prop · H60386 · 2019-04-02 00:00:00 — Datainspektionen, , , , , , , , Föreningen fri- och rättigheter (Dfri), och anser att utredningens förslag även fortsättningsvis innebär en generell och odifferentierad lagring av trafik- och lokaliseringsuppgifter. I förslaget blir, trots föreslagna ändringar, lagring en huvudregel och inte ett undantag. Dessa remissinstanser anser att förslagen med största sannolikhet bryter mot och att det finns en risk att återigen hamna i en rättslig osäkerhet där företag åläggs nya skyldigheter som driver kostnader och blockerar utvecklingsresurser, tills det med stor sannolikhet kommer att konstateras att lagringsskyldigheten bryter mot och måste rivas upp. (Tre) och anser att det kan ifrågasättas om förslagen innebär att de svenska reglerna anpassats till de krav som uppställer. , (), Kammar- rätten i , () och Hovrätten för anser att de ändringar som föreslagits är marginella och att förslagen även fortsättningsvis innebär en generell De bedömer att det är mycket som talar för att förslagen inte är tillräckliga för att göra regelverket fullt ut förenligt med . , , Säkerhets- och integritets- skyddsnämnden (SIN) och ställer sig bakom förslagen i huvudsak och anser att de i stort överensstämmer med EU- Även Justitiekanslern anser att den modell för lagring som utredningen föreslår kan antas leva upp till de EU-rättsliga krav som framgår av bl.a. Tele2-domen, under förutsättning att utredningens iakttagelser om riktad lagring är riktiga. anser att frågan om riktad och differentierad lagring måste belysas och övervägas närmare och att det annars finns en överhängande risk att den svenska lagstiftningen inte kommer att uppfylla de krav som följer av unionsrätten och . Datainspektionen, Tre, , , , , Föreningen för Digitala fri- och rättigheter (Dfri) och Civil Rights Defenders anser att det är en brist att utredningen inte redovisar det alternativ som EU- domstolen pekar ut som en proportionerlig lösning, nämligen riktad , , Säkerhetspolisen, Tull- verket, Ecpat , Rädda barnen, och tingsrätt delar utredningens bedömning att riktad lagring skulle vara till ringa nytta för de brottsbekämpande myndigheterna och således inte ett och Säkerhetspolisen delar utredningens bedöm- ning att uttalandena i domskälen om en riktad lagring inte kan ses som något annat än ett exempel på hur datalagringsregler skulle kunna Datainspektionen, , Föreningen fri- och rättigheter (Dfri), , , hov- rätt, () och Hovrätten för Övre delar inte utredningens bedömning att uttalanden om riktad lagring skulle vara ett s.k. obiter dictum. anser att detta resonemang är EU-rättsligt främmande och att detta särskilt gäller när det som här är fråga om en dom som har meddelats med anledning av en begäran om förhandsavgörande. Skälen för regeringens bedömning uttalanden om lagringsskyldigheten i Tele2-domen Som framgår i föregående avsnitt anser i Tele2-domen att direktiv /58 är tillämpligt på de svenska reglerna om datalagring. Artikel 15.1 i direktivet, som i viss utsträckning tillåter datalagring för t.ex. brottsbekämpande syften, ska enligt domstolen tolkas strikt och mot bakgrund av EU:s rättighetsstadga. Enligt artikel 52.1 i EU:s rättighetsstadga ska varje begränsning i utövandet av de rättigheter och friheter som erkänns i stadgan vara föreskriven i lag och vara förenlig med rättigheternas och friheternas Begränsningar får, med beaktande av proportion- alitetsprincipen, endast göras om de är nödvändiga och faktiskt svarar mot mål av allmänt intresse som erkänns av unionen eller mot behovet av skydd för andra människors rättigheter och friheter (punkt 94 i domen). Artikel 15.1 i direktivet föreskriver att medlemsstaterna får vidta en åtgärd som avviker från principen om konfidentialitet vid kommunikation och därmed förbundna trafikuppgifter om åtgärden i ett demokratiskt samhälle är nödvändig, lämplig och proportionell för de syften som anges i den bestämmelsen. Att proportionalitetsprincipen ska iakttas framgår även av domstolens fasta praxis, enligt vilken skyddet av den grund- läggande rätten till respekt för privatlivet på unionsnivå kräver att undantag från och begränsningar av skyddet för personuppgifter ska inskränkas till vad som är strängt nödvändigt (punkt 96 i domen). När det gäller frågan om den svenska lagstiftningen uppfyller kraven på proportionalitet, anför domstolen att den svenska lagstiftningen föreskriver en generell och odifferentierad lagring av samtliga trafik- uppgifter och lokaliseringsuppgifter för samtliga abonnenter och registrerade användare avseende samtliga elektroniska kommunikations- medel och ålägger leverantörer av elektroniska kommunikationstjänster att systematiskt och kontinuerligt lagra dessa uppgifter utan undantag (punkt 97 i domen). De uppgifter som leverantörer av elektroniska kommunikationstjänster således är skyldiga att lagra är sådana som gör det möjligt att spåra och identifiera en kommunikationskälla, identifiera slutmålet för en kom- munikation, identifiera en kommunikations datum, tidpunkt, varaktighet och typ, identifiera användarnas kommunikationsutrustning och identi- fiera lokaliseringen av mobil kommunikationsutrustning. uppgifter ingår abonnentens eller den registrerade användarens namn och adress, det uppringande telefonnumret, det uppringda numret och ip- adressen för internettjänster. Dessa uppgifter gör det möjligt att få kännedom om med vilken person en abonnent eller registrerad användare har kommunicerat och på vilket sätt, hur länge kommunikationen varat och från vilken plats kommunikationen skett. Uppgifterna gör det dessutom möjligt att få kännedom om hur ofta abonnenten eller den registrerade användaren kommunicerat med vissa personer (punkt 98 i domen). Dessa uppgifter kan enligt sammantagna göra det möjligt att dra mycket precisa slutsatser om privatlivet för de personer vilkas uppgifter har lagrats, såsom deras vanor i vardagslivet, deras stadig- varande och tillfälliga uppehållsorter, deras dagliga förflyttningar och förflyttningar i övrigt, de aktiviteter de utövar, deras sociala relationer och de umgängeskretsar de rör sig i. Dessa uppgifter gör det enligt domstolen möjligt att kartlägga de berörda personerna på ett sätt som är lika känsligt ur integritetssynpunkt som själva innehållet i kommunikationerna (punkt 99 i domen). Det ingrepp som en sådan lagstiftning utgör i de grundläggande rättigheter som är stadfästa i artiklarna 7 och 8 i stadgan är enligt EU- domstolen långtgående och måste betraktas som synnerligen allvarligt. Den omständigheten att lagringen av uppgifterna och den senare använd- ningen av dem sker utan att abonnenten eller den registrerade användaren är underrättad om detta kan enligt domstolen ge de berörda personerna en känsla av att deras privatliv står under ständig övervakning (punkt 100 i domen). Även om en sådan lagstiftning inte medger lagring av innehållet i en kommunikation, och därför inte kan kränka det väsentliga innehållet i dessa grundläggande rättigheter, skulle lagringen av trafikuppgifter och lokaliseringsuppgifter emellertid kunna inverka på användningen av de elektroniska kommunikationsmedlen och följaktligen på användarnas utövande av sin i artikel 11 i stadgan garanterade yttrandefrihet (punkt 101 i domen). Med hänsyn till det allvarliga ingrepp i de berörda grundläggande rättigheterna som en nationell lagstiftning som i brottsbekämpande syfte föreskriver lagring av trafikuppgifter och lokaliseringsuppgifter utgör, anför att endast bekämpning av grov brottslighet kan motivera en sådan åtgärd (punkt 102 i domen). bejakar i och för sig att en effektiv bekämpning av grov brottslighet, särskilt organiserad brottslighet och terrorism, i stor utsträckning kan vara beroende av användningen av moderna utredningstekniker. Trots att det syftet är av allmänt samhällsintresse kan det enligt domstolen inte i sig ensamt motivera en nationell lagstiftning som föreskriver en generell och odifferentierad lagring av samtliga trafikuppgifter och lokaliserings- uppgifter (punkt 103 i domen). En sådan lagstiftning skulle få till följd att lagringen av trafik- och lokaliseringsuppgifter blir huvudregeln, trots att direktiv /58 kräver att en sådan lagring ska vara ett undantag. anför att den svenska lagstiftningen omfattar samtliga abonnenter och avser samtliga elektroniska kommunikationsmedel och samtliga trafikuppgifter, och att det inte görs några åtskillnader, begränsningar eller undantag utifrån det eftersträvade syftet. Domstolen konstaterar vidare att den på ett allomfattande sätt berör samtliga personer som använder elektroniska kommunikationstjänster, utan att dessa personer ens indirekt befinner sig i en situation som kan föranleda lagföring. Den är således även tillämplig på personer beträffande vilka det inte finns något indicium som ger anledning att tro att deras beteende ens kan ha ett indirekt eller avlägset samband med grov brottslighet. Den föreskriver inte heller några undantag, vilket innebär att den även är tillämplig på personer vilkas kommunikationer enligt nationell rätt omfattas av tystnadsplikt (punkt 105 i domen). konstaterar vidare att en sådan lagstiftning inte kräver något samband mellan de uppgifter som ska lagras och ett hot mot den allmänna säkerheten. Den är inte begränsad till lagring av uppgifter avseende eller ett visst geografiskt område eller en viss krets av personer som på något sätt kan vara inblandade i ett allvarligt brott eller till personer beträffande vilka lagringen av uppgifter av andra skäl skulle kunna bidra till bekämpningen av brott (punkt 106 i domen). finner sammanfattningsvis att den svenska lagstiftningen överskrider gränserna för vad som är strängt nödvändigt och att den inte kan anses motiverad i ett demokratiskt samhälle, såsom krävs enligt artikel 15.1i direktiv /58 jämförd med artiklarna 7, 8, 11 och 52.1 i EU:s rättighetsstadga (punkt 107 i domen). Domstolen anför att inget hindrar att en medlemsstat antar lagstiftning som i förebyggande syfte tillåter en riktad lagring av trafikuppgifter och 2018/19:86 lokaliseringsuppgifter, i syfte att bekämpa grov brottslighet, förutsatt att lagringen av uppgifterna, vad gäller vilka slags uppgifter som ska lagras, vilka kommunikationsmedel som avses, vilka personer som berörs och hur länge lagringen ska ske, begränsas till vad som är strängt nödvändigt (punkt 108 i domen). För att en riktad lagring ska vara förenlig med EU- rätten måste den nationella lagstiftningen enligt föreskriva tydliga och precisa bestämmelser som reglerar omfattningen och tillämpligheten av en sådan lagringsåtgärd och som slår fast minimikrav, så att de personer vars uppgifter har lagrats har tillräckliga garantier som möjliggör ett effektivt skydd av deras personuppgifter mot riskerna för missbruk. Den måste särskilt precisera under vilka omständigheter och villkor en sådan lagringsåtgärd får vidtas i förebyggande syfte, vilket säkerställer att lagringen begränsas till vad som är strängt nödvändigt (punkt 109 i domen). Vad gäller de villkor som en nationell lagstiftning måste uppfylla för att säkerställa att den är begränsad till vad som är strängt nödvändigt, påpekar domstolen att även om villkoren kan variera utifrån vilka åtgärder som vidtas för att förebygga, undersöka, avslöja och väcka åtal för grov brottslighet, måste lagringen av uppgifterna alltid uppfylla objektiva kriterier, som fastställer ett samband mellan de uppgifter som ska lagras och det eftersträvade syftet. I synnerhet måste villkoren vara sådana att de klart avgränsar omfattning och följaktligen den berörda personkretsen (punkt 110 i domen). Vad gäller avgränsningen av den personkrets och de situationer som kan komma att beröras av riktad lagring gör följande bedömning. Den nationella lagstiftningen ska grunda sig på objektiva omständigheter som gör det möjligt att ta sikte på en personkrets vars uppgifter kan avslöja en, åtminstone indirekt, koppling till grov brottslighet och på ett eller annat sätt kan bidra till att bekämpa grov brottslighet eller förhindra en allvarlig risk för den allmänna säkerheten. En sådan avgränsning kan säkerställas genom ett geografiskt kriterium när behöriga myndigheter på grundval av objektiva omständigheter bedömer att det i ett eller flera geografiska områden finns en förhöjd risk för förberedelse eller genomförande av sådana handlingar (punkt 111 i domen). Effektiva verktyg för brottsbekämpningen behövs även framöver Mot bakgrund av slutsatser i Tele2-domen kan det konstateras att ställer strängare krav på lagringen av uppgifter än vad svensk rätt gör. Svensk rätt behöver således anpassas för att vara förenlig med . Ett sätt att hantera detta på skulle kunna vara att upphäva de bestämmelser som föreskriver att operatörerna ska lagra uppgifter om elektronisk kommunikation. En sådan lösning är emellertid utesluten av både brottsbekämpande och folkrättsliga skäl. har den ökande internationaliseringen i kombination med teknikutvecklingen och en tilltagande internetanvändning inneburit att kriminaliteten delvis har ändrat karaktär. Internet erbjuder lättillgängliga kontaktytor för brottsplanering inom och utom landets gränser och utgör bl.a. en etablerad plattform för våldsbejakande extremism och terrorismpropaganda. Viss typ av kriminalitet, t.ex. barn- pornografibrott, begås ofta med hjälp av it-verktyg och elektroniska kommunikationsnät, t.ex. via internet, och den webbaserade narkotika- handeln har ökat massivt . Utvecklingen innebär att förutsättningarna för att förhindra brott och säkra bevis för begångna brott har förändrats radikalt. Uppgifter om elektronisk kommunikation och andra elektroniska spår är helt nödvändiga för brottsbekämpningen. Om de brottsbekämpande myndigheterna inte skulle ha tillgång till adekvata utredningsverktyg i den elektroniska miljön skulle brotten i vissa fall vara omöjliga att klara upp och brottsoffer i motsvarande omfattning vara rättslösa. En sådan situation är högst problematisk ur ett brotts- bekämpande perspektiv. Vissa brott skulle i praktiken kunna bli straffria och många målsägande skulle aldrig kunna få upprättelse. Utöver detta brottsbekämpande perspektiv måste hänsyn tas till internationella åtaganden enligt t.ex. . Var och en som vistas i har rätt att göra anspråk på att staten vidtar effektiva åtgärder för att skydda hans eller hennes säkerhet. I detta ligger att staten måste anstränga sig för att se till att brott förebyggs, utreds och att gärningsmän ställs till svars för sina brottsliga handlingar. Staten har alltså en skyldighet att skydda enskildas privatliv och personliga integritet mot intrång som begås av andra enskilda och, om intrång görs, se till att brotten utreds. Detta följer bl.a. av artikel 8 i (se t.ex. mål mot , , punkt 78 och mot , , punkt 57). Motsvarande skydd följer av EU:s rättighetsstadga inom tillämpningsområde (artikel 6, 7 och 52.3 i stadgan). Även om det inte har förekommit något ingripande från en myndighet eller en offentlig tjänsteman kan staten alltså bryta mot artikel 8 i genom att tolerera en existerande situation eller genom att inte skapa tillräckligt rättsligt skydd. Staten kan då bli ansvarig för sin underlåtenhet trots att det specifika intrånget i någon enskilds rättighet har utförts av någon annan enskild, för vars handlande staten inte i och för sig är ansvarig. Vad som i huvudsak kan förväntas är att staten utfärdar lagar som ger ett tillfredsställande skydd åt privatliv, familjeliv, hem och korrespondens och att de rättsvårdande myndigheterna håller kontroll över att dessa lagar respekteras. En förutsättning för att staten ska kunna leva upp till kraven på att upprätthålla rättstryggheten för enskilda är att staten har en välfungerande och effektiv brottsbekämpning. Att ha en välfungerande brottsbekämpning innebär t.ex. att myndigheterna ska ha tillgång till effektiva utredningsverktyg – även i den elektroniska miljön. När så inte har varit fallet har staten ansetts kränka de rättigheter som följer av . Ett exempel på detta var när en person som gjort sig skyldig till förtal eller möjligen sexuellt ofredande av ett 12- årigt barn i inte kunde identifieras på grund av att det enligt den nationella lagstiftningen inte var möjligt att inhämta uppgift om vem som använt en ip-adress från operatören. I det aktuella fallet uttalade Europa- domstolen särskilt att konfidentialitet för kommunikation och yttrande- frihet ibland måste få vika för brottsbekämpande ändamål. mot , , mål nr 2872/02, särskilt punkt 49). Statens skyldighet att upprätthålla ett straffrättsligt skydd och göra skyndsamma ingripanden mot allvarliga brott följer även av andra artiklar i Europa- konventionen och EU:s rättighetsstadga, exempelvis avseende frihets- berövanden, artikel 5 i samt artiklarna 6 och 52.3 i EU:s rättighetsstadga (se även , Mänskliga rättigheter i Europeisk praxis, 5:e uppl. s. 112 och punkt 42 i Digital Rights-domen). folkrättsliga åtaganden skulle således riskera att inte uppfyllas om de brottsbekämpande myndigheterna inte ges möjlighet att effektivt utreda brott i den elektroniska miljön. Utöver det generella ansvar har att upprätthålla en effektiv brottsbekämpning har gjort specifika åtaganden för vissa typer av Här kan t.ex. nämnas plikten att bekämpa tillhandahållande, spridning och innehav av barnpornografi enligt artikel 20 i konvention om skydd för barn mot sexuell exploatering och sexuella Enligt artikel 30 i konventionen har ett åtagande att vidta nödvändiga lagstiftningsåtgärder för att säkerställa effektiv utredning och åtal av sådana gärningar och tillåta möjligheten, där så är lämpligt, att genomföra hemliga utredningsåtgärder. brottslighet pågår i stor utsträckning på den elektroniska arenan. möjligheter till effektiva utredningsverktyg skulle inte uppfylla sina åtaganden enligt konventionen. Tillgång till uppgifter om elektronisk kommunikation är också ett sätt för de brottsbekämpande myndigheterna att vid brottsmisstankar kunna kontrollera misstanken på ett så effektivt sätt som möjligt och med minsta möjliga integritetsintrång för den berörda personen. Detta är viktigt för att åstadkomma en ändamålsenlig tillämpning av behovsprincipen och proportionalitetsprincipen som enligt svensk rätt gäller för all användning Tvångsmedel får nämligen endast användas om det finns ett påtagligt behov och en mindre ingripande åtgärd inte är tillräcklig samt om åtgärden står i rimlig proportion både till nyttan av åtgärden och till det intrång eller men som åtgärden innebär. myndigheterna inte skulle ha möjlighet att få tillgång till uppgifter om elektronisk kommunikation i brottsutredningar kan de behöva använda sig av andra metoder som kan vara mer ingripande ur ett integritetsperspektiv. Ett exempel på det skulle kunna vara följande. Anta att en person misstänks för ett brott utfört på en viss plats och att lokaliseringsuppgifter skulle kunna binda personen till den aktuella platsen (eller ge honom eller henne alibi). Om polis och åklagare inte skulle ges möjlighet att ta del av dessa uppgifter kan de, i enlighet med det ovan anförda, inte lägga ned förundersökningen utan måste i stället arbeta vidare med de andra metoder som står till buds. En sådan metod är t.ex. hemlig avlyssning av elektronisk Det innebär alltså att frånvaron av möjlighet att inhämta lokaliseringsuppgifter skulle kunna leda till ett ännu allvarligare integritetsintrång (avlyssning) för den enskilde, vilket framstår som mindre lämpligt i förhållande till behovs- och proportionalitetsprinciperna. Sammanfattningsvis kan det således konstateras att det även i fort- sättningen behövs effektiva verktyg för den brottsbekämpande verksamheten och att ett av dessa verktyg är lagring och tillgång till uppgifter om elektronisk kommunikation. Reglerna måste vara förenliga med både och andra internationella förpliktelser. av att i Tele2-domen funnit att de svenska reglerna inte uppfyller krav behöver den svenska regleringen anpassas till vad som krävs när det gäller skyddet mot statens ingrepp i den personliga I detta avseende ska den EU-rättsliga proportionalitets- principen iakttas, enligt vilken skyddet av den grundläggande rätten till respekt för privatlivet kräver att undantag från och begränsningar av skyddet för personuppgifter ska inskränkas till vad som är strängt nödvändigt. måste lagstiftningen tillgodose positiva förpliktelser enligt bl.a. att skydda enskilda från ingrepp i de grundläggande fri- och rättigheterna från andra enskilda. Hur balansen mellan dessa olika skyldigheter bör göras utvecklas i det följande. Samtliga trafikuppgifter och lokaliseringsuppgifter lagras inte enligt dagens regelverk När det gäller lagringens omfattning slår fast att EU:s rättighetsstadga utgör hinder för en nationell lagstiftning som i brottsbekämpande syfte föreskriver en generell och odifferentierad lagring av samtliga trafikuppgifter och lokaliseringsuppgifter avseende samtliga abonnenter och registrerade användare och samtliga elektroniska kommunikationsmedel (punkt 1 i domslutet). När det gäller uttrycket ”samtliga trafikuppgifter och lokaliseringsupp- gifter” kan det – som utredningen och några remissinstanser påpekar – noteras att flera trafik- och lokaliseringsuppgifter inte ska lagras enligt den nu gällande svenska lagstiftningen, som har sin grund i det numera upphävda datalagringsdirektivet. Exempel på sådana uppgifter är position när ett meddelande skickades och när det mottogs, position under ett mobilsamtal, position vid fast telefoni, utrustningsidentitet vid skickade och mottagna meddelanden, utrustningsidentitet vid fast telefoni, abonnemangsidentitet vid skickade och mottagna meddelanden, uppgift om port vid internetåtkomst, meddelandehantering och ip-telefoni samt samtliga uppgifter om samtal som inte kopplas fram på grund av tekniskt fel eller dylikt (däribland uppringande och uppringt nummer eller användarnamn, tid, utrustning och position). Därtill ska några rena lokal- iseringsuppgifter, dvs. positioner som inte är kopplade till kommunikation, inte lagras. Det är således långt ifrån samtliga trafik- och lokaliserings- uppgifter som omfattas av lagringsskyldigheten. Även om det inte har någon bäring på vad som utgör trafik- och lokaliseringsuppgifter enligt direktiv /58, kan det också noteras att kommunikationsmönstren alltmer har övergått till sådana tjänster som inte ger upphov till någon lagringsskyldighet hos operatörerna, dvs. till tjänster som inte tillhandahålls av en lagringsskyldig operatör utan av andra tjänsteleverantörer som t.ex. I-message och Facetime, Facebook Messenger, Skype, G-mail och Hotmail. Lagrings- skyldigheten omfattar inte heller uppgifter om samtal med annat än vanliga telefonnummer, t.ex. appar som möjliggör samtal med användarnamn. Lagringsskyldigheten omfattar inte heller t.ex. webbplatsbesök (surfning), sökningar med sökmotorer, onlinespel eller uppgifter om filöverföring med hjälp av filöverföringsprotokoll (File Transfer Protocol, FTP). Trots att det alltså är långt ifrån samtliga trafik- och lokaliserings- uppgifter som omfattas av lagringsskyldigheten, innebär den svenska lagstiftningens utformning en alltför omfattande lagringsskyldighet. Det är således inte möjligt att lämna de svenska lagringsreglerna oförändrade som vissa remissinstanser förespråkar. Däremot anser regeringen att EU- domstolens slutsatser bör kunna tolkas i ljuset av tolkningsfrågorna och 2018/19:86 mot bakgrund av utvecklingen av alternativa kommunikationstjänster. För att kunna avgöra lagringens proportionalitet behöver nämligen helheten beaktas. Lagringens omfattning behöver begränsas Av Tele2-domens domslut framgår att hindrar en nationell lagstiftning som i brottsbekämpande syfte föreskriver en generell och odifferentierad lagring av samtliga trafikuppgifter och lokaliserings- uppgifter avseende samtliga abonnenter och registrerade användare och samtliga elektroniska kommunikationsmedel. I domskälen motsvaras denna slutsats av det resonemang som domstolen för i punkterna 97–107 och som handlar om generell lagring.