prop · H903183 · 2022-03-22 00:00:00 — Simkorten skulle dessutom vara registrerade på tillhandahållaren av larmtjänsten och inte på slutanvändaren. Detta skulle ytterligare minska den förväntade nyttan av abonnemangsuppgifterna. Enligt IT&Telekomföretagen vore det rimligt att undanta alla kontantkort som används för maskin-till-maskin-kommunikation, oavsett vilka funktioner som är kopplade till dem. Kammarrätten i pekar på att registreringsskyldigheten enligt promemorian inte ska gälla för vissa tjänster som t.ex. tillhandahållande av maskin-till-maskin-tjänster. Enligt kammarrätten kan bestämmelsen behöva förtydligas så att det klart framgår vilka förbetalda tjänster som ska omfattas av registreringsskyldigheten. PTS instämmer i bedömningen att registreringsskyldigheten bör regleras iLEK, bl.a. eftersom frågor om tillhandahållarnas lagring och övrig behandling av personuppgifter inom sektorn för elektronisk kommunikation huvudsakligen regleras där. Skälen för regeringens förslag Registreringsskyldigheten bör omfatta förbetalda samtals- och Det finns olika modeller för hur en registreringsskyldighet kan utformas. Bland de länder som har infört en registreringsskyldighet är den vanligaste modellen att tillhandahållarna är skyldiga att samla in och bevara uppgifter om sina kunder. Även en svensk registreringsskyldighet bör utformas på Fördelen med en sådan ordning är att uppgifterna därmed kommer att föras vidare till brottsbekämpande myndigheter endast i de fall där det begärs och befintlig lagstiftning tillåter det. Utmärkande för kontantkort är att den enskilde betalar för tjänsten i Som framgår ovan är det detta förhållande som gör att kontant- kortsabonnenterna oftast är anonyma för tillhandahållarna. Eftersom det även är möjligt att få tillgång till förbetalda tjänster via inbyggda simkort, s.k. e-sim, bör regleringen emellertid inte knytas till ett simkort såsom en fysisk bärare av en tjänst, utan till de förbetalda elektroniska kommunikationstjänster som kan erhållas via ett fysiskt simkort eller ett e-sim (i fortsättningen kommer dock e-sim inte att omnämnas särskilt). De aktörer som tillhandahåller sådana förbetalda tjänster bör omfattas av registreringskravet. Ett kontantkort kan avse enbart samtalstjänster, enbart datatjänster (mobilt bredband) eller både samtalstjänster och datatjänster. Som framgår av promemorian är det vanligast att ett mobilabonnemang ger tillgång till både samtalstjänster och datatjänster. Det finns även simkort som använder telefonnummer och som används för kommunikation mellan maskiner, s.k. maskin-till-maskin-tjänster. Vid maskin-till-maskin-tjänster används simkort för t.ex. övervakning, mätning, styrning, transport och logistik. Simkorten kan på detta sätt användas i exempelvis bilar, tåg, elmätare, hemlarm och gräsklippare. Även kontantkort kan användas för maskin-till-maskin-tjänster, men enligt promemorian är det ovanligt. Enligt nya LEK kan elektroniska kommunikationstjänster vara av tre slag: internetanslutningstjänster, interpersonella kommunikationstjänster eller tjänster som helt eller huvudsakligen utgörs av överföring av signaler, såsom överföringstjänster som används för tillhandahållande av maskin- till-maskin-tjänster. Med en internetanslutningstjänst avses en allmänt tillgänglig elektronisk kommunikationstjänst som erbjuder anslutning till internet. Med en interpersonell kommunikationstjänst avses en tjänst som vanligen tillhandahålls mot ersättning och som möjliggör ett direkt interpersonellt och interaktivt informationsutbyte via elektroniska kommunikationsnät mellan ett begränsat antal personer, varigenom de personer som inleder eller deltar i kommunikationen bestämmer vem eller vilka som ska vara mottagare av denna, dock inte en tjänst som möjliggör interpersonell och interaktiv kommunikation enbart som en extrafunktion av mindre betydelse. De interpersonella kommunikationstjänsterna kan vara antingen nummerbaserade eller nummeroberoende. En nummerbaserad interpersonell kommunikationstjänst är en interpersonell kommunikationstjänst som etablerar en förbindelse till nummer i nationella eller internationella nummerplaner eller som möjliggör kommunikation med sådana nummer. En nummeroberoende interpersonell kommunikationstjänst är en interpersonell kommunikationstjänst som varken etablerar en förbindelse till nummer i nationella eller internationella nummerplaner eller möjliggör kommunikation med sådana nummer (1 kap. 7 § nya LEK, jfr även artikel 2 i e-kodexdirektivet). I nya LEK används uttrycket allmänt tillgänglig nummerbaserad interpersonell kommunikationstjänst för att beskriva de samtalstjänster som tillhandahålls via bl.a. kontantkort. För att beskriva de datatjänster som kan nås via kontantkort används ordet internetanslutningstjänst (se t.ex. 7 kap. 34 §). Samma ord och uttryck bör användas när det gäller registreringsskyldigheten. Det står klart att regleringen bör omfatta de kontantkort som ger tillgång till traditionella samtalstjänster. Detta bör komma till uttryck på det sättet att regleringen ska omfatta tillhandahållande av förbetalda allmänt tillgängliga nummerbaserade interpersonella kommunikationstjänster. 2021/22:183 Därmed omfattas också de kontantkort som ger tillgång till både samtalstjänster och datatjänster. En reglering som inte omfattar de kontantkort som enbart ger tillgång till datatjänster skulle kunna medföra att enskilda i större utsträckning kommer att använda sig av dessa tjänster för att få åtkomst till appar eller andra internetbaserade tjänster som gör det möjligt att kommunicera krypterat. och pekar på krävs det visserligen inte ett simkort, utan endast en internetuppkoppling, för att det ska vara möjligt att via exempelvis en mobiltelefon få tillgång till internet och därmed till krypterade tjänster. En registreringsskyldighet som omfattar internetanslutningstjänster kan ändå förväntas få stor betydelse för brottsbekämpningen. Genom hemlig övervakning av elektronisk kommunikation kan man få fram uppgifter om vilka elektroniska kommunikationsutrustningar, exempelvis mobiltelefoner, som har funnits inom ett visst geografiskt område (s.k. basstationstömning). Detta gäller även om mobiltelefonen är försedd med ett kontantkort som bara ger tillgång till datatjänster. Det är således möjligt för de brottsbekämpande myndigheterna att genom hemlig övervakning av elektronisk kommunikation få tillgång till uppgifter om på vilken geografisk plats ett sådant kontantkort har funnits . För de brottsbekämpande myndigheterna är det av stort värde att få tillgång till registrerade uppgifter om vem som innehar även sådana kontantkort. De aktuella uppgifterna blir också allt viktigare i takt med att kriminella väljer att kommunicera över internet i stället för via traditionell telefoni. Vidare kan kontantkort som endast ger tillgång till datatjänster användas för att ta emot den kod som krävs för att aktivera ett konto i en internetbaserad kommunikationstjänst. Det finns visserligen andra sätt att ta emot koden. Ett registreringskrav som även omfattar sådana kontantkort skulle dock försvåra för de kriminella som har satt i system att via kontantkort starta konton i appar och vidarebefordra uppgifter om dessa till andra personer för krypterad och anonym kommunikation. Mot denna bakgrund anser regeringen, i enlighet med promemorians förslag, att även förbetalda datatjänster (internetanslutningstjänster) bör omfattas av registreringsskyldigheten. På så sätt blir regleringen också mer teknikneutral. Som , och framhåller skulle registreringsskyldigheten riskera att bli verkningslös om det gjordes ett undantag för kontantkort som är avsedda för kommunikation mellan maskiner, men som ändå ger tillgång till samtals- eller datatjänster. Regeringen anser därför, till skillnad från och , att det avgörande för registreringsskyldigheten bör vara vilka tjänster som ett kontantkort ger tillgång till. Regleringen bör sammanfattningsvis omfatta förbetalda allmänt tillgängliga nummerbaserade interpersonella kommunikationstjänster och förbetalda internetanslutningstjänster, men inte förbetalda tjänster som endast kan användas för kommunikation mellan maskiner. Det är tillgången till de förbetalda tjänsterna som bör avgöra om det föreligger en registreringsskyldighet, inte huruvida tjänsterna faktiskt används. Tillhandahållarna bör alltså vara skyldiga att göra en registrering om ett kontantkort ger tillgång till de angivna tjänsterna. Abonnenten bör inte kunna få tillgång till tjänsten före registreringen Det bör inte vara möjligt att använda förbetalda tjänster innan en registrering har gjorts. I annat fall riskerar regleringen att bli mindre effektiv. Om tjänsterna skulle kunna användas utan att en registrering har gjorts finns det också en risk för att osålda kontantkort skulle kunna bli stöldbegärliga. En förbetald tjänst som omfattas av regleringen bör därför inte på något sätt vara möjlig att ta i bruk före registreringen. Det bör t.ex. inte vara möjligt att ta emot samtal eller sms. Inte heller bör internetanslutningstjänster vara möjliga att utnyttja före registreringen. Av regleringen bör det alltså framgå att den som tillhandahåller en förbetald tjänst inte ska få ge tillgång till tjänsten utan att ha genomfört en registrering. Att en förbetald tjänst inte bör kunna tas i bruk före registreringen hindrar inte att kontantkort säljs utan att en registrering har gjorts. Det bör alltså vara möjligt att köpa kontantkort även av fristående handlare som inte har möjlighet att genomföra en registrering. Registreringen kan därefter utföras t.ex. i en butik som tillhör den aktuella tillhandahållaren eller hos en större återförsäljare. Man kan också tänka sig att registreringen kan utföras via internet eller vid kontakt med en kundtjänst. Skyldigheten bör regleras i den nya lagen om elektronisk kommunikation Registreringsskyldigheten kommer att innebära sådana åligganden för tillhandahållarna att regleringen bör införas i lag. I linje med PTS synpunkter är det lämpligt att bestämmelserna förs in i nya LEK, där frågor om tillhandahållarnas lagring och övrig behandling av personuppgifter regleras. Det framstår också som lämpligt med hänsyn till att andra frågor om abonnenter samt tillhandahållarnas tystnadsplikt regleras i den lagen. 4.2.2Vilka uppgifter som ska registreras och hur länge de ska finnas tillgängliga Regeringens förslag: Följande uppgifter ska registreras: •abonnentens namn och postadress •abonnentens personnummer, samordningsnummer, organisationsnummer eller annat identifieringsnummer •nummer eller annan beteckning för tjänsten. Tillhandahållaren ska även ange tidpunkten för registreringen. Uppgifterna ska finnas tillgängliga hos tillhandahållaren från och med registreringen till och med efter att tillhandahållandet av tjänsten har upphört. Promemorians förslag överensstämmer i huvudsak med regeringens. I promemorians förslag till lagtext nämns inte samordningsnummer, organisationsnummer eller annan beteckning för tjänsten än nummer. I promemorian föreslås inte att tidpunkten för registreringen ska anges. Remissinstanserna: Endast Säkerhetspolisen och yttrar sig särskilt över förslaget om vilka uppgifter som ska registreras. Enligt bör registreringsskyldigheten omfatta även tidpunkten för registreringen, eftersom det bör vara möjligt att avgränsa 2021/22:183 tidsperioden som en viss person haft tillgång till den förbetalda tjänsten. Även Säkerhetspolisen anser att tidpunkten för registreringen ska omfattas. Säkerhetspolisen anser att en uppgift om när en registrering har gjorts, vid inköp från en tillhandahållare eller vid en överlåtelse, är oerhört viktig i arbetet med att bekämpa brott. Utan en sådan uppgift kan det vara svårt att i efterhand knyta en misstänkt till en förbetald tjänst vid . När det gäller den förslagna lagringstiden yttrar sig endast och särskilt. anser att förslaget framstår som väl avvägt och framhåller att det är av vikt för de brottsbekämpande myndigheterna att uppgifterna finns tillgängliga även efter det att tjänsten avslutats. anser däremot att det inte är motiverat med lagring efter att tillhandahållandet har upphört och pekar på att har angetts som huvudregel (prop. 2018/19:86 s. 49–51). Vidare anser bolaget att uttrycket tillhandahållandet har upphört är oklart. Enligt bolaget vore det lämpligt att förtydliga att med uttrycket avses den tidpunkt då abonnenten inte längre har tillgång till tjänsten på grund av t.ex. genomförd utportering eller inaktivering till följd av att tjänsten inte har använts . Skälen för regeringens förslag Vilka uppgifter som bör registreras Registreringsskyldigheten bör omfatta uppgifter om den som genom att köpa ett kontantkort eller på annat sätt ingår avtal med en tillhandahållare om att den ska tillhandahålla en förbetald tjänst. Registreringen bör således avse abonnenten och dennes abonnemangsuppgifter. De uppgifter som bör registreras är sådana som identifierar abonnenten. Enligt promemorians förslag ska abonnentens namn, adress, personnummer eller motsvarande samt nummer för tjänsten registreras. Eftersom ordet adress förekommer i nya LEK med en annan betydelse (se definitionen av ordet lokaliseringsuppgift i 1 kap. 7 §) bör i stället ordet postadress användas i detta sammanhang. Med hänsyn till vikten av en säker identifiering bör en registreringsskyldighet även omfatta personnummer eller samordningsnummer om abonnenten är en fysisk person och organisationsnummer om abonnenten är en juridisk person. I promemorians förslag används uttrycket personnummer eller motsvarande för att beskriva vilka identifieringsnummer som bör registreras. Regeringen bedömer emellertid att regleringen blir tydligare om även samordningsnummer och organisationsnummer uttryckligen anges. För den som saknar personnummer och samordningsnummer, t.ex. en utländsk turist, bör det vara möjligt att i stället registrera exempelvis födelsedatum och passnummer. Den möjligheten kan lämpligen beskrivas genom uttrycket annat identifieringsnummer. Regeringen anser att vikten av en säker identifiering överväger de integritetsrisker som en behandling av personnummer eller samordningsnummer innebär för den enskilde. Det får därför anses vara klart motiverat att registreringsskyldigheten omfattar personnummer eller samordningsnummer (jfr 3 kap. 10 § dataskyddslagen). I enlighet med promemorians förslag bör också numret för tjänsten Om tjänsten inte har något nummer bör i stället en annan beteckning för tjänsten registreras. Som och Säkerhetspolisen framhåller är det av vikt att uppgift om tidpunkten för registreringen finns tillgänglig för brottsbekämpande myndigheter. Registreringsskyldigheten bör därför, i tillägg till promemorians förslag, omfatta även den uppgiften. Sammanfattningsvis bör registreringsskyldigheten omfatta abonnentens namn och postadress, personnummer, samordningsnummer, organisationsnummer eller annat identifieringsnummer samt nummer eller annan beteckning för tjänsten. Tillhandahållaren bör även vara skyldig att ange tidpunkten för registreringen. Hur länge uppgifterna bör finnas tillgängliga hos tillhandahållarna Nya LEK innehåller vissa bestämmelser om lagring som även omfattar abonnemangsuppgifter. Huvudregeln är att en trafikuppgift ska utplånas eller avidentifieras när den inte längre behövs för överföring av ett elektroniskt meddelande (9 kap. 1 §). Från denna huvudregel finns flera undantag. En tillhandahållare kan exempelvis, med den enskildes samtycke, lagra sådana uppgifter för marknadsföring (9 kap. 2 §). Den lagringsskyldighet för brottsbekämpande ändamål som följer av 9 kap. 19 § utgör ett annat undantag från huvudregeln. Lagringsskyldigheten omfattar sådana uppgifter om abonnemang som är nödvändiga för att spåra och identifiera kommunikationskällan och slutmålet för kommunikationen. Skyldigheten att lagra uppgifter omfattar uppgifter som genereras eller behandlas vid telefonitjänst eller meddelandehantering via mobil nätanslutningspunkt eller internetåtkomst. Uppgifterna ska lagras i två–beroende på typen av uppgifter. Lagringstiden räknas från den dag kommunikationen avslutades (9 kap. 22 §). För att säkerställa att de abonnemangsuppgifter som avser kontantkort lagras och kan lämnas ut till brottsbekämpande myndigheter är det nödvändigt med särskilda bestämmelser om lagring, även om det medför en viss dubbelreglering i förhållande till lagringsskyldigheten i 9 kap. 19 § nya LEK. Lagringsskyldigheten enligt den paragrafen förutsätter nämligen att tillhandahållaren har genererat eller behandlat uppgifterna. Det är inte säkert att tillhandahållarna skulle fortsätta att behandla de registrerade uppgifterna efter registrering utan en skyldighet att göra det. Om abonnenten exempelvis inte lämnat samtycke till behandling i marknadsföringssyfte kan tillhandahållaren sakna skäl att behandla uppgifterna för egna ändamål. Om ett kontantkort skulle användas för kommunikation först efter registrering skulle därmed situationen kunna uppstå att tillhandahållaren inte har några abonnemangsuppgifter att lagra enligt 9 kap. 19 §. Vidare förekommer det att telefonnummer kopplade till kontantkort endast används för att starta konton i vissa appar. I sådant fall sker ingen sådan kommunikation som gör att lagringsskyldigheten aktualiseras. Det kan också vara så att brottsbekämpande myndigheter vill få kännedom om vem som är innehavare av ett visst kontantkort eller vilka kontantkort som innehas av en viss person även avseende kort som ännu inte har använts för kommunikation. 2021/22:183 Vid en internationell utblick kan det konstateras att abonnemangsuppgifter om kontantkortskunder bevaras i olika europeiska länder. I något fall ska uppgifterna raderas direkt efter att ett avtal har upphört och i något fall bevaras de . I ska de insamlade uppgifterna raderas i slutet av kalenderåret året efter det att avtalet har upphört. konstaterade i det ovan nämnda målet Breyer mot att den tyska lagringstiden inte framstod som olämplig med hänsyn till att en brottsutredning kan ta och pågå längre än ett kontantkort är aktivt. Abonnemangsuppgifterna bör lagras i vart fall som tjänsten är i bruk. Med hänsyn till att en brottsutredning kan pågå än den tid en förbetald tjänst tillhandahålls bör uppgifterna, som också påpekar, lagras efter det. Som framgått förekommer det t.ex. att telefonnummer som tillhör kontantkort används för att aktivera konton i olika appar. Kommunikationen i dessa appar kan pågå efter det att kontantkorten har tagits ur bruk. För att få tillgång till information om vem som har skapat kontona, kan de brottsbekämpande myndigheterna därför ha behov av att få tillgång till abonnemangsuppgifterna . kommer en lagring av de abonnemangsuppgifter som avser kontantkortskunder att medföra att tillhandahållarna har tillgång till uppgifter om ett stort antal enskilda, varav de flesta inte är av intresse för brottsbekämpande myndigheter. Som framhålls ovan kan uppgifterna dock inte anses särskilt känsliga ur integritetssynpunkt. Mot denna bakgrund anser regeringen, i likhet med promemorian och men till skillnad från , att efter det att tillhandahållandet av tjänsten har upphört utgör en rimlig och proportionerlig lagringstid. De registrerade uppgifterna bör således finnas tillgängliga hos tillhandahållaren från och med registreringen till och med efter att tillhandahållandet av tjänsten har upphört. Att tillhandhållandet har upphört kan, som anför, t.ex. bero på en nummerportering, dvs. att ett nummer lämnas över till en annan tillhandahållare, eller att tillhandahållaren avslutar tjänsten på grund av att den inte har använts . 4.2.3Abonnentens identitet ska kontrolleras Regeringens förslag: I samband med en registrering ska abonnentens identitet kontrolleras genom en giltig identitetshandling eller en tillförlitlig elektronisk identifiering. Om abonnenten saknar sådana handlingar och verktyg får identiteten göras sannolik på annat sätt. Identitetskontrollen ska dokumenteras. Om abonnenten är en juridisk person ska identitetskontrollen avse den som företräder den juridiska personen. Regeringen eller den myndighet som regeringen bestämmer får meddela ytterligare föreskrifter om identitetskontrollen. Promemorians förslag överensstämmer i huvudsak med regeringens. Promemorians förslag innehåller ingen bestämmelse om identitetskontroll av den som företräder en juridisk person. I promemorian föreslås inget normgivningsbemyndigande. Remissinstanserna: Ingen remissinstans motsätter sig att abonnentens identitet ska kontrolleras. Enligt är det viktigt att den som tillhandahåller tjänsten inte ska behöva tillämpa och i verksamheten anpassa sig efter alla i promemorian godkända metoder för identifiering, utan kunna tillämpa en av dessa metoder, t.ex. elektronisk identifiering. Vidare anser bolaget att det är oklart hur identifieringen ska gå till när det gäller juridiska personer, vid godmansförordnanden och förvaltarskap samt när en vårdnadshavare ska intyga ett barns identitet. När det gäller juridiska personer undrar bolaget om den juridiska personens firma och organisationsnummer ska kontrolleras och om det ska genomföras en identitetskontroll på behörig företrädare för den juridiska personen. anser att det är oklart hur en identitetskontroll ska göras digitalt för det fall en kontantkortskund saknar bank-id. Bolaget anser även att det bör förtydligas att en identitetskontroll inte behöver utföras med tekniska hjälpmedel. Vidare framhåller bolaget att det bör vara möjligt att erbjuda kunder som påbörjat ett digitalt köp av ett kontantkort, men som inte har kunnat identifiera sig med bank-id, att dels få kontantkortet hemskickat till den adress som i folkbokföringsdatabasen är registrerad på det namn som anges vid det digitala köpet, dels kunna hämta ut kontantkortet hos valfri butik eller agent mot uppvisande av identitetshandling med fotografi. Metoden med folkbokföringsadress tillämpas för abonnemangstjänster. IT&Telekomföretagen pekar på att förslaget, vid försäljning online, riskerar att öka den digitala klyftan eftersom inte alla har eller kan få tillgång till en e-legitimation och därmed inte kan bevisa sin identitet digitalt. PTS anför att det är av vikt att enskilda inte utesluts från möjligheten att använda kontantkort på grund av att de inte har tillgång till en viss identitetshandling. framför liknande synpunkter. Vissa remissinstanser pekar på ett behov av närmare myndighetsföreskrifter, däribland , och . Skälen för regeringens förslag: Det måste säkerställas att de uppgifter som lämnas om enskilda abonnenter av förbetalda tjänster är korrekta. De identitetsuppgifter som lämnas bör därför kontrolleras. Kontrollen bör i första hand ske gentemot en identitetshandling. Som framgår av promemorian finns det ett flertal olika identitetshandlingar som normalt godtas för identifiering i och flera andra handlingar som godtas för identifiering i vissa fall. Som PTS framhåller är det viktigt att enskilda inte utesluts från möjligheten att använda kontantkort på grund av att de inte har tillgång till en viss identitetshandling. För att få registrera sig som abonnent av en förbetald tjänst bör det därför vara tillräckligt att en enskild uppvisar någon form av giltig identitetshandling. Med detta avses t.ex. ett pass, ett id-kort eller ett körkort. Även ett sådant tjänstekort som regleras i förordningen (1958:272) om tjänstekort bör kunna godtas. För att inte utestänga personer som saknar en svensk identitetshandling, t.ex. turister och andra personer som tillfälligt besöker , från möjligheten att använda svenska kontantkort bör även utländska identitetshandlingar godtas. Identitetskontrollen bör inte bara kunna göras i samband med besök i en fysisk butik utan även vid registrering via internet eller vid kontakt med en kundtjänst. En sådan identitetskontroll bör i första hand göras med hjälp av en e-legitimation som t.ex. bank-id. I lagtexten kan detta lämpligen, med 12 kap 2 § spellagen (2018:1138) som förebild, uttryckas så att