prop · H60386 · 2019-04-02 00:00:00 — Vad gäller bestämmelserna om skydd av och säkerhet för de uppgifter som lagras av leverantörer av elektroniska kommunikationstjänster, konstaterar att artikel 15.1 i direktiv /58 inte medger att medlems- staterna avviker från artikel 4.1 eller 4.1 a i direktivet. De bestämmelserna kräver att leverantörerna vidtar lämpliga tekniska och organisatoriska åtgärder för att säkerställa ett effektivt skydd av de lagrade uppgifterna mot riskerna för missbruk och otillåten tillgång till uppgifterna. Med hänsyn till att det är fråga om en stor mängd uppgifter, att dessa är av känslig natur och att det finns en risk för otillåten tillgång till uppgifterna måste leverantörerna av elektroniska kommunikationstjänster enligt EU- domstolen garantera en särskilt hög skydds- och säkerhetsnivå genom lämpliga tekniska och organisatoriska åtgärder. 2018/19:86 ningen måste i synnerhet föreskriva att lagringen sker inom unionen och att uppgifterna oåterkalleligen förstörs när deras lagringstid gått ut (punkt 122 i domen). Medlemsstaterna måste vidare garantera att en oberoende myndighet kontrollerar att den skyddsnivå som säkerställs i unionsrätten iakttas vad gäller skyddet för fysiska personer vid behandlingen av personuppgifter. En sådan kontroll krävs uttryckligen enligt artikel 8.3 i EU:s rättighets- stadga och utgör enligt domstolens fasta praxis en grundläggande beståndsdel i skyddet för enskilda i samband med behandlingen av person- uppgifter. Annars skulle de personer vars personuppgifter har lagrats berövas sin rätt enligt artikel 8.1 och 8.3 i stadgan att vända sig till de nationella tillsynsmyndigheterna med begäran om skydd för sina personuppgifter (punkt 123 i domen). Enligt måste leverantörerna av elektroniska kommunika- tionstjänster alltså garantera en särskilt hög skydds- och säkerhetsnivå för trafik- och lokaliseringsuppgifter genom lämpliga tekniska och organisa- toriska åtgärder. Av 6 kap. 3 a § lagen om elektronisk kommunikation framgår att den som är lagringsskyldig enligt 6 kap. 16 a § ska vidta de särskilda tekniska och organisatoriska åtgärder som behövs för att skydda de lagrade uppgifterna vid behandling. I förarbetena anges att det därav följer att bestämmelsen, till skillnad från vad som gäller enligt 6 kap. 3 §, inte lämnar något utrymme att bestämma säkerhetsnivån genom en avvägning mellan teknik, kostnader och risken för integritetsintrång (prop. 2010/11:46 s. 75). I 6 kap. 3 a § andra stycket bemyndigas regeringen eller den myndighet regeringen bestämmer att komplettera lag- bestämmelsen med ytterligare föreskrifter om säkerheten. Detta har regeringen gjort i 37 § förordningen (2003:396) om elektronisk kom- munikation. Av bestämmelsen, som har godkänts av (bet. 2011/12:JuU26, skr. 2011/12:288), framgår att den som är lagringsskyldig ska vidta åtgärder för att säkerställa att de lagrade uppgifterna är av samma kvalitet och föremål för samma säkerhet och skydd som vid den behandling som skett före lagringen. Vidare framgår att åtgärder ska vidtas för att skydda uppgifterna mot oavsiktlig eller otillåten förstöring och oavsiktlig förlust eller ändring samt för att förhindra otillåten lagring, behandling av eller tillgång till och otillåtet avslöjande av uppgifterna. Slutligen får uppgifterna göras tillgängliga endast för personal med särskild behörighet. () får efter att ha hört , Säkerhetspolisen och Datainspektionen meddela närmare föreskrifter om de åtgärder som ska vidtas. PTS har med stöd av 37 § i förordningen meddelat sådana föreskrifter (PTSFS 2012:4). Dessa går i korthet ut på att den lagringsskyldige ska bedriva ett kontinuerligt och systematiskt säkerhetsarbete med beaktande av de särskilda risker lagringsskyldigheten medför (3 §). Rutiner ska finnas som säkerställer att bara personal med särskild behörighet har tillgång till lagrade uppgifter och de system som hanterar uppgifterna (4 §). Den utrustning som används för att lagra uppgifter ska också placeras i ett särskilt skyddat utrymme för att förhindra förlust av eller otillåten tillgång till uppgifterna (5 §). ska all behandling av lagrade uppgifter loggas i krypterad form och på ett Prop. 2018/19:86 sådant sätt att det går att se vem som har haft tillgång till uppgifterna och (6 §). Lagrade uppgifter ska också säkerhetskopieras (7 §). Utredningen anser att de ovan beskrivna svenska reglerna om skydds- och säkerhetsnivåer uppfyller de krav som ställer. remissinstans invänder mot det. Regeringen delar denna bedömning. har fastslagit att kräver att uppgifter som är föremål för datalagring oåterkalleligen ska förstöras när deras lagringstid har gått ut. I 6 kap. 6 d § lagen om elektronisk kommunikation föreskrivs att den lagringsskyldige genast ska utplåna uppgifterna vid lagringstidens utgång. Om uppgifterna har begärts utlämnade före utgången av lagringstiden men innan uppgifterna har hunnit lämnas ut, följer dock av bestämmelsen att leverantören ska fortsätta lagra uppgifterna till dess ett utlämnande har Därefter ska leverantören genast utplåna dem. utredningens bedömning att den svenska regleringen är i överens- stämmelse med krav. Medlemsstaterna måste enligt garantera att en oberoende myndighet kontrollerar att den skyddsnivå som säkerställs i unionsrätten iakttas vad gäller skyddet för fysiska personer vid behandlingen av PTS utövar tillsyn över verksamhet som bedrivs med stöd av lagen om Myndighetens tillsyn omfattar en kontroll av att lagen och de beslut om skyldigheter eller villkor som har meddelats med stöd av lagen följs (7 kap. 1 §). För att kunna utöva en effektiv tillsyn har PTS en rad befogenheter till sitt förfogande. PTS har rätt att för tillsynen få tillträde till områden, lokaler och andra utrymmen, dock inte bostäder, där verksamhet som omfattas av lagen bedrivs (7 kap. 2 §). Vidare får PTS förelägga en leverantör att tillhandahålla myndigheten de upplysningar och handlingar som behövs för kontrollen (7 kap. 3 §). Finner PTS skäl att misstänka att den som bedriver verksamhet enligt lagen om elektronisk kommunikation inte följer lagen eller de föreskrifter som har meddelats med stöd av lagen, ska myndigheten underrätta den som bedriver verksamheten om detta förhållande och ge denne möjlighet att yttra sig (7 kap. 4 §). PTS får också meddela de förelägganden och förbud som behövs för att rättelse av en överträdelse ska ske eller inom skälig tid. Ett sådant föreläggande eller förbud får förenas med Om föreläggandet inte följs, får PTS återkalla ett tillstånd, ändra tillståndsvillkor eller ytterst besluta att den som har åsidosatt en skyldighet helt eller delvis ska upphöra med verksamheten (7 kap. 5 §). får överklagas hos allmän förvaltningsdomstol (8 kap. 19 §). Vad gäller tillsynen över personuppgiftsbehandling generellt är Data- Dessutom har Säkerhets- och integritets- skyddsnämnden en tillsynsroll när det gäller den personuppgifts- behandling som utförs i polisens brottsbekämpande verksamhet. 2018/19:86 myndigheter som har tillsynsansvar på området har en tillräcklig grad av oberoende följer av 12 kap. 2 § regeringsformen. I likhet med utredningen anser regeringen att det finns en tillräcklig grad av oberoende tillsyn för att det svenska regelverket ska vara förenligt med . 8.2Lagringen bör ske inom EU Regeringens bedömning: Eftersom det i den svenska regleringen saknas regler om var lagring av uppgifter som omfattas av lagrings- skyldigheten får ske, uppfyller den inte krav. Lagring av uppgifter bör ske inom EU. Detta bör regleras i förordning. Utredningens bedömning och förslag överensstämmer delvis med regeringens. Utredningen föreslår att uppgifter som omfattas av lagrings- skyldigheten inte ska få lagras utanför . Remissinstanserna: , , , , , () och Hovrätten för tillstyrker förslaget att lagringen av uppgifter ska ske i . anser att det kan behöva belysas ytterligare hur lagringen i praktiken ska kunna genomföras hos berörda operatörer. PTS anser att en lagring i kommer ge bättre möjligheter att rent faktiskt kontrollera att lagringen sker i enlighet med gällande regler. Myndigheten framför vidare att lagring i utlandet skulle kunna medföra betydande risker för nationell säkerhet, t.ex. genom möjligheten för utländska aktörer att bedriva inhämtning av uppgifter som ett led i underrättelseverksamhet mot eller svenska intressen. () och tings- rätt ifrågasätter om en lagringsskyldighet i är förenlig med EU- rätten och vill att frågan analyseras vidare. påpekar att förslaget, i den mån ett sådant krav inte kan anses berättigat av hänsyn till allmän säkerhet, kan komma att påverkas av ett antagande av förslag till förordning om en ram för det fria flödet av icke-personuppgifter i EU. , och the Business (BCC) avstyrker förslaget och anser att utredningens argument för en lagring i strider mot grundprinciperna i om fri rörlighet inom unionen, om etableringsfriheten, det fria tillhanda- hållande av tjänster och det fria flödet av personuppgifter som garanteras i EU:s allmänna dataskyddsförordning (dataskyddsförordningen) och i direktiv /58. Förslaget skulle innebära att operatörer skulle kunna tvingas sätta upp separata lagringssystem i uppemot 28 länder, och riskerar därmed skapa ytterligare barriärer mot förverkligandet av en digital inre marknad. Det är vanligt att lagring sker utanför eftersom det är kostnadseffektivt, lättare att administrera och att skydda data. Genom centralisering finns bättre möjligheter till att ha ett utbyggt skalskydd, bättre säkerhetsrutiner, bemanning och kontroll. Förslaget skulle minska operatörernas möjligheter att bedriva en kostnadseffektiv lagring. Dessa remissinstanser ifrågasätter vidare att tillsynen skulle bli mer kraftfull med en lagring i . Skälen för regeringens bedömning: anger i Tele2- domen att den nationella lagstiftningen måste föreskriva att datalagrade uppgifter inte ska få lagras utanför unionen. Vid den inledande analysen efter Digital Rights-domen föreslogs att frågan om ett förbud mot lagring utanför EU/EES borde utredas vidare (Ds 2014:23 s. 101). I den efter- följande analysen som gjordes av bedömdes att det inte borde införas något uttryckligt förbud mot att uppgifter som lagras enligt de svenska datalagringsreglerna fördes över till tredjeland (SOU 2015:31 s. 178). Genom tydliga ställningstagande i Tele2-domen blir den sistnämnda bedömningen inte längre hållbar. Eftersom det inte finns några regler som anger var lagring får ske uppfyller den svenska regleringen således inte krav. I likhet med vad utredningen anför bör det därför införas ett förbud mot att lagra de nu aktuella uppgifterna utanför EU. Mot bakgrund av bedömningen att lagring inte bör tillåtas i tredjeland, dvs. utanför EU, väljer regeringen att inte redovisa de remissvar som kommit in gällande Datalagringsutred- ningens bedömning i denna fråga. Enligt 6 kap. 3 a § lagen om elektronisk kommunikation får regeringen meddela föreskrifter om skyddsåtgärder för att skydda de lagrade uppgifterna vid behandling. I likhet med utredningen anser regeringen att föreskrifterna om var lagringen får ske bör meddelas i förordningen om elektronisk kommunikation. Även om det alltså är regeringen som har det slutgiltiga ansvaret för att det svenska regelverket lever upp till krav finns det ändå anledning att övergripande beskriva hur regeringen ser på frågan om var lagringen bör ske. Utredningen anser att regleringen om var lagringen ska ske bör gå ännu längre än vad har uttalat och föreslår att lagringen endast ska få ske i . Utredningen anser att en sådan reglering skulle förstärka den tillsyn som PTS bedriver och att konfidentialiteten skulle skyddas på ett bättre sätt om uppgifter endast lagras i . Flera remissinstanser, t.ex. , Säkerhetspolisen, Data- inspektionen, PTS och Hovrätten för , tillstyrker förslaget, främst eftersom det skulle innebära en förbättrad tillsynsmöjlighet. Det finns emellertid flera remissinstanser som avstyrker förslaget eller har invändningar mot det, bl.a. SIN, , och the Business (BCC). Dessa remissinstanser ifråga- sätter bl.a. förslagets förenlighet med . När det gäller frågan om tillsyn kan det inledningsvis konstateras att enligt svensk rätt gäller leverantörens skyldigheter om hur lagrings- skyldigheten ska fullgöras även om lagringen förläggs utomlands, t.ex. vad gäller de krav som rör säkerheten för de lagrade uppgifterna (prop. 2010/11:46 s. 60). Detta måste särskilt beaktas av leverantörerna om de överväger att lagra uppgifter utomlands. Det ingår i PTS ansvar att kontrollera att leverantörerna följer regleringen i lagen om elektronisk kommunikation och de föreskrifter som har meddelats med stöd av lagen. Även detta ansvar gäller oberoende av var leverantörerna väljer att lagra uppgifter. Som framgår i föregående avsnitt har PTS en rad befogenheter till sitt förfogande för att kontrollera att leverantörerna följer skydds- och säkerhetsreglerna. Regeringen bedömde när datalagringsdirektivet genomfördes att de befogenheter PTS har är tillräckliga för att myndig- heten ska kunna utöva en aktiv och ändamålsenlig tillsynsverksamhet 2010/11:46 s. 58). PTS befogenhet att få tillträde till områden, lokaler och andra utrymmen där verksamhet som omfattas av lagen om elektronisk kommunikation bedrivs, kan dock i praktiken utövas endast i I detta avseende skulle en lagringsskyldighet i underlätta tillsynen, såsom t.ex. PTS påpekar. Däremot påverkas inte möjligheterna att utöva de övriga befogenheter myndigheten har till sitt förfogande – t.ex. att begära upplysningar eller att meddela förelägganden och förbud – av var leverantören väljer att lagra uppgifterna. Mot denna bakgrund bedömer regeringen – i likhet med sitt tidigare ställningstagande och i enlighet med vad framhåller – att PTS:s möjligheter att bedriva en aktiv och ändamålsenlig tillsynsverksamhet får anses vara tillfyllest även gentemot leverantörer som väljer att lagra uppgifter utanför , men Det kan i sammanhanget också påpekas att leverantörernas tystnadsplikt och deras skyldighet att se till att beslut om inhämtning av uppgifter kan verkställas inte påverkas av var uppgifterna lagras. uppgifterna lagras inom EU har leverantörerna således en skyldighet att se till att verkställigheten sker på ett sådant sätt att den inte röjs. de personuppgifter som behandlas också omgärdade av integritets- skyddande lagstiftning genom i första hand direktiv /58. Flera remissinstanser, bl.a. SIN, , och BCC, invänder mot förslagets förenlighet med . och anser att en begränsning till skulle strida mot grundprinciperna i om fri rörlighet inom unionen, om etableringsfriheten, det fria tillhandahållande av tjänster och det fria flödet av personuppgifter som stadgas i dataskyddsförordningen och i direktiv 2002/58. hänvisar till och rådets förordning 2018/1807 av om en ram för det fria flödet av andra data än personuppgifter i Europeiska unionen (i det följande dataflödesförordningen). Dataflödesförordningen, som antogs i , gäller i situationer då det inte är fråga om Den innehåller bl.a. bestämmelser om att en medlemsstat inte får föreskriva att en viss typ av uppgifter endast ska få lagras i just den medlemsstaten förutsatt att ett sådant förbud inte motiveras av allmän säkerhet (artikel 4). Förordningen är inte tillämplig på verksamhet som inte omfattas av unionsrättens tillämpningsområde och det konstateras att den nationella säkerheten är varje medlemsstats eget ansvar (artikel 2.3 och beaktandesats 12). Regeringen konstaterar att ovannämnda EU-rättsliga principer och den reglering om det fria flödet av uppgifter (personuppgifter respektive andra data än personuppgifter) som finns både i dataskyddsförordningen, i direktiv /58 och i dataflödesförordningen, skulle kunna utgöra ett hinder mot att förbjuda att lagring sker i andra unionsländer. det inte att bortse från den farhåga som PTS framför om att lagring i utlandet skulle kunna medföra risker för nationell säkerhet. 6 kap. 19 § lagen om elektronisk kommunikation ska operatörerna bedriva sin verksamhet så att beslut om hemlig övervakning av elektronisk kommunikation kan verkställas och så att verkställandet inte röjs. krav gäller oavsett om verkställandet omfattar uppgifter som rör säkerhet eller inte. träder dessutom en ny säkerhets- skyddslag (2018:585) och säkerhetsskyddsförordning (2018:658) i kraft. Alla verksamhetsutövare som omfattas av lagen blir då enligt 2 kap. 1 § säkerhetsskyddslagen skyldiga att genom en säkerhetsskyddsanalys utreda behovet av säkerhetsskydd för den aktuella verksamheten. Med utgångs- punkt i analysen ska verksamhetsutövaren bl.a. vidta åtgärder som förebygger att säkerhetsskyddsklassificerade uppgifter obehörigen röjs, ändras, görs otillgängliga eller förstörs. Säkerhetsskyddsklassificerade uppgifter definieras i 1 kap. 2 § andra stycket som uppgifter som rör säkerhetskänslig verksamhet och som därför omfattas av sekretess enligt offentlighets- och sekretesslagen (2009:400) eller som skulle ha omfattats av sekretess enligt den lagen, om den hade varit tillämplig. Därigenom klargörs att lagstiftningen gäller för såväl offentliga som privata aktörer. Förordningen innehåller bestämmelser som begränsar utlämnandet av säkerhetsskyddsklassificerade uppgifter till utländska aktörer (3 kap. 9 § andra stycket). Enligt denna bestämmelse får säkerhetsskydds- klassificerade uppgifter inte lämnas till en utländsk leverantör om inte har ingått en överenskommelse om säkerhetsskydd med den andra staten och leverantören har godkänts genom en kontroll enligt den andra statens säkerhetsskyddslagstiftning. Det finns också bestämmelser i 2 kap. 6 § förordningen som begränsar möjligheten för statliga myndig- heter att genom utkontraktering lämna ut uppgifter till utländska aktörer. Regeringen kan således konstatera att alla privata aktörer, även t.ex. tele- operatörer, i enlighet med säkerhetsskyddsregleringen behöver analysera och bedöma om det i verksamheten finns säkerhetsskydds-klassificerade uppgifter som behöver skyddas på något särskilt vis. En sådan analys kan mynna ut i att lagringen av uppgifterna behöver ske i för att säkerhetsskyddet ska kunna tillgodoses. I sammanhanget förtjänas också att nämnas att även verksamheter som hanterar större mängder av upp- gifter som inte är säkerhetsskyddsklassificerade, t.ex. sammanställningar av information, kan bedömas vara av betydelse för säkerhet. Det innebär att hantering, lagring eller andra åtgärder som ger aktörer utanför tillgång till uppgifterna i vissa fall kan vara direkt olämpliga ur säkerhetsskyddssynpunkt (prop. 2017/18:89 s. 45). Tillsyn över att kraven i den nya säkerhetsskyddslagstiftningen följs kommer att utövas av PTS och Säkerhetspolisen. Utredningens förslag skulle dock innebära en skyldighet att lagra alla uppgifter, oavsett dess relevans för nationell säkerhet, i . Mot ett sådant generellt krav på lagring av uppgifter i talar bl.a., såsom bl.a. påpekar, att en sådan begränsning skulle innebära att leverantörer som har verksamhet i flera länder inom EU inte kan centralisera sin verksamhet, vilket kan försämra möjligheterna till att bedriva en kostnadseffektiv lagring. Mot denna bakgrund anser regeringen att utredningens förslag om att all lagring bör begränsas till kan ifrågasättas. Det finns därför starka skäl att i stället föreskriva att lagringen inte får ske utanför EU. Regeringens förslag: Lagändringarna ska träda i kraft . Regeringens bedömning: Lagändringarna medför inget behov av några övergångsbestämmelser. förslag överensstämmer inte med regeringens. Utredningen föreslår att regleringen ska träda i kraft . Remissinstanserna yttrar sig inte särskilt i denna fråga. Utredningens förslag överensstämmer inte med regeringens. Utred- ningen föreslår att regleringen ska träda i kraft . När det gäller föreslagen ändring i förordningen om elektronisk kommunikation som gäller lagringsskyldigheten för annan uppgift som är nödvändig för att identifiera abonnent och registrerad användare vid internetåtkomst, föreslår utredningen att den bestämmelsen inte ska behöva tillämpas förrän . Remissinstanserna: Säkerhetspolisen understryker att det är av största vikt att de nya bestämmelserna om datalagring träder i kraft . () anser att utredningens förslag om att förordningsändringen som gäller lagringsskyldigheten för annan uppgift som är nödvändig för att identifiera abonnent och registrerad användare vid internetåtkomst, ska träda i kraft innebär en ytterst begränsad tid för PTS att hinna ta fram föreskrifter i frågan. Myndigheten påpekar också att det kan antas att berörda tillhandahållare kommer att få ont om tid att hinna genomföra nödvändiga tekniska anpassningar innan ändringarna träder i kraft. I övrigt lämnar remissinstanserna inte några synpunkter gällande ikraftträdande- eller övergångsbestämmelser. Skälen för regeringens bedömning och förslag: Lagändringarna bör träda i kraft . Regeringen föreslår att beslutsordningen enligt inhämtningslagen ändras på så vis att Säkerhetspolisen, Polis- myndigheten och framöver inte själva kommer att fatta beslut om tillgång till uppgifter, utan i stället kommer behöva ansöka om tillstånd hos åklagare. En viss förberedelsetid behövs för den nya beslutsordningen. När det gäller de förändringar som avser lagringsskyldighetens omfattning är det också rimligt att operatörerna får på sig att göra de förändringar som krävs i sina datalagringssystem. Mot den bakgrunden och med hänsyn till den tid som de olika leden i lagstiftningsprocessen förväntas ta bedömer regeringen att är den tidigaste möjliga tidpunkten för ikraftträdande av de av de författningsändringar som föreslås. I likhet med vad utredningen och PTS påpekar finns det dock ett behov av ytterligare förberedelsetid när det gäller lagringsskyldigheten för annan uppgift som är nödvändig för att identifiera abonnent och registrerad användare vid internetåtkomst (s.k. NAT-teknik). Det bör därför inte finnas någon lagringsskyldighet i denna del före . Regeringens bedömning: En lagringsskyldighet som är begränsad till ett antal uppgiftsslag, förbud mot lagring utanför EU och förslaget att åklagare ska fatta beslut enligt inhämtningslagen förväntas stärka integritets- och personuppgiftsskyddet. En begränsad lagringsskyldighet kan minska möjligheterna att bekämpa brott men behöver inte innebära att brottsligheten kommer att öka. Förslaget om möjligheten att hämta in uppgifter i underrättelse- verksamhet om brottslig verksamhet som innefattar statsstyrt företags- spioneri och vissa s.k. systemhotande brott, innebär att dessa brott mer effektivt kommer att kunna förebyggas, förhindras och upptäckas. De tekniska anpassningar som behövs för en förändrad lagrings- skyldighet leder till kostnadsökningar för operatörerna. Förslaget att åklagare ska fatta beslut enligt inhämtningslagen be- döms leda till ökade kostnader för . Finansieringen av dessa kostnader sker genom en omfördelning mellan myndigheterna inom utgiftsområde 4 Rättsväsendet. Förslagen bedöms inte få några effekter på miljön eller för jäm- ställdheten mellan kvinnor och män. bedömning överensstämmer med regeringens. Remissinstanserna uttalar sig inte särskilt om utredningens bedömning. Utredningens bedömning överensstämmer med regeringens. Remissinstanserna: , , Eko- brottsmyndigheten, Säkerhetspolisen, och Ecpat framhåller att varje begränsning av lagringsskyldigheten kommer att få allvarliga konsekvenser för myndigheternas förmåga att upptäcka, förhindra, bekämpa, utreda och lagföra brott. , , , , , , Föreningen fri- och rättigheter (Dfri), IT&Telekomföretagen och infrastruktur anser att det finns en risk att återigen hamna i en rättslig osäkerhet där företag åläggs nya skyldigheter som driver kostnader och blockerar utvecklingsresurser, tills det sannolikt kommer att konstateras att lagringsskyldigheten bryter mot och måste rivas upp.