prop · H70364 · 2019-12-16 00:00:00 — Slutligen bör det i beslutet anges de särskilda villkor som domstolen ställt upp för att tillgodose intresset av att enskildas personliga integritet inte kränks i onödan (jfr 27 kap. 21 § sjätte stycket RB). kan ta sikte på i stort sett vilka omständigheter som helst som kan gagna skyddet för den personliga integriteten, t.ex. att användningen av hemlig dataavläsning ska begränsas när avläsningen eller upptagningen avser ett avläsningsbart informationssystem som används av en större krets av personer, t.ex. en dator på ett internetcafé. I sådana fall bör avläsning eller upptagning endast utföras när man vet att den misstänkte använder datorn. Ett annat exempel är att användningen av hemlig dataavläsning bör begränsas när det finns risk att utomstående, som inte alls har med utred- ningen att göra, riskerar att figurera i tal eller på film vid aktivering av en mikrofon eller kamera på en mobiltelefon. som ansöker om hemlig dataavläsning ska ange vilka villkor tillståndet bör förenas med för att tillgodose intresset av att enskildas personliga integritet inte kränks i onödan. Något sådant krav finns inte beträffande bakom- liggande tvångsmedel och regeringen ser inte behov av att införa ett sådant krav avseende hemlig dataavläsning. Vid sammanträdet kan det dock finnas anledning för den som söker om tillstånd att motivera sin ansökan genom att på ett övergripande plan beskriva hur tvångsmedlet ska verk- Prop. 2019/20:64 ställas. Vid eventuella oklarheter eller behov av kompletteringar har dess- utom domstolen möjlighet att genom frågor skaffa sig ett tillräckligt under- lag för att fatta beslut i ärendet, inklusive villkor för att skydda enskildas personliga integritet. förordar att ett beslut om hemlig dataavläsning ska kunna innehålla en befogenhet för den verkställande myndigheten att installera tekniska hjälpmedel genom att kortvarigt rubba den misstänktes eller annan innehavares besittning till informationssystemet. Åklagarmyn- digheten ger som exempel på en sådan besittningsrubbning att kortvarigt omhänderta en misstänkts mobiltelefon vid trafikkontroll, vid avlägsnande enligt 13 § polislagen (1984:387) eller vid avvisitering vid en tullkontroll. Även om en sådan ordning skulle ha verkställighetsmässiga fördelar kan konstateras att de möjligheter till besittningsrubbningar som myndig- heterna har till sitt förfogande skulle användas utanför sitt tänkta ändamål; något som i sig inger betänkligheter. Dessutom skulle en sådan ordning i princip kräva att myndigheterna skulle ljuga om orsaken till den tillfälliga besittningsrubbningen, vilket inger ännu starkare betänkligheter. Rege- ringen lämnar därför, i likhet med utredningen, inget sådant förslag. 11.1.6Omedelbar verkställighet och hävande Regeringens förslag: Beslut i frågor om hemlig dataavläsning ska få verkställas . Om det inte längre finns skäl för ett tillstånd till hemlig dataavläsning, ska den som ansökt om åtgärden eller rätten häva beslutet. Utredningens förslag överensstämmer med regeringens. Remissinstanserna: Majoriteten av remissinstanserna yttrar sig inte i väcker frågan om inte hänvisningen till regler om handläggning vid domstol av frågor om tvångsmedel i brottmål innefattar frågan om att beslut under rättegången beträffande tvångsmedel genast ska gå i verkställighet. Därmed anser tingsrätten att bestämmelsen möjligen är överflödig. Skälen för regeringens förslag: I både och de lagar som reglerar hemlig tvångsmedelsanvändning i underrättelseverksamhet finns bestämmelser om att åklagaren eller rätten ska upphäva beslutet om det inte längre finns skäl för åtgärden (se t.ex. 27 kap. 23 § RB). Regeringen delar utredningens bedömning att det finns skäl att införa en motsvarande bestämmelse för hemlig dataavläsning. Eftersom åklaga- ren inte har någon roll i LSU-fallen bör den dock formuleras något annor- lunda än befintliga bestämmelser. Häktning och hemliga tvångsmedel som finns i får verkställas efter beslut (30 kap. 12 § RB). Även hemlig data- avläsning bör kunna verkställas . Frågan är, som lyfter, om hänvisningen till procedurregler medför att det saknas behov av en sådan bestämmelse som utredningen föreslår och som tillåter omedelbar verkställighet. Det kan konstateras att preventivlagen innehåller en bestämmelse om omedelbar verkställighet. Eftersom preventivlagen i nu relevant hänseende är uppbyggd på samma 2019/20:64 sätt som föreslås för hemlig dataavläsning delar regeringen utredningens bedömning att – inte minst av pedagogiska skäl – en bestämmelse med nu aktuellt innehåll bör införas i lagen. 11.2Genomförande av hemlig dataavläsning Regeringens förslag: När tillstånd till hemlig dataavläsning har läm- nats ska de verkställande myndigheterna få använda de tekniska hjälp- medel som behövs för avläsning och upptagning. Om det är nödvändigt ska systemskydd få brytas eller kringgås och tekniska sårbarheter utnyttjas. Regeringens bedömning: Det bör inte införas ett krav för de brotts- bekämpande myndigheterna att rapportera säkerhetsrisker och sårbar- heter som upptäcks vid verkställighet. Utredningens förslag överensstämmer i huvudsak med regeringens. Utredningen lämnar inte någon uttrycklig bedömning i frågan om krav att rapportera säkerhetsbrister och sårbarheter. Remissinstanserna: Majoriteten av remissinstanserna kommenterar inte förslaget. påpekar att de verkställande myndigheterna genom förslaget får stor frihet att avgöra vilka tekniska hjälpmedel som ska användas vid verkställighet av hemlig dataavläsning. I avsaknad av närmare uppgifter om på vilket sätt rättssäkerhetsgarantierna (bl.a. krav på teknikanpassning och aktsamhet) ska verka i praktiken kan inte nämnden tillstyrka förslaget i dessa delar. Nämnden anser att dom- stolen måste ha en reell möjlighet att kunna ange villkor för att enskildas personliga integritet inte kränks i onödan, varför verkställighetstekniken i så fall borde ingå i domstolsprövningen. Datainspektionen delar uppfatt- ningen att domstolen måste få veta vilka tekniska åtgärder som ska genom- föras för att kunna göra en fullständig nödvändighets- och proportionali- tetsbedömning. Datainspektionen anser att det därför bör ingå i ansökan till domstolen att redogöra för vilka slags åtgärder som ska genomföras. noterar att utredningen inte föreslår att verkställighetstek- niken ska ingå i domstolsprövningen som det anges att dom- stolen ska förhöra sig om hur verkställigheten ska gå till och ge föreskrifter för att säkerställa att tillståndet följs. Hovrätten anser att uttalandena framstår som motstridiga och att det finns skäl att tydliggöra vad som ingår i prövningen. Myndigheten för samhällsskydd och beredskap anser att det är olyckligt att den kunskap som byggs upp kring informationssäkerhetsbrister i sam- band med hemlig dataavläsning inte i något skede och inte på något sätt ska kunna nyttjas för att stärka skyddet för sådana system som samhälls- viktig verksamhet är beroende av. Myndigheten anser därför att det finns ett behov av en fördjupad analys som balanserar avvägningen mellan de brottsbekämpande myndigheternas behov och informations- och cyber- säkerhet. Andra remissinstanser, bl.a. (), Före- Prop. 2019/20:64 ningen för digitala fri- och rättigheter, (), , IT&Telekomföretagen och HI3G , har invändningar och synpunkter på att det inte införs någon rapporteringsskyldighet avseende upptäckta sårbarheter i de informations- system som kommer att läsas av. Remissinstanserna anser att detta ökar risken för informationssäkerheten och kan i förlängningen drabba allmän- heten. och anför att det finns risk för s.k. ändamålsglidning, alltså att lagstiftningen i takt med den tekniska utvecklingen får ett vidare tillämpningsområde än vad som var tänkt från början, och att detta bör omhändertas i lagen. Skälen för regeringens förslag och bedömning Nuvarande regler om verkställighet av hemliga tvångsmedel I nuvarande regler om hemlig avlyssning och hemlig övervakning av elekt- ronisk kommunikation framgår att de tekniska hjälpmedel som behövs för åtgärden får användas (27 kap. 25 § RB). Även i preventivlagen används samma uttryckssätt (9 §). Det innebär att myndigheterna kan verkställa åtgärden med den avlyssnings- eller övervakningsutrustning som de anser lämplig. Dessutom har den verkställande myndigheten möjlighet till assis- tans av de operatörer som bedriver verksamhet enligt lagen om elektronisk kommunikation (27 kap. 25 § andra stycket RB och 6 kap. 19 § lagen om elektronisk kommunikation). Även bestämmelserna om vilken teknik som får användas vid hemlig kameraövervakning och hemlig rumsavlyssning är öppna och teknik- neutrala. För hemlig kameraövervakning gäller således att fjärrstyrda TV- kameror, andra optisk-elektroniska instrument eller därmed jämförbara ut- rustningar får används för optisk personövervakning (27 kap. 20 a § RB). För hemlig rumsavlyssning gäller att åtgärden får vidtas med hjälp av ett tekniskt hjälpmedel som är avsett att återge ljud (27 kap. 20 d § RB). Verkställighet av hemlig dataavläsning För att verkställighet av hemlig dataavläsning inte ska orsaka större integ- ritetsintrång och säkerhetsrisker än vad som är oundgängligen nödvändigt, behövs regler som sätter ramar för verkställigheten. En regel som beskriver verkställighetsförfarandet bör utformas teknik- neutralt, för att stå sig , men vara någorlunda specifik och begränsande. Utredningen föreslår att en sådan regel till sin orda- lydelse ska stämma överens med vad som gäller för verkställighet av hem- lig avlyssning och övervakning av elektronisk kommunikation. För dessa tvångsmedel gäller att de tekniska hjälpmedel som behövs för åtgärden får användas, sedan tillstånd lämnats (27 kap. 25 § RB). Beskrivningen är neutral och kan ge de brottsbekämpande myndigheterna viss frihet att själva bestämma formerna för verkställighet som mer ingripande åtgärder än vad som behövs inte bör få användas. Svenska stadsnäts- föreningen lyfter en fara med en teknikneutral bestämmelse och anför att det, i takt med den tekniska utvecklingen, kan leda till ändamålsglidning. Även ser denna risk. Det kan i detta samman- 2019/20:64 hang konstateras att ändamålen vid hemlig dataavläsning inte påverkas av vilken teknisk metod som används. Det finns inte heller något i erfaren- heterna från befintliga hemliga tvångsmedel som leder till misstankarna att en teknisk utveckling riskerar att medföra en ändamålsglidning. Dess- utom föreslår regeringen en bestämmelse som innebär att den teknik som används ska anpassas efter det tillstånd som har beviljats så att några andra uppgifter än de som avses med tillståndet inte ska kunna läsas av eller tas upp (avsnitt 11.2.2). I likhet med utredningen föreslår regeringen därför att en bestämmelse införs med innebörden att när tillstånd till hemlig dataavläsning har lämnats får de tekniska hjälpmedel som behövs för avläsning och upptagning användas. Med tekniska hjälpmedel avses både hårdvara och programvara. De tekniska hjälpmedlen kan vara fysiskt placerade i informationssystemet eller, när det är fråga om avläsning av uppgifter i informationssystem som t.ex. ett internetbaserat användarkonto, helt enkelt utgöras av datorer hos den brottsbekämpande myndigheten som utför avläsningen efter inlogg- ning på kontot. Det kan också gälla t.ex. programvara eller funktioner som redan finns i informationssystemet, såsom GPS, kamera eller mikrofon för att kunna avläsa eller ta upp plats-, kameraövervaknings- eller rumsavlyss- ningsuppgifter, eller programvara som den brottsbekämpande myndighe- ten placerar i systemet för att hemlig dataavläsning ska kunna genomföras. Vissa åtgärder som kan vidtas av de brottsbekämpande myndigheterna kan inte ses som verkställighet med tekniska hjälpmedel. De åtgärder som myndigheterna får vidta måste dock vara uttryckligt tillåtna i lag för att de som verkställer åtgärden ska undgå ansvar för dataintrång (se avsnitt 9.2). Ett exempel på en sådan åtgärd som utredningen beskriver är att det bör vara möjligt att genom inloggning med den misstänktes inloggnings- uppgifter, om de är kända, bereda sig tillgång till ett informationssystem. Ett annat exempel kan vara att myndigheterna helt enkelt gissar sig fram till lösenordet eller tar sig förbi lösenordsskyddet på något annat sätt, t.ex. genom att utnyttja sårbarheter. Ett sammanfattande uttryck för en sådan åtgärd, och andra liknande åtgärder, är att den brottsbekämpande myndig- heten får bryta eller kringgå systemskydd om det är nödvändigt för att kunna verkställa ett beslut om hemlig dataavläsning. Som utredningen föreslår bör en bestämmelse som tillåter det föras in i lagen. Verkställighetstekniken ingår inte i domstolsprövningen Utredningen föreslår att domstolens prövning vid tillståndsgivningen inte ska omfatta vilken teknik som får användas. Säkerhets- och integritets- skyddsnämnden, Civil Rights Defenders och Datainspektionen är kritiska till detta och anför att verkställighetstekniken är en nödvändig komponent för att domstolen korrekt ska kunna pröva åtgärden. Som redogörs för ovan är reglerna kring de befintliga hemliga tvångsmedlen utformade på så sätt att domstolen inte särskilt prövar vilka verkställighetsmetoder som ska användas trots att bestämmelserna är teknikneutralt utformade. Domstolen ska däremot pröva om de lagliga förutsättningarna för åtgärderna är uppfyllda och vid verkställighet är de brottsbekämpande myndigheterna skyldiga att iaktta grundläggande principer om ändamål, behov och pro- portionalitet. Dessutom kommer användningen av hemlig dataavläsning att vara föremål för tillsyn. Regeringen föreslår mot denna bakgrund, i likhet med utredningen, att verkställighetstekniken inte ska ingå i till- ståndsprövningen. tycker att det ter sig motsägelsefullt att utredningen förutsätter att domstolen ska förhöra sig om verkställighet som frågor om verkställighetsteknik inte ingår i prövningen. Regeringen noterar härvid att den verkställighet som utredningen föreslår att beslutsfattaren ska orientera sig om rör omständigheter kring säker- ställandet av det s.k. platskravet. Det finns inte heller något som hindrar att domstolen ställer frågor om verkställighetsteknik i syfte att kunna utforma eventuella villkor för att tillgodose intresset av att enskildas integ- ritet inte kränks i onödan (se avsnitt 11.1.3). Det bör inte införas en skyldighet att rapportera sårbarheter och säkerhetsrisker Utredningen behandlar frågan om huruvida det vid hemlig dataavläsning bör finnas en skyldighet för de brottsbekämpande myndigheterna att rapportera sårbarheter och säkerhetsbrister till tillverkaren av informa- tionssystemet. Utredningen bedömer att det inte finns tillräckligt starka skäl för att införa en skyldighet för de brottsbekämpande myndigheterna att redovisa vilka tekniker de använder eller att rapportera säkerhetsbrister eller sårbarheter i ett informationssystem. När svagheterna är kända för tillverkaren anser utredningen att den som utvecklar eller producerar informationssystemet har möjlighet att åtgärda svagheterna och upplysa användarna om bristen. Utredningen bedömer att brottsbekämpande myndigheters utnyttjande av sådana sår- barheter eller säkerhetsbrister inte kan öka riskerna för att användarna drabbas eller att det på annat sätt upprätthålls nya vägar in i informations- system. Regeringen instämmer av samma skäl i bedömningen att det för kända säkerhetsbrister inte finns skäl att införa en lagstadgad rapporte- ringsskyldighet för de brottsbekämpande myndigheterna. När det gäller utnyttjande av sårbarheter eller säkerhetsbrister som inte är kända av den som utvecklar eller producerar informationssystemet (så kallade dag noll-sårbarheter) ger utredningen en något annan bild. Dessa sårbarheter har ännu inte upptäckts av tillverkaren och om de skulle upp- täckas vid verkställighet av hemlig dataavläsning skulle tillverkaren efter information från de brottsbekämpande myndigheterna kunna åtgärda felet. Om inte tillverkaren får reda på att sårbarheterna finns, men myndigheten känner till det och inte rapporterar dem, kan det finnas risk att t.ex. kriminella personer kan använda samma sårbarhet. Detta skulle, som bl.a. och fri- och rättigheter anför, kunna leda till virusspridning och även i övrigt bristande cybersäkerhet. Utredningen anser att det finns vissa skäl som talar för att en rappor- teringsskyldighet för sårbarheter som inte är kända för tillverkaren bör införas. Trots det föreslås inte något sådant krav. Utredningen konstaterar emellertid att för tillverkaren okända sårbarheter kommer att finnas oavsett om de brottsbekämpande myndigheterna får kännedom om dem eller inte. Därmed kommer sårbarheterna att kunna utnyttjas av den som upptäcker eller får kännedom om dem och har tillräcklig kunskap att utnyttja dem oberoende av de brottsbekämpande myndigheternas arbete. Den enda öka- de risken med att använda tidigare okända sårbarheter är om information om dem sprids från de brottsbekämpande myndigheterna. 2019/20:64 föreslår i avsnitt 12.2.4 kommer kännedomen om sårbarheterna dock att begränsas till vissa noggrant säkerhetskontrollerade personer hos de brottsbekämpande myndigheterna, varför risken för spridning utanför denna krets bedöms vara synnerligen liten (se avsnitt 12.2.4). Regeringen anser därför, i likhet med utredningen men till skillnad från bl.a. och , att det inte bör införas någon rapporteringsskyldighet avseende tidigare okända sårbarheter. Där- med finns inte heller skäl till sådan dokumentation av sårbarheter som Myndigheten för samhällsskydd och beredskap förespråkar. Det bör dock anmärkas att brottsbekämpande myndigheter, i den mån de upptäcker sår- barheter eller säkerhetsbrister som de bedömer kan utgöra stor risk för informationssystem eller den generella informations- eller cybersäkerhe- ten, är oförhindrade att rapportera dessa till tillverkaren även utan lagkrav. Detta kan vara särskilt angeläget om det skulle vara fråga om sårbarheter i samhällsviktig verksamhet. Regeringens förslag: Den teknik som används i samband med hemlig dataavläsning ska anpassas efter det tillstånd som beviljats. Tekniken får inte göra det möjligt att läsa av eller ta upp någon annan uppgiftstyp än vad som anges i tillståndet. Om det kommer fram att någon annan typ av uppgifter än den som tillståndet avser har lästs av eller tagits upp ska upptagningarna och uppteckningarna av dessa uppgifter förstöras och Säker- hets- och integritetsskyddsnämnden underrättas. Uppgifter som kommit fram vid sådan avläsning eller upptagning får inte användas i en brotts- utredning till nackdel för den som har omfattats av åtgärden, eller för någon annan som uppgifterna avser. Utredningens förslag överensstämmer med regeringens. Remissinstanserna kommenterar inte förslaget eller lämnar det utan in- ifrågasätter dock behovet av att underrättas efter att otillåten överskottsinformation har för- störts, eftersom det då inte finns något material kvar att granska. Skälen för regeringens förslag: Den teknik som används i samband med hemlig dataavläsning kan möjliggöra avläsning och upptagning av olika slags uppgifter. Tillståndet till hemlig dataavläsning begränsar vilka uppgiftstyper det kan bli fråga om i det enskilda fallet och det är således endast uppgiftstyper som uttryckligen framgår av tillståndet som får läsas av eller tas upp. Även om det saknas skäl att tro att de brottsbekämpande myndigheterna inte skulle rätta sig efter ett beviljat tillstånd instämmer regeringen i utredningens förslag att det behövs en bestämmelse om att den teknik som används måste anpassas efter vilka uppgiftstyper som ska läsas av eller tas upp. Det kommer att utgöra en teknisk spärr mot att tillståndet inte över- träds. Om myndigheterna vid något enskilt tillfälle inte på ett korrekt sätt har anpassat tekniken och därför av misstag hämtat in uppgifter utanför tillståndets ram bör det som utredningen föreslår finnas ytterligare en rätts- säkerhetsgaranti i form av begränsningar för hur den felaktigt inhämtade informationen ska få användas. Med hänsyn till de rådande principerna om Prop. 2019/20:64 fri bevisprövning och fri bevisföring skulle felaktigt inhämtade uppgifter annars kunna användas som bevisning i domstol, se t.ex. propositionen Överskottsinformation vid användning av hemliga tvångsmedel m.m. (prop. 2004/05:143 s. 36). Regeringen instämmer därför i att det behöver regleras vad som ska gälla för otillåten tilläggsinformation. Upptagningar av sådana uppgifter bör förstöras, i likhet med vad som gäller för uppgifter som omfattas av de s.k. beslagsförbuden och frågeförbuden i (27 kap. 2 § och 36 kap. 5 §). Dessutom bör myndig- heten underrätta om att otillåten tilläggsinformation har lästs av eller tagits upp. En sådan underrättelse tillförsäkrar att nämnden får underlag som kan läggas till grund för att be- döma om ett tillsynsärende bör initieras. Den bedömningen är inte beroen- de av om tilläggsinformationen finns kvar eller inte. Regeringen gör där- med en annan bedömning än i detta avseende. Slutligen bör det föreskrivas att otillåten tilläggsinformation inte ska få användas i en brottsutredning till nackdel för den som har omfattats av åtgärden, eller för någon annan som uppgifterna avser. Även om upptag- ningar och uppteckningar måste förstöras finns det ett behov av en sådan bestämmelse. Förstörandet av upptagningar och uppteckningar betyder nämligen inte alltid att själva uppgiften försvinner. Det kan t.ex. vara så att en polisman har tagit del av upptagningen och uppgiften finnas då kvar i polismannens medvetande. Kännedomen om uppgiften bör då inte få utnyttjas i en brottsutredning till nackdel för den som har omfattats av åtgärden, eller för någon annan som uppgifterna avser. En sådan reg- lering har visserligen inte någon lagfäst motsvarighet i någon annan för- fattning, men med hänsyn till lagens ingripande karaktär är det nödvändigt med tydliga och uttryckliga bestämmelser till skydd för rättssäkerheten. 11.2.3Aktsamhetskrav och informationssäkerhet i samband med verkställighet Regeringens förslag: När ett beslut om hemlig dataavläsning verkställs ska inte någon olägenhet eller skada få förorsakas utöver vad som är absolut nödvändigt. Informationssäkerheten i andra avläsningsbara informationssystem än det tillståndet avser ska inte få åsidosättas, för- sämras eller skadas till följd av verkställigheten. När verkställigheten avslutas ska den verkställande myndigheten vidta de åtgärder som behövs för att informationssäkerheten i det avläsningsbara informa- tionssystem som tillståndet avser ska hålla minst samma nivå som vid verkställighetens början. Ett tekniskt hjälpmedel som har använts ska tas bort, avinstalleras eller annars göras obrukbart så snart det kan ske efter att tiden för tillståndet gått ut eller tillståndet upphävts. Utredningens förslag överensstämmer i sak med regeringens. Remissinstanserna: Majoriteten av remissinstanserna kommenterar Några remissinstanser, bl.a. och Civil Rights Defenders, tillstyrker att det införs en regel om aktsamhet. 2019/20:64 svarsmakten anför att det är angeläget att inte myndighetens egen infor- mationssäkerhet påverkas efter att hemlig dataavläsning genomförts. Därför föreslår Försvarsmakten att samråd ska ske med myndigheten system blir föremål för åtgärd. anser att tidskravet för när ett tekniskt hjälp- medel som har använts ska tas bort, avinstalleras eller annars göras obruk- bart bör skärpas ytterligare. För att minimera risken för att uppgifter in- hämtas efter att ett tillstånd löpt ut eller hävts bör detta ske i direkt anslutning till eller efter att så skett. Myndigheten för samhällsskydd och beredskap anser att ett krav att dokumentera vidtagna åtgärder är en förutsättning för att kunna genomföra en efterkontroll av att informationssäkerheten de facto har återställts till åtminstone samma nivå som vid verkställighetens början.