar när undantag får göras från konfidentialitet i artikel 5 och skyldigheten i artikel 6. Undantag får bl.a. göras om det i ett demokratiskt samhälle är nödvändigt, lämpligt och proportionerligt för att skydda nationell säkerhet, försvaret och allmän säkerhet samt för förebyggande, undersökning, avslöjande av och åtal för brott. Som framgår i avsnitt 4.2 kommer fram till att artikel 15.1 i direktiv /58 jämförd med ovannämnda grundläggande rättigheter enligt EU:s rättighetsstadga utgör hinder för en nationell lagstiftning som inte begränsar behöriga nationella myndigheters tillgång till lagrade uppgifter till åtgärder som syftar till att bekämpa grov brottslighet och inte föreskriver att tillgången ska vara underkastad förhandskontroll av en domstol eller en oberoende förvaltningsmyndighet. I förhandsavgörandet uttalar sig domstolen generellt om helheten i det svenska systemet kring lagring och tillgång till uppgifter om elektronisk kommunikation. De uttalanden som domstolen gör tar i första hand sikte på de mer integritetskänsliga trafik- och lokaliseringsuppgifterna. EU- domstolen har inte gjort uttalanden som specifikt handlar om regleringen kring uppgifter om abonnemang. uttalanden i Tele2- domen ger således t.ex. inte ledning i frågan om vilka krav som ska upp- ställas vid utlämnande av enbart uppgifter om abonnemang. Det går alltså inte att, med hänvisning till Tele2-domen, dra slutsatsen att de svenska bestämmelserna om lagring och tillgång till uppgifter om abonnemang står i strid med . I linje med detta har i förhandsavgörandet i Ministerio Fiscal (dom , mål nr C-207/16) slagit fast att tillgång till vissa typer av abonnemangsuppgifter (identitetsuppgifter för inne- havare av som aktiverats med en stulen mobiltelefon, såsom för- och efternamn och adress) visserligen utgör ett ingrepp i berörda personers grundläggande rättigheter enligt artikel 7 och 8 EU:s rättighetsstadga, men att ingreppet inte är så allvarligt att tillgången till uppgifterna i samband med brottsbekämpning måste begränsas till kampen mot allvarlig brottslighet (punkt 63). konstaterar att domstolens tidigare uttalanden i Tele2-domen om att endast kampen mot allvarlig brottslighet kan motivera att myndigheterna får tillgång till lagrade uppgifter, avser sådana uppgifter som sammantagna kan göra det möjligt att dra mycket precisa slutsatser om privatlivet för de personer vilkas uppgifter lagrats. Denna tolkning motiveras med att syftet med en lagstiftning måste stå i rimlig proportion till hur allvarligt ingrepp åtgärden innebär. I enlighet med proportionalitetsprincipen kan ett allvarligt ingrepp i samband med brottsbekämpning endast motiveras av syftet att bekämpa brottslighet, som då också måste kvalificeras som allvarlig. När det ingrepp som en tillgång innebär däremot inte är allvarligt, kan det dock motiveras av syftet att förebygga, utreda, upptäcka och lagföra brott i allmänhet (punkterna 54– 57). Eftersom det i det aktuella fallet var fråga om uppgifter som inte gjorde det möjligt att dra precisa slutsatser om privatlivet för de personer vars uppgifter berörs, var ingreppet inte så allvarligt att tillgången till dessa uppgifter behövde begränsas till allvarlig brottslighet (punkterna 60–62). Kammarrätten i har därefter tagit ställning i frågan om uppgift om abonnemang i den svenska lagstiftningen (dom , mål nr 2471-18). Kammarrätten konstaterar att uppgifter om abonnemang enligt 6 kap. 20 § första stycket 1 lagen om elektronisk kommunikation utgörs av exempelvis uppgifter om namn, adress, abonnentnummer och uppgifter om ip-adress som kan användas för att identifiera en abonnent. Kammarrätten pekar vidare på att det i förarbetena (prop. 2011/12:55 s. 102) har framhållits att uppgifter som går utöver vad som kan anses som identitetsuppgifter – t.ex. vilka andra ip- adresser som innehavaren har kommunicerat med, vilka hemsidor som en viss ip-adress har besökt och liknande uppgifter – inte omfattas. uppgifter som de brottsbekämpande myndigheterna därmed kan få tillgång till utgör enligt kammarrätten en begränsad kategori uppgifter som inte i sig kan användas för omfattande kartläggning av personers privatliv och som dessutom i många fall finns allmänt tillgängliga. därför att sådana uppgifter kan sägas vara av samma slag som den typ av uppgifter som hade att bedöma i Ministerio Fiscal. behandling av personuppgifter som innebär att de brottsbekämpande myndigheterna ges tillgång till uppgifter om abonnemang kan därför inte anses vara särskilt integritetskänslig. Det ingrepp i rättigheterna enligt artiklarna 7 och 8 i EU:s rättighetsstadga som det är fråga om bedöms därför inte vara av allvarlig art. Lagstiftningen som ger tillgång till uppgifter om abonnemang behöver därför inte begränsas till att endast gälla situationer då det rör sig om att utreda allvarliga brott och tillgången till uppgifterna behöver inte heller vara underkastad förhandskontroll av en domstol eller en oberoende förvaltningsmyndighet. Kammarrätten konstaterar avslutningsvis att bestämmelserna om tillgång till abonnemangsuppgifter har funnits och motiverats med att de brottsbekämpande myndigheterna, för att det ska vara möjligt att utreda brott, har ett stort intresse av att få tillgång till Kammarrätten anser därför att intresset att ge de brotts- bekämpande myndigheterna tillgång till uppgifter om abonnemang i brottsbekämpningssyfte väger tyngre än enskildas integritetsintresse. Skyldigheten att lämna ut uppgifter om abonnemang, inklusive ip- adresser, till brottsbekämpande myndigheter bedömdes därför vara Den bedömning som kammarrätten nu har gjort gällande tillgången till abonnemangsuppgifter ligger också i linje med internationella förpliktelser enligt bl.a. artikel 8 i . denna artikel ett ansvar för att skydda enskildas privatliv och personliga integritet mot intrång som begås av andra enskilda. En förutsättning för att staten ska kunna leva upp till kravet på att upprätthålla rättstryggheten för enskilda är att det finns en väl fungerande och effektiv brottsbekämpning. Ett rättsfall som är av särskilt intresse i detta sammanhang är Europa- domstolens dom K.U. mot (dom , mål nr 2872/02). I detta avgörande ansågs kränka rätten till privatliv enligt artikel 8 i och med att det enligt finsk rätt inte var möjligt för brottsbekämpande myndigheter att från en operatör få ut uppgift om vem som använt en viss ip-adress i ett fall då ett barn via internet utsatts för förtal eller möjligen sexuellt ofredande genom att någon lagt ut en påhittad kontaktannons av sexuell natur i barnets namn. Det kan alltså sägas att inte bara tillåter en rättsordning där de brotts- bekämpande myndigheterna i någon form ges tillgång till uppgifter om abonnemang, den påbjuder en sådan ordning. Utrymmet för att ha ett regelverk som inte tillåter de brottsbekämpande myndigheterna att komma åt sådana uppgifter är således tämligen begränsat. I linje med de nya avgöranden i frågan som redogörs för ovan är det sammanfattningsvis regeringens bedömning att nuvarande reglering av tillgången till abonnemangsuppgifter är förenlig med och Prop. 2018/19:86 internationella åtaganden i övrigt. Det finns således inte skäl att förändra förutsättningarna för de brottsbekämpande myndigheternas tillgång till uppgifter om abonnemang. I kammarrättens dom konstateras också att behandling av person- uppgifter måste vila på en laglig grund, dvs. varje behandling måste upp- fylla de förutsättningar som anges i lagstiftningen för att anses tillåten. Eftersom de nuvarande svenska reglerna om lagringsskyldighet i 6 kap. 16 a § lagen om elektronisk kommunikation har funnits oförenliga med konstaterar kammarrätten att uppgifter som lagrats med stöd av den nu underkända lagstiftningen inte behöver lämnas ut till polisen. I och med de justeringar av regleringen som regeringen föreslår i avsnitt 5, bedömer regeringen att lagringsskyldigheten kommer vara förenlig med . Skyldigheten att lagra uppgifter för brotts- bekämpande ändamål kommer, när författningsändringarna träder i kraft, utgöra laglig grund att behandla uppgifterna och alltså vara en tillåten behandling av uppgifterna. 8Lagring av data inom EU och övriga skydds- och säkerhetsnivåer 8.1Nuvarande skydds- och säkerhetsnivåer uppfyller krav Regeringens bedömning: De svenska reglerna om skydds- och säkerhetsnivåer och om utplåning av uppgifter uppfyller de krav som ställer. Även reglerna om tillsyn uppfyller krav. Utredningens bedömning överensstämmer med regeringens. Remissinstanserna kommenterar inte bedömningen särskilt. Skälen för regeringens bedömning uttalanden i Tele2-domen om skydd och säkerhet för lagrade uppgifter