Datalagring och åtkomst till elektronisk information

Datalagring och åtkomst till elektronisk information

2021 års datalagringsutredning

Stockholm 2023

SOU och Ds finns på regeringen.se under Rättsliga dokument.

Svara på remiss – hur och varför

Statsrådsberedningen, SB PM 2021:1. Information för dem som ska svara på remiss finns tillgänglig på regeringen.se/remisser.

Layout: Kommittéservice, Regeringskansliet Omslag: Elanders Sverige AB Tryck och remisshantering: Elanders Sverige AB, Stockholm 2023

ISBN 978-91-525-0611-0 (tryck) ISBN 978-91-525-0612-7 (pdf) ISSN 0375-250X

Till statsrådet och chefen för Justitiedepartementet

Regeringen beslutade den 5 augusti 2021 att tillkalla en särskild utredare med uppdraget att se över den lagstiftning som medför en skyldighet för tillhandahållare av elektroniska kommunikationstjänster att lagra uppgifter om elektronisk kommunikation för brottsbekämpande syften, samt vissa anknytande frågor om myndigheternas tillgång till sådana uppgifter. (dir. 2021:58). Till särskild utredare förordnades samma dag f.d. lagmannen Sigurd Heuman.

Rättssakkunniga Staffan Uhlmann (Justitiedepartementet) samt kansliråden Felisa Krzyzanski och Susanna Mattsson (Infrastrukturdepartementet, numera Finansdepartementet) förordnades som sakkunniga att biträda utredningen från och med den 23 september 2021. Som experter förordnades från och med samma dag advokaten Johanna Björkman (Advokatsamfundet), enhetschefen Cecilia Agnehall (Säkerhets- och integritetsskyddsnämnden), vice chefsåklagaren Måns Biörklund (Åklagarmyndigheten), kammaråklagaren Johan Lengholm (Åklagarmyndigheten), vice chefsåklagaren Ted Murelius (Ekobrottsmyndigheten), juristen Peder Cristvall (Post- och telestyrelsen), rådmannen Christofer Gatenheim (Göteborgs tingsrätt), juristerna Sofie Klahr och Anna Olander Selldén (Polismyndigheten), enhetschefen Robert Nygren och verksjuristen Carl Rundström Frödén (Säkerhetspolisen), verksjuristen Micaela Nordberg (Tullverket) och juristen Lisa Zettervall (Integritetsskyddsmyndigheten).

Måns Biörklund entledigades från och med den 24 februari 2022 och ersattes av kammaråklagaren Christoffer Östlind (Åklagarmyndigheten). Cecilia Agnehall entledigades från och med den 8 juli 2022 och ersattes av verksjuristen Jessica Öhlund Andersson (Säkerhetsoch integritetsskyddsnämnden). Carl Rundström Frödén entlediga-

des från och med den 21 oktober 2022 och ersattes av verksjuristen Maria Sertcanli (Säkerhetspolisen).

Som sekreterare anställdes från och med den 16 augusti 2021 rättschefen Eva Melander Tell. Från och med den 25 juli 2022 anställdes rättsutvecklaren Soheil Roshanbin som sekreterare varvid Eva Melander Tell blev huvudsekreterare. Eva Melander Tell entledigades från uppdraget från och med den 6 februari 2023.

Utredningen har antagit namnet 2021 års datalagringsutredning. Sigurd Heuman svarar som utredare ensam för innehållet i betänkandet även om också experterna har ställt sig bakom det, i den mån inte annat framgår av ett särskilt yttrande. Särskilda uppfattningar i enskildheter och i formuleringar kan dock förekomma utan sådant yttrande. Härmed överlämnas betänkandet Datalagring och åtkomst till elektronisk information (SOU 2023:22).

Stockholm i maj 2023

Sigurd Heuman

/ Eva Melander Tell

Soheil Roshanbin

Förkortningar

anmälnings- Europaparlamentets och rådets direktiv (EU) direktivet 2015/1535 av den 9 september 2015 om ett in-

formationsförfarande beträffande tekniska före-

skrifter och beträffande föreskrifter för infor-

mationssamhällets tjänster Brå Brottsförebyggande rådet datalagrings- Europaparlamentets och rådets direktiv 2006/ direktivet 24/EG av den 15 mars 2006 om lagring av upp-

gifter som genererats eller behandlats i sam-

band med tillhandahållande av allmänt tillgäng-

liga elektroniska kommunikationstjänster eller

allmänna kommunikationsnät dataskydds- Europaparlamentets och rådets direktiv 95/ direktivet 46/EG av den 24 oktober 1995 om skydd för

enskilda personer med avseende på behandling

av personuppgifter och om det fria flödet av

sådana uppgifter E.164-nummer Den internationella nummerplanen för telefoni e-dataskydds- Europaparlamentets och rådets direktiv 2002/ direktivet 58/EG av den 12 juli 2002 om behandling av

personuppgifter och integritetsskydd inom sek-

torn för elektronisk kommunikation (direk-

tivet om integritet och elektronisk kommuni-

kation) (EGT L 201, 2002, s. 37), i dess lydelse

enligt Europaparlamentets och rådets direktiv

2009/136/EG av den 25 november 2009

e-handels- Europaparlamentets och rådets direktiv 2000/ direktivet 31/EG av den 8 juni 2000 om vissa rättsliga

aspekter på informationssamhällets tjänster,

särskilt elektronisk handel, på den inre mark-

naden e-kodexen Europaparlamentets och rådets direktiv (EU)

2018/1972 av den 11 december 2018 om in-

rättande av en europeisk kodex för elektro-

nisk kommunikation eSIM Embedded Subscriber Identity Module (in-

byggt simkort) EU:s dataskydds- Europaparlamentet och rådet förordning (EU) förordning 2016/679 om skydd för fysiska personer med

avseende på behandling av personuppgifter och

om det fria flödet av sådana uppgifter och om

upphävande av direktiv 95/46/EG (allmän data-

skyddsförordning) EU-domstolen Europeiska unionens domstol EUO lagen (2017:1000) om en europeisk utrednings-

order Europadomstolen europeiska domstolen för de mänskliga rättig-

heterna Europa- den europeiska konventionen angående skydd konventionen för de mänskliga rättigheterna och de grund-

läggande friheterna, med de tillägg och änd-

ringar som gjorts genom de protokoll som

Sverige ratificerat FEUF fördraget om Europeiska unionens funktions-

sätt FL förvaltningslagen (2017:900) Gamla FEK förordningen (2003:396) om elektronisk kom-

munikation Gamla LEK lagen (2003:389) om elektronisk kommunika-

tion

Gps Global Positioning System (satellitbaserat sy-

stem för positioner) HAK hemlig avlyssning av elektronisk kommuni-

kation HDA eller hemlig dataavläsning eller lagen (2020:62) om HDA-lagen hemlig dataavläsning HÖK hemlig övervakning av elektronisk kommu-

nikation ICCID Integrated Circuit Card Identifier (serienum-

mer för sim-kort) IMEI International Mobile Equipment Identity (en

form av utrustningsidentitet) IMSI International Mobile Subscriber Identity (en

form av abonnemangsidentitet) inhämtningslagen lagen (2012:278) om inhämtning av uppgifter

om elektronisk kommunikation i de brotts-

bekämpande myndigheternas underrättelse-

verksamhet IP Internet Protocol (kommunikationsprotokoll

för internet) IPv4 Internet Protocol version 4 (kommunikations-

protokoll för internet version 4) IPv6 Internet Protocol version 6 (kommunikations-

protokoll för internet version 6) JK Justitiekanslern JO Riksdagens ombudsmän LIRB lagen (2000:562) om internationell rättslig hjälp

i brottmål LSU lagen (2022:700) om särskild kontroll av vissa

utlänningar MAC-adress Media Access Control Address (en form av ut-

rustningsidentitet)

MMS Multimedia Messaging Service (meddelande-

tjänst) NAT Network Address Translation (adressöver-

sättning) Noik nummeroberoende interpersonella kommuni-

kationstjänster Nya FEK förordning (2022:511) om elektronisk kommu-

nikation Nya LEK lagen (2022:482) om elektronisk kommunika-

tion OSL offentlighets- och sekretesslagen (2009:400) OTT-tjänster Over-the-top (operatörsoberoende tjänster) preventivlagen lagen (2007:979) om åtgärder för att förhindra

vissa särskilt allvarliga brott Prop. regeringens proposition PTS Post och telestyrelsen ramdirektivet Europaparlamentets och rådets direktiv 2002/

21/EG av den 7 mars 2002 om ett gemensamt

regelverk för elektroniska kommunikationsnät

och kommunikationstjänster RB rättegångsbalken RF regeringsformen rättighetsstadgan Europeiska unionens stadga om de grundlägeller stadgan gande rättigheterna (2012/c 326/02) SFS svensk författningssamling sim Subscriber Identity Module SIN Säkerhets- och integritetsskyddsnämnden sms Short Message Service SOU Statens offentliga utredningar SUCI Subscription Concealed Identifier (tillfällig

identifierare i 5G-nätet)

SUPI Subscription Permanent Identifier (permanent

identifierare i 5G-nätet) Tele2-domen EU-domstolens dom den 21 december 2016 i

de förenade målen C-203/15 och C-698/15 TF tryckfrihetsförordningen UTC (SP) Coordinated Universal Time (den tillämpning

av den internationella tidsskalan UTC som

används i Sverige) WLAN Wireless Local Area Network (trådlöst lokalt

nätverk) xDSL Digital Subscriber Line (en form av bredbands-

uppkoppling) YGL yttrandefrihetsgrundlagen 3G (UMTS) Universal Mobile Telecommunications System

(tredje generationens mobilkommunikation) 4G (LTE) Long Term Evolution (fjärde generationens

mobilkommunikation) 5G femte generationens mobilkommunikation

Sammanfattning

Utredningens uppdrag och arbete

Vi har haft i uppdrag att analysera och utvärdera nuvarande reglering om lagring av och tillgång till uppgifter om elektronisk kommunikation för brottsbekämpande syften, bl.a. i förhållande till ny praxis från EU-domstolen. I uppdraget har också ingått att analysera förutsättningar för att leverantörer av s.k. OTT-tjänster ska kunna omfattas av skyldigheten att lagra och ge tillgång till uppgifter om elektronisk information. Uppdraget har även omfattat att analysera och föreslå moderniseringar när det gäller tillhandahållarnas skyldighet att se till att hemliga tvångsmedel kan verkställas på ett effektivt sätt. Vi har också haft i uppdrag att se över vissa frågor om svenska myndigheters tillgång till elektroniska uppgifter, när de finns utanför Sveriges gränser (exekutiv jurisdiktion).

Syftet med uppdraget har varit att säkerställa att de brottsbekämpande myndigheternas tillgång till information förbättras och inte försämras över tid på grund av teknikutveckling och förändrade kommunikationsvanor, samtidigt som respekten för mänskliga rättigheter säkerställs.

EU-rätten och datalagring

Förslag om ändring av svensk datalagringsreglering bör lämnas i anledning av ny domstolspraxis från EU-domstolen

Datalagring innebär en skyldighet för tillhandahållare av elektroniska kommunikationsnät och kommunikationstjänster, t.ex. mobiloperatörer, att lagra uppgifter om elektronisk kommunikation. Begreppet uppgifter om elektronisk kommunikation omfattar information om kommunikationen men inte själva innehållet. Information om kom-

munikation kan exempelvis vara vem som kommunicerade med vem, när kommunikationen skedde och var de parter som kommunicerade med varandra befann sig.

I Sverige har datalagring för brottsbekämpande ändamål funnits sedan 1990-talet. I dag spelar EU-rätten en stor roll för lagstiftningen om datalagring för brottsbekämpande ändamål.

Europaparlamentets och rådets direktiv 2002/58/EG om behandling av personuppgifter och integritetsskydd inom sektorn för elektronisk kommunikation (e-dataskyddsdirektivet) anger bl.a. att medlemsstaterna ska säkerställa konfidentialitet vid elektronisk kommunikation och därmed förbundna trafikuppgifter. Uppgifter som inte längre behövs ska enligt direktivet utplånas eller avidentifieras. Medlemsstaterna får dock göra undantag från dessa skyldigheter om det behövs för bl.a. brottsbekämpande verksamhet. Direktivet är genomfört i svensk rätt främst genom bestämmelser i lagen (2022:482) om elektronisk kommunikation (LEK).

De svenska bestämmelserna om datalagring prövades av EU-domstolen i de förenade målen C-203/15 och C-698/15 (Tele2-domen). Lagringsskyldigheten vid tiden för domen var generell och obegränsad i den meningen att den omfattade alla telefoni-, meddelande- och bredbandstjänster som tillhandahölls av de traditionella teleoperatörerna. I Tele2-domen slog EU-domstolen fast att sådan lagringsskyldighet överskred gränserna för vad som är strängt nödvändigt och att den inte, i enlighet med e-dataskyddsdirektivet, kunde anses motiverad i ett demokratiskt samhälle.

Den svenska lagstiftningen sågs därför över och den 1 oktober 2019 trädde nya regler om datalagring i kraft (prop. 2018/19:86). Anpassningarna till EU-rätten innebar bl.a. att lagringsskyldigheten begränsades och lagringstiderna differentierades.

Efter Tele2-domen har ny praxis kommit från EU-domstolen i flera mål som rör datalagring. Till följd av domarna har bl.a. Tyskland, Frankrike, Belgien och Danmark anpassat sina regler om datalagring till EU-rätten.

Vår analys visar att det kan finnas anledning att ändra den svenska regleringen med anledning av EU-domstolens praxis från senare tid. Vi har gjort bedömningen att förslag bör lämnas om datalagring för att skydda den nationella säkerheten. Vi har även kommit till slutsatsen att det finns anledning att lämna förslag om s.k. riktad lagring för att bekämpa grov brottslighet. Med begreppet riktad lagring avses

normalt en lagring av uppgifter som är avgränsad, antingen till ett visst geografiskt område, till en viss personkrets eller med hjälp av något annat särskiljande kriterium, exempelvis tekniska kriterier.

Nationell säkerhetslagring

Vi har föreslagit regler om nationell säkerhetslagring. En sådan ska vara tillåten, om den bedöms vara absolut nödvändig för att bekämpa ett allvarligt hot mot nationell säkerhet som är verkligt och aktuellt eller förutsebart. Säkerhetspolisen ska bedöma hotet mot den nationella säkerheten och får, om ett säkerhetshot finns, besluta om en generell och odifferentierad lagringsskyldighet.

Ett beslut om nationell säkerhetslagring ska kunna bli föremål för en effektiv kontroll. Ett offentligt ombud ska bevaka enskildas intressen och kunna överklaga Säkerhetspolisens beslut till ett kontrollorgan. Kontrollorganet ska pröva om förutsättningarna för lagringsskyldigheten är uppfyllda och om lagringsskyldigheten är proportionell. Kontrollorganet ska kunna fastställa eller upphäva Säkerhetspolisens beslut om lagring. Vi föreslår att ett nytt särskilt beslutsorgan inom Säkerhets- och integritetsskyddsnämnden (SIN), Datalagringsdelegationen, ska vara kontrollorgan.

Lagringsskyldigheten, vid nationell säkerhetslagring, är mer omfattande än dagens lagringsskyldighet, både vad gäller vilka slags uppgifter som kan lagras och själva lagringstiden. Exempelvis ska lokaliseringsuppgifter som inte är trafikuppgifter kunna omfattas av nationell säkerhetslagring. Med lokaliseringsuppgifter som inte är trafikuppgifter avses exempelvis gps-positioner som genereras i en mobiltelefon. Lagringstiden ska vara två år och som huvudregel räknas från den dag kommunikationen avslutades.

Tillgången genom straffprocessuella tvångsmedel till uppgifter som har lagrats för att skydda den nationella säkerheten ska vara begränsad till bekämpning av brott och brottslighet som kan innebära ett allvarligt hot mot Sveriges säkerhet. De lagringsskyldiga, dvs. tillhandahållarna, måste därför kunna särskilja uppgifter som lagras på denna grund från andra lagrade uppgifter.

Beslut om nationell säkerhetslagring ska omfattas av sekretess och tystnadsplikt ska gälla för tillhandahållarna.

Lagring för att bekämpa grov brottslighet som inte utgör ett hot mot den nationella säkerheten

Vi har vidare lämnat förslag på två former av riktad lagring i syfte att bekämpa grov brottslighet, geografiskt riktad lagring och utökad riktad lagring. Dessa förslag skulle kunna ersätta dagens lagringsregler rörande uppgifter om elektronisk kommunikation i brottsbekämpande syfte.

Geografiskt riktad lagring

Geografiskt riktad lagring ska ske i områden där det utifrån objektiva kriterier går att konstatera att det finns en jämförelsevis större sannolikhet för förekomst av grov brottslighet än i andra områden. Geografiskt riktad lagring ska grunda sig på den officiella statistiken över anmälda brott som redovisas av Brottsförebyggande rådet (Brå) och med kommunerna som geografiska enheter. Post- och telestyrelsen (PTS) ska årligen föreskriva vilka kommuner som ska omfattas av den geografiskt riktade lagringen.

Utökad riktad lagring

Utökad riktad lagring ska komplettera den geografiskt riktade lagringen. Utökad riktad lagring kan avse 1. ett begränsat geografiskt område där grov brottslighet har före-

kommit eller där det är sannolikt att grov brottslighet kommer att

äga rum, 2. en skyddsvärd plats, 3. en person som dömts för grova brott, 4. en person som har varit föremål för hemliga tvångsmedel, eller 5. en utrustnings- eller abonnemangsidentitet som använts vid eller

skäligen kan antas komma till användning vid ett grovt brott eller

vid grov brottslig verksamhet.

Polismyndigheten, Säkerhetspolisen och Tullverket ska få besluta om utökad riktad lagring och SIN ska utöva tillsyn över tillämpningen.

Geografiskt riktad lagring ska omfatta fler uppgiftstyper än den lagringsskyldighet som gäller i dag. Lagringsskyldigheten omfattar samma typer av uppgifter som får lagras vid nationell säkerhetslagring. Även ett beslut om utökad riktad lagring får omfatta samma uppgiftstyper. Lagringstiden för såväl geografiskt riktad lagring som utökad riktad lagring ska vara ett år, som huvudregel räknat från den dag kommunikationen avslutades.

Beslut om utökad riktad lagring ska omfattas av sekretess och för tillhandahållarna gäller tystnadsplikt.

Tillhandahållare av OTT-tjänster

De s.k. OTT-tjänsterna har i hög grad påverkat enskildas kommunikationsvanor. Det är i dag mycket vanligt att kommunikation sker genom internetbaserade tjänster som vissa e-posttjänster eller tjänster som Apple Imessage, Apple Facetime, Discord, Snapchat, Google Messages, Google Meet, Kik Messenger, Line, Messenger from Meta, Skype, Slack, Telegram, Viber och Whatsapp, för att nämna några bland många. Inom den EU-rättsliga regleringen används begreppet allmänt tillgängliga nummeroberoende interpersonella kommunikationstjänster (Noik) som ett samlingsbegrepp för dessa tjänster.

Tillhandahållare av Noik har i dag inte någon lagringsskyldighet motsvarande den som de traditionella teleoperatörerna har. Det sker således ingen datalagring för brottsbekämpande ändamål vid användning av Noik-tjänsterna. Vår analys visar att den tekniska utvecklingen och ändrade kommunikationsvanor har inneburit försämrade möjligheter för de brottsbekämpande myndigheternas arbete. De brottsbekämpande myndigheterna har stor nytta och ett påtagligt behov av uppgifter om elektronisk kommunikation, även när kommunikationen sker i andra kanaler än via de traditionella teleoperatörerna. Vi har gjort bedömningen att nyttan och behovet av tillgång till uppgifter om elektronisk kommunikation från tillhandahållare av Noik väger tyngre än de motstående intressen som talar emot en sådan tillgång.

Skyldigheter för tillhandahållare av Noik

Vi har föreslagit att lagringsskyldighet ska gälla även för den som tillhandahåller allmänt tillgängliga nummeroberoende interpersonella kommunikationstjänster (Noik) i Sverige.

Lagringsskyldigheten ska omfatta kommunikation som till någon del sker i Sverige. Detta kan exempelvis fastställas genom att kommunikation skickas från eller mottas via en ip-adress i Sverige.

Lagringsskyldigheten och lagringstiden ska som huvudregel motsvara det vi föreslår för övriga lagringsskyldiga, dvs. enligt våra förslag om nationell säkerhetslagring, geografiskt riktad lagring och utökad riktad lagring.

Tillhandahållare av Noik ska omfattas av sådan tystnadsplikt som gäller för tillhandahållare av andra elektroniska kommunikationstjänster.

Uppdraget att modernisera anpassningsskyldigheten

De som tillhandahåller allmänna elektroniska kommunikationsnät eller allmänt tillgängliga elektroniska kommunikationstjänster enligt LEK spelar en viktig roll när brottsbekämpande myndigheter hämtar in elektronisk kommunikation och uppgifter om sådan. För att underlätta för de brottsbekämpande myndigheterna har tillhandahållarna ålagts en viss anpassningsskyldighet. Skyldigheten innebär att verksamheten ska bedrivas så att hemliga tvångsmedel kan verkställas och att det ska kunna ske utan att verkställandet röjs.

Den teknikutveckling som skett och fortfarande pågår har dock medfört att regleringen av anpassningsskyldighet har blivit oklar och ålderdomlig. Med hänsyn till våra förslag om lagringsskyldighet för tillhandahållare av Noik finns ytterligare behov av förändring av anpassningsskyldigheten. Vi föreslår därför en modernisering av bestämmelserna om anpassningsskyldighet för att åstadkomma en reglering som är tydlig, enhetlig och teknikneutral.

En modernisering av anpassningsskyldigheten

Vi har förslagit att anpassningsskyldigheten ska omfatta samma aktörer som enligt våra förslag ska omfattas av lagringsskyldighet enligt LEK. Ett undantag ska dock gälla för tillhandahållare av s.k. maskin-

till-maskin-tjänster. Med maskin-till-maskin-tjänster avses tjänster som omfattar automatisk överföring av data mellan enheter eller mjukvarubaserade tillämpningar, med liten eller ingen mänsklig medverkan. Tjänsterna kan exempelvis användas för övervakning, mätning, styrning, transport och logistik i bl.a. bilar, tåg, elmätare, hemlarm och gräsklippare.

Även tillhandahållare av Noik ska alltså vara skyldiga att bedriva sin verksamhet så att beslut om hemliga tvångsmedel kan verkställas och så att verkställandet inte röjs. Det omfattar även de fall en tillhandahållare för sina kunder möjliggör totalsträckskryptering, dvs. när bara sändare och mottagare har tillgång till meddelandena i läsbar form. I dessa fall innebär anpassningsskyldigheten att tillhandahållaren ska kunna göra uppgifterna tillgängliga för brottsbekämpande myndigheter i läsbar form.

Vid ett utlämnande av uppgifter ska tillhandahållare av Noik även omfattas av rätten till ersättning.

Exekutiv jurisdiktion

Rätten för en stat att vidta åtgärder och verkställa beslut som har fattats inom ramen för lagstiftning och rättskipning kallas exekutiv jurisdiktion. Utgångspunkten i folkrätten är att det råder ett förbud för stater att vidta verkställighetsåtgärder, t.ex. att använda hemliga tvångsmedel, inom andra staters territorier. Detta baseras på den s.k. territorialitetsprincipen, som är en grundläggande folkrättslig princip om staters suveränitet.

Elektroniskt lagrade uppgifter kan finnas i flera stater samtidigt eller ständigt förflyttas mellan olika stater. I många fall är det inte ens för den som tillhandahåller tjänsten möjligt att klargöra var uppgifterna finns i varje givet ögonblick. Även när detta är möjligt kan förhållandena ändras på bråkdelen av en sekund.

För en effektiv brottsbekämpning är det viktigt att reglerna om tillgång till elektronisk kommunikation och annan elektronisk bevisning också kan tillämpas i praktiken, även när informationen finns utanför Sverige eller när det är okänt var den finns.

Vi har sett över förutsättningarna, inklusive de folkrättsliga aspekterna, för att införa en särskild lagreglering för exekutiv jurisdiktion

i förhållande till elektronisk information som finns utanför Sverige vid användning av straffprocessuella tvångsmedel.

Vi har gjort bedömningen att det under vissa förutsättningar inte finns några folkrättsliga hinder mot att de brottsbekämpande myndigheterna inhämtar elektronisk information som är eller kan vara lagrad utanför Sverige. Högsta domstolen har den 30 mars 2023 avseende exekutiv jurisdiktion meddelat beslut om att genomsökning på distans får ske även om den eftersökta informationen kan vara lagrad i utlandet.

Mot bakgrund av det har vi föreslagit en lagreglering som förtydligar vad som gäller för viss inhämtning av elektronisk information som lagras utanför Sverige.

Inhämtning av elektronisk information som lagras utanför Sverige

Vi har föreslagit en lagreglering avseende möjligheten för brottsbekämpande myndigheter att inhämta elektronisk information som lagras eller kan vara lagrad utanför Sverige, t.ex. information på användarkonton till olika molntjänster.

För detta ska krävas – att de brottsbekämpande myndigheterna utan bistånd kan skaffa

sig tillgång till uppgifterna, – att inhämtningen inte bedöms innebära mer än ett obetydligt in-

trång i en annan stats suveränitet, och – att inhämtningen inte bedöms kunna orsaka någon skada på det

avläsningsbara informationssystem som tvångsmedlet avser.

Konsekvenser och genomförande

Förslagen om nationell säkerhetslagring, lagringsskyldighet också för tillhandahållare av Noik, modernisering av anpassningsskyldigheten och om exekutiv jurisdiktion kommer att vara klart positiva för brottsbekämpningen. Förslagen om riktad lagring kan ibland komma

1 Se Högsta domstolens beslut den 30 mars 2023 i mål Ö 5686-22.

att försvåra det brottsbekämpande arbetet. Sammantaget kommer dock förslagen att vara till fördel för brottsbekämpningen.

Våra förslag om nationell säkerhetslagring kan öka risken för intrång i den personliga integriteten jämfört med i dag. Det gör inte förslagen om en modernisering av anpassningsskyldigheten. Inte heller förslaget till reglering om exekutiv jurisdiktion kan sägas öka risken för intrång i den personliga integriteten. Förslagen om riktad lagring kan leda till en minskad risk för intrång i den personliga integriteten.

De tekniska anpassningar som behövs för en förändrad lagringsskyldighet leder till kostnadsökningar för tillhandahållarna och förslagen kan ha en viss påverkan på konkurrensen mellan företag. Polismyndigheten, Säkerhetspolisen, Tullverket och SIN kommer att behöva ytterligare resurser.

De föreslagna reglerna om inhämtning av elektronisk information som är lagrad utanför Sverige föreslås träda i kraft den 1 juli 2024. Övriga författningsförslag föreslås träda i kraft den 1 juli 2025.

Summary

The Commission’s mandate and work

The Commission’s mandate involved analysing and evaluating the current regulations on retention of and access to electronic communications data for law enforcement purposes, including in relation to new case law from the Court of Justice of the European Union. The mandate also included analysing the conditions under which providers of OTT services could be covered by the obligation to retain and provide access to electronic data. It also included analysing and proposing modernisations relating to the obligation for providers to ensure that secret coercive measures can be implemented effectively. The Commission also had a mandate to review certain issues concerning Swedish authorities’ access to electronic data when it is located outside Sweden’s borders (executive jurisdiction).

The aim of the mandate was to ensure that law enforcement authorities’ access to information is improved and does not deteriorate over time on account of technological developments and changes in communication habits, while ensuring respect for human rights.

EU law and data retention

A proposal to amend Swedish data retention rules should be submitted in the light of new case law from the Court of Justice of the European Union

Data retention is an obligation for providers of electronic communications networks and services, such as mobile operators, to retain electronic communications data. The term electronic communications data includes data about the communication but not the content itself. Data on communication may, for example, be who communicated with

whom, when the communication took place and the location of the parties communicating with each other.

In Sweden, data retention for law enforcement purposes has existed since the 1990s. Today, EU law plays a major role in legislation on data retention for law enforcement purposes.

Directive 2002/58/EC of the European Parliament and of the Council concerning the processing of personal data and the protection of privacy in the electronic communications sector (Directive on privacy and electronic communications) states, among other things, that Member States must ensure the confidentiality of electronic communications and related traffic data. Data that is no longer needed must, under the Directive, be erased or made anonymous. However, the Member States may make exceptions to these obligations if they are necessary for purposes such as law enforcement activities. The Directive has been implemented in Swedish law mainly through provisions in the Electronic Communications Act (2022:482).

The Swedish provisions on data retention were examined by the Court of Justice of the European Union in Joined Cases C-203/15 and C-698/15 (the Tele2 judgment). The retention obligation at the time of the judgment was general and unlimited in the sense that it covered all telephony, messaging and broadband services provided by the traditional telecoms operators. In the Tele2 judgment, the Court of Justice of the European Union ruled that such retention obligations exceeded the limits of strict necessity and could not, in accordance with the Directive on privacy and electronic communications, be considered justified in a democratic society.

The Swedish legislation was therefore reviewed and, on 1 October 2019, new rules on data retention entered into force (Govt. Bill 2018/19:86). The adaptations to EU law included limiting the retention obligation and differentiating between the retention periods.

Following the Tele2 judgment, the Court of Justice of the European Union has issued new case law in several cases related to data retention. As a result of the judgments, Member States including Germany, France, Belgium and Denmark have adapted their data retention rules to EU law.

Our analysis shows that there may be reason to amend the Swedish rules in the light of recent case law from the Court of Justice of the European Union. We have concluded that proposals on data retention should be submitted to protect national security. We have also

come to the conclusion that there is reason to submit proposals on targeted retention to combat serious crime. The term targeted retention normally refers to retention of data that is limited to a specific geographical area, to a specific group of people or by some other distinguishing criterion, such as technical criteria.

National security retention

We have proposed rules on national security retention. This should be permitted if it is deemed strictly necessary to combat a serious threat to national security that is real and present or foreseeable. The Swedish Security Service must assess the threat to national security and may, if a security threat exists, decide to introduce a general, undifferentiated retention obligation.

A decision on national security retention must be subject to effective supervision. A public representative must protect the interests of individuals and be able to appeal against the decisions of the Swedish Security Service to a supervisory body. The supervisory body must examine whether the conditions for the retention obligation are met and whether the retention obligation is proportionate. The supervisory body must be able to confirm or revoke the decision by the Swedish Security Service on retention. We propose that a new specialist decision-making body within the Swedish Commission on Security and Integrity Protection (SIN), the Data Retention Delegation, be the supervisory body.

The retention obligation, in the case of national security retention, is more extensive than the current retention obligation, both in terms of the types of data that can be retained and the duration of the retention. For example, it must be possible for location data that is not traffic data to be subject to national security retention. Location data that is not traffic data means, for example, GPS positions generated on a mobile phone. The retention period should be two years and, as a general rule, be counted from the date on which the communication ended.

Access to data retained by means of coercive measures for the purpose of protecting national security must be limited to combating offences and crime that may pose a serious threat to Sweden’s security. The persons responsible for retention, i.e. the providers, must

therefore be able to distinguish between data retained on this basis and other data retained.

Decisions on national security retention must be subject to confidentiality, and professional secrecy must apply to the providers.

Retention to combat serious crime that does not constitute a threat to national security

We have also proposed two forms of targeted retention to combat serious crime: geographically targeted retention and extended targeted retention. These proposals could replace the current retention rules for electronic communications data for law enforcement purposes.

Geographically targeted retention

Geographically targeted retention must take place in areas in which objective criteria indicate that there is a comparatively higher probability of serious crime than in other areas. Geographically targeted retention must be based on the official statistics on reported crimes presented by the Swedish National Council for Crime Prevention (Brå) and with the municipalities as geographical units. The Swedish Post and Telecom Authority (PTS) must annually prescribe the municipalities that are to be subject to geographically targeted retention.

Extended targeted retention

Extended targeted retention is designed to complement geographically targeted retention. Extended targeted retention may concern 1. a limited geographical area in which serious crime has occurred or

in which it is probable that serious crime will occur, 2. a site worthy of protection, 3. a person convicted of serious offences, 4. a person that has been subject to secret coercive measures, or

5. an equipment or subscription identity that has been used in a seri-

ous crime or serious criminal activity or that it may reasonably be

assumed may be used in a serious crime or serious criminal activity.

The Swedish Police Authority, the Swedish Security Service and Swedish Customs will be able to decide on extended targeted retention, and SIN will supervise its application.

Geographically targeted retention will cover more types of data than the current retention obligation. The retention obligation covers the same types of data as those that may be stored in national security retention. A decision on extended targeted retention may also cover the same types of data. The retention period for both geographically targeted retention and extended targeted retention should be one year, as a general rule from the date on which the communication ended.

Decisions on extended targeted retention must be subject to confidentiality, and professional secrecy must apply to the providers.

Providers of OTT services

OTT services have greatly influenced the communication habits of individuals. It is now very common for communication to take place through internet-based services such as certain email services or services like Apple iMessage, Apple FaceTime, Discord, Snapchat, Google Messages, Google Meet, Kik Messenger, Line, Messenger from Meta, Skype, Slack, Telegram, Viber and Whatsapp, to name just a few. The EU regulatory framework uses the concept of publicly available number-independent interpersonal communications services (NI-ICS) as an umbrella term for these services.

NI-ICS providers do not currently have a retention obligation equivalent to that of traditional telecoms operators. Consequently, there is no data retention for law enforcement purposes when using NI-ICS services. Our analysis shows that technological developments and changing communication habits have had a negative impact on the possibilities for law enforcement authorities to do their work. Law enforcement authorities benefit greatly from and have a great need for electronic communications data, even when the communication takes place via channels other than the traditional telecoms oper-

ators. We have concluded that the benefit from and need for access to electronic communications data from NI-ICS providers outweighs the opposing interests against such access.

Obligations of NI-ICS providers

We have proposed that a retention obligation should also apply to providers of publicly available number-independent interpersonal communications services (NI-ICS) in Sweden.

The retention obligation must cover communications that take place to some extent in Sweden. This can be established, for example, by verifying that communications are sent from or received via an IP address in Sweden.

As a general rule, the retention obligation and the duration of retention should correspond to what we propose for other parties obliged to retain data, i.e. according to our proposals for national security retention, geographically targeted retention and extended targeted retention.

Providers of NI-ICS must be subject to the same professional secrecy obligation as providers of other electronic communications services.

Mandate to modernise the adaptation obligation

Providers of public electronic communications networks or publicly available electronic communications services as defined in the Electronic Communications Act play an important role when law enforcement authorities obtain electronic communications and related data. To facilitate the work of law enforcement authorities, a certain adaptation obligation has been imposed on providers. The obligation means that activities must be conducted in such a way that secret coercive measures can be implemented, and that it must be possible to do so without such implementation being disclosed.

However, the technological developments that have taken place and are still ongoing have meant that the rules on the adaptation obligation have become unclear and outdated. In view of our proposals on the retention obligation for NI-ICS providers, there is a further need to change the adaptation obligation. We therefore propose to

modernise the provisions on the adaptation obligation to provide clear, consistent and technology-neutral regulation.

Modernisation of the adaptation obligation

We have proposed that the adaptation obligation should cover the same actors as those who, according to our proposals, should be subject to the retention obligation under the Electronic Communications Act. However, an exemption should apply to providers of machine-to-machine services. Machine-to-machine services are services involving the automatic transfer of data between devices or software-based applications, with little or no human intervention. The services can be used, for example, for monitoring, measurement, control, transport and logistics in cars, trains, electricity meters, home alarms and lawnmowers.

Consequently, providers of NI-ICS should also be obliged to conduct their activities in such a way that decisions on secret coercive measures can be implemented and such implementation is not disclosed. This also covers cases in which a provider enables its customers to use end-to-end encryption, i.e. where only the sender and the recipient have access to the messages in readable form. In these cases, the adaptation obligation means that the provider must be able to make the data available to law enforcement authorities in readable form.

If data is made available, NI-ICS providers should also be entitled to compensation.

Executive jurisdiction

The right of a state to take action and enforce decisions made in the context of legislation and the administration of justice is called executive jurisdiction. The basic premise of international law is that states are prohibited from implementing enforcement measures, such as the use of secret coercive measures, in the territory of other states. This is based on the principle of territoriality, which is a fundamental principle of international law on state sovereignty.

Electronically stored data may exist in several states at the same time or be constantly moving between different states. In many cases,

it is not even possible for the service provider to establish where the data is at any given moment. Even when this is possible, conditions may change in a fraction of a second.

For effective law enforcement, it is important that the rules on access to electronic communications and other electronic evidence can also be applied in practice, even when the information is located outside Sweden or when its location is unknown.

We have reviewed the conditions, including the aspects of international law, for introducing a special legal regulation for executive jurisdiction in relation to electronic information located outside Sweden when using coercive measures.

We have concluded that, under certain conditions, there are no obstacles under international law to the law enforcement authorities obtaining electronic information that is or may be stored outside Sweden. On 30 March 2023, regarding executive jurisdiction, the Swedish Supreme Court ruled that remote searches may be carried out even if the information sought may be stored abroad.

Against this background, we have proposed legislation that clarifies what applies to obtaining electronic information stored outside Sweden in certain cases.

Obtaining electronic information stored outside Sweden

We have proposed a legal regulation regarding the possibility for law enforcement authorities to obtain electronic information that is stored or may be stored outside Sweden, such as information in user accounts for various cloud services.

This presupposes: – that law enforcement authorities can access the data without assis-

tance, – that obtaining the data is judged to involve no more than insig-

nificant infringement of the sovereignty of another state, and – that obtaining the data is not expected to cause any damage to the

scannable information system to which the coercive measure relates.

1 See the Supreme Court decision of 30 March 2023 in case Ö 5686-22.

Impact and implementation

The proposals on national security retention, a retention obligation that also applies to NI-ICS providers, modernisation of the adaptation obligation and executive jurisdiction will clearly have a positive impact on law enforcement. The proposals on targeted retention may sometimes complicate the work of law enforcement. Overall, however, the proposals will be beneficial to law enforcement.

Our proposals on national security retention may increase the risk of invasion of privacy compared to today. The proposals on modernisation of the adaptation obligation do not. Nor can the proposed regulation on executive jurisdiction be said to increase the risk of invasion of privacy. The proposals on targeted retention may lead to a lower risk of invasion of privacy.

The technical adaptations needed for a change in the retention obligation entail cost increases for providers, and the proposals may have some impact on competition between companies. The Swedish Police Authority, the Swedish Security Service, Swedish Customs and SIN will need additional resources.

The proposed rules on obtaining electronic information that is stored outside Sweden are proposed to enter into force on 1 July 2024. It is proposed that other statutory proposals enter into force on 1 July 2025.

1 Författningsförslag

1.1 Förslag till lag (2024:000) om inhämtning av elektronisk information som är lagrad utanför Sverige vid användning av straffprocessuella tvångsmedel

Härigenom föreskrivs följande.

1 § Med de begränsningar som följer av 2 och 3 §§ denna lag får brottsbekämpande myndigheter genom straffprocessuella tvångsmedel inhämta elektronisk information som är lagrad utanför Sverige.

2 § Inhämtning enligt 1 § får avse endast sådan information som de brottsbekämpande myndigheterna utan bistånd kan skaffa sig tillgång till i det informationssystem som tvångsmedlet avser.

3 § Inhämtning enligt 1 § får inte innebära mer än ett obetydligt intrång i en annan stats suveränitet. Information får inte inhämtas, om inhämtningen bedöms kunna orsaka någon skada på det informationssystem som tvångsmedlet avser.

Denna lag träder i kraft den 1 juli 2024.

1.2 Förslag till lag (2025:000) om lagring av och åtkomst till uppgifter om elektronisk kommunikation i syfte att skydda Sveriges säkerhet

Härigenom föreskrivs följande.

1 § Denna lag innehåller bestämmelser om när uppgifter om elektronisk kommunikation får lagras och lämnas ut för att skydda Sveriges säkerhet.

Föreläggande om nationell säkerhetslagring

2 § Säkerhetspolisen får, om det föreligger ett allvarligt hot mot Sveriges säkerhet som är verkligt och aktuellt eller förutsebart, förelägga den som är skyldig att lagra uppgifter enligt 9 kap. 19 § lagen (2022:482) om elektronisk kommunikation att lagra uppgifter om elektronisk kommunikation i enlighet med vad som följer av denna lag (nationell säkerhetslagring). Säkerhetspolisen ska inför sin bedömning av hotet mot Sveriges säkerhet samråda med Försvarsmakten.

Ett föreläggande enligt första stycket får gälla i högst ett år. Säkerhetspolisen får genom ett nytt föreläggande förlänga lagringsskyldigheten om hotet mot Sveriges säkerhet består. Om det inte längre finns skäl för nationell säkerhetslagring, ska Säkerhetspolisen upphäva föreläggandet.

Av 9 kap. 19 b och 22 §§ lagen om elektronisk kommunikation framgår vilka uppgifter som får omfattas av ett föreläggande enligt första stycket respektive hur länge uppgifterna ska lagras.

3 § Ett föreläggande enligt 2 § får meddelas endast när det är absolut nödvändigt för att skydda Sveriges säkerhet. Föreläggandet ska begränsas till vad som är absolut nödvändigt för syftet med lagringen i fråga om

1. vilka tillhandahållare som ska omfattas av lagringsskyldigheten,

2. beslutets giltighetstid, och

3. vilka typer av uppgifter som ska omfattas av lagringsskyldigheten.

Offentligt ombud

4 § Ett offentligt ombud ska bevaka enskildas intressen i ärenden om nationell säkerhetslagring.

5 § Regeringen förordnar för en period om högst tre år en person som ska tjänstgöra som ordinarie offentligt ombud samt en person som i första hand ska vara det ordinarie ombudets ställföreträdare och en annan person som i andra hand ska vara det ordinarie ombudets ställföreträdare.

Ett offentligt ombud ska vara svensk medborgare och ska ha varit ordinarie domare, vara eller ha varit advokat eller ha motsvarande juridisk erfarenhet. Ett offentligt ombud får inte vara i konkurstillstånd eller ha förvaltare enligt 11 kap. 7 § föräldrabalken.

Regeringen ska inhämta förslag på lämpliga personer från Domarnämnden och Sveriges advokatsamfund.

Ett offentligt ombud får trots att regeringens förordnande har upphört slutföra uppdraget i ett specifikt ärende om nationell säkerhetslagring.

6 § I fråga om ersättning till ett offentligt ombud tillämpas bestämmelserna i 21 kap. 10 § första och andra styckena rättegångsbalken. Säkerhetspolisen beslutar om ersättning till det offentliga ombudet. Om Säkerhetspolisens beslut om nationell säkerhetslagring överklagas, ska Säkerhets- och integritetsskyddsnämnden besluta om ersättning till det offentliga ombudet. Om beslutet om nationell säkerhetslagring inte överklagas, får det offentliga ombudet överklaga Säkerhetspolisens beslut om ersättning till Säkerhets- och integritetsskyddsnämnden.

7 § Den som förordnats som offentligt ombud får inte obehörigen röja vad han eller hon har fått kännedom om i ett ärende om nationell säkerhetslagring.

Beslut och överklagande

8 § När Säkerhetspolisen avser att fatta ett beslut om nationell säkerhetslagring ska myndigheten så snart som möjligt hålla ett sammanträde till vilket det offentliga ombudet ska kallas. Det offentliga

ombudet har vid sammanträdet rätt att ta del av det tilltänkta beslutet om nationell säkerhetslagring och de omständigheter som ligger till grund för detta. Vid sammanträdet ska Säkerhetspolisen redogöra för beslutet och det offentliga ombudet har rätt att ställa frågor. Säkerhetspolisen får därefter besluta om nationell säkerhetslagring.

Det offentliga ombudet har rätt att inom en vecka från beslutet om nationell säkerhetslagring överklaga detta till Säkerhets- och integritetsskyddsnämnden. Det offentliga ombudet får avge en skriftlig förklaring om att beslutet inte kommer att överklagas.

9 § Säkerhetspolisen ska underrätta Säkerhets- och integritetsskyddsnämnden om att ett beslut om nationell säkerhetslagring har överklagats. Säkerhets- och integritetsskyddsnämnden ska så snart som möjligt därefter hålla ett sammanträde. Vid sammanträdet ska Säkerhetspolisen och det offentliga ombudet närvara. Säkerhets- och integritetsskyddsnämnden har vid sammanträdet rätt att ta del av de omständigheter som ligger till grund för beslutet om nationell säkerhetslagring. Vid sammanträdet ska Säkerhetspolisen redogöra för beslutet och det offentliga ombudet har rätt att yttra sig.

10 § Säkerhets- och integritetsskyddsnämnden ska pröva om Säkerhetspolisens beslut om nationell säkerhetslagring ska fastställas eller upphävas. Säkerhets- och integritetsskyddsnämndens beslut får inte överklagas.

Säkerhetspolisens beslut om nationell säkerhetslagring får verkställas om det inte har överklagats inom föreskriven tid, om det offentliga ombudet har avgett en förklaring enligt 8 § andra stycket eller om det har fastställts av Säkerhets- och integritetsskyddsnämnden.

Tillgång till lagrade uppgifter

11 § Uppgifter som har lagrats med stöd av ett föreläggande enligt 2 § får endast inhämtas efter ett tillstånd till hemlig avlyssning av elektronisk kommunikation eller till hemlig övervakning av elektronisk kommunikation enligt 27 kap. 18 § eller 19 § rättegångsbalken eller ett tillstånd till inhämtning enligt lagen (2012:278) om inhämtning av uppgifter om elektronisk kommunikation i de brottsbekämpande myndigheternas underrättelseverksamhet.

Inhämtning enligt första stycket får ske endast om det i tillståndet har angetts att inhämtningen får avse uppgifter som har lagrats med stöd av denna lag.

12 § Inhämtning av uppgifter enligt 11 § får endast ske i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet som innefattar brott som anges i andra stycket eller för att utreda och beivra sådana brott.

De brott som ger rätt till inhämtning av uppgifter som lagrats med stöd av ett föreläggande enligt 2 § är:

1. sabotage eller grovt sabotage enligt 13 kap. 4 eller 5 § brottsbalken,

2. mordbrand, grov mordbrand, allmänfarlig ödeläggelse, kapning, sjö- eller luftfartssabotage eller flygplatssabotage enligt 13 kap. 1, 2, 3, 5 a eller 5 b § brottsbalken, om brottet innefattar sabotage enligt 4 § samma kapitel,

3. uppror, väpnat hot mot laglig ordning eller brott mot medborgerlig frihet enligt 18 kap. 1, 3 eller 5 § brottsbalken,

4. högförräderi, krigsanstiftan, spioneri, grovt spioneri, obehörig befattning med hemlig uppgift, grov obehörig befattning med hemlig uppgift eller olovlig underrättelseverksamhet mot Sverige, mot främmande makt eller mot person enligt 19 kap. 1, 2, 5, 6, 7, 8, 10, 10 a eller 10 b § brottsbalken,

5. företagsspioneri enligt 26 § lagen (2018:558) om företagshemligheter, om det finns anledning att anta att gärningen har begåtts på uppdrag av eller har understötts av en främmande makt eller av någon som har agerat för en främmande makts räkning,

6. terroristbrott, samröre med en terroristorganisation, finansiering av terrorism eller särskilt allvarlig brottslighet, offentlig uppmaning till terrorism eller särskilt allvarlig brottslighet, rekrytering till terrorism eller särskilt allvarlig brottslighet, utbildning för terrorism eller särskilt allvarlig brottslighet eller resa för terrorism eller särskilt allvarlig brottslighet enligt 4, 5, 6, 7, 8, 9 eller 10 § terroristbrottslagen (2022:666),

7. andra brott än de som anges i 1–6 och som på grund av sin omfattning eller karaktär utgör ett allvarligt hot mot Sveriges säkerhet, om det för brottet inte är föreskrivet lindrigare straff än fängelse i två år, eller

8. försök, förberedelse eller stämpling till brott som avses i 1–7, om en sådan gärning är belagd med straff.

Denna lag träder i kraft den 1 juli 2025.

1.3 Förslag till lag (2025:000) om lagring av uppgifter om elektronisk kommunikation i syfte att bekämpa grov brottslighet

Härigenom föreskrivs följande.

1 § Denna lag innehåller bestämmelser om när uppgifter om elektronisk kommunikation får lagras för att bekämpa grov brottslighet.

Geografiskt riktad lagring

2 § Uppgifter om elektronisk kommunikation får lagras i vissa kommuner för att bekämpa grov brottslighet (geografiskt riktad lagring). Bestämmelser om sådan lagringsskyldighet finns, förutom i denna lag, i 9 kap. 19 c § lagen (2022:482) om elektronisk kommunikation.

3 § Lagring enligt 2 § ska avse de kommuner där antalet brottsanmälningar är samma eller högre än genomsnittet i landet.

Beräkningen enligt första stycket ska grunda sig på den slutliga årsstatistiken över anmälda brott som tas fram enligt lagen (2001:99) om den officiella statistiken och ska göras utifrån ett genomsnitt av anmälda brott delat med befolkningsmängden under den treårsperiod som föregår lagringsskyldigheten.

4 § Post- och telestyrelsen ska årligen, senast den 1 juni, föreskriva vilka kommuner som omfattas av geografiskt riktad lagring enligt 3 §.

Utökad riktad lagring

5 § Geografiskt riktad lagring får kompletteras med utökad riktad lagring enligt 9 kap. 19 d § lagen (2022:482) om elektronisk kommunikation avseende

1. ett begränsat geografiskt område där brott som avses i 27 kap. 19 § tredje stycket rättegångsbalken har förekommit eller där det är sannolikt att sådant brott kommer att äga rum,

2. en skyddsvärd plats, 3. en person som är eller har varit föremål för – hemliga tvångsmedel som avses i rättegångsbalken,

– hemlig dataavläsning enligt lagen (2020:62) om hemlig dataavläsning, eller

– beslut enligt lagen (2012:278) om inhämtning av uppgifter om elektronisk kommunikation i de brottsbekämpande myndigheternas underrättelseverksamhet,

4. en person som genom lagakraftvunnen dom eller godkänt straffföreläggande ålagts påföljd för brott som avses i 1, eller

5. sådan utrustnings- eller abonnemangsidentitet som använts vid eller skäligen kan antas komma till användning vid brott som avses i 1 eller vid brottslig verksamhet som innefattar sådana brott.

Ett beslut om lagring enligt första stycket 3 får inte grunda sig på ett tvångsmedelsbeslut som är äldre än tre år. Ett beslut om lagring enligt första stycket 4 får inte grunda sig på en dom eller ett godkänt strafföreläggande senare än tre år efter det att den ålagda påföljden till fullo har verkställts.

6 § Vid bedömningen av vad som är en skyddsvärd plats enligt 5 § första stycket 2 ska särskilt beaktas om

1. platsen är ett skyddsobjekt enligt skyddslagen (2010:305),

2. det bedrivs säkerhetskänslig verksamhet enligt säkerhetsskyddslagen (2018:585) på platsen, eller

3. platsen annars bedöms vara särskilt betydelsefull från brottsbekämpningssynpunkt.

7 § Polismyndigheten, Säkerhetspolisen och Tullverket får besluta om utökad riktad lagring enligt 5 §. Ett sådant beslut ska innehålla de skäl som beslutet grundas på. Innan beslut fattas ska myndigheterna samråda med varandra om behovet av utökad riktad lagring. I brådskande fall, eller om samråd är olämpligt av sekretesskäl, får beslut fattas utan samråd. Om det behövs, ska samråd äga rum även med andra myndigheter.

Den beslutande myndigheten ska underrätta Säkerhets- och integritetsskyddsnämnden om beslutet och skälen för detta senast en vecka efter det att beslutet fattades.

8 § Ett beslut om utökad riktad lagring får gälla

1. högst ett år om beslutet avser ett område enligt 5 § första stycket 1,

2. högst tre år om beslutet avser en skyddsvärd plats enligt 5 § första stycket 2,

3. högst ett år om beslutet avser en person enligt 5 § första stycket 3 och 4, och

4. högst ett år om beslutet avser utrustnings- eller abonnemangsidentitet enligt 5 § första stycket 5.

Om det föreligger ett fortsatt behov av lagring, får lagringsskyldigheten förlängas genom ett nytt beslut. Beslut om lagring enligt 5 § första stycket 3 och 4, får inte fattas senare än tre år efter det tvångsmedelsbeslutet meddelades eller den ålagda påföljden till fullo har verkställts.

9 § Ett beslut om utökad riktad lagring får fattas endast när det är absolut nödvändigt för att bekämpa grov brottslighet. Beslutet ska begränsas till vad som är absolut nödvändigt för syftet med lagringen i fråga om

1. vilka tillhandahållare som ska omfattas av lagringsskyldigheten, 2. beslutets giltighetstid, och

3. vilka typer av uppgifter som ska omfattas av lagringsskyldigheten.

10 § Om det inte längre finns skäl för utökad riktad lagring, ska beslutet upphävas av den myndighet som har fattat beslutet.

11 § Polismyndighetens, Säkerhetspolisens och Tullverkets beslut enligt denna lag får inte överklagas.

Denna lag träder i kraft den 1 juli 2025.

1.4 Förslag till lag om ändring i lagen (2007:980) om tillsyn över viss brottsbekämpande verksamhet

Härigenom föreskrivs i fråga om lagen (2007:980) om tillsyn över viss brottsbekämpande verksamhet att 1 § ska ha följande lydelse.

1 §

Säkerhets- och integritetsskyddsnämnden (nämnden) ska utöva

1. brottsbekämpande myndigheters användning av hemliga tvångs-

medel och kvalificerade skyddsidentiteter,

2. Säkerhetspolisens användning av hemliga tvångsmedel vid sär-

skild kontroll av vissa utlänningar, och

3. därmed sammanhängande verksamhet.

Nämnden ska även utöva tillsyn över den behandling av person-

uppgifter som utförs av Polismyndigheten, Säkerhetspolisen och Eko-

brottsmyndigheten enligt brottsdatalagen (2018:1177) och lagen

(2018:1693) om polisens behandling av personuppgifter inom brotts-

datalagens område för de syften som anges i 1 kap. 1 § i den sistnämnda

lagen, och lagen (2019:1182) om Säkerhetspolisens behandling av

personuppgifter. Tillsynen ska särskilt avse behandling enligt 2 kap.

11 § brottsdatalagen och 2 kap. 9 § lagen om Säkerhetspolisens behand-

Senaste lydelse 2022:707.

munikation i syfte att bekämpa grov

brottslighet.

Tillsynen ska särskilt syfta till att säkerställa att verksamhet enligt första-tredje styckena bedrivs i enlighet med lag eller annan författning.

Denna lag träder i kraft den 1 juli 2025.

1.5 Förslag till lag om ändring i offentlighetsoch sekretesslagen (2009:400)

Härigenom föreskrivs i fråga om offentlighets- och sekretesslagen (2009:400) att 10 kap. 10 §, 18 kap. 19 §, 29 kap. 2 §, 35 kap. 1 och 24 §§, och 44 kap. 4 och 5 §§ ska ha följande lydelse.

10 kap.

10 §

Sekretess hindrar inte att den som är knuten till en myndighet på

det sätt som anges i 2 kap. 1 § andra stycket och som är misstänkt

för brott eller mot vilken rättegång eller annat jämförbart rättsligt

förfarande har inletts, lämnar uppgift till sitt ombud eller biträde i

saken eller till någon annan enskild, om det behövs för att han eller

Sekretess hindrar inte att uppgift i ett ärende hos domstol eller i

ett beslut i ett sådant ärende lämnas till ett offentligt ombud enligt

rättegångsbalken eller till ett integritetsskyddsombud enligt lagen

(2009:966) om Försvarsunderrättelsedomstol.

18 kap.

19 §

Den tystnadsplikt som följer av 5–8, 9 och 10 §§, 11 § första

stycket och 12 och 13 §§ inskränker rätten enligt 1 kap. 1 och 7 §§

tryckfrihetsförordningen och 1 kap. 1 och 10 §§ yttrandefrihetsgrund-

lagen att meddela och offentliggöra uppgifter.

Senaste lydelse 2009:1020. Senaste lydelse 2020:66.

meddela och offentliggöra upp- meddela och offentliggöra uppgifter, när det är fråga om uppgift gifter, när det är fråga om uppgift om kvarhållande av försändelse om kvarhållande av försändelse på befordringsföretag, hemlig av- på befordringsföretag, hemlig avlyssning av elektronisk kommu- lyssning av elektronisk kommunikation, hemlig övervakning av nikation, hemlig övervakning av elektronisk kommunikation, hem- elektronisk kommunikation, hemlig kameraövervakning, hemlig lig kameraövervakning, hemlig rumsavlyssning eller hemlig data- rumsavlyssning, hemlig dataavläsning på grund av beslut av avläsning på grund av beslut av domstol, undersökningsledare eller domstol, undersökningsledare eller åklagare eller inhämtning av upp- åklagare eller inhämtning av uppgifter enligt lagen (2012:278) om gifter enligt lagen (2012:278) om inhämtning av uppgifter om elek- inhämtning av uppgifter om elektronisk kommunikation i de tronisk kommunikation i de brottsbekämpande myndigheter- brottsbekämpande myndigheternas underrättelseverksamhet. nas underrättelseverksamhet,

nationell säkerhetslagring enligt lagen (2025:000) om lagring av och åtkomst till uppgifter om elektronisk kommunikation i syfte att skydda Sveriges säkerhet, eller utökad riktad lagring enligt lagen (2025:000) om lagring av uppgifter om elektronisk kommunikation i

syfte att bekämpa grov brottslighet.

Den tystnadsplikt som följer av 17 § inskränker rätten att meddela och offentliggöra uppgifter, när det är fråga om uppgift om kvarhållande av försändelse på befordringsföretag, hemlig avlyssning av elektronisk kommunikation, hemlig övervakning av elektronisk kommunikation, hemlig kameraövervakning, hemlig rumsavlyssning eller hemlig dataavläsning på grund av beslut av domstol eller åklagare.

Att den tystnadsplikt som följer av 1–3 §§ i vissa fall inskränker rätten att meddela och offentliggöra uppgifter utöver det som anges i andra stycket följer av 7 kap. 10 §, 12–18 §§, 20 § 3 och 22 § första stycket 1 och andra stycket tryckfrihetsförordningen samt 5 kap. 1 § och 4 § första stycket 1 och andra stycket yttrandefrihetsgrundlagen.

29 kap.

2 §

Sekretess gäller hos en myn- Sekretess gäller hos en myndighet som tillhandahåller ett dighet som tillhandahåller ett elektroniskt kommunikationsnät elektroniskt kommunikationsnät eller en elektronisk kommunika- eller en elektronisk kommunikationstjänst för uppgift om inne- tionstjänst för uppgift om innehållet i ett elektroniskt medde- hållet i ett elektroniskt medde-

lande eller annan uppgift som lande eller trafikuppgift. Om

angår ett särskilt elektroniskt med- sekretess inte följer av någon delande. Om sekretess inte följer annan bestämmelse, får dock av någon annan bestämmelse, får sådan uppgift lämnas till den som dock sådan uppgift lämnas till har tagit del i utväxlingen av ett den som har tagit del i utväx- elektroniskt meddelande eller som lingen av ett elektroniskt med- på något annat sätt har sänt eller delande eller som på något annat tagit emot ett sådant meddelande. sätt har sänt eller tagit emot ett Detsamma gäller innehavaren av sådant meddelande. Detsamma ett abonnemang som använts för gäller innehavaren av ett abonne- ett elektroniskt meddelande när mang som använts för ett elek- det är fråga om uppgift om något troniskt meddelande när det är annat än innehållet i meddelandet. fråga om uppgift om något annat än innehållet i meddelandet.

35 kap.

1 §

Sekretess gäller för uppgift om en enskilds personliga och ekonomiska förhållanden, om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till honom eller henne lider skada eller men och uppgiften förekommer i

1. utredning enligt bestämmelserna om förundersökning i brottmål,

2. angelägenhet som avser användning av tvångsmedel i brottmål eller i annan verksamhet för att förebygga brott,

3. angelägenhet som avser säkerhetsprövning enligt säkerhetsskyddslagen (2018:585),

3 Senaste lydelse 2012:288. 4 Senaste lydelse 2019:1184.

4. annan verksamhet som syftar till att förebygga, uppdaga, utreda eller beivra brott eller verkställa uppbörd och som bedrivs av en åklagarmyndighet, Polismyndigheten, Säkerhetspolisen, Skatteverket, Tullverket eller Kustbevakningen,

5. register som förs av Polismyndigheten enligt 5 kap. lagen (2018:1693) om polisens behandling av personuppgifter inom brottsdatalagens område eller som annars behandlas med stöd av de bestämmelserna, eller uppgifter som behandlas av Säkerhetspolisen eller Polismyndigheten med stöd av lagen (2019:1182) om Säkerhetspolisens behandling av personuppgifter,

6. register som förs enligt lagen (1998:621) om misstankeregister,

7. register som förs av Skatteverket enligt lagen (2018:1696) om Skatteverkets behandling av personuppgifter inom brottsdatalagens område eller som annars behandlas där med stöd av samma lag,

8. särskilt ärenderegister över 8. särskilt ärenderegister över brottmål som förs av åklagarmyn- brottmål som förs av åklagarmyndighet, om uppgiften inte hänför dighet, om uppgiften inte hänför sig till registrering som avses i sig till registrering som avses i 5 kap. 1 §, eller 5 kap. 1 §,

9. register som förs av Tull- 9. register som förs av Tullverket enligt lagen (2018:1694) verket enligt lagen (2018:1694) om Tullverkets behandling av om Tullverkets behandling av personuppgifter inom brottsdata- personuppgifter inom brottsdatalagens område eller som annars lagens område eller som annars behandlas där med stöd av samma behandlas där med stöd av samma lag. lag,

10. angelägenhet som avser nationell säkerhetslagring enligt lagen (2025:000) om lagring av och åtkomst till uppgifter om elektronisk kommunikation i syfte att skydda Sveriges säkerhet, eller 11. angelägenhet som avser utökad riktad lagring lagen (2025:000) om lagring av uppgifter om elektronisk kommunikation i syfte att bekämpa grov

brottslighet.

Sekretessen enligt första stycket 2 gäller hos domstol i dess rättskipande eller rättsvårdande verksamhet endast om det kan antas att den enskilde eller någon närstående till honom eller henne lider skada eller men om uppgiften röjs. Vid förhandling om användning av tvångsmedel gäller sekretess för uppgift om vem som är misstänkt endast om det kan antas att fara uppkommer för att den misstänkte eller någon närstående till honom eller henne utsätts för våld eller lider annat allvarligt men om uppgiften röjs.

Första stycket gäller inte om annat följer av 2, 6 eller 7 §.

För uppgift i en allmän handling gäller sekretessen i högst sjuttio år.

24 §

Den tystnadsplikt som följer Den tystnadsplikt som följer av 11 § och den tystnadsplikt som av 1 § 10 och 11, 11 § och den följer av ett förbehåll som har tystnadsplikt som följer av ett förgjorts med stöd av 9 § andra behåll som har gjorts med stöd av stycket inskränker rätten enligt 9 § andra stycket inskränker rät- 1 kap. 1 och 7 §§ tryckfrihets- ten enligt 1 kap. 1 och 7 §§ tryckförordningen och 1 kap. 1 och frihetsförordningen och 1 kap. 1 10 §§ yttrandefrihetsgrundlagen och 10 §§ yttrandefrihetsgrundatt meddela och offentliggöra lagen att meddela och offentliguppgifter. göra uppgifter.

Den tystnadsplikt som följer av 15 och 16 §§ inskränker rätten att meddela och offentliggöra uppgifter, när det är fråga om uppgift vars röjande kan antas medföra fara för att någon utsätts för våld eller lider annat allvarligt men.

44 kap.

4 §

Rätten enligt 1 kap. 1 och 7 §§ tryckfrihetsförordningen och 1 kap. 1 och 10 §§ yttrandefrihetsgrundlagen att meddela och offentliggöra uppgifter inskränks av den tystnadsplikt som följer av

1. 2 kap. 14 § första stycket 1 och 3–5 postlagen (2010:1045),

2. 9 kap. 31 § lagen (2022:482) om elektronisk kommunikation, när det är fråga om uppgift om innehållet i ett elektroniskt meddelande eller som annars rör ett särskilt sådant meddelande, och

5 Senaste lydelse 2018:1919. 6 Senaste lydelse 2022:1495.

3. 9 kap. 32 § lagen om elektro- 3. 9 kap. 32 § lagen om elektronisk kommunikation, när det är nisk kommunikation, när det är fråga om uppgift om kvarhållande fråga om uppgift om kvarhållande av försändelse på befordrings- av försändelse på befordringsföretag, om hemlig avlyssning av företag, om hemlig avlyssning av elektronisk kommunikation eller elektronisk kommunikation eller hemlig övervakning av elektronisk hemlig övervakning av elektronisk kommunikation på grund av be- kommunikation på grund av beslut av domstol, undersöknings- slut av domstol, undersökningsledare eller åklagare eller om in- ledare eller åklagare, om inhämtning av uppgifter enligt lagen hämtning av uppgifter enligt lagen (2012:278) om inhämtning av (2012:278) om inhämtning av uppgifter om elektronisk kom- uppgifter om elektronisk kommunikation i de brottsbekämpande munikation i de brottsbekämpande myndigheternas underrättelse- myndigheternas underrättelse-

verksamhet. verksamhet, om nationell säkerhetslagring enligt lagen (2025:000) om lagring av och åtkomst till uppgifter om elektronisk kommunikation i

syfte att skydda Sveriges säkerhet,

eller om utökad riktad lagring enligt lagen (2025:000) om lagring av uppgifter om elektronisk kommunikation i syfte att bekämpa grov

brottslighet.

5 §

Rätten enligt 1 kap. 1 och 7 §§ tryckfrihetsförordningen och 1 kap. 1 och 10 §§ yttrandefrihetsgrundlagen att meddela och offentliggöra uppgifter inskränks av den tystnadsplikt som följer

1. av beslut som har meddelats med stöd av 7 § lagen (1999:988) om förhör m.m. hos kommissionen för granskning av de svenska säkerhetstjänsternas författningsskyddande verksamhet,

2. av 7 kap. 1 § 1 lagen (2006:544) om kommuners och regioners åtgärder inför och vid extraordinära händelser i fredstid och höjd beredskap,

3. av 4 kap. 16 § försäkringsrörelselagen (2010:2043),

7 Senaste lydelse 2022:1495.

4. av 5 kap. 15 § lagen (1998:293) om utländska försäkringsgivares och tjänstepensionsinstituts verksamhet i Sverige,

5. av 32 § lagen (2020:62) om hemlig dataavläsning,

6. av 11 a § lagen (1996:701) 6. av 11 a § lagen (1996:701) om Tullverkets befogenheter vid om Tullverkets befogenheter vid Sveriges gräns mot ett annat land Sveriges gräns mot ett annat land inom Europeiska unionen, och inom Europeiska unionen,

7. av 4 kap. 23 a § tullagen 7. av 4 kap. 23 a § tullagen (2016:253). (2016:253), och

8. av 7 § lagen (2025:000) om lagring av och åtkomst till uppgifter om elektronisk kommunikation

i syfte att skydda Sveriges säkerhet.

Denna lag träder i kraft den 1 juli 2025.

1.6 Förslag till lag om ändring i lagen (2012:278) om inhämtning av uppgifter om elektronisk kommunikation i de brottsbekämpande myndigheternas underrättelseverksamhet

Härigenom föreskrivs att 1 § lagen (2012:278) om inhämtning av uppgifter om elektronisk kommunikation i de brottsbekämpande myndigheternas underrättelseverksamhet ska ha följande lydelse.

1 §

1. meddelanden som i ett elektroniskt kommunikationsnät har överförts till eller från ett telefonnummer eller annan adress,

2. vilka elektroniska kommunikationsutrustningar som har funnits inom ett visst geografiskt område, eller

3. i vilket geografiskt område en viss elektronisk kommunikationsutrustning finns eller har funnits.

Denna lag träder i kraft den 1 juli 2025.

1 Senaste lydelse 2022:501.

1.7 Förslag till lag om ändring i lagen (2022:482) om elektronisk kommunikation

Härigenom föreskrivs i fråga om lagen (2022:482) om elektronisk kommunikation

dels att 9 kap. 20 § ska upphöra att gälla,

dels att 8 kap. 5 §, 9 kap. 1, 10, 19, 21–23, 29–29 b, 31–33 §§ och 12 kap. 1 § ska ha följande lydelse,

dels att det ska införas fem nya paragrafer, 9 kap. 19 a–e §§ och närmast före 9 kap. 19–23 §§ nya rubriker av följande lydelse.

8 kap.

5 §

Den som enligt 9 kap. 19 § är skyldig att lagra uppgifter ska vidta

de särskilda tekniska och organisatoriska åtgärder som behövs för

att skydda de lagrade uppgifterna vid behandling.

Regeringen eller den myndighet som regeringen bestämmer får

meddela föreskrifter om sådana skyddsåtgärder.

9 kap.

1 §

Den som tillhandahåller ett allmänt elektroniskt kommunikations-

nät eller en allmänt tillgänglig elektronisk kommunikationstjänst ska

utplåna eller avidentifiera trafikuppgifter som har lagrats eller be-

handlats på något annat sätt när de inte längre behövs för överföring

av ett elektroniskt meddelande. Detta gäller under förutsättning att

uppgifterna avser användare som är fysiska personer eller abonnenter.

Senaste lydelse av 20 § 2022:482. Senaste lydelse 2022:1086. Senaste lydelse 2022:482.

Första stycket avser inte upp- Första stycket avser inte uppgifter som sparas för sådan be- gifter som sparas för sådan behandling som anges i 2, 15, 19 handling som anges i 2, 15, 19 b– eller 21 § eller om uppgifterna 19 d eller 21 § eller om uppgifterna behövs för en sådan behandling behövs för en sådan behandling som är tillåten enligt Europaparla- som är tillåten enligt Europaparlamentets och rådets förordning mentets och rådets förordning (EU) 2021/1232 av den 14 juli (EU) 2021/1232 av den 14 juli 2021 om ett tillfälligt undantag 2021 om ett tillfälligt undantag från vissa bestämmelser i direktiv från vissa bestämmelser i direktiv 2002/58/EG vad gäller använd- 2002/58/EG vad gäller användning av teknik hos tillhandahållare ning av teknik hos tillhandahållare av nummeroberoende interper- av nummeroberoende interpersonella kommunikationstjänster sonella kommunikationstjänster för behandling av personuppgif- för behandling av personuppgifter och andra uppgifter i syfte att ter och andra uppgifter i syfte att bekämpa sexuella övergrepp mot bekämpa sexuella övergrepp mot barn på nätet barn på nätet.

10 §

Lokaliseringsuppgifter som ska lagras enligt 19 b–19 d §§ får be-

handlas trots 7–9 §§.

Lokaliseringsuppgifter som omfattas av ett beslut om inhämtning av uppgifter enligt 27 kap. rättegångsbalken, eller lagen (2012:278) om inhämtning av uppgifter om elektronisk kommunikation i de brottsbekämpande myndigheternas underrättelseverksamhet får behandlas trots 7–9 §§.

4 Senaste lydelse 2022:482.

Lagring och annan behandling Lagringsskyldiga och tjänster som av trafikuppgifter m.m. för omfattas av lagringsskyldighet brottsbekämpande ändamål

19 §

Den som bedriver verksamhet Den som bedriver verksamhet som ska anmälas enligt 2 kap. 1 § som ska anmälas enligt 2 kap. 1 § ska lagra sådana uppgifter som och den som tillhandahåller en avses i 31 § första stycket 1 och 3 allmänt tillgänglig nummeroberosom är nödvändiga för att spåra ende interpersonell kommunikaoch identifiera kommunikations- tionstjänst ska utan dröjsmål lagra källan, slutmålet för kommunika- uppgifter enligt vad som anges i tionen, datum, tidpunkt och var- 19 a–19 d §§.

aktighet för kommunikationen, typ av kommunikation, kommunikationsutrustning samt lokalisering av mobil kommunikationsutrustning vid kommunikationens början

och slut.

Lagringsskyldigheten omfattar För den som bedriver verksam-

uppgifter som genereras eller be- het som ska anmälas enligt 2 kap. handlas vid 1 § omfattar lagringsskyldigheten

uppgifter som genereras eller be-

handlas vid tjänster som tillhandahåller

1. telefonitjänst eller medde- 1. telefonitjänst eller medde-

landehantering via mobil nätan- landehantering, eller

slutningspunkt, eller

2. internetåtkomst.

Även vid misslyckad uppring- För den som tillhandahåller en

ning gäller skyldigheten att lagra allmänt tillgänglig nummeroberouppgifter som genereras eller be- ende interpersonell kommunikahandlas. För telefonitjänst gäller tionstjänst omfattar lagringsskyllagringsskyldigheten inte uppgift om digheten uppgifter som genereras nummer som ett samtal styrts till. eller behandlas vid tjänster som

tillhandahåller samtal och meddelandehantering vid sådan kom-

5 Senaste lydelse 2022:482.

munikation som sker till, från eller

inom Sverige. Den som enligt denna paragraf ska lagra uppgifter får uppdra åt någon annan att utföra lagringen.

Lagring av uppgift om abonnemang

19 a § Den som är skyldig att lagra uppgifter enligt 19 § ska lagra sådana uppgifter som avses i 31 § första stycket 1 som kan användas för att identifiera en abonnent och

registrerad användare.

Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om vilka uppgifter som ska lagras enligt första

stycket.

Nationell säkerhetslagring

19 b § Den som är skyldig att lagra uppgifter enligt 19 § ska lagra de uppgifter som framgår av ett föreläggande enligt 2 § lagen (2025:000) om lagring av och åtkomst till uppgifter om elektronisk kommunikation i syfte att skydda Sveriges säkerhet. Ett sådant föreläggande får omfatta sådana uppgifter som avses i 31 § första stycket 1, 3 och

4 som är nödvändiga för att spåra och identifiera kommunikationskällan och slutmålet för kommunikationen, datum, tidpunkt och

varaktighet för kommunikationen,

typ av kommunikation, kommunikationsutrustning, lokalisering av kommunikationsutrustning vid kommunikationen samt lokaliseringsuppgifter som inte är trafikupp-

gifter.

Geografiskt riktad lagring

19 c § Den som är skyldig att lagra uppgifter enligt 19 § ska i de kommuner som föreskrivs enligt 4 § lagen (2025:000) om lagring av uppgifter om elektronisk kommunikation i syfte att bekämpa grov brottslighet lagra sådana uppgifter som

anges i 19 b §.

Utökad riktad lagring

19 d § Den som är skyldig att lagra uppgifter enligt 19 § ska lagra de uppgifter som framgår av ett beslut enligt 5 § lagen (2025:000) om lagring av uppgifter om elektronisk kommunikation i syfte att bekämpa grov brottslighet. Ett sådant beslut får omfatta sådana uppgifter som

anges i 19 b §.

Lagringsskyldighet vid misslyckad uppringning

19 e § Lagringsskyldigheten enligt 19 c § ska även omfatta uppgifter som genereras eller behandlas vid miss-

lyckad uppringning. Sådana uppgifter får även lagras enligt 19 b och

19 d §§.

21 §

Behandling av trafikoch lokaliseringsuppgifter

Uppgifter som har lagrats en- Uppgifter som har lagrats enligt 19 § får behandlas endast för ligt 19 c och d §§ får behandlas att lämnas ut enligt endast för att lämnas ut enligt

1. 33 § första stycket 2 eller 5, 2. 27 kap. 19 § rättegångsbalken, eller

3. lagen (2012:278) om inhämtning av uppgifter om elektronisk kommunikation i de brottsbekämpande myndigheternas underrättelseverksamhet.

Uppgifter som har lagrats enligt

19 b § får behandlas enbart för att lämnas ut enligt 11 § lagen (2025:000) om lagring av och åtkomst till uppgifter om elektronisk kommunikation i syfte att

skydda Sveriges säkerhet.

22 §

Lagringstider

Uppgifter som avses i 19 § Uppgifter som avses i 19 a–

ska lagras enligt följande: d §§ ska lagras enligt följande.

– Uppgifter som genereras eller – Uppgifterna som avses i

behandlas vid telefonitjänst och 19 a § ska lagras till dess att ett år meddelandehantering via mobil har förflutit sedan abonnemanget nätanslutningspunkt ska lagras i upphörde eller tilldelningen av en sex månader. Lokaliseringsuppgifter tillfällig identifierare upphörde. ska dock lagras i endast två månader. – Uppgifter som avses i 19 b §

– Uppgifter som genereras eller ska lagras i två år.

behandlas vid internetåtkomst ska

6 Senaste lydelse 2022:482. 7 Senaste lydelse 2022:482.

lagras i tio månader. Om uppgif- – Uppgifter som avses i 19 c och terna identifierar den utrustning 19 d §§ ska lagras i ett år.

där kommunikationen slutligt avskiljs från den lagringsskyldige till den enskilda abonnenten, ska de

dock lagras i endast sex månader.

Lagringstiden räknas från den Lagringstiden räknas från den dag kommunikationen avslutades. dag kommunikationen avslutades.

Om uppgift saknas om när kommunikationen avslutades, ska lagringstiden räknas från den dag då uppgifterna genererades. Beträffande lokaliseringsuppgift som inte är trafikuppgift räknas lagringstiden från

den dag då uppgiften genererades.

Vid meddelandehantering via en allmänt tillgänglig nummeroberoende interpersonell kommunikationstjänst räknas lagringstiden

från den dag meddelandet skickades.

När lagringstiden har löpt ut ska den lagringsskyldige genast utplåna uppgifterna. Om en begäran om utlämnande i fall som avses i 21 § har kommit in eller ett föreläggande enligt 27 kap. 16 § rättegångsbalken att bevara en viss lagrad uppgift har meddelats innan lagringstiden löpt ut, ska den lagringsskyldige dock fortsätta lagra uppgifterna till dess att de har lämnats ut eller tiden för bevarande har löpt ut. Därefter ska uppgifterna genast utplånas.

23 §

Upplysning om verkställighetsföreskrifter

Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela närmare föreskrifter om

1. vilka uppgifter som ska lag- 1. vilka uppgifter som ska lag-

ras enligt 19 §, och ras enligt 19 b–19 d §§, och

2. lagringstiden enligt 22 § 2. lagringstiden enligt 22 § första stycket. första, andra och tredje stycket.

8 Senaste lydelse 2022:1086.

29 §

En verksamhet ska bedrivas så Den som är skyldig att lagra

att beslut om hemlig avlyssning uppgifter enligt 19 § ska bedriva av elektronisk kommunikation sin verksamhet så att beslut om och hemlig övervakning av elek- hemlig avlyssning av elektronisk tronisk kommunikation kan verk- kommunikation, hemlig övervakställas och så att verkställandet ning av elektronisk kommunikainte röjs, om verksamheten avser tion och inhämtning enligt lagen

tillhandahållande av (2012:278) om inhämtning av upp-

1. ett allmänt elektroniskt kom- gifter om elektronisk kommunikamunikationsnät som inte enbart är tion i de brottsbekämpande myndigavsett för utsändning till allmän- heternas underrättelseverksamhet heten av program som avses i 1 kap. kan verkställas och så att verk- 2 § yttrandefrihetsgrundlagen, eller ställandet inte röjs.

2. tjänster inom ett allmänt elektroniskt kommunikationsnät som består av a) en allmänt tillgänglig telefonitjänst till en fast nätanslutningspunkt som medger överföring av lokala, nationella och internationella samtal, telefax och datakommunikation med en sådan lägsta datahastighet som medger funktionell tillgång till internet, eller b) en allmänt tillgänglig elektronisk kommunikationstjänst till

en mobil nätanslutningspunkt.

Första stycket gäller inte vid tillhandahållande av maskin-till-

maskin-tjänster.

Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela närmare föreskrifter om frågor som avses i första stycket samt får i enskilda fall besluta om undantag från kravet i första stycket.

9 Senaste lydelse 2022:1086.

29 a §

Den som bedriver verksamhet Den som är skyldig att lagra som ska anmälas enligt 2 kap. 1 § uppgifter enligt 19 § har rätt till har rätt till ersättning för kost- ersättning för kostnader som nader som uppstår när uppgifter uppstår när uppgifter som avses i som avses i 31 § första stycket 31 § första stycket lämnas ut lämnas ut till Ekobrottsmyndig- till Ekobrottsmyndigheten, Polisheten, Polismyndigheten, Säker- myndigheten, Säkerhetspolisen, hetspolisen, Tullverket, Åklagar- Tullverket, Åklagarmyndigheten myndigheten eller någon annan eller någon annan myndighet myndighet som ska ingripa mot som ska ingripa mot brott. I de brott. I de fall det är särskilt före- fall det är särskilt föreskrivet ska skrivet ska ersättningen beräknas ersättningen beräknas enligt schaenligt schablon. Ersättningen ska blon. Ersättningen ska betalas av betalas av den myndighet som den myndighet som har begärt har begärt uppgifterna. uppgifterna.

Första stycket gäller även lokaliseringsuppgifter som inte är trafik-

uppgifter.

Regeringen eller den myndighet som regeringen bestämmer får meddela ytterligare föreskrifter om ersättningen och schablonberäkningen.

29 b §

När den som bedriver verksam- När den som är skyldig att lagra het som ska anmälas enligt 2 kap. uppgifter enligt 19 § lämnar ut 1 § lämnar ut uppgifter som avses uppgifter som avses i 31 § första i 31 § första stycket till Ekobrotts- stycket till Ekobrottsmyndigheten, myndigheten, Polismyndigheten, Polismyndigheten, Säkerhetspoli- Säkerhetspolisen, Tullverket, Åkla- sen, Tullverket, Åklagarmyndiggarmyndigheten eller någon annan heten eller någon annan myndigmyndighet som ska ingripa mot het som ska ingripa mot brott, brott, ska utlämnandet, om upp- ska utlämnandet, om uppgifterna gifterna gäller brottslig verksam- gäller brottslig verksamhet eller het eller misstanke om brott, göras misstanke om brott, göras utan utan dröjsmål och på ett sådant dröjsmål och på ett sådant sätt sätt att utlämnandet inte röjs. att utlämnandet inte röjs.

10 Senaste lydelse 2022:1086. 11 Senaste lydelse 2022:1086.

Uppgifterna ska ordnas och göras tillgängliga i ett format som gör att de enkelt kan tas om hand.

Första och andra styckena gäller även lokaliseringsuppgifter som inte

är trafikuppgifter.

Tillsynsmyndigheten får i enskilda fall besluta om undantag från kravet i andra stycket, om det finns särskilda skäl för det.

Regeringen eller den myndighet som regeringen bestämmer får meddela ytterligare föreskrifter om hur uppgifterna ska lämnas ut.

31 §

Den som tillhandahåller ett Den som tillhandahåller ett elektroniskt kommunikationsnät elektroniskt kommunikationsnät eller en elektronisk kommunika- eller en elektronisk kommunikationstjänst som inte är en num- tionstjänst, får inte obehörigen meroberoende interpersonell kom- föra vidare eller utnyttja det som munikationstjänst, får inte obehö- han eller hon i samband med rigen föra vidare eller utnyttja tillhandahållandet har fått del av det som han eller hon i samband eller tillgång till i form av med tillhandahållandet har fått del av eller tillgång till i form av

1. en uppgift om abonnemang,

2. innehållet i ett elektroniskt 2. innehållet i ett elektroniskt meddelande, eller meddelande,

3. en annan uppgift som angår 3. en trafikuppgift, eller

ett särskilt elektroniskt meddelande. 4. en lokaliseringsuppgift som

inte är en trafikuppgift och som rör användare som är fysiska personer

eller abonnenter.

För tillhandahållare av nummeroberoende interpersonella kommunikationstjänster gäller tystnadsplikten enligt första stycket endast vid sådan kommunikation som sker till, från eller inom Sverige samt för lokaliseringsuppgifter i

Sverige som inte är trafikuppgifter.

12

Senaste lydelse 2022:482.

Tystnadsplikt som följer av första stycket gäller inte i förhållande till den som har tagit del i utväxlingen av ett elektroniskt meddelande eller som på något annat sätt har sänt eller tagit emot ett sådant meddelande.

Tystnadsplikt som följer av Tystnadsplikt som följer av första stycket 1 och 3 gäller inte första stycket 1, 3 och 4 gäller heller i förhållande till innehava- inte heller i förhållande till inneren av ett abonnemang som har havaren av abonnemanget.

använts för ett elektroniskt med-

delande.

32 §

Tystnadsplikt som följer av 31 § första stycket gäller även för en uppgift som hänför sig till

1. en åtgärd att med stöd av 27 kap. 9 § rättegångsbalken hålla kvar försändelser,

2. en angelägenhet som avser användning av hemlig avlyssning av elektronisk kommunikation eller hemlig övervakning av elektronisk kommunikation enligt 27 kap. 18 eller 19 § rättegångsbalken eller som gäller tekniskt bistånd med hemlig avlyssning av elektronisk kommunikation eller med hemlig övervakning av elektronisk kommunikation enligt 4 kap. 25 b § lagen (2000:562) om internationell rättslig hjälp i brottmål,

3. en angelägenhet som avser inhämtning av signaler i elektronisk form enligt lagen (2008:717) om signalspaning i försvarsunderrättelseverksamhet,

4. inhämtning av uppgifter enligt lagen (2012:278) om inhämtning av uppgifter om elektronisk kommunikation i de brottsbekämpande myndigheternas underrättelseverksamhet,

5. en begäran enligt 33 § första stycket 2 om att en uppgift om abonnemang ska lämnas,

6. ett föreläggande enligt 6. ett föreläggande enligt 27 kap. 16 § rättegångsbalken att 27 kap. 16 § rättegångsbalken att bevara en viss lagrad uppgift, eller bevara en viss lagrad uppgift,

7. en begäran enligt 33 § första 7. en begäran enligt 33 § första stycket 5 om att en uppgift om stycket 5 om att en uppgift om tillhandahållare av elektroniska tillhandahållare av elektroniska kommunikationsnät eller elektro- kommunikationsnät eller elektro-

13 Senaste lydelse 2022:482.

niska kommunikationstjänster ska niska kommunikationstjänster ska lämnas. lämnas,

8. en angelägenhet som avser nationell säkerhetslagring enligt lagen (2025:000) om lagring av och åtkomst till uppgifter om elektronisk kommunikation i syfte att skydda Sveriges säkerhet, eller 9. en angelägenhet som avser utökad riktad lagring enligt lagen (2025:000) om lagring av uppgifter om elektronisk kommunikation i syfte att bekämpa grov brotts-

lighet.

33 §

Den som tillhandahåller ett Den som tillhandahåller ett elektroniskt kommunikationsnät elektroniskt kommunikationsnät eller en elektronisk kommunika- eller en elektronisk kommunikationstjänst som inte är en num- tionstjänst och som har fått del meroberoende interpersonell kom- av eller tillgång till en uppgift som munikationstjänst och som har avses i 31 § första stycket ska på fått del av eller tillgång till en upp- begäran lämna gift som avses i 31 § första stycket ska på begäran lämna

1. en uppgift som avses i 31 § första stycket 1 till

a) en myndighet som i ett särskilt fall behöver en sådan uppgift för delgivning enligt delgivningslagen (2010:1932), om myndigheten bedömer att det kan antas att den som söks för delgivning håller sig undan eller att det annars finns synnerliga skäl,

b) Finansinspektionen, om inspektionen bedömer att uppgiften är av väsentlig betydelse för utredningen av en misstänkt överträdelse av Europaparlamentets och rådets förordning (EU) nr 596/2014 av den 16 april 2014 om marknadsmissbruk (marknadsmissbruksförordning) och om upphävande av Europaparlamentets och rådets direktiv 2003/6/EG och kommissionens direktiv 2003/124/EG, 2003/125/EG och 2004/72/EG,

14

Senaste lydelse 2022:1086.

c) Finansinspektionen, om inspektionen bedömer att uppgiften är av väsentlig betydelse i ett ärende om tillsyn när det gäller någon av bestämmelserna i 4 a kap. 1–8 §§ lagen (2010:751) om betaltjänster eller 1 kap. 5 § eller 4 kap. 7, 8, 9, 10, 11 eller 14 § lagen (2016:1024) om verksamhet med bostadskrediter,

d) Konsumentombudsmannen, om ombudsmannen bedömer att uppgiften är av väsentlig betydelse i ett ärende om tillsyn enligt lagen (1994:1512) om avtalsvillkor i konsumentförhållanden eller marknadsföringslagen (2008:486), när det är fråga om en misstänkt överträdelse av unionslagstiftning som skyddar konsumenternas intressen enligt bilagan till Europaparlamentets och rådets förordning (EU) 2017/2394 av den 12 december 2017 om samarbete mellan de nationella myndigheter som har tillsynsansvar för konsumentskyddslagstiftningen och om upphävande av förordning (EG) nr 2006/2004,

e) Konsumentverket, om verket bedömer att uppgiften är av väsentlig betydelse i ett ärende om tillsyn enligt lagen (2019:59) med kompletterande bestämmelser till EU:s geoblockeringsförordning,

f) Kronofogdemyndigheten, om myndigheten behöver uppgiften i exekutiv verksamhet och myndigheten bedömer att uppgiften är av väsentlig betydelse för handläggningen av ett ärende,

g) Läkemedelsverket, om verket bedömer att uppgiften är av väsentlig betydelse i ett ärende om tillsyn när det gäller bestämmelserna om marknadsföring i 12 kap. läkemedelslagen (2015:315),

h) Polismyndigheten, om myndigheten bedömer att uppgiften behövs i samband med underrättelse, efterforskning eller identifiering vid olyckor eller dödsfall eller för att myndigheten ska kunna fullgöra en uppgift som avses i 12 § polislagen (1984:387),

i) Polismyndigheten eller en åklagarmyndighet, om myndigheten bedömer att uppgiften behövs i ett särskilt fall för att myndigheten ska kunna fullgöra en underrättelseskyldighet enligt 33 § lagen (1964:167) med särskilda bestämmelser om unga lagöverträdare, och

j) Skatteverket, om verket bedömer att uppgiften är av väsentlig betydelse för handläggningen av ett ärende som avser kontroll av skatt eller avgift eller rätt folkbokföringsort enligt folkbokföringslagen (1991:481),

2. en uppgift som avses i 31 § första stycket 1 och som gäller brottslig verksamhet eller misstanke om brott till Ekobrottsmyndigheten, Polismyndigheten, Säkerhetspolisen, Tullverket, Åklagarmyn-

digheten eller någon annan myndighet som ska ingripa mot brottet eller den brottsliga verksamheten,

3. en uppgift som avses i 31 § första stycket 1 eller 3 till en regional alarmeringscentral som avses i lagen (1981:1104) om verksamheten hos vissa regionala alarmeringscentraler,

4. en uppgift som avses i 31 § första stycket 1 eller 3 samt uppgift om i vilket geografiskt område en viss elektronisk kommunikationsutrustning finns eller har funnits till Polismyndigheten, om myndigheten bedömer att uppgiften behövs i samband med efterforskning av personer som har försvunnit under sådana omständigheter att det kan antas att det då fanns eller fortfarande finns fara för deras liv eller allvarlig risk för deras hälsa, och

5. en uppgift som avses i 31 § första stycket 3 om vilka övriga tillhandahållare av elektroniska kommunikationsnät eller elektroniska kommunikationstjänster som har deltagit vid överföringen av ett meddelande som omfattas av ett föreläggande enligt 27 kap. 16 § rättegångsbalken att bevara en viss lagrad uppgift till den myndighet som meddelat föreläggandet.

Ersättning för att lämna ut andra uppgifter enligt första stycket 3 än lokaliseringsuppgifter ska vara skälig med hänsyn till kostnaderna för utlämnandet.

12 kap.

1 §

Tillsynsmyndigheten ska ta ut en sanktionsavgift av den som

1. inte tillhandahåller en sammanfattning av avtalet i enlighet med 7 kap. 1 §, föreskrifter som har meddelats med stöd av den paragrafen och genomförandeakter som Europeiska kommissionen har meddelat med stöd av artikel 102.3 i direktiv (EU) 2018/1972, i den ursprungliga lydelsen,

2. inte tillämpar villkor om bindningstid och uppsägningstid i enlighet med 7 kap. 8, 13 eller 14 §,

3. inte uppfyller kraven på nummerportabilitet i enlighet med 7 kap. 19 och 20 §§ och föreskrifter om nummerportabilitet som har meddelats med stöd av 7 kap. 21 § första stycket,

4. inte vidtar åtgärder för att hantera risker som hotar säkerheten i nät och tjänster i enlighet med 8 kap. 1 §, föreskrifter som har meddelats med stöd av den paragrafen och genomförandeakter som

15

Senaste lydelse 2022:1086.

Europeiska kommissionen har meddelat med stöd av artikel 40.5 i direktiv (EU) 2018/1972, i den ursprungliga lydelsen,

5. inte rapporterar om säkerhetsincidenter i enlighet med 8 kap. 3 §, föreskrifter som har meddelats med stöd av den paragrafen och genomförandeakter som Europeiska kommissionen har meddelat med stöd av artikel 40.5 i direktiv (EU) 2018/1972, i den ursprungliga lydelsen,

6. inte informerar om hot om säkerhetsincidenter i enlighet med 8 kap. 4 §, föreskrifter som har meddelats med stöd av den paragrafen och genomförandeakter som Europeiska kommissionen har meddelat med stöd av artikel 40.5 i direktiv (EU) 2018/1972, i den ursprungliga lydelsen,

7. inte vidtar skyddsåtgärder enligt 8 kap. 5 § och föreskrifter som har meddelats med stöd av den paragrafen,

8. inte vidtar åtgärder för att säkerställa skydd av uppgifter som behandlas i samband med tillhandahållandet av en tjänst i enlighet med 8 kap. 6 § och föreskrifter som har meddelats med stöd av den paragrafen,

9. inte informerar abonnenten om särskilda risker för bristande skydd av behandlade uppgifter i enlighet med 8 kap. 7 §,

10. inte underrättar om integritetsincidenter i enlighet med 8 kap. 8 § och föreskrifter som har meddelats med stöd av den paragrafen,

11. inte behandlar uppgifter i ett elektroniskt meddelande eller trafikuppgifter som hör till detta meddelande i enlighet med 9 kap. 27 §,

12. inte bedriver sin verksam- 12. inte bedriver sin verksamhet så att beslut om hemlig av- het så att beslut om hemlig avlyssning av elektronisk kommu- lyssning av elektronisk kommunikation och hemlig övervakning nikation, hemlig övervakning av av elektronisk kommunikation elektronisk kommunikation och kan verkställas och så att verk- inhämtning enligt lagen (2012:278) ställandet inte röjs i enlighet med om inhämtning av uppgifter om 9 kap. 29 § första stycket och elektronisk kommunikation i de föreskrifter som har meddelats i brottsbekämpande myndigheternas anslutning till det stycket, underrättelseverksamhet kan verk-

ställas och så att verkställandet

inte röjs i enlighet med 9 kap.

29 § första stycket och föreskrif-

ter som har meddelats i anslut-

ning till det stycket,

13. inte ordnar uppgifter och gör dem tillgängliga i ett format som gör att de enkelt kan tas om hand i enlighet med 9 kap. 29 b § andra stycket och föreskrifter som har meddelats i anslutning till det stycket,

14. inte överför signaler till 14. inte överför signaler till samverkanspunkter i enlighet med samverkanspunkter i enlighet med 9 kap. 30 § och föreskrifter som 9 kap. 30 § och föreskrifter som har meddelats med stöd av den har meddelats med stöd av den paragrafen, eller paragrafen,

15. inte lämnar ut en uppgift i 15. inte lämnar ut en uppgift i

enlighet med 9 kap. 33 §. enlighet med 9 kap. 33 §, eller 16. inte lagrar uppgifter i enlighet med 9 kap. 19 a–d och 22 §§ och föreskrifter som har meddelats

i anslutning till dessa paragrafer.

En sanktionsavgift enligt första stycket 2 ska, när det är fråga om ett paket enligt 7 kap. 26 §, tas ut endast om överträdelsen avser en allmänt tillgänglig elektronisk kommunikationstjänst som inte är en nummeroberoende interpersonell kommunikationstjänst eller en överföringstjänst som används för tillhandahållande av maskin-tillmaskin-tjänster.

1. Denna lag träder i kraft den 1 juli 2025.

2. Uppgifter som lagrats enligt 9 kap. 19 § ska lagras enligt 9 kap. 22 § efter ikraftträdandet av denna lag.

1.8 Förslag till förordning om ändring i förordningen (2007:951) med instruktion för Post- och telestyrelsen

Härigenom föreskrivs i fråga om förordning om ändring i förordningen (2007:951) med instruktion för Post- och telestyrelsen att 4 § ska ha följande lydelse

4 §

Post- och telestyrelsen har till uppgift att

1. främja tillgången till säkra och effektiva elektroniska kommu-

nikationer, inbegripet att se till att samhällsomfattande tjänster finns

tillgängliga, och att främja tillgången till ett brett urval av elektroniska

2. främja utbyggnaden av och följa tillgången till bredband och

mobiltäckning i alla delar av landet, inbegripet att skapa förutsättningar

för samverkan mellan myndigheter som kan bidra till utbyggnaden

3. svara för att möjligheterna till radiokommunikation och andra

användningar av radiovågor utnyttjas effektivt,

4. svara för att nummer ur nationella nummerplaner utnyttjas på

5. främja en effektiv konkurrens,

6. övervaka pris- och tjänsteutvecklingen,

7. bedriva informationsverksamhet riktad till konsumenter,

8. följa utvecklingen när det gäller säkerhet vid elektronisk kom-

munikation och uppkomsten av eventuella miljö- och hälsorisker,

9. pröva frågor om tillstånd och skyldigheter, fastställa och analy-

sera marknader samt utöva tillsyn och pröva tvister enligt lagen

(2022:482) om elektronisk kommunikation,

10. meddela föreskrifter enligt förordningen (2022:511) om elek-

11. upprätta och offentliggöra planer för frekvensfördelning till

ledning för radioanvändningen samt offentliggöra information av all-

Senaste lydelse 2022:515.

mänt intresse om rättigheter, villkor, förfaranden och avgifter som rör radiospektrumanvändningen,

12. tillhandahålla information om frekvensanvändning till Europeiska radiokommunikationskontorets frekvensinformationssystem (EFIS),

13. vara marknadskontrollmyndighet enligt radioutrustningslagen (2016:392),

14. vara tillsynsmyndighet enligt lagen (2016:561) med kompletterande bestämmelser till EU:s förordning om elektronisk identifiering och ge stöd och information till myndigheter och enskilda när det gäller betrodda tjänster,

15. följa utvecklingen när det gäller toppdomäner med geografiska namn som har anknytning till Sverige,

16. vara tillsynsmyndighet enligt lagen (2006:24) om nationella toppdomäner för Sverige på internet samt meddela föreskrifter enligt förordningen (2006:25) om nationella toppdomäner för Sverige på internet,

17. verka för robusta elektroniska kommunikationer och minska risken för störningar, inbegripet att upphandla förstärkningsåtgärder, och verka för ökad krishanteringsförmåga,

18. verka för ökad nät- och informationssäkerhet i fråga om elektronisk kommunikation, genom samverkan med myndigheter som har särskilda uppgifter inom informationssäkerhets-, säkerhetsskyddsoch integritetsskyddsområdet samt med andra berörda aktörer,

19. lämna råd och stöd till myndigheter, kommuner och regioner och till företag, organisationer och andra enskilda i frågor om nätsäkerhet,

20. vara tvistlösnings- och 20. vara tvistlösnings- och tillsynsmyndighet enligt lagen tillsynsmyndighet enligt lagen (2016:534) om åtgärder för ut- (2016:534) om åtgärder för utbyggnad av bredbandsnät och an- byggnad av bredbandsnät och ansvara för informationstjänsten för svara för informationstjänsten för utbyggnad av bredbandsnät en- utbyggnad av bredbandsnät enligt samma lag, och ligt samma lag,

21. vara tillsynsmyndighet en- 21. vara tillsynsmyndighet enligt lagen (2018:1174) om infor- ligt lagen (2018:1174) om informationssäkerhet för samhällsvik- mationssäkerhet för samhällsviktiga och digitala tjänster. tiga och digitala tjänster, och

22. meddela föreskrifter om vilka kommuner som omfattas av geografiskt riktad lagring enligt 4 § lagen (2025:000) om lagring av uppgifter om elektronisk kommunikation i syfte att bekämpa grov

brottslighet.

Denna förordning träder i kraft den 1 juli 2025.

1.9 Förslag till förordning om ändring i förordningen (2007:1141) med instruktion för Säkerhets- och integritetsskyddsnämnden

Härigenom föreskrivs i fråga om förordningen (2007:1141) med instruktion för Säkerhets- och integritetsskyddsnämnden

dels att 1, 8, och 13 §§ ska ha följande lydelse,

dels att det ska införas tre nya paragrafer, 3 a §, 26 a och 26 b §§, och närmast före 26 a § en ny rubrik av följande lydelse.

1 §

8 §

Senaste lydelse 2007:1141. Senaste lydelse 2009:1516.

Registerkontrolldelegationen har till uppgift att besluta i frågor som avses i 2 §.

Skyddsregistreringsdelegationen har till uppgift att besluta i frågor som avses i 3 §.

Datalagringsdelegationen har till uppgift att besluta i frågor som av-

ses i 3 a.

Varje delegation består av en ordförande, en vice ordförande samt högst tre andra ledamöter.

13 §

Ledamöterna i Registerkon- Ledamöterna i Registerkontrolldelegationen och Skydds- trolldelegationen, Skyddsregistrerregistreringsdelegationen utses av ingsdelegationen och Datalagringsregeringen för en bestämd tid. delegationen utses av regeringen Ordföranden och vice ordföran- för en bestämd tid. Ordföranden den ska vara eller ha varit ordi- och vice ordföranden ska vara narie domare eller ha annan mot- eller ha varit ordinarie domare eller svarande juridisk erfarenhet. ha annan motsvarande juridisk

erfarenhet.

Av de övriga ledamöterna i Skyddsregistreringsdelegationen ska en av dem ha särskild erfarenhet av verksamhet som avser folkbokföring.

Bland de övriga ledamöterna i Datalagringsdelegationen ska det finnas personer med särskild erfa-

renhet av integritetsskyddsfrågor,

frågor som avser elektronisk kommunikation och verksamhet som

rör nationell säkerhet.

3 Senaste lydelse 2009:1516.

Handläggning av ärenden i Datalagringsdelegationen

26 a § När Säkerhetspolisens beslut om nationell säkerhetslagring har överklagats ska Datalagringsdelegationen sammanträda så snart som

möjligt.

26 b § Datalagringsdelegationen är beslutför när ordföranden och minst

två andra ledamöter är närvarande.

Om både ordföranden och vice ordföranden i delegationen har förhinder får nämndens ordförande träda in som delegationens ord-

förande.

Denna förordning träder i kraft den 1 juli 2025.

1.10 Förslag till förordning om ändring i förordningen (2022:511) om elektronisk kommunikation

Härigenom föreskrivs i fråga om förordningen (2022:511) om elektronisk kommunikation

dels att 9 kap. 10 § ska upphöra att gälla, dels att 9 kap. 6, 7 och 8 § ska ha följande lydelse,

dels att det ska införas tre nya paragrafer, 9 kap. 6 a–c §§ och närmast före 6, 7–9 §§ nya rubriker av följande lydelse.

9 kap.

6 §

Senaste lydelse av 10 § 2022:511. Senaste lydelse 2022:511.

Nationell säkerhetslagring

6 a §

Lagringsskyldigheten i 9 kap.

19 b § lagen (2022:482) om elektronisk kommunikation får omfatta de uppgifter som anges i 6 b

och 6 c §§.

6 b §

När det gäller telefonitjänst,

samtal och meddelandehantering

får följande lagras:

1. i fråga om telefonitjänst och samtal, uppringande och uppringt nummer, ip-adress eller annan meddelandeadress, abonnemangs-

och utrustningsidentitet,

2. i fråga om meddelanden,

avsändares och mottagares nummer, ip-adress eller annan

meddelandeadress,

abonnemangs-, konto- eller

utrustningsidentitet,

3. nummer, ip-adress eller andra meddelandeadresser som kommunikationen styrts till vid överflyttning, vidareförmedling

eller transport av 1 och 2,

4. uppgifter om abonnent och registrerad användare som upp-

gifterna i 1–3 kan hänföras till,

5. kopplingen mellan tillfälliga och permanenta identifierare

för utrustning eller abonnemang,

6. uppgifter om den eller de

tjänster som använts,

7. datum och spårbar tid för då kommunikationen påbörjades

och avslutades eller ett medde-

lande skickades och togs emot,

8. lokaliseringsuppgifter vid

kommunikationen,

9. lokaliseringsuppgifter som inte är trafikuppgifter samt lokaliseringsuppgifter som genererats i användares utrustning, och 10. uppgifter som identifierar den utrustning där kommunikationen slutligt avskiljs från den lagringsskyldige till den enskilda

abonnenten.

Om den som slutligt avskiljer kommunikationen till den enskilda abonnenten inte omfattas av lagringsskyldighet, ska första stycket 10 gälla för den som avskiljer kommunikationen till den som slutligt avskiljer kommunikationen till den enskilda abon-

nenten.

6 c § När det gäller internetåtkomst

får följande lagras:

1. användares ip-adress och andra uppgifter som är nödvändiga för att identifiera abonnent

och registrerad användare,

2. uppgifter om abonnent och

registrerad användare,

3. användares abonnemangs-

och utrustningsidentiteter,

4. koppling mellan tillfälliga och permanenta identifierare för

utrustning och abonnemang,

5. den typ av kapacitet för över-

föring som har använts,

6. datum och spårbar tid för

åtkomsten,

7. lokaliseringsuppgifter vid åt-

komsten,

8. lokaliseringsuppgifter som inte är trafikuppgifter samt lokaliseringsuppgifter som genererats i an-

vändares utrustning,

9. uppgifter som identifierar den utrustning där kommunikationen slutligt avskiljs från den lagringsskyldige till den enskilda abon-

nenten.

Om den som slutligt avskiljer kommunikationen till den enskilda abonnenten inte omfattas av lagringsskyldighet, ska första stycket 9 gälla för den som avskiljer kommunikationen till den som slutligt avskiljer kommunikationen till den

enskilda abonnenten.

7 §

Geografiskt riktad lagring

När det gäller telefonitjänst och Lagringsskyldigheten i 9 kap. meddelandehantering via mobil 19 c § lagen (2022:482) om eleknätanslutningspunkt ska följande tronisk kommunikation ska om-

lagras: fatta de uppgifter som anges i 6 b

1. uppringande och uppringt och 6 c §§.

nummer, avsändares och mottagares nummer eller annan meddelande-

adress,

2. i fråga om telefonitjänst, uppringandes och uppringds abonnemangsidentitet och utrustnings-

identitet,

3 Senaste lydelse 2022:511.

3. uppgifter om abonnent och registrerad användare som upp-

gifterna i 1 och 2 kan hänföras till,

4. datum och spårbar tid då kommunikationen påbörjades och avslutades eller ett meddelande

skickades och togs emot,

5. lokaliseringsuppgifter då kommunikationen påbörjades och avslutades eller ett meddelade skickades och togs emot, och 6. datum, spårbar tid och lokaliseringsuppgifter för den första aktiveringen av en förbetald anonym

tjänst.

8 §

Utökad riktad lagring

När det gäller internetåtkomst Lagringsskyldigheten i 9 kap.

ska följande lagras: 19 d § lagen (2022:482) om elek- 1. användares ip-adress och tronisk kommunikation får om-

andra uppgifter som är nödvän- fatta de uppgifter som anges 7 §.

diga för att identifiera abonnent

och registrerad användare,

2. uppgifter om abonnent och

registrerad användare,

3. datum och spårbar tid för på- och avloggning i tjänsten som ger internetåtkomst, och 4. uppgifter som identifierar den utrustning där kommunikationen slutligt avskiljs från den lagringsskyldige till den enskilda

abonnenten.

Om den som slutligt avskiljer kommunikationen till den enskilda

abonnenten inte omfattas av 9 kap.

4 Senaste lydelse 2022:511.

19 § lagen (2022:482) om elektronisk kommunikation, ska första stycket 4 gälla för den som avskiljer kommunikationen till den som slutligt avskiljer kommunikationen till

den enskilda abonnenten.

9 §

Föreskriftsrätt

Post- och telestyrelsen får med- Post- och telestyrelsen får meddela närmare föreskrifter om vilka dela närmare föreskrifter om vilka uppgifter som ska lagras enligt 7 uppgifter som ska lagras enligt och 8 §§. 6 b och 6 c §§.

Denna förordning träder i kraft den 1 juli 2025.

5 Senaste lydelse 2022:511.

2 Utredningens uppdrag och arbete

2.1 Utredningens uppdrag

Regeringen beslutade den 5 augusti 2021 att ge en särskild utredare i uppdrag att se över den lagstiftning som medför en skyldighet för tillhandahållare av elektroniska kommunikationstjänster att lagra uppgifter om elektronisk kommunikation för brottsbekämpande syften, samt vissa anknytande frågor om myndigheternas tillgång till sådana uppgifter. Uppdraget syftar till att säkerställa att de brottsbekämpande myndigheternas tillgång till information förbättras och upprätthålls över tid i takt med teknikutvecklingen och förändrade kommunikationsvanor, samtidigt som respekten för mänskliga rättigheter säkerställs.

Enligt utredningens direktiv ska nuvarande reglering om lagring av och tillgång till uppgifter om elektronisk kommunikation analyseras och utvärderas i förhållande till bl.a. ny praxis från EU-domstolen och ställning tas till om regelverket behöver förändras. Vi ska också analysera förutsättningarna för och ta ställning till om leverantörer av s.k. OTT-tjänster (dvs. nummeroberoende interpersonella kommunikationstjänster, Noik) ska omfattas av denna reglering.

Vi ska vidare analysera och föreslå moderniseringar av regleringen när det gäller tjänsteleverantörers skyldighet att anpassa sin verksamhet så att hemliga tvångsmedel kan verkställas på ett effektivt sätt.

Slutligen ska vi analysera vissa frågor om jurisdiktion, inklusive folkrättsliga överväganden, i förhållande till elektronisk information som finns eller kan finnas utanför Sverige och ta ställning till om det bör införas en särskild lagreglering för exekutiv jurisdiktion.

Det ingår i uppdraget att noga väga behovet av en effektiv brottsbekämpning mot den enskildes rätt till skydd för sin personliga integritet, analysera förslagens påverkan på skyddet för mänskliga rättigheter, inklusive rätten till respekt för privatlivet, ta ställning till om

skyddet för privat- och familjelivet respektive den personliga integriteten bör stärkas, och se till att de förslag som lämnas uppfyller högt ställda krav på rättssäkerhet.

Uppdraget innefattar också att säkerställa att en välfungerande systematik i regelverket kring hemliga tvångsmedel upprätthålls. Det innebär att vi även ska bedöma behovet av följdändringar i rättegångsbalken, lagen (2012:278) om inhämtning av uppgifter om elektronisk kommunikation i de brottsbekämpande myndigheternas underrättelseverksamhet (inhämtningslagen), lagen (2007:979) om åtgärder för att förhindra vissa särskilt allvarliga brott (preventivlagen), lagen (2022:700) om särskild kontroll av vissa utlänningar (LSU), lagen (2020:62) om hemlig dataavläsning (HDA) och lagen (2022:482) om elektronisk kommunikation (nya LEK). Vi ska även bedöma behovet av följdändringar i lagen (2000:562) om internationell rättslig hjälp i brottmål (LIRB) och lagen (2017:1000) om en europeisk utredningsorder.

2.2 Utredningsarbetet

Uppdraget har inrymt överväganden inom ett mycket komplext område, både juridiskt och tekniskt. Utredningen har haft elva expertgruppssammanträden. Därutöver har företrädare för utredningen haft flera separata möten med experter från Polismyndigheten, Säkerhetspolisen och Post- och telestyrelsen (PTS). Företrädare har även även haft sammanträden med branchorganisationen TechSverige (tidigare IT & Telekomföretagen) tillsammans med företrädare för Meta (tidigare Facebook), Microsoft, Google, Internetstiftelsen, Hi3G, Tele2, Telenor och Telia. Utredningen har också haft separata möten med Apple, Meta, Microsoft, Hi3G, Tele2, Telenor och Telia. Företrädare för utredningen har också haft separata möten med Apple, Meta, Microsoft, Hi3G, Tele2, Telenor och Telia.

Företrädare har haft underhandskontakter med bl.a. Brottsförebyggande rådet (Brå), Säkerhets- och integritetsskyddsnämnden (SIN), Internetstiftelsen, Netnod och ISOC-SE. Utredningen har haft kontakt med personer som arbetar med motsvarande frågor i andra länder. Därtill har utredningen samrått med bl.a. Utredningen om utökade möjligheter att använda hemliga tvångsmedel (Ju 2020:20) och Utredningen om preventiva tvångsmedel (Ju 2021:15).

Vi har inte kunnat beakta material som tillkommit efter den 31 mars 2023.

2.3 Betänkandets disposition

Fortsättningen av betänkandet inleds med avsnitt 3, om enskildas grundläggande rättigheter. Därefter beskrivs i avsnitt 4 relevant gällande rätt kring elektronisk kommunikation. Avsnitt 5 utgör en översiktlig beskrivning av de brottsbekämpande myndigheternas utredande verksamhet och underrättelseverksamhet. I avsnitt 6 gör vi en översyn av reglerna om lagring och tillgång till uppgifter om elektronisk kommunikation. I samma avsnitt finns våra överväganden och förslag om lagring av abonnemangsuppgifter och behovet av anpassning av den svenska datalagringsregleringen. I avsnitt 7–9 finns våra överväganden och förslag om nationell säkerhetslagring, riktad lagring och om lagring av och tillgång till elektroniska uppgifter om elektronisk kommunikation från tillhandahållare av Noik. I avsnitt 10 och 11 finns överväganden och förslag om modernisering av anpassningsskyldigheten och frågor om exekutiv jurisdiktion. Den sista delen av betänkandet utgörs av förslag på ikraftträdande, avsnitt 12, en beskrivning av förslagens konsekvenser, avsnitt 13 och en författningskommentar, avsnitt 14. Våra författningsförslag finns i avsnitt 1.

3 Grundläggande rättigheter

3.1 Rätten till personlig integritet

Svensk rätt innehåller ingen allmängiltig definition av begreppet personlig integritet. Någon enhetlig definition finns inte heller i internationell rätt. Begreppet personlig integritet har beskrivits som att kränkningar av den personliga integriteten utgör intrång i den fredade sfär som den enskilde bör vara tillförsäkrad och där intrång bör kunna avvisas. Det har vidare inte ansetts nödvändigt att formulera en allmängiltig definition av begreppet personlig integritet för att kunna bedöma vilka intressen som har ett sådant skyddsvärde att de bör omfattas av ett särskilt starkt skydd mot omotiverade ingrepp. Utformningen av integritetsskyddet i svensk rätt har kommit att bestämmas av summan av ett stort antal skyddsregler av varierande slag.

I Integritetsskyddsmyndighetens integritetsrapport 2020 analyseras begreppet och myndigheten konstaterar bl.a. följande.

Även om någon fast definition inte slås fast och även om rättigheten

inte är absolut, bör personlig integritet i det digitala samhället samman-

fattningsvis kunna förstås som den enskildes rätt till

Privatliv. Rätten att få vara ifred, ha privata tankar och kunna kom-

municera förtroligt med andra utan att bli kartlagd, spårad eller över-

vakad.

Självbestämmande. Att själv kunna kontrollera personuppgifter som

rör en själv, vem som använder uppgifterna och för vilka syften. Detta

är särskilt angeläget när det handlar om vem som ska få ta del av känsliga

uppgifter som rör till exempel hälsa eller sexualliv.

1 Se SOU 2016:65 s. 34. 2 Se bl.a. prop. 2009/10:80 s. 175. 3 Se bl.a. SOU 2015:31 s. 51 och SOU 2017:75 s. 59. 4 Se Integritetsskyddsmyndighetens integritetsrapport 2020, IMY rapport 2021:1, s. 27 f.

3.2 Skyddet för privatlivet

3.2.1 FN:s konventioner

Förenta nationernas (FN) allmänna förklaring om de mänskliga rättigheterna antogs 1948. Ingen får utsättas för godtyckligt ingripande i fråga om privatliv, familj, hem eller korrespondens (artikel 12). En person får endast underkastas sådana inskränkningar som har fastställts i lag och enbart i syfte att trygga tillbörlig hänsyn till och respekt för andras fri- och rättigheter samt för att tillgodose ett demokratiskt samhälles berättigade krav på moral, allmän ordning och allmän välfärd (artikel 29). Motsvarande skydd för den personliga integriteten finns i FN:s konvention om medborgerliga och politiska rättigheter, som antogs 1966. Även FN:s konvention om ekonomiska, sociala och kulturella rättigheter, som antogs 1966, innehåller regler om skydd för bl.a. privat- och familjelivet.

FN:s konvention om barns rättigheter (barnkonventionen) antogs 1989 och artiklarna 1–42 är sedan den 1 januari 2020 inkorporerad i svensk lag. Inget barn får utsättas för godtyckliga eller olagliga ingripanden i sitt privat- eller familjeliv, sitt hem eller sin korrespondens och inte heller för olagliga angrepp på sin heder och sitt anseende (artikel 16). I artikel 40 (b) (vii) nämns särskilt att ett barn som misstänks eller åtalas för brott ska få sitt privatliv till fullo respekterat under alla stadier av förfarandet. Vid samtliga åtgärder som rör barn ska i första hand beaktas vad som bedöms vara barnets bästa (artikel 3). Barn ska skyddas från alla former av fysiskt eller psykiskt våld, narkotika, sexuella övergrepp och annat utnyttjande. Det ska finnas effektiva medel för bl.a. förebyggande, identifiering, undersökning och uppföljning samt förfaranden för rättsligt ingripande om barn farit illa (se artiklarna 19 och 32–36).

3.2.2 Europakonventionen

Europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna (Europakonventionen) är inkorporerad i svensk rätt och gäller som svensk lag. Enligt 2 kap. 19 § RF

5 Se lagen (2018:1197) om Förenta nationernas konvention om barnets rättigheter. 6 Se lagen (1994:1219) om den europeiska konventionen angående skydd för de mänskliga rättigheterna och de grundläggande friheterna.

får lag eller annan föreskrift inte meddelas i strid med Sveriges åtaganden på grund av Europakonventionen. Genom att underteckna Europakonventionen har staten garanterat var och en, som befinner sig under dess jurisdiktion, de fri- och rättigheter som anges i konventionen. Var och en har rätt till respekt för sitt privat- och familjeliv, sitt hem och sin korrespondens (artikel 8). Rätten till respekt för privat- och familjeliv omfattar bl.a. kommunikation via telefon. Rätten innefattar även skyddet av personuppgifter. Offentlig myndighet får inte inskränka dessa rättigheter annat än med stöd av lag och om det i ett demokratiskt samhälle är nödvändigt med hänsyn till statens säkerhet, den allmänna säkerheten, landets ekonomiska välstånd eller till förebyggande av oordning eller brott eller till skydd för hälsa eller moral eller för andra personers fri- och rättigheter. Det innebär att en inskränkning måste ha stöd i inhemsk lag som i sin tur måste uppfylla rimliga anspråk på rättssäkerhet, såsom att skydda mot godtycke, vara tillgänglig för allmänheten och vara förutsebar. Att inskränkningen måste vara nödvändig i ett demokratiskt samhälle för något av de i artikeln skyddade intressena innebär i huvudsak att det ska finnas ett angeläget samhälleligt behov av åtgärden och att den måste stå i rimlig proportion till det syfte som ska tillgodoses. Konventionsstaterna har ett visst handlingsutrymme att själva avgöra om begränsningarna är nödvändiga för ett givet syfte. Europadomstolen förbehåller sig dock rätten att överpröva denna bedömning inom ramen för prövningen av någons enskilda klagomål hos domstolen.

Europadomstolen har utarbetat en minimistandard som ställer följande krav på lagstiftning om hemliga övervakningsåtgärder. • Arten av de brott som skulle kunna leda till en begäran om åt-

gärden måste framgå. • Det ska finnas en definition av de personkategorier som skulle

kunna riskera att bli föremål för åtgärden. • Åtgärdens varaktighet ska vara begränsad. • Det måste finnas förfaranderegler för undersökning, användning

och lagring av de uppgifter som inhämtas.

7 Se Danelius, Mänskliga rättigheter i europeisk praxis, 5 uppl. 2015, s. 369 f. 8 Se t.ex. Roman Zakharov mot Ryssland (nr 47143/06), 4 december 2015, § 231 med hänvisningar.

• Försiktighetsåtgärder vid överföring av information till andra par-

ter ska vidtas. • De omständigheter under vilka inhämtade uppgifter (t.ex. inspel-

ningar) kan eller måste raderas ska anges.

De viktigaste punkterna har bedömts vara de två förstnämnda. Det kan konstateras att den grad av förutsebarhet som krävs varierar beroende på vilken typ av åtgärd som lagstiftningen avser och hur ingripande åtgärden är. Europadomstolen har också slagit fast att nationell lagstiftning om dolda spaningsåtgärder måste innehålla kontrollmekanismer för att skydda mot missbruk. Vad som krävs i det avseendet beror på omständigheter som åtgärdernas karaktär, räckvidd och varaktighet, vilka motiv som krävs för att besluta, utföra och övervaka dem samt vilken typ av rättsmedel som finns i den nationella lagstiftningen.

Artikel 8 i Europakonventionen ger enligt praxis inte bara upphov till en negativ förpliktelse för det allmänna att avhålla sig från omotiverade inskränkningar i denna rättighet utan även en positiv skyldighet för det allmänna att se till att enskilda tillförsäkras en rätt till skydd för privat- och familjeliv. Ett sådant skydd tillförsäkras bl.a. genom kriminalisering av olika åtgärder som innefattar intrång i den personliga integriteten. En förutsättning för att staten ska kunna leva upp till kraven på att upprätthålla rättstryggheten för enskilda är att staten har en väl fungerande och effektiv brottsbekämpning. Att ha en väl fungerande brottsbekämpning innebär t.ex. att myndigheterna ska ha tillgång till effektiva utredningsverktyg, även i den elektroniska miljön. När så inte varit fallet har staten ansetts kränka de rättigheter som följer av Europakonventionen. Ett exempel på detta var när en person som gjort sig skyldig till förtal eller möjligen sexuellt ofredande av ett 12-årigt barn i Finland inte kunde identifieras på grund av att den nationella lagstiftningen inte möjliggjorde att uppgift om vem som använt en ip-adress kunde hämtas in från operatören. I det aktuella fallet uttalade Europadomstolen att konfidentialitet för kommunikation och yttrandefrihet ibland måste få ge vika för brottsbekämpande ändamål.

9 Se t.ex. SOU 2015:31 s. 52 f. och SOU 2017:75 s. 60 f. 10 Se Europadomstolens dom den 2 december 2008 i mål K.U. mot Finland, mål nr 2872/02.

3.2.3 EU:s rättighetsstadga

En bestämmelse om rätt till respekt för bl.a. privatlivet finns också i artikel 7 i Europeiska unionens stadga om de grundläggande rättigheterna. Av artikel 52.3 i stadgan följer att i den mån stadgan omfattar rättigheter som motsvarar sådana som garanteras av Europakonventionen, ska de ha samma innebörd och räckvidd som enligt konventionen eller ett mer långtgående skydd. Varje begränsning i utövandet av de fri- och rättigheter som erkänns i stadgan måste vara föreskriven i lag och förenlig med det väsentliga innehållet i dessa fri- och rättigheter. Begränsningar får, med beaktande av proportionalitetsprincipen, göras endast om de är nödvändiga och faktiskt svarar mot mål av allmänt samhällsintresse som erkänns av unionen eller behovet av skydd för andra människors fri- och rättigheter (artikel 52.1). Rättighetsstadgan riktar sig till medlemsstaterna endast när de tillämpar unionsrätten (artikel 51.1). Av EU-domstolens praxis framgår att detta innebär att rättigheterna i stadgan måste iakttas inte bara vid tillämpningen av nationell lagstiftning som genomför EU-rätt utan så snart nationell lagstiftning omfattas av unionens tillämpningsområde. Ingen bestämmelse i stadgan får tolkas som att den inskränker eller inkräktar på de mänskliga rättigheter och grundläggande friheter som inom respektive tillämpningsområde erkänns i unionsrätten, internationell rätt och de internationella konventioner i vilka unionen eller samtliga medlemsstater är parter, särskilt europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna, samt i medlemsstaternas författningar (artikel 53).

3.2.4 Regeringsformen

Grundläggande bestämmelser som har betydelse för det allmännas ansvar att skydda enskildas privatliv och integritet finns bl.a. i regeringsformen (RF). Av 1 kap. 2 § RF framgår att den offentliga makten ska utövas med respekt bl.a. för den enskilda människans frihet och värdighet samt att det allmänna ska värna den enskildes privatliv och familjeliv. Enligt 2 kap. 6 § första stycket RF är var och en gentemot det allmänna skyddad mot bl.a. husrannsakan och liknande intrång, undersökning av brev eller annan förtrolig försändelse samt hemlig avlyssning eller upptagning av telefonsamtal eller annat förtroligt

11

Se t.ex. Åkerberg Fransson, mål C-617/10.

meddelande. Vidare gäller enligt paragrafens andra stycke ett skydd mot betydande intrång i den personliga integriteten, om det sker utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhållanden. Dessa grundläggande fri- och rättigheter får begränsas endast genom lag och endast för att tillgodose ändamål som är godtagbara i ett demokratiskt samhälle. Begränsningarna får aldrig gå utöver vad som är nödvändigt eller utgöra ett hot mot den fria åsiktsbildningen (2 kap. 20 och 21 §§ RF). För utländska medborgare som är bofasta i riket gäller att särskilda begränsningar i dessa rättigheter får göras genom lag (2 kap. 25 § RF).

3.3 Skyddet för personuppgifter

3.3.1 Dataskyddskonventionen

De dataskyddsregler som har antagits inom ramen för Europarådet finns i första hand i Europarådets konvention till skydd för enskilda vid automatisk behandling av personuppgifter (den s.k. dataskyddskonventionen). Konventionen trädde i kraft i oktober 1985. Sverige har, liksom övriga EU-medlemsstater, anslutit sig till konventionen. Dataskyddskonventionen innehåller principer för dataskydd som de konventionsanslutna staterna måste iaktta i sin nationella lagstiftning. Syftet med konventionen är att säkerställa respekten för grundläggande fri- och rättigheter, särskilt den enskildes rätt till personlig integritet i samband med automatiserad behandling av personuppgifter. Konventionen kompletteras av ett antal icke-bindande rekommendationer om hur personuppgifter bör behandlas inom olika områden. I syfte att modernisera konventionen antogs i maj 2018 ett ändringsprotokoll till konventionen. Sverige har undertecknat men inte ratificerat protokollet. Ändringarna träder i kraft när alla parter till dataskyddskonventionen har ratificerat ändringsprotokollet eller den 11 oktober 2023 om 38 parter då har ratificerat protokollet.

3.3.2 EU-rättslig reglering

Bestämmelser om behandling av personuppgifter finns i unionsrättens primärrätt och sekundärrätt. I artikel 8 i rättighetsstadgan föreskrivs att var och en har rätt till skydd av de personuppgifter som rör honom

eller henne. Sådana uppgifter ska behandlas lagenligt för bestämda ändamål och på grundval av den berörda personens samtycke eller någon annan legitim och lagenlig grund. Var och en har rätt att få tillgång till insamlade uppgifter som rör honom eller henne och att få rättelse av dem.

Den allmänna regleringen om behandling av personuppgifter inom EU fanns tidigare i Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter. Direktivet genomfördes i Sverige i huvudsak genom personuppgiftslagen (1998:204).

Den 27 april 2016 antog Europaparlamentet och rådet förordning (EU) 2016/679 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning), i det följande EU:s dataskyddsförordning. EU:s dataskyddsförordning är tillämplig i medlemsstaterna sedan den 25 maj 2018. Det huvudsakliga syftet med EU:s dataskyddsförordning är att ytterligare harmonisera och effektivisera skyddet för personuppgifter för att förbättra den inre marknadens funktion och öka enskildas kontroll över sina personuppgifter. EU:s dataskyddsförordning utgör numera den generella regleringen för personuppgiftsbehandling inom EU. Den gäller dock inte för behandlingen av personuppgifter i myndigheters brottsförebyggande eller brottsutredande verksamhet. För den brottsbekämpande sektorn har i stället Europaparlamentet och rådet antagit direktiv (EU) 2016/680 av den 27 april 2016 om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut 2008/977/RIF, i det följande dataskyddsdirektivet. Viss behandling av personuppgifter undantas från både EU:s dataskyddsförordning och dataskyddsdirektivets tillämpningsområden. Det gäller personuppgiftsbehandling i verksamhet som inte omfattas av unionsrätten, däribland området nationell säkerhet.

För att säkerställa rätten till skydd för uppgifter inom sektorn för elektronisk kommunikation har EU antagit Europaparlamentets och rådets direktiv 2002/58/EG av den 12 juli 2002 om behandling av

personuppgifter och integritetsskydd inom sektorn för elektronisk kommunikation (e-dataskyddsdirektivet, se också avsnitt 4.2).

3.3.3 Nationell lagstiftning

EU:s dataskyddsförordning började tillämpas den 25 maj 2018. Samma dag trädde lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning, (nedan kallad dataskyddslagen) i kraft. I dataskyddslagen finns kompletterande bestämmelser till EU:s dataskyddsförordning. Lagen är subsidiär i förhållande till andra lagar och förordningar och ska inte heller tillämpas i den utsträckning det skulle strida mot grundlagsbestämmelserna om tryck- och yttrandefrihet. Genom dataskyddslagen upphävdes den tidigare gällande personuppgiftslagen.

Dataskyddsdirektivet har i huvudsak genomförts genom en ny ramlag, brottsdatalagen (2018:1177), som trädde i kraft den 1 augusti 2018. Brottsdatalagen är generellt tillämplig inom det område som direktivet reglerar. Lagen är subsidiär i förhållande till annan lag eller förordning, vilket möjliggör avvikande bestämmelser i s.k. registerförfattningar. Brottsdatalagen gäller vid behandling av personuppgifter som utförs av myndigheter som har till uppgift att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott eller verkställa straffrättsliga påföljder. Lagen gäller också för behandling av personuppgifter vid upprätthållande av allmän ordning och säkerhet.

I särskilda registerförfattningar finns bestämmelser som innebär preciseringar, undantag eller avvikelser från bestämmelserna i brottsdatalagen. Som exempel kan nämnas lagen (2018:1693) om polisens behandling av personuppgifter inom brottsdatalagens område, lagen (2018:1697) om åklagarväsendets behandling av personuppgifter inom brottsdatalagens område och lagen (2018:1694) om Tullverkets behandling av personuppgifter inom brottsdatalagens område. För Säkerhetspolisen gäller lagen (2019:1182) om Säkerhetspolisens behandling av personuppgifter vid sådan behandling av personuppgifter som rör nationell säkerhet i Säkerhetspolisens brottsbekämpande och lagförande verksamhet.

Registerförfattningar förekommer också inom andra områden. Författningarna har till sitt huvudsakliga syfte att reglera hanteringen av register eller andra samlingar av personuppgifter.

Särskilda bestämmelser om behandling i personuppgifter finns även i 9 kap. nya LEK.

3.4 Yttrandefrihet

EU:s rättighetsstadga skyddar yttrandefriheten (artikel 11). I artikeln föreskrivs att var och en har rätt till yttrandefrihet. Denna rätt innefattar åsiktsfrihet samt frihet att ta emot och sprida uppgifter och tankar utan någon offentlig myndighets inblandning och oberoende av territoriella gränser. Motsvarande skydd finns i artikel 10 i Europakonventionen, artikel 19 i FN:s konvention om medborgerliga och politiska rättigheter och artikel 13 i barnkonventionen. FN:s råd för mänskliga rättigheter (UNHCR) antog i juni 2012 en resolution om yttrandefrihet på Internet (HRC44). I resolutionen anges bl.a. att ”samma rättigheter som folk har offline måste även skyddas online, i synnerhet yttrandefriheten”.

I regeringsformen föreskrivs att var och en är gentemot det allmänna tillförsäkrad yttrandefrihet, dvs. frihet att i tal, skrift eller bild eller på annat sätt meddela upplysningar samt uttrycka tankar, åsikter och känslor (2 kap. 1 § RF).

Tryckfriheten innebär en frihet för var och en att i tryckt skrift uttrycka tankar, åsikter och känslor samt att offentliggöra allmänna handlingar och i övrigt lämna uppgifter i vilket ämne som helst samt en rätt att ge ut skrifter utan att en myndighet eller ett annat allmänt organ hindrar detta i förväg (1 kap. 1 § TF).

Vidare är var och en gentemot det allmänna tillförsäkrad rätt att i ljudradio, tv och vissa liknande överföringar, offentliga uppspelningar ur en databas samt filmer, videogram, ljudupptagningar och andra tekniska upptagningar offentligen uttrycka tankar, åsikter och känslor och i övrigt lämna uppgifter i vilket ämne som helst (1 kap. 1 § Yttrandefrihetsgrundlagen, YGL).

4 Elektronisk kommunikation

4.1 Allmänt om elektronisk kommunikation

Elektronisk kommunikation innebär överföring av signaler i elektronisk form. Elektronisk kommunikation omfattar telefoni, datakommunikation och utsändningar till allmänheten via radio eller tv. Den tekniska utvecklingen har medfört att dessa delar gradvis vuxit samman. Dessutom har de tjänster som används i kommunikationssyfte utvecklats på så sätt att traditionell taltelefoni, sms och e-posttjänster har ersatts med funktionsmässigt likvärdiga onlinetjänster, där överföring av signaler inte ingår i tjänsten.

Uppgifter om elektronisk kommunikation har i svensk rätt delats in i tre olika och delvis överlappande grupper, nämligen • uppgifter om abonnemang, • trafikuppgifter, och • lokaliseringsuppgifter.

Någon definition av begreppet uppgift om abonnemang finns varken i EU-rätten eller i nationell rätt. Med uppgifter om abonnemang avses främst uppgifter om abonnentens nummer, namn, titel och adress, men även uppgifter om exempelvis avtal och fakturering. Vidare anses såväl fasta som dynamiska ip-adresser vara uppgifter om abonnemang, eftersom det huvudsakliga syftet med sådana adresser kan sägas vara att identifiera abonnenten. Vi återkommer till frågan om ip-adresser i avsnitt 6.6.1.

Även IMSI-nummer (nummer som är kopplade till abonnentens simkort och telefonnummer) och IMEI-nummer (nummer som är kopplade till själva kommunikationsenheten) kan vara uppgift om abonnemang. PTS har inom ramen för sin tillsyn av skyldigheten att lämna ut uppgifter till brottsbekämpande myndigheter bedömt att

uppgifter om IMEI-nummer är att anse som uppgift om abonnemang, när det tydligt framgår av begäran att syftet är att identifiera ett abonnemang eller en abonnent.

Uppgifter om abonnemang anses typiskt sett vara mindre integritetskänsliga än trafik- och lokaliseringsuppgifter. Regeringen har anfört att det kan ifrågasättas om det är lämpligt eller ens möjligt att definiera uppgifter om abonnemang endast utifrån vilken uppgift det är fråga om. Det har i stället ansetts mer relevant att som utgångspunkt definiera uppgifter om abonnemang som uppgifter som identifierar abonnenten eller den registrerade användaren bakom ett visst nummer eller en viss adress, i motsats till uppgifter som redogör för hur numret eller adressen har använts.

En trafikuppgift definieras i 1 kap. 7 § nya LEK som en uppgift som behandlas i syfte att befordra ett elektroniskt meddelande via ett elektroniskt kommunikationsnät eller för att fakturera detta meddelande. De trafikuppgifter som genereras vid elektronisk kommunikation kan avslöja t.ex. vilken typ av kommunikation som förekommit (telefoni, sms, etc.), vilken utrustning som använts, vilka nummer eller adresser som kommunicerat med varandra samt när och hur länge kommunikationen har pågått. Utanför begreppet trafikuppgifter faller information som avslöjar meddelandets innehåll. Vi återkommer till begreppet trafikuppgift i avsnitt 6.6.2.

En lokaliseringsuppgift definieras i nya LEK som en uppgift som behandlas i ett allmänt mobilt elektroniskt kommunikationsnät och som anger den geografiska positionen för en slutanvändares terminalutrustning eller en uppgift i ett allmänt fast elektroniskt kommunikationsnät om nätanslutningspunktens fysiska adress (1 kap. 7 §). Det kan t.ex. vara fråga om vilken cell (antenn på basstation) som utrustningen kopplat upp sig mot, eller en gps-position.

1 Se PTS beslut den 17 mars 2021 i ärende dnr 20-3144 m.fl. Jfr SOU 2017:75 s. 98 och prop. 2018/19:86 s. 93. 2 Se prop. 2018/19:86 s. 93. 3 Se vidare om dessa begrepp exempelvis SOU 2017:75, avsnitt 6.2.

4.2 Integritetsskydd och tystnadsplikt vid elektronisk kommunikation

Som anförs ovan skyddas mellanmänsklig kommunikation av EU:s rättighetsstadga, som föreskriver att var och en har rätt till respekt för sitt privatliv och familjeliv, sin bostad och sina kommunikationer (artikel 7). Rättighetsstadgan föreskriver även ett skydd för personuppgifter (artikel 8). I syfte att säkerställa full respekt för de rättigheter som följer av artikel 7 och 8 har EU antagit Europaparlamentets och rådets direktiv 2002/58/EG av den 12 juli 2002 om behandling av personuppgifter och integritetsskydd inom sektorn för elektronisk kommunikation (direktiv om integritet och elektronisk kommunikation), det s.k. e-dataskyddsdirektivet. E-dataskyddsdirektivet syftar även till att säkerställa fri rörlighet för sådana uppgifter samt för utrustning och tjänster avseende elektronisk kommunikation inom unionen.

E-dataskyddsdirektivet definierar trafikuppgifter och lokaliseringsuppgifter (artikel 2) men inte abonnemangsuppgifter.

Bestämmelser om säkerhet vid behandlingen av uppgifter finns i artikel 4 i direktivet. Enligt artikel 4.1 ska leverantören av en allmänt tillgänglig elektronisk kommunikationstjänst vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa säkerheten i sina tjänster, om nödvändigt tillsammans med leverantören av det allmänna kommunikationsnätet när det gäller nätsäkerhet. Dessa åtgärder ska säkerställa en säkerhetsnivå som är anpassad till den risk som föreligger, med beaktande av dagens tillgängliga teknik och kostnaderna för att genomföra åtgärderna. Enligt artikel 4.1 a i e-dataskyddsdirektivet ska, utan att det påverkar tillämpningen av dataskyddsförordningen, de åtgärder som avses i punkt 1 minst • säkerställa att endast auktoriserad personal, och endast i lagligen

tillåtna syften, får tillgång till personuppgifter, • skydda personuppgifter som lagrats eller överförts mot oavsiktlig

eller olaglig förstörelse, oavsiktlig förlust eller ändring samt mot

icke auktoriserad eller olaglig lagring och behandling eller icke

auktoriserat eller olagligt tillträde eller offentliggörande, och • säkerställa införandet av en strategi för behandling av personupp-

gifter.

De behöriga nationella myndigheterna ska kunna granska de åtgärder som vidtas av leverantörer av allmänt tillgängliga elektroniska kommunikationstjänster och utfärda rekommendationer om bästa praxis beträffande den säkerhetsnivå som bör uppnås med hjälp av dessa åtgärder.

Enligt artikel 5 ska medlemsstaterna genom nationell lagstiftning säkerställa konfidentialitet vid kommunikation och därmed förbundna trafikuppgifter via allmänna kommunikationsnät och allmänt tillgängliga elektroniska kommunikationstjänster. Medlemsstaterna ska särskilt förbjuda avlyssning, uppfångande med tekniskt hjälpmedel, lagring eller andra metoder som innebär att kommunikationen och de därmed förbundna trafikuppgifterna kan fångas upp eller övervakas av andra personer än användarna utan de berörda användarnas samtycke, utom när de har laglig rätt att göra så i enlighet med direktivet.

I artikel 6 finns bestämmelser om för vilka ändamål trafikuppgifter får behandlas och krav på begränsningar i fråga om tillgången till uppgifter för dem som behöver det för att utföra vissa närmare angivna arbetsuppgifter. Som huvudregel ska trafikuppgifter om abonnenter och användare som behandlas och lagras av en leverantör utplånas eller avidentifieras när de inte längre behövs för sitt syfte att överföra kommunikation. Trafikuppgifter som krävs för abonnentfakturering och betalning av samtrafikavgifter får dock behandlas. Om abonnenten har samtyckt till det, får uppgifter också behandlas för vissa marknadsföringsändamål.

I artikel 9 finns bestämmelser om andra lokaliseringsuppgifter än trafikuppgifter. Om sådana uppgifter kan behandlas, får dessa uppgifter endast behandlas sedan de har avidentifierats eller om användarna eller abonnenterna gett sitt samtycke.

Vidare finns i artikel 15 ett stöd för medlemsstaterna att – för vissa närmare specificerade ändamål – föreskriva undantag från de skyddsregler som finns i bl.a. artiklarna 5, 6 och 9. Undantag får bl.a. göras om det i ett demokratiskt samhälle är nödvändigt, lämpligt och proportionerligt för att skydda nationell säkerhet, försvaret och allmän säkerhet samt för förebyggande, undersökning, avslöjande av och åtal för brott.

E-dataskyddsdirektivet genomfördes i svensk rätt främst genom bestämmelser som togs in i lagen (2003:389) om elektronisk kommunikation (gamla LEK), se nedan.

Europeiska kommissionen har lämnat ett förslag till en ny förordning om respekt för privatlivet och skydd för personuppgifter i samband med elektronisk kommunikation (förordning om integritet och elektronisk kommunikation (COM(2017) 10 final)). Förordningen ska ersätta e-dataskyddsdirektivet och utgöra en specialreglering i förhållande till dataskyddsförordningen. Det är i dagsläget oklart när förordningen kan antas och vilket innehåll den kommer att få.

4.3 Nya lagen om elektronisk kommunikation

Gamla LEK trädde i kraft i juli 2003. Genom den lagen genomfördes i huvudsak den EU-rättsliga regleringen på området för elektronisk kommunikation.

Den 11 december 2018 antogs Europaparlamentets och rådets direktiv (EU) 2018/1972 om inrättande av en europeisk kodex för elektronisk kommunikation (e-kodexen). E-kodexen utgör en omarbetning av och ersätter • Europaparlamentets och rådets direktiv 2002/21/EG om ett gemen-

samt regelverk för elektroniska kommunikationsnät och kommu-

nikationstjänster (ramdirektivet), • Europaparlamentets och rådets direktiv 2002/19/EG om tillträde

till och samtrafik mellan elektroniska kommunikationsnät och till-

hörande faciliteter (tillträdesdirektivet), • Europaparlamentets och rådets direktiv 2002/20/EG om auktori-

sation för elektroniska kommunikationsnät och kommunikations-

tjänster (auktorisationsdirektivet), och • Europaparlamentets och rådets direktiv 2002/22/EG om samhälls-

omfattande tjänster och användares rättigheter (USO-direktivet).

Medlemsstaterna skulle senast den 21 december 2020 anta och offentliggöra de lagar och andra författningar som är nödvändiga för att genomföra kodexen.

Den 3 juni 2022 trädde nya LEK i kraft. Nya LEK, som ersatte gamla LEK, genomförde e-kodexen. I sak motsvarar nya LEK i stora delar gamla LEK, med de ändringar och tillägg som är föranledda av

e-kodexen. Bland förändringarna kan noteras att definitionen av elektronisk kommunikationstjänst har fått en delvis annan utformning. Definitionen har ändrats så att den är funktionellt baserad snarare än baserad på enbart tekniska parametrar. Överföringen av signaler är fortfarande det centrala momentet för att fastställa vilka tjänster som omfattas av definitionen, men den omfattar även andra tjänster som möjliggör kommunikation. Vidare har sanktionsavgifter införts för vissa överträdelser av lagen.

Nya LEK syftar dels till att enskilda och myndigheter ska få tillgång till säkra och effektiva elektroniska kommunikationer, dels till största möjliga utbyte för alla av elektroniska kommunikationstjänster sett till urvalet samt till deras pris, kvalitet och kapacitet. Syftet ska uppnås främst genom att konkurrens, innovation, internationell harmonisering samt säkerhet i nät och tjänster främjas. Samhällsomfattande tjänster ska därutöver alltid finnas tillgängliga på för alla likvärdiga villkor i hela landet till överkomliga priser. Vid tillämpningen av lagen ska särskilt Sveriges säkerhet liksom elektroniska kommunikationers betydelse för yttrandefrihet och informationsfrihet beaktas (1 kap. 1 §).

Lagen gäller elektroniska kommunikationsnät och elektroniska kommunikationstjänster med tillhörande faciliteter och tjänster samt annan radioanvändning (1 kap. 2 §).

I 1 kap. 7 § nya LEK definieras bl.a. följande begrepp.

Ett elektroniskt kommunikationsnät definieras som ett system för överföring och i tillämpliga fall utrustning för koppling eller dirigering samt passiva nätdelar och andra resurser som medger överföring av signaler, via tråd eller radiovågor, på optisk väg eller via andra elektromagnetiska överföringsmedier oberoende av vilken typ av information som överförs.

Med en elektronisk kommunikationstjänst avses en tjänst som vanligen tillhandahålls mot ersättning via elektroniska kommunikationsnät och som – med undantag för dels tjänster i form av tillhandahållande av innehåll som överförs med hjälp av elektroniska kommunikationsnät och elektroniska kommunikationstjänster, dels tjänster som innebär utövande av redaktionellt ansvar över sådant innehåll – är en 1. internetanslutningstjänst enligt artikel 2.2 i Europaparlamentets

och rådets förordning (EU) 2015/2120 av den 25 november 2015

om åtgärder rörande en öppen internetanslutning och slutkunds-

avgifter för reglerad kommunikation inom EU och om ändring

av direktiv 2002/22/EG och förordning (EU) nr 531/2012, 2. interpersonell kommunikationstjänst, eller 3. tjänst som utgörs helt eller huvudsakligen av överföring av signa-

ler, såsom överföringstjänster som används för tillhandahållande

av maskin-till-maskin-tjänster eller för rundradio.

En interpersonell kommunikationstjänst definieras som en tjänst som vanligen tillhandahålls mot ersättning och som möjliggör ett direkt interpersonellt och interaktivt informationsutbyte via elektroniska kommunikationsnät mellan ett begränsat antal personer, varigenom de personer som inleder eller deltar i kommunikationen bestämmer vem eller vilka som ska vara mottagare av denna, dock inte en tjänst som möjliggör interpersonell och interaktiv kommunikation enbart som en extrafunktion av mindre betydelse som är direkt kopplad till en annan tjänst.

Det finns alltså inget krav på att interpersonella kommunikationstjänster helt eller huvudsakligen ska utgöras av överföring av signaler.

De interpersonella kommunikationstjänsterna kan vara antingen nummerbaserade eller nummeroberoende. En nummerbaserad interpersonell kommunikationstjänst etablerar en förbindelse till nummer i nationella eller internationella nummerplaner eller möjliggör kom-

munikation med sådana nummer. En nummeroberoende interperso-

nell kommunikationstjänst etablerar inte en förbindelse till nummer i nationella eller internationella nummerplaner och möjliggör inte heller kommunikation med sådana nummer. En sådan tjänst använder alltså inte telefonnummer för att ställa upp kommunikationen utan andra identifierare som normalt bara fungerar mellan den aktörens kunder.

Bestämmelser om säkerhet i nät och tjänster finns i 8 kap. 1–4 §§ nya LEK. Här anges bl.a. att den som tillhandahåller ett allmänt elektroniskt kommunikationsnät eller en allmänt tillgänglig elektronisk kommunikationstjänst ska vidta ändamålsenliga och proportionella tekniska och organisatoriska åtgärder för att på lämpligt sätt hantera risker som hotar säkerheten i nät och tjänster. Det kan i detta sammanhang noteras att en revidering av det s.k. NIS-direktivet har antagits i november 2022 genom det s.k. NIS2-direktivet. NIS2-direktivet, som syftar till att ytterligare harmonisera medlemsstaternas arbete med informationssäkerhet, omfattar även tillhandahållare av allmänna

elektroniska kommunikationsnät eller allmänt tillgängliga elektroniska kommunikationstjänster.

Vidare finns bestämmelser om skydd av uppgifter vid tillhandahållande av tjänster i 8 kap. 6–9 §§ nya LEK. Den som tillhandahåller en allmänt tillgänglig elektronisk kommunikationstjänst ska bl.a. vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa att uppgifter som behandlas i samband med tillhandahållandet av tjänsten skyddas.

Nya LEK innehåller vidare bestämmelser om under vilka förutsättningar trafikuppgifter och lokaliseringsuppgifter får behandlas (9 kap. 1–10 §§). Generellt gäller att trafikuppgifter, och däribland uppgifter som behandlas för att fakturera elektroniska meddelanden, ska utplånas eller avidentifieras så snart de inte längre behövs. En leverantör får dock lagra sådana uppgifter för vissa specifika ändamål. Så är fallet t.ex. för abonnentfakturering och – om den som uppgifterna gäller har samtyckt till det – för marknadsföring.

Den centrala bestämmelsen om lagringsskyldighet finns i 9 kap. 19 § nya LEK. Lagringsskyldiga enligt den bestämmelsen är de som bedriver verksamhet som ska anmälas enligt 2 kap. 1 § samma lag. Allmänna elektroniska kommunikationsnät som vanligen tillhandahålls mot ersättning eller allmänt tillgängliga elektroniska kommunikationstjänster får tillhandahållas endast efter anmälan till tillsynsmyndigheten. Någon skyldighet att anmäla verksamheten gäller dock inte för nummeroberoende interpersonella kommunikationstjänster eller för verksamhet som består enbart i överföring av signaler via tråd för utsändning till allmänheten av program som avses i 1 kap. 2 § YGL.

Som en följd av EU-domstolens praxis ändrades de svenska reglerna om datalagring. Ändringarna, som trädde i kraft den 1 oktober 2019, innebär bl.a. att lagringens omfattning har begränsats och att lagringstiderna har differentierats. Lagringens omfattning är nu begränsad till uppgifter som genereras eller behandlas vid telefonitjänst och meddelandehantering via mobil nätanslutningspunkt samt vid internetåtkomst. Det betyder att det inte ska lagras några uppgifter om telefonitjänster eller meddelandehantering som sker inom det fasta telefonnätet eller genom fasta internetanslutningar. Med nätanslutningspunkt avses den fysiska punkt vid vilken en slutanvändare ansluts till ett allmänt elektroniskt kommunikationsnät (1 kap. 7 § nya LEK). En mobil nätanslutningspunkt är t.ex. där en mobiltelefon

kopplar upp sig mot en mast eller mot ett trådlöst lokalt nätverk (wifi) som tillhandahålls av någon som omfattas av lagringsskyldigheten.

Lagringsskyldigheten omfattar uppgifter som anges som nödvändiga för vissa preciserade syften. Dessa är formulerade som uppgifter som är nödvändiga för att spåra och identifiera kommunikationskällan, slutmålet för kommunikationen, datum, tidpunkt och varaktighet för kommunikationen, typ av kommunikation, kommunikationsutrustning samt lokalisering av mobil kommunikationsutrustning vid kommunikationens början och slut.

Skyldigheten att lagra uppgifter omfattar uppgifter som genereras eller behandlas i leverantörens verksamhet. Det innebär att leverantören inte har någon skyldighet att införskaffa uppgifter som inte genereras eller behandlas i verksamheten. Däremot ska en uppgift lagras så fort den har funnits hos leverantören, även om det bara rör sig om en ytterst kort tid.

Lagringsskyldighetens längd regleras i 9 kap. 22 § nya LEK och varierar från två månader upp till tio månader beroende på uppgiftsslag. Lagringstiden räknas från den dag kommunikationen avslutades.

I 9 kap. 7 och 8 §§ förordningen (2022:511) om elektronisk kommunikation (nya FEK) anges på en mer detaljerad nivå vilka uppgifter som ska lagras när det gäller telefonitjänst och meddelandehantering via mobil nätanslutningspunkt respektive när det gäller internetåtkomst.

Uppgifter som har lagrats enligt 9 kap. 19 § nya LEK får behandlas endast för att lämnas ut för brottsbekämpande ändamål enligt 9 kap. 33 § nya LEK, 27 kap. 19 § RB (hemlig övervakning av elektronisk kommunikation) eller inhämtningslagen (9 kap. 21 § nya LEK).

När lagringstiden har löpt ut ska uppgifterna omedelbart utplånas. Om en begäran om utlämnande har kommit in eller ett föreläggande att bevara en viss lagrad uppgift enligt 27 kap. 16 § RB har meddelats innan lagringstiden löpt ut, ska den lagringsskyldige fortsätta att lagra uppgifterna till dess de har lämnats ut respektive när tiden för bevarande har löpt ut. Därefter ska uppgifterna genast utplånas (9 kap. 22 § tredje stycket nya LEK).

I 9 kap. 29 och 29 b §§ nya LEK regleras den s.k. anpassningsskyldigheten. Den innebär att vissa verksamheter ska bedrivas så att beslut om hemlig avlyssning av elektronisk kommunikation och hemlig övervakning av elektronisk kommunikation kan verkställas under

4 Se prop. 2010/11 :46 s. 77.

sådana former att verkställandet inte röjs (9 kap. 29 § nya LEK). Anpassningsskyldigheten innebär också ett krav på skyndsamhet och format vid utlämnandet av uppgifter (9 kap. 29 b § nya LEK).

Den som bedriver verksamhet som ska anmälas enligt 2 kap. 1 § har rätt till ersättning för kostnader som uppstår när uppgifter lämnas ut till brottsbekämpande myndigheter. I de fall det är särskilt föreskrivet ska ersättningen beräknas enligt schablon. Ersättningen ska betalas av den myndighet som har begärt uppgifterna (9 kap. 29 a § nya LEK).

I 9 kap. 31 § nya LEK föreskrivs att den som i samband med tillhandahållande av ett elektroniskt kommunikationsnät eller en elektronisk kommunikationstjänst som inte är en nummeroberoende interpersonell kommunikationstjänst (Noik) har fått del av eller tillgång till vissa närmare angivna uppgifter inte obehörigen får föra vidare eller utnyttja det han eller hon har fått del av eller tillgång till. Tystnadsplikten omfattar uppgift om abonnemang, innehållet i ett elektroniskt meddelande eller annan uppgift som angår ett särskilt elektroniskt meddelande (dvs. en trafikuppgift, se avsnitt 6.6.2).

Dessutom finns för nyss nämnda tillhandahållare en tystnadsplikt för uppgift som hänför sig till användning av vissa hemliga tvångsmedel. Tystnadsplikt gäller även bl.a. för uppgift som hänför sig till en begäran om utlämnande av uppgifter för brottsbekämpande verksamhet enligt 9 kap. 31 § första stycket 2 och 5 (se 9 kap. 32 § nya LEK). Ett obehörigt röjande eller utnyttjande av sådana uppgifter i strid med aktuella bestämmelser är straffsanktionerat som brott mot tystnadsplikten enligt 20 kap. 3 § brottsbalken.

I lagen finns dessutom bestämmelser som föreskriver en skyldighet för nämnda tillhandahållare att i vissa fall på begäran lämna ut bl.a. uppgift om abonnemang (9 kap. 33 § första stycket nya LEK).

Regeringen bestämmer vilken myndighet som ska vara regleringsmyndighet respektive tillsynsmyndighet (1 kap. 6 § nya LEK). Regleringsmyndigheten ska pröva ansökningar, besluta om skyldigheter och i övrigt pröva frågor och handlägga ärenden enligt nya LEK och enligt föreskrifter meddelade i anslutning till den lagen. Tillsynsmyndigheten ska ta emot anmälningar och utöva tillsyn enligt vad som framgår av nya LEK. PTS är regleringsmyndighet och tillsynsmyndighet enligt nya LEK (1 kap. 5 § nya FEK).

5 Uppgifter om elektronisk kommunikation i brottsbekämpande verksamhet

5.1 Brottsbekämpande verksamhet

Brottsbekämpande verksamhet innefattar främst åtgärder för att dels förebygga, förhindra och upptäcka brottslig verksamhet, dels för att utreda och lagföra brott. Polismyndigheten och Säkerhetspolisen har en brottsbekämpande funktion. Även Åklagarmyndigheten, Ekobrottsmyndigheten, Tullverket, Kustbevakningen, Skatteverket och Försvarsmakten (militärpolisen) är brottsbekämpande myndigheter. Verksamhet för att utreda och beivra brott omfattar framför allt åtgärder inom ramen för förundersökningar. Förfarandet vid en förundersökning regleras framför allt i rättegångsbalken och i förundersökningskungörelsen (1947:948). En förundersökning ska, enligt 23 kap. 1 § RB, inledas så snart det på grund av angivelse eller av annat skäl finns anledning att anta att ett brott som hör under allmänt åtal har förövats. Förundersökningen har huvudsakligen två syften (se 23 kap. 2 §). Det ena är att utröna om brott föreligger, vem som skäligen kan misstänkas för brottet och att skaffa tillräckligt material för bedömning av om åtal ska väckas. Det andra syftet är att bereda målet så att bevisningen kan läggas fram i ett sammanhang vid en huvudförhandling i domstol. Under förundersökningen får straffprocessuella tvångsmedel enligt 24–28 kap. RB användas.

Verksamhet för att förebygga, förhindra och upptäcka brottslig verksamhet bedrivs i ett skede där det inte finns någon konkret uppgift om att ett bestämt brott har begåtts. Med underrättelseverksamhet avses verksamhet som består i att samla in, bearbeta och analysera information för att klarlägga om brottslig verksamhet har utövats,

eller kan komma att utövas, och som inte utgör förundersökning enligt 23 kap. rättegångsbalken.

Underrättelseverksamheten är alltså i huvudsak inriktad på att upptäcka om en viss, inte närmare specificerad brottslighet har ägt rum, pågår eller kan antas komma att begås. Ett övergripande mål är att förse de brottsutredande myndigheterna med kunskap som kan omsättas i operativ verksamhet.

Polismyndigheten och Säkerhetspolisen bedriver underrättelseverksamhet. Sådan verksamhet bedrivs också vid vissa andra myndigheter, såsom Ekobrottsmyndigheten, Skatteverket och Tullverket.

Underrättelseverksamhet bedrivs enligt en viss process. Det första ledet i processen är planeringsfasen. I planeringsfasen tar man ställning till t.ex. vilka områden som är prioriterade och vilka uppgifter som ska hämtas in. Nästa steg är inhämtningen, som kan ske på flera olika sätt. Trots att det ännu inte är fråga om verksamhet för att utreda brott finns det vissa möjligheter att använda tvångsmedel. När information har hämtats in bearbetas den genom att struktureras, systematiseras och värderas, t.ex. genom jämförelser med sedan tidigare kända uppgifter. Därefter vidtar analysen, som är den avgörande fasen i underrättelseprocessen. Det kan handla om t.ex. hot- och riskanalys, analys av brottsmönster och kartläggning av kriminella nätverk och grupperingar. Efter inhämtning, bearbetning och analys är ambitionen att det framtagna underrättelsematerialet ska kunna användas i operativt arbete. Det framtagna underrättelsematerialet kan t.ex. läggas till grund för beslut om att inleda förundersökning eller beslut om att vidta särskilda åtgärder för att förebygga, förhindra eller upptäcka brott. Det kan också användas för att gå ut i media för att förebygga ett visst brottsligt tillvägagångssätt. En annan form av förebyggande verksamhet innebär att berörda personer kontaktas och därigenom blir medvetna om den brottsbekämpande myndighetens intresse, vilket många gånger leder till att den planerade brottsliga verksamheten aldrig kommer till stånd.

1 Se prop. 2017/18:232 s. 430 och jämför med legaldefinitionen i 1 kap. 3 § i den numera upphävda Polisdatalagen (1998:622) 2 Se SOU 2017:75 s. 84 f., Ds 2018:35 s. 34, prop. 2018/19:96 s. 14 och Ds 2020:12 s. 38.

5.2 Allmänt om straffprocessuella tvångsmedel

Straffprocessuella tvångsmedel är åtgärder som företas i myndighetsutövning och innebär intrång i en persons rättssfär utan att personen har lämnat sitt samtycke. Exempel på tvångsmedel är husrannsakan, kroppsvisitation, kroppsbesiktning, beslag, gripande, anhållande och häktning. En grundläggande förutsättning för att använda straffprocessuella tvångsmedel är normalt att en förundersökning har inletts. Användningen ska då ytterst ha till syfte att utreda eller lagföra ett visst brott. Regleringen ger dock stöd även för att i vissa fall använda hemliga tvångsmedel för att förebygga, förhindra eller upptäcka brottslig verksamhet utan att förundersökning har inletts, dvs. i underrättelseverksamhet.

Bland de straffprocessuella tvångsmedlen intar de hemliga tvångsmedlen en särställning. Dessa är hemlig avlyssning av elektronisk kommunikation, hemlig övervakning av elektronisk kommunikation, hemlig kameraövervakning, kvarhållande (och kontroll) av försändelse, hemlig rumsavlyssning och hemlig dataavläsning. Till dessa kommer de s.k. osjälvständiga tvångsmedlen, dvs. tvångsmedlen enligt LSU och preventivlagen, som har sin tillämpning utanför en förundersökning. Även inhämtning av uppgifter enligt inhämtningslagen anses vara ett hemligt tvångsmedel. Den berörde är inte medveten om dessa åtgärder, men det antas att de äger rum mot hans eller hennes vilja. Inhämtning av uppgifter om abonnemang enligt nya LEK anses inte som ett hemligt tvångsmedel.

De hemliga tvångsmedlen omgärdas av särskilda garantier och mekanismer som ska säkerställa att reglerna och tillämpningen av dem lever upp till högt ställda krav på rättssäkerhet och att intrånget i den personliga integriteten minimeras. För tillstånd till hemliga tvångsmedel krävs normalt prövning i domstol. Vid domstolsprövningen av flertalet av tvångsmedlen ska ett offentligt ombud närvara för att bevaka enskildas integritetsintressen. Det offentliga ombudet ska ha tillgång till allt material som ligger till grund för domstolens prövning och rätt att överklaga domstolens beslut. Till rättssäkerhetsgarantierna räknas också bl.a. en skyldighet att i efterhand underrätta vissa personer om att hemliga tvångsmedel har använts samt

3 Lindberg, Straffprocessuella tvångsmedel, 5:e uppl., 2022, s. 47. 4 Se prop. 2011/12:55 s. 111. 5 Se a. prop. s. 110–111.

SIN:s tillsyn över de brottsbekämpande myndigheternas användning av tvångsmedlen.

När lagstiftaren har preciserat i vilka fall en viss myndighet ska ha rätt att få tillgång till en viss typ av uppgifter kan regleringen inte kringgås genom att myndigheten väljer att tillämpa andra tvångsmedel. Exempelvis regleras de brottsbekämpande myndigheternas tillgång till innehållet i ett särskilt elektroniskt meddelande som finns hos en teleoperatör exklusivt av reglerna om hemlig avlyssning av elektronisk kommunikation. Beslag, husrannsakan och edition får därför inte användas för att få fram sådana uppgifter. När ett meddelande har nått fram till mottagaren är det däremot åtkomligt med stöd av reglerna om husrannsakan och beslag.

Principerna om ändamål, behov och proportionalitet

För all användning av tvångsmedel gäller tre allmänna principer: ändamålsprincipen, behovsprincipen och proportionalitetsprincipen.

Enligt ändamålsprincipen får ett tvångsmedel användas endast för det ändamål som framgår av lagstiftningen. En ändamålsprövning bör ske före behovs- och proportionalitetsprövningen. Om tvångsmedlet inte ska användas för det ändamål det är till för, spelar det ingen roll om det finns ett påtagligt behov och åtgärden framstår som proportionerlig. I reglerna om hemliga tvångsmedel anges dock inte uttryckligen för vilket specifikt ändamål tvångsmedlen får användas. Ändamålet får i stället sökas i de allmänna ändamålen med förundersökning.

Behovsprincipen innebär att ett tvångsmedel får användas endast om det finns ett påtagligt behov och en mindre ingripande åtgärd inte är tillräcklig. När det inte längre finns skäl för åtgärden ska den upphävas. Åtgärder som huvudsakligen har till syfte att underlätta för myndigheten anses strida mot principen.

Enligt proportionalitetsprincipen ska en tvångsåtgärd i fråga om art, styrka, räckvidd och varaktighet stå i rimlig proportion till vad som står att vinna med åtgärden. Proportionalitetsprincipen finns

6 Med teleoperatör menar vi i detta betänkande sådana tillhandahållare som omfattas av skyldigheten att anmäla sin verksamhet enligt 2 kap. 1 § nya LEK. 7 Se prop. 2002/03:74 s. 45 och 46 och Lindberg, Straffprocessuella tvångsmedel, 5:e uppl. 2022, s. 600 och 601. 8 Se Lindberg, Straffprocessuella tvångsmedel, 5:e uppl. 2022, s. 569 och SOU 2017:75 s. 90–92.

lagstadgad i t.ex. 27 kap. 1 § RB och 2 § inhämtningslagen, men anses gälla vid all tvångsanvändning även utan lagstöd. Vid bedömningen om åtgärden är proportionerlig ska det intrång eller annat men som tvångsmedlet innebär för den misstänkte eller för något annat motstående intresse beaktas. Härmed inbegrips, förutom direkta följder för den som utsätts för tvångsmedlet, även indirekta verkningar av tvångsmedelsanvändningen. Det kan t.ex. röra sig om intrång i tredje mans rättsligt skyddade intressen. Det ska alltid ske en prövning huruvida tvångsmedlet över huvud taget är påkallat med hänsyn till förhållandena i det enskilda fallet och om syftet kan tillgodoses genom någon mindre ingripande åtgärd. Utgångspunkten bör vara att pröva om alternativa spaningsåtgärder kan användas och om det kan räcka med att exempelvis tillgripa hemlig övervakning av elektronisk kommunikation i stället för hemlig avlyssning. Personlig frihet och integritet ska också beaktas. Ingrepp i dessa intressen är till sin art allvarligare än ingrepp mot egendom eller andra ekonomiska intressen. Det är särskilt viktigt att proportionalitet iakttas vid långtgående intrång i den privata sfären.

När begränsningar görs i rättigheter som följer av Europakonventionen eller EU-stadgan ska alltid proportionalitetsprincipen beaktas. Endast om det finns ett rimligt förhållande mellan behovet av det som ska tillgodoses och ingreppet i den enskildes rätt kan ingreppet vara proportionerligt och därmed nödvändigt i ett demokratiskt samhälle.

5.3 Tillgången till uppgifter om elektronisk kommunikation

5.3.1 Tillgången till uppgift om abonnemang, m.m.

Som nämnts i avsnitt 4.3 har den som tillhandahåller ett elektroniskt kommunikationsnät eller en elektronisk kommunikationstjänst som inte är en nummeroberoende interpersonell kommunikationstjänst (Noik) en tystnadsplikt för bl.a. uppgifter om abonnemang (9 kap. 31 § förstastycket 1 nya LEK). Trots tystnadsplikten har Ekobrottsmyndigheten, Polismyndigheten, Säkerhetspolisen, Tullverket, Åklagarmyndigheten eller någon annan myndighet som ska ingripa mot brottet

9 Se SOU 1979:6 s. 294 och SOU 1984:54 s. 78. 10

Se Hans Danelius, Mänskliga rättigheter i europeisk praxis, 5:e uppl., 2015, s. 57 och 58.

eller den brottsliga verksamheten rätt att få tillgång till abonnemangsuppgifter från dessa tillhandahållare, om uppgiften gäller brottslig verksamhet eller misstanke om brott som myndigheten ska ingripa mot (9 kap. 33 § förstastycket 2 nya LEK). Regleringen innebär att de brottsbekämpande myndigheterna i princip har rätt att hämta in abonnemangsuppgifter för att beivra alla typer av brott utom sådana som åtalas enbart av målsäganden. Uppgifter om abonnemang får hämtas in även i underrättelseverksamhet. Det saknas närmare regler om vem inom de brottsbekämpande myndigheterna som har rätt att hämta in abonnemangsuppgifterna och formen för hur uppgifterna ska hämtas in. Det kan noteras att Utredningen om utökade möjligheter att använda hemliga tvångsmedel (Ju 2020:20) i sitt slutbetänkande Bättre möjligheter att verkställa frihetsberövanden (SOU 2022:50) bl.a. har föreslagit en skyldighet för nämnda tillhandahållare att på begäran lämna ut uppgifter om abonnemang dels till Polismyndigheten om myndigheten bedömer att uppgiften behövs för att den ska kunna lokalisera personer i syfte att möjliggöra verkställighet av frihetsberövande påföljder, dels till Säkerhetspolisen om myndigheten bedömer att uppgiften behövs för att myndigheten ska kunna lokalisera en utlänning som inte har fullgjort sin anmälningsskyldighet enligt LSU.

Uppgifter om abonnemang anses typiskt sett vara mindre integritetskänsliga än t.ex. trafik- och lokaliseringsuppgifter eftersom de endast ger uppgift om att personen är abonnent eller användare av en viss tjänst eller av en ip-adress vid en viss tidpunkt. Som nämnts ovan anses tillgången till abonnemangsuppgifter inte heller utgöra ett hemligt tvångsmedel.

Bestämmelserna om uppgiftsskyldighet i gamla LEK ändrades den 1 juli 2012. Tidigare gällde att tystnadsplikten för uppgifter om abonnemang bara bröts om fängelse var föreskrivet för brottet och det enligt myndighetens bedömning kunde föranleda annan påföljd än böter. I förarbetena till 2012 års ändring i gamla LEK konstaterade regeringen att det skett en betydande teknisk utveckling och förändring av i vilken omfattning enskilda använder bl.a. datorer och mobiltelefoner. Trakasserier över internet och vuxnas kontakter med barn i sexuellt syfte bedömdes ha blivit ett allt vanligare feno-

11 Se SOU 2015:31 s. 198 f. och SOU 2017:75 s. 101. 12 Se prop. 2021/22 :183 s. 61. 13 Se prop. 2011/12 :55 s. 102.

men. Regeringen fann att intresset av att lämna ut abonnemangsuppgifter för att bekämpa brott vägde tyngre än det motstående intresset av att skydda enskildas integritet och föreslog därför att kravet på fängelse i straffskalan och det särskilda kravet i fråga om brottets straffvärde togs bort.

Vidare finns det en skyldighet i 9 kap. 33 § förstastycket 5 nya LEK för den som tillhandahåller ett elektroniskt kommunikationsnät eller en elektronisk kommunikationstjänst som inte är en Noik att lämna ut uppgifter som angår ett särskilt elektroniskt meddelande om vilka övriga tillhandahållare av elektroniska kommunikationsnät eller elektroniska kommunikationstjänster som har deltagit vid överföringen av ett meddelande som omfattas av ett föreläggande enligt 27 kap. 16 § RB till den myndighet som meddelat föreläggandet. Denna skyldighet och möjligheten i rättegångsbalken att meddela ett sådant s.k. bevarandeföreläggande infördes i maj 2021 i samband med att Sverige skulle tillträda Europarådets konvention om it-relaterad brottslighet (den s.k. Budapestkonventionen). Budapestkonventionen ställer nämligen krav på att lagrade datorbehandlingsbara uppgifter ska kunna säkras oavsett om en eller flera tjänsteleverantörer har deltagit i överföringen. Konventionsstaterna ska därför garantera att en tillräcklig mängd sådana trafikuppgifter ska kunna röjas för myndigheterna så att tjänsteleverantörerna, och den väg meddelandet överförts, ska kunna identifieras (artikel 17). Det är genom bestämmelsen i 9 kap. 33 § förstastycket 5 nya LEK möjligt att ta reda på från vilken tillhandahållare som meddelandet sändes och, för det fall det har vidaresänts, till vilken tillhandahållare det vidaresändes. Det ankommer på tillhandahållaren att ta fram de uppgifter som begärs. Om leverantören inte har någon uppgift om vilka de övriga aktörerna är kan någon information inte lämnas ut. Bestämmelsen innebär inte heller något krav på att spara eller lagra uppgifter.

Bestämmelserna i 9 kap. 33 § första stycket nya LEK omfattar även skyldigheter för tillhandahållarna att lämna ut uppgifter såväl till brottsbekämpande som till vissa andra myndigheter och till regionala alarmeringscentraler i annat än brottsbekämpande syfte.

För att uppgifter om en fysisk person ska tas in i en allmänt tillgänglig abonnentförteckning krävs att personen har samtyckt till det

14

Se a. prop. s. 103. 15

Se prop. 2020/21:72. 16

Se a. prop. s. 38 f.

(se 9 kap. 17 och 18 §§ nya LEK). I den utsträckning uppgifter finns tillgängliga i sådana allmänt tillgängliga förteckningar omfattas de, på grund av abonnentens samtycke, i praktiken inte av tystnadsplikten. Bestämmelserna om skyldighet att lämna ut uppgifter om abonnenter får därför betydelse i första hand i fråga om uppgifter som rör abonnenter som inte har lämnat sitt samtycke till att uppgifterna offentliggörs och när det gäller sådana uppgifter som normalt inte offentliggörs, såsom t.ex. ip-adresser.

5.3.2 Tillgången till trafik- och lokaliseringsuppgifter inom en förundersökning

Hemlig avlyssning av elektronisk kommunikation

Hemlig avlyssning av elektronisk kommunikation (HAK) innebär att meddelanden, som i ett elektroniskt kommunikationsnät överförs eller har överförts till eller från ett telefonnummer eller annan adress, i hemlighet avlyssnas eller tas upp genom ett tekniskt hjälpmedel för återgivning av innehållet i meddelandet (27 kap. 18 § första stycket RB). Definitionen omfattar alla former av kommunikation genom elektroniska kommunikationsnät, såväl muntlig som skriftlig, och avser t.ex. telefontrafik, e-posttrafik och överföring av datafiler. Avlyssning kan, med vissa begränsningar, ske även utanför allmänt tillgängliga telenät, t.ex. inom större företagsnät.

HAK får användas vid förundersökning om brott för vilket det inte är föreskrivet lindrigare straff än fängelse i två år. Därutöver får HAK användas vid förundersökning om vissa samhällsfarliga brott som bekämpas av Säkerhetspolisen, t.ex. sabotage, spioneri och vissa brott enligt terroristbrottslagen (2022:666). HAK får också användas vid förundersökning om försök, förberedelse eller stämpling till nu nämnd brottslighet i den mån sådana förstadier till brott är straffbelagda. Tvångsmedlet får också användas vid förundersökning i fråga om annat brott om det med hänsyn till omständigheterna kan antas att brottets straffvärde skulle överstiga fängelse i två år. Ett tillstånd till HAK ger också rätt att vidta åtgärder som avses i 27 kap. 19 § RB, dvs. att inhämta sådana uppgifter som omfattas av hemlig övervakning av elektronisk kommunikation.

17 Se prop. 2018/19:86 s. 94.

En förutsättning för att HAK ska få användas vid förundersökning är att någon är skäligen misstänkt för brottet. Åtgärden ska vidare vara av synnerlig vikt för utredningen (27 kap. 20 § första stycket RB). Avlyssning får avse ett telefonnummer eller annan adress eller en viss elektronisk kommunikationsutrustning som under den tid som tillståndet avser innehas eller har innehafts av den misstänkte eller annars kan antas ha använts eller komma att användas av den misstänkte. Avlyssningen får också avse ett telefonnummer eller annan adress eller en viss elektronisk kommunikationsutrustning som det finns synnerlig anledning att anta att den misstänkte under den tid som tillståndet avser har kontaktat eller kommer att kontakta.

Hemlig övervakning av elektronisk kommunikation

Hemlig övervakning av elektronisk kommunikation (HÖK) innebär att uppgifter i hemlighet hämtas in om meddelanden (både samtal och skriftliga meddelanden) som i ett elektroniskt kommunikationsnät överförs eller har överförts till eller från ett telefonnummer eller annan adress. Även uppgifter om vilka elektroniska kommunikationsutrustningar som har funnits inom ett visst geografiskt område (s.k. basstationstömning) eller i vilket geografiskt område en viss elektronisk kommunikationsutrustning finns eller har funnits kan hämtas in med stöd av hemlig övervakning av elektronisk kommunikation (27 kap. 19 § första stycket RB). Tvångsmedlet kan även användas för att hindra meddelanden som överförs i ett elektroniskt kommunikationsnät från att nå fram (27 kap. 19 § andra stycket RB).

Tvångsmedlet ger inte tillgång till innehållet i utväxlade meddelanden. Det som kan hämtas in är trafikuppgifter och lokaliseringsuppgifter. HÖK omfattar såväl inhämtning av uppgifter från teleoperatörer som inhämtning genom egna tekniska medel som de brottsbekämpande myndigheterna förfogar över.

HÖK får användas vid förundersökning om brott för vilket det inte är föreskrivet lindrigare straff än fängelse i sex månader, vid förundersökning som avser dataintrång, barnpornografibrott som inte är att anse som ringa eller narkotikabrott och narkotikasmuggling av normalgraden. Därutöver får tvångsmedlet användas vid förundersökning om vissa samhällsfarliga brott som bekämpas av Säkerhetspolisen, t.ex. sabotage, spioneri och brott enligt terroristbrottslagen.

HÖK får också användas vid förundersökning om försök, förberedelse eller stämpling till nu nämnd brottslighet i den mån sådana förstadier till brott är straffbelagda (27 kap. 19 § andra stycket RB). HÖK får användas när någon är skäligen misstänkt för brottet eller, med vissa begränsningar, för att utreda vem som skäligen kan misstänkas för brottet (27 kap. 20 § andra stycket RB).

Utredningen om utökade möjligheter att använda hemliga tvångsmedel

Utredningen om utökade möjligheter att använda hemliga tvångsmedel (Ju 2020:20) har i delbetänkandet Utökade möjligheter att använda hemliga tvångsmedel (SOU 2022:19) föreslagit vissa ändringar i reglerna om hemliga tvångsmedel. Bl.a. föreslås att straffvärdeventiler ska införas som gör det möjligt att i vissa situationer beakta en flerfaldig brottslighets samlade straffvärde vid bedömningen av om hemliga tvångsmedel ska få användas. Vidare föreslås att bl.a. HAK och HÖK ska få användas vid förundersökningar om grovt dataintrång, sexualbrott mot barn och barnpornografibrott, utpressning och grov utpressning, mened, övergrepp i rättssak, grovt jaktbrott och grovt insiderbrott. Dessutom föreslås att HAK i vissa fall ska få användas för att utreda vem som skäligen kan misstänkas för brottet.

I slutbetänkandet Bättre möjligheter att verkställa frihetsberövanden (SOU 2022:50) har utredningen bl.a. förslagit att det ska införas en möjlighet att använda HÖK i syfte att eftersöka en person som är anhållen eller häktad men inte frihetsberövad. Vidare föreslås att det ska införas en ny lag med tillhörande förordning med bestämmelser som möjliggör användning av bl.a. HÖK i syfte att lokalisera personer som håller sig undan från en frihetsberövande påföljd.

5.3.3 Tillgången till trafik- och lokaliseringsuppgifter utanför en förundersökning

Lagen om åtgärder för att förhindra vissa särskilt allvarliga brott

Lagen om åtgärder för att förhindra vissa särskilt allvarliga brott (preventivlagen) ger myndigheterna en möjlighet att använda hemliga tvångsmedel för att förhindra brott. Tillstånd till bl.a. HAK och

HÖK får meddelas om det med hänsyn till omständigheterna finns en påtaglig risk för att en person kommer att utöva brottslig verksamhet som innefattar bl.a. sabotage, spioneri och terroristbrott (1 § första stycket). Tillstånd får också meddelas om det finns en påtaglig risk för att det inom en organisation eller grupp kommer att utövas sådan brottslig verksamhet och det kan befaras att en person som tillhör eller verkar för organisationen eller gruppen medvetet kommer att främja denna verksamhet. HAK och HÖK får enligt lagen enbart avse • ett telefonnummer eller annan adress eller en viss elektronisk

kommunikationsutrustning som under den tid tillståndet avser

innehas eller har innehafts av den för tvångsmedlet aktuella per-

sonen, eller som annars kan antas ha använts eller komma att an-

vändas av honom eller henne, eller • ett telefonnummer eller annan adress eller en viss elektronisk

kommunikationsutrustning som det finns synnerlig anledning att

anta att personen under den tid tillståndet avser har kontaktat

eller kommer att kontakta.

Även om lagen främst rör brottslig verksamhet inom Säkerhetspolisens område kan också Polismyndigheten använda lagen. Frågan om tillstånd till tvångsmedel enligt lagen prövas av Stockholms tingsrätt efter ansökan av åklagare. Tillstånd får meddelas endast om åtgärden är proportionerlig och av synnerlig vikt för att förhindra brottslig verksamhet.

Den 2 november 2021 tillsatte regeringen en utredning om preventiva tvångsmedel för att förhindra allvarlig brottslighet (dir. 2021:102). Utredningen om preventiva tvångsmedel (Ju 2021:15) har i delbetänkandet Utökande möjligheter att använda preventiva tvångsmedel (SOU 2022:52) övervägt i vilken utsträckning det ska införas utökade möjligheter att använda preventiva tvångsmedel för att förhindra allvarlig brottslighet som förekommer inom ramen för kriminella nätverk. Utredningen har föreslagit ett utökat tillämpningsområde som avgränsas till brottslig verksamhet som utövas inom en organisation eller grupp och att tvångsmedelsanvändningen endast får riktas mot en person som tillhör eller verkar för organisationen eller gruppen och kan befaras medvetet främja den brottsliga verksamheten. Det utökade tillämpningsområdet föreslås omfatta brottslig verksamhet

innefattande bl.a. mord, människorov, narkotikabrott, vapenbrott, sprängningsbrott och olovlig hantering av explosiva varor.

Genom tilläggsdirektiv den 7 juli 2022 (dir. 2022:104) ska utredningen även ta ställning till om, och i så fall vilka, ytterligare tvångsmedel och verkställighetsåtgärder som bör få användas av de brottsbekämpande myndigheterna för att förhindra allvarlig brottslighet, till exempel hemlig rumsavlyssning, hemlig dataavläsning avseende rumsavlyssningsuppgifter, genomsökning på distans, biometrisk autentisering och kopiering. Utredaren ska dessutom ta ställning till om tillstånd till hemlig kameraövervakning och hemlig dataavläsning avseende kameraövervakningsuppgifter utanför en förundersökning bör kunna knytas till en person. Uppdraget ska i denna del redovisas senast den 31 maj 2023.

Lagen om särskild kontroll av vissa utlänningar

Den 1 juli 2022 trädde lagen (2022:700) om särskild kontroll av vissa utlänningar (LSU) i kraft. Enligt 2 kap. 1 § LSU får en utlänning utvisas ur Sverige om utlänningen 1. med hänsyn till vad som är känt om hans eller hennes tidigare

verksamhet och övriga omständigheter kan antas komma att begå

eller på annat sätt medverka till ett brott enligt terroristbrotts-

lagen (2022:666), eller 2. kan utgöra ett allvarligt hot mot Sveriges säkerhet.

Vissa tvångsmedel får användas om ett beslut om sådan utvisning tills vidare inte ska verkställas på grund av ett beslut om inhibition eller ett tidsbegränsat uppehållstillstånd. Detsamma gäller om ett beslut om utvisning enligt 8 eller 8 a kap. utlänningslagen (2005:716) inte kan verkställas och utlänningen skulle kunna utvisas enligt 2 kap. 1 § LSU (5 kap. 1 § LSU).

Om det finns särskilda skäl får tillstånd till vissa hemliga tvångsmedel meddelas om det är av betydelse för att klarlägga om

18 Genom lagen upphävdes lagen (1991:572) om särskild utlänningskontroll.

1. utlänningen tillhör eller verkar för en organisation eller grupp

som planlägger eller förbereder brott enligt terroristbrottslagen

(2022:666) eller om det finns en risk för att utlänningen kan komma

att engagera sig i en sådan organisation eller grupp, 2. det finns risk för att utlänningen själv planlägger eller förbereder

brott som avses i 1, eller 3. det finns risk för att utlänningen själv eller tillsammans med andra

medverkar i eller på annat sätt främjar ett allvarligt brott som rör

Sveriges säkerhet.

Säkerhetspolisen får hos Migrationsverket ansöka om godkännande att ansöka om tillstånd de hemliga tvångsmedlen (5 kap. 8 § andrastycket 2 LSU). I samband med att regeringen beslutar om inhibition eller tidsbegränsat uppehållstillstånd får regeringen godkänna att Säkerhetspolisen får ansöka om tillstånd till de hemliga tvångsmedlen (5 kap. 9 § förstastycket 2 LSU).

Säkerhetspolisen får, efter godkännande enligt ovan, hos Stockholms tingsrätt ansöka om ett tillstånd till HAK, HÖK, hemlig kameraövervakning eller postkontroll (5 kap. 11 § LSU).

Det kan slutligen nämnas att det i slutbetänkandet Bättre möjligheter att verkställa frihetsberövanden (SOU 2022:50) har förslagits att det ska införas en möjlighet att använda HÖK i syfte att kunna lokalisera en utlänning som inte har fullgjort sin anmälningsskyldighet.

Inhämtningslagen

Enligt lagen om inhämtning av uppgifter om elektronisk kommunikation i de brottsbekämpande myndigheternas underrättelseverksamhet (inhämtningslagen) får Polismyndigheten, Säkerhetspolisen eller Tullverket i sin underrättelseverksamhet i hemlighet hämta in uppgifter om meddelanden som i ett elektroniskt kommunikationsnät har överförts till eller från ett telefonnummer eller annan adress, om vilka elektroniska kommunikationsutrustningar som har funnits inom ett visst geografiskt område eller uppgifter om inom vilket geografiskt område en viss elektronisk kommunikationsutrustning finns eller har funnits (1 §). Lagen reglerar enbart inhämtning från den som enligt lagen om elektronisk kommunikation tillhandahåller ett elektroniskt kommunikationsnät eller en elektronisk kommuni-

kationstjänst som inte är en nummeroberoende interpersonell kommunikationstjänst. Lagen ger alltså inte stöd för de brottsbekämpande myndigheterna att hämta in uppgifter med hjälp av egna tekniska hjälpmedel.

Uppgifter får enligt lagen hämtas in om omständigheterna är sådana att åtgärden är av särskild vikt för att förebygga, förhindra eller upptäcka brottslig verksamhet som innefattar brott som har minst två års fängelse i straffskalan. Inhämtning av uppgifter är också möjlig vid brottslig verksamhet som innefattar vissa särskilt angivna samhällsfarliga brott inom Säkerhetspolisens ansvarsområde med lägre straffminimum, t.ex. sabotage och spioneri (2 §). Genom rekvisitet ”brottslig verksamhet” framgår att det inte ställs krav på att det ska finnas en misstanke om ett specifikt brott.

Beslut om inhämtning av uppgifter fattas av åklagare vid Åklagarmyndigheten efter ansökan av Polismyndigheten, Säkerhetspolisen eller Tullverket.

Enligt tilläggsdirektiv den 28 april 2022 (dir. 2022:32) ska Utredningen om preventiva tvångsmedel ta ställning till om, och i så fall på vilket sätt, tillämpningsområdet för inhämtningslagen bör utvidgas och till hur beslutsordningen bör se ut vid en eventuell utvidgning av inhämtningslagens tillämpningsområde. Uppdraget i denna del ska redovisas senast den 31 maj 2023.

5.3.4 Hemlig dataavläsning

Hemlig dataavläsning (HDA) är ett relativt nytt tvångsmedel som innebär att uppgifter, som är avsedda för automatiserad behandling, i hemlighet och med ett tekniskt hjälpmedel läses av eller tas upp i ett avläsningsbart informationssystem (1 § lagen om hemlig dataavläsning). Tvångsmedlet ger Polismyndigheten, Säkerhetspolisen, Tullverket och Ekobrottsmyndigheten möjligheter att avlyssna och övervaka personer som är misstänkta för eller förväntas begå allvarliga brott.

HDA kan användas såväl under en förundersökning som utanför. Med stöd av tvångsmedlet kan myndigheterna i hemlighet installera mjuk- eller hårdvara i en teknisk utrustning (till exempel en dator, mobiltelefon eller läsplatta) och med hjälp av mjuk- eller hårdvaran

19 Se prop. 2011/12:55 s. 121.

läsa av uppgifter som finns i utrustningen. Det kan till exempel handla om att installera en trojan för att läsa av meddelanden och avlyssna samtal i krypterade program och appar eller skaffa sig tillgång till ett konto i sociala medier. Det kan också handla om att aktivera mikrofonen eller kameran i en utrustning och på så sätt hämta in tal och rörliga bilder. Det kan också handla om att myndigheterna, med tillgång till inloggningsuppgifter, kan logga in från sina egna datorer på ett användarkonto för att t.ex. ta del av e-postmeddelanden.

Om hårdvara behöver installeras i t.ex. någons dator, kan myndigheterna få tillstånd att i hemlighet ta sig in i utrymmet där utrustningen finns för att installera hårdvaran.

Frågor om hemlig dataavläsning prövas av domstol. Lagen om hemlig dataavläsning är tidsbegränsad och upphör att gälla vid utgången av mars 2025. En särskild utredare har fått i uppdrag att utvärdera lagen inför ett ställningstagande till om den bör permanentas och om den i så fall bör ändras i något avseende (dir. 2022:82). Uppdraget ska redovisas senast den 1 december 2023.

I delbetänkandet Utökade möjligheter att använda hemliga tvångsmedel (SOU 2022:19) föreslås vissa ändringar i lagen om hemlig dataavläsning. Bl.a. föreslås en straffvärdeventil som gör det möjligt att i vissa situationer beakta en flerfaldig brottslighets samlade straffvärde vid bedömning av om hemlig dataavläsning ska få användas.

Som nämnts ovan ska Utredningen om preventiva tvångsmedel ta ställning till om hemlig dataavläsning avseende rumsavlyssningsuppgifter bör få användas av de brottsbekämpande myndigheterna för att förhindra allvarlig brottslighet.

5.3.5 Genomsökning på distans

Den 1 juni 2022 infördes tvångsmedlet genomsökning på distans. Tvångsmedlet innebär en möjlighet för de brottsbekämpande myndigheterna att söka efter handlingar som finns lagrade i ett avläsningsbart informationssystem utanför den elektroniska kommunikationsutrustning som används för att utföra genomsökningen (28 kap. 10 a § RB). Genomsökning på distans får ske endast i syfte att söka efter handlingar som kan ha betydelse för utredning av brott eller om förverkande av utbyte av brottslig verksamhet enligt 36 kap. 1 b § brottsbalken. För att genomsökning på distans ska få utföras krävs

att det finns anledning att anta att brott har begåtts på vilket fängelse kan följa. Vidare krävs att det informationssystem som genomsökningen ska utföras i kan ha använts av den som skäligen kan misstänkas för brottet eller, i annat fall, om det finns synnerlig anledning att anta att det går att påträffa handlingar som kan vara av betydelse för utredning av brottet eller om förverkande av utbyte av brottslig verksamhet. Till skillnad mot HDA får genomsökningen endast utföras genom autentisering i det informationssystem som åtgärden avser (28 kap. 10 b § RB).

Om det finns anledning att anta att någon har möjlighet att öppna informationssystemet genom biometrisk autentisering, är han eller hon skyldig att på tillsägelse av en polisman medverka till detta under förutsättning att genomsökningen annars försvåras. Vid vägran att medverka vid sådan autentisering får en polisman genomföra autentiseringen (27 kap. 17 f § RB). Vad som nu sagts gäller även för tjänstemän vid Tullverket och kustbevakningstjänstemän i fråga om vissa brott (se 26 och 29 a §§ lagen [2000:1225] om straff för smuggling).

Genomsökning på distans får beslutas av undersökningsledaren, åklagaren eller rätten. En polisman får dock vidta åtgärden utan ett sådant beslut om det är fara i dröjsmål och genomsökningen inte kan antas bli av stor omfattning eller medföra synnerlig olägenhet för den som drabbas av åtgärden (28 kap. 10 d § RB). Den misstänktes samtycke får inte åberopas som stöd för genomsökningen, om inte den misstänkte själv har begärt att åtgärden ska utföras (28 kap. 1 § tredje stycket RB). Genomsökning på distans får beslutas endast om skälen för åtgärden uppväger det intrång eller men i övrigt som åtgärden innebär för den misstänkte eller något annat motstående intresse (28 kap. 3 a och 10 i §§ RB).

5.4 Svensk jurisdiktion och internationell rättslig hjälp

5.4.1 Svensk jurisdiktion

Ordet jurisdiktion används främst för att hänvisa till en stats maktutövning över personer och egendom inom dess eget territorium. En stats jurisdiktion kan utövas genom rätten att stifta lagar och andra regler (legislativ jurisdiktion), rätten att tillämpa lagstiftningen eller skipa rätt (judiciell jurisdiktion) och rätten att verkställa åtgärder

eller förverkliga beslut som fattats inom ramen för lagstiftning och rättskipning (exekutiv jurisdiktion).

I det s.k. Lotus-målet från år 1927 (som avgjordes av den Fasta mellanfolkliga domstolen, Permanent Court of International Justice, PCIJ, Ser. A, no. 10) slog domstolen fast att den viktigaste inskränkningen som folkrätten ålägger en stat är att inte utöva makt inom en annan stats territorium. Samtidigt konstaterade domstolen att det inte finns något hinder för en stat att utöva jurisdiktion inom sitt eget territorium över något som har inträffat utomlands om det inte finns ett uttryckligt folkrättsligt förbud mot det. Domstolen menade att en stat kan utöva lagstiftande och dömande makt över personer och egendom som befinner sig utomlands och över händelser som äger rum utanför statens territorium, så länge det handlar om egna medborgare eller egendom som har en länk till staten och förutsatt att det inte råder något folkrättsligt förbud mot ett sådant utövande av jurisdiktion. Verkställigheten av nationella lagar och domar (t.ex. gripande eller beslag) kan dock äga rum endast inom det egna territoriet.

Domstolens avgörande i Lotus-målet har gett upphov till den s.k. Lotus-principen, som innebär att det som inte uttryckligen är förbjudet i folkrätten är tillåtet. Principen handlar både om rätten att stifta nationella lagar och om rätten att verkställa nationella lagar.

En stats maktmonopol inom det egna territoriet vad gäller verkställande åtgärder har ett undantag. Sådana åtgärder får inte tillämpas på andra länders diplomatiska eller politiska företrädare, vilka åtnjuter immunitet.

När det gäller utövande av lagstiftande eller dömande straffrättslig jurisdiktion har en stat rätt att lagföra brott inom sitt eget territorium samt över egna medborgare, även om brottet i fråga begåtts i en annan stat. När det gäller utövningen av en stats straffrättsliga jurisdiktion mot en annan stats medborgare är folkrättsliga regler om jurisdiktion relevanta. Nationella domstolars behörighet att tilllämpa sina egna strafflagar bygger på ett antal principer som har stöd i statspraxis och i folkrättsdoktrinen, och som kan hänföras till ett antal anknytningspunkter, t.ex. om territoriet, nationalitet, skyddet av statens vitala intressen samt det universella intresset.

I avsnitt 11 avhandlas vissa frågor om exekutiv jurisdiktion.

20

Se Bring m.fl., Sverige och folkrätten, JUNO, version 6, s. 107 ff.

5.4.2 Internationell rättslig hjälp

Eftersom svenska brottsbekämpande myndigheter saknar exekutiv jurisdiktion för att verkställa beslut om utredningsåtgärder i en annan stat, får de i stället begära hjälp från den aktuella staten för att få åtgärden utförd. Svenska brottsbekämpande myndigheters möjlighet till rättslig hjälp när det gäller straffprocessuella tvångsmedel regleras främst i lagen (2000:562) om internationell rättslig hjälp i brottmål och i lagen (2017:1000) om en europeisk utredningsorder. Nedan redogörs för dessa lagar (se även avsnitt 11.4).

Lagen om internationell rättslig hjälp i brottmål

Lagen om internationell rättslig hjälp i brottmål (LIRB) är tillämplig på samarbete som tar sikte på rättsliga förfaranden som gäller utredning om och lagföring för brott. Lagen gäller inte om lagen om en europeisk utredningsorder är tillämplig (se nedan). Enligt 1 kap. 2 § LIRB kan rättslig hjälp omfatta bl.a. HAK, HÖK och hemlig dataavläsning (HDA).

Tillstånd till nämnda tvångsmedel lämnas under samma förutsättningar som gäller för motsvarande åtgärder under en svensk förundersökning, enligt rättegångsbalken eller annan lag eller författning, med beaktande av de särskilda bestämmelser som finns i LIRB (2 kap. 1 §). Vid prövningen om åtgärden kan vidtas i Sverige ska gärningen bedömas enligt svensk rätt och de svenska strafftrösklarna gäller. Det föreligger ett krav på dubbel straffbarhet (2 kap. 2 § LIRB).

Det finns vissa allmänna regler som gäller för samtliga prövningar av ansökningar från andra länder. En ansökan ska enligt dessa bestämmelser avslås om ett bifall till ansökan skulle kränka Sveriges suveränitet, medföra fara för rikets säkerhet eller strida mot svenska allmänna rättsprinciper eller andra väsentliga intressen. Ansökan får vidare avslås bl.a. om gärningen har karaktär av ett politiskt eller militärt brott, eller omständigheterna annars är sådana att ansökan inte bör bifallas. Om åklagaren eller domstolen finner att ansökan bör avslås på någon av de nu angivna grunderna ska ansökan överlämnas till regeringen som beslutar i frågan (2 kap. 14 och 15 §§ LIRB).

Svenska åklagares möjligheter att begära rättslig hjälp utomlands är i huvudsak oreglerad, eftersom möjligheterna att få rättslig hjälp

av andra stater främst styrs av dessa staters internationella åtaganden och nationella lagstiftning.

Lagen om en europeisk utredningsorder

Med en europeisk utredningsorder avses antingen 1. ett beslut i Sverige som innebär att en utredningsåtgärd ska vidtas

i en annan medlemsstat i syfte att inhämta bevisning och som har

meddelats av en åklagare eller domstol under en förundersökning

eller rättegång i brottmål, eller 2. ett beslut i en annan medlemsstat som innebär att en utrednings-

åtgärd ska vidtas i Sverige i syfte att inhämta bevisning och som

har meddelats eller godkänts av en domare, domstol, undersök-

ningsdomare eller allmän åklagare i ett straffrättsligt förfarande

eller i ett annat förfarande avseende straffbara gärningar som in-

leds vid en administrativ eller rättslig myndighet, när ett beslut i

ett sådant annat förfarande kan leda till ett förfarande inför en

domstol som är behörig att handlägga brottmål (1 kap. 3 § lagen

om en europeisk utredningsorder).

I 1 kap. 4 § lagen om en europeisk utredningsorder anges vad en utredningsåtgärd enligt lagen ska avse eller motsvara. Där framgår att bl.a. HAK, HÖK och HDA är utredningsåtgärder som avses i lagen.

En europeisk utredningsorder får utfärdas i Sverige av åklagare om de förutsättningar som gäller för att vidta utredningsåtgärden under en svensk förundersökning är uppfyllda och åtgärden är nödvändig och proportionerlig. Dessutom krävs, när det är fråga om hemliga tvångsmedel, att domstol har lämnat tillstånd till att utfärda ordern (se 2 kap. samma lag).

När det gäller erkännande och verkställighet i Sverige av en europeisk utredningsorder gäller att en utredningsorder som sänds över från en annan medlemsstat ska erkännas och verkställas i Sverige om vissa särskilda förutsättningar enligt lagen är uppfyllda och inte annat följer av lagen (3 kap. 1 § lagen om en europeisk utredningsorder). För hemliga tvångsmedel ställs som en särskild förutsättning upp att en utredningsorder får erkännas och verkställas endast om den gärning som avses i utredningsordern motsvarar ett brott enligt svensk lag

och om övriga förutsättningar som gäller för en motsvarande åtgärd i en svensk förundersökning är uppfyllda (3 kap. 4 § samma lag).

Bland de obligatoriska vägransgrunderna nämns att utredningsordern skulle medföra fara för Sveriges säkerhet. Även att utredningsåtgärden inte motsvarar en åtgärd som anges i 1 kap. 4 § lagen om en europeisk utredningsorder utgör en obligatorisk vägransgrund, dock inte om en annan utredningsåtgärd kan vidtas som ger motsvarande resultat som den åtgärd som utredningsordern avser (3 kap. 5 § samma lag).

5.5 Nyttan och behovet av uppgifter om elektronisk kommunikation

För att de brottsbekämpande myndigheterna ska kunna fullgöra sina uppgifter att förebygga, förhindra, upptäcka, utreda och lagföra brott har myndigheterna behov av information. Detta behov kan vara olika stort beroende på vilken brottslighet och vilken sorts aktörer det är fråga om. Myndigheterna kan använda olika metoder för att skaffa relevant information, t.ex. spaning, förhör och kontakter med anmälare och tipsare. Behovet av information i såväl utrednings- som underrättelseverksamhet innefattar också ett behov av uppgifter om elektronisk kommunikation.

I utredningar om allvarlig brottslighet är tillgången till uppgifter om elektronisk kommunikation ofta avgörande för att utredningarna ska kunna föras framåt. Trafik- och lokaliseringsuppgifter har med tiden blivit ett allt viktigare verktyg i brottsbekämpningen och används i princip i varje utredning rörande grova brott. Uppgifterna är ofta den första och enda ingången i ärenden som rör grov brottslighet. I många fall är uppgifterna också helt avgörande för att utredningarna ska nå det stadium där andra insatser kan sättas in. Uppgifter om elektronisk kommunikation kan svara på frågor bl.a. om vilka nummer som har haft kontakt med varandra, när kommunikationen skett, hur intensiv kommunikationen har varit och var användare av t.ex. mobiltelefoner har befunnit sig. Inhämtade uppgifter kan i många fall också få till följd att personer avförs från en utredning, eftersom misstankarna mot dem visar sig sakna substans.

21 Se t.ex. SOU 2017:75 s. 120 f.

Genom tillgången till historiska trafik- och lokaliseringsuppgifter kan de brottsbekämpande myndigheterna kartlägga händelser som anknyter såväl till själva brottstillfället som till planläggning och flykt. Det är inte möjligt att ersätta sådan inhämtning med t.ex. fysisk spaning, eftersom inhämtningen avser historiska uppgifter. Uppgifter om användning av kommunikationstjänster går inte heller att inhämta på annat sätt då det sker i en miljö som de brottsbekämpande myndigheterna inte har tillgång till. De brottsbekämpande myndigheterna är därför beroende av att tillhandahållaren lagrar uppgifter och att dessa uppgifter kan hämtas in när sådana behov uppstår i den brottsbekämpande verksamheten. Vid utredning av internetrelaterad brottslighet är uppgifter om elektronisk kommunikation ofta helt avgörande för att identifiera en misstänkt gärningsman och för att i övrigt driva utredningen framåt. Trafikuppgifternas betydelse i brottsutredningar hänger också samman med att den information som kommer fram vid HÖK och HAK ofta bedöms ha ett betydande bevisvärde i rättegångar som rör grov och organiserad brottslighet.

Uppgifter om elektronisk kommunikation kan även vara av största vikt för att i underrättelseverksamhet förebygga, förhindra och upptäcka brottslig verksamhet. Tillgången till uppgifter om elektronisk kommunikation på underrättelsestadiet kan vara avgörande för att aktörer, platser och tidpunkter ska kunna kopplas samman och ge ett tillräckligt underlag för att inleda förundersökning. Uppgifterna är också väsentliga för en effektiv planering av fysisk spaning, som är resurskrävande och därför viktig att använda på rätt plats och vid rätt tillfälle.

Lagringsskyldigheten i 9 kap. 19 § nya LEK syftar till att säkerställa tillgången till vissa uppgifter om elektronisk kommunikation för brottsbekämpande ändamål.

22

Se a.a. s. 121 f. 23

Se skr. 2020/21:59 s. 39.

6 Lagring och tillgång till uppgifter i syfte att bekämpa brott

6.1 Inledning

Den 1 oktober 2019 trädde nya regler om datalagring för brottsbekämpande ändamål i Sverige i kraft. Ändringarna var föranledda av den s.k. Tele2-domen. Ändringarna innebär bl.a. att lagringens omfattning har begränsats och att lagringstiderna har differentierats i jämförelse med hur det var tidigare. I förarbetena uttalade regeringen att det senast inom fyra år efter ikraftträdandet kunde finnas anledning att se över regleringen, bl.a. mot bakgrund av den tekniska utvecklingen, ändrade kommunikationsvanor och nya mål om datalagring i EU-domstolen. Den tekniska utvecklingen har fortsatt i snabb takt och kommunikationsvanorna har förändrats. Det finns också ny praxis på området.

I samband med att de nya reglerna antogs tillkännagav Riksdagen för regeringen att den skyndsamt ska återkomma med förslag som dels innebär en mer omfattande skyldighet att lagra uppgifter med koppling till nationell säkerhet, dels innebär en mer omfattande lagringsskyldighet generellt. Vidare har riksdagen i ett tillkännagivande den 31 mars 2022 understrukit vikten av att denna utrednings arbete bedrivs skyndsamt och att regeringen så snart som möjligt därefter återkommer till riksdagen med ett förslag i enlighet med det tidigare tillkännagivandet.

Enligt våra direktiv ska vi analysera hur dagens regler om lagring och tillgång till uppgifter om elektronisk kommunikation förhåller sig till ny praxis, överväga och ta ställning till vilka möjligheter som finns till förändringar av reglerna om lagring och tillgång till uppgifter

1 Se prop. 2018/19:86 s. 38 och 108. 2 Se bet. 2018/19: JuU27 punkt 6, rskr. 2018/19:296. 3 Se bet. 2021/22:JuU24 punkt 5, rskr. 2021/22:216.

om elektronisk kommunikation i syfte att tillgodose de brottsbekämpande myndigheternas möjligheter att upprätthålla och stärka sin förmåga, samtidigt som skyddet för de mänskliga rättigheterna säkerställs, och lämna förslag på de författningsändringar och andra åtgärder som bedöms nödvändiga.

6.2 Bakgrunden till nuvarande reglering

Den nu gällande lagringsskyldigheten regleras i 9 kap. 19 och 22 §§ nya LEK och i 9 kap. 7 och 8 §§ nya FEK. Bestämmelserna motsvarar fullt ut vad som tidigare reglerades i 6 kap. 16 a och 16 d §§ gamla LEK och 39 och 40 §§ gamla FEK. Eftersom de ändringar som trädde i kraft den 1 oktober 2019 var föranledda av den s.k. Tele2-domen finns det anledning att här sammanfatta den domen och de överväganden som regeringen gjorde med anledning av den.

6.2.1 Tele2-domen

I Tele2-domen den 21 december 2016 (förenade målen C-203/15 och C-698/15) besvarade EU-domstolen bl.a. en begäran om förhandsavgörande från Kammarrätten i Stockholm avseende tolkningen av artikel 15.1 i e-dataskyddsdirektivet jämförd med artiklarna 7, 8 och 52.1 i rättighetsstadgan. EU-domstolen uttalade att direktivet omfattade både lagstiftning som reglerar lagringen av uppgifter och lagstiftning som reglerar tillgången till dessa uppgifter (p. 75 och 76 i domen). Artikel 15.1 i direktivet, som i viss utsträckning tillåter datalagring, ska enligt domstolen tolkas strikt och mot bakgrund av rättighetsstadgan (p. 91 i domen). Att proportionalitetsprincipen ska iakttas framgår av domstolens fasta praxis, enligt vilken skyddet av den grundläggande rätten till respekt för privatlivet på unionsnivå kräver att undantag från och begränsningar av skyddet för personuppgifter ska inskränkas till vad som är strängt nödvändigt (p. 96 i domen). De svenska reglerna om datalagring bedömdes utgöra inskränkningar i rättigheterna enligt stadgans artiklar 7 (rätten till respekt för privatlivet), 8 (skyddet för personuppgifter) och 11 (yttrandefriheten). Inskränkningar i rättigheterna får enligt EU-domstolen endast göras under vissa förutsättningar, däribland att de är proportionella och strängt nödvändiga. EU-domstolen uttalade vidare att en generell och

odifferentierad lagring aldrig kan vara strängt nödvändig, inte ens för att bekämpa grov brottslighet. EU-domstolen konkluderade att den svenska lagstiftningen överskred gränserna för vad som är strängt nödvändigt och att den inte kan anses motiverad i ett demokratiskt samhälle, såsom krävs enligt artikel 15.1 i e-dataskyddsdirektivet jämförd med artiklarna 7, 8, 11 och 52.1 i stadgan (p. 107 i domen).

När det gäller tillgång till uppgifterna fastslog EU-domstolen att precisa krav måste föreskrivas, att tillgång endast får ges för att bekämpa grov brottslighet och att tillgången i princip bara får avse personer som på något sätt är inblandade i grov brottslighet. I särskilda fall, som när vitala intressen för nationell säkerhet, försvar eller allmän säkerhet hotas av terrorism, skulle dock tillgång kunna ges även till uppgifter om andra personer när det finns objektiva omständigheter som ger skäl att anta att de uppgifterna i ett konkret fall effektivt skulle kunna bidra till att bekämpa terrorism (p. 115–119 i domen). Tillgång ska enligt EU-domstolen som huvudregel ges först efter förhandskontroll av domstol eller annan oberoende myndighet och berörda ska informeras, så snart det inte längre skadar myndighetens utredningar (p. 120 och 121 i domen). Därutöver uttalade domstolen att leverantörerna av elektroniska kommunikationstjänster måste garantera en särskilt hög skydds- och säkerhetsnivå genom lämpliga tekniska och organisatoriska åtgärder, att uppgifterna måste förstöras när lagringstiden gått ut och att lagringen måste ske inom unionen (p. 122 i domen).

EU-domstolens slutsatser i Tele2-domen var att EU-rätten utgör hinder för (1) en nationell lagstiftning som i brottsbekämpande syfte föreskriver en generell och odifferentierad lagring av samtliga trafikuppgifter och lokaliseringsuppgifter avseende samtliga abonnenter och registrerade användare och samtliga elektroniska kommunikationsmedel och för (2) en nationell lagstiftning som inte begränsar tillgången till trafik- och lokaliseringsuppgifter till enbart åtgärder som syftar till att bekämpa grov brottslighet, inte föreskriver att tillgången ska vara underkastad förhandskontroll av en domstol eller en oberoende myndighet och inte kräver att uppgifterna ska lagras inom unionen.

EU-domstolens uttalanden om riktad lagring

Domstolen anförde att det inte finns något hinder mot att en medlemsstat antar lagstiftning som i förebyggande syfte tillåter en riktad lagring av trafikuppgifter och lokaliseringsuppgifter, i syfte att bekämpa grov brottslighet. Förutsättningen för detta är att lagringen av uppgifterna, vad gäller vilka slags uppgifter som ska lagras, vilka kommunikationsmedel som avses, vilka personer som berörs och hur länge lagringen ska ske, begränsas till vad som är strängt nödvändigt (p. 108 i domen). För att en riktad lagring ska vara förenlig med EU-rätten måste den nationella lagstiftningen, enligt EU-domstolen, föreskriva tydliga och precisa bestämmelser som reglerar omfattningen och tillämpligheten av en sådan lagringsåtgärd och som slår fast minimikrav. De personer vars uppgifter har lagrats ska ha tillräckliga garantier som möjliggör ett effektivt skydd av deras personuppgifter mot riskerna för missbruk. Lagstiftningen måste särskilt precisera under vilka omständigheter och villkor en sådan lagringsåtgärd får vidtas i förebyggande syfte, vilket säkerställer att lagringen begränsas till vad som är strängt nödvändigt (p. 109 i domen). Domstolen påpekade att även om villkoren kan variera utifrån vilka åtgärder som vidtas för att förebygga, undersöka, avslöja och väcka åtal för grov brottslighet, måste lagringen av uppgifterna alltid uppfylla objektiva kriterier, som fastställer ett samband mellan de uppgifter som ska lagras och det eftersträvade syftet. I synnerhet måste villkoren vara sådana att de klart avgränsar omfattning och följaktligen den berörda personkretsen (p. 110 i domen). Vad gäller avgränsningen av den personkrets och de situationer som kan komma att beröras av riktad lagring gjorde EU-domstolen följande bedömning. Den nationella lagstiftningen ska grunda sig på objektiva omständigheter som gör det möjligt att ta sikte på en personkrets vars uppgifter kan avslöja en, åtminstone indirekt, koppling till grov brottslighet och på ett eller annat sätt kan bidra till att bekämpa grov brottslighet eller förhindra en allvarlig risk för den allmänna säkerheten. En sådan avgränsning kan säkerställas genom en bedömning att det i ett eller flera geografiska områden finns en förhöjd risk för förberedelse eller genomförande av sådana handlingar (p. 111 i domen).

6.2.2 Tolkningen av Tele2-domen i Sverige

Regeringens uttalanden om riktad lagring

I förarbetena till de ändringar i datalagringsregleringen som gjordes efter Tele2-domen uttalade regeringen bl.a. följande.

Mot bakgrund av EU-domstolens slutsatser i Tele2-domen behöver svensk rätt anpassas för att vara förenlig med EU-rätten. Att upphäva de bestämmelser som föreskriver att operatörerna ska lagra uppgifter om elektronisk kommunikation är uteslutet av både brottsbekämpande och folkrättsliga skäl. Uppgifter om elektronisk kommunikation och andra elektroniska spår är i dag helt nödvändiga för brottsbekämpningen. Om de brottsbekämpande myndigheterna inte skulle ha tillgång till adekvata utredningsverktyg i den elektroniska miljön, skulle brotten i vissa fall vara omöjliga att klara upp och brottsoffer i motsvarande omfattning vara rättslösa. Vissa brott skulle i praktiken kunna bli straffria. Utöver detta måste hänsyn tas till Sveriges internationella åtaganden enligt t.ex. Europakonventionen. Staten har en skyldighet att skydda enskildas privatliv och personliga integritet mot intrång som begås av andra enskilda och, om intrång görs, se till att brotten utreds. En förutsättning för att staten ska kunna leva upp till kraven på att upprätthålla rättstryggheten för enskilda är att staten har en välfungerande och effektiv brottsbekämpning vilket t.ex. innebär att myndigheterna ska ha tillgång till effektiva utredningsverktyg – även i den elektroniska miljön.

När det gäller nyttan och behovet av en riktad lagring är det komplicerat att i förväg ringa in vissa personer eller vissa områden som lagringen skulle riktas in mot, eftersom det inte på förhand går att veta av vem, var eller när ett brott kommer att begås. Europadomstolen har i ett mål om bl.a. avlyssning av mängddata (eng. bulk interception) i underrättelseverksamhet uttalat att det vore fel att automatiskt förutsätta att avlyssning av mängddata skulle innebära ett större intrång i privatlivet än en riktad avlyssning mot misstänkta personer, eftersom den senare till sin natur mer sannolikt skulle resultera i inhämtning och undersökning av stora mängder data gällande den ifrågavarande personens kommunikationer.

4 Se prop. 2018/19:86 s. 26–36. 5 Se Big Brother Watch m.fl. mot Förenade Kungariket, 13 september 2018, mål nr 58170/13, 62322/14 och 24960/15, punkterna 316–317. Målet har därefter prövats i stor sammansättning i en dom den 25 maj 2021.

När det gäller en riktad lagring som begränsar sig till vissa geografiska områden skulle det innebära att förutsättningarna för att lösa allvarlig brottslighet blir olika för olika delar av landet, vilket skulle vara mycket problematiskt. Att införa ett regelverk som får till följd att allvarliga brott skulle bli väsentligt svårare, och i vissa fall kanske omöjliga, att klara upp beroende på var själva brottet begicks eller planerades är enligt regeringens mening oacceptabelt. Det skulle också kunna innebära att viss brottslighet anpassar sig till detta och förläggs på en plats där lagring inte sker, i syfte att förhindra eller försvåra upptäckt. En geografisk avgränsning är också problematisk vid sådan brottslighet som inte kan sägas vara kopplad till geografiska förhållanden över huvud taget, t.ex. internetrelaterad brottslighet. I vissa fall kan brottsrisken öka i ett visst område vid speciella händelser, varför en riktad lagring kring den platsen skulle vara tänkbar. Värdet av en sådan lagring skulle dock inte vara särskilt stort eftersom planering och kontakter mellan gärningsmän med största säkerhet inte äger rum enbart på själva brottsplatsen och inte sällan under en längre tid. En lagring som bara riktar sig mot personer som använder vissa specifika tekniker, t.ex. vissa mjukvaror för anonymisering, skulle bara fånga in en försvinnande liten del av de uppgifter som är nödvändiga för brottsbekämpningen. Dessutom skulle integritetsintrånget för den enskilde öka eftersom man skulle behöva ta del av vilken mjukvara som personen använder för kommunikationen.

Regeringen kunde mot bakgrund av det anförda inte se någon större praktisk nytta eller något större behov av riktad lagring. Dessutom menade regeringen att det inte är säkert att en riktad lagring skulle innebära integritetsvinster. Att rikta lagringen mot en viss person eller krets av personer (exempelvis i ett visst område), utan att det finns någon konkret misstanke mot dessa personer, innebär rimligen en än större rättighetskränkning mot dessa människor och skulle riskera att vara diskriminerande mot vissa grupper. Det är svårt att se hur en sådan urvalsprocess i praktiken ska kunna ske på objektiva grunder. Tvärtom torde risken för diskriminering eller i övrigt stötande effekter vara stor.

Dessutom är riktad lagring förknippad med problem, eftersom ett stort antal operatörer skulle behöva underrättas om lagringsbeslutet. Det skulle bli en praktiskt utmanande uppgift, samtidigt som uppgiften om att ett visst område eller vissa personer är av intresse för

den brottsbekämpande verksamheten skulle spridas till en alltför stor krets. Sammantaget ansåg regeringen att en riktad lagring till en viss personkrets, ett visst geografiskt område eller till personer som använder vissa specifika tekniker varken är en ändamålsenlig, proportionerlig eller lämplig lösning. Regeringen ansåg inte heller att lagring i form av bevarandeföreläggande, kryptering eller lagring av senaste abonnemangsaktivitet skulle vara en framkomlig väg i detta sammanhang. Den enda rimliga kvarvarande modellen var enligt regeringen en lagringsskyldighet som inte omfattar alla kommunikationssätt, som är mindre omfattande än i dag och som är anpassad efter vad som är strängt nödvändigt för att bekämpa grov brottslighet.

Ändringarna i lagringsskyldigheten

Den lagstiftning som infördes 2019 innebär att vissa typer av uppgifter inte längre omfattas av lagringsskyldigheten och att lagringstiden har differentierats. När det gäller telefonitjänster och meddelandehantering gäller lagringsskyldigheten i dag enbart kommunikation via mobil nätanslutningspunkt. Tidigare omfattades uppgifter från såväl fast telefoni som fast ip-telefoni av lagringsskyldigheten. Lagringsskyldigheten omfattade tidigare också flera slags uppgifter vid kommunikation via mobil nätanslutningspunkt än vad som i dag är fallet. När det gäller internetåtkomst omfattades tidigare uppgifter om den typ av kapacitet för överföring som hade använts. Dessa uppgifter omfattas inte av dagens lagringsskyldighet (se jämförelsetabell i bilaga 3 för en översiktlig beskrivning av lagringsskyldigheten).

Vidare infördes en differentierad lagringstid beroende på vilken typ av uppgift det är fråga om. Uppgifter som gäller telefonitjänst och meddelandehantering via mobil nätanslutningspunkt ska lagras i sex månader medan lokaliseringsuppgifter ska lagras endast i två månader. Uppgifter om internetåtkomst ska lagas i tio månader, men om uppgifterna identifierar den utrustning där kommunikationen slutligt avskiljs från den lagringsskyldige till den enskilde abonnenten, ska de dock lagras endast i sex månader.

6.3 EU-domstolens praxis efter Tele2-domen

EU-domstolen har, efter Tele2-domen, meddelat ett antal domar som rör lagring och åtkomst till uppgifter om elektronisk kommunikation. De mest relevanta domarna redovisas nedan i kronologisk ordning.

6.3.1 Ministerio Fiscal-domen

Den 2 oktober 2018 meddelade EU-domstolen den s.k. Ministerio Fiscal-domen (mål C-207/16) angående en begäran om förhandsavgörande från Provinsdomstolen i Tarragona i Spanien.

EU-domstolen prövade huruvida artikel 15.1 i e-dataskyddsdirektivet jämförd med artiklarna 7 och 8 i stadgan, ska tolkas på så sätt att myndigheters tillgång till identitetsuppgifter för innehavare av sim-kort som aktiverats med en stulen mobiltelefon, såsom för- och efternamn och eventuellt adress, utgör ett ingrepp i dessa personers grundläggande rättigheter enligt stadgan. Vidare prövades frågan om de eventuella ingreppen var av en sådan betydelse att denna tillgång i samband med förebyggande, utredning, upptäckt och lagföring av brott bör begränsas till kampen mot allvarlig brottslighet.

Domstolen konstaterade inledningsvis att den nationella lagstiftningsåtgärden omfattas av tillämpningsområdet för e-dataskyddsdirektivet. Artikel 15.1 i direktivet förutsätter nämligen med nödvändighet att de där avsedda nationella åtgärderna omfattas av direktivets tillämpningsområde, eftersom direktivet uttryckligen tillåter medlemsstaterna att vidta sådana åtgärder endast under förutsättning att de däri angivna villkoren är uppfyllda. De lagstiftningsåtgärder som avses i artikel 15.1 i direktiv 2002/58 reglerar dessutom – för de syften som anges i bestämmelsen – verksamheten för leverantörer av elektroniska kommunikationstjänster (p. 34 i domen). Lagstiftning som ålägger leverantörer av elektronisk kommunikation att lagra personuppgifter eller ge de behöriga nationella myndigheterna tillgång till dessa uppgifter medför med nödvändighet behandling av personuppgifter från leverantörernas sida (p. 37 i domen). Identitetsuppgifter för innehavare av sim-kort ingår bland trafikuppgifter såsom de definieras i artikel 2 andra stycket b e-dataskyddsdirektivet och uppgifterna omfattas följaktligen av tillämpningsområdet för direktivet (p. 42 i domen).

Domstolen konstaterade vidare att begäran i det aktuella fallet syftade enbart till att identifiera innehavarna av de sim-kort som aktiverats med den stulna mobiltelefonens IMEI-kod. Begäran avsåg enbart tillgång till de telefonnummer som svarar mot sim-korten samt identitetsuppgifter för innehavarna av dessa kort. Dessa uppgifter rör inte den kommunikation som ägt rum med den stulna mobiltelefonen eller telefonens geografiska position. Dessa uppgifter gör det inte möjligt att dra några mer precisa slutsatser om privatlivet för de personer vars uppgifter berörs. Tillgång till endast de uppgifter som avses med begäran kan inte anses som ett ”allvarligt” ingrepp i de grundläggande rättigheterna för de personer som uppgifterna avser. Det ingrepp som tillgång till sådana uppgifter innebär kan således vara motiverat av syftet att förebygga, utreda, upptäcka och lagföra brott i allmänhet, såsom nämns i artikel 15.1 första meningen i direktiv 2002/58, utan att dessa brott behöver kvalificeras som ”allvarliga” (p. 59–62 i domen).

6.3.2 La Quadrature du Net-domen

I den s.k. La Quadrature du Net-domen den 6 oktober 2020 (de förenade målen C-511/18, C-512/18 och C-520/18) besvarade EU-domstolen en begäran om förhandsavgöranden från Högsta förvaltningsdomstolen i Frankrike och Författningsdomstolen i Belgien. Målen rörde tolkningen dels av artikel 15.1 i e-dataskyddsdirektivet, dels av artiklarna 12–15 i Europaparlamentets och rådets direktiv 2000/31/EG av den 8 juni 2000 om vissa rättsliga aspekter på informationssamhällets tjänster, särskilt elektronisk handel, på den inre marknaden (e-handelsdirektivet), jämförda med artiklarna 4, 6–8, 11 och 52.1 i stadgan och artikel 4.2 FEU.

I domen konstaterade domstolen att e-dataskyddsdirektivet är tillämpligt också när det gäller lagring av eller tillgång till uppgifter i elektroniska kommunikationer som syftar till att skydda den nationella säkerheten (p. 104 i domen). Domstolen uttalade bl.a. att en annan tolkning av direktivet skulle innebära att artikel 15.1 i direktivet helt fråntogs sin ändamålsenliga verkan (p. 97 i domen) och att enligt domstolens fasta praxis kan den omständigheten att en åtgärd har vidtagits för att skydda nationell säkerhet inte kan befria medlemsstaterna från skyldigheterna att iaktta unionsrätten (p. 99).

Domstolen uttalade att betydelsen av målet att skydda nationell säkerhet är mer långtgående än betydelsen av de övriga mål som anges i artikel 15.1. Under förutsättning att övriga krav i artikel 51.2 i stadgan iakttas, kan målet att skydda nationell säkerhet motivera åtgärder som innebär mer långtgående ingrepp i de grundläggande rättigheterna än dem som dessa övriga mål skulle kunna motivera (p. 136 i domen). Under sådana förutsättningar utgör EU-rätten i princip inte hinder för en lagstiftning som ger behöriga myndigheter rätt att ålägga tjänsteleverantörer en generell och odifferentierad lagringsskyldighet avseende trafik- och lokaliseringsuppgifter under en begränsad tid. Detta gäller under förutsättning att det föreligger tillräckligt konkreta omständigheter för att anse att den berörda medlemsstaten står inför ett allvarligt hot mot nationell säkerhet som visat sig vara verkligt, aktuellt eller förutsägbart (p. 137 i domen). En sådan lagring kan tillåtas under förutsättning att beslutet kan bli föremål för en effektiv kontroll av en domstol eller av en oberoende myndighet och att den sker under en period som är tidsmässigt begränsad till vad som är strängt nödvändigt, men som kan förlängas om hotet består (p. 138 och 139 i domen).

När det gäller datalagring för bekämpning av grov brottslighet och för att förebygga allvarliga hot mot den allmänna säkerheten stod domstolen fast vid sina uttalanden i Tele2-domen om att en generell och odifferentierad lagring av samtliga trafikuppgifter och lokaliseringsuppgifter om samtliga abonnenter och registrerade användare och samtliga elektroniska kommunikationsmedel inte är förenlig med EU-rätten (p. 141 i domen). Inte ens medlemsstaternas positiva skyldigheter att införa bestämmelser som möjliggör en effektiv bekämpning av brott kan motivera så allvarliga ingrepp i de grundläggande rättigheterna som en lagstiftning om lagring av praktiskt taget hela befolkningens trafik- och lokaliseringsuppgifter innebär, utan att det finns ett, åtminstone indirekt, samband mellan de berörda personerna och det eftersträvade målet (p. 145 i domen). Däremot kan målen att t.ex. bekämpa grov brottslighet motivera det synnerligen allvarliga ingrepp som en riktad lagring av trafik- och lokaliseringsuppgifter innebär (p. 146 i domen). Domstolen stod vidare fast vid sina tidigare uttalanden om att medlemsstaterna är oförhindrade att föreskriva om en tidsbegränsad riktad lagring vilken, på grundval av objektiva och icke-diskriminerande faktorer, är avgränsad genom de kategorier av personer som berörs eller genom ett geografiskt kriterium.

Samtidigt uttalade domstolen att en generell och odifferentierad lagring av uppgifter om den fysiska identiteten (eng. civil identity) för användare av elektroniska kommunikationsmedel är tillåten utan någon specifik tidsbegränsning, i syfte att förebygga, undersöka, avslöja och åtala för brott i allmänhet samt att skydda allmän säkerhet (p. 159 i domen).

Beträffande ip-adresser anförde domstolen att dessa genereras utan anknytning till en viss kommunikation och huvudsakligen har till syfte att, via leverantörer av elektroniska kommunikationstjänster, identifiera den fysiska personen som äger den terminalutrustning från vilken en kommunikation sker via internet. Ip-adresser har enligt domstolen en lägre grad av känslighet än andra trafikuppgifter (p. 152 i domen). I fråga om brott som begås på internet kan ipadressen utgöra det enda som gör det möjligt att identifiera den person, till vilken denna adress var tilldelad vid den tidpunkt då brottet begicks. Det kan dessutom bli omöjligt att upptäcka brott som har begåtts på internet utan en lagstiftning enligt artikel 15.1 i e-dataskyddsdirektivet (p. 154 i domen). Domstolen konstaterade att EUrätten i princip inte utgör ett hinder mot lagstiftning som föreskriver en generell och odifferentierad lagring av ip-adresser som har tilldelats källan för en internetanslutning, om det sker i syfte att skydda den nationella säkerheten, bekämpa grov brottslighet och för att förebygga allvarliga hot mot den allmänna säkerheten, och om lagringen är tidsmässigt begränsad till vad som är strängt nödvändigt (p. 155 och 156 i domen).

Domstolen uttalade sig också om möjligheterna att genom beslut från en behörig myndighet, vilket kan vara föremål för en effektiv domstolsprövning, ålägga tjänsteleverantörer att skyndsamt säkra de trafik- och lokaliseringsuppgifter som de har tillgång till (p. 161–163 i domen). Domstolen noterade att det i Europarådets konvention om it-relaterad brottlighet (Budapestkonventionen) föreskrivs att varje part, för utrednings- och lagföringsändamål, ska vidta vissa åtgärder beträffande redan sparade uppgifter, såsom skyndsamt säkrande av dessa uppgifter. Domstolen uttalade bl.a. att medlemsstaterna i sin lagstiftning måste precisera det ändamål för vilket det får företas ett skyndsamt säkrande av uppgifter och att det endast är bekämpning av grov brottslighet och, i ännu högre grad, skyddet av nationell säkerhet som kan motivera detta ingrepp i de grundläggande rättigheterna. Åtgärderna ska vidare begränsas till uppgifter som kan bidra

till att klarlägga det aktuella grova brottet eller den aktuella handlingen till men för nationell säkerhet. Även lagringstiden för uppgifterna måste begränsas till vad som är strängt nödvändigt (p. 164 i domen). Säkrandet av uppgifter behöver inte vara begränsat till uppgifter om personer som misstänks ha begått ett brott utan kan även t.ex. avse uppgifter om offret, offrets sociala bekantskapskrets eller om geografiska områden.

6.3.3 Privacy International-domen

I den s.k. Privacy International-domen den 6 oktober 2020 (mål C 623/17) besvarade EU-domstolen en begäran om förhandsavgörande från Domstolen för utredningsbefogenheter i Förenade kungariket. Målet rörde lagenligheten av en lagstiftning som tillåter att säkerhets- och underrättelsetjänsterna inhämtar och använder s.k. mängddata (bulk communications data). Domstolen konstaterade, med liknande resonemang som i La Quadrature du Net-domen, att artiklarna 1.3, 3 och 15.1 i e-dataskyddsdirektivet, jämförda med artikel 4.2 FEU, ska tolkas på så sätt att direktivets tillämpningsområde omfattar en nationell lagstiftning som ger en statlig myndighet rätt att ålägga leverantörer av elektroniska kommunikationstjänster att överföra trafikuppgifter och lokaliseringsuppgifter till säkerhets- och underrättelsetjänsterna i syfte att skydda nationell säkerhet (p. 49 i domen). Med hänvisning till den nyss nämnda domen uttalade domstolen att under förutsättning att övriga krav i artikel 52.1 i rättighetsstadgan iakttas, kan målet att skydda nationell säkerhet motivera åtgärder som innebär mer långtgående ingrepp i de grundläggande rättigheterna än dem som dessa övriga mål skulle kunna motivera. För att uppfylla kravet på proportionalitet måste en nationell lagstiftning som innebär ett ingrepp i de grundläggande rättigheterna uppfylla de krav som följer av domstolens praxis.

Beträffande en myndighets åtkomst till personuppgifter fann domstolen att en lagstiftning inte kan vara begränsad till att kräva att myndigheternas åtkomst till uppgifterna svarar mot det ändamål som eftersträvas med lagstiftningen, utan den måste även fastställa de materiella och formella villkor som gäller för sådan användning (p. 76 och 77 i domen). En heltäckande tillgång till samtliga lagrade uppgifter, oberoende av om det finns någon koppling, ens indirekt, till det efter-

strävade syftet, kan inte anses vara begränsad till vad som är strängt nödvändigt. En nationell lagstiftning som reglerar tillgång till trafikoch lokaliseringsuppgifter måste vara grundad på objektiva kriterier som avgör under vilka omständigheter och på vilka villkor behöriga nationella myndigheter ska ges tillgång till de aktuella uppgifterna (p. 78 i domen). Domstolen menade att kraven i ännu högre grad gäller för en lagstiftningsåtgärd, som den som var aktuell i det nationella målet, enligt vilken den behöriga nationella myndigheten får ålägga leverantörer av elektroniska kommunikationstjänster att genom generell och odifferentierad överföring lämna ut trafik- och lokaliseringsuppgifter till säkerhets- och underrättelsetjänsterna. Sådan överföring är således även tillämplig på personer beträffande vilka det inte finns något indicium som ger anledning att tro att deras beteende skulle kunna ha ett samband, inte ens indirekt eller avlägset, med målet att skydda den nationella säkerheten och, i synnerhet, utan att det har visats att det finns ett samband mellan de uppgifter som ska överföras och ett hot mot den nationella säkerheten. Med hänsyn till att överföring av trafik- och lokaliseringsuppgifter till statliga myndigheter motsvarar åtkomst till uppgifterna, fann domstolen att en lagstiftning som tillåter en generell och odifferentierad överföring av uppgifter till statliga myndigheter innebär en allmän åtkomst till uppgifterna. En nationell lagstiftning som ålägger leverantörer av elektroniska kommunikationstjänster att genom generell och odifferentierad överföring lämna ut trafik- och lokaliseringsuppgifter till säkerhets- och underrättelsetjänsterna går utöver vad som är strängt nödvändigt och kan inte anses vara motiverad i ett demokratiskt samhälle, såsom krävs enligt artikel 15.1 i e-dataskyddsdirektivet, jämförd med artikel 4.2 FEU samt artiklarna 7, 8, 11 och 52.1 i stadgan (p. 79–81 i domen).

6.3.4 Prokuratuur-domen

Den 2 mars 2021 meddelande EU-domstolen dom i mål C-746/18, (den s.k. Prokuratuur-domen) angående en begäran om förhandsavgörande från Högsta domstolen i Estland. Begäran framställdes i ett brottmål mot H.K. där hon åtalats för stölder, användning av tredje mans bankkort samt övergrepp i rättssak.

Domstolen erinrade om sin praxis när det gäller brottsbekämpande myndigheters tillgång till trafik- och lokaliseringsuppgifter som leverantörer av elektroniska kommunikationstjänster har lagrat.

Domstolen uttalade bl.a. att endast målen att bekämpa grov brottslighet eller förebygga allvarliga hot mot den allmänna säkerheten kan motivera att offentliga myndigheter får tillgång till ett stort antal trafik- eller lokaliseringsuppgifter, såvida det inte finns andra faktorer för att bedöma huruvida ansökan om tillgång är proportionerlig för målet att bekämpa brott i allmänhet. Sådana faktorer kan vara t.ex. under hur lång tid en myndighet får tillgång till de begärda uppgifterna. En offentlig myndighets tillgång till ett stort antal trafikeller lokaliseringsuppgifter är dock, enligt domstolen, alltid av allvarlig art om de samlade uppgifterna gör det möjligt att dra specifika slutsatser om den berörda personens privatliv, såsom var fallet i det nationella målet (p. 35–39 i domen). Eftersom det tillstånd till tillgång, som beviljas av domstol eller av en oberoende behörig myndighet, meddelas innan det är möjligt att ta del av uppgifterna och den information som följer därav måste bedömningen av ingreppets allvarlighet göras utifrån den risk för den berörda personens privatliv som normalt sett är knuten till den kategori av uppgifter som begärs utlämnade.

Den hänskjutande domstolen frågade bl.a. om artikel 15.1 i e-dataskyddsdirektivet, jämförd med artiklarna 7, 8, 11 och 52.1 i rättighetsstadgan, ska tolkas så, att den utgör hinder mot nationell lagstiftning som ger en åklagarmyndighet, vars uppdrag är att leda förundersökningar och, i förekommande fall, väcka åtal i samband med ett senare förfarande, behörighet att ge offentliga myndigheter tillgång till trafikoch lokaliseringsuppgifter inom ramen för en brottsutredning. Domstolen besvarade denna fråga jakande och uttalade följande. En allmän tillgång till samtliga lagrade uppgifter, oberoende av om det finns någon koppling till det eftersträvade ändamålet, kan inte anses vara begränsad till vad som är strängt nödvändigt. Den nationella lagstiftningen måste vara grundad på objektiva kriterier som avgör under vilka omständigheter och på vilka villkor behöriga nationella myndigheter ska ges tillgång till de aktuella uppgifterna. För att säkerställa att dessa villkor uppfylls i praktiken, är det väsentligt att tillgången till de lagrade uppgifterna är underkastad förhandskontroll av en domstol eller en oberoende myndighet som meddelar sina beslut efter motiverade framställningar från myndigheterna. En sådan

förhandskontroll innebär bl.a. att den domstol eller det organ som ska utföra kontrollen har alla befogenheter och lämnar alla nödvändiga garantier för att kunna göra en vederbörlig avvägning mellan de olika intressen och rättigheter som är i fråga.

Vad särskilt gäller en brottsutredning kräver en sådan kontroll att denna domstol eller detta organ kan säkerställa en korrekt balans mellan de intressen som gör sig gällande för att svara mot utredningens behov, å ena sidan, och de grundläggande rättigheterna avseende respekt för privatlivet och skydd av personuppgifter, å den andra sidan. När denna kontroll inte utförs av en domstol utan av en oberoende förvaltningsmyndighet måste denna myndighet ha en ställning som innebär att den kan fullgöra sitt uppdrag på ett objektivt och opartiskt sätt, och den måste därför vara fri från all yttre påverkan (p. 50–53 i domen). På det straffrättsliga området innebär kravet på oberoende att den myndighet som ska utföra förhandskontrollen dels inte får vara involverad i den aktuella brottsutredningen, dels ska ha en neutral ställning i förhållande till parterna i det straffrättsliga förfarandet. Så är inte fallet med en åklagarmyndighet som leder utredningsförfarandet och, i förekommande fall, väcker åtal för det allmännas räkning. Åklagarmyndigheten har nämligen inte till uppgift att helt oavhängigt avgöra en tvist utan att, i förekommande fall, hänskjuta tvisten till behörig domstol, i egenskap av part i målet. Den omständigheten att en åklagarmyndighet är skyldig att kontrollera både sådana omständigheter som är till den misstänktes nackdel och sådana som är till dennes fördel, säkerställa att utredningen är lagenlig och endast agera i enlighet med lagen och sin egen övertygelse, är inte tillräcklig för att denna myndighet ska anses vara fristående i förhållande till de intressen som är i fråga (p. 54–56 i domen).

Domstolen erinrade också om att den oberoende kontrollen ska ske innan tillgång till uppgifterna beviljas, förutom i vederbörligen motiverade fall då denna kontroll ska ske utan dröjsmål. En sådan senare kontroll kan nämligen inte uppnå det mål som eftersträvas med en förhandskontroll, det vill säga att förhindra att det beviljas tillgång till de aktuella uppgifterna utöver vad som är strängt nödvändigt.

6.3.5 Garda Síochána-domen

Den 5 april 2022 meddelande EU-domstolen dom i mål C-140/20, (den s.k. Garda Síochána-domen) angående en begäran om förhandsavgörande från Högsta domstolen i Irland. Begäran framställdes i ett mål mellan å ena sidan G.D. och å andra sidan Commissioner of An Garda Síochána (Irlands rikspolischef) angående giltigheten av Communications (Retention of Data) Act 2011.

Domstolen hänvisade i stora delar till den praxis som finns när det gäller lagring av och tillgång till trafik- och lokaliseringsuppgifter. Domstolen erinrade således om att artikel 15.1 i e-dataskyddsdirektivet, jämförd med artiklarna 7, 8 och 11 samt 52.1 i stadgan, inte utgör hinder för en lagstiftningsåtgärd som, för att skydda nationell säkerhet, tillåter att leverantörer av elektroniska kommunikationstjänster åläggs att på ett generellt och odifferentierat sätt lagra trafikoch lokaliseringsuppgifter i situationer där den berörda medlemsstaten står inför ett allvarligt hot mot nationell säkerhet beträffande vilket det är visat att hotet är verkligt och aktuellt eller förutsebart. Beslut om sådant åläggande måste vara tidsmässigt begränsat till vad som är strängt nödvändigt, men som kan förlängas om hotet fortfarande kvarstår och måste kunna bli föremål för effektiv kontroll antingen av en domstol eller av en oberoende myndighet (p. 58 i domen). Domstolen förtydligade, efter ett påstående från Europeiska kommissionen, att särskilt allvarlig brottslighet inte kan likställas med ett hot mot den nationella säkerheten och att det alltså inte finns någon mellanliggande kategori mellan nationell säkerhet och allmän säkerhet (p. 62 och 63 i domen).

Domstolen erinrade också om att artikel 15.1 i e-dataskyddsdirektivet, jämförd med artiklarna 7, 8 och 11 samt 52.1 i stadgan, däremot inte utgör hinder för lagstiftningsåtgärder som, i syfte att bekämpa grov brottslighet och förhindra allvarliga hot mot allmän säkerhet, föreskriver • en riktad lagring av trafik- och lokaliseringsuppgifter vilken, på

grundval av objektiva och icke-diskriminerande faktorer, är av-

gränsad genom de kategorier av personer som berörs eller genom

ett geografiskt kriterium, för en period som är tidsmässigt begränsad

till vad som är strängt nödvändigt men som kan förlängas,

• en generell och odifferentierad lagring av ip-adresser som har till-

delats källan för en internetanslutning, för en period som är tids-

mässigt begränsad till vad som är strängt nödvändigt, • en generell och odifferentierad lagring av uppgifter om den fysiska

identiteten för användare av elektroniska kommunikationsmedel,

och • som tillåter att leverantörer av elektroniska kommunikationstjäns-

ter genom ett beslut från behörig myndighet, vilket är föremål för

effektiv domstolskontroll, åläggs att, under en begränsad tids-

period, skyndsamt säkra (quick freeze) de trafik- och lokaliserings-

uppgifter som dessa tjänsteleverantörer har tillgång till,

förutsatt att denna lagstiftning, genom klara och precisa regler, säkerställer att lagringen av uppgifterna i fråga iakttar tillämpliga materiella och formella villkor, och att de berörda personerna förfogar över effektiva garantier mot riskerna för missbruk (p. 67 i domen).

Domstolen bemötte den hänskjutande domstolens uppfattning att endast en allmän lagring av trafik- och lokaliseringsuppgifter gör det möjligt att, på ett effektivt sätt, bekämpa grov brottslighet och erinrade bl.a. om att e-dataskyddsdirektivet inte utgör hinder för en generell lagring av identitetsuppgifter om personer i syfte att bekämpa brottslighet i allmänhet. Domstolen uttalade också bl.a. att det inte finns något hinder för en nationell lagstiftning som syftar till att bekämpa grov brottslighet, enligt vilken förvärv av elektroniska kommunikationsmedel, såsom ett förbetalt sim-kort, förutsätter kontroll av officiella handlingar som visar köparens identitet och att säljaren registrerar den information som följer därav, varvid säljaren i förekommande fall är skyldig att ge behöriga nationella myndigheter tillgång till dessa uppgifter (p. 72 i domen).

Domstolen påtalade vidare när det gäller riktad lagring att medlemsstaterna bl.a. kan vidta lagringsåtgärder avseende personer som är föremål för utredning eller andra aktuella övervakningsåtgärder eller som förekommer i det nationella kriminalregistret på grund av en tidigare fällande dom för allvarliga brott som kan vara en indikation på att det föreligger en hög återfallsrisk (p. 78 i domen). En riktad lagringsåtgärd kan även grundas på ett geografiskt kriterium, såsom bland annat den genomsnittliga graden av brottslighet i ett geografiskt område, utan att det nödvändigtvis finns några konkreta in-

dikationer på att allvarliga brott ska förberedas eller begås i de berörda områdena. En riktad lagring som grundar sig på ett geografiskt kriterium är i princip inte av sådan art att den kan ge upphov till diskriminering, eftersom kriteriet avseende den genomsnittliga graden av allvarlig brottslighet i sig inte har något samband med potentiellt diskriminerande omständigheter (p. 80 i domen).

Domstolen uttalade att det inte kan uteslutas att andra objektiva och icke-diskriminerande kriterier än ett personligt eller geografiskt kriterium kan beaktas för att genomföra en riktad lagring av trafikoch lokaliseringsuppgifter. Det ankommer på medlemsstaterna och inte på EU-domstolen att identifiera sådana kriterier. Eventuella svårigheter att exakt fastställa i vilka situationer och under vilka villkor en riktad lagring kan utföras kan i vilket fall som helst inte motivera att medlemsstaterna gör ett undantag till huvudregel genom att föreskriva en generell och odifferentierad lagring av trafik- och lokaliseringsuppgifter (p. 83 och 84 i domen).

Vad gäller skyndsam lagring av trafik- och lokaliseringsuppgifter kan endast bekämpningen av grov brottslighet, och i ännu högre grad, skyddet av den nationella säkerheten, motivera detta allvarliga ingrepp (p. 87 i domen). En sådan lagringsåtgärd kan utsträckas till uppgifter om andra personer än dem som t.ex. misstänks ha begått ett grovt brott, bl.a. personer som ett offer har haft kontakt med genom sina elektroniska kommunikationsmedel, innan en handling som utgör ett allvarligt hot mot den allmänna säkerheten eller ett allvarligt brott har begåtts. Ett skyndsamt säkrande kan också utsträckas till att avse geografiska områden (p. 88–90 i domen). Ett skyndsamt säkrande av uppgifter kan förordnas redan i första skedet av en utredning av ett allvarligt hot mot den allmänna säkerheten eller av ett eventuellt grovt brott (p. 91 i domen).

Inte ens de positiva skyldigheter för medlemsstaterna som avser införande av bestämmelser som möjliggör en effektiv bekämpning av brott, kan medföra att det anses motiverat med en lagstiftning om lagring av praktiskt taget hela befolkningens trafik- och lokaliseringsuppgifter, utan att det finns ett, åtminstone indirekt, samband mellan de berörda personerna och det eftersträvade målet (p. 95 i domen).

Domstolen klargjorde, efter ett påstående från den danska regeringen, att de nationella brottsbekämpande myndigheterna inom ramen för straffrättsliga förfaranden, inte kan få tillgång till trafik- och lokaliseringsuppgifter som har lagrats i syfte att skydda den nationella

säkerheten mot ett verkligt och aktuellt eller förutsebart hot. Annars skulle förbudet mot en generell och odifferentierad lagring av uppgifter i syfte att bekämpa allvarlig brottslighet förlora sin ändamålsenliga verkan (p. 100 i domen).

6.3.6 SpaceNet-domen

Den 20 september 2022 meddelade EU-domstolen dom i de förenade målen C-793/19 och C-794/19 (SpaceNet-domen) angående en begäran om förhandsavgörande från Federala högsta förvaltningsdomstolen i Tyskland.

SpaceNet AG och Telekom Deutschland GmbH är tillhandahållare av bl.a. allmänt tillgängliga internetanslutningstjänster i Tyskland. Bolagen väckte var för sig talan och bestred skyldigheten i tysk lagstiftning att lagra uppgifter om sina kunders telekommunikationstrafik fr.o.m. den 1 juli 2017.

Förvaltningsdomstolen i Köln biföll de båda bolagens talan. Domarna överklagades till den Federala högsta förvaltningsdomstolen i Tyskland, som beslutade att hänskjuta frågan till EU-domstolen.

Lagringsskyldighetens omfattning i Tyskland

Tyskland har anpassat sin lagstiftning om datalagring till EU-domstolens tidigare praxis och har en reglering som påminner om den svenska. Lagringstiderna är 10 veckor för trafikuppgifter och 4 veckor för lokaliseringsuppgifter. Den tyska lagringsskyldigheten föreskriver följande: 1. i samband med tillhandahållandet av allmänt tillgängliga telefoni-

tjänster, inklusive kommunikation via sms, multimediameddelande

eller liknande meddelande samt samtal som inte besvaras eller når

fram ska följande uppgifter lagras:

a) telefonnumret eller något annat identifikationsnummer för det

uppringande abonnemanget, det uppringda abonnemanget samt

för om- och vidarekopplingar,

b) datum och klockslag då kommunikationen inleddes och avslu-

tades eller – om det rör sig om kommunikation via sms, multi-

mediameddelande eller liknande meddelande – tidpunkter för

sändande och mottagande av meddelandet, med uppgift om tids-

zon, c) uppgifter om vilken tjänst som använts, i de fall då det är möj-

ligt att använda olika tjänster inom ramen för telefonitjänsten, d) om det rör sig om mobiltelefonitjänster dessutom e) det internationella identifikationsnumret för mobilabonnenter

till det uppringande och det uppringda abonnemanget, f) det internationella identifikationsnumret för den uppringande

och den uppringda terminalutrustningen, g) datum och klockslag för tjänstens första aktivering, med upp-

gift om tidszon, när tjänsten har betalats på förhand, h) beteckningar på de celler som användes via det uppringande och

det uppringda abonnemanget i början av kommunikationen, i) om det rör sig om internettelefonitjänster dessutom ip-adres-

serna till det uppringande och det uppringda abonnemanget

samt tilldelade identifieringsnummer, och j) i samband med tillhandahållandet av allmänt tillgängliga inter-

netanslutningstjänster ska följande uppgifter lagras: k) den ip-adress som tilldelats abonnenten för internetanvändning, l) en tydlig identifiering av den förbindelse som möjliggör inter-

netanslutning, samt det tilldelade identifieringsnumret, m)datum och klockslag då internetanvändningen på den tilldelade

ip-adressen inleddes och avslutades, med uppgift om tidszon, n) vid mobilanvändning, beteckningen på de celler som användes

i början av internetanslutningen.

Lagringsskyldigheten omfattar inte kommunikationens innehåll, uppgifter om besökta webbplatser, uppgifter om e-posttjänster eller uppgifter som avser kommunikation till eller från vissa abonnemang som tillhör personer, myndigheter och organisationer inom den sociala eller kyrkliga sfären.

Tolkningsfrågan

Ska artikel 15 i e-dataskyddsdirektivet, jämförd med dels artiklarna 7, 8 och 11 och artikel 52.1 i stadgan, dels artikel 6 i stadgan och artikel 4 i fördraget om Europeiska unionen, tolkas så, att den utgör hinder för en nationell lagstiftning som ålägger operatörer av allmänt tillgängliga elektroniska kommunikationstjänster att lagra trafik- och lokaliseringsuppgifter avseende slutanvändare av nämnda tjänster, när denna skyldighet inte villkoras av särskilda skäl i fråga om geografiska, tidsmässiga eller territoriella aspekter och med det innehåll som den tyska regleringen har (p. 39 i domen).

Domstolens bedömning

Domstolen hänvisade i stora delar till den praxis som finns när det gäller lagring av och tillgång till trafik- och lokaliseringsuppgifter. Domstolen erinrade om att lagring av trafik- och lokaliseringsuppgifter i sig utgör ett ingrepp i de grundläggande rättigheterna till respekt för privatlivet och skydd av personuppgifter, oberoende av om de uppgifter som avser privatlivet är av känslig art eller ej eller om de berörda har fått utstå eventuella olägenheter på grund av ingreppet samt oberoende av om de lagrade uppgifterna senare kommer eller inte kommer att användas (p. 60 i domen). Trafik- och lokaliseringsuppgifter kan avslöja information om ett stort antal aspekter av de berörda personernas privatliv som gör det möjligt att upprätta en profil för de berörda personerna, och denna information är lika känslig ur integritetssynpunkt som själva innehållet i kommunikationerna (p. 61 i domen). Vad gäller den effektiva bekämpningen av brott ska det beaktas att det av artikel 7 i stadgan kan följa positiva skyldigheter för statsmakten att vidta rättsliga åtgärder för att skydda bl.a. privatlivet och familjelivet. Det är därför, enligt domstolen, nödvändigt att göra en avvägning mellan de olika legitima intressen och rättigheter som är i fråga och att inrätta en rättslig ram som möjliggör denna avvägning (p. 65 i domen).

Domstolen uttalade att även om den tyska lagstiftningen undantar innehållet i kommunikationerna och uppgifter om de webbplatser som besökts från lagringsskyldigheten och endast föreskriver lagring av den cellidentifikationskod som använts i början av kommunikationen, så är lagringsskyldigheten i princip densamma som

gällde de nationella bestämmelser som var i fråga i de mål som avgjordes La Quadrature du Net-domen (p. 78 i domen).

Domstolen konstaterade att även om den tyska lagstiftning inte omfattar information om vilka webbplatser som besökts, föreskriver den icke desto mindre att ip-adresserna ska lagras. Eftersom ipadresser kan användas för att bl.a. på ett uttömmande sätt kartlägga en internetanvändares hela klickström, och därmed dennes onlineaktivitet, är det emellertid möjligt att med användning av dessa uppgifter upprätta en detaljerad profil för internetanvändaren. Den lagring och analys av dessa ip-adresser som krävs för en sådan kartläggning utgör således allvarliga ingrepp i internetanvändarens grundläggande rättigheter enligt artiklarna 7 och 8 i stadgan (p. 79 i domen).

Domstolen konstaterade vidare att endast 1 300 enheter fanns upptagna i den förteckning över personer, myndigheter eller organisationer av social eller kyrklig karaktär vilkas uppgifter om elektronisk kommunikation inte lagras samt att det är uppenbart att detta motsvarar en begränsad andel av de användare i Tyskland vilkas uppgifter omfattas av den tyska lagringsskyldigheten. Sålunda lagras uppgifter om användare som omfattas av tystnadsplikt, såsom advokater, läkare och journalister (p. 82 i domen).

Domstolen uttalade vidare att den tyska lagringsskyldigheten berör nästan alla personer som ingår i befolkningen, även om dessa inte, ens indirekt, befinner sig i en situation som kan leda till straffrättsliga påföljder. Lagringsskyldigheten innebär att merparten av alla trafik- och lokaliseringsuppgifter ska lagras, generellt och utan differentiering i fråga om person, tidpunkt eller geografisk plats, utan krav på skäl. En sådan lagringsskyldighet kan inte anses utgöra en riktad lagring av uppgifterna, i motsats till vad den tyska regeringen har hävdat (p. 83 och 84 i domen).

Domstolen angav att lagringstiden för uppgifterna förvisso är en bland andra relevanta faktorer för att avgöra om unionsrätten utgör hinder mot en generell och odifferentierad lagring samt att den tyska lagstiftningen föreskriver en betydligt kortare lagringstid än de nationella lagstiftningar som prövats i Tele2-domen, La Quadrature du Net-domen och An Garda Síochána-domen (p. 85 och 86 i domen). Enligt domstolen är en lagring av trafik- eller lokaliseringsuppgifter dock alltid av allvarlig art, oberoende av lagringstidens längd och mängden eller arten av de uppgifter som lagras, för det fall att dessa samlade uppgifter gör det möjligt att dra mycket specifika slutsatser om

den eller de berörda personernas privatliv (p. 88 i domen). Enligt den tyska lagstiftningen kan den mängd trafik- och lokaliseringsuppgifter som lagrats under tio respektive fyra veckor göra det möjligt att dra mycket precisa slutsatser om privatlivet för de personer vilkas uppgifter lagrats, såsom deras vanor i vardagslivet, deras stadigvarande och tillfälliga uppehållsorter, deras dagliga förflyttningar och förflyttningar i övrigt, de aktiviteter de utövar, deras sociala relationer och de umgängeskretsar de rör sig i, och i synnerhet göra det möjligt att upprätta en profil för dessa personer (p. 90 i domen).

Den hänskjutande domstolen framhöll att det, på grund av den bristande överensstämmelsen mellan punkterna 155 och 168 i La Quadrature du Net-domen, råder osäkerhet om vad som är förenligt med unionsrätten när det gäller lagring av ip-adresser. Oklarheten består enligt den hänskjutande domstolen i huruvida det för sådan lagring krävs att skälet för lagringen ska vara kopplat till målet att skydda den nationella säkerheten, bekämpa allvarlig brottslighet eller att förhindra allvarliga hot mot den allmänna säkerheten, eller om sådan lagring är tillåten även utan konkret skäl och att kraven avseende nämnda mål endast begränsar användningen av de lagrade uppgifterna. EU-domstolen menade dock att några sådana motsättningar inte finns i La Quadrature du Net-domen eftersom det av denna klart framgår att det endast är bekämpning av grov brottslighet och förebyggande av allvarliga hot mot allmän säkerhet som, i likhet med skyddet av den nationella säkerheten, kan motivera en generell lagring av ip-adresser som tilldelats källan till en internetanslutning, oberoende av om de berörda personerna har en, åtminstone indirekt, koppling till de eftersträvade målen.

EU-domstolen påpekade också att domarna från Europadomstolen av den 25 maj 2021, Big Brother Watch m.fl. mot Förenadekungariket och Centrum för Rättvisa mot Sverige, som vissa regeringar vid förhandlingen åberopade till stöd för att Europakonventionen inte utgör hinder för nationella bestämmelser som i huvudsak föreskriver en generell och odifferentierad lagring av trafik- och lokaliseringsuppgifter, inte påverkar den tolkning av artikel 15.1 i e-dataskyddsdirektivet som följer av resonemanget i den nu aktuella domen. I dessa domar var det nämligen fråga om massavläsning av uppgifter avseende internationell kommunikation. Europadomstolen uttalade sig i nämnda domar således inte om huruvida det var förenligt med Europakonventionen att generellt och odifferentierat lagra trafik-

och lokaliseringsuppgifter på det nationella territoriet eller att göra en omfattande avläsning av dessa uppgifter i syfte att förebygga, upptäcka och utreda allvarliga brott. Under alla omständigheter syftar artikel 52.3 i stadgan till att säkerställa att rättigheterna i stadgan och motsvarande rättigheter enligt Europakonventionen stämmer överens med varandra, enligt vad som är påkallat, utan att undergräva unionsrättens och EU-domstolens autonomi. Detta innebär, enligt EUdomstolen, att det endast är i egenskap av en lägsta skyddsnivå som de motsvarande rättigheterna i Europakonventionen ska beaktas vid tolkningen av stadgan.

Domslut

Domstolen beslutade följande:

Artikel 15.1 i e-dataskyddsdirektivet, jämförd med artiklarna 7, 8, 11 och 52.1 i stadgan, ska tolkas på så sätt

att den utgör hinder för nationella lagstiftningsåtgärder som i förebyggande syfte, för att bekämpa grov brottslighet och förhindra allvarliga hot mot allmän säkerhet, föreskriver att det ska ske en generell och odifferentierad lagring av trafik- och lokaliseringsuppgifter,

att den inte utgör hinder för lagstiftning – som, för att skydda nationell säkerhet, tillåter att leverantörer av

elektroniska kommunikationstjänster åläggs att på ett generellt

och odifferentierat sätt lagra trafik- och lokaliseringsuppgifter i

situationer där den berörda medlemsstaten står inför ett allvarligt

hot mot nationell säkerhet som har visat sig vara verkligt och

aktuellt eller förutsebart, varvid beslutet om åläggande av nämnda

lagringsskyldighet måste kunna bli föremål för effektiv kontroll

antingen av en domstol eller av en oberoende myndighet, vars

avgörande har bindande verkan, i syfte att kontrollera om någon

av dessa situationer föreligger och att de villkor och garantier som

måste ställas upp är uppfyllda, och varvid åläggandet endast får

meddelas för en period som måste vara tidsmässigt begränsad till

vad som är strängt nödvändigt, men som kan förlängas om hotet

fortfarande kvarstår,

– som, för att skydda nationell säkerhet, bekämpa grov brottslighet

och förhindra allvarliga hot mot allmän säkerhet, föreskriver en

riktad lagring av trafik- och lokaliseringsuppgifter vilken, på grund-

val av objektiva och icke-diskriminerande faktorer, är avgränsad

genom de kategorier av personer som berörs eller genom ett geo-

grafiskt kriterium, för en period som är tidsmässigt begränsad till

vad som är strängt nödvändigt men som kan förlängas, – som, för att skydda nationell säkerhet, bekämpa grov brottslighet

och förhindra allvarliga hot mot allmän säkerhet, föreskriver en

generell och odifferentierad lagring av ip-adresser som har tilldelats

källan till en internetanslutning, för en period som är tidsmässigt

begränsad till vad som är strängt nödvändigt, – som, för att skydda nationell säkerhet, bekämpa brottslighet och

skydda allmän säkerhet, föreskriver en generell och odifferentie-

rad lagring av uppgifter om identiteten beträffande användare av

elektroniska kommunikationsmedel, och – som, för att bekämpa grov brottslighet eller, i ännu högre grad,

skydda nationell säkerhet, tillåter att leverantörer av elektroniska

kommunikationstjänster genom ett beslut från behörig myndig-

het, vilket ska kunna bli föremål för en effektiv domstolskontroll,

åläggs att, under en begränsad tidsperiod, skyndsamt säkra de trafik-

och lokaliseringsuppgifter som dessa tjänsteleverantörer har till-

gång till,

förutsatt att denna lagstiftning, genom klara och precisa regler, säkerställer att lagringen av uppgifterna i fråga iakttar tillämpliga materiella och formella villkor, och att de berörda personerna förfogar över effektiva garantier mot riskerna för missbruk.

6.4 Europadomstolens praxis

Europadomstolen har i maj 2021 meddelat två domar som gäller avlyssning av mängddata (eng. bulk interception) i underrättelseverksamhet. Domarna redovisas i korthet nedan.

6.4.1 Domen (2021-05-25) i målet Big Brother Watch m.fl. mot Storbritannien

I Storbritannien regleras avlyssning av mängddata i underrättelseverksamhet i RIPA-regleringen från år 2020. I det aktuella målet lämnade sökandena in ett klagomål mot bl.a. omfattningen och utbredningen av de övervakningsprogram som drivs av den brittiska regeringen enligt tidigare gällande RIPA och att informationen delades med andra stater. Domstolen övervägde om detta system och bestämmelserna i RIPA var förenliga med Europakonventionen. De tre huvudsakliga frågorna som domstolen behandlade var a) inhämtning av mängddata, b) inhämtning av uppgifter från leverantörer av kommunikationstjänster och c) delning av underrättelseinformation med utländska stater.

Domstolen, i stor sammansättning (eng. Grand Chamber), ansåg att inhämtning av mängddata i stor utsträckning kan motiveras av medlemsstaterna utifrån att de måste kunna skydda sig mot potentiella hot mot den nationella säkerheten. Om en stat implementerar en strategi för inhämtning av mängddata, så måste den dock se till att systemet innehåller fullständiga skyddsåtgärder (eng. end-to-end safeguards) mot den potentiella risken för missbruk. Domstolen bedömde att skyddsåtgärderna var otillräckliga och den brittiska regleringen ansågs därför utgöra en kränkning av artikel 8 i Europakonventionen.

Bristerna kan sammanfattas som frånvaro av fristående organ för beviljande av åtgärderna, avsaknad av kategorier av sökord i tillståndet och avsaknad av sökord kopplade till enskilda personer i tillståndet. Bristerna gällde inte bara inhämtning av innehållsuppgifter utan även metadata. Bristerna kunde inte vägas upp av att det fanns en oberoende och effektiv tillsyn och ett robust rättsmedel.

Domstolen fann vidare att ingrepp i skyddet av journalistiska källor inte kan vara förenligt med artikel 10 i konventionen om det inte är motiverat av ett övergripande krav i allmänhetens intresse. Och när det är motiverat med sådant ingrepp så måste lämpliga förfaranden och skyddsåtgärder införas. Sådana skyddsåtgärder bör inkludera kravet på att söka tillstånd från en domstol eller annat oberoende organ när en begäran innehåller specifika söktermer kopplade till en journalist eller till journalistiskt material. Domstolen an-

såg att det saknades lämpliga skyddsåtgärder och att det således hade skett ett åsidosättande av yttrandefriheten enligt artikel 10.

I målet behandlades också bl.a. frågan om inhämtning av uppgifter från leverantörer av kommunikationstjänster och huruvida tillgång till sådana uppgifter utgjorde ett brott mot artiklarna 8 och 10 i Europakonventionen. Domstolen ansåg att tillgången till sådan information bör begränsas till att bekämpa ”allvarlig brottslighet” och betonade behovet av att vidta lämpliga skyddsåtgärder vid åtkomst och behandling av sådana uppgifter. Domstolen fann att det hade skett ett intrång i rätten till privatliv enligt artikel 8 och rätten till yttrandefrihet enligt artikel 10.

6.4.2 Domen (2021-05-25) i målet Centrum för Rättvisa mot Sverige

Den huvudsakliga frågan i målet var om den svenska lagstiftningen om signalspaning i försvarsunderrättelseverksamhet strider mot rätten till skydd för privatliv enligt artikel 8 och rätten till ett effektivt rättsmedel enligt artikel 13 i Europakonventionen.

Europadomstolen i stor sammansättning fann att den svenska lagstiftningen om signalspaning i försvarsunderrättelseverksamhet i vissa delar var i strid med artikel 8 i Europakonventionen. Europadomstolen uttalade att signalspaning i syfte att värna den nationella säkerheten inte i sig står i strid med artikel 8 i Europakonvention. Däremot begränsas staternas bedömningsmarginal då det vid användandet av signalspaning ställs krav på nationella rättssäkerhetsgarantier till skydd för den personliga integriteten.

Europadomstolen framhöll att lagstiftningen innehåller tydliga regler avseende vilka syften som kan rättfärdiga signalspaning och hur förfarandet går till. Däremot identifierade domstolen följande tre brister i det svenska systemet: avsaknad av en tydlig reglering om när inhämtat material som inte innehåller personuppgifter ska förstöras, avsaknad av tydliga riktlinjer i signalspaningslagstiftningen eller annan relevant lagstiftning som anger att den personliga integriteten ska beaktas när beslut fattats om att dela insamlat material med andra stater samt avsaknad av en effektiv efterhandskontroll som ska utföras på begäran av en enskild. Europadomstolen fann därför att Sverige agerat utanför sin bedömningsmarginal och att det således skett en kränkning av artikel 8.

6.5 Internationell utblick

Såvitt vi har kunnat utröna har endast ett fåtal stater inom EU infört regler om generell och odifferentierad lagring i syfte att skydda den nationella säkerheten och om riktad lagring i syfte att bekämpa grov brottslighet. Nedan redovisas vad som gäller i Danmark, Frankrike och Belgien.

6.5.1 Danmark

I Danmark ändrades reglerna om datalagring som en följd av La Quadrature du Net-domen. Med de nya reglerna gäller en tvådelad ordning för datalagring, en riktad lagring samt en generell och odifferentierad lagring. Lagändringarna trädde i kraft den 30 mars 2022.

För det första infördes en ordning med personbestämd och geografiskt riktad lagring för att bekämpa grov brottslighet. Med grov brottslighet avses bl.a. lagöverträdelser som kan straffas med fängelse i tre år eller mer och vissa andra uppräknade brott.

För det andra infördes en ordning med generell och odifferentierad lagring i syfte att skydda den nationella säkerheten.

Riktad lagring

Polismyndigheten (Rigspolitiet) får förelägga tillhandahållare av elektroniska kommunikationsnät- och tjänster (nedan tillhandahållare) att företa riktad lagring beträffande personer och geografiska platser (målrettet registrering og opbevaring).

Den riktade personbestämda lagringen kan gälla personer som

dömts för grova brott. Skyldigheten att lagra uppgifter om personen ska gälla i tre, fem eller tio år beroende på strafflatituden på det begångna brottet. Lagringstiden räknas i regel från frigivning. Efter en bedömning kan dock lagring ske redan under avtjänande av straff. Uppgifterna ska lagras i ett år från kommunikationen/insamlingen. Dessutom kan lagringen avse personer som varit föremål för hemlig övervakning eller avlyssning av elektronisk kommunikation (teleoplysning og telefonaflytning). Lagringsskyldigheten ska gälla i ett år från det att tvångsmedelsanvändningen avslutats och uppgifterna

ska lagras i ett år från kommunikationen/insamlingen (786 b § retsplejeloven).

Den geografiskt riktade lagringen får avse uppgifter från de delar av tillhandahållarens nät som är nödvändigt för att täcka områden på 3 gånger 3 kilometer. Sådan lagring får ske antingen om antalet anmälningar om grova brott begångna i området uppgår till minst 1,5 gånger genomsnittet för landet under de senaste tre åren eller om antalet medborgare dömda för grova brott i området uppgår till minst 1,5 gånger genomsnittet för landet under de senaste tre åren. Uppgifter om vilka områden som omfattas av sådan lagring ska inte vara offentliga.

Polismyndigheten får därutöver få förelägga tillhandahållare en geografiskt riktad lagring som avser särskilt säkerhetskänsliga platser, t.ex. kungahusets residens, statsministerbostaden, ambassader, polisens fastigheter, kriminalvårdsanstalter, trafikknytpunkter, militära områden och offentligt godkända flygplatser. Uppgifterna ska lagras i ett år från kommunikationen/insamlingen (786 c § retsplejeloven).

Slutligen får riktad lagring användas beträffande kommunikationsutrustningar, personer eller bestämda områden om det finns anledning att anta att det finns en anknytning till grov brottslighet (riktad lagring på konkreta grunder). Ett sådant föreläggande om riktad lagring kräver domstolsbeslut. Vid geografiskt riktad lagring är storleken på området beroende av hur konkret anknytningen till grov brottslighet är. Är det fråga om en förestående gängkonflikt eller ett terrorbrott kan det vara fråga om mycket stora områden, såsom en landsdel. Domstolen ska ta ställning till under vilken tid lagringsskyldigheten ska gälla. Den tiden ska vara så kort som möjligt och högt sex månader åt gången. Uppgifterna ska lagras i ett år från kommunikationen/insamlingen (786 d § retsplejeloven). Uppgifter om vilka personer, enheter eller områden som omfattas av sådan lagring ska inte vara offentliga.

Generell och odifferentierad lagring

I de fall det föreligger tillräckligt konkreta omständigheter som ger anledning att anta att Danmark står inför ett allvarligt hot mot den nationella säkerheten som kan antas vara reellt, aktuellt eller förutsebart får en generell och odifferentierad lagring ske. Justitieministern

har bemyndigats att, efter förhandling med handels- och industriministern (erhvervsministern), besluta om sådan lagring (genom bekendtgørelse). Beslutet ska grundas på en helhetsbedömning, där bl.a. Center for Terroranalyses årliga ”Vurderingen af Terrortruslen mod Danmark” ska beaktas. Lagringsskyldigheten ska fastställas för en period om ett år åt gången. Uppgifterna ska lagras i ett år från kommunikationen/insamlingen (786 e § retsplejeloven).

Ip-adresser och nummerupplysningsuppgifter m.m.

Lagring ska ske av ip-adresser, portnummer och tidpunkt för tilldelningen. Uppgifterna ska lämnas ut inte enbart i syfte att bekämpa grov brottslighet. Lagringen ska ske i ett år från inhämtningen. Justitieministern får, efter samråd med klimat-, energi- och försörjningsministern, besluta regler om lagring och verifiering av nummerupplysningsuppgifter. Nummerupplysningsdatabasen ska innehålla uppgifter om unikt ID och eventuella uppgifter om användaren, i syfte att stödja polisens möjligheter att identifiera en användare av ett visst kommunikationsmedel (se 786 f, 786 g, 786 h §§ retsplejeloven).

6.5.2 Frankrike

Den 21 april 2021 fattade Högsta förvaltningsdomstolen i Frankrike (Conseil d’État), efter La Quadrature Du Net-domen, beslut om huruvida de franska reglerna om datalagring var i överensstämmelse med EU-rätten.

Domstolen beslutade att det befintliga hotet mot den nationella säkerheten för närvarande motiverar en generell lagring av metadata. Domstolen konstaterade vidare att möjligheten att få tillgång till sådana uppgifter för att bekämpa grov brottslighet för närvarande gör det möjligt att säkerställa de konstitutionella kraven för att förhindra brott mot lag och ordning och spårning av gärningsmän. Domstolen beordrade dock regeringen att regelbundet ompröva hotnivån i Frankrike och som kan motivera en generell lagring av uppgifter och att se till att underrättelsetjänsternas tillgång till dessa uppgifter prövas av en oberoende myndighet.

Enligt fransk lag ska teleoperatörer lagra uppgifter om sina användares metadata i syfte att bekämpa brottslighet och terrorism. Uppgifterna kan indelas i följande tre kategorier: 1. Identitetsuppgifter, som gör det möjligt att identifiera använda-

ren av ett elektroniskt kommunikationssystem (t.ex. för- och

efternamn kopplade till ett telefonnummer eller den ip-adress

genom vilken en användare är ansluten till internet). 2. Trafikuppgifter, som spårar datum, tid och mottagare av elek-

tronisk kommunikation, eller en förteckning över besökta webb-

platser. 3. Platsdata som gör det möjligt att ”märka” en enhet med den bas-

station som den är ansluten till.

Vid sin kontroll av att genomförandet av EU-rätten inte äventyrar de franska konstitutionella kraven undersökte Högsta författningsdomstolen det franska regelverkets överensstämmelse med EU-rätten. Domstolen klargjorde inledningsvis omfattningen av sin undersökning. Å ena sidan vägrade domstolen att bedöma om EU:s myndigheter, särskilt EU-domstolen, hade överskridit sina befogenheter. Å andra sidan erinrade domstolen om att den franska konstitutionen fortfarande är den högsta normen inom det franska nationella rättssystemet. Följaktligen var domstolen tvungen att se till att tillämpningen av EU-rätten, såsom den har fastställts av EU-domstolen, i praktiken inte äventyrar franska konstitutionella krav som inte garanteras på ett likvärdigt sätt av EU-rätten.

Högsta författningsdomstolen konstaterade att de konstitutionella kraven på att skydda nationens grundläggande intressen, förhindra brott mot lag och ordning, bekämpa terrorism och söka efter brottsförövare inte åtnjuter ett skydd i EU-rätten som motsvarar det som garanteras i den franska konstitutionen. Högsta författningsdomstolen var därför tvungen att se till att de begränsningar som EUdomstolen har infört inte äventyrar dessa konstitutionella krav. Domstolen konstaterade att den generella lagringen av uppgifter, som för närvarande åläggs aktörerna enligt fransk lag, faktiskt är motiverad av ett hot mot den nationella säkerheten, i enlighet med EU-domstolens krav. EU-domstolen kräver att förekomsten av ett sådant hot prövas om med jämna mellanrum. Domstolen beslutade att den generella skyldigheten att lagra uppgifter för andra ändamål än den natio-

nella säkerheten, särskilt lagföring av brott, är olaglig (med undantag för mindre känsliga uppgifter, såsom civilstånd, ip-adress, konton och betalningar). Domstolen konstaterade att den av EU-domstolen föreslagna lösningen med en riktad lagring för ändamålet lagföring av brott varken är möjlig i praktiken eller operativt effektiv. Den metod för ”skyndsamt säkrande” som tillåts enligt EU-rätten kan dock grundas på de uppgifter som generellt lagras för nationella säkerhetsändamål och därmed användas för lagföring av brott. När det gäller EU-domstolens åtskillnad mellan grov brottslighet och vanlig brottslighet erinrade Högsta författningsdomstolen om att proportionalitetsprincipen medför att användningen av metadata är begränsad till lagföring av brott av tillräckligt allvarlig karaktär.

När det slutligen gäller tillgången till lagrade uppgifter i underrättelsesyfte konstaterade Högsta författningsdomstolen att det franska regelverket inte är tillräckligt eftersom yttranden från den nationella kommissionen för kontroll av underrättelseteknik (CNCTR), som måste yttra sig innan ett godkännande ges, inte är bindande. Den franska lagstiftningen bör därför ändras på denna punkt.

Högsta författningsdomstolen beordrade premiärministern att inom sex månader ändra regelverket för att uppfylla dessa krav.

6.5.3 Belgien

I Belgien har ny lagstiftning om datalagring införts. Reglerna gäller såväl riktad lagring för bekämpning av allvarlig brottslighet som generell och odifferentierad lagring i syfte att skydda den nationella säkerheten.

Enligt regleringen får riktad lagring ske baserat på två olika geografiska kriterier. Det första kriteriet är baserat på kriminalstatistik per rättsligt distrikt respektive poliszoner (det finns 12 sådana rättsliga distrikt i Belgien.) För att trafik- och lokaliseringsuppgifter ska få lagras i ett sådant distrikt måste i genomsnitt tre allvarliga brott ha begåtts per 1 000 invånare och år baserat på genomsnittet för de tre föregående kalenderåren. Om ett sådant antal allvarliga brott bara förekommer i en del av distriktet (i en poliszon) får uppgifter lagras inom den zonen. Lagringstiden varierar mellan sex månader och ett år beroende på ”brottslighetens nivå”, dvs. hur många allvarliga brott som begåtts inom distriktet eller zonen. Det finns inget hinder mot

att hela Belgiens territorium omfattas av en sådan lagringsskyldighet, om kriterierna i varje distrikt är uppfyllda. Den riktade lagringen i Belgien omfattar för närvarande hela landet.

Det andra geografiska kriteriet avser strategiska platser, såsom hamnar, flygplatser, tågstationer, polisstationer, fängelser, kraftverk, parlamentet och det kungliga slottet. Ett beslut om riktad lagring gäller i ett år.

En generell och odifferentierad lagringsskyldighet träder i kraft när hotnivån är på nivå 3 på en 4-gradig skala. Uppgifterna ska lagras så länge hotnivån är på lägst nivå 3.

Lagringsskyldigheten gäller även för s.k. OTT-leverantörer (om sådana leverantörer, se avsnitt 9).

Lagändringarna trädde i kraft den 18 augusti 2022. Lagringsskyldigheten avseende strategiska platser träder dock i kraft först den 1 januari 2027, om inte annat bestäms.

Det pågår för närvarande en rättsprocess om giltigheten av den belgiska datalagringsregleringen vid landets konstitutionsdomstol.

6.6 Överväganden och förslag

6.6.1 Lagring av uppgifter om abonnemang för att bekämpa brottslighet

Utredningens bedömning: Begreppet uppgift om abonnemang bör finnas kvar i författning och ha samma innebörd som i dag.

Utredningens förslag: Uppgifter om abonnemang som genereras och behandlas i tillhandahållarnas verksamhet som behövs för att identifiera en abonnent och registrerad användare ska lagras.

Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om vilka uppgifter som ska lagras.

Lagringstiden ska pågå fram till ett år efter det att abonnemanget upphörde att gälla. I fråga om tillfälliga identifierare bör lagringstiden räknas från det att tilldelningen av identifieraren upphörde hos användaren.

Uppgifter som omfattas av lagringsskyldigheten ska få behandlas även för andra syften än brottsbekämpning.

Begreppet uppgift om abonnemang

Som framgår av avsnitt 4 finns det inte någon definition av begreppet uppgift om abonnemang varken i EU-rätten eller i svensk rätt. Regeringen har, som också nämnts i avsnitt 4, uttalat att uppgifter om abonnemang som utgångspunkt är uppgifter som identifierar abonnenten eller den registrerade användaren bakom ett visst nummer eller en viss adress, i motsats till uppgifter som redogör för hur numret eller adressen har använts.

I Sverige anses begreppet uppgifter om abonnemang innefatta uppgifter om abonnentens nummer, namn, titel och adress samt uppgifter om exempelvis avtal och fakturering. Vidare anses fasta, dynamiska eller ip-adresser styrda genom NAT-teknik , IMSI-nummer och IMEI-nummer vara uppgifter om abonnemang när syftet med uppgiften är att identifiera ett abonnemang eller en abonnent.

EU-domstolen har, bl.a. i SpaceNet-domen, uttalat att EU-rätten inte utgör ett hinder mot lagstiftning som, för att skydda nationell säkerhet, bekämpa brottslighet och skydda allmän säkerhet, föreskriver en generell och odifferentierad lagring av uppgifter om identiteten beträffande användare av elektroniska kommunikationsmedel. EU-domstolen har dock en annan hållning när det gäller ip-adresser. Ip-adresser som tilldelats källan till en internetanslutning får endast lagras generellt och odifferentierat, för syftet att skydda nationell säkerhet, bekämpa grov brottslighet och förhindra allvarliga hot mot allmän säkerhet, för en tid som är tidsmässigt begränsad till vad som är strängt nödvändigt. Domstolen angav bl.a. följande. Eftersom ipadresser kan användas för att bl.a. på ett uttömmande sätt kartlägga en internetanvändares hela klickström , och därmed dennes onlineaktivitet, är det emellertid möjligt att med användning av dessa uppgifter upprätta en detaljerad profil för internetanvändaren. Den lagring och analys av dessa ip-adresser som krävs för en sådan kartläggning utgör således allvarliga ingrepp i internetanvändarens grundläggande rättigheter enligt artiklarna 7 och 8 i stadgan.

6 Se prop. 2018/19:86 s. 93. Jfr med prop. 2011/12:55 s. 101–102. 7 NAT (Network Address Translation) en adressöversättningsteknik som tillåter flera användare att dela på samma ip-adress. Se även PTSFS 2019:2 – Föreskrifter om vilka andra uppgifter som ska lagras för att identifiera abonnent och registrerad användare vid användning av NAT-teknik. 8 Detta ord används i den svenska översättning av punkt 79 i SpaceNet-domen. 9 Se SpaceNet-domen p. 79.

Med anledning av EU-domstolens uttalanden finns det skäl att överväga om vi i Sverige bör revidera vår uppfattning om vad som innefattas i begreppet abonnemangsuppgift och om ip-adresser kan innefattas i begreppet. Man kan vidare överväga om man i stället bör använda begreppet uppgift om fysisk identitet.

Ip-adresser kan förenklat beskrivas som en länk mellan å ena sidan en användares enhet (exempelvis en dator eller mobiltelefon) och å andra sidan den som vill kommunicera med enheten. Ip-adressen fyller två huvudsakliga funktioner. Den första funktionen är att identifiera en enhet inom ett nätverk, vilket är förutsättning för att kunna tillhandahålla tjänsten och ta betalt för den från den som äger enheten eller låter andra bruka den. Den andra funktionen är att återge enhetens placering inom ett nätverk för att enheten ska kunna kommunicera med andra enheter, vilket är en förutsättning för internettrafik. En internetleverantör utgör i praktiken en länk mellan en användares privata nätverk och interna ip-adresser (ofta i form av en router som genererar ip-adresser för enheterna i ett hem) och internet. Extern kommunikation blir möjligt genom att användaren får en extern ip-adress av sin internetleverantör. I de flesta fall ändras ip-adressen från gång till annan när enheten kopplar upp sig mot internetleverantörens infrastruktur (dynamiska ip-adresser) och i andra fall, i regel mot extra avgift, kan enheten få en fast ip-adress.

En närmare analys av hur en ip-adress ska kategoriseras bör därför göras med utgångspunkt från att en ip-adress har olika funktioner. Det bör därför göras en skillnad mellan 1) frågan om vem som vid viss tidpunkt innehaft en ip-adress, dvs. uppgift om en person, och 2) situationer när en myndighet begär uppgifter om kommunikation kopplad till en viss ip-adress och därigenom bl.a. får kunskap om vilken ip-adress som vid en viss tidpunkt kommunicerat med en annan ip-adress.

Isolerat säger en ip-adress, exempelvis 193.11.1.15, inte mer än de uppgifter som kopplas samman med numret (se avsnitt 9.3 för en mer utförligare beskrivning av ip-adress). Det väsentliga är således vad som kopplas till ip-adressen. Om en ip-adress kompletteras med bl.a. information om datapaket, spårbar tid, sändande och mottagande ip-adress, portnummer , överföringsprotokoll m.m. kan det ge

10

Internet Protocol, Darpa Internet Program, Protocol Specification, september 1981, uppdaterad februari 2013, https://www.rfc-editor.org/info/rfc791. Hämtat den 4 april 2023. 11

Portnummer är ett nummer som tilldelas för att identifiera en slutpunkt för anslutning och för att styra data till en specifik tjänst.

information om kommunikationen, exempelvis att en enhet har varit i förbindelse med en annan enhet. Vem som vid en viss tidpunkt innehaft en ip-adress säger däremot inte något om kommunikationen. Enligt den nuvarande svenska lagringsskyldigheten ska användares ip-adress och andra uppgifter som är nödvändiga för att identifiera abonnent och registrerad användare lagras. Däremot ska uppgifter om kommunikation kopplade till en ip-adress inte lagras. Sådana uppgifter får alltså inte lagras av tjänsteleverantörerna för syftet att bekämpa brottslighet.

De tyska datalagringsbestämmelserna som var föremål för EUdomstolens prövning i SpaceNet-domen, innehöll ett uttryckligt förbud mot lagring av uppgifter som avslöjar trafik till och från webbplatser.

Mot denna bakgrund synes EU-domstolen mena att det med hjälp av externa källor går att kartlägga en internetanvändares hela klickström, dvs hos andra än tillhandahållarna eftersom dessa inte fick lagra uppgifter som avslöjar trafik till och från webbplatser. Uttalandet vore annars oförenlig med vad domstolen gav uttryck för i mål C-597/19 M.I.C.M (punkt 121). I denna dom uttalar domstolen att kännedom om en innehavare av en ip-adress normalt inte gör det möjligt att få kännedom om datum, tid, geografisk plats, varaktighet eller mottagare av den kommunikation som ägt rum. Domstolen klargjorde i M.I.C.M. även att ip-adresser inte ger någon information om kommunikationen och därmed inte heller om användarnas privatliv.

Vi anser att det är svårt att utläsa vad EU-domstolen syftar på i SpaceNet-domen när den gör gällande att en ip-adress, trots avsaknad av andra uppgifter om trafik, kan användas för att kartlägga en internetanvändares klickström.

Hur ip-adresser ska bedömas har aktualiserats i ett pågående mål vid EU-domstolen, mål C-470/21, begäran om förhandsavgörande den 30 juli 2021 från den Högsta förvaltningsdomstolen i Frankrike. Den svenska regeringen har i ett yttrande i detta mål anfört som sin inställning att en uppgift om innehavare av en ip-adress i första hand är att betrakta som en uppgift om fysisk identitet. Regeringen anförde också i yttrandet bl.a. följande.

Det är i domstolens praxis inte klarlagt huruvida uppgift om fysisk identitet utgör en egen kategori av uppgifter, skild från trafik- och lokaliseringsuppgifter, eller om den ingår som en underkategori i

begreppet trafikuppgift. Det kan ifrågasättas om uppgifter om fysisk identitet över huvud taget kan anses utgöra trafikuppgifter. Om uppgifter om innehavare av ip-adresser anses utgöra trafikuppgifter, får de anses ha en betydligt lägre känslighetsgrad än andra trafikuppgifter. Eftersom uppgifterna inte är särskilt integritetskänsliga, bör de inte heller vara underkastade krav på förhandskontroll av domstol eller annan oberoende myndighet och vara möjliga att tillgå också för bekämpande av brottslighet i allmänhet, inte enbart grov brottslighet.

Förhandling i mål C-470/21 är planerad den 15–16 maj 2023.

Vår slutsats är att en ip-adress måste kategoriseras utifrån vilka uppgifter som kopplas till ip-adressen, inte bara utifrån numret som sådant. Om frågan avser vem som har, eller hade, en ip-adress, utan koppling till trafik- och lokaliseringsuppgift bör numret kategoriseras som en uppgift om abonnemang. Uppgift om den fysiska innehavarens identitet avseende en viss ip-adress är således en uppgift om abonnemang.

Även andra uppgifter kan vara uppgifter om abonnemang, exempelvis uppgift om kopplingen mellan permanenta och tillfälliga identifierare i 5G-nätet. Som framgår av våra överväganden angående utformningen av anpassningsskyldigheten (se avsnitt 10.4.2) kommer möjligheten för de brottsbekämpande myndigheterna att kunna identifiera kommunikationsutrustningar försvinna när permanenta identifierare omvandlas till temporära identifierare i den luftburna delen av 5G-nätet. De permanenta identifierarna i 5G-nätet är motsvarigheten till IMSI-nummer i 4G-nätet. Endast teleoperatören kan koppla ihop de temporära identifierarna med de permanenta. Uppgift om kopplingen mellan dessa identifierare är alltså en uppgift om abonnemang när syftet med uppgiften är att identifiera abonnenten eller den registrerade användaren.

Av våra direktiv framgår att det kan finnas behov av att klarlägga hur vissa EU-rättsliga termer förhåller sig till nationella termer, exempelvis den närmare omfattningen av begreppet abonnemangsuppgifter i förhållande till s.k. NAT-teknik. Som vi redogjort för omfattas i dag NAT-styrda ip-adresser av begreppet abonnemangsuppgift. Vi har inte funnit att EU-rätten ger oss skäl att göra någon annan bedömning än vad som tidigare gjorts. Det väsentliga för bedömningen är inte valet av teknisk lösning. Det saknar för bedömningen betydelse hur en ip-adress tilldelas (fast, dynamiskt eller genom NATteknik). Det väsentliga för bedömningen om huruvida en uppgift är

en uppgift om abonnemang är i stället om det med ledning av uppgifterna går att identifiera användaren.

Med denna utgångspunkt ser vi inget behov av att revidera vare sig den svenska innebörden av uppgifter om abonnemang eller begreppet som sådant.

Lagringsskyldighet och lagringstid för abonnemangsuppgifter

Mot bakgrund av våra slutsatser i föregående avsnitt föreslår vi en reglering som anger att den lagringsskyldige ska lagra de uppgifter om abonnemang som genereras eller behandlas i deras verksamhet i syfte att skydda nationell säkerhet, bekämpa grov brottslighet och annan brottslighet samt skydda allmän säkerhet.

Vi menar att lagringstiden för dessa uppgifter rimligen bör sträcka sig till ett år efter det att abonnemanget upphörde att gälla. När det gäller uppgift om innehavare av en dynamisk ip-adress bör dock lagringstiden räknas från att den tilldelade ip-adressen upphör att vara knuten till den aktuella användaren. På samma sätt bör det förhålla sig med lagringstiden för uppgift om kopplingen mellan permanenta och tillfälliga identifierare i 5G-nätet. Det är i båda dessa fall fråga om tillfälliga identifieringsuppgifter.

Vi föreslår att denna lagringsskyldighet ska regleras i en ny paragraf, 9 kap. 19 a § nya LEK. Någon närmare reglering av lagringsskyldigheten bör dock inte finnas i lag. Sådana föreskrifter bör finnas på lägre normnivå. Paragrafen bör därför innehålla ett bemyndigande för regeringen, eller den myndighet som regeringen bestämmer, att få meddela föreskrifter om vilka uppgifter som ska lagras enligt paragrafen. I förordning bör det finnas dels bestämmelser om vilka abonnemangsuppgifter som ska lagras, dels en subdelegation för PTS att meddela ytterligare föreskrifter om vilka uppgifter som ska lagras. Det är lämpligt med en subdelegation till PTS att meddela ytterligare föreskrifter i ämnet. Behovet av ytterligare föreskrifter kan nämligen uppkomma inte minst med hänsyn till den snabba tekniska utvecklingen och ändringar i kommunikationsvanor. På sätt kan PTS bidra till att undanröja eventuella framtida oklarheter om lagringsskyldighetens omfattning.

Lagringstiden bör liksom i dag regleras i 9 kap. 22 § nya LEK.

Tjänsteleverantörernas behandling av abonnemangsuppgifter

Den lagringsskyldighet avseende uppgifter om abonnemang som vi föreslår ovan väcker frågan om det krävs någon särskild reglering avseende tjänsteleverantörernas behandling av dessa uppgifter.

Enligt 9 kap. 21 § nya LEK får uppgifter som har lagrats enligt 9 kap. 19 § nya LEK behandlas endast för att lämnas ut enligt 1. 9 kap. 33 § första stycket 2 och 5 nya LEK, 2. 27 kap. 19 § RB, eller 3. inhämtningslagen.

Utlämnande av abonnemangsuppgifter i brottsbekämpande syfte görs med stöd av 9 kap. 33 § första stycket 2 och 5 nya LEK. Frågan är om uppgifter som har lagrats med stöd av den av oss föreslagna 9 kap. 19 a § nya LEK ska få behandlas endast för att lämnas ut enligt 9 kap. 33 § första stycket 2 och 5. Vi anser att så inte bör vara fallet. Som framgår av övriga delar av 9 kap. 33 § första stycket nya LEK ska uppgifter om abonnemang, trots den tystnadsplikt som gäller för dessa uppgifter enligt 9 kap. 31 § nya LEK, lämnas ut till ett flertal olika myndigheter. Utlämnandet av uppgifter om abonnemang enligt dessa senare bestämmelser har ingenting att göra med lagringsskyldigheten i 9 kap 19 § nya LEK. Uppgifterna kan i dessa fall lämnas ut eftersom de lagras för tjänsteleverantörernas egna syften. Om det föreskrivs att uppgifter om abonnemang som lagras enligt 9 kap. 19 a § nya LEK får behandlas endast för att lämnas ut för brottsbekämpande syften skulle tjänsteleverantörerna behöva lagra sina abonnemangsuppgifter i olika uppgiftssamlingar, en för sina egna syften och en för brottsbekämpande syften. Vi anser att en sådan dubbel lagring av abonnemangsuppgifter är obefogad med hänsyn till att uppgifterna, i jämförelse med trafikuppgifter och lokaliseringsuppgifter, inte är lika integritetskänsliga.

6.6.2 Särskilt om begreppet trafikuppgift

Utredningens förslag: Begreppet annan uppgift som angår ett särskilt elektroniskt meddelande i nya LEK ska ersättas med begreppet trafikuppgift. Motsvarande ändring ska göras i offentlighets- och sekretesslagen.

Enligt våra direktiv kan det behöva klargöras hur vissa EU-rättsliga termer förhåller sig till nationella termer, exempelvis hur det EUrättsliga begreppet trafikuppgift förhåller sig till begreppet annan uppgift som angår ett särskilt elektroniskt meddelande. Innan förhållandet mellan ovanstående begrepp klargörs bör den närmare definitionen av ett elektroniskt meddelande klargöras. Begreppet elektronisk meddelande är hämtat från artikel 2 d i e-dataskyddsdirektivet. I e-dataskyddsdirektivet används begreppet kommunikation, men regeringen valde att använda begreppet elektroniskt meddelande av följande skäl.

Direktivet om integritet och elektronisk kommunikation innehåller en

rad definitioner i artikel 2. Av särskilt intresse är definitionen av kom-

munikation, som i direktivet lyder ”all information som utbyts eller

överförs mellan ett begränsat antal parter genom en allmänt tillgänglig

elektronisk kommunikationstjänst. Detta inbegriper inte information

som överförs som del av en sändningstjänst för rundradio eller TV till

allmänheten via ett elektroniskt kommunikationsnät, utom i den mån

informationen kan sättas i samband med den enskilde abonnenten eller

användaren av informationen”. I ingresspunkt 16 i direktivet förklaras

att information som ingår i en sändningstjänst för rundradio eller TV

som tillhandahålls via ett allmänt kommunikationsnät är avsedd för en

potentiellt obegränsad publik och utgör inte en kommunikation enligt

direktivet. I sådana fall där den enskilde abonnenten eller användaren

som får sådan information kan identifieras, till exempel när det gäller

beställ-TV-tjänster, omfattas emellertid den överförda informationen av

vad som i direktivet avses med kommunikation.

Begreppen användare och kommunikation är särpräglade för de be-

stämmelser som finns i direktivet om integritet och elektronisk kom-

munikation. Beträffande kommunikation finns risk för begreppsförvirr-

ing med hänsyn till termen elektronisk kommunikation. Det föreslås

därför det som i direktivet benämns ”kommunikation” i den nya lagen

kallas ”elektroniskt meddelande”.

I 1 kap. 7 § nya LEK har ett elektroniskt meddelande därför fått följande definition.

elektroniskt meddelande: all information som utbyts eller överförs mellan

ett begränsat antal parter genom en allmänt tillgänglig elektronisk kom-

munikationstjänst, utom information som överförs som del av sänd-

ningar av ljudradio- och tv-program som är riktade till allmänheten via

ett elektroniskt kommunikationsnät om inte denna information kan

sättas i samband med den enskilda abonnenten eller användaren av in-

formationen.

Även begreppet trafikuppgift är hämtat från e-dataskyddsdirektivet. I artikel 2 i direktivet definieras trafikuppgifter som alla uppgifter som behandlas i syfte att överföra en kommunikation via ett elektroniskt kommunikationsnät eller för att fakturera den. I skäl 15 i e-dataskyddsdirektivet sägs följande:

(15) En kommunikation kan innehålla alla slags uppgifter om namn,

nummer eller adress från sändaren av en kommunikation eller använ-

daren av en förbindelse för att genomföra kommunikationen. Trafik-

uppgifter kan innefatta varje omvandling av denna information via det

nät genom vilket kommunikationen överförs i syfte att utföra överför-

ingen. Trafikuppgifter kan bland annat utgöras av uppgifter om en kom-

munikations sändningsväg, varaktighet, tid eller volym, vilket protokoll

som används, terminalutrustningens, sändarens eller mottagarens pla-

cering, det nät där kommunikationen börjar eller slutar samt en förbin-

delses början, slut eller varaktighet. De kan också bestå av det format i

vilket kommunikationen överförs via nätet.

Definitionen finns i 1 kap. 7 § nya LEK. Enligt definitionen är en trafikuppgift en uppgift som behandlas i syfte att befordra ett elektroniskt meddelande via ett elektroniskt kommunikationsnät eller för att fakturera detta meddelande. Den motsvarar alltså definitionen i direktivet trots användningen av begreppet elektronisk meddelande i lagen. Vid bedömningen av innebörden av begreppet trafikuppgift bör det därför även beaktas definitionen av elektroniskt meddelande i nya LEK.

Frågan är då om det finns någon skillnad mellan begreppet trafikuppgift och annan uppgift som angår ett särskilt elektroniskt meddelande.

Begreppet annan uppgift som angår ett särskilt elektroniskt meddelande finns i 9 kap. 31 § nya LEK. I bestämmelsen regleras en tystnadsplikt för den som i samband med tillhandahållande av ett elektroniskt kommunikationsnät eller en elektronisk kommunikationstjänst som

inte är en Noik har fått del av eller tillgång till vissa närmare angivna uppgifter. Tystnadsplikten gäller för 1. uppgift om abonnemang, 2. innehållet i ett elektroniskt meddelande, och 3. annan uppgift som angår ett särskilt elektroniskt meddelande.

Denna tystnadsplikt infördes redan i telelagen (1993:597) i samband med bolagiseringen av Televerket. I den ursprungliga lydelsen var formuleringen annan uppgift som angår ett telemeddelande. Med det avsågs bl.a. uppgift om mellan vilka abonnemang som ett telefonsamtal har förmedlats. I samband med anpassningar till gemenskapsrätten ersattes begreppet telemeddelande med begreppet elektroniskt meddelande i 6 kap. 20 § gamla LEK, men någon förändring i sak avsågs inte. Regeringen uttalade i samma lagstiftningsärende att begreppet trafikuppgift i princip torde avse ha samma innebörd som uppgifter som angår ett särskilt telemeddelande.

Med utgångspunkt från den breda definitionen av begreppet trafikuppgift, särskilt med beaktande av vad som framgår av skälen i e-dataskyddsdirektivet och vad vi har redovisat ovan, gör vi bedömningen att begreppet trafikuppgift har samma innebörd som begreppet annan uppgift som angår ett särskilt elektroniskt meddelande. Begreppet trafikuppgift innefattar även lokaliseringsuppgifter som är trafikuppgifter. Visserligen finns det nu fler typer av trafikuppgifter än vid telelagens tillkomst, men det beror på utvecklingen av den teknik som används för elektronisk kommunikation.

Det framstår som otillfredsställande att det i nya LEK finns två begrepp med samma innebörd. Begreppet trafikuppgift används exempelvis i 9 kap. 1 och 4 §§ nya LEK angående behandlingen av sådana uppgifter. I den nuvarande regleringen om vilka uppgifter som tjänsteleverantörerna ska lagra används emellertid begreppet annan uppgift som angår ett särskilt elektroniskt meddelande, genom hänvisning till 9 kap. 31 § första stycket 3 nya LEK.

Sammantaget kan förekomsten av de båda begreppen i nya LEK ge upphov till tolkningssvårigheter i fråga om omfattningen av tystnadsplikten och därmed om vad som omfattas av lagringsskyldigheten.

12 Se prop. 1992/93:200 s. 162 f. och 310. 13 Se prop. 2002/03:110 s. 269 och 397. 14 Se prop. 2021/22:136 s. 411 och prop. 2002/03:110 s. 389 och 390.

Mot denna bakgrund föreslår vi att begreppet trafikuppgift ska ersätta begreppet annan uppgift som angår ett särskilt elektroniskt meddelande. Begreppet trafikuppgift i den bestämmelsen blir också mer konsekvent i förhållande till våra kommande överväganden i avsnitt 7.3.9. om tystnadsplikt för lokaliseringsuppgifter som inte är trafikuppgifter. I sak avses inte någon ändring i fråga tystnadsplikten. Den tystnadsplikt som hittills gällt för annan uppgift som angår ett särskilt elektroniskt meddelande ska således alltjämt gälla.

Det bör avslutningsvis nämnas att begreppet annan uppgift som angår ett särskilt elektroniskt meddelande också förekommer i offentlighets- och sekretesslagen bl. a. i anledning av den verksamhet som bedrevs av Televerket. När begreppet telemeddelande utmönstrades i lagstiftningen ändrades även bestämmelsen i 29 kap. 2 § OSL. Televerket finns inte längre kvar men på grund av bl.a. bestämmelserna om överföring av sekretess i 11 kap. 6 § kan exempelvis Riksarkivet ha att tillämpa 29 kap. 2 § OSL på äldre uppgifter. Som en konsekvens av våra förslag bör begreppet annan uppgift som angår ett särskilt elektroniskt meddelande ersättas av begreppet trafikuppgift även i offentlighets- och sekretesslagen.

6.6.3 Behov av anpassningar till EU-rätten och teknikutvecklingen

Utredningens bedömning: EU-domstolens praxis innebär att förslag bör lämnas om lagring av trafikuppgifter och lokaliseringsuppgifter för att skydda den nationella säkerheten. Det finns även anledning att lämna förslag om riktad lagring för att bekämpa grov brottslighet.

Något undantag från lagring avseende personer med tystnadsplikt bör inte införas.

Nationell säkerhet

Som framgår av avsnitt 6.3.2 tillåter EU-rätten en mer omfattande lagringsskyldighet med koppling till nationell säkerhet. När det gäller nationell säkerhet kan behöriga myndigheter alltså ges rätt att ålägga

15

Se prop. 2011/12:55 s. 58 och 59. 16

Lenberg Eva, Tansjö Anna och Geijer Ulrika, kommentaren till 29 kap. 2 § offentlighetsoch sekretesslagen (2 december 2022, version 26, JUNO).

tjänsteleverantörer en generell och odifferentierad lagringsskyldighet under en begränsad tid avseende trafik- och lokaliseringsuppgifter, om målet är att skydda nationell säkerhet. Enligt nu gällande bestämmelser sker ingen datalagring för det uttalade syftet att skydda den nationella säkerheten. Vi bedömer att det finns ett behov av att införa en särskild möjlighet till lagring av trafik- och lokaliseringsuppgifter i syfte att skydda Sveriges säkerhet. Det ingår också i vårt uppdrag att se över regleringen och återkomma med förslag hur en sådan reglering kan utformas. Vi återkommer i avsnitt 7 till frågor om lagring och tillgång till trafik- och lokaliseringsuppgifter i syfte att skydda den nationella säkerheten.

Det blir allt vanligare att kommunikation sker genom tjänster som inte omfattas av någon rättslig skyldighet att lagra och tillhandahålla uppgifter, nämligen via tjänster som tillhandahålls av andra än de traditionella teleoperatörerna. Sådana tjänster kallas OTT-tjänster (over the top) eller nummeroberoende interpersonella kommunikationstjänster. Exempel på OTT-tjänster är Apple Imessage och Facetime, Messenger from Meta (tidigare Facebook Messenger) och Whatsapp. Det ingår i vårt uppdrag att analysera om OTT-tjänster ska omfattas av samma skyldigheter som gäller för de traditionella teleoperatörerna. Vi återkommer till denna och nära anslutande frågor i avsnitt 9.

Riktad lagring

Den nu gällande lagringsskyldigheten är, som vi beskrivit i avsnitt 6.2, ett resultat av de anpassningar till EU-rätten som gjordes efter Tele2-domen. EU-domstolen har dock i flera avgöranden efter Tele2-domen entydigt underkänt nationella bestämmelser som ålägger tjänsteleverantörer att lagra trafik- och lokaliseringsuppgifter i en omfattning som berör alla eller nästan alla personer som ingår i befolkningen, om syftet med lagringen är att bekämpa grov brottslighet. EU-domstolen förordar i stället riktad lagring som modell för att bekämpa grov brottslighet.

Som framgår av avsnitt 6.2.2 har regeringen tidigare haft starka betänkligheter mot att införa riktad lagring i Sverige. En riktad lagringen ansågs varken vara en ändamålsenlig, proportionerlig eller lämplig lösning. Vi delar i allt väsentligt denna syn på riktad lagring. Detta

talar mot riktad lagring som en modell för datalagring i Sverige. Frågan blir då om vi över huvud taget bör lämna förslag om riktad lagring.

Även om den svenska regleringen inte har prövats av EU-domstolen kan vi konstatera att den har likheter med de tyska reglerna om datalagring som prövades av EU-domstolen i SpaceNet-målet och som underkändes av domstolen. Det finns en risk för att EUdomstolen skulle kunna göra motsvarande bedömning beträffande den svenska regleringen, om den blev föremål för EU-domstolens prövning. Om datalagringen för att bekämpa grov brottslighet upphör, skulle förutsättningarna för det brottsbekämpande arbetet försämras avsevärt. Under sådana förhållanden anser vi att det finns skäl att lämna ett förslag om riktad lagring, som är förenligt med EU-domstolens krav. Vi gör sammanfattningsvis bedömningen att det finns ett behov av överväganden kring riktad lagring som vi redovisar i avsnitt 8. I avsnitt 9 överväger vi om OTT-tjänster ska omfattas av regler om riktad lagring.

Inget undantag från lagring för personer med tystnadsplikt

I Utredningen om datalagring och EU-rätten diskuterades om det borde införas något undantag från lagringen för personer med tystnadsplikt. Utredningen lämnade dock inget förslag på ett sådant undantag. Frågan har aktualiserats även i vår utredning. Vi delar den bedömning som gjordes av Utredningen om datalagring och EU-rätten. Inte heller vi lämnar därför något förslag på ett sådant undantag.

6.6.4 Sanktionsavgifter

I avsnitt 10.5 tar vi upp frågan om sanktionsavgifter för den som inte lagrar uppgifter i enlighet med vårt förslag ovan angående abonnemangsuppgifter och våra förslag i avsnitt 7, 8 och 9.

17

Se SOU 2017:75, s. 248–250.

7 Särskilt om lagring och tillgång till uppgifter i syfte att skydda nationell säkerhet

7.1 Inledning

Vi har i avsnitt 6 konstaterat att de svenska reglerna om lagring av uppgifter om elektronisk kommunikation för att bekämpa den grova brottsligheten kan behöva reformeras och att det finns behov av att införa en särskild möjlighet till lagring av trafik- och lokaliseringsuppgifter i syfte att skydda Sveriges säkerhet.

EU-rätten tillåter, en lagstiftning som ger behöriga myndigheter rätt att, med iakttagande kravet på proportionalitet, ålägga tillhandahållare av allmänt tillgängliga elektroniska kommunikationstjänster, härefter tillhandahållare, generell och odifferentierad lagringsskyldighet under en begränsad tid avseende trafik- och lokaliseringsuppgifter, om målet är att skydda nationell säkerhet.

För en sådan lagringsskyldighet krävs • att det föreligger tillräckligt konkreta omständigheter för att anse

att staten står inför ett allvarligt hot mot nationell säkerhet som

visat sig vara verkligt och aktuellt eller förutsebart, • att den kan bli föremål för en effektiv kontroll av en domstol eller

en oberoende myndighet, och • att den är tidsmässigt begränsad till vad som är strängt nödvän-

digt (men kan förlängas om hotet består).

I detta avsnitt överväger vi hur en sådan lagringsskyldighet skulle kunna utformas och hur tillgången till de lagrade uppgifterna bör regleras.

7.2 Vad menas med nationell säkerhet?

I våra överväganden om en lagringsskyldighet och tillgång till uppgifter i syfte att skydda nationell säkerhet finns det anledning att belysa vad som avses med uttrycket nationell säkerhet. Det kan redan här konstateras att det inte finns någon tydlig definition av uttrycket nationell säkerhet i vare sig svensk eller internationell rätt.

7.2.1 Uttrycket nationell säkerhet i EU-rätten och Europarätten

Utgångpunkten i fördraget om Europeiska unionen är att varje befogenhet som inte har tilldelats unionen i fördragen tillhör medlemsstaterna, se artikel 5. Av artikel. 4.2 samma fördrag framgår att unionen ska respektera medlemsstaternas likhet inför fördragen samt deras nationella identitet, som kommer till uttryck i deras politiska och konstitutionella grundstrukturer, inbegripet det lokala och regionala självstyret. Unionen ska respektera medlemsstaternas väsentliga statliga funktioner, särskilt funktioner vars syfte är att hävda staternas territoriella integritet, upprätthålla lag och ordning och skydda den nationella säkerheten. I synnerhet ska den nationella säkerheten också i fortsättningen vara varje medlemsstats eget ansvar.

I artikel 72 i fördraget om Europeiska unionens funktionssätt anges att fördragets avdelning om ett område med frihet, säkerhet och rättvisa inte ska påverka medlemsstaternas ansvar för att upprätthålla lag och ordning och skydda den inre säkerheten.

Någon definition av begreppet nationell säkerhet finns dock inte i något av dessa fördrag. EU-domstolen har inte heller fastställt någon tydlig definition av begreppet nationell säkerhet.

I artikel 1.3 i e-dataskyddsdirektivet anges att direktivet inte i något fall ska tillämpas på verksamheter som avser allmän säkerhet, försvar, statens säkerhet (inbegripet statens ekonomiska välstånd när verksamheten rör statens säkerhet) och statens verksamhet på straffrättens område. EU-domstolen har uttalat att de verksamheter som nämns som exempel i denna artikel i samtliga fall är verksamheter som endast kan bedrivas av staten eller statliga myndigheter och som inte kan bedrivas av enskilda.

1 Se La Quadrature du Net-domen p. 92 med hänvisningar till rättspraxis.

EU-domstolen har vidare slagit fast att målet att skydda den nationella säkerheten motsvarar det grundläggande intresset av att skydda statens väsentliga funktioner och samhällets grundläggande intressen och inbegriper förebyggande och beivrande av verksamhet som allvarligt kan störa de grundläggande konstitutionella, politiska, ekonomiska eller sociala strukturerna i ett land och i synnerhet direkt hota samhället, befolkningen eller staten som sådan, såsom bland annat terrorverksamhet.

Uttrycket nationell säkerhet används också i artiklarna 8, 10 och 11 i Europakonventionen som ett av de legitima mål som kan motivera en begränsning av rättigheter. Någon definition av begreppet nationell säkerhet finns dock inte heller i denna konvention. Europadomstolen har inte heller utvecklat vad begreppet innebär men har dock klargjort under vilka omständigheter som ingrepp i de grundläggande rättigheterna kan ske med hänsyn till nationell säkerhet. Europadomstolen har bl.a. uttalat att de hot som finns mot nationell säkerhet kan variera och vara svåra att i förväg definiera.

Rådet för de europeiska advokatsamfunden (Council of Bars and Law Societies of Europe, CCBE) har 2019 tagit fram rekommendationer när det gäller skyddet av grundläggande rättigheter inom ramen för nationell säkerhet. I rekommendationerna konstaterar CCBE att det saknas en definition av begreppet nationell säkerhet och att medlemsstaterna ger begreppet olika innebörd. CCBE rekommenderar följande definition av nationell säkerhet.

Nationell säkerhet förstås som statens inre och yttre säkerhet, som består av ett eller flera av följande element: • statens suveränitet, • integriteten hos dess territorium, dess institutioner och dess kritiska

infrastruktur, • skyddet av statens demokratiska ordning,

2 Se Garda Síochána-domen p. 61. 3 CCBE är en internationell, icke-vinstdrivande organisation bestående av medlemmar från mer än 40 länder. Organisationen företräder advokater andra jurister inför europeiska och internationella institutioner i frågor om regleringen av professionen samt försvaret av legalitetsprincipen, mänskliga rättigheter och demokratiska värden m.m. 4 https://www.ccbe.eu/fileadmin/speciality_distribution/public/documents/SURVEILLAN CE/SVL_Guides_recommendations/EN_SVL_20190329_CCBE-Recommendations-on-theprotection-of-fundamental-rights-in-the-context-of-national-security.pdf. Hämtat den 20 april 2023.

• skydd av dess medborgare och invånare mot allvarliga hot mot liv,

hälsa och mänskliga rättigheter och • uppförande och främjande av dess utrikesförbindelser och engage-

mang för fredlig samexistens mellan nationer.

7.2.2 Uttrycket nationell säkerhet i Sverige

I svensk författning används uttrycken rikets säkerhet, Sveriges säkerhet och nationell säkerhet synonymt. Uttrycken förekommer bl.a. i offentlighets- och sekretesslagen (2009:400), säkerhetsskyddslagen (2018:585), lagen (2019:1182) om Säkerhetspolisens behandling av personuppgifter och lagen (2022:700) om särskild kontroll av vissa utlänningar. I förarbetena till den sistnämnda lagen uttalade regeringen att det inte är lämpligt att inom ramen för det lagstiftningsärendet införa en legaldefinition av uttrycket Sveriges säkerhet, bl.a. eftersom det också förekommer i annan lagstiftning.

I januari 2017 antog regeringen en svensk nationell säkerhetsstrategi. I strategin anges bl.a. följande. Målen för vår säkerhet är att värna befolkningens liv och hälsa, liksom samhällets funktionalitet, samt förmågan att upprätthålla grundläggande värden som demokrati, rättssäkerhet och mänskliga fri- och rättigheter. En förutsättning för att kunna uppnå dessa mål är att vårt lands politiska oberoende och självständighet säkras samt att vår territoriella integritet kan upprätthållas. Utmaningarna mot vår säkerhet är komplexa och kan snabbt växla. Samtidigt har förutsättningarna för att skydda befolkningen och upprätthålla de viktigaste samhällsfunktionerna förändrats i grunden. De aktörer som har betydelse för samhällets säkerhet är inte bara fler än tidigare, utan dessutom mer diversifierade. Inflytande över centrala områden och samhällsfunktioner, som tidigare i högre grad låg hos staten, kan i dag delas av många. Som en följd av globaliseringen är sambandet mellan inre och yttre säkerhet mer direkt än tidigare.

5 Se prop. 2021/22:131 s. 79. 6 Nationell säkerhetsstrategi, publicerad januari 2017, Regeringskansliet, Statsrådsberedningen.

7.3 Överväganden och förslag

I fortsättningen överväger vi hur en lagringsskyldighet i syfte att skydda Sveriges säkerhet kan utformas som ger en behörig myndighet rätt att ålägga tillhandahållare en generell och odifferentierad lagring av trafik- och lokaliseringsuppgifter och hur tillgången till dessa uppgifter bör ordnas.

7.3.1 Den behöriga myndigheten och bedömningen av hotet mot Sveriges säkerhet

Utredningens förslag: Säkerhetspolisen ska bedöma hotet mot den nationella säkerheten och får besluta om generell och odifferentierad lagringsskyldighet. En sådan lagringsskyldighet är tilllåten om den bedöms vara strängt nödvändig för att bekämpa brottslighet som kan utgöra ett allvarligt hot mot nationell säkerhet som är verkligt och aktuellt eller förutsebart. Säkerhetspolisen ska i fråga om hotbilden samråda med Försvarsmakten.

Utredningens bedömning: Säkerhetspolisen får inhämta relevant information från andra myndigheter och organ. Myndigheter som har information om hot mot den nationella säkerheten kan på eget initiativ uppmärksamma Säkerhetspolisen på dessa förhållanden.

EU-rätten tillåter, som redovisats ovan, under vissa förutsättningar en lagstiftning som ger behöriga myndigheter rätt att ålägga tillhandahållare en generell och odifferentierad lagringsskyldighet under en begränsad tid i syfte att skydda nationell säkerhet.

Den behöriga myndighetens beslut om att ålägga tillhandahållare en sådan lagringsskyldighet ska vidare kunna bli föremål för en effektiv kontroll av en domstol eller en oberoende myndighet, vars avgörande har bindande verkan, i syfte att kontrollera om förutsättningarna för en sådan lagringsskyldighet är uppfyllda. Hur denna kontroll bör utformas beror bl.a. på vilket eller vilka organ som ska vara behörig myndighet att besluta om lagringsskyldigheten och om den behöriga myndigheten även ska pröva huruvida det föreligger ett allvarligt hot mot den nationella säkerheten. Vi återkommer till frågan om hur den effektiva kontrollen bör utformas i avsnitt 7.3.4.

Den behöriga myndigheten ska bedöma hotet mot Sveriges säkerhet

Den behöriga myndighetens beslut att ålägga tillhandahållare en generell och odifferentierad lagringsskyldighet ska grunda sig på bedömningen att det föreligger ett allvarligt hot mot den nationella säkerheten. I någon mening handlar det alltså om två olika beslut, som i och för sig nog kan fattas av olika organ.

Ett alternativ är alltså att den behöriga myndigheten beslutar både i frågan om det föreligger ett allvarligt hot mot den nationella säkerheten och om lagringsskyldigheten. Det andra alternativet är att ett organ beslutar i frågan om det föreligger ett allvarligt hot mot den nationella säkerheten och att ett annat organ beslutar om lagringsskyldigheten.

Det nära sambandet mellan dessa båda frågor talar för att samma myndighet bör pröva båda frågorna. Om det är en myndighet som bedömer säkerhetsläget och en annan som beslutar om datalagring, förutsätter det att den sistnämnda myndigheten har full insyn i den förstnämnda myndighetens bedömning av säkerhetsläget för att kunna besluta om lämplig lagringsskyldighet. Det är inte givet att förutsättningar för detta alltid kommer att finnas. Vidare ska den domstol eller det oberoende organ som ska utgöra en effektiv kontroll när det gäller den beslutade lagringsskyldigheten kunna pröva om förutsättningarna för lagringsskyldigheten är uppfyllda, vilket innefattar frågan om hotet mot den nationella säkerheten är sådant att lagringsskyldigheten är påkallad. En sådan prövning kan bli svårare att göra om det är olika organ som har beslutat om säkerhetsläget och lagringsskyldigheten. Vi menar därför att det är mest lämpligt att samma myndighet prövar båda frågorna.

Det bör inte föreskrivas kriterier för bedömningen av säkerhetsläget

EU-domstolen har påpekat att det, för att kravet på proportionalitet ska vara uppfyllt, i lagstiftning måste föreskrivas klara och precisa bestämmelser som reglerar räckvidden och tillämpningen av åtgärder som inskränker rätten till respekt för privatlivet och skyddet för personuppgifter. Det måste anges minimikrav, så att de personer vars personuppgifter berörs har tillräckliga garantier för att uppgifterna på ett effektivt sätt är skyddade mot riskerna för missbruk. Lagstiftningen ska vara rättsligt bindande enligt nationell rätt och i synner-

het ange under vilka omständigheter och på vilka villkor en åtgärd avseende behandling av sådana uppgifter får vidtas, vilket säkerställer att ingreppet begränsas till vad som är strängt nödvändigt.

När det gäller tvångsmedelsanvändning och andra övervakningsåtgärder framgår det, bl.a. av Europadomstolens praxis, att det måste finnas klara och detaljerade regler som beskriver i vilka situationer och under vilka förutsättningar som sådana får användas. Det krävs enligt Europadomstolen inte en lista med namngivna brott som kan föranleda tvångsmedelsåtgärden men det är normalt inte tillräckligt att hänvisa till så generella begrepp som nationell säkerhet eller allmän ordning. Domstolen har samtidigt tydliggjort att de hot som finns mot nationell säkerhet kan variera och vara svåra att i förväg definiera.

De krav på förutsebarhet och tydlighet som ställs på en reglering som gäller under vilka omständigheter som hemliga tvångsmedel får användas gör sig inte på samma sätt gällande vid en reglering av när en generell och odifferentierad lagringsskyldighet är tillåten. Det går nämligen inte med någon större säkerhet att förutse vilka företeelser som kan komma att innebära ett hot mot den nationella säkerheten. Vi anser att det skulle vara för onyanserat att föreskriva att en generell och odifferentierad lagringsskyldighet kan beslutas exempelvis när terrorhotsnivån i Sverige är på en viss nivå. En sådan reglering skulle kunna innebära att en generell och odifferentierad lagring blir huvudregeln. Vi bedömer det inte lämpligt att i författning precisera vilka omständigheter som ska föreligga för att hotet mot den nationella säkerheten är sådant att en generell och odifferentierad lagringsskyldighet är påkallad. Det måste rimligen vara den behöriga myndigheten som, på ett så komplett underlag som möjligt, avgör om det finns tillräckligt konkreta omständigheter för att anse att det finns ett allvarligt och verkligt hot mot Sveriges som är aktuellt eller förutsebart. Omständigheter som kan vara av betydelse vid bedömningen av hotet mot den nationella säkerheten är t.ex. om terrorhotsnivån i Sverige är förhöjd, om det finns ett hot om ett väpnat angrepp mot Sverige eller om det finns andra allvarliga hot mot den inre eller yttre säkerheten. Vid bedömningen av sådana hot kan exempelvis underrättelseinformation som rör brottslig verksamhet som innefattar terroristbrott och andra systemhotande brott beaktas.

7 Se SpaceNet-domen p. 69. 8 Se SOU 2018:61 s. 78 och 79.

Förutsättningarna för när en generell och odifferentierad lagringsskyldighet ska vara tillåten bör alltså inte vara mer konkretiserade i författning än att lagringen bedöms vara strängt nödvändig när det föreligger ett allvarligt hot mot nationell säkerhet som är verkligt och aktuellt eller förutsebart.

I det här sammanhanget vill vi uppmärksamma att vi i betänkandet genomgående använder uttrycket strängt nödvändigt eftersom uttrycket används av EU-domstolen. Uttrycket är emellertid inte etablerat i svensk lagstiftning. Vi kommer därför i våra författningsförslag att använda uttrycket absolut nödvändigt. Vår avsikt är att uttrycken ska ha samma innebörd. Med strängt eller absolut nödvändigt avser vi att bedömningen ska föregås av noggranna överväganden kring behov och att tillämpning ska ske restriktivt.

Valet av behörig myndighet

Det kan konstateras att uppgiften att bedöma om Sverige står inför ett allvarligt hot mot den nationella säkerheten kräver tillgång till den mest skyddsvärda information som finns i landet och att uppgifterna ofta lär vara kvalificerat hemliga. För bedömningen måste den behöriga myndigheten och kontrollorganet få tillgång till omfattande mängder uppgifter så att frågan får en allsidig belysning. Detta ställer krav på att såväl den behöriga myndigheten som kontrollorganet på ett säkert sätt kan hantera den synnerligen skyddsvärda informationen. En annan viktig aspekt är att den synnerligen känsliga informationen bör hållas inom en så snäv krets som möjligt inom den behöriga myndigheten och kontrollorganet.

Det finns, enligt vår uppfattning, en del som talar för att det bör vara regeringen som bedömer hotet mot den nationella säkerheten. Det är regeringen som styr riket (1 kap. 6 § RF). Frågor om landets säkerhetsläge får anses ligga inom den styrande uppgiften. Regeringen har möjlighet att få relevant information från alla myndigheter och torde alltså kunna få den mest kompletta bilden av hotet mot Sveriges säkerhet.

Det finns emellertid skäl som talar mot att regeringen ska besluta om hotet mot den nationella säkerheten. En omständighet som talar mot regeringen som beslutsfattare är att vi ovan gjort bedömningen att det bör vara samma myndighet som beslutar om säkerhetshotet

och om lagringsskyldigheten. Om regeringen prövar den nationella säkerheten, skulle regeringen i så fall även besluta om datalagringen. Det är emellertid inte en typisk uppgift för regeringen att förelägga tillhandahållare en lagringsskyldighet. Vidare är det förenat med svårigheter att välja ett lämpligt och oberoende organ som skulle kunna utgöra ett effektivt kontrollorgan i förhållande till regeringens beslut. Mot denna bakgrund gör vi bedömningen att något annat organ än regeringen bör vara behörig myndighet.

Den behöriga myndigheten bör vara sådan att den har god kompetens när det gäller att bedöma frågor om hotet mot rikets säkerhet. Myndigheten bör också ha en gedigen erfarenhet av behandling av personuppgifter i sin kärnverksamhet, särskilt när det gäller behandling av personuppgifter i brottsbekämpande verksamhet. En fördel är förstås om myndigheten också har erfarenhet av behandling av personuppgifter som rör nationell säkerhet.

De två myndigheter som mot denna bakgrund har störst möjlighet att bedöma hotet mot Sveriges säkerhet är Säkerhetspolisen och Försvarsmakten. Säkerhetspolisens uppdrag är just att förebygga, förhindra och upptäcka brottslig verksamhet som innefattar brott mot Sveriges säkerhet och terrorbrott, dvs. inre hot mot Sverige. Försvarsmaktens uppdrag omfattar bl.a. att upptäcka och identifiera yttre hot mot Sverige och svenska intressen.

Det finns emellertid andra myndigheter som inom sitt verksamhetsområde har kunskap om omständigheter som har betydelse för bedömningen av hotet mot Sveriges säkerhet, t.ex. Polismyndigheten, Försvarets radioanstalt (FRA), Försvarets materielverk (FMV), Totalförsvarets forskningsinstitut (FOI), Myndigheten för psykologiskt försvar, Myndigheten för samhällsskydd och beredskap (MSB) och Post- och telestyrelsen (PTS). Vidare finns det myndighetsgemensamma samverkansgrupper inom olika områden med god kännedom om den nationella säkerheten som Nationellt centrum för terrorhotsbedömning och Nationellt cybersäkerhetscenter.

Man kan överväga om exempelvis PTS, som är reglerings- och tillsynsmyndighet enligt nya LEK, skulle kunna vara behörig myndighet i nu aktuellt avseende. PTS har stor kompetens när det gäller frågor om elektronisk kommunikation och lagring av uppgifter från sådan. Myndigheten har även viss kompetens när det gäller bedömningar av hotet mot Sveriges säkerhet. PTS är exempelvis besluts-

myndighet när det gäller tillstånd att använda radiosändare. Bland de frågor som PTS då ska bedöma är om radioanvändningen kommer att orsaka skada för Sveriges säkerhet. I ärenden om tillstånd att använda radiosändare ska PTS samråda med Försvarsmakten och Säkerhetspolisen i syfte att klarlägga om radioanvändningen kan antas orsaka skada för Sveriges säkerhet och om behovet av att förena ett tillstånd med villkor om krav som är av betydelse för Sveriges säkerhet. Säkerhetspolisen och Försvarsmakten kan överklaga beslut av PTS i tillståndsfrågor som berör Sveriges säkerhet. I förarbetena till reglerna om skydd av Sveriges säkerhet vid radioanvändning anförde regeringen att det bara är Säkerhetspolisen och Försvarsmakten som tillsammans har en helhetsbild när det gäller säkerhetsläget och hotbilden mot Sverige samt tillgång till de uppgifter som behövs för att bedöma om radioanvändning kan antas orsaka skada för Sveriges säkerhet.

Frågan är om det är lämpligt att utse PTS till beslutsorgan i detta sammanhang. Bedömningen av om det föreligger ett allvarligt hot mot Sveriges säkerhet är betydligt vidare än frågan om tillstånd till radiosändare och rör frågor som ligger utanför PTS kompetensområde. Såväl Säkerhetspolisen som Försvarsmakten och eventuellt andra myndigheter eller organ skulle behöva till PTS lämna ett utförligt underlag i fråga om hotbilden mot Sverige. Vår bedömning är därför att ingen annan myndighet än Säkerhetspolisen eller Försvarsmakten bör komma i fråga som behörig myndighet.

I valet mellan Säkerhetspolisen och Försvarsmakten som behörig myndighet gör vi följande bedömning. Såväl Säkerhetspolisen som Försvarsmakten torde ha kompetensen att bedöma hotet mot den nationella säkerheten. För att underlaget till bedömningen av detta hot ska bli så komplett och allsidigt som möjligt bör bedömningen grundas på båda myndigheternas men vid behov även andra organs kunskap i frågan. Oavsett vilken av myndigheterna som ska vara behörig myndighet bör de alltså samråda med varandra och ha möjlighet att inhämta information från alla organ som kan antas ha relevant information i frågan.

9 Se 3 kap. nya LEK. 10 Se 3 kap. 6 § första stycket 7 nya LEK. 11 Se 3 kap. 13 § nya FEK. 12 Se 15 kap. 2 § andra stycket nya LEK. 13 Se prop. 2019/20:15 s. 35.

Frågan är dock om det är lämpligt att Försvarsmakten ska kunna ålägga tillhandahållare att lagra uppgifter från kommunikation inom landet. De uppgifter som kan omfattas av lagringsskyldigheten torde i första hand inte avse utländska förhållanden. Med hänsyn till att de uppgifter som kan komma att lagras i syfte att skydda den nationella säkerheten sannolikt i första hand kommer kunna inhämtas av Säkerhetspolisen (se avsnitt 7.3.7 nedan) framstår det som ändamålsenligt att det är Säkerhetspolisen som gör bedömningen av vad som ska omfattas av lagringsskyldigheten. Vi bedömer att Säkerhetspolisen har störst kompetens i dessa frågor.

Vi föreslår därför att Säkerhetspolisen ska vara den myndighet som ska kunna besluta om en generell och odifferentierad lagringsskyldighet (nationell säkerhetslagring) när läget är sådant att Sverige står inför ett allvarligt hot mot den nationella säkerheten. För att Säkerhetspolisen ska ha ett så fullgott underlag som möjligt inför sitt beslutsfattande bör det föreskrivas att Säkerhetspolisen ska samråda med Försvarsmakten inför sin bedömning vad gäller hotet mot den nationella säkerheten.

Säkerhetspolisen kan också inhämta information från andra myndigheter och organ som kan antas ha relevant kunskap om omständigheter som har betydelse för bedömningen av hotet mot Sveriges säkerhet. Det bör också påtalas att det inte föreligger något hinder mot att myndigheter som har information om hot mot den nationella säkerheten, exempelvis Försvarsmakten, Polismyndigheten, Tullverket eller Ekobrottsmyndigheten, på eget initiativ uppmärksammar Säkerhetspolisen på dessa förhållanden så länge detta sker med iakttagande av tillämpliga sekretessregler. En sådan inhämtning av information eller kontakt kan ske utan särskilda formkrav och inom ramen för det befintliga samarbete som myndigheterna har.

7.3.2 Förvaltningslagens tillämplighet

Utredningens bedömning: De åtgärder som Säkerhetspolisen vidtar inom ramen för ärenden om nationell säkerhetslagring utgör brottsbekämpande verksamhet. Förvaltningslagen är därför tilllämplig endast i vissa delar.

Säkerhetspolisen ska enligt vårt förslag bedöma hotet mot den nationella säkerheten och får besluta om nationell säkerhetslagring. Frågan är om arbetsuppgifterna motsvarar de åtgärder som vidtas inom ramen för myndighetens brottsbekämpande verksamhet.

I förvaltningslagen (2017:900) görs undantag från flertalet av lagens bestämmelser i den brottsbekämpande verksamheten. Enligt 3 § förvaltningslagen tillämpas inte 9 § andra stycket och 10–49 §§ i brottsbekämpande verksamhet hos bl.a. Säkerhetspolisen. Det innebär att de särskilda förfarandereglerna om partsinsyn, underrättelseskyldighet före beslut, omröstning, motivering av beslut och rättelse m.m. inte gäller i denna verksamhet. Vidare är inte heller de allmänna bestämmelserna om tolk, ombud och biträde, bestämmelserna om jäv eller bestämmelsen om när en handling ska anses inkommen tilllämpliga i den brottsbekämpande verksamheten. Paragrafen innebär att det enbart är bestämmelserna i förvaltningslagens 5–8 §§ om legalitet, objektivitet, proportionalitet, service, tillgänglighet i förhållande till allmänheten och samverkan med andra myndigheter samt bestämmelsen i 9 § första stycket om krav på enkel, snabb och kostnadseffektiv handläggning som ska tillämpas vid ärendehandläggning i den brottsbekämpande verksamheten hos Säkerhetspolisen.

Det innebär naturligtvis inte att Säkerhetspolisens verksamhet är undantagen från grundläggande rättssäkerhetskrav. Regleringen finns i stället i andra författningar som är anpassade efter den brottsbekämpande verksamheten, exempelvis rättegångsbalken och polislagen (1984:387).

Skälet till att undantag gjordes för brottsbekämpande verksamhet vid genomförandet av förvaltningsrättsreformen 1971 var att lagstiftaren från lagens tillämpningsområde ville undanta handläggningen av ärenden som nära anknöt till rättegången i allmän domstol. För att uppnå detta ansågs det nödvändigt att undanta inte bara domstolarnas rättskipande verksamhet utan också handläggningen av ärenden i förfaranden som kunde mynna ut i, vara en följd av eller på annat sätt anknyta till rättegången. Denna begränsning behölls i 1986 års och 2017 års förvaltningslagar. Regeringen angav i de senaste lagmotiven att den nära koppling som finns mellan förfarandet hos myndigheter i den brottsbekämpande verksamheten och rättegången i all-

14 Se prop. 2016/17:180 s. 288. 15 Se prop. 1971:30 del 2 s. 306 och 323.

män domstol medför att skälen för begränsningen av förvaltningslagens tillämpningsområde i detta avseende alltjämt är relevanta.

Vi kan konstatera att nationell säkerhetslagring syftar till att skapa förutsättningar för användning av hemliga tvångsmedel. De åtgärder som ska vidtas inom ramen för ärenden om nationell säkerhetslagring innefattas enligt vår bedömning i sin helhet i den brottsbekämpande verksamheten, som beskrivits i avsnitt 5.2. Åtgärderna mynnar ytterst ut i att förhindra eller lagföra brott som innebär ett hot mot den nationella säkerheten. Förfarandet utgör med andra ord brottsbekämpande verksamhet och är undantaget från förvaltningslagens tillämpningsområde i de delar som vi beskrivit ovan.

Nationell säkerhetslagring tillhör sådan verksamhet som måste tillgodose högt ställda krav på rättssäkerhet. Delar av förfarandet regleras som nämnts i de författningar som gäller för de brottsbekämpande myndigheternas verksamhet. Exempelvis blir bestämmelsen om jäv enligt 7 § polislagen (1984:387) även tillämplig vid arbete med frågor om nationell säkerhetslagring. I andra delar, särskilt vad gäller frågor om beslutsformer och möjligheterna till överklagande behövs särskilda överväganden för våra förslag. Vi återkommer till dessa frågor i kommande avsnitt.

7.3.3 Säkerhetspolisens beslut om lagring

Utredningens förslag: Säkerhetspolisen ska, inom ramen för vad som anges i författning, besluta vilka tillhandahållare som ska omfattas av ett föreläggande om nationell säkerhetslagring och om lagringsskyldighetens närmare omfattning.

Ett sådant beslut ska begränsas till vad som är absolut nödvändigt för syftet med lagringen.

Ett föreläggande om lagring ska gälla så länge behovet kan förväntas föreligga och längst under ett års tid. Lagringsskyldigheten ska därefter kunna förlängas om Säkerhetspolisen gör bedömningen att hotet mot den nationella säkerheten kvarstår. Säkerhetspolisen ska löpande ompröva om hotet består och upphäva lagringsskyldigheten om förhållandena ändras.

16

Se prop. 2016/17:180 s. 33.

Säkerhetspolisens uppgifter som behörig myndighet ska regleras i en ny lag benämnd lagen om lagring av och åtkomst till uppgifter om elektronisk kommunikation i syfte att skydda Sveriges säkerhet.

När Säkerhetspolisen gör bedömningen att den nationella säkerheten påkallar ett beslut om datalagring ska Säkerhetspolisen alltså kunna fatta ett sådant beslut. Frågan är vilken ordning som då bör gälla. Det finns närmast två alternativ att välja mellan. Det ena är att Säkerhetspolisen beslutar att en redan på förhand fastslagen författningsreglering om datalagring ska träda i kraft. Det andra alternativet är att Säkerhetspolisen får besluta om lagringsskyldighetens närmare omfattning. Det första alternativet har fördelen att det är transparent och förutsebart. En annan väsentlig fördel med det alternativet är att det är enklare för tillhandahållarna att förhålla sig till. Att lagringsskyldighetens omfattning bestäms med kort varsel och kanske också varierar från tid till annan ställer stora krav på tillhandahållarna, vilket undviks om lagringsskyldighetens omfattning är fastställd i författning. En nackdel med det första alternativet är emellertid att det i det särskilda fallet inte medger någon proportionalitetsbedömning av lagringsskyldigheten. Risken är exempelvis att fler uppgiftstyper än vad som är strängt nödvändigt kan omfattas av lagringen och att regleringen inte lever upp till EU-rättens krav. Som vi beskrivit i avsnitt 7.3.1 innebär proportionalitetsprincipen bl.a. att det genom författning ska säkerställas att ett ingrepp i enskildas grundläggande rättigheter begränsas till vad som är absolut nödvändigt.

Vi föreslår därför att Säkerhetspolisen ska kunna fatta ett efter omständigheterna differentierat beslut inom ramen för vad som föreskrivs i författning. Säkerhetspolisen bör alltid kunna besluta om vilka tillhandahållare som ska lagra uppgifter. Omständigheterna kan vara sådana att det inte är strängt nödvändigt att alla tillhandahållare omfattas av lagringsskyldigheten. Säkerhetspolisen bör också kunna besluta om den närmare omfattningen av lagringsskyldigheten, när det gäller vilka typer av uppgifter som ska lagras. När det gäller frågan hur länge uppgifterna ska lagras gör vi dock bedömningen att detta ska regleras direkt i författning.

Vi har i avsnitt 7.3.1 beskrivit att Säkerhetspolisen ska samråda med Försvarsmakten, och i förekommande, även med andra myndigheter i fråga om hotet mot den nationella säkerheten. Motsvarande samråd bör äga rum även i fråga om lagringsskyldighetens omfattning. Inför

ett beslut om lagring bör Säkerhetspolisen kunna samråda med andra myndigheter i frågan om lagringsskyldighetens omfattning, i första hand med Polismyndigheten, PTS och Tullverket. Det kan inte heller uteslutas att Säkerhetspolisen behöver ta kontakt med berörda tillhandahållare inför ett beslut om lagring. Vi ser inget behov av att författningsreglera dessa samråd och kontakter. Normalt bör det inte bli aktuellt för Säkerhetspolisen att i dessa situationer röja sekretessbelagda uppgifter. Om så ändå skulle bli fallet, bör uppgifterna kunna lämnas ut med stöd av 10 kap. 2 § OSL (nödvändigt utlämnande). En sekretessbelagd uppgift får också lämnas till en myndighet, om det är uppenbart att intresset av att uppgiften lämnas har företräde framför det intresse som sekretessen ska skydda (10 kap. 27 § OSL). Vi återkommer nedan till frågan om tillhandahållarnas tystnadsplikt i avsnitt 7.3.9.

Ett föreläggande om nationell säkerhetslagring ska gälla under en viss tid. Som framgår av EU-domstolens praxis får denna tid inte vara längre än vad som är strängt nödvändigt. Det bör därför föreskrivas en längsta tid som ett föreläggande får gälla. Med hänsyn till att en generell lagringsskyldighet bara kan beslutas när det föreligger ett allvarligt hot mot den nationella säkerheten bör denna tid inte vara alltför kort. Det är sannolikt ofta så att de förhållanden som lagts till grund för bedömningen att Sverige står inför ett allvarligt hot mot den nationella säkerheten inte ändras särskilt snabbt. Vi föreslår därför att den generella lagringsskyldigheten ska få gälla i högst ett år. Om Säkerhetspolisen gör bedömningen att det allvarliga hotet mot den nationella säkerheten därefter kvarstår, ska den genom ett nytt föreläggande kunna förlänga lagringsskyldigheten. Säkerhetspolisen bör emellertid ha en skyldighet dels att löpande ompröva om hotet består, dels att upphäva lagringsskyldigheten om förhållandena ändras. Vi återkommer i avsnitt 7.3.6. till frågor om vilka uppgifter som ska kunna lagras och själva lagringstiden för uppgifterna.

Vi föreslår att Säkerhetspolisens uppgifter som behörig myndighet regleras i en ny lag som lämpligen kan benämnas lagen om lagring av och åtkomst till uppgifter om elektronisk kommunikation i syfte att skydda Sveriges säkerhet. Som redovisas nedan kommer i lagen även förfarandet, lagringen och åtkomsten till uppgifterna att regleras.

7.3.4 En effektiv kontroll av lagringsskyldigheten

Utredningens förslag: Ett beslut om nationell säkerhetslagring ska kunna bli föremål för en effektiv kontroll.

Ett offentligt ombud ska bevaka enskildas intressen och kunna överklaga Säkerhetspolisens beslut.

I huvudsak motsvarande regler som gäller för offentliga ombud enligt rättegångsbalken ska tillämpas när det gäller kraven på samt nomineringen och förordnanden av ombuden, liksom beträffande ersättning till och tystnadsplikt för ombuden.

Säkerhetspolisen ska besluta om ersättning till det offentliga ombudet. För det fall Säkerhetspolisens beslut överklagas, ska kontrollorganet besluta om ersättning till det offentliga ombudet.

Kontrollorganet ska pröva om förutsättningarna för lagringsskyldigheten är uppfyllda och om lagringsskyldigheten är proportionell. Kontrollorganet ska bara kunna fastställa eller upphäva Säkerhetspolisens beslut om lagring. Kontrollorganet ska även kunna pröva Säkerhetspolisens beslut om ersättning. Ett offentligt ombud bör få överklaga Säkerhetspolisens beslut om ersättning även i situationer när beslutet om nationell säkerhetslagring inte överklagas. Ett sådant beslut får överklagas utan inskränkning i tid.

En av förutsättningarna för en lagstiftning som ger behöriga myndigheter rätt att ålägga tillhandahållare en generell och odifferentierad lagringsskyldighet i syfte att skydda den nationella säkerheten är, som nämnts ovan, att lagringsskyldigheten kan bli föremål för en effektiv kontroll. Kontrollen ska utföras av en domstol eller ett oberoende organ, vars avgörande har bindande verkan, i syfte att kontrollera om förutsättningarna för en sådan lagringsskyldighet är uppfyllda.

Vi har ovan föreslagit att Säkerhetspolisen ska vara den behöriga myndigheten som både ska bedöma om det föreligger ett allvarligt hot mot den nationella säkerheten och kunna förelägga tillhandahållarna en generell lagringsskyldighet. Frågan är hur denna kontroll ska utövas.

Vad menas med effektiv kontroll?

Enligt EU-domstolen ska den effektiva kontrollen syfta till en granskning av att förutsättningarna för lagringsskyldigheten är uppfyllda. Eftersom den grundläggande förutsättningen för lagringsskyldigheten är att det föreligger ett allvarligt hot mot den nationella säkerheten måste kontrollorganet ha möjlighet att göra en egen bedömning av denna fråga. Vidare ska kontrollorganets avgöranden ha bindande verkan. Kontrollorganet måste således ha möjlighet att upphäva en lagringsskyldighet i de fall förutsättningarna inte är uppfyllda. Frågan är om kravet på en effektiv kontroll innefattar något annat än en möjlighet till sådan överprövning av lagringsskyldigheten, exempelvis ett krav på någon form av fortlöpande tillsyn. Enligt EU-domstolen ska en generell och odifferentierad lagringsskyldighet vara föremål för begränsningar och åtföljas av strikta garantier för att på ett effektivt sätt skydda de berördas personuppgifter från riskerna för missbruk. Den effektiva kontrollen ska, förutom att säkerställa att lagringen de facto är begränsad till situationer där det föreligger ett allvarligt hot mot nationell säkerhet, omfatta att de villkor och garantier som krävs är uppfyllda. Detta skulle visserligen kunna tala för att den effektiva kontrollen även ska innefatta någon form av fortlöpande tillsyn av själva lagringsskyldigheten. Å andra sidan är det enligt EU-domstolen själva beslutet om lagring som ska bli föremål för en effektiv kontroll och inte den efterföljande lagringen. Detta innebär, enligt vår uppfattning, att den effektiva kontrollen måste avse att de förutsättningar för lagringsskyldigheten som föreskrivs i nationell rätt är uppfyllda.

EU-domstolen har också i andra sammanhang ställt krav på kontroll av domstol eller annan oberoende myndighet. Exempelvis uttalade sig EU-domstolen om detta i den s.k. Prokuratuur-domen, där frågan gällde tillgången till lagrade trafik- och lokaliseringsuppgifter för att bekämpa grov brottslighet. EU-domstolen konstaterade att den nationella lagstiftningen måste vara grundad på objektiva kriterier som avgör under vilka omständigheter och på vilka villkor behöriga nationella myndigheter ska ges tillgång till de aktuella uppgifterna. För att säkerställa att dessa villkor uppfylls i praktiken, är det väsentligt att tillgången till de lagrade uppgifterna är underkastad

17

Se La Quadrature du Net-domen p. 138. 18

Se a. dom p. 139. 19

EU-domstolens dom den 2 mars 2021 i mål C-746/18.

förhandskontroll av en domstol eller en oberoende myndighet. En sådan förhandskontroll ska innebära att den domstol eller det organ som ska utföra kontrollen har alla befogenheter och lämnar alla nödvändiga garantier för att kunna göra en vederbörlig avvägning mellan de olika intressen och rättigheter som är i fråga (se p. 50–52 i domen). Inte heller i detta sammanhang synes en kontroll av en domstol eller ett annat oberoende organ ställa krav på någon form av fortlöpande tillsyn. Vår slutsats är därför att EU-rätten inte kräver att kontrollorganet ska bedriva någon form av fortlöpande tillsyn såvitt gäller själva lagringsskyldigheten.

Hur ska beslutet underställas kontrollorganet?

En central fråga i sammanhanget är på vilket sätt Säkerhetspolisens beslut om lagring ska kunna underställas kontrollorganet. Ett alternativ är att Säkerhetspolisens beslut alltid ska överprövas av kontrollorganet. Vad som talar för denna lösning är främst arten och vikten av de frågor som ska prövas. Det kan därför anses lämpligt att kontrollorganet alltid kontrollerar om förutsättningarna för lagringsskyldigheten är uppfyllda. Ett annat alternativ är att ett offentligt ombud ska kunna överklaga Säkerhetspolisens beslut när ombudet finner det påkallat. Det offentliga ombudet skulle kunna ges i uppdrag att bevaka enskildas intressen i allmänhet, dvs. utan att företräda någon särskild fysisk eller juridisk person. Ett offentligt ombud skulle också kunna bevaka att lagringsskyldigheten inte blir alltför betungande för tillhandahållarna, liksom eventuella andra motstående intressen.

En liknande ordning finns när det gäller beslut om vissa hemliga tvångsmedel, då ett offentligt ombud ska bevaka enskildas integritetsintressen i de aktuella ärendena. Vidare ska, vid Försvarsunderrättelsedomstolens prövning av tillstånd till signalspaning, ett integritetsskyddsombud bevaka enskildas integritetsintressen.

Det kan konstateras att EU-rätten kräver att den behöriga myndighetens beslut kan bli föremål för en effektiv kontroll. Det kan därför framstå som överflödigt att besluten alltid ska bli föremål för kontroll. Om besluten per automatik blir föremål för kontrollorganets prövning, kan det dessutom ifrågasättas om det är kontroll-

20 Se 27 kap. 26–30 §§ RB. 21 Se 5–8 §§ lagen (2009:966) om Försvarsunderrättelsedomstol.

organet som blir den faktiska beslutsfattaren och att Säkerhetspolisen snarast är att betrakta som ansökande i förfarandet. Denna farhåga blir särskilt tydlig om Säkerhetspolisens beslut om lagring inte skulle få verkställas innan kontrollorganet gjort sin prövning. En fördel med att ett offentligt ombud ges möjlighet att överklaga Säkerhetspolisens beslut är att förfarandet blir mer kontradiktoriskt, vilket främjar frågornas allsidiga belysning.

En nackdel med att involvera offentliga ombud i förfarandet är att kretsen som får tillgång till den synnerligen skyddsvärda informationen utökas. Denna nackdel ska dock inte överdrivas. Det torde nämligen inte krävas att något stort antal personer förordnas till offentliga ombud i dessa sammanhang. Vi återkommer till denna fråga nedan.

Av de skäl som nu anförts förordar vi en ordning med ett offentligt ombud som bevakar enskildas intressen och som har möjlighet att begära överprövning av Säkerhetspolisens beslut om nationell säkerhetslagring. Med enskilda åsyftas här inte bara enskilda fysiska personer utan även tillhandahållarnas intressen och andra motstående intressen.

Man kan naturligtvis överväga om de ombud som är aktuella i detta sammanhang ska kallas just offentliga ombud. Det kan finnas en risk för sammanblandning med sådana offentliga ombud som ska bevaka enskildas intressen i ärenden om vissa hemliga tvångsmedel. Vi anser att ombuden inte bör kallas för integritetsskyddsombud, eftersom vårt förslag innebär att ombuden ska bevaka annat än bara integritetsskyddsintressen. Ombuden skulle i stället kunna kallas exempelvis allmänna ombud eller dataskyddsombud, men även dessa begrepp används i andra sammanhang. Vi anser att risken för förväxling när det gäller olika uppdrag som offentligt ombud är så liten att detta begrepp kan användas även i detta sammanhang.

Motsvarande regler som gäller för offentliga ombud enligt rättegångsbalken bör i huvudsak finnas när det gäller kraven på samt nomineringen och förordnanden av ombuden, liksom beträffande ersättning till och tystnadsplikt för ombuden. Säkerhetspolisen bör besluta om ersättning till det offentliga ombudet. För det fall Säkerhetspolisens beslut överklagas, ska kontrollorganet besluta om ersättning till det offentliga ombudet.

När det gäller kraven på de offentliga ombuden kan det övervägas om inte bara den som har varit ordinarie domare utan också den som

är ordinarie domare skulle kunna vara offentligt ombud i ärenden om nationell säkerhetslagring. Risken för att ordinarie domare hamnar i någon intressekonflikt torde vara mindre i denna typ av ärenden än i ärenden om hemliga tvångsmedel. Vi anser dock att det inte finns något behov av ordinarie domare som offentliga ombud, om även advokater och andra med motsvarande juridisk erfarenhet kan komma i fråga som offentligt ombud.

Till skillnad mot vad som gäller för offentliga ombud enligt rättegångsbalken föreslår vi dock att regeringen förordnar endast ett ordinarie offentligt ombud för denna typ av ärenden. Det offentliga ombudet ska alltså inte förordnas i ett specifikt ärende om nationell säkerhetslagring. Av sårbarhetsskäl måste det dock finnas ersättare för det offentliga ombudet. Vi föreslår därför att regeringen även förordnar ett första och ett andra ställföreträdande offentligt ombud. Om det ordinarie offentliga ombudet har förhinder, träder det första ställföreträdande ombudet in i dennes ställe. Om även den förste ställföreträdaren har förhinder, träder den andre ställföreträdaren in. Avsikten med en sådan ordning är dels att minimera kretsen av de personer som får tillgång till den känsliga informationen, dels att det inte ska gå att välja vilket ombud som förordnas i ett ärende om nationell säkerhetslagring.

Med hänsyn till den synnerligen känsliga information som ska ligga till grund för Säkerhetspolisens bedömning av hotet mot den nationella säkerheten anser vi att de offentliga ombuden alltid ska vara säkerhetsprövade och placerade i säkerhetsklass. Detta följer dock redan av 3 kap. 1 § säkerhetsskyddslagen. Vi återkommer till frågorna om tystnadsplikt och meddelarfrihet för offentliga ombud i avsnitt 7.3.9.

Vi bedömer att följande kan vara en lämplig ordning för förfarandet. Om Säkerhetspolisen efter beredning av ett ärende om nationell säkerhetslagring gör bedömningen att ett beslut om nationell säkerhetslagring ska fattas, ska den kalla det offentliga ombudet till ett särskilt sammanträde. Företrädare för Säkerhetspolisen ska vid sammanträdet redogöra för myndighetens överväganden och för det tilltänkta beslutet. Det offentliga ombudet ska ha möjlighet att yttra sig och ställa frågor. Ombudet ska vid sammanträdet också få ta del av de omständigheter som ligger till grund för ställningstagandet och det tilltänkta beslutet. Med hänsyn till den känsliga informationen om hotet mot den nationella säkerheten bör ett sammanträde inte

kunna ersättas av ett enbart skriftligt förfarande. Efter att det offentliga ombudet fått möjlighet att framföra sina synpunkter kan Säkerhetspolisen besluta om nationell säkerhetslagring. Säkerhetspolisen har således möjlighet att beakta de synpunkter som framförts av det offentliga ombudet och att göra justeringar i förhållande till det tilltänkta beslutet som presenterats för ombudet, exempelvis när det gäller under vilken tid beslutet ska gälla eller vilka uppgifter som ska omfattas av lagringsskyldigheten.

Inom viss tid efter att beslutet har meddelats ska det offentliga ombudet ha möjlighet att överklaga Säkerhetspolisens beslut. Vi anser att överklagandetiden inte bör vara längre än en vecka. Anledningen till att vi föreslår en så kort överklagandetid är att det ofta torde vara angeläget att den nationella säkerhetslagringen kan påbörjas så snart som möjligt efter det att hotet mot den nationella säkerheten har konstaterats. Vidare bör ett överklagande inte ta någon längre tid i anspråk för det offentliga ombudet, eftersom vi menar att det är olämpligt att ombudet i skrift utvecklar skälen för överklagandet. Om beslutet inte överklagas inom denna tid, får Säkerhetspolisen förelägga aktuella tillhandahållare att verkställa lagringsbeslutet. Säkerhetspolisens beslut bör alltså inte få verkställas dessförinnan. Det offentliga ombudets överklagande ska lämnas till Säkerhetspolisen som i sin tur ska underrätta kontrollorganet att ett beslut om nationell säkerhetslagring har överklagats. Det offentliga ombudet kan också meddela att han eller hon inte kommer att överklaga beslutet. Efter ett sådant meddelande får beslutet verkställas omedelbart. Eftersom ett sådant meddelande är bindande, bör det avges skriftligen.

Ett offentligt ombud bör få överklaga Säkerhetspolisens beslut om ersättning även i situationer när beslutet om nationell säkerhetslagring inte överklagas. Det finns i sådana situationer inget skyndsamhetskrav. Det bör därför inte föreskrivas någon överklagandefrist när enbart ett ersättningsbeslut överprövas.

Kontrollorganets beslut

För att kontrollorganet ska kunna utgöra en effektiv kontroll bör det som nämnts ovan kunna pröva om förutsättningarna för lagringsskyldigheten är uppfyllda, dvs. om hotet mot den nationella säkerheten är sådant att det kan motivera nationell säkerhetslagring och att andra villkor för lagringsskyldigheten är uppfyllda. Om kontrollorganet inte anser att ett sådant hot föreligger, ska det upphäva Säkerhetspolisens beslut. Om kontrollorganet finner att det finns förutsättningar för nationell säkerhetslagring, bör det kunna pröva om lagringsskyldigheten är författningsenlig, exempelvis att den endast omfattar sådana uppgifter som får omfattas av lagringsskyldigheten. Prövningen bör också omfatta lagringsskyldighetens proportionalitet i förhållande till det bedömda hotet. Kontrollorganet bör då kunna antingen fastställa eller upphäva lagringsbeslutet. Om kontrollorganet bedömer att lagringsskyldigheten visserligen är författningsenlig men inte proportionell, ska Säkerhetspolisens beslut alltså upphävas. Vi anser att en sådan ordning, där kontrollorganet kan antingen fastställa eller upphäva Säkerhetspolisens beslut om nationell säkerhetslagring, är att föredra framför att kontrollorganet ska kunna göra ändringar i beslutet. Kontrollorganet blir på detta sätt en mer renodlad kontrollinstans, vilket torde utesluta risken för att kontrollorganet anses vara den egentliga beslutsfattaren, vars beslut måste kunna bli föremål för en effektiv kontroll. Säkerhetspolisen bör alltid ha möjlighet att fatta ett nytt beslut om lagring, som därefter kan bli föremål för kontrollorganets prövning.

Kontrollorganets prövning bör ske vid ett sammanträde vid vilket såväl företrädare för Säkerhetspolisen som det offentliga ombudet närvarar. Inte heller vid kontrollorganets prövning bör ett sammanträde kunna ersättas av en enbart skriftlig handläggning med hänsyn till den synnerligen känsliga information som ska behandlas. Det bör inte ställas krav på sammanträde när endast ombudets ersättning prövas.

Kontrollorganet bör vid sammanträdet få del av Säkerhetspolisens beslut liksom ett underlag som redovisar de omständigheter som ligger till grund för beslutet. Företrädare för Säkerhetspolisen bör även vid detta sammanträde redogöra för myndighetens överväganden. Både kontrollorganet och det offentliga ombudet bör få ställa frågor vid sammanträdet.

Kontrollorganets beslut bör inte få överklagas. Överklagandeförbudet bör även omfatta ersättning till det offentliga ombudet. Om kontrollorganet fastställer beslutet, får Säkerhetspolisen förelägga aktuella tillhandahållare att verkställa lagringsbeslutet.

Bestämmelser om offentliga ombud och förfarandet vid ärenden om nationell säkerhetslagring bör finnas i den av oss föreslagna lagen om lagring av och åtkomst till uppgifter om elektronisk kommunikation i syfte att skydda Sveriges säkerhet.

7.3.5 Kontrollorganet

Utredningens förslag: Ett nytt särskilt beslutsorgan inom Säkerhets- och integritetsskyddsnämnden, Datalagringsdelegationen, ska vara kontrollorgan.

Som konstaterats ovan måste kontrollorganet kunna göra en egen bedömning av hotet mot den nationella säkerheten. Kontrollorganet bör därför ha kompetens att bedöma sådana frågor. För att utgöra en effektiv kontroll bör kontrollorganet vidare ha kompetens bl.a. när det gäller frågor om elektronisk kommunikation och om integritetsskyddsfrågor.

Nedan överväger vi för- och nackdelar med domstolar och vissa andra myndigheter och organ i rollen som kontrollorgan.

Domstolar

Ett alternativ är att den effektiva kontrollen ska utföras av domstol. En fördel med detta alternativ är att oberoendet vid en domstolsprövning är svårt att ifrågasätta. Domstolar är också vana att bedöma frågor av mycket varierande slag. Man kan överväga om kontrollen i så fall ska ske vid allmän domstol, förvaltningsdomstol eller en specialdomstol, t.ex. Försvarsunderrättelsedomstolen. Ett alternativ är också att skapa en för ändamålet särskild specialdomstol.

När det gäller allmänna domstolar och förvaltningsdomstolar kan det dock ifrågasättas om det är lämpligt att dessa domstolar ska hantera så omfattande och synnerligen känslig information. Frågor om

22

Jfr 16 § lagen (2009:966) om försvarsunderrättelsedomstol och prop. 2008/09:201 s. 121.

nationell säkerhet hanteras inte av dessa domstolar även om det finns något enstaka undantag. Om dessa domstolar skulle få uppdraget att utgöra kontrollorgan, måste det övervägas hur kompetensbehovet hos dem bäst ska tillgodoses. Dessutom har vi ovan föreslagit en särskild ordning för prövningen som passar mindre bra hos allmänna domstolar och förvaltningsdomstolar.

Försvarsunderrättelsedomstolen eller en för ändamålet tillskapad specialdomstol framstår mot den bakgrunden som bättre alternativ än en allmän domstol eller en förvaltningsdomstol.

Att skapa en ny specialdomstol har naturligtvis den stora fördelen att den skulle kunna helt anpassas för det aktuella ändamålet. Här kan erinras om Polismetodutredningens förslag om att inrätta en särskild nämnd för beslut om tillstånd till särskilt ingripande åtgärder i underrättelseverksamhet. Det finns dock starka skäl mot att skapa en ny domstol eller nämnd, särskilt de höga kostnader som är förknippade med att bilda en sådan. En domstol med en så begränsad uppgift som att vara kontrollorgan i förhållande till Säkerhetspolisens beslut om nationell säkerhetslagring är svår att administrera på ett effektivt och ändamålsenligt sätt. Det är knappast möjligt att på förhand med någon säkerhet bedöma hur stor arbetsbördan kan bli. Vidare kan det ifrågasättas om en sådan domstol, med enda uppgift att överpröva Säkerhetspolisens beslut, verkligen kan betraktas som en domstol i formell mening. Domstolar ska ägna sig åt rättskipning. Det är tveksamt om kontroll av här aktuellt slag kan anses utgöra rättskipning.

Av befintliga domstolar framstår Försvarsunderrättelsedomstolen som mest lämpad.

Försvarsunderrättelsedomstolen är en specialdomstol som prövar ansökningar om tillstånd till signalspaning i försvarsunderrättelseverksamheten. Signalspaningen ska bedrivas till stöd för svensk utrikes-, säkerhets- och försvarspolitik samt i övrigt för att kartlägga yttre hot mot landet. De organ som har rätt att inrikta signalspaning är regeringen, Regeringskansliet, Försvarsmakten, Säkerhetspolisen och Nationella operativa avdelningen i Polismyndigheten. Verksamheten får bara avse utländska förhållanden. Domstolen består av en ordförande, en eller högst två vice ordförande, samt minst två och

23 Se SOU 2010:103 s. 311–313. Se även Utredningen om datalagring och EU-rättens överväganden i detta avseende i delbetänkandet Datalagring – brottsbekämpning och integritet, SOU 2017:75 s. 272.

högst sex särskilda ledamöter. Ordföranden och vice ordförandena ska vara lagfarna med erfarenhet av tjänstgöring som domare. De särskilda ledamöterna ska tillgodose domstolens behov av kompetens rörande bl.a. underrättelseverksamhet och integritetsskydd. Vid tillståndsprövningen deltar ett integritetsskyddsombud som bevakar enskildas intressen i allmänhet. Vid domstolen finns ett kansli. Domstolens verksamhet bedrivs i lokaler som hyrs av FOI.

Det kan således konstateras att Försvarsunderrättelsedomstolen har kompetens när det gäller frågor om hot mot Sveriges säkerhet, även om domstolens prövningar endast avser utländska förhållanden. Vidare är Försvarsunderrättelsedomstolen van vid att hantera uppgifter som omgärdas av sträng sekretess och antalet personer knutna till domstolen är begränsat. Försvarsunderrättelsedomstolens verksamhet skulle kunna utvidgas till att vara kontrollorgan i förhållande till den beslutade lagringsskyldigheten. En variant på detta skulle kunna vara att skapa ett nytt beslutsorgan som administrativt samordnas med Försvarsunderrättelsedomstolen.

Mot Försvarsunderrättelsedomstolen som kontrollorgan talar dock att det i Sverige finns en relativt skarp gräns mellan organ på den militära respektive civila sidan och att lämpligheten av att domstolen prövar frågor som inte enbart avser utländska förhållanden kan ifrågasättas.

Ett nytt beslutsorgan inom Försvarsunderrättelsedomstolen skulle enligt vår bedömning kunna vara ett lämpligt kontrollorgan. Frågan är dock om det finns något bättre alternativ. Vi återkommer till detta nedan.

Post- och telestyrelsen

Ett annat alternativ är att kontrollfunktionen skulle utföras av PTS. Som konstaterats ovan har PTS stor kompetens vad gäller frågor om elektronisk kommunikation och i viss mån när det gäller frågor om hot mot Sveriges säkerhet. Som konstaterats ovan när det gällde PTS som behörig myndighet har PTS troligen inte den särskilda kompetens som krävs för att bedöma hotet mot Sveriges säkerhet. Det kan också ifrågasättas om PTS kan jämställas med en domstol eller

24

Beträffande Försvarsunderrättelsedomstolen, se lagen (2009:966) om Försvarsunderrättelsedomstol. Mer information om domstolen finns på https://www.undom.se. Hämtat den 20 april 2023.

annat oberoende organ, vilket krävs enligt EU-domstolens praxis. Vi anser därför inte att PTS bör vara kontrollorgan.

Säkerhets- och integritetsskyddsnämnden

Ytterligare ett alternativ är att Säkerhets- och integritetsskyddsnämnden (SIN) skulle vara kontrollorgan i förhållande till Säkerhetspolisens beslut.

SIN leds av en nämnd. Nämnden inom SIN har tillsyn över viss brottsbekämpande verksamhet, bl.a. brottsbekämpande myndigheters användning av hemliga tvångsmedel och kvalificerade skyddsidentiteter samt Säkerhetspolisens användning av tvångsmedel vid särskild kontroll av vissa utlänningar. Nämnden utövar också tillsyn över viss personuppgiftsbehandling som utförs av Polismyndigheten, Säkerhetspolisen och Ekobrottsmyndigheten samt över Polismyndighetens och Säkerhetspolisens tillämpning av lagen (2019:547) om förbud mot användning av vissa uppgifter för att utreda brott. Tillsynen ska särskilt syfta till att säkerställa att verksamheten bedrivs i enlighet med lag eller annan författning. Nämnden får uttala sig om konstaterade förhållanden och sin uppfattning om behov av förändringar i verksamheten och ska verka för att brister i lag eller annan författning avhjälps. Nämnden ska ha högst tio ledamöter. Ledamöterna ska med hänsyn till omdömesförmåga, självständighet, laglydnad och övriga omständigheter vara lämpliga för uppdraget. Ordföranden och vice ordföranden ska vara eller ha varit ordinarie domare eller ha annan motsvarande juridisk erfarenhet. Övriga ledamöter ska utses bland sådana personer som har föreslagits av partigrupperna i riksdagen.

Vid SIN finns ytterligare två beslutsorgan, Registerkontrolldelegationen och Skyddsregistreringsdelegationen, samt ett kansli. Registerkontrolldelegationen har till uppgift att besluta om huruvida uppgifter som kommit fram vid registerkontroll och särskild personutredning enligt 3 kap. 19 § säkerhetsskyddslagen ska lämnas ut till en presumtiv eller befintlig arbetsgivare för dennes säkerhetsprövning. Delegationen ska även pröva frågor om utlämnande av vissa andra uppgifter. Skyddsregistreringsdelegationen har till uppgift att besluta om kvalificerade skyddsidentiteter inom den brottsbekämpande verksamheten och prövar andra frågor som hör till ärenden

om kvalificerade skyddsidentiteter. Ordföranden och vice ordföranden i de båda delegationerna ska vara eller ha varit ordinarie domare eller ha annan motsvarande juridisk erfarenhet.

Det kan konstateras att nämnden inom SIN visserligen utövar tillsyn över delar av Säkerhetspolisens och Polismyndighetens verksamhet men att nämnden inte torde ha den särskilda kompetens som kommer att krävas av kontrollorganet. Vad som ytterligare kan tala mot nämnden som kontrollorgan är att flertalet ledamöter i nämnden är tillsatta för att representera allmänheten och garantera en medborglig insyn i verksamheten och att det inte ställs något krav på att ledamöterna ska ha sakkunskap i de frågor som prövas. Det är naturligtvis i och för sig möjligt att i framtiden ställa andra kompetenskrav, om man vill göra SIN till kontrollorgan, särskilt om man som nedan sägs knyter kontrollverksamheten till en ny delegation.

En fördel med SIN som kontrollorgan är att myndigheten är van att hantera uppgifter som omgärdas av sträng sekretess och att antalet personer knutna till SIN är begränsat.

Man kan visserligen överväga om det är lämpligt att SIN – som bl.a. utövar tillsyn över viss verksamhet vid Säkerhetspolisen – ska överpröva Säkerhetspolisens lagringsbeslut. En tänkbar lösning, för att undvika att överprövningen görs av själva tillsynsorganet inom SIN men också för att stärka kompetensen, skulle kunna vara att det till SIN knyts ytterligare ett beslutsorgan som har till uppgift att just utgöra kontrollorgan i förhållande till Säkerhetspolisens beslut om nationell säkerhetslagring. Det skulle kunna föreskrivas att ordföranden och vice ordföranden i ett sådant beslutsorgan ska vara eller ha varit ordinarie domare eller ha annan motsvarande juridisk erfarenhet och att övriga ledamöter ska ha den särskilda kompetens som kommer att krävas för att utöva erforderlig kontroll. Det kan i detta sammanhang noteras att nämnden och de två delegationerna inom SIN inte består av samma ledamöter. Regeringen har inte heller ansett det oförenligt att Skyddsregistreringsdelegationen beslutar i frågor om kvalificerade skyddsidentiteter samtidigt som nämnden utövar tillsyn över användningen av kvalificerade skyddsidentiteter. Vi anser sammanfattningsvis att ett nytt beslutsorgan inom SIN, med en sådan sammansättning som vi ovan nämnt, är att betrakta som ett

25

Beträffande SIN, se lagen (2007:980) om tillsyn över viss brottsbekämpande verksamhet och förordningen (2007:1141) med instruktion för Säkerhets- och integritetsskyddsnämnden.

oberoende organ i den bemärkelse som EU-rätten kräver och att det framstår som ett lämpligt kontrollorgan i detta sammanhang.

Riksdagens ombudsmän

Det finns också anledning att överväga om någon myndighet under riksdagen skulle kunna vara kontrollorgan i nu aktuellt avseende. Den myndighet som ligger närmast till hands är Riksdagens ombudsmän (JO). JO granskar om myndigheter och enskilda tjänstemän följer lagar och förordningar. Ombudsmännen torde dock inte ha den särskilda kompetens som kan krävas av kontrollorganet. Vidare ter sig uppgiften att överpröva och kunna upphäva den behöriga myndighetens beslut som främmande och kanske även förtroendeskadligt för ett extraordinärt tillsynsorgan som JO. JO framstår därför inte som ett lämpligt kontrollorgan i detta sammanhang.

Regeringen

Slutligen finns alternativet att regeringen ska utgöra kontrollorgan i förhållande till Säkerhetspolisens beslut. Som vi tidigare anfört gällande valet av behörig myndighet (se avsnitt 7.3.1) förefaller uppgiften att bedöma hotet mot den nationella säkerheten som en naturlig uppgift för det organ som styr riket, dvs. regeringen. Regeringen har som nämnts ovan möjlighet att få relevant information från alla myndigheter och torde alltså kunna få den mest kompletta bilden av hotet mot Sveriges säkerhet. Exempelvis anges i 8 § förordningen (2014:1103) med instruktion för Säkerhetspolisen att underrättelser som kan ha betydelse för Sveriges säkerhet eller som av annan anledning bör komma till regeringens kännedom utan dröjsmål ska rapporteras till Regeringskansliet (Justitiedepartementet) på det sätt som regeringen närmare bestämmer.

Den allmänna trenden har under lång tid varit att flytta hanteringen av enskilda ärenden från regeringen till i första hand någon förvaltningsmyndighet. Det har ansetts att regeringen inte bör ägna sig åt beslutsfattande i enskilda fall utan att detta lämpar sig bättre för en förvaltningsmyndighet. Syftet är att regeringen ska avlastas prövningen av förvaltningsärenden. Med hänsyn till arten och vik-

26 Se betänkandet En ny rymdlag SOU 2021:91 s. 172.

ten av det beslut som ska överprövas kan man dock knappast påstå att en sådan prövning kan jämställas med ett sedvanligt förvaltningsärende. Det kan också konstateras att regeringen är beslutsfattare i vissa näraliggande frågor, exempelvis i vissa frågor enligt lagen om särskild kontroll av vissa utlänningar.

Vi menar dock att regeringen inte kan jämställas med en domstol eller annat oberoende organ, vilket krävs enligt EU-domstolens praxis. Vi anser därför sammanfattningsvis att regeringen inte bör vara kontrollorgan i nu aktuellt avseende.

Vår bedömning avseende lämpligt kontrollorgan

Av de alternativ som vi ovan övervägt anser vi att Försvarsunderrättelsedomstolen och ett nytt beslutsorgan inom SIN framstår som de mest lämpliga myndigheterna att utgöra kontrollorgan. Fördelen med Försvarsunderrättelsedomstolen är att den redan har kompetens att bedöma hot mot den nationella säkerheten och att pröva integritetskyddsaspekter. Det finns dessutom en ordning med integritetsskyddsombud som skulle kunna fylla den av oss föreslagna funktionen med offentliga ombud. Däremot skulle domstolen behöva tillföras kompetens när det gäller t.ex. behovet av uppgifter om elektronisk kommunikation i brottsbekämpande verksamhet och om hur tillhandahållarnas verksamhet påverkas av lagringsbesluten.

Ett nytt beslutsorgan inom SIN kan utformas så att det säkerställs att rätt kompetens finns hos ledamöterna. Vi anser att ett nytt beslutsorgan inom SIN framstår som ett bättre alternativ än Försvarsunderrättelsedomstolen, eftersom såväl nämnden som beslutsorganen inom SIN hanterar frågor som rör brottsbekämpning och att SIN redan har ett etablerat samarbete med Säkerhetspolisen vad gäller praktiska frågor kring hantering av känslig information. Ett nytt beslutsorgan inom SIN riskerar inte heller en sammanblandning av uppgifter och myndigheter på den militära respektive den civila sidan.

Det kan i detta sammanhang nämnas att SIN är en tämligen liten myndighet som successivt har fått ett alltmer omfattande uppdrag. SIN har påtalat att det finns ett behov av en översyn av myndighetens organisation innan fler beslutsorgan knyts till myndigheten, bl.a. när det gäller frågan om myndighetens ledning i förhållande till

de särskilda beslutsorganen. Vi anser dock inte att denna omständighet i sig påverkar lämpligheten av att ytterligare ett beslutsorgan knyts till SIN i avvaktan på en sådan översyn.

Det särskilda beslutsorganet kan lämpligen kallas Datalagringsdelegationen.

Regleringen avseende Säkerhets- och integritetsskyddsnämnden

Det bör i den av oss föreslagna lagen om lagring av och åtkomst till uppgifter om elektronisk kommunikation i syfte att skydda Sveriges säkerhet anges att Säkerhetspolisens beslut om nationell säkerhetslagring kan överklagas till SIN och, för tydlighetens skull, att SIN:s beslut inte får överklagas.

Det bör också i förordningen (2007:1141) med instruktion för Säkerhets- och integritetsskyddsnämnden göras ändringar. Det bör införas en ny paragraf, 3 a §, som anger att myndigheten har till uppgift att överpröva beslut om nationell säkerhetslagring. Det innebär att en följdändring behövs i 1 §, som anger vilka uppgifter myndigheten har. Vidare bör det i 8 § anges att det inom myndigheten ska finnas tre, i stället för två särskilda beslutsorgan, och att Datalagringsdelegationen ska pröva frågor som avser i 3 a §. I 8 § andra stycket anges att varje delegation består av en ordförande, en vice ordförande samt högst tre andra ledamöter. Detta bör kunna gälla även för Datalagringsdelegationen. Någon ändring av denna bestämmelse behövs därför inte. SIN:s kansli bör ansvara för kallelser till och protokollföring vid Datalagringsdelegationens sammanträden, expediering av delegationens beslut samt för utbetalning av arvoden och reseersättning till delegationens ledamöter och det offentliga ombudet. Kansliet bör också ansvara för Datalagringsdelegationens diarium och arkiv. Säkerhetspolisens beslut och det underlag för beslutet som ska finnas tillgängligt vid delegationens sammanträde ska dock inte diarieföras och arkiveras hos SIN. Sådana handlingar ska återlämnas till Säkerhetspolisen efter delegationens beslut. För att understryka delegationens självständighet i förhållande till Säkerhetspolisen, bör delegationens sammanträden hållas i SIN:s lokaler. En annan ordning kan dock vara nödvändig till dess SIN har ordnat för ändamålet adekvata sammanträdeslokaler.

I 13 § bör det anges att även ledamöterna i Datalagringsdelegationen ska utses av regeringen för en bestämd tid, att ordföranden och vice ordföranden ska vara eller ha varit ordinarie domare eller ha annan motsvarande juridisk erfarenhet och att det bland de övriga ledamöterna ska finnas särskild erfarenhet av integritetsskyddsfrågor, av frågor som avser elektronisk kommunikation och av verksamhet som avser nationell säkerhet. Slutligen bör det i förordningen införas en ny rubrik om handläggningen av ärenden i Datalagringsdelegationen. Under denna rubrik bör det införas två bestämmelser, 26 a och 26 b §§. I dessa paragrafer bör det anges att Datalagringsdelegationen ska sammanträda så snart som möjligt efter det att ett beslut om nationell säkerhetslagring har överklagats samt att delegationen är beslutsför när ordföranden och minst två andra ledamöter är närvarande samt att, för det fall både ordföranden och vice ordföranden i delegationen har förhinder, nämndens ordförande får träda in som delegationens ordförande. Någon möjlighet för delegationens ordförande eller vice ordförande att ensam överpröva beslut om nationell säkerhetslagring bör inte finnas, inte ens i brådskande fall.

7.3.6 Lagringsskyldighetens omfattning

Utredningens bedömning: Det finns förutsättningar för att nationell säkerhetslagring kan innebära en mer omfattade lagringsskyldighet än den som gäller i dag.

Utredningens förslag: Ramarna för vad lagringsskyldigheten får omfatta ska framgå av lag och de mer detaljerade föreskrifterna av förordning.

Lagringstiden ska vara två år från den dag kommunikationen avslutades. Om tillhandahållarna saknar uppgift om när kommunikationen avslutades, ska lagringstiden räknas från den dag då uppgiften genererades.

Lagringsskyldigheten får även omfatta uppgifter som genereras eller behandlas vid misslyckad uppringning.

Under vissa förutsättningar finns det, som nämnts ovan, en möjlighet att besluta om en generell och odifferentierad lagring av trafikoch lokaliseringsuppgifter. Vi har ovan föreslagit att Säkerhetspolisen

som behörig myndighet ska kunna förelägga tillhandahållarna en sådan lagringsskyldighet under en begränsad tid. Både gränserna för och det närmare innehållet i ett sådant lagringsbeslut bör, som nämnts ovan, regleras i författning.

Som även nämnts tidigare bör den behöriga myndigheten kunna besluta vilka tillhandahållare som ska omfattas av lagringsskyldigheten. Den som ska anmäla sin verksamhet enligt 2 kap. 1 § nya LEK bör kunna omfattas av ett sådant föreläggande. Vi återkommer i avsnitt 9 till frågan om tillhandahållare av nummeroberoende interpersonella kommunikationstjänster ska kunna omfattas av lagringsskyldigheten.

Arbetet med att bekämpa brott mot Sveriges säkerhet

För att bedöma lagringsskyldighetens omfattning i stort bör något sägas om arbetet med att bekämpa brott mot Sveriges säkerhet. Det är framför allt Säkerhetspolisens uppgift att bekämpa brottslighet som rör Sveriges säkerhet. Men även Polismyndighetens uppdrag omfattar bekämpning av sådan brottslighet. En del av den brottslighet som Polismyndigheten har i uppdrag att bekämpa kan vara systemhotande på sådant sätt att den utgör ett hot mot den nationella säkerheten. Polismyndigheten kan också överta en arbetsuppgift som rör nationell säkerhet från Säkerhetspolisen (se vidare avsnitt 7.3.7). Även andra myndigheter har brottsbekämpande uppgifter som rör hotet mot den nationella säkerheten. Det kan exempelvis nämnas att Tullverket har befogenhet att förhindra och utreda terroristbrott enligt 4 § terroristbrottslagen (2022:666) som begås genom vissa smugglingsbrott.

Säkerhetspolisen får sällan in anmälningar från allmänheten om begångna brott. I stället måste myndigheten själv i underrättelsearbetet dels leta efter intressanta personer och grupperingar samt företeelser, skeenden och modus som är eller som senare kan komma att utvecklas till brottslighet kopplad till nationell säkerhet, dels ta ställning till bl.a. tips och information om hot som myndigheten får del av. Underrättelseverksamheten är därför tyngdpunkten i Säkerhetspolisens bekämpning av t.ex. spioneri och terrorism.

27 Se 1 § lagen (2000:1225) om straff för smuggling.

En mycket stor del av de utredningar eller annat arbete som Säkerhetspolisen genomför, såväl i underrättelsearbetet som i förundersökningar, har en koppling till kvalificerade aktörer som är tränade och styrda av främmande makt eller av större organisationer, exempelvis terroristorganisationer. Personerna har många gånger goda kunskaper om hur man döljer elektroniska spår. Grunden i Säkerhetspolisens arbete i dessa fall är att hitta de mönster som aktörerna har i sin kommunikation och de avvikelser som finns eller de misstag som faktiskt görs, samt att analysera vilka slutsatser som kan dras av dessa.

Brott mot nationell säkerhet, som spioneri och terrorism, är speciella till sin karaktär i den meningen att brottsligheten ofta pågår under mycket lång tid. För främmande makt kan det ta flera år att värva en agent med tillgång till skyddsvärd information. Brottsligheten är utdragen i tiden och sker i flera steg med faser som karaktäriseras av analys, målsökning, kartläggning, närmande, vänskap, värvning och inhämtning av information. Även terrorism präglas av att brottsligheten många gånger är utdragen i tiden och att den sker i samverkan mellan flera. En process där en person utvecklas till en ideologiskt motiverad aktör med terroravsikt kan ta lång tid. Dessutom måste personen skaffa sig förmåga att planera och fullborda brott. Det är ofta inte möjligt att redan i ett inledningsskede av kartläggningsarbetet förutse vilka trafik- och lokaliseringsuppgifter som bör inhämtas.

En mer omfattande lagringsskyldighet än i dag behövs för att skydda Sveriges säkerhet

EU-rätten reglerar lagringen av trafik- och lokaliseringsuppgifter på en övergripande nivå. Det ankommer på medlemsstaterna att reglera lagringens omfattning till vad som är strängt nödvändigt. Bedömningen när det gäller lagringen av, och i senare led även tillgången till, uppgifterna behöver göras med utgångspunkt från sedvanliga principer som gäller enligt svensk rätt.

De författningsändringar som gjordes i Sverige år 2019, om en begränsning i lagringsskyldigheten för teleoperatörer, syftade till att tillgodose det EU-rättsliga kravet på att lagringsskyldigheten inte får vara generell och odifferentierad. Några särskilda överväganden kring vilka uppgifter som får lagras för nationell säkerhet gjordes inte då.

Det ansågs vid tidpunkten vara oklart om EU-rätten var tillämplig på området nationell säkerhet i fråga om datalagring.

När det föreligger ett allvarligt hot mot den nationella säkerheten får lagringsskyldigheten däremot vara generell och odifferentierad och följaktligen bör ramarna för en sådan lagringsskyldighet vara vidare än vad som gäller enligt dagens reglering, både när det gäller vilka uppgifter som kan lagras och själva lagringstiden.

Den lagstiftning som infördes 2019 innebär att vissa typer av uppgifter inte längre omfattas av lagringsskyldigheten och att lagringstiden har differentierats (se jämförelsetabell i bilaga 3 för en översiktlig beskrivning av lagringsskyldigheten).

När det gäller telefonitjänster och meddelandehantering gäller lagringsskyldigheten i dag enbart kommunikation via mobil nätanslutningspunkt. Före reformen 2019 omfattades uppgifter från såväl fast telefoni som fast ip-telefoni av lagringsskyldigheten. Lagringsskyldigheten omfattade tidigare också flera slags uppgifter vid kommunikation via mobil nätanslutningspunkt än vad som i dag är fallet.

När det gäller internetåtkomst omfattades före reformen 2019

uppgifter om den typ av kapacitet för överföring som hade använts av lagringsskyldigheten, vilket inte är fallet i dag. Med kapacitet för överföring avses hur den enskilde får internetåtkomst t.ex. fast fiberanslutning. Den nu gällande lagringsskyldigheten avseende internetåtkomst är också mer teknikneutral än tidigare. Anledningen till denna förändring var att möjligheten att kunna koppla en användare till en viss uppgift inte skulle vara beroende av vilken teknik en tjänsteleverantör använder sig av. Till exempel har det blivit vanligare att leverantörerna använder sig av s.k. NAT-teknik (se avsnitt 9.3). Till skillnad från tidigare omfattas därför t.ex. uppgifter om portnummer och tidsangivelser av den nu gällande lagringsskyldigheten.

För att tillgodose myndigheternas behov av uppgifter för att bekämpa brott mot Sveriges säkerhet behöver, för det första, samtliga uppgiftskategorier som togs bort genom 2019 års lagstiftning kunna omfattas av ett föreläggande om lagring i syfte att skydda den nationella säkerheten. För det andra har den tekniska utvecklingen i vårt samhälle medfört att uppgiftskategorierna behöver uppdateras. I många situationer leder användning av en viss teknik eller tjänst till att det

28 Se prop. 2018/19:86 s. 19. 29 Uppgifter om lokalisering vid meddelandehantering omfattas dock av den nu gällande lagringsskyldigheten, vilket inte tidigare var fallet.

i efterhand kan vara svårt att få tillgång till uppgifter som är av betydelse för brottsbekämpningen, inte minst när det gäller brott som rör nationell säkerhet.

Vi föreslår dock inte någon lagring av trafikuppgifter för ip-adresser. Vi hänvisar till avsnitt 6.6.1 för en närmare redogörelse av skillnaden mellan en abonnemangsuppgift kopplad till en ip-adress och trafikuppgifter kopplade till en ip-adress.

Trafikuppgifter koppade till en ip-adress kan användas för att kartlägga en internetanvändares online-aktivitet. Sådan aktivitet kan även indirekt avslöja innehållet i aktiviteten, exempelvis då en viss webbsida har besökts. Inte ens för syftet nationell säkerhet framstår det emellertid som försvarligt att lagra sådana uppgifter. Härutöver skulle den mängd trafikdata som behöver lagras bli stor.

Vårt ställningstagande innebär alltså att skyldigheten att lagra trafik- och lokaliseringsuppgifter i syfte att skydda den nationella säkerheten ska kunna omfatta fler uppgiftskategorier än i dag och även uppgifter som tidigare inte omfattades av den svenska lagringsskyldigheten. Nedan redogör vi i detalj för uppgifterna. I sammanhanget är det viktigt att påpeka att den uppgiftslagring som ägde rum före 2019 års ändringar i huvudsak byggde på dataskyddsdirektivet som kom till år 2006. Såväl teknikutveckling och enskildas kommunikationsmönster som ändamålet med lagringen, dvs. Sveriges nationella säkerhet, motiverar att fler uppgifter än tidigare ska kunna lagras.

Principer för lagringsskyldighetens omfattning

Enligt vår bedömning bör fyra huvudprinciper styra hur lagringsskyldigheten ska utformas.

För det första ska lagringens omfattning inte vara mer långtgående än vad som är absolut nödvändigt för det angivna syftet. Vi har i avsnitt 7.3.1 beskrivit EU-rättens krav på proportionalitet. Enligt EU-domstolen innebär kravet bl.a. att det i nationell lagstiftning måste föreskrivas klara och precisa bestämmelser som reglerar räckvidden och tillämpningen av åtgärder som inskränker rätten till respekt för privatlivet och skyddet för personuppgifter. Lagstiftningen ska enligt EU-domstolen vara rättsligt bindande och i synnerhet ange under vilka omständigheter och på vilka villkor en åtgärd avseende behandling av sådana uppgifter får vidtas, vilket säkerställer att ingreppet

begränsas till vad som är strängt nödvändigt. Under senare år har EU-domstolen återkommande tagit upp kravet på proportionalitet i sina avgöranden om datalagring.

Tolkningen av EU-rätten måste utgå från EU-domstolens samlade budskap om vilka förutsättningar som ska vara uppfyllda för att lagring ska få ske. Enligt vår mening kan inte EU-domstolens domar tolkas på annat sätt än att kravet på proportionalitet också gäller frågor om den nationella säkerheten. Vår utgångspunkt är vidare att kravet på proportionalitet gäller alla aspekter av lagring som syftar till att skydda den nationella säkerheten.

För det andra bör regleringen utarbetas på en övergripande nivå. Vi vill därigenom frångå detaljregleringen i förhållande till hur enskilda kommunicerar med varandra och vilken specifik teknik eller tjänst de använder. I det här perspektivet saknar det nämligen betydelse om kommunikation sker genom fast telefoni, mobiltelefoni, ip-telefoni, eller en nummeroberoende interpersonell kommunikationstjänst. Det centrala är att det sker någon form av kommunikation och att någon har tillhandahållit medel för kommunikationen. Härutöver föreslår vi nedan att även lokaliseringsuppgifter som inte är trafikuppgifter ska kunna omfattas av ett föreläggande om nationell säkerhetslagring. I dessa fall är lagringsskyldigheten inte beroende av att någon kommunikation äger rum. Lagringsskyldighetens utformning ska således ske utifrån kommunikation och tillgång till infrastruktur för kommunikation.

För att ta ställning till vilka uppgifter som ska kunna omfattas av ett föreläggande om nationell säkerhetslagring menar vi att urvalet bör göras på så sätt att följande frågor alltid kan besvaras i efterhand, oavsett vilken typ av kommunikation det är fråga om. 1. Vem kommunicerade med vem? 2. När ägde kommunikationen rum? 3. Var fanns användarnas utrustning? 4. Vilken typ av kommunikation var det fråga om?

Ovanstående bör enligt vår mening utgöra ramen för vad lagringsskyldigheten kan omfatta och bör regleras i lag.

30 Se SpaceNet-domen p. 69, Garda Síochána-domen p. 54 och La Quadrature du Net-domen p. 132.

För det tredje bör regleringen vara sådan att lagringsskyldighetens omfattning inte påverkas av användarens utrustning. På samma sätt som tidigare menar vi att det väsentliga är att någon har kommunicerat med en annan. Om kommunikationen har skett genom t.ex. en mobiltelefon, en dator eller en surfplatta är av underordnad betydelse. I praktiken kommer emellertid den utrustning som används att generera olika typer av uppgifter. De uppgifter som genereras när en mobiltelefon används kommer att skilja sig från de uppgifter som genereras vid användning av en dator. Utformningen bör dock vara teknikneutral och omfatta de uppgifter som genereras och behandlas i tillhandahållarnas verksamhet.

För det fjärde ska regleringen av lagringsskyldighetens omfattning utgå från tillhandahållarnas verksamhet. Dagens lagringsskyldighet omfattar uppgifter som genereras eller behandlas i tillhandahållarens verksamhet. Det betyder att leverantören inte har någon skyldighet att införskaffa uppgifter som denne annars inte genererar eller behandlar. Med behandling avses här alla typer av åtgärder, inklusive radering eller förstöring. Däremot ska en uppgift lagras så fort den har funnits hos leverantören, även om det bara rör sig om en ytterst kort tid. Vår utgångspunkt är att även ett föreläggande om nationell säkerhetslagring ska omfatta endast sådana uppgifter som behandlas i tillhandahållarnas verksamhet. Vi bedömer att det vore oproportionerligt om tillhandahållarna skulle behöva inhämta och behandla sådana uppgifter som kan behövas för att bekämpa hot mot den nationella säkerheten men som de själva inte får del av i sin verksamhet.

Detta ställningstagande kan dock i framtiden behöva omprövas, om det visar sig att tillhandahållare exempelvis bygger om sina tjänster i syfte att undgå lagringsskyldigheten.

En fråga som bör uppmärksammas är att tillhandahållare i enlighet med artikel 25 i EU:s dataskyddsförordning har en skyldighet att implementera funktioner för dataskydd i sina tjänster, dvs. inbyggt dataskydd (Privacy by design). Bestämmelserna om dataskydd gäller i tillhandahållarnas verksamhet enligt 1 kap. 5 § nya LEK när de behandlar personuppgifter. För nummeroberoende kommunikationstjänster har det tidigare inte funnits någon lagringsskyldighet. En sådan kommunikationstjänst kan därför vara utformad så att trafik- och

31

Jfr artikel 2 i e-dataskyddsdirektivet, 1 kap. 5 § nya LEK och artikel 4 i EU:s dataskyddsförordning. 32

Se prop. 2010/11:46 s. 77.

lokaliseringsuppgifter raderas när uppgifterna har behandlats för att leverera tjänsten. Våra förslag innebär en förändring för tillhandahållare av Noik, i den mån de behandlar personuppgifter som också är trafik- och lokaliseringsuppgifter, och omfattas av våra förslag om lagringsskyldighet. Se mer om lagringsskyldighet för tillhandahållare av Noik i avsnitt 9.

Regleringen i EU:s dataskyddsförordning fråntar inte leverantörerna deras ansvar för lagring av trafik- och lokaliseringsuppgifter enligt nya LEK. Funktionalitet för dataskydd ska utformas på ett sådant sätt att lagringsskyldigheten kan uppfyllas. Tillhandahållarna får därför inte radera uppgifter som vid något tillfälle har behandlats av dem, om det finns en lagringsskyldighet för uppgifterna. Det undantar samtidigt inte deras skyldigheter i övrigt att minimera förekomsten av personuppgifter i tjänster och it-stöd, i delar som inte rör lagring av trafik- och lokaliseringsuppgifter.

Vi föreslår att detsamma ska gälla i de fall uppgifterna omfattas av ett föreläggande om nationell säkerhetslagring. Det blir således inte tillåtet för en tjänsteleverantör att utforma sina tjänster på ett sådant sätt att trafik- och lokaliseringsuppgifter som träffas av en lagringsskyldighet omedelbart förstörs, raderas, eller avidentifieras. Det spelar ingen roll om åtgärden sker på teknisk nivå, i ett inledande skede, eller utan mänsklig inblandning.

Det bör avslutningsvis påtalas att vad vi beskrivit ovan inte förändrar möjligheten för tillhandahållarna att uppdra åt någon annan att utföra lagringen enligt 9 kap. 19 § fjärde stycket nya LEK.

Uppgifter som omfattas av lagringsskyldigheten

Med utgångspunkt i de principer som vi redogjort för ovan bör följande uppgifter kunna omfattas av ett föreläggande om nationell säkerhetslagring. Vilka uppgifter som kan omfattas av lagringsskyldigheten bör regleras i nya LEK och preciseras i förordning.

1. Vem kommunicerade med vem?

– Telefonnummer, ip-adress eller annan meddelandeadress.

– Abonnemangs-, konto- eller utrustningsidentitet och kopp-

lingen mellan permanenta och tillfälliga identifierare.

– Uppgifter om abonnent och registrerad användare.

– Uppgifter som krävs för att identifiera slutmålet för kommu-

nikationen i de situationer där den som avskiljer kommuni-

kationen inte omfattas av lagringsskyldighet, exempelvis när

kommunikationen övergår från tjänsteleverantörens nät till ett

företagsnätverk. 2. När ägde kommunikationen rum?

– Datum och spårbar tid för då samtalet påbörjades och avslu-

tades, då ett meddelande skickades och togs emot, eller då viss

internettrafik ägde rum. 3. Var fanns användarnas utrustning?

– Lokaliseringsuppgifter vid kommunikation eller internetåtkomst,

alltså inte endast vid kommunikationens början och slut.

– Övriga lokaliseringsuppgifter som inte är trafikuppgifter (t.ex.

satellitpositioneringsuppgifter som genererats i utrustningen). 4. Vilken typ av kommunikation var det fråga om?

– Uppgifter om den eller de tjänster som använts.

– Uppgift om kapacitet för överföring (t.ex. fast bredband via

fiber).

Lagringsskyldigheten får även omfatta uppgifter som genereras eller behandlas vid misslyckad uppringning, dvs. uppringning som kopplas fram utan att nå en mottagare.

Våra förslag innebär att brottsbekämpande myndigheter genom straffprocessuella tvångsmedel i vissa fall kan få tillgång till lokaliseringsuppgifter som inte är trafikuppgifter. Sådana uppgifter genereras i användarens utrustning och överförs till tillhandahållaren oavsett om utrustningen används för samtal och meddelandehantering. Satellitpositioneringsuppgifter som genererats i utrustningen kan vara en sådan. Med satellitpositioneringsuppgifter avses exempelvis gpspositioner från det amerikanska systemet eller det europeiska systemet Galileo (GNSS).

Lokaliseringsuppgifter som inte är trafikuppgifter kan också avse olika typer av signaleringsuppgifter som genereras i en mobiltelefon eller i ett mobiltelefoninät. Det kan exempelvis vara fråga om periodiska uppdateringar, registrering- och bortkoppling från mobilnätet

och andra uppgifter som genererats i syfte att initiera, upprätthålla och avsluta sessioner och tjänster under pågående internetåtkomst.

Lagring av sådana uppgifter kommer att underlätta kartläggning av var enskilda har befunnit sig eftersom det i vissa fall räcker att utrustningen är påslagen och uppkopplad mot ett nätverk. Våra förslag innebär dock inte att samtliga sattelitpositioneringsuppgifter och signaleringsuppgifter ska lagras. En sådan lagring skulle bli alltför omfattande med hänsyn till antalet enheter och antalet uppgifter som genereras. Många lokaliseringsuppgifter skulle dessutom vara identiska när kommunikationsutrustningen är stillastående, exempelvis under nattetid då många användare sover.

Det bör därför göras ett urval bland de lokaliseringsuppgifter som ska lagras. Ett sådant urval kan dock behöva utvärderas och omvärderas med hänsyn till den snabba tekniska utvecklingen och den utrustning som för tiden används. Enligt vår bedömning är det därför inte lämpligt att i författning närmare precisera mängden uppgifter som ska lagras när det gäller lokaliseringsuppgifter som inte är trafikuppgifter. Det bör i stället ankomma på PTS att utforma en närmare reglering på området. Lämpligen bör en sådan reglering föregås av samråd med de brottsbekämpande myndigheterna och vid behov tillhandahållarna.

Lokaliseringsuppgifter som inte är trafikuppgifter omfattas inte av den lagringsskyldighet som gäller i dag och omfattades inte heller av den tidigare gällande lagringsskyldigheten. I praktiken innebär dock våra förslag inte någon större skillnad än dagens reglering för lagring som sker av traditionella teleoperatörer. Det har sin grund i den teknikutveckling som har ägt rum. En modern mobiltelefon lämnar vid samtal eller datatrafik kontinuerlig uppgift om plats när den används i ett traditionellt telenät. Det är framför allt tillhandahållare av Noik som påverkas. Vårt förslag utjämnar skillnaden mellan användning av Noik och traditionella kommunikationstjänster.

Lokaliseringsuppgifter kan vara av stor, i vissa fall rent av avgörande, betydelse för att bekämpa hot mot den nationella säkerheten. Vi bedömer att det är strängt nödvändigt att lagringsskyldigheten ska kunna omfatta var användarnas utrustning fanns. En lagring av lokaliseringsuppgifter som inte är trafikuppgifter innebär ett ytterligare intrång i enskildas personliga integritet. Vi återkommer till denna fråga i vår konsekvensanalys, se avsnitt 13.

Vi bedömer i övrigt att en lagringsskyldighet i enlighet med våra förslag är proportionerlig, eftersom lagringen påbörjas först när Sverige står inför ett allvarligt hot mot den nationella säkerheten som är verkligt och aktuellt eller förutsebart. Som tidigare reglering bör ramarna för vad lagringsskyldigheten kan omfatta framgå av lag och de mer detaljerade föreskrifterna av förordning. I beslutet om nationell säkerhetslagring framgår slutligen vad som, inom de ramarna, ska lagras.

Det bör påpekas att de typer av uppgifter om elektronisk kommunikation som omfattas av lagringsskyldigheten i 9 kap. 19 § nya LEK regleras genom en hänvisning till tystnadsplikten i 9 kap. 31 § första stycket 1 och 3, dvs. uppgift om abonnemang och annan uppgift som angår ett särskilt elektroniskt meddelande. Vi har dock i avsnitt 6.6.2 föreslagit att uttrycket annan uppgift som angår ett särskilt elektroniskt meddelande ersätts av uttrycket trafikuppgift.

Tystnadsplikten i 9 kap. 31 § nya LEK gäller inte för lokaliseringsuppgifter som inte är trafikuppgifter. Det har sin grund i att sådana uppgifter, om de rör användare som är fysiska personer eller abonnenter, får behandlas endast sedan de har avidentifierats eller användaren eller abonnenten har gett sitt samtycke till behandlingen (se 9 kap. 7 § nya LEK). I avsnitt 7.3.9 föreslår vi bl.a. att lokaliseringsuppgifter som inte är trafikuppgifter och som rör användare som är fysiska personer eller abonnenter ska omfattas av tillhandahållarnas tystnadsplikt. Vi återkommer till frågan om tillhandahållarnas behandling av lokaliseringsuppgifter som inte är trafikuppgifter i avsnitt 7.3.8.

Upplysning om verkställighetsföreskrifter

I 9 kap. 23 § nya LEK finns en upplysning om att regeringen eller den myndighet som regeringen bestämmer får meddela närmare föreskrifter om vilka uppgifter som ska lagras enligt 19 § och om lagringstiden enligt 22 § första stycket.

Upplysningsbestämmelser om verkställighetsföreskrifter är enligt Lagrådet inte nödvändiga. Regeringen har dock gjort bedömningen att upplysningsbestämmelsen i 9 kap. 23 § nya LEK kan bidra till att

regleringen blir transparent och tydlig. Vi saknar skäl att nu göra en annan bedömning.

Vi föreslår att tillhandahållarnas lagringsskyldighet ska regleras i andra paragrafer än 9 kap. 19 § nya LEK. Bestämmelsen i 9 kap. 23 § bör därför anpassas till våra förslag.

Lagringstiden

Enligt den tidigare gällande lagringsskyldigheten, alltså före 2019 års lagstiftning, skulle alla slags uppgifter lagras i sex månader räknat från den dag kommunikationen avslutades. Enligt den nu gällande lagringsskyldigheten gäller olika lagringstider för olika slags uppgifter, allt räknat från den dag kommunikationen avslutades. Uppgifter ska lagras enligt följande. • Uppgifter som genereras eller behandlas vid telefonitjänst och

meddelandehantering via mobil nätanslutningspunkt ska lagras i

sex månader. Lokaliseringsuppgifter ska dock lagras endast i två

månader. • Uppgifter som genereras eller behandlas vid internetåtkomst ska

lagras i tio månader. Om uppgifterna identifierar den utrustning

där kommunikationen slutligt avskiljs från den lagringsskyldige

till den enskilde abonnenten ska de dock lagras i endast sex

månader.

Vi har ovan föreslagit att ett föreläggande om nationell säkerhetslagring ska kunna gälla i högst ett år. Frågan är då hur länge de uppgifter som omfattas av ett sådant föreläggande ska lagras hos den lagringsskyldige. Ett alternativ är att alla uppgifter som omfattas av ett föreläggande om nationell säkerhetslagring ska lagras så länge som föreläggandet gäller och därefter omedelbart raderas. Uppgifter lagrade kort tid efter beslutet skulle i sådant fall lagras under nästan ett år medan de uppgifter som lagras under föreläggandets sista dag skulle raderas redan dagen därpå. Om ett beslut om nationell säkerhetslagring skulle förlängas, blir följden att alla uppgifter fortsatt ska lagras under den tid den nationella säkerhetslagringen gäller. En reglering som den här beskrivna framstår inte som helt logisk.

33 Se prop. 2021/22:136 s. 326.

Vi anser att ett bättre alternativ är att lagringstiden regleras separat och att den liksom i dag räknas från den dag kommunikationen avslutades. Om tillhandahållaren saknar uppgift om när kommunikationen avslutades, ska lagringstiden i stället utgå från när uppgifterna genererades. I fråga om lokaliseringsuppgifter som inte är trafikuppgifter bör lagringstiden i stället räknas från då uppgifterna genererades. Med en sådan ordning raderas uppgifterna löpande när lagringstiden går ut. Det innebär visserligen att uppgifter kommer att lagras även efter det att ett föreläggande om nationell säkerhetslagring har upphört att gälla, men vi ser inga principiella hinder mot detta.

När det gäller frågan om hur lång lagringstiden ska vara har EUdomstolen slagit fast att lagringstiden ska fastställas på objektiva grunder och begränsas till vad som är strängt nödvändigt. De brottsbekämpande myndigheterna har påtalat vikten av att uppgifter lagras under en längre tid än i dag. Vi bedömer att lagringstiden vid ett föreläggande om nationell säkerhetslagring bör, med hänsyn till arten av den brottslighet som ska bekämpas, vara betydligt längre än vad som i dag är fallet. När det gäller brottslighet som t.ex. spioneri, som typiskt sett pågår under lång tid, kan mycket gamla uppgifter vara avgörande för att exempelvis kunna analysera mönster i kommunikationen. Men för att lagringstiden inte ska riskera att bli längre än vad som är strängt nödvändigt, måste den emellertid begränsas. En sådan begränsning kan innebära att äldre uppgifter, som visserligen är avgörande för bekämpningen av brott mot Sveriges säkerhet, inte blir tillgängliga för de brottsbekämpande myndigheterna när behovet av uppgifterna uppstår. Vid en proportionalitetsbedömning anser vi att lagringstiden bör vara två år. Det bör förtydligas att uppgifter kan vara lagrade även efter det att ett föreläggande om nationell säkerhetslagring har upphört. Det har sin grund i att uppgifterna genereras löpande under hela den tid föreläggandet gäller.

För att syftet med lagringen ska kunna uppnås på bästa sätt behövs en helhetsbild. Olika typer av uppgifter bör därför inte ha olika lång lagringstid även om uppgifternas känslighetsgrad kan variera. Under sådana förhållanden bör samma lagringstid gälla för alla typer av uppgifter.

Vi anser att lagringstiden vid nationell säkerhetslagring bör föreskrivas i författning. Det är nämligen knappast möjligt att i ett enskilt beslut om nationell säkerhetslagring också besluta om lagringstid, eftersom det normalt inte går att veta hur länge uppgifterna kan

behövas. Det skulle också vara besvärligt för tillhandahållarna att behöva anpassa sina system när det gäller gallring av uppgifter efter varje enskilt beslut om lagring.

7.3.7 Tillgången till lagrade uppgifter

Några utgångspunkter

Som nämnts tillåter EU-rätten under vissa förutsättningar en lagstiftning som ger behöriga myndigheter rätt att ålägga tillhandahållare en generell och odifferentierad lagringsskyldighet under en begränsad tid avseende trafik- och lokaliseringsuppgifter, om det sker i syfte att skydda nationell säkerhet. Samtidigt har EU-domstolen klargjort att uppgifter som har lagrats för att skydda den nationella säkerheten inte kan användas inom ramen för straffrättsliga förfaranden i syfte att bekämpa allvarlig brottslighet. I SpaceNet-domen gör EU-domstolen följande uttalande.

(130) Dessutom och framför allt kan trafik- och lokaliseringsuppgifter,

i enlighet med den rättspraxis som det erinrats om i punkt 74 i före-

varande dom, inte lagras på ett generellt och odifferentierat sätt i syfte

att bekämpa grov brottslighet, och tillgång till dessa uppgifter kan så-

ledes inte motiveras av dessa syften. När dessa uppgifter undantagsvis

har lagrats på ett generellt och odifferentierat sätt, i syfte att skydda den

nationella säkerheten mot ett verkligt och aktuellt eller förutsebart hot,

under de förutsättningar som anges i punkt 71 ovan, kan de nationella

brottsbekämpande myndigheterna inte ha rätt att få tillgång till dessa

uppgifter inom ramen för straffrättsliga förfaranden, eftersom det skulle

betyda att förbudet mot en sådan lagring i syfte att bekämpa allvarlig

brottslighet, som det erinras om i punkt 74 ovan, förlorade sin ända-

målsenliga verkan (dom av den 5 april 2022, Commissioner of An Garda

Síochána m.fl., C-140/20, EU:C:2022:258, punkt 100).

Mot bakgrund av den terminologi som i övrigt används i domen uppkommer frågan vad som avses med straffrättsliga förfaranden i detta sammanhang. Uttrycket förekommer inte i e-dataskyddsdirektivet men används i många rättsakter inom det straffrättsliga samarbetet inom EU. Det finns i dessa rättsakter inte någon definition av straffrättsliga förfaranden och uttrycket har heller inte harmoniserats i

EU:s lagstiftning. Innebörden får därför tolkas med ledning av den rättsakt där uttrycket förekommer. Tolkningen av uttrycket straffrättsligt förfarande har övervägts i lagstiftningsärenden gällande genomförande av nämnda rättsakter. Vid genomförandet av Europaparlamentets och rådets direktiv 2010/64/EU av den 20 oktober 2010 om rätt till tolkning och översättning vid straffrättsliga förfaranden gjordes bedömningen att direktivets krav omfattar de förfaranden som kan mynna ut i en brottspåföljd och att det ska finnas bestämmelser i svensk rätt som uppfyller direktivets krav vid handläggningen av brottmål, såväl vid rättegången i domstol som under förundersökningen.

Termen straffrättsligt förfarande förekommer också i Europaparlamentets och rådets direktiv 2014/41/EU av den 3 april 2014 om en europeisk utredningsorder på det straffrättsliga området. Direktivet har i Sverige genomförts genom lagen (2017:1000) om en europeisk utredningsorder. I förarbetena till denna lag gör regeringen skillnad på underrättelsestadiet och det straffrättsliga förfarandet.

Att de brottsbekämpande myndigheterna inte kan få tillgång till uppgifter inom ramen för straffrättsliga förfaranden, skulle kunna uppfattas som att EU-domstolen inte har några invändningar mot att uppgifter som har lagrats för nationell säkerhet får användas i underrättelseverksamhet för att bekämpa brottslig verksamhet. EUdomstolen har dock i sin tidigare praxis på detta område inte gjort någon åtskillnad mellan uppgifter som får användas för straffrättsliga förfaranden och som får användas för att förebygga, upptäcka eller förhindra brottslig verksamhet. Som redan nämnts har EU-domstolen slagit fast att uppgifter som har lagrats för nationell säkerhet inte får lämnas ut till de brottsbekämpande myndigheterna för att bekämpa allvarlig brottslighet. Vår bedömning är därför att EU-rätten inte tilllåter att uppgifter som har lagrats för att skydda den nationella säkerheten lämnas ut för annan brottsbekämpande underrättelseverksamhet än sådan som sker i syfte att skydda den nationella säkerheten.

Det kan i detta sammanhang noteras att det enligt bestämmelserna om s.k. bevarandeförelägganden finns en möjlighet för brottsutredande myndigheter att skyndsamt säkra och bevara lagrade elek-

34

Uttrycket förekommer däremot i ett upphävt rambeslut av rådet den 15 mars 2001 om brottsoffrets ställning i straffrättsliga förfaranden (2001/220/RIF). I rambeslutet definieras termen på följande sätt i artikel 1 c: ”straffrättsligt förfarande: straffrättsligt förfarande i överensstämmelse med tillämplig nationell rätt”. 35

Ds 2017:53 s. 41. Se även prop. 2012/13:132, s. 14 f. och prop. 2018/19:71 s. 14. 36

Prop. 2016/17:218 s. 82.

troniska uppgifter som kan antas ha betydelse för utredning om ett brott (se 27 kap. 16 och 16 a §§ RB). Bestämmelserna har tillkommit för att Sverige ska uppfylla sina förpliktelser enligt artikel 16.1 i Budapestkonventionen om skyndsamt säkrande av datorbehandlingsbara uppgifter, innefattande trafikuppgifter (se avsnitt 11.5.1). Ett bevarandeföreläggande skulle kunna komma att riktas mot uppgifter som lagras i syfte att skydda den nationella säkerheten. Den som beslutar om ett bevarandeföreläggande torde nämligen inte ha någon kännedom om i vilket syfte de aktuella uppgifterna lagras hos tjänsteleverantören. Inte heller torde den som i ett senare skede beslutar om utlämnande av uppgifter som omfattas av ett sådant föreläggande ha någon kännedom om för vilka ursprungliga syften uppgifterna finns lagrade hos tjänsteleverantören.

EU-domstolen har också uttalat att det i nationell lagstiftning måste finnas vissa krav när det gäller skyndsamt säkrande av trafikuppgifter, bl.a. att endast bekämpning av grov brottslighet och skyddet av den nationella säkerheten kan motivera ett sådant ingrepp. Några motsvarande begränsningar finns inte i Budapestkonventionen.

Tillgång till uppgifter i syfte att skydda nationell säkerhet

Utredningens förslag: Tillgången genom straffprocessuella tvångsmedel till uppgifter som har lagrats för att skydda den nationella säkerheten ska begränsas till bekämpning av brott och brottslighet som kan innebära ett hot mot Sveriges säkerhet. Sådana uppgifter ska också kunna inhämtas genom HAK eller HÖK som meddelats enligt lagen om särskild kontroll av vissa utlänningar.

Det ska i tillståndsbeslutet framgå att tillgång ges till uppgifter som lagrats för att skydda den nationella säkerheten.

Som framgår av avsnitt 7.2. har lagstiftaren valt att inte införa någon legaldefinition av uttrycket nationell säkerhet, eftersom frågor om nationell säkerhet spänner över många områden. Det innebär att hot mot den nationella säkerheten kan anta olika former. I den ovan nämnda nationella säkerhetsstrategin anges bl.a. följande.

37 Se Garda Síochána-domen, p. 87. 38 Se Nationell säkerhetsstrategi 2017 s. 21 och 22.

Organiserad brottslighet är ett hot mot det demokratiska samhället.

I Sverige har denna brottslighet utvecklats till att omfatta grövre och

mer organiserade inslag, ibland med kopplingar till internationell kri-

minalitet av stor omfattning. Den kan omfatta handel med människor,

vapen eller droger. Hos vissa nätverk finns både avsikt och förmåga att

skada och störa grundläggande demokratiska processer. Det kan gälla

att hindra verkställandet av politiska beslut eller att söka strypa den fria

debatten. Kriminella nätverks förmåga till våld och otillåten påverkan,

liksom de stora penningsummor som kriminella personer tillskansar sig,

kan i förlängningen leda till maktförskjutningar som påverkar samhället

och dess demokratiska strukturer. Att vapen i ökande omfattning an-

vänds på offentliga platser och i kriminella konflikter leder till ökad rädsla

och otrygghet bland personer som vistas eller bor på platser där sådana

våldsbrott äger rum. Upprepade våldsbrott där skjutvapen eller explo-

siva varor används riskerar att minska förtroendet för rättsväsendet och

även tilltron till samhället som helhet.

Hot mot Sveriges säkerhet behöver inte heller alltid bestå av kriminella gärningar. Tillgång till lagrade uppgifter för andra syften än brottsbekämpning faller emellertid utanför våra direktiv och behandlas därför inte i detta sammanhang. Våra överväganden i denna del avser således tillgången till uppgifter i syfte att förebygga, förhindra, upptäcka, utreda och beivra brott mot nationell säkerhet. Enligt nuvarande regelverk finns inga särskilda författningar som samlat reglerar eller begränsar de brottsbekämpande myndigheternas tillgång till uppgifter som rör frågor om brott mot Sveriges säkerhet eller brottslighet som är systemhotande. Tillgången regleras i stället, med undantag av abonnemangsuppgifter, i regleringen av de tvångsmedel som används för att få tillgång till uppgifterna.

När det införs regler om lagring i syfte att skydda den nationella säkerheten mot ett verkligt och aktuellt eller förutsebart hot behövs, med utgångspunkt från EU-domstolens resonemang, bestämmelser som skiljer på en tillgång till uppgifter som har lagrats för att skydda den nationella säkerheten från uppgifter som har lagrats för bekämpning av annan allvarlig brottslighet eller som lagrats för tillhandahållarnas egna syften. Uppgifter som lagrats för bekämpning av annan allvarlig brottslighet eller för leverantörernas egna syften bör få lämnas ut för syftet att bekämpa brott mot den nationella säkerheten medan uppgifter som lagrats för att skydda den nationella säkerheten inte får lämnas ut i syfte att bekämpa annan allvarlig brottslighet. Det behövs således en brottskatalog eller motsvarande för att

39

Se om detta resonemang La Quadrature du Net-domen p. 166.

definiera vilka brott eller vilka typer av brottslighet som sett till fara eller effekt får påverkan på Sveriges säkerhet och för vilka de lagrade uppgifterna får lämnas ut. Som tidigare anförts behöver en sådan reglering vara förutsägbar och föreskriva tydliga rekvisit för tillgången till uppgifterna. Det ligger i sakens natur att brottslighet i största allmänhet, om än allvarlig sådan, inte per automatik utgör ett hot mot Sveriges säkerhet. Utgångspunkten bör i stället vara brottslighet som till sin karaktär eller omfattning är sådan att den hotar den nationella säkerheten. Gränsdragningen mellan allvarlig brottslighet och sådan brottslighet som hotar den nationella säkerheten låter sig inte göras endast utifrån brottslighetens straffvärde. Det finns synnerligen allvarlig brottslighet som isolerat inte kan skada eller hota den nationella säkerheten, liksom brottslighet som inte är synnerligen allvarlig men i visst sammanhang eller viss omfattning kan innebära ett hot mot Sveriges säkerhet. Vi anser att det är lämpligare att utgå från brotten eller brottslighetens karaktär för att ringa in sådan brottslighet som har påverkan på den nationella säkerheten.

I Sverige är det i huvudsak Säkerhetspolisen som har ansvar för att bekämpa hot mot den nationella säkerheten även om Polismyndigheten i vissa situationer bistår Säkerhetspolisen. Enligt 3 § förordningen (2014:1103) med instruktion för Säkerhetspolisen ansvarar Säkerhetspolisen för att förebygga, förhindra och upptäcka brottslig verksamhet samt utreda och beivra följande brott: 1. brott mot 18 eller 19 kap. BrB eller annat brott mot Sveriges säker-

het, i fråga om brott mot medborgerlig frihet dock endast om det

finns särskilda skäl för det, 2. brott mot terroristbrottslagen (2022:666), 3. sådana brott mot 13 kap. BrB som har syftat till att framkalla fara

för Sveriges säkerhet eller att allvarligt hota eller skada centrala

samhällsfunktioner, 4. företagsspioneri eller olovlig befattning med en företagshemlig-

het, om det finns anledning att anta att gärningen har begåtts på

uppdrag av eller har understötts av en främmande makt eller av

någon som har agerat för en främmande makts räkning, 5. brott där våld, hot eller tvång har använts för politiska syften, om

brottet har riktat sig mot någon vars personskydd Säkerhetspolisen

ansvarar för eller om gärningen har riktats mot ett särskilt viktigt

samhällsintresse, 6. brott som rör sanktionslagstiftning, krigsmateriel eller produkter

med dubbla användningsområden, dock endast brott som har an-

knytning till verksamhet som Säkerhetspolisen har till uppgift att

förebygga och förhindra, och 7. brott mot lagen (2022:700) om särskild kontroll av vissa utlän-

ningar.

Det kan konstateras att samtliga brott och brottslig verksamhet som Säkerhetspolisen har att bekämpa har en koppling till nationell säkerhet. Vi menar därför att tillgång till uppgifter som lagrats i syfte att skydda den nationella säkerheten bör kunna ges avseende alla brott som Säkerhetspolisen har att bekämpa och för vilka inhämtning av uppgifter kan ske efter beslut enligt inhämtningslagen, eller efter tillstånd till HAK eller HÖK enligt rättegångsbalken och preventivlagen. Tillgång bör också kunna ges vid försök, förberedelse eller stämpling till ovan nämnda brott, om en sådan gärning är belagd med straff. Därtill bör tillgång till uppgifter som lagrats genom beslut om nationell säkerhetslagring kunna ges vid beslut om HAK eller HÖK som meddelats med stöd av 5 kap. 5 § lagen om särskild kontroll av vissa utlänningar, dvs. exempelvis om en utlänning tillhör eller verkar för en organisation eller grupp som planlägger eller förbereder brott enligt terroristbrottslagen.

Att enbart utgå från ovan nämnda brott, som Säkerhetspolisen har att bekämpa, för att reglera tillgången till uppgifter som har lagrats för den nationella säkerheten är dock, enligt vår mening, inte tillräckligt. Även andra brott än dessa kan på grund av sin omfattning eller karaktär utgöra ett allvarligt hot mot Sveriges säkerhet. Som exempel på sådan brottslighet kan nämnas grov brottslig verksamhet som till slut blivit så allvarlig att den riskerar att slå ut eller försvaga viktiga funktioner i samhället. Det kan bl.a. röra sig om s.k. systemhotande brottslighet som syftar till att otillbörligt påverka rättskedjan eller andra myndigheter som bär upp den offentliga förvaltningen. Det kan handla om brottslighet som en eller flera gärningsmän utövar för egen vinning men där effekten av brottsligheten blivit så allvarlig att den riskerar att slå ut eller försvaga viktiga funktioner i samhället. Sådan brottslighet kan ge upphov till omfattande vålds-

brottslighet, som kan innebära risker för allmänheten, och framväxten av parallella samhällsstrukturer.

Vi förordar alltså att tillgång till uppgifter som lagrats för nationell säkerhet ges även för andra brott än de som Säkerhetspolisen har att bekämpa. Detta under förutsättning att brottet eller brottsligheten på grund av sin omfattning eller karaktär kan anses utgöra ett allvarligt hot mot Sveriges säkerhet. Vi vill understryka att detta innebär att tillgång till uppgifterna bara kan ges då det är fråga om brottslighet som hotar den nationella säkerheten. Enligt vår bedömning bör det aktuella brottet i vart fall ha ett straffminimum om fängelse i två år. Vi anser inte att någon straffvärdeventil bör införas i detta sammanhang. Vi menar att möjligheten till inhämtning bör vara begränsad enbart till sådana brott som har ett högt straffminimum. När det gäller inhämtning av uppgifter i underrättelseverksamheten är det dessutom svårt att göra ens en någorlunda rimlig bedömning av straffvärdet. Regler om tillgång till uppgifter som har lagrats för nationell säkerhet bör införas i den av oss föreslagna lagen om lagring av och åtkomst till uppgifter om elektronisk kommunikation i syfte att skydda Sveriges säkerhet.

En särskild fråga är hur prövningen av tillgång till uppgifter som lagrats för nationell säkerhet i praktiken ska gå till. Inom Säkerhetspolisen finns kunskapen om huruvida uppgifter lagras för syftet att skydda den nationella säkerheten. Vid andra brottsbekämpande myndigheter finns inte alltid den kunskapen. Även om sådan kunskap finns känner myndigheterna sannolikt inte till den närmare omfattningen av lagringsskyldigheten. Som nämnts ovan är det sannolikt så att inte heller den domstol eller åklagare som ska pröva tillståndet till det hemliga tvångsmedlet känner till om det föreligger någon nationell säkerhetslagring och än mindre omfattningen av en sådan. Det är alltså befattningshavare inom Säkerhetspolisen och hos de tillhandahållare som omfattas av lagringsskyldigheten som med säkerhet känner till den närmare omfattningen av lagringen.

Vid en ansökan om hemliga tvångsmedel för att få tillgång till historiska trafik- och lokaliseringsuppgifter (genom HAK eller HÖK enligt RB, preventivlagen eller LSU samt vid inhämtning enligt inhämtningslagen) måste sökanden uttryckligen ange att tvångsmedlet avser även uppgifter som är lagrade för nationell säkerhet. När domstolen eller åklagaren ger tillstånd till tvångsmedlet måste den alltså ange om inhämtningen får avse uppgifter som är lagrade för detta

syfte oavsett huruvida man känner till att sådana uppgifter finns lagrade eller inte. Ges tillstånd till sådan inhämtning, får inhämtningen avse alla uppgifter som finns hos leverantören. Om några uppgifter inte är lagrade för nationell säkerhet ska de eventuella andra uppgifter som leverantören har lämnas ut. Om domstolen visserligen beviljar det hemliga tvångsmedlet, men inte anser att aktuellt brott eller brottslighet innefattar ett hot mot den nationella säkerheten, får eventuella uppgifter lagrade för nationell säkerhet inte lämnas ut, bara andra uppgifter som leverantören behandlar.

De tillhandahållare som lagrar uppgifter enligt ett föreläggande om nationell säkerhetslagring måste således särskilja de uppgifter som lagras för detta ändamål från sådana uppgifter som lagras för andra syften. Tillhandahållarnas skyldighet att lämna ut uppgifter lagrade för nationell säkerhet bör endast gälla om det i tillståndsbeslutet särskilt angetts att inhämtningen får avse uppgifter som lagrats med stöd av lagen om lagring av och åtkomst till uppgifter om elektronisk kommunikation i syfte att skydda Sveriges säkerhet. En bestämmelse som reglerar detta bör tas in i lagen.

7.3.8 Personuppgiftsbehandling vid lagring för nationell säkerhet

I detta avsnitt diskuterar vi frågan om behovet av att reglera den personuppgiftsbehandling som tillhandahållarna och de brottsbekämpande myndigheterna måste utföra när det gäller lagring för den nationella säkerheten.

Tillhandahållarnas behandling av uppgifter som lagras för nationell säkerhet

Utredningens förslag: Det ska finnas författningsstöd för tillhandahållarnas behandling av personuppgifter när det gäller lagring och utlämnande av uppgifter i syfte att skydda den nationella säkerheten.

Tillhandahållarnas behandling av fysiska personers trafik- och lokaliseringsuppgifter är reglerade i nya LEK med bl.a. begränsningar kring hur uppgifterna får hanteras (se 9 kap. 1–3 och 9 kap. 7–9 §§ nya LEK). Utgångspunkten är att uppgifterna ska utplånas eller avidentifieras när de inte längre behövs för överföring av ett elektroniskt meddelande. Det finns vissa undantag från detta krav i 9 kap. 1 § andra stycket, 2, 4 och 10 §§ nya LEK.

Trafikuppgifter får enligt 9 kap. 1 § andra stycket nya LEK behandlas för brottsbekämpande ändamål enligt 9 kap. 19 § nya LEK. Vi föreslår att tillhandahållarnas lagringsskyldighet vid nationell säkerhetslagring ska regleras i 9 kap. 19 b § nya LEK. Det krävs därför en motsvarande ändring i 9 kap. 1 § andra stycket nya LEK.

Vi har ovan föreslagit att lokaliseringsuppgifter som inte är trafikuppgifter ska kunna omfattas av ett föreläggande om nationell säkerhetslagring. Vi föreslår därför att det i 9 kap. 10 § nya LEK föreskrivs att lokaliseringsuppgifter som ska lagras enligt ett föreläggande om nationell säkerhetslagring får behandlas trots vad som föreskrivs i 9 kap. 7–9 §§.

I 9 kap. 19 § nya LEK regleras lagringsskyldigheten för brottsbekämpande ändamål. Uppgifter som har lagrats med stöd av denna bestämmelse får behandlas endast för att lämnas ut enligt 9 kap. 33 § första stycket 2 eller 5 i nya LEK, 27 kap. 19 § rättegångsbalken, eller inhämtningslagen (se 9 kap. 21 § nya LEK). För att tillhandahållarna ska kunna lämna ut uppgifter som lagrats i syfte att skydda den nationella säkerheten behövs författningsstöd för sådan behandling. Ett sådant författningsstöd kan regleras genom att ett nytt stycke läggs till i 9 kap. 21 § nya LEK, som anger att uppgifter som lagrats för nationell säkerhet får behandlas för att lämnas ut enligt den av oss föreslagna lagen om lagring av och åtkomst till uppgifter om elektronisk kommunikation i syfte att skydda Sveriges säkerhet.

De brottsbekämpande myndigheternas behandling av uppgifter som lagras för nationell säkerhet

Utredningens bedömning: Våra förslag om lagring och tillgång till trafik- och lokaliseringsuppgifter i syfte att skydda den nationella säkerheten föranleder inga ändringar i de brottsbekämpande myndigheternas registerförfattningar.

Behöriga myndigheters behandling av personuppgifter i syfte att bekämpa brott regleras i brottsdatalagen (2018:1177) i förening med de särskilda registerförfattningar som gäller för verksamheten, exempelvis polisens brottsdatalag (2018:1693).

Det gäller inte Säkerhetspolisens och Polismyndighetens behandling av uppgifter som rör brottsbekämpning och lagföring i frågor om nationell säkerhet. Personuppgiftsbehandling rörande nationell säkerhet sker i stället med stöd av lagen (2019:1182) om Säkerhetspolisens behandling av personuppgifter (SDL). Enligt 2 kap. 1 § SDL får Säkerhetspolisen behandla personuppgifter om det är nödvändigt för att förebygga, förhindra eller upptäcka brottslig verksamhet som innefattar bl.a. brott mot Sveriges säkerhet och terrorbrott samt för att utreda eller lagföra sådana brott. Bestämmelsen gäller även Polismyndigheten om Säkerhetspolisen lämnar över en arbetsuppgift som rör nationell säkerhet.

Personuppgifter får behandlas bara för särskilda, uttryckligt angivna och berättigade ändamål (2 kap. 3 § SDL). Att ändamålet ska vara särskilt innebär att det måste vara tillräckligt preciserat för att det ska kunna avgöras om de personuppgifter som behandlas är adekvata och relevanta för ändamålet med behandlingen eller om för många personuppgifter behandlas. Om Säkerhetspolisen avser att behandla personuppgifter för ett nytt ändamål, måste myndigheten pröva om det nya ändamålet är förenligt med det ändamål som låg till grund för den ursprungliga behandlingen.

Av 2 kap. 4 § första stycket 1 SDL framgår att Säkerhetspolisen får utföra den behandling som behövs för att till andra brottsbekämpande myndigheter vidarebefordra uppgifter om brott eller brottslig verksamhet. I samma paragraf finns också beskrivet för vilka andra ändamål uppgifter rörande bl.a. nationell säkerhet får vidarebefordras till andra aktörer.

Med hänsyn till Säkerhetspolisens, och i tillämpliga fall även Polismyndighetens, redan befintliga uppdrag i frågor om nationell säkerhet samt de regelverk som gäller i verksamheterna, kräver våra förslag inga författningsändringar när det gäller myndigheternas personuppgiftsbehandling. Säkerhetspolisen kan i dag behandla personuppgifter beträffande frågor som rör nationell säkerhet och vid behov kan Säkerhetspolisen vidarebefordra sådana uppgifter till Polismyndigheten. Våra förslag förändrar inte de rättsliga grunderna eller ändamålen för

40

Prop. 2018/19:163 s. 68 och 220.

Säkerhetspolisens eller Polismyndighetens behandling av uppgifter i fråga om brottsbekämpning som rör nationell säkerhet. Om Polismyndigheten genom hemliga tvångsmedel får tillgång till uppgifter som lagrats i syfte att skydda den nationella säkerheten för sådana arbetsuppgifter som inte överlämnats från Säkerhetspolisen, ska polisens brottsdatalag tillämpas vid behandlingen av uppgifterna. Om uppgifterna i stället inhämtas för en arbetsuppgift som överlämnats från Säkerhetspolisen blir lagen om Säkerhetspolisens behandling av personuppgifter tillämplig.

Våra förslag förändrar inte heller de rättsliga grunderna eller ändamålen för exempelvis Tullverket eller andra brottsbekämpande myndigheter som eventuellt kan få del av uppgifter som lagrats för nationell säkerhet i brottsbekämpning som rör nationell säkerhet. I likhet med vad som gäller för Säkerhetspolisen och Polismyndigheten måste personuppgiftsbehandlingen ha stöd i det regelverk som gäller för verksamheten. Våra förslag innebär ingen förändring i detta hänseende.

7.3.9 Sekretess och tystnadsplikt m.m.

Sekretess i angelägenheter om nationell säkerhetslagring

Utredningens bedömning: Nuvarande sekretessregler till skydd för intresset av att förebygga eller beivra brott ger ett tillräckligt sekretesskydd för uppgifter i angelägenheter om nationell säkerhetslagring. Däremot finns i befintliga regler inte motsvarande skydd för enskilda intressen och det bör därför införas en kompletterande bestämmelse.

Utredningens förslag: Sekretess ska gälla för uppgifter om en enskilds personliga och ekonomiska förhållanden i angelägenheter om nationell säkerhetslagring, om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till honom eller henne lider skada eller men.

När det gäller lagring av uppgifter i syfte att skydda nationell säkerhet kommer, enligt våra förslag, flera aktörer vara involverade. Säkerhetspolisen ska, som behörig myndighet, bedöma om det föreligger ett allvarligt hot mot den nationella säkerheten och får, om så be-

döms vara fallet, förelägga tillhandahållare att lagra trafik- och lokaliseringsuppgifter. Under beredningen ska Säkerhetspolisen samråda med Försvarsmakten och får vid behov även samråda med och inhämta information från andra myndigheter. Ett offentligt ombud ska ta del av Säkerhetspolisens beslut och underlaget för detta. Ett beslut om lagring för den nationella säkerheten kan överklagas av det offentliga ombudet till Datalagringsdelegationen inom Säkerhets- och integritetsskyddnämnden. Vid verkställighet av beslut om lagring involveras tillhandahållare och vid tillsyn även PTS. Om PTS beslut överklagas, involveras också de allmänna förvaltningsdomstolarna.

Säkerhetspolisens handläggning, dvs. både beredning och beslut, av ett ärende om nationell säkerhetslagring sker, som vi har konstaterat i avsnitt 7.3.2, som ett led i Säkerhetspolisens brottsbekämpande verksamhet. Beslut om nationell säkerhetslagring möjliggör i senare led användning av hemliga tvångsmedel såväl inom som utom förundersökningar. Enligt vår bedömning sker åtgärderna vid beredning och beslut i ett ärende om nationell säkerhetslagring uteslutande inom ramen för Säkerhetspolisens underrättelseverksamhet. Handläggningen medför hantering av en mängd uppgifter som behöver få ett adekvat sekretesskydd. Skyddsintressena i Säkerhetspolisens verksamhet gör det angeläget att allmänhetens insyn begränsas. Vår utgångspunkt är att det ska finnas ett fullgott sekretesskydd för såväl det allmänna som för enskilda i ärenden om nationell säkerhetslagring. Vi återkommer till frågor om meddelarfrihet i kommande avsnitt.

I 18 kap. 1–3 och 17–17 a §§ och 35 kap. 1 § OSL finns bestämmelser om sekretess i underrättelseverksamheten. Utredningssekretessen och underrättelsesekretessen enligt 18 kap. 1 och 2 §§ OSL är i viss mån överlappande.

Av 18 kap. 1 § första stycket OSL följer att sekretess gäller för uppgift som hänför sig till förundersökning i brottmål eller till angelägenhet som avser användning av tvångsmedel i sådant mål eller i annan verksamhet för att förebygga brott, om det kan antas att syftet med beslutade eller förutsedda åtgärder motverkas eller den framtida verksamheten skadas om uppgiften röjs. Sekretess gäller, under motsvarande förutsättningar som anges i första stycket, för uppgift som hänför sig till annan verksamhet än sådan som avses i bl.a. första stycket och som syftar till att förebygga, uppdaga, utreda eller beivra brott och som bedrivs av de brottsbekämpande myndigheterna (18 kap. 1 § andra stycket 2 OSL). Med annan verksamhet åsyftas

både brottsförebyggande och brottsbeivrande verksamhet i allmänhet utan anknytning till något konkret fall. Uppgifter hänförliga till sådan verksamhet kan gälla resurs- och organisationsfrågor av vital betydelse, arbetsrutiner, spaningsmetoder, personskydd, personuppgifter rörande personal och tjänstgöringslistor. Även uppgifter om namn på personer som biträder polisen vid spaningsarbete, med tolkning eller genom att lämna förtrolig information (dvs. källor) kan falla under bestämmelsen. Uppgifter av nu nämnt slag kan ibland också omfattas av sekretess till skydd för rikets säkerhet enligt 15 kap. 2 § OSL, vilket vi återkommer till nedan.

Enligt 18 kap. 2 § OSL gäller sekretess för underrättelseuppgifter om det inte står klart att uppgiften kan röjas utan att syftet med beslutade eller förutsedda åtgärder motverkas eller den framtida verksamheten skadas.

Sekretess enligt 18 kap. 1 och 2 §§ gäller även hos myndigheter som biträder de brottsbekämpande myndigheterna i bl.a. underrättelseverksamheten (18 kap. 3 § OSL). Vidare finns särskilda bestämmelser om sekretess i verksamhet som avser rättsligt eller polisiärt samarbete i internationella förhållanden (se 18 kap. 17 och 17 a §§ OSL).

I underrättelseverksamheten finns också sekretessregler till skydd för enskilda. Enligt 35 kap. 1 § första stycket 4 OSL gäller sekretess för uppgift om en enskilds personliga och ekonomiska förhållanden, om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till honom eller henne lider skada eller men, och uppgiften förekommer i verksamhet som syftar till att förebygga, uppdaga, utreda eller beivra brott eller verkställa uppbörd om verksamheten bedrivs av en åklagarmyndighet, Polismyndigheten, Säkerhetspolisen, Skatteverket, Tullverket eller Kustbevakningen.

Sekretessregleringen i 18 kap. 1 och 2 §§ OSL är utformad så att sekretess gäller uppgift som hänför sig till brottsförebyggande eller brottsbeivrande verksamhet. Det betyder att sekretessen följer med uppgiften när den lämnas till en annan myndighet. Regleringen innebär också att uppgifterna inte måste komma direkt från den brottsbekämpande myndigheten för att omfattas av sekretessen. Det betyder att en uppgift som exempelvis PTS lämnar till Säkerhetspolisen

41 A.a. 42 Se Lenberg, Tansjö och Geijer (5 juli. 2022, Version 25, JUNO), kommentaren till 18 kap. 1 § OSL.

i ett ärende om nationell säkerhetslagring kommer att omfattas av sekretessregleringen i 18 kap. 2 §.

Ärenden om nationell säkerhetslagring aktualiserar även hantering av uppgifter som regleras av annan sekretess. Några exempel är uppgifter som omfattas av utrikes- och försvarssekretess, sekretess för uppgifter i annat internationellt samarbete samt sekretess för uppgifter om säkerhets- eller bevakningsåtgärd enligt 15 kap. 1, 1 a och 2 §§ och 18 kap. 8 § OSL. Bestämmelserna är tillämpliga i all offentlig verksamhet, dvs. utgör en primär sekretessregel för den myndighet som får tillgång till uppgifterna.

De sekretessregler som vi beskrivit hittills ger enligt vår bedömning ett tillräckligt sekretesskydd för allmänna intressen i ärenden om nationell säkerhetslagring, men även enskilda, vars uppgifter förekommer i ett ärende om nationell säkerhetslagring, behöver ett fullgott sekretesskydd. Det kan röra sig om personer som både direkt och indirekt har koppling till det nationella säkerhetshotet. Det kan även omfatta tillhandahållarnas ekonomiska förhållanden. I motsats till vad som föreskrivs i 18 kap. 1 och 2 §§ OSL gäller inte sekretess enligt 35 kap. 1 § första stycket 4 OSL, utanför de brottsbekämpande myndigheternas verksamhet. Det innebär att uppgifter som rör enskildas personliga och ekonomiska förhållanden, med nuvarande reglering, inte skulle få ett tillräckligt sekretesskydd hos vissa av de aktörer som kan involveras i ett ärende om nationell säkerhetslagring. Uppgifterna skulle exempelvis ha ett adekvat sekretessskydd när de överförs mellan Polismyndigheten och Säkerhetspolisen men inte när en uppgift överförs från Säkerhetspolisen till Försvarsmakten eller SIN eftersom de senare inte omfattas av 35 kap. 1 § första stycket 4 OSL.

Vi föreslår därför att en ny punkt förs in i 35 kap. 1 § OSL enligt vilken sekretess ska gälla för uppgift om en enskilds personliga och ekonomiska förhållanden i angelägenhet om nationell säkerhetslagring. En sådan bestämmelse motsvarar det skydd som enskilda åtnjuter i bl.a. Säkerhetspolisens brottsbekämpande verksamhet vad gäller hemliga tvångsmedel enligt 35 kap. 1 § första stycket 2 OSL.

Sekretessen ska alltså gälla oavsett vilken myndighet eller domstol som involveras i handläggningen. När det gäller sekretessens styrka föreslår vi ett omvänt skaderekvisit motsvarande det som finns enligt 35 kap. 1 § första stycket OSL, dvs. att ett utlämnande förutsätter att det ska stå klart att uppgiften kan röjas utan att den enskilde eller någon närstående till honom eller henne lider skada eller men.

Det bör uppmärksammas att den föreslagna bestämmelsen medför att sekretessen i vissa situationer blir överlappande med sekretess enligt andra bestämmelser. Under sådana förhållanden tillämpas 7 kap. 3 § OSL. Som huvudregel följer av 7 kap. 3 § OSL att det vid konkurrens mellan flera sekretessbestämmelser är den eller de bestämmelser som ger sekretesskydd i det enskilda fallet som ska tilllämpas, oavsett vilka sekretessbestämmelser som konkurrerar. Från huvudregeln finns vissa undantag som inte är relevanta i detta sammanhang.

Ett beslut om nationell säkerhetslagring ska omfattas av sekretess

Utredningens bedömning: Sekretessen ska även omfatta ett beslut om nationell säkerhetslagring.

En fråga som bör uppmärksammas särskilt är om själva beslutet om nationell säkerhetslagring ska omfattas av sekretess. Ett beslut om att tillhandahållarna ska påbörja en generell och odifferentierad lagring av uppgifter är i och för sig ett beslut som innebär en rättighetsinskränkning. Sådana beslut bör som huvudregel vara tillgängliga för allmänhetens insyn. Det finns skäl att överväga möjligheten att föreskriva att ett beslut om lagring delvis ska vara offentligt. Det skulle i sådana fall handla om uppgiften att Sverige står inför ett nationellt säkerhetshot. Övriga delar av beslutet, dvs. vilka uppgifter som ligger till grund för Säkerhetspolisens bedömning, vilka tillhandahållare som ska omfattas, hur lång tid lagringen ska ske m.m. bör kunna hemlighållas.

Vår bedömning är emellertid att offentlighet även för uppgiften att Sverige står inför ett nationellt säkerhetshot kan begränsa handlingsutrymmet för Säkerhetspolisen. Exempelvis skulle det kunna röja Säkerhetspolisens metoder om ett beslut om nationell säkerhetslagring meddelas i anslutning till åtgärder som Säkerhetspolisen har vidtagit. Vår bedömning är att det är lämpligare att beslut om lagring för nationell säkerhet, i likhet med beslut om vissa straffprocessuella tvångsmedel, i sin helhet omfattas av sekretess. Genom att beslutet kan överklagas av ett offentligt ombud till Säkerhets- och integritetsskyddsnämnden, och genom att tillgången till uppgifterna i senare led förutsätter tillstånd till användning av hemliga tvångsmedel, till-

försäkras enskilda enligt vår bedömning tillräckliga rättssäkerhetsgarantier.

Vi påminner i sammanhanget om att sekretessen enligt de av oss redovisade bestämmelserna inte är absolut. Om det efter skadeprövning kan konstateras att ett utlämnande av en uppgift, exempelvis uppgiften om att Sverige står inför ett nationellt säkerhetshot, inte innebär några risker för de allmänna eller enskilda intressen som sekretessregleringen avser att skydda, kan uppgiften lämnas ut. En sådan uppgift avslöjar ensamt inte någonting om lagringsskyldighetens omfattning eller Säkerhetspolisens metoder. Det bör dock ankomma på Säkerhetspolisen att i det enskilda fallet göra en sådan prövning.

Vi bedömer sammanfattningsvis att det inte ska föreskrivas något undantag för sekretessen beträffande beslut om nationell säkerhetslagring. Det innebär att sekretessen även omfattar beslut av SIN i samband med överprövning av Säkerhetspolisens beslut.

Tystnadsplikt för tillhandahållare i ett ärende om nationell säkerhetslagring

Utredningens förslag: Tillhandahållarnas tystnadsplikt ska gälla i angelägenheter om nationell säkerhetslagring. Tillhandahållarnas tystnadsplikt ska även omfatta lokaliseringsuppgifter som inte är trafikuppgifter och som rör användare som är fysiska personer eller abonnenter.

Säkerhetspolisen kan, såväl under handläggning som vid verkställighet av beslut om nationell säkerhetslagring, behöva komma i kontakt med tillhandahållarna. En förutsättning för en sådan kontakt är att skyddet för eventuella uppgifter som lämnas kan bibehållas hos tillhandahållarna. Tillhandahållarna träffas inte av regleringen i offentlighets- och sekretesslagen. Tystnadsplikt för tillhandahållarna regleras i stället i 9 kap. 31 och 32 §§ nya LEK. I 9 kap. 32 § nya LEK finns en straffsanktionerad tystnadsplikt för uppgifter som hänför sig till vissa angelägenheter bl.a. avseende användning av hemliga tvångsmedel.

Vi bedömer att en motsvarande reglering bör införas för handläggning och beslut om nationell säkerhetslagring genom ett tillägg i 9 kap. 32 § nya LEK. Tystnadsplikten ska omfatta ärendet i dess

helhet. Det innefattar exempelvis informationen om att Säkerhetspolisen har varit i kontakt med tjänsteleverantören, vad som har kommunicerats, föreläggande om lagring och att lagring har påbörjats eller avslutats. Vi återkommer i avsnitt 9.6.2 till frågan om tystnadsplikt för tillhandahållare av nummeroberoende interpersonella kommunikationstjänster (Noik).

En bestämmelse om tystnadsplikt innebär en begränsning av yttrandefriheten enligt 2 kap. 1 § RF och artikel 10.1 Europakonventionen. Enligt 2 kap. 20–21 och 23 §§ RF och artikel 10.2 Europakonventionen får begränsningar i yttrandefriheten endast göras i lag under vissa förutsättningar och för vissa särskilt angivna ändamål. En begränsning får bl.a. aldrig gå utöver vad som är nödvändigt med hänsyn till det ändamål som har föranlett den och inte heller sträcka sig så långt att den utgör ett hot mot den fria åsiktsbildningen. Yttrandefriheten får begränsas med bl.a. hänsyn till allmän ordning och säkerhet, förebyggandet och beivrandet av brott eller om särskilt viktiga skäl föranleder det.

Som redan nämnts vid ett flertal tillfällen i föregående avsnitt är det av stor betydelse att uppgifter som rör angelägenheter om nationell säkerhetslagring får ett ändamålsenligt skydd. Att som tjänsteleverantör inte få yttra sig fritt i angelägenheter om nationell säkerhetslagring innebär i realiteten ingen påtaglig inskränkning i yttrandefriheten. Vi bedömer därför att behovet av tystnadsplikt för tillhandahållare i angelägenheter som rör nationell säkerhetslagring väger tyngre än intresset av yttrandefrihet. Vidare anser vi att tystnadsplikt i detta sammanhang är proportionerligt och att en sådan tystnadsplikt även i övrigt uppfyller de krav som gäller för begränsningar i yttrandefriheten enligt regeringsformen och Europakonventionen. Vi återkommer till frågor om meddelarfrihet i kommande avsnitt.

En annan fråga som aktualiseras med anledning av att vi ovan föreslår att lagringsskyldigheten i detta avseende ska kunna omfatta lokaliseringsuppgifter som inte är trafikuppgifter är huruvida dessa uppgifter ska omfattas av tystnadsplikt hos tillhandahållarna.

Det kan konstateras att uppgift om var en elektronisk utrustning finns när det inte sker någon kommunikationen kan vara en för den enskilde användaren lika känslig uppgift som var utrustningen finns under kommunikation. Vi anser därför att lokaliseringsuppgifter som inte är trafikuppgifter bör omfattas av tystnadsplikten. Tystnadsplikten bör gälla endast för sådana lokaliseringsuppgifter som rör

användare som är fysiska personer eller abonnenter, eftersom det är i dessa fall som integritetsskyddsintresset gör sig särskilt gällande (jfr 9 kap. 7 § nya LEK). Vi föreslår att denna tystnadsplikt regleras i en ny fjärde punkt i 9 kap. 31 § första stycket nya LEK. På samma sätt som för uppgift om abonnemang och annan uppgift som angår ett särskilt elektroniskt meddelande (trafikuppgift) bör tystnadsplikten för lokaliseringsuppgifter som inte är trafikuppgifter dock inte gälla i förhållande till innehavaren av abonnemanget. Vi föreslår att ett sådant tillägg görs i 9 kap. 31 § tredje stycket nya LEK. Detta stycke bör också ändras på det sättet att formuleringen som har använts för ett elektroniskt meddelande tas bort. Lokaliseringsuppgifter som inte är trafikuppgifter är nämligen inte kopplande till ett elektroniskt meddelande. Vi bedömer att innebörden av detta stycke i förhållande till abonnemangsuppgifter och trafikuppgifter inte förändras genom den förändring som vi föreslår.

Tystnadsplikt och sekretessbrytande bestämmelse för offentligt

ombud i ett ärende om nationell säkerhetslagring

Utredningens förslag: Den som förordnats som offentligt ombud i ett ärende om nationell säkerhetslagring får inte obehörigen röja vad han eller hon i ärendet fått kännedom om.

I offentlighets- och sekretesslagen (2009:400) införs en bestämmelse som innebär att ett offentligt ombud utan hinder av sekretess får ta del av uppgifter i ärenden om nationell säkerhetslagring hos Säkerhetspolisen och Datalagringsdelegationen.

Det offentliga ombudets uppdrag innebär att han eller hon får del av en mängd uppgifter som omfattas av sekretess. Med hänsyn till graden av känslighet hos de uppgifter som kan förväntas förekomma i ett ärende om nationell säkerhetslagring är det av yttersta vikt att det offentliga ombudet inte lämnar ut uppgifter som han eller hon har fått del av genom sitt uppdrag. Det bör även ligga i det enskilda ombudets intresse att det finns ett förbud att hänvisa till, om han eller hon från utomstående får förfrågningar om uppdraget. Det offentliga ombudet företräder endast enskildas intressen och är inte knuten till det allmännas verksamhet. Han eller hon omfattas därför inte av

offentlighets- och sekretesslagens bestämmelser om tystnadsplikt enligt 2 kap. 1 § OSL.

För att även det offentliga ombudet ska vara skyldigt att inte obehörigen röja vad han eller hon erfar under sitt uppdrag bör det införas en särskild regel om tystnadsplikt i likhet med vad som gäller för offentliga ombud enligt rättegångsbalken. Uttrycket obehörigen röja hindrar inte att ombudet lämnar uppgifter till Datalagringsdelegationen. Vad gäller begränsningar i yttrandefriheten gör vi samma bedömning som i föregående avsnitt om tillhandahållarna.

Enligt 10 kap. 10 § andra stycket OSL hindrar inte sekretess att uppgift i ett ärende hos domstol eller i ett beslut i ett sådant ärende lämnas till ett offentligt ombud enligt rättegångsbalken eller till ett integritetsskyddsombud enligt lagen (2009:966) om Försvarsunderrättelsedomstol. Att denna bestämmelse finns beror på regleringen i 8 kap. 1 § OSL, enligt vilken en sekretessbelagd uppgift inte får röjas för en enskild eller för andra myndigheter i annat fall än när det särskilt anges i offentlighets- och sekretesslagen, eller i en annan lag eller förordning till vilken offentlighets- och sekretesslagen hänvisar.

I likhet med vad som gäller för ett offentligt ombud eller integritetsskyddsombud enligt 10 kap. 10 § andra stycket OSL kommer ett offentligt ombud i ärenden om nationell säkerhetslagring inte anses vara part. Som vi tidigare har konstaterat är det offentliga ombudet inte knuten till det allmännas verksamhet. Utan en sekretessbrytande regel saknas det således lagliga möjligheter att lämna ut uppgifter som omfattas av sekretess till ett offentligt ombud. Vi föreslår därför ett nytt tredje stycke i 10 kap. 10 § OSL av vilket det ska framgå att sekretess inte hindrar att uppgift i ett ärende om nationell säkerhetslagring lämnas till ett offentligt ombud.

Meddelarfrihet

Utredningens förslag: I ett ärende om nationell säkerhetslagring ska tystnadsplikten inskränka rätten att meddela och offentliggöra uppgifter enligt tryckfrihetsförordningen och yttrandefrihetsgrundlagen.

43 Jfr prop 1979/80:2 Del A s. 127. 44 Jfr prop. 2002/03:74 s. 29 och 30. 45 Jfr prop. 2008/09:201 s. 71 och prop. 2002/03:74 s. 29 och 30.

Gällande rätt innebär i huvudsak att den tystnadsplikt som följer av 18 kap. 1–3 §§ OSL inskränker rätten att meddela och offentliggöra uppgifter i viss utsträckning medan så inte är fallet med den tystnadsplikt som följer av 35 kap. 1 § OSL. Frågan är då om rätten att meddela och offentliggöra uppgifter bör inskränkas av den tystnadsplikt som följer av 18 kap. 1–3 §§ OSL, som kommer att vara tilllämplig på angelägenheter om nationell säkerhetslagring, och den tystnadsplikt som följer av den av oss ovan föreslagna nya punkten i 35 kap. 1 § OSL om sekretess för uppgift om en enskilds personliga och ekonomiska förhållanden i angelägenhet om nationell säkerhetslagring.

Med meddelarfrihet avses rätten att meddela och offentliggöra uppgifter i vilket ämne som helst för publicering i de medier som grundlagarna omfattar. Meddelarfriheten har sin grund i att sekretessbestämmelserna ger uttryck för ganska allmänna avvägningar mellan insyns- och sekretessintressena på de berörda områdena. Detta innebär att önskemålet om insyn i ett särskilt fall kan vara starkare än det sekretessintresse som har föranlett den aktuella sekretessregeln. Det kan vidare förhålla sig så att en regel om skydd t.ex. för ett enskilt intresse ibland på ett olämpligt sätt hindrar insyn i en myndighets sätt att fullgöra sina uppgifter. Offentlighetsprincipen skulle inte förverkligas till fullo om de offentliga funktionärerna i sådana situationer skulle vara förhindrade att bidra med uppgifter till den allmänna debatten. Reglerna om meddelarfrihet är avsedda att motverka sådana icke önskade resultat av sekretessregleringen. Meddelarfriheten är emellertid inte oinskränkt. I vissa fall ges tystnadsplikten företräde framför meddelarfriheten. En sådan tystnadsplikt brukar kallas kvalificerad tystnadsplikt.

Nationell säkerhetslagring syftar till att skapa förutsättningar för att Säkerhetspolisen och andra brottsbekämpande myndigheter som ska bekämpa brottslighet som kan utgöra ett hot mot den nationella säkerheten i framtiden ska kunna använda sig av hemliga tvångsmedel. De uppgifter som dessa myndigheter kommer att ha tillgång till kommer ofta att vara av mycket känslig natur. Frågan är alltså hur avvägningen mellan meddelarfrihet och sekretess ska göras i dessa fall.

46

Se 1 kap. 1 och 7 §§ tryckfrihetsförordningen och 1 kap. 1 och 10 §§ yttrandefrihetsgrundlagen. 47

Se prop. 1979/80:2 del A s. 104–105.

Någon helt entydig praxis om när en tystnadsplikt ska inskränka rätten att meddela och offentliggöra uppgifter finns knappast. I förarbetena till sekretesslagen (1980:100) redovisas dock några grundläggande utgångspunkter för när meddelarfriheten bör begränsas. Som exempel nämns att meddelarfrihet bör vara utesluten när det gäller uppgifter som har lämnats av enskilda i en förtroendesituation. Rör det sig däremot om uppgifter som hänför sig till ett ärende om myndighetsutövning bör meddelarfrihet oftast föreligga.

I betänkandet en Ny sekretesslag (2003:99) illustreras omständigheter som talar för respektive mot meddelarfrihet genom följande tabell.

Tabell 7.1 Omständigheter som talar för respektive mot meddelarfrihet

För meddelarfrihet Mot meddelarfrihet

Myndighetsutövning mot enskild Frivillig kontakt Meddelarfrihet har gällt tidigare Inget skaderekvisit Efterforskningsförbudet och Omvänt skaderekvisit (i viss mån) anonymitetsskyddet bör vara så omfattande som möjligt

Förtroendesituation

Spärr för uppgiftslämnande mellan

myndigheter

Rikets säkerhet eller annan allvarlig skada

för landet

Viktiga samhällsfunktioners effektivitet

(t.ex. tvångsåtgärder i brottmål)

Insynen kan tillgodoses på annat sätt

(t.ex. offentlighet i domstol)

Det betonas att tabellen inte ska uppfattas som en checklista utan det avgörande är utfallet av en avvägning mellan behovet av insyn och behovet av skydd för uppgifterna. En uppgift skulle alltså kunna träffas av de flesta omständigheter mot meddelarfrihet men ändå inte vara lämplig att undanta från meddelarfriheten, t.ex. för att insynsintresset är mycket starkt. Om syftet med åtgärden skulle kunna gå förlorat får meddelarfriheten dock ge vika. Det gäller bl.a. när

48 Se a. a. s. 110–112. 49 Se SOU 2003:99 s. 397. 50 Se a.a.s. 397. 51 Se t.ex. prop. 2005/06:178 s. 81.

det är fråga om uppgifter som gäller användning av hemliga tvångsmedel (18 kap. 19 § OSL).

Något meddelarförbud gäller emellertid inte för uppgifter om enskildas personliga och ekonomiska förhållanden enligt 35 kap. 1 § första stycket 2 OSL. För dessa uppgifter har alltså rätten att meddela och offentliggöra uppgifter företräde framför tystnadsplikten trots att det rör sig om användning av hemliga tvångsmedel. Användning av sådana tvångsmedel kan typiskt sett röja förtroliga samtal eller andra känsliga uppgifter om privatlivet. Det kan tyckas oklart varför behovet av skydd för de enskildas integritet i sammanhanget inte skulle väga lika tungt och på samma sätt motivera ett avsteg från huvudregeln om meddelarfrihet. I sammanhanget bör det erinras om att enskilda som är föremål för tvångsmedelsanvändningen endast är misstänkta för brott och att ärendena många gånger innehåller för utredningen ovidkommande information om närstående eller andra personer. Det är med andra ord sådana uppgifter som typiskt sätt motiverar en inskränkning i meddelarfriheten.

I ovan nämnda betänkande förs allmänna resonemang om vikten av insyn i den polisära verksamheten under förundersökningar. Något motsvarande resonemang finns inte beträffande tvångsmedel och underrättelseverksamhet. Frågan berördes heller inte i samband med införandet av lagen (2020:62) om hemlig dataavläsning.

En möjlig förklaring till detta kan vara att det är svårt att i praktiken utnyttja meddelarfrihet för uppgifter som omfattas av sekretess enligt 35 kap. 1 § OSL utan att samtidigt bryta mot meddelarförbudet i 18 kap. 19 § OSL.

Uppgifter som rör Säkerhetspolisens handläggning av ärenden om nationell säkerhet kommer, som har sagts, att vara bland de känsligare delarna av underrättelseverksamheten, bl.a. med hänsyn till att de rör hot mot Sveriges säkerhet. Ett röjande av sådana uppgifter skulle kunna leda till allvarlig skada för Sveriges nationella säkerhet. Vi anser därför att den tystnadsplikt som följer av 18 kap. 1–3 §§ OSL i angelägenheter om nationell säkerhetslagring ska ha företräde framför meddelarfriheten. Enligt vår bedömning får sekretessintresset i dessa fall anses vara starkare än det allmänna intresset av insyn i den verksamhet som bedrivs av de berörda myndigheterna. Vi gör samma bedömning när det gäller insynen i enskildas personliga och ekonomiska förhållanden i angelägenheter om nationell säkerhetslagring.

52

Se SOU 2003:99 s. 404–405.

Vi föreslår därför att den tystnadsplikt som följer av sekretess för nationell säkerhetslagring ska inskränka rätten att meddela och offentliggöra uppgifter enligt tryckfrihetsförordningen och yttrandefrihetsgrundlagen oberoende av vilket intresse sekretessen avser att skydda.

I och för sig finns det argument för inskränkningar i meddelarfriheten för uppgifter som omfattas av sekretess enligt 35 kap. 1 § OSL även beträffande tvångsmedelsanvändning. Lagstiftaren har dock inte inskränkt meddelarfriheten i sådana situationer. Med hänsyn till vårt uppdrag och direktiven för detta avstår vi dock från att föreslå en generell inskränkning i meddelarfriheten för uppgifter som rör användning av tvångsmedel.

Enligt 18 kap. 19 § andra stycket OSL inskränker den tystnadsplikt som följer av 18 kap. 1–3 §§ rätten att meddela och offentliggöra uppgifter hänförliga till hemliga tvångsmedel. Vi föreslår att det i paragrafen ska göras ett tillägg så att meddelarförbudet omfattar även ärenden om nationell säkerhetslagring.

Meddelarförbud för uppgifter i 35 kap. OSL regleras i 35 kap. 24 § OSL. För att införa motsvarande inskränkning avseende ärenden om nationell säkerhetslagring föreslår vi att ett tillägg om detta görs i 35 kap. 24 § OSL.

Våra överväganden hittills har berört inskränkningar i meddelarfriheten för medarbetare i de berörda myndigheterna. Vi övergår nu till behovet av motsvarande inskränkningar vad gäller tillhandahållare och det offentliga ombudet.

I 44 kap. OSL finns bestämmelser som reglerar situationer där tystnadsplikt som följer av andra författningar än offentlighets- och sekretesslagen ska ha företräde framför rätten att meddela och offentliggöra uppgifter. Enligt 44 kap. 4 § 3 OSL inskränks meddelarfriheten för tillhandahållare i fråga om straffprocessuella tvångsmedel. En motsvarande inskränkning bör i samma paragraf finnas även i angelägenheter om nationell säkerhetslagring.

Här bör uppmärksammas att meddelarförbud behöver regleras även för ett offentligt ombud i ett ärende om nationell säkerhetslagring. När det gäller ett offentligt ombud enligt rättegångsbalken finns möjligheten för rätten att förordna att en uppgift som lagts fram inom stängda dörrar inte får uppenbaras enligt 5 kap. 4 § RB. Bestämmelsen ger domstol möjlighet att ålägga de närvarande personerna tystnadsplikt. Den som omfattas av ett sådant förordnande har inte meddelarfrihet i fråga om de uppgifter som förordnandet avser. Det

följer av 44 kap. 2 § OSL. Bryter ett offentligt ombud mot ett sådant förordnande kan han eller hon dömas till ansvar enligt en särskild bestämmelse i 9 kap. 6 § RB.

Eftersom ett offentligt ombud i ärenden om nationell säkerhetslagring inte omfattas av rättegångsbalkens regler behövs en särskild reglering för denna situation. Mot den bakgrunden föreslår vi att meddelarförbud för offentliga ombud i ärenden om nationell säkerhetslagring regleras genom att en ny punkt förs in i 44 kap. 5 § OSL.

53

Se prop. 2002/03:74 s. 30.

8 Särskilt om lagring och tillgång till uppgifter i syfte att bekämpa grov brottslighet

8.1 Inledning

Vi har i avsnitt 6.6.3 konstaterat att det finns skäl för oss att lämna förslag om riktad lagring för att bekämpa grov brottslighet. I detta avsnitt överväger vi hur en sådan lagring av trafik- och lokaliseringsuppgifter skulle kunna utformas.

EU-domstolen har, som redovisats ovan, i flera domar pekat på just möjligheten till riktad lagring. Med begreppet riktad lagring avses normalt lagring av uppgifter som är avgränsad, antingen till ett visst geografiskt område, till en viss personkrets eller med hjälp av något annat särskiljande kriterium, exempelvis tekniska kriterier.

EU-domstolen överlåter åt medlemsländerna att utforma den modell för datalagring som bäst passar landets egna förhållanden, så länge lagringen till sin omfattning inte berör alla, eller nästan alla personer, som ingår i befolkningen. Detta gäller också under förutsättning att lagringen sker för att bekämpa grov brottslighet samt att den är proportionerlig och baserad på objektiva och icke-diskriminerande faktorer.

Vi lämnar därför i fortsättningen förslag på hur riktad lagring skulle kunna se ut. Utgångspunkten för dessa förslag är att de ska främja en effektiv brottsbekämpning samtidigt som de ska vara proportionerliga och rimliga. Ytterligare en utgångspunkt är att lagringen måste vara praktiskt hanterbar. I detta ligger bl.a. att reglerna för lagringen helst inte bör bli föremål för täta ändringar över tid. Lagringen och omfattningen av denna får alltså inte kränka enskildas personliga integritet på ett sätt som inte är acceptabelt i en rättsstat. Detta gäller också tillgången till lagrade uppgifter. Vid den närmare utformningen

av regleringen måste man alltså ha denna helhetssyn för ögonen och i alla enskildheter göra proportionerliga och rimliga avvägningar.

8.2 Vad menas med grova brott och grov brottslighet?

Utredningens bedömning: Brott och brottslighet som i dag ger rätt att använda hemliga tvångsmedel är att betrakta som grova brott och grov brottslighet.

Tillgång till lagrade uppgifter kan enligt EU-domstolen bara beviljas för uppgifter om personer som misstänks planera, begå eller ha begått ett grovt brott, eller som har en annan inblandning i ett sådant brott. I våra överväganden om en lagringsskyldighet och tillgång till uppgifter i syfte att bekämpa grova brott och brottslig verksamhet som innefattar grova brott finns det därför anledning att närmare belysa vad som avses med begreppen. EU-domstolen har inte uttalat sig om vad som avses med begreppet grov eller allvarlig brottslighet när det rör sig om datalagring. Det finns inte heller någon generell definition av grov eller allvarlig brottslighet i EU-rätten eller enligt svensk rätt. Regeringen har i förarbetena till den nu gällande datalagringsregleringen gjort bedömningen att de brott som ger rätt att använda hemliga tvångsmedel enligt rättegångsbalken, inhämtningslagen, preventivlagen och lagen om särskild utlänningskontroll är att betrakta som sådan grov brottslighet som enligt EU-domstolen kan motivera att brottsbekämpande myndigheter ges tillgång till lagrade uppgifter. Vi gör ingen annan bedömning när det gäller begreppets innebörd i detta sammanhang.

Efter regeringens uttalanden har lagen om hemlig dataavläsning tillkommit men den lagen omfattar endast sådan brottslighet som andra hemliga tvångsmedel kan användas för och påverkar inte bedömningen.

Det bör även nämnas att vi inte gör någon skillnad mellan begreppen allvarlig brottslighet, som är ett begrepp som ibland också förekommer i dessa sammanhang, och grov brottslighet i datalagringshänseende.

1 Lagen (1991:572) om särskild utlänningskontroll upphävdes genom lagen (2022:700) om särskild kontroll av vissa utlänningar. 2 Se prop. 2018/19:86 s. 64–65.

8.3 Överväganden och förslag

8.3.1 Geografiskt riktad lagring

Som vi skrivit ovan bör vi lämna ett förslag om hur riktad lagring skulle kunna utformas i Sverige. Riktad lagring på grundval av geografiska kriterier förekommer i Belgien och Danmark. Vi resonerar nedan kring hur riktad lagring skulle kunna genomföras i Sverige.

Vilken inriktning bör en geografiskt riktad lagring ha?

Utredningens bedömning: Geografiskt riktad lagring bör ske i områden där det utifrån objektiva kriterier går att konstatera att det finns en jämförelsevis större sannolikhet för förekomst av grov brottslighet än i andra områden.

Vi har i avsnitt 6.5.1 och 6.5.3 beskrivit hur riktad geografisk lagring är reglerad i Danmark och Belgien. Mot bakgrund av EU-domstolens krav gör vi bedömningen att geografisk riktad lagring är ett alternativ som bör övervägas för att kunna lagra trafik- och lokaliseringsuppgifter för brottsbekämpning. Som vi redogjort för ovan finns det dock principiell kritik mot geografiskt riktad lagring. Ett argument mot sådan lagring är att den inte alltid är effektiv, eftersom det på förhand inte går att avgöra var brott kommer att begås. Ytterligare ett argument mot geografiskt riktad lagring är att en sådan skulle innebära olika möjligheter att bekämpa brottslighet i olika delar av landet. En viss möjlighet till anpassning genom vad vi kallar utökad riktad lagring skulle emellertid delvis kunna läka denna brist. Vi återkommer till frågan om utökad riktad lagring i avsnitt 8.3.2. Vi vill här sammanfattningsvis beskriva hur en reglering med geografiskt riktad lagring som syftar till att bekämpa grov brottslighet kan utformas.

En riktad lagringsåtgärd avseende trafik- och lokaliseringsuppgifter kan med strikt iakttagande av proportionalitetsprincipen grundas på ett geografiskt kriterium. Det får ske när behöriga myndigheter på grundval av objektiva och icke-diskriminerande faktorer bedömer att det i ett eller flera geografiska områden finns en förhöjd risk för förberedelse eller genomförande av grov brottslighet. EU-domstolen

3 Se SpaceNet-domen p. 108.

understryker att behöriga nationella myndigheter kan vidta en riktad lagringsåtgärd som grundar sig på bl.a. den genomsnittliga graden av brottslighet inom ett geografiskt område, utan att de nödvändigtvis har några konkreta indikationer på att allvarliga brott håller på att förberedas eller begås i de berörda områdena. En riktad lagring som grundar sig på ett sådant kriterium, kan avse både platser som kännetecknas av ett stort antal allvarliga brott och platser som är särskilt utsatta från brottssynpunkt, beroende på den grova brottslighet som avses och situationen i respektive medlemsstat. Det innebär, enligt EU-domstolen, att den i princip inte heller är av sådan art att den kan ge upphov till diskriminering, eftersom kriteriet avseende den genomsnittliga graden av allvarlig brottslighet i sig inte har något samband med potentiellt diskriminerande omständigheter. Sammantaget tillåter EU-rätten att geografiskt riktad lagring får ske i områden där det går att konstatera att det finns större sannolikhet för att det begås allvarliga brott.

Hur ska risken för grov brottslighet på en viss geografisk plats bedömas?

Utredningens förslag: Geografiskt riktad lagring ska grunda sig på den officiella statistiken över anmälda brott som redovisas av Brå och med kommunerna som geografiska enheter. Sannolikheten för att en viss kommun är mer brottsutsatt än en annan ska bedömas utifrån ett genomsnitt av anmälda brott delat med befolkningsmängden under en treårsperiod som föregår lagringsskyldigheten.

Enligt EU-domstolens praxis kan, som nämnts, den genomsnittliga graden av brottslighet inom ett geografiskt område utgöra ett kriterium för riktad lagring. EU-domstolen anser under sådana förhållanden att det kriterium lagringen utgår ifrån är objektivt och ickediskriminerande. Vi är medvetna om att det kan anläggas ett annat perspektiv på denna fråga. Som regeringen redogjorde för i förarbetena till den nu gällande datalagringsregleringen finns en tämligen stor risk för diskriminering eller i övrigt stötande effekter när lagringen

4 Se SpaceNet-domen p. 109.

riktas mot bl.a. ett visst utpekat område. Det finns således olika syn på frågan om geografiskt riktad lagring som modell för datalagring. Eftersom våra förslag i denna del utgår från EU-domstolens praxis lägger vi, trots regeringens tidigare uttalanden, fram förslag om geografiskt riktad lagring. Vi strävar dock efter att utforma förslagen på ett sådant sätt att de negativa effekterna av lagringen blir så små som möjligt.

Beslutsunderlaget för den geografiskt riktade lagringen

Vi har i avsnitt 6.5 redogjort för olika modeller för geografiskt riktad lagring i andra länder. Enligt den danska lagstiftningen får riktad geografisk lagring ske baserat på kriminalstatistik avseende anmälda brott som sätts i relation till landet som helhet. Den danska modellen har fördelen att kriterierna för den geografiskt riktade lagringen utgår från sannolikheten att en plats är mer brottsutsatt än en annan plats. Jämfört med den belgiska modellen, där den genomsnittliga brottsligheten inom en region först måste uppgå till i genomsnitt minst tre allvarliga brott per 1 000 invånare, framstår den danska modellen enligt vår mening av flera skäl som mer välgrundad än den belgiska.

Vi ser, när det gäller den belgiska modellen, problem med en reglering som bygger på att man ska utgå från att det förekommer ett visst antal grova brott i ett område innan datalagring får ske. En sådan modell kräver att man tar ställning till antalet grova brott som skulle utlösa en datalagring. Ett sådant ställningstagande riskerar att bli godtyckligt. Vidare är det också problematiskt ur det perspektivet att om den nedre gränsen sätts för lågt blir följden att den geografiskt riktade lagringen kan komma att omfatta hela landet. Om den å andra sidan sätts för högt, går själva syftet med datalagringen att bekämpa grov brottslighet, förlorat.

Den riktade lagringen i Belgien omfattar för närvarande hela landet och det pågår även en rättsprocess om giltigheten av den belgiska datalagringsregleringen vid landets konstitutionsdomstol. En modell av riktad lagring som i praktiken resulterar i generell lagring kan ge upphov till nya tolkningsfrågor som kan komma att prövas av EUdomstolen. Mot den bakgrunden ställer vi oss tveksamma till utformningen av en sådan modell.

5 Se prop. 2018/19:86. s. 34.

Den danska modellen för lagring baserad på kriminalstatistik avseende anmälda brott i relation till landet som helhet är dock inte utan nackdelar. En nackdel med den danska modellen är att den tilllåter lagring även om brottsligheten skulle upphöra i hela eller stora delar av landet. En sådan utveckling verkar dock tyvärr inte särskilt sannolik i dag. Motsatsvis skulle lagringen inte öka om brottsligheten tilltog kraftigt men jämnt fördelat över hela landet. Om den utvecklingen har sin grund i ett akut hot mot den nationella säkerheten, finns i och för sig möjligheten att besluta om nationell säkerhetslagring. I annat fall behöver lagringen kompletteras med ytterligare möjligheter till datalagring.

En variant för geografiskt riktad lagring som vi övervägt är en modell som bygger på att lagringen ska ske med utgångspunkt från ett beräknat nationellt medelvärde av brottsanmälningar för de senaste tio åren. Medelvärdet skulle sedan sättas i relation till förekomsten av brottsanmälningar i geografiskt avgränsade områden. Lagringen ska sedan ske i de områden där antalet brottsanmälningar är högre än medelvärdet. Nackdelen med en sådan modell är dock att det kommer att ta väldigt lång tid för aktuell brottslighet att få genomslag i statistiken. Det finns en alltför stor tröghet inbyggd i modellen. Ett nationellt medelvärde kommer också att leda till att få områden kommer att omfattas av lagring, se mer om beräkning av medelvärdet nedan. Det blir således inte fråga om någon bred lagring. Det är alltså sammantaget ingen riktigt bra modell för brottsbekämpningen.

Vi kan konstatera att de ovan berörda modellerna inte är utan nackdelar. Den danska modellen framstår dock enligt vår bedömning som ett bättre alternativ jämförd med de andra förslagen.

Vi menar att utgångspunkten för riktad geografisk lagring bör vara att sannolikheten för allvarlig brottslighet i ett visst område sätts i relation till sannolikheten för allvarlig brottslighet i andra områden i likhet med vad som gäller i Danmark.

En sådan modell för lagring behöver dock anpassas till svenska förhållanden. Ett sätt att skapa en motsvarande reglering i Sverige är att utgå från den officiella statistiken som regleras i lagen (2001:99) om den officiella statistiken och den kompletterande förordningen (2001:100) om den officiella statistiken. Brå ansvarar enligt bilagan till förordningen för statistik över brott, personer lagförda för brott, kriminalvård och återfall i brott. Myndighetens rapporter som utgör officiell statistik är för närvarande:

• Anmälda brott. • Konstaterade fall av dödligt våld. • Handlagda brott. • Misstänka personer. • Handlagda brottsmisstankar. • Personer lagförda för brott. • Återfall i brott. • Kriminalvård. • Nationella trygghetsundersökningen (NTU). • Skolundersökningen om brott (SUB). • Politikernas trygghetsundersökning (PTU).

De två sistnämnda rapporterna (SUB och PTU) omfattar begränsade delar av brottsligheten. Den tredje sista rapporten i listan (NTU) avser en urvalsbaserad frågeundersökning till befolkningen om deras utsatthet för brott, som dels inte fångar många av de grova brotten i samhället dels normalt sett inte redovisas ned till kommunnivå varje år. Därför bedöms den vara mindre lämplig för den användning det nu handlar om. När det gäller flera av de åtta först listade rapporterna, som alla bygger på registerbaserade uppgifter, knyter de an till senare skeden i rättsprocessen och omfattar därför bara den mindre andel av de registrerade brotten som går igenom hela rättskedjan och utmynnar i lagföringar och domar och så vidare. Den av de registerbaserade rapporterna som så att säga ligger närmast själva brottsligheten och som därför också innehåller högst antal är statistiken över anmälda brott. Den statistiken har också en annan viktig egenskap och det är att den årligen redovisas ned till kommunnivå, vilket inte de övriga av de åtta registerbaserade rapporterna gör.

Brå redovisar de anmälda brotten sammanlagt och indelat efter typ av brott. Uppgifterna ges per kalenderår, kvartal och månad. Statistiken redovisas för hela landet, efter det område där det anmälda brottet har handlagts och efter kommun respektive den stadsdel i storstadskommunerna där brottet har begåtts. Sedan 2015 indelas sta-

tistiken efter Polismyndighetens sju regioner, som har ersatt den tidigare indelningen efter län.

För vissa brott saknas uppgift om kommun eller stadsdel där brottet begåtts och då redovisas brotten endast på regionnivå (efter var brottet har handlagts). Statistiken över anmälda brott omfattar samtliga händelser som har anmälts och registrerats som ett brott i Sverige under ett kalenderår. I statistiken ingår även anmälda händelser som efter utredning inte visar sig vara brott eller där brott inte kan styrkas. Av samtliga anmälda brott i statistiken utgör endast några procent varje år sådana ”icke brottsliga” händelser. För vissa enstaka brottstyper, t.ex. mord och dråp, kan denna andel dock vara betydligt större. Det kan även i viss mån gälla anmälda brott på mer detaljerad geografisk nivå. I statistiken redovisas antalet anmälda brott totalt och per 100 000 invånare. Även antalet anmälda fall av en viss brottstyp redovisas.

Statistiken över anmälda brott grundar sig på de uppgifter som polis och åklagare med flera registrerar i sina ärendehanteringssystem. När ett brott exempelvis kommer till Polismyndighetens kännedom upprättas en brottsanmälan som läggs in i ärendehanteringssystemet DurTvå. Uppgifterna i anmälningarna levereras sedan i förbestämda utbyten digitalt till Brå. Även uppgifter från andra myndigheters ärendesystem levereras på likande sätt digitalt till Brå. Hos Brå granskas och bearbetas uppgifterna innan de sammanställs till statistik.

Brottsredovisningen omfattar brott mot brottsbalken, lagen (1951:649) om straff för vissa trafikbrott, narkotikastrafflagen (1968:64) och brott mot andra specialstraffrättsliga författningar för vilka fängelse ingår i straffskalan. Försök, förberedelse och stämpling till brott redovisas i statistiken som regel tillsammans med fullbordade brott. Försöksbrotten redovisas separat enbart för mord och dråp, våldtäkt, tillgrepp av motorfordon och bostadsinbrott. I samband med att ett brott registreras hos Polismyndigheten klassificeras brottet med hjälp av en brottskod i enlighet med anvisningar som utfärdas av Brå i samråd med Polismyndigheten, Åklagarmyndigheten, Ekobrottsmyndigheten och Tullverket.

Med ledning av den brottsstatistik som förs av Brå finns ett användbart underlag för att bedöma om det finns en förhöjd risk för grov brottslighet i ett avgränsat geografiskt område. En fördel med

6 https://bra.se/statistik/kriminalstatistik/anmalda-brott/om-statistiken.html. Hämtat den 20 april 2023.

att inhämta underlag från Brå:s officiella statistik är att den just är officiell och därmed kvalitetssäkrad på hög nivå. En annan fördel är att myndigheten har en oberoende ställning i förhållande till de brottsbekämpande myndigheterna. Den brottsstatistik som Brå presenterar lever enligt vår bedömning upp till EU-domstolens krav på bedömningsunderlag som är objektivt och icke-diskriminerande. Vi anser därför att den officiella statistiken som redovisas av Brå ska utgöra grunden för den geografiskt riktade lagringen. Frågan blir närmast hur den geografiska avgränsningen ska ske.

Den geografiska avgränsningen vid riktad lagring

Nästa fråga är hur den geografiska avgränsningen bör göras. Det går i och för sig att i likhet med den belgiska lagstiftningen utgå från polisområdesregioner. Nackdelen med det är emellertid, för svenska förhållanden, att det endast finns sju polisregioner varav polisregion Norr täcker en stor del av Sveriges yta. Så få och stora regioner riskerar att leda till att den riktade lagringen i praktiken kan jämställas med en generell lagring, vilket står i strid med EU-rätten enligt den praxis som vi har redogjort för i avsnitt 6.3. Den danska modellen med områden på 3 gånger 3 kilometer stämmer inte med hur brottsstatistiken redovisas i Sverige och bör av det skälet inte heller vara en förebild för våra förslag.

En modell skulle kunna vara att utgå från en administrativ indelning av Sverige som styr annan statlig och regional verksamhet, nämligen länen. En fördel med länen är att de är 21 till antalet, alltså tre gånger fler än polisregionerna, och att Polismyndighetens regioner också är baserad på länsindelning. Sedan den nya regionindelningen inom Polismyndigheten tillkom redovisar Brå emellertid inte statistiken över anmälda brott uppdelat på län, eftersom det saknas data för det. Det finns i och för sig inget som hindrar att uppgifter om anmälda brott skulle kunna hämtas direkt från Polismyndigheten, men vi bedömer att även länen är för få till antalet om områden ska kunna sättas i relation till varandra.

Ytterligare en geografisk avgränsning som bör övervägas är kommunerna. I Sverige finns det i dag 290 kommuner med stor variation i storlek och antalet invånare. Kommunerna är tydligt avgränsade och har som geografisk enhet fördelen att Brå:s statisk redovisas per

kommun, respektive stadsdel i storstadskommunerna Stockholm, Göteborg och Malmö. En annan fördel är att antalet kommuner med varierande storlek och antal invånare skapar en relativ tillförlitlig bild av om det finns större sannolikhet för att en viss kommun utgör en plats för grova brott jämfört med en annan kommun. En möjlig invändning mot kommunerna som geografiska enheter är att även dessa utgör relativt stora områden och att mindre geografiska enheter bör övervägas. Vi gör dock bedömningen att för små geografiska enheter innebär en alltför inskränkt lagring för en effektiv brottsbekämpning. Dessutom innebär normalt den omständigheten att ett visst område är brottsutsatt att även närområdet blir förhållandevis brottsutsatt. Den som begår grova brott eller ägnar sig åt grov brottslig verksamhet stannar sällan kvar på ett och samma ställe. Även av det skälet är den kommunikation som sker i anslutning till ett brottsutsatt område av betydelse för de brottsbekämpande myndigheterna.

Vi anser mot den bakgrunden att kommunerna är den mest lämpliga geografiska avgränsningen. Vi har kommit till denna slutsats trots att brott som saknar uppgift om plats redovisas på regionnivå eller beroende av var brottet har handlagts.

Urval av brott

Nästa fråga är om samtliga brottsanmälningar eller endast ett urval av dessa ska ingå i det statistiska underlaget. Enbart sett till innehållet i statistiken över anmälda brott innehåller den till övervägande del lindriga brott, eftersom det hör till brottslighetens karaktär att den lindriga delen av brottsligheten är mer omfattande än den allvarliga. Om beräkningen ska avgränsas till att enbart utgå från grova brott, behöver det göras bearbetningar av statistiken så att beslut om lagring i större utsträckning bygger på uppgifter om förhållandevis grov brottslighet och i mindre utsträckning på lindriga brott.

Ur tydlighetshänseende finns det fördelar med en avgränsning som knyter an till straffskalorna, exempelvis brott för vilket det inte är föreskrivet lindrigare straff än fängelse exempelvis sex månader. Brottsindelningen i statistiken över anmälda brott följer visserligen kapitelindelningen i brottsbalken och vissa specialstraffrättsligt reglerade brott. Men den tar inte fasta på straffskalornas utformning. I stället rör det sig om uppdelningar genom lista med ett 30-tal övergripande

kategorier (motsvarande 22 kapitel i brottsbalken och ett drygt tiotal specialstraffrättsliga förordningar), samt över 800 rader med olika brottstyper som baseras på brottskoder som registreras hos myndigheterna. Brottskoderna baseras i grunden alltid på enskilda brott eller grupper av brott med egna bestämmelser i lagstiftningen, men de är inte så detaljerade att det går att utläsa de anmälda brottens exakta straffvärde. Som nämndes inledningsvis redovisas till exempel fullbordade brott sammantaget med försöksbrott. Statistikens grundläggande uppbyggnad såsom den ser ut i dag leder således till att det inte kan bli fråga om statistik som endast omfattar grov brottslighet.

Syftet med geografiskt riktad lagring är att identifiera områden där det finns behov av lagring, eftersom det i dessa områden finns en jämförelsevis större sannolikhet att det kommer att begås grova brott. Det är inte självklart hur urvalet bör se ut för att bäst få fram vilka kommuner där lagring bör förekomma. Det kan ligga nära till hands att anta att urvalet bör grunda sig endast på mer allvarlig brottslighet. Men det är svårt att dra några säkra slutsatser om detta.

Vi har övervägt om Brå ska ges i uppdrag att ta fram statistik som tydligare ringar in den grova brottsligheten, men vi bedömer inte att fördelarna med ett sådant underlag är tillräckliga för att väga upp det merarbete som uppdraget skulle innebära. Någon exakthet går det heller aldrig att uppnå med utgångspunkt i ett statistiskt underlag som utgår från anmälningar om brott. Ett högt antal brottsanmälningar över lag torde i sig ofta vara en indikator på även grov brottslighet. Vi bedömer därför att denna uppgift utgör en tillräckligt god indikator på behovet av lagring.

Vår slutsats är att det är tillräckligt att beräkningen sker utifrån samtliga brottsanmälningar.

Beräkning av sannolikheten

Utgångspunkten är att de kommuner som har genomsnittligt högre sannolikhet för grova brott än andra kommuner ska lagra uppgifter. För det krävs en beräkning av sannolikheten.

Vårt förslag är att beräkningarna ska grunda sig på årsvisa statistiska uppgifter. Vidare är det viktigt att inte tillfälliga avvikelser i underlaget får för stor inverkan på utfallet. Därför föreslår vi att genomsnittet beräknas genom att det tas fram aritmetiska medel-

värden av antalet anmälda brott över tre på varandra följande år i kommunerna.

För att undvika en allt för stor eftersläpning mellan anmälningar om brott och beslut om geografiskt riktad lagring, bör beslut fattas så snart som Brå redovisat den officiella statistiken. Med dagens periodisering av statistiken skulle det även behövas ett mellankommande år före det år som beslutet avser, dvs. att 2023 års beslut skulle utgå från 2019–2021 års statistik. Det beror på att statistiken för år 2022 inte är färdigställd vid inledningen av år 2023.

Ett alternativ, som vi bedömer är mer lämpligt, är att använda sig av s.k. brutna år, eftersom föregående års statistik kan användas tidigare. Medelvärdet bör således beräknas genom att summan av de tre årens anmälda brott divideras med tre (jfr den danska modellen i avsnitt 6.5). Brå publicerar i regel sin slutliga statistik under tidig vår. Ett beslut om geografiskt riktad lagring bör därför kunna fattas den 1 juni.

Därutöver råder det mycket stora variationer i kommunernas invånarantal, och därmed hur omfattande den anmälda brottsligheten av den anledningen är. Om inte hänsyn tas till antalet invånare kommer några få kommuner, med högt antal invånare och därmed hög andel brottsanmälningar, att driva upp medelvärdet på totalen. Följden skulle bli att den geografiskt riktade lagringen endast skulle omfatta cirka 20 procent av landets samtliga 290 kommuner.

För att komma fram till jämförbara sannolikheter föreslår vi därför att det framräknade antalet anmälda brott i kommunerna, dvs. medelvärdet över tre år, relateras till befolkningsstorleken, genom en beräkning av antalet anmälda brott per 1 000 invånare.

Någon exakthet är dock svår att uppnå även i det här avseendet. Exempelvis förekommer fler brottsanmälningar i stora städer på grund av att fler människor vistas där än de som är folkbokförda.

Vi har övervägt om det årligen sammantagna geografiska området för riktad lagring som vår föreslagna modell kommer att generera kan anses bli för stort, inte minst med tanke på våra kompletterande förslag om utökad riktad lagring, se avsnitt 8.3.3. Som framgår av ögonblicksbilden i nästa avsnitt omfattar det geografiska området för riktad lagring mindre än halva landets yta. Vi bedömer därför att så inte är fallet.

7 Se Brås Publiceringsplan 2023, https://bra.se/statistik/publiceringsplan.html. Hämtat den 20 april 2023.

Vi är medvetna om att gränsvärdet kan utformas på annat sätt och då få en annan träffyta. Vi gör dock bedömningen att den beskrivna modellen i förening med möjligheten att fatta beslut om utökad riktad lagring, se avsnitt 8.3.2 ger ett proportionerligt och rimligt resultat i avvägningen mellan brottsbekämpningen och skyddet för den personliga integriteten. Den föreslagna modellen kan förstås modifieras, exempelvis genom att bara kommuner med ännu högre eller lägre nivå av brottsanmälningar ska ha riktad lagring, exempelvis bara kommuner vars antal anmälningar ligger inom den översta kvartilen respektive den nedersta kvartilen.

Ögonblicksbild

Enligt våra beräkningar motsvarar gränsvärdet för geografiskt riktad lagring 92,1 anmälda brott per 1 000 invånare, räknat utifrån brottsanmälningar per kommun för åren 2020–2022. Ett sådant resultat motsvarar geografiskt riktad lagring i 132 av landets alla 290 kommuner. Invånarna i de kommuner som omfattas av lagringen enligt våra beräkningar motsvarar cirka 7,3 miljoner av Sveriges 10,4 miljoner invånare. För att tydligt illustrera utfallet av geografiskt riktad lagring redovisar vi i det följande såväl karta som tabeller.

Särskilt om lagring och tillgång till uppgifter i syfte att bekämpa grov brottslighet

Figur 8.1 Kommuner som baserat på statistik för år 2020–2022 skulle omfattats av lagring enligt utredningens beräkningar

Källa för karta: SCB.

De tre kolumnerna med årtal motsvarar antalet brottsanmälningar i respektive kommun vid varje angivet år. Kolumnen med medelvärde motsvarar det genomsnittliga värdet av brottsanmälningar för åren 2020–2022 delat med antalet invånare och multiplicerat med 1 000.

Tabell 8.1 Kommuner vars medelvärden understiger gränsen för geografiskt riktad lagring

Särskilt om lagring och tillgång till uppgifter i syfte att bekämpa grov brottslighet

Särskilt om lagring och tillgång till uppgifter i syfte att bekämpa grov brottslighet

Särskilt om lagring och tillgång till uppgifter i syfte att bekämpa grov brottslighet

Tabell 8.2 Kommuner vars medelvärden överstiger gränsen för geografiskt riktad lagring

Särskilt om lagring och tillgång till uppgifter i syfte att bekämpa grov brottslighet

Särskilt om lagring och tillgång till uppgifter i syfte att bekämpa grov brottslighet

Särskilt om lagring och tillgång till uppgifter i syfte att bekämpa grov brottslighet

Den behöriga myndighetens beslut

Utredningens förslag: PTS ska varje år, senast den 1 juni genom normbeslut föreskriva vilka kommuner som ska omfattas av den geografiskt riktade lagringen. Samtliga tillhandahållare som omfattas av dagens lagringsskyldighet ska vara lagringsskyldiga, om de tillhandahåller sina tjänster i en kommun där lagringsskyldighet föreligger.

I detta avsnitt överväger vi lagringsskyldighet för sådana tillhandahållare som omfattas av dagens lagringsskyldighet. Vi återkommer i avsnitt 9 till frågan om lagringsskyldighet för den som tillhandahåller vissa OTT-tjänster för kommunikation, nämligen tillhandahållare av nummeroberoende interpersonella kommunikationstjänster (Noik).

För att tillhandahållarna ska kunna påbörja lagring av trafik- och lokaliseringsuppgifter i en viss kommun krävs att de får kännedom om att den kommunen är mer brottsutsatt än riksgenomsnittet för kommunerna. De uppgifter som ska ligga till grund för den geografiskt riktade lagringen utgår från den officiella statistiken och är tillgängliga för envar. Det skulle därför vara möjligt att reglera lagringsskyldigheten genom att i författning ålägga tillhandahållarna att direkt utföra beräkningen, med användande av uppgifterna i den officiella statistiken, och därefter genomföra den riktade geografiska lagringen. Vi gör dock bedömningen att en sådan lösning är olämplig, inte minst av det skälet att det vid en beräkning kan uppstå tolkningsfrågor som leder till olika uppfattningar om skyldigheten att lagra uppgifter i en

viss kommun. En bättre lösning är att en behörig myndighet utifrån den officiella statistiken, beräknar och fastställer lagringsskyldigheten som tillhandahållarna sedan ska verkställa.

En behörig myndighet bör således fastställa lagringsskyldigheten vid geografiskt riktad lagring. Ett alternativ vore, eftersom underlaget utgår från den statistik som Brå för, att låta Brå utföra dessa uppgifter. Brå har emellertid till uppgift att bidra till kunskapsutvecklingen inom rättsväsendet och det kriminalpolitiska området samt att främja brottsförebyggande arbete (1 § förordning [2016:1201] med instruktion för Brottsförebyggande rådet). Även om myndighetens uppdrag handlar om att ta fram fakta och sprida kunskap om brottslighet, brottsbekämpning och brottsförebyggande arbete, framstår det som svårt att förena med Brå:s uppdrag att låta Brå fatta beslut om lagring av trafik- och lokaliseringsuppgifter för att bekämpa grov brottslighet. Vi gör bedömningen att en sådan uppgift kan riskera att rubba förtroende för Brå som en kunskapsmyndighet.

Ett annat alternativ vore att låta Polismyndigheten beräkna och fastställa vilka kommuner som ska bli föremål för riktad lagring. Det finns i sak inga starka invändningar mot Polismyndigheten i detta avseende. Vi anser emellertid, främst av följande skäl, att PTS är ett lämpligare alternativ. Dels krävs ingen särskild polisiär kompetens vid beräkningen och fastställandet av vilka kommuner som är mer brottsutsatta än riksgenomsnittet eftersom detta kommer att göras på grundval av den officiella statistiken, dels är det PTS som i huvudsak för dialog om lagring med tillhandahållarna. PTS är också bl.a. tillsynsmyndighet enligt nya LEK.

PTS framstår enligt vår mening som en mer naturlig samtalspart för tillhandahållarna när det gäller regelefterlevnad och kan genom att fastställa var lagringsskyldigheten ska äga rum underlätta för dessa aktörer att göra rätt. Vi anser därför att PTS bör vara den myndighet som beräknar och fastställer var geografiskt riktad lagring ska gälla. Vi föreslår att PTS genom normbeslut ska föreskriva vilka kommuner som omfattas av den geografiskt riktade lagringen.

Vi har i föregående avsnitt föreslagit att geografiskt riktad lagring bör beslutas för det resterande året efter det att Brå har redovisat den slutliga statistiken. PTS bör därför föreskriva vilka kommuner som omfattas av den geografiskt riktade lagringen årligen, senast den 1 juni. Vi ser inga formella hinder mot att föreskrifterna meddelas tidigare om statistiken blivit fastställd. Lämpligen bör föreskrifterna med-

delas i tillräcklig god tid för att tillhandahållarna ska hinna anpassa sina it-stöd. Eftersom Brå i regel publicerar statistiken under tidig vår, bör en publicering senast den 1 juni inte föranleda några praktiska problem.

Vårt förslag innebär sammanfattningsvis att PTS årligen, senast den 1 juni, ska meddela föreskrifter med utgångspunkt från den slutliga statistiken efter att Brå har tillgängliggjort den. I föreskrifterna ska anges vilka kommuner som omfattas av beslutet. Föreskrifterna äger sedan giltighet tills de har ersatts av ett nytt beslut.

Besluten kommer inte att vara överklagbara, se 41 § förvaltningslagen (2017:900) och 30 § myndighetsförordningen (2007:515).

Föreskrifter om vilka kommuner som omfattas av geografiskt riktad lagring ska kungöras i PTS:s författningssamling, PTFS (se bilaga 1 till författningssamlingsförordningen [1976:725]). Med anledning av våra förslag bör också myndighetens uppdrag förtydligas genom en ändring i förordningen (2007:951) med instruktion för Post- och telestyrelsen. I avsnitt 8.3.3 redovisar vi våra överväganden när det gäller omfattningen av lagringen m.m.

Hur ofta ska behov av geografiskt riktad lagring omprövas?

En fråga att överväga i sammanhanget är hur ofta PTS ska fastställa lagringsskyldigheten. Enligt EU-domstolen ska de geografiska områden som berörs av en geografiskt riktad lagring ändras beroende på hur den situation som motiverade att de valdes utvecklas. Det har sin grund i att riktade lagringsåtgärder inte får pågå längre än vad som är strängt nödvändigt med hänsyn till det eftersträvade målet och de omständigheter som motiverar dem. Detta utgör dock inget hinder mot att förnya åtgärderna om lagringen fortsätter att vara strängt nödvändig. Brå redovisar kriminalstatistik med avseende på anmälda brott per kalenderår, kvartal och månad. Den beräkning av sannolikhet för förekomsten av grova brott som ska ligga till grund för geografiskt riktad lagring ställer vissa krav på kvantitet och stabilitet i de uppgifter som utgör underlag. Med hänsyn till detta och även till den administrativa och ekonomiska börda det skulle innebära för tillhandahållarna att anpassa sin lagring framstår det som ändamålsenligt att beräkningar och fastställelse av vilka kommuner

8 Jfr SpaceNet-domen p. 111.

som ska omfattas av den geografiskt riktade lagringen görs en gång per år.

Vilka tillhandahållare ska omfattas av ett beslut om geografiskt riktad lagring?

När lagring av trafik- och lokaliseringsuppgifter ska ske med utgångspunkt från den genomsnittliga graden av brottsanmälningar uppstår frågan om lagringsskyldigheten också ska omfatta samtliga tillhandahållare som omfattas av skyldigheten att anmäla sin verksamhet enligt 2 kap. 1 § nya LEK inom de relevanta områdena. Det avgörande kriteriet för geografiskt riktad lagring är om den genomsnittliga graden av grov brottslighet inom en viss kommun är högre än genomsnittet för kommunerna i hela landet. Det framstår som angeläget för de brottsbekämpande myndigheterna att kunna få tillgång till trafik- och lokaliseringsuppgifter inom ett sådant geografiskt område, oberoende av vilka tjänster som enskilda använder sig av. Det är därför svårt att motivera att en geografiskt riktad lagring också ska avgränsas till vissa särskilt utvalda tillhandahållare. Om det ska göras någon form av urval kring tillhandahållare, behöver den urvalsprocessen också föregås av en kartläggning av vilka som har förmåga att genomföra lagringen. Vi gör bedömningen att det är mer ändamålsenligt att låta samtliga tillhandahållare som omfattas av dagens lagringsskyldighet bli lagringsskyldiga om de är verksamma inom en kommun där geografiskt riktad lagring ska ske. Vi återkommer i avsnitt 9.6.1 till frågan om även tillhandahållare av Noik ska omfattas av lagringsskydigheten.

8.3.2 Utökad riktad lagring

Den geografiskt riktade lagringen ska kunna kompletteras i vissa situationer med utökad riktad lagring

Utredningens förslag: En möjlighet till s.k. utökad riktad lagring ska komplettera den geografiskt riktade lagringen. Utökad riktad lagring ska få användas avseende 1. ett begränsat geografiskt område där grov brottslighet har före-

kommit eller där det är sannolikt att grov brottslighet kommer

att äga rum, 2. en skyddsvärd plats, 3. en person som är eller har varit föremål för hemliga tvångs-

medel, 4. en person som dömts för grova brott, eller 5. utrustnings- eller abonnemangsidentitet som använts vid eller

skäligen kan antas komma till användning vid ett grovt brott

eller vid grov brottslig verksamhet.

Som framgår av vår redovisning ovan är det generellt sett ganska svårt att med hjälp av olika statistiska beräkningar slå fast i vilka områden det finns en jämförelsevis större sannolikhet för grov brottslighet än i andra områden. Särskilt svårt blir detta om man i förväg ska bestämma ett statistiskt underlag som sedan ska vara styrande för lagringen. En stor fördel med den av oss föreslagna modellen är att den är tillförlitlig när det gäller att skapa en förutsebar nivå för lagringen. Lagringen blir vidare förhållandevis bred. Många personer blir föremål för lagring utan att lagringen kan sägas bli för långtgående enligt EU-rätten. Den breda lagringen minskar i vart fall något de olägenheter som brukar förknippas med riktad lagring. Tilläggas kan också att modellen är ganska enkel att tillämpa för berörda aktörer.

Men förslaget bör kompletteras för att säkra en effektiv brottsbekämpning. En brist med geografiskt riktad lagring som vi föreslår är att den kommer att ge de brottsbekämpande myndigheterna sämre möjligheter att bekämpa grov brottslighet i de delar av landet där den brottsligheten inte har fått genomslag i kriminalstatistiken. I prak-

9 Se prop. 2018/19:86 s. 33.

tiken kan det bli svårare att bekämpa grov brottslighet i vissa delar av landet trots att de brottsbekämpande myndigheterna har kunskap om att en viss plats är särskilt utsatt för grov brottslighet. Det kan exempelvis handla om att en viss kriminell gruppering har etablerat sig i ett avgränsat område inom en kommun där antalet brottsanmälningar avseende grov brottslighet historiskt varit låg eller att ett stort antal grova brott har begåtts i ett område där sådana tidigare inte förekommit eller varit ovanliga. Det kan också handla om plötsliga händelser där ett särskilt allvarligt brott motiverar lagring avseende området. Det krävs i sådana fall ett komplement till geografiskt riktad lagring avseende områden där grov brottslighet har förekommit eller där det är sannolikt att grov brottslighet kommer att äga rum.

Ett annat problem är när det finns en specifik plats som är särskilt skyddsvärd. Enligt EU-domstolen kan strategiskt viktiga platser som flygplatser, järnvägsstationer, kusthamnar eller vägtullstationer, motivera ett särskilt behov av lagring av trafik- och lokaliseringsuppgifter.

Enligt EU-domstolen finns också möjligheten för medlemsstaterna att vidta lagringsåtgärder avseende vissa personer, om dessa personer direkt eller indirekt, kan sättas i samband med grova brott eller grov brottslig verksamhet, under förutsättning att bedömningen sker på objektiva och icke-diskriminerande grunder. Det framstår i sådana situationer som en mindre ingripande åtgärd att låta lagringen vara personbestämd än att låta ett helt område bli föremål för datalagring på grund av att vissa personer uppehåller sig i området. För att säkerställa att lagringen sker på objektiva och icke-diskriminerande grunder och med ett så litet integritetsintrång som möjligt bör lagring ske endast i förhållande till personer som är eller har varit föremål för hemliga tvångsmedel eller personer som har dömts för grova brott.

EU-domstolen har avslutningsvis lämnat ett utrymme för medlemsländerna att föreskriva andra särskiljande kriterier för lagring än ett personligt eller geografiskt kriterium. Det får ske under samma förutsättningar som vi beskrivit tidigare, dvs. i situationer när det är absolut nödvändigt och när det finns ett direkt eller indirekt samband mellan lagringskriteriet och grov brottslighet. Så kan vara fallet när de brottsbekämpande myndigheterna kan sätta användningen av viss utrustning eller ett visst abonnemang i direkt eller indirekt för-

10

Se SpaceNet-domen p. 110. 11

Se SpaceNet-domen p. 107.

bindelse med grov brottslighet. Det är här inte fråga om situationer när en innehavare av viss utrustning eller abonnemang misstänks för att ha begått ett grovt brott eller deltar i sådan brottslig verksamhet som omfattar grova brott. Det är i stället fråga om situationer när själva utrustningen eller abonnemanget går att knyta till grova brott eller grov brottslighet. För tydlighetens skull använder vi oss därför framöver av uttrycket utrustnings- eller abonnemangsidentitet.

Sammanfattningsvis menar vi att vårt förslag om riktad lagring bör kompletteras på olika sätt med en reglering som vi kallar för utökad riktad lagring för att främja brottsbekämpningen. Syftet med sådan utökad riktad lagring är att den ska läka brister som kan följa av den geografiskt riktade lagringen. Utökad riktad lagring gör det också möjligt anpassa lagringen till de behov som gäller för stunden. De möjligheter till lagring som EU-domstolen ger för att främja brottsbekämpningen bör också utnyttjas. Vi menar därför att den geografiskt riktade lagringen i vissa fall bör kunna utökas. Vi föreslår att sådan utökad lagring bör kunna avse: 1. ett begränsat geografiskt område där grov brottslighet har före-

kommit eller där det är sannolikt att grov brottslighet kommer

att äga rum, 2. en skyddsvärd plats, 3. en person som är eller har varit föremål för hemliga tvångsmedel, 4. en person som dömts för grova brott, eller 5. utrustnings- eller abonnemangsidentitet som använts vid eller skä-

ligen kan antas komma till användning vid ett grovt brott eller vid

grov brottslig verksamhet.

Våra förslag innebär att lagringsskyldigheten kan bli överlappande i vissa situationer. Det betyder inte att samma uppgifter måste lagras flera gånger. Det väsentliga är i stället att det finns en rättslig grund för datalagringen och att tillhandahållarna uppfyller sin lagringsskyldighet för den tid ett beslut om utökad riktad lagring gäller.

I fråga om begreppet strategiskt viktiga platser kommer vi framöver att använda uttrycket skyddsvärda platser. Vi avser ingen skillnad i fråga om innebörden mellan dessa begrepp.

Vi utvecklar nedan närmare vår syn på den utökade lagring som vi föreslår.

Vilka myndigheter ska besluta om utökad riktad lagring?

Utredningens förslag: Polismyndigheten, Säkerhetspolisen och Tullverket ska besluta om utökad riktad lagring. Ett sådant beslut ska innehålla de skäl som beslutet grundas på. Myndigheterna ska samråda med varandra och vid behov även med andra myndigheter före beslut om utökad riktad lagring. I brådskande fall, eller om samråd är olämpligt av sekretesskäl, får beslut fattas utan samråd. Ett beslut om utökad riktad lagring ska verkställas utan dröjsmål.

Utredningens bedömning: Det saknas skäl att föreskriva närmare om vilka personer inom de behöriga myndigheterna som ska få fatta beslut om utökad riktad lagring.

Den eller de myndigheter som ska besluta om utökad riktad lagring bör ha en bred kompetens vad gäller förmågan att bedöma risk för grov brottslighet avseende områden, platser och personer. En sådan myndighet bör även ha viss teknisk förmåga. Det är angeläget att en sådan myndighet inte bara har en god bild av hur den grova brottsligheten utvecklar sig i samhället utan också har förutsättningar att inhämta nödvändig information för att göra kvalificerade bedömningar. Detta utesluter i princip andra aktörer än de brottsbekämpande myndigheterna.

Av de brottsbekämpande myndigheterna är det Polismyndigheten som har bredast uppdrag vad gäller att bekämpa grova brott och grov brottslighet. Polismyndigheten bör därför få besluta om utökad riktad lagring. Vi har övervägt en modell som innebär att Polismyndigheten skulle vara den enda myndigheten när det gäller beslut om utökad riktad lagring. Det finns dock ett flertal invändningar mot en sådan ordning. En väsentlig sådan invändning är att modellen skulle innebära att sekretessbelagda uppgifter måste cirkulera mellan olika aktörer i en större omfattning än vad som är önskvärt och nödvändigt. Om exempelvis Säkerhetspolisen inom ramen för sin underrättelseverksamhet har behov av att besluta om utökad riktad lagring avseende en viss person, skulle det bli nödvändigt för Säkerhetspolisen att vidarebefordra information, som under normala förhållanden inte hade lämnat Säkerhetspolisens verksamhet, till Polismyndigheten inför ett sådant beslut.

Vi ser samtidigt ett problem med att ge alla brottsbekämpande myndigheter rätt att besluta om utökad riktad lagring. Till de brottsbekämpande myndigheterna hör förutom Polismyndigheten, Säkerhetspolisen, och Tullverket även Ekobrottsmyndigheten, Kustbevakningen, Skatteverket, Försvarsmakten (genom militärpolisen) och Åklagarmyndigheten. Det skulle dels belasta tillhandahållarna i en omfattning som vi inte anser rimlig, dels innebära ett ineffektivt förfarande där myndigheterna ständigt måste samordna sina beslut. Vi ser därför ett behov av att begränsa möjligheten att ansöka om utökad riktad lagring till de myndigheter som oundgängligen har ett sådant behov.

Vi gör bedömningen att det bör vara Polismyndigheten, Säkerhetspolisen och Tullverket som ska ha möjlighet att besluta om utökad riktad lagring eftersom dessa myndigheter också har en väl utvecklad förmåga till att bedriva underrättelseverksamhet. När det gäller de övriga brottsbekämpande myndigheterna får dessa genom etablerade kanaler för samarbete, hos de behöriga myndigheterna, informera om uppkomna behov av utökad riktad lagring. Det bör därefter vara den beslutande myndighetens ansvar att självständigt bedöma behovet av utökad riktad lagring.

För att undvika onödiga parallella beslut om utökad riktad lagring ska de behöriga myndigheterna samråda med varandra inför beslut om utökad riktad lagring. De behöriga myndigheterna bör också vid behov samråda med andra myndigheter som kan antas ha relevant information. Vi avstår från att föreslå formkrav för samrådet, eftersom det bör anpassas från situation till situation. I brådskande fall bör samråd kunna underlåtas med hänsyn till behovet av ett skyndsamt beslut. Någon skyldighet att samråda bör inte heller föreligga när ett sådant bedöms olämpligt av sekretesskäl. Särskilt i Säkerhetspolisens arbete kan det förekomma behov av att minimera kretsen av de som är involverade i angelägenheter om utökad riktad lagring till ett absolut minimum. Det bör förtydligas att vi inte föreslår att de behöriga myndigheterna ska underlåta att samråda med varandra av det skälet att uppgifter som ligger till grund för beslutet omfattas av sekretess. Typiskt sett är sådana uppgifter alltid omgärdade av sekretess. Vårt förslag syftar i stället till att skapa förutsättningar för att underlåta samråd i särskilt känsliga ärenden.

I föregående stycke har vi diskuterat behovet av skyndsam handläggning av ett beslut om utökad riktad lagring. Ett beslut om utökad

riktad lagring måste i sådana situationer också kunna verkställas utan dröjsmål. I annat fall skulle för brottsbekämpningen viktiga uppgifter kunna gå förlorade. Mot den bakgrunden bör det föreskrivas ett skyndsamhetskrav för tillhandahållarna att verkställa lagringen, i likhet med vad som gäller vid utlämnande av uppgifter om elektronisk kommunikation. Vi föreslår därför att det i 9 kap. 19 § nya LEK anges att de lagringsskyldiga ska påbörja lagringen av uppgifter utan dröjsmål. Med uttrycket utan dröjsmål avser vi alltså samma skyndsamhetskrav som föreskrivs i 9 kap. 29 b § nya LEK.

I nästa avsnitt redovisar vi våra överväganden kring hur tillsyn över de behöriga myndigheternas beslut kan utformas. En sådan granskning förutsätter att besluten innehåller specifika beslutsskäl. Skälen ska vara av sådan art och omfattning att den som i efterhand ska granska beslutet kan avgöra om beslutet är fattat i enlighet med de föreskrifter som gäller för lagringen.

Sammanfattningsvis gör vi bedömningen att beslut om utökad riktad lagring ska få fattas av Polismyndigheten, Säkerhetspolisen och Tullverket och att dessa myndigheter, med undantag för vissa situationer, inför beslut ska samråda med varandra och vid behov med andra myndigheter. Ett sådant beslut ska verkställas utan dröjsmål.

Vi har avslutningsvis övervägt om det bör meddelas föreskrifter om vilka befattningshavare inom de behöriga myndigheterna som ska få besluta om utökad riktad lagring. För en sådan ordning talar att beslut om utökad riktad lagring utgör en rättighetsinskränkning som bör föregås av noggranna överväganden. De behöriga myndigheterna har för utredningen föreslagit att en lämpligare lösning vore att låta respektive myndighet få delegera behörigheten genom interna styrdokument, eftersom beslut av motsvarande vikt redan i dag delegeras på detta sätt och är förbehållna medarbetare med högre befattningar. Vi instämmer i det. Det saknas därmed skäl att lämna förslag om föreskrifter om vilka inom respektive myndighet som ska få fatta beslut om utökad riktad lagring.

Beslut om utökad riktad lagring ska vara föremål för Säkerhets- och integritetskyddsnämndens tillsyn

Utredningens förslag: SIN ska utöva tillsyn över tillämpningen av reglerna om utökad riktad lagring. Den beslutande myndigheten ska underrätta SIN om beslutet och skälen för detta senast en vecka efter det att beslutet fattades.

Vi har i föregående avsnitt gjort bedömningen att PTS i föreskrift ska fastställa den geografiskt riktade lagringen på grundval av kriminalstatistiken. När det gäller utökad riktad lagring måste beslutet föregås av en noggrann bedömning av uppställda kriterier. Ett beslut om utökad riktad lagring kommer alltså inte att vara resultatet av en på förhand given beräkning, utan kräva en nyanserad bedömning av om ett visst område eller en viss plats ska omfattas av lagring eller inte. Ett sådant beslut kräver en mängd olika överväganden. Vid sidan av de faktiska omständigheter som utgör kriterierna för lagringsskyldigheten behövs även överväganden kring: • hur stort området för den utökade lagringen ska vara, vilka platser

som är skyddsvärda, vilka personer som ska bli föremål för beslut

om datalagring, och om utrustnings- eller abonnemangsidentitet

direkt eller indirekt har ett samband med grova brott eller grov

brottslig verksamhet, • hur länge beslutet ska gälla, • vilka uppgifter som ska lagras, och • vilka tillhandahållare som ska omfattas av lagringsskyldigheten.

Vi bedömer därför att det inte bara måste vara förutsebart när utökad riktad lagring får äga rum utan också att ett beslut om utökad riktad lagring ska vara föremål för någon form av kontroll. En form av kontroll vore att låta ett oberoende organ kontrollera förutsättningarna för den utökade riktade lagringen innan den får verkställas. En ordning av detta slag innebär i praktiken att en eller flera behöriga myndigheter måste ansöka om utökad riktad lagring hos ett kontrollorgan. Vi anser dock att en sådan kontroll inte är nödvändig, eftersom tillgången till de lagrade uppgifterna kommer att föregås av en förhands-

kontroll. En lämpligare ordning vore att låta de behöriga myndigheternas beslut bli föremål för tillsyn av SIN.

I dag utövar nämnden tillsyn över bl.a. de brottsbekämpande myndigheternas användning av hemliga tvångsmedel. Nämnden utövar också tillsyn över Säkerhetspolisens användning av hemliga tvångsmedel vid särskild kontroll av vissa utlänningar. Vi hänvisar till avsnitt 7.3.5 där vi mer utförligt beskrivit SIN:s verksamhet.

Det finns ett direkt samband mellan datalagring och användning av hemliga tvångsmedel. Enligt våra förslag blir såväl beslut om utökad riktad lagring som beslut om tillgång till trafik- och lokaliseringsuppgifter genom hemliga tvångsmedel föremål för SIN:s granskning och på så sätt får SIN ett bättre granskningsunderlag. Vi gör sammantaget bedömningen att SIN:s tillsyn utgör en tillräcklig rättssäkerhetsgaranti vid Polismyndighetens, Säkerhetspolisens och Tullverkets beslut om utökad riktad lagring.

Vi föreslår därför att SIN:s tillsynsuppdrag utökas så att det även avser de brottsbekämpande myndigheternas tillämpning av bestämmelserna om utökad riktad lagring. För att nämnden ska kunna utöva sin tillsyn på ett effektivt sätt bör den myndighet som beslutar om utökad riktad lagring underrätta SIN om beslutet och skälen för detta senast en vecka efter det att beslutet fattades. Det krävs därför ändringar i lagen (2007:980) om tillsyn över viss brottsbekämpande verksamhet så att nämndens tillsyn även omfattar Polismyndighetens, Säkerhetspolisens och Tullverkets tillämpning av reglerna om utökad riktad lagring. Vi anser dock inte att nämnden bör ha en skyldighet att på begäran av en enskild kontrollera om han eller hon har varit föremål för utökad riktad lagring och om lagringen har varit författningsenlig.

Ett beslut om utökad riktad lagring får inte överklagas

Utredningens förslag: Polismyndighetens, Säkerhetspolisens och Tullverkets beslut om utökad riktad lagring ska inte kunna överklagas.

Datalagring för att bekämpa grov brottslighet syftar till att ge förutsättningar för de brottsbekämpande myndigheterna att inhämta relevanta uppgifter efter beslut om hemliga tvångsmedel. Som vi kon-

staterat i föregående avsnitt är själva datalagringen en mindre ingripande åtgärd än faktisk användning av hemliga tvångsmedel. Reglerna om tillgång till uppgifterna innefattar i sig ett flertal rättssäkerhetsgarantier. Det kan också konstateras att den utökade riktade lagringen, i motsats till nationell säkerhetslagring, inte kommer vara generell och odifferentierad. Mot den bakgrunden gör vi bedömningen att den tillsyn som SIN kommer att utöva när det gäller utökad riktad lagring är tillräcklig och att någon möjlighet till överprövning alltså inte behövs. Härutöver bör påtalas att EU-domstolen inte har ställt några krav på att datalagring i syfte att bekämpa grov brottslighet måste kunna bli föremål för effektiv kontroll i form av en överprövningsmöjlighet. Vi föreslår därför att Polismyndighetens, Säkerhetspolisens och Tullverkets beslut om utökad riktad lagring inte ska kunna överprövas.

Utökad riktad lagring avseende geografiska områden

Utredningens förslag:

• Datalagring får ske inom ett begränsat geografiskt område där grov brottslighet har förekommit eller där det är sannolikt att grov brottslighet kommer att äga rum. • Brott och brottslig verksamhet som innefattar sådana brott som ger rätt att använda HÖK enligt rättegångsbalken får ligga till grund för beslut om utökad riktad lagring. • Ett beslut om lagring ska gälla så länge behovet kan förväntas föreligga och längst under ett års tid. • Lagringsskyldigheten ska därefter kunna förlängas genom ett nytt beslut om behovet kvarstår. • De behöriga myndigheterna ska vid ändrade förhållanden ompröva om grunden för den utökade riktade lagringen består och annars upphäva lagringsbeslutet.

Som vi redan har beskrivit syftar förfarandet med utökad riktad lagring till att motverka de negativa konsekvenserna av att vissa brottsutsatta platser inte täcks av den geografiskt riktade lagringen avse-

ende brottsutsatta kommuner. Här handlar det om att myndigheterna måste vara proaktiva i arbetet med att försöka förutsäga om det finns skäl att utöka den riktade lagringen till områden som inte omfattas av geografiskt riktad lagring. Den geografiskt riktade lagringen bör alltså enligt vår bedömning kompletteras med utökad riktad lagring i syfte att bekämpa grova brott och sådan brottslig verksamhet som innefattar grova brott. En fråga som behöver besvaras är vilka brott och vilken brottslig verksamhet som kan ligga till grund för ett beslut om utökad riktad lagring. Vi har i avsnitt 8.2 beskrivit att tillgången till lagrade uppgifter enligt befintliga bestämmelser om hemliga tvångsmedel är förenlig med EU-rätten. Vi gör bedömningen att motsvarande princip bör gälla vid utökad riktad lagring avseende områden. Enligt 27 kap. 19 § tredje stycket RB får HÖK användas vid en förundersökning om 1. brott för vilket det inte är föreskrivet lindrigare straff än fängelse

i sex månader, 2. dataintrång enligt 4 kap. 9 c § brottsbalken, barnpornografibrott

enligt 16 kap. 10 a § brottsbalken som inte är att anse som ringa,

narkotikabrott enligt 1 § narkotikastrafflagen (1968:64), narkotika-

smuggling enligt 6 § första stycket lagen (2000:1225) om straff

för smuggling, 3. brott som avses i 27 kap. 18 § andra stycket 2–7 RB, eller 4. försök, förberedelse eller stämpling till brott som avses i 1–3, om

en sådan gärning är belagd med straff.

Vi bedömer att utökad riktad lagring avseende områden ska få ske när de brott som anges i bestämmelsen har begåtts, eller det är sannolikt att brott eller brottslig verksamhet som innefattar ovanstående brott, kan komma att förekomma. Det saknas skäl att i författning hänvisa till andra bestämmelser om hemliga tvångsmedel som reglerar tillgång till uppgifter om elektronisk kommunikation, eftersom övriga bestämmelser om hemliga tvångsmedel förutsätter grövre brott än HÖK. Annorlunda uttryckt utgör de s.k. HÖK-brotten den lägsta nivån för brott som anses grova.

Nästa fråga är hur de behöriga myndigheterna ska kunna göra en bedömning av om det är sannolikt att grova brott kan komma att begås. När det gäller planerade händelser som exempelvis ett stats-

besök eller ett värdskap för ett internationellt sammanträde, bör det inte vara några större svårigheter att identifiera områden i vilka det finns skäl för en utökad riktad lagring. Inte heller om det på en viss plats har begåtts ett allvarligt brott. Var grova brott kan komma att begås eller grov brottslighet i övrigt kan förekomma är däremot svårt att förutse och det får accepteras att de brottsbekämpande myndigheterna måste ha en bred ansats så länge bedömningen baseras på objektiva faktorer. Det bör finnas konkreta omständigheter som utgör grunden för bedömningen att det är sannolikt att grova brott kan komma ett begås inom ett område eller att den brottsliga verksamheten planeras och diskuteras i ett visst område.

Informationen som utgör underlag för bedömningen av om ett område är särskilt brottsutsatt bör kunna inhämtas från olika håll. Det bör enligt vår bedömning inte ställas något formkrav på underlaget, så länge det på något sätt kan bidra till upplysning om det föreligger en risk för grov brottslighet i ett visst område. Bedömningen kan således bygga på såväl underrättelseinformation som på offentliga uppgifter, exempelvis en ansökan om tillstånd för en allmän sammankomst enligt ordningslagen (1993:1617). Det bör i det här sammanhanget nämnas att de exempel som vi tidigare har lämnat om exempelvis nyetablering av kriminella gäng eller statsbesök m.m. inte är uttömmande.

Vi ser inga skäl att i författning föreskriva några närmare kriterier för hur de behöriga myndigheterna ska göra sin bedömning. Däremot behöver det, på samma sätt som när det gäller frågor om nationell säkerhetslagring, föreskrivas i vilka situationer de behöriga myndigheterna ska få besluta om utökad riktad lagring avseende ett område. Ett sådant beslut får fattas när det finns ett behov av lagring som bedöms vara strängt nödvändig för att bekämpa grov brottslighet.

I bedömningen av vad som är strängt nödvändigt ligger, förutom de konkreta omständigheter som ger den beslutande myndigheten skäl att tro att risken för grov brottslighet är hög i ett visst område, också hur lång tid ett beslut om riktad lagring ska gälla. Inom ramen för bedömningen av vad som är strängt nödvändigt behöver myndigheten också ta ställning till den närmare omfattningen av lagringsskyldigheten, dvs. hur stort område den riktade lagringen ska gälla, vilka typer av uppgifter som ska lagras och hur länge uppgifter ska lagras, samt vilka tillhandahållare som ska omfattas av ett beslut om utökad lagring. I motsats till vad som föreslås gälla vid geografiskt

riktad lagring bedömer vi att angelägenheter om utökad riktad lagring inte bör vara offentliga. Vi återkommer till frågor om sekretess och tystnadsplikt i avsnitt 8.3.7.

Vad gäller frågan om hur länge ett beslut om utökad riktad lagring avseende områden ska gälla ligger det i sakens natur att det kan vara svårt för myndigheterna att i förväg göra en prognos kring när ett behov av lagring kan tänkas upphöra. Typiskt sett kan förekomsten av grov brottslighet i vissa områden vara av varaktig karaktär. EUrätten kräver dock att beslut om riktad geografisk lagring ska upphöra när skälen för lagringen inte längre finns. En utökad riktad lagring kan, på samma sätt som vid geografiskt riktad lagring, behöva omprövas efter viss tid. Vi föreslår därför att ett beslut om utökad riktad lagring ska tidsbegränsas för att inte riskera att gälla längre än vad som är absolut nödvändigt. Vi föreslår att ett beslut om utökad riktad lagring avseende områden ska få gälla i högst ett år. Om behovet av datalagring i området kvarstår, får de behöriga myndigheterna förlänga sitt beslut i högst ett år åt gången.

De behöriga myndigheterna måste löpande bevaka brottslighetens utveckling i områden som är föremål för utökad riktad lagring och ska vid ändrade förhållanden ompröva om grunden för den utökade riktade lagringen består och annars upphäva lagringsbeslutet. Så kan exempelvis vara fallet om ett område som är föremål för utökad riktad lagring vid ett senare tillfälle omfattas av geografiskt riktad lagring.

Det bör avslutningsvis sägas någonting om avgränsningen mellan ett begränsat geografiskt område och en viss plats, som vi återkommer till i nästa avsnitt. Med det förstnämnda menar vi ett geografiskt område som inte behöver vara knutet till någon särskild byggnad, anläggning eller infrastruktur. Det kan således röra sig om stadsdelar, postområden eller ett område som innefattar flera av varandra oberoende byggnader. Vi bedömer att det inte är lämpligt att i författning ange hur ett stort ett område får vara. Ytterst är det de behöriga myndigheterna som, med exempelvis beaktande av basstationer för telefoni eller knytpunkter för markbunden internettrafik, får avgöra hur avgränsningen ska ske. Vi erinrar här dock om att lagringen inte får omfatta så stora områden som hela kommuner, regioner eller landsdelar, eftersom det annars kan uppstå en situation där hela eller nästan hela Sveriges yta blir föremål för riktad lagring. Om det föreligger en sådan allvarlig situation att hela landet bör bli före-

mål för datalagring, är det snarare fråga om behov av nationell säkerhetslagring som vi beskrivit i avsnitt 7.

Utökad riktad lagring avseende skyddsvärda platser

Utredningens förslag:

• Datalagring får avse en skyddsvärd plats. Vid bedömningen av vad som avses med en skyddsvärd plats ska särskilt beaktas om platsen är ett skyddsobjekt, det vid platsen bedrivs säkerhetskänslig verksamhet, eller platsen bedöms vara av särskild betydelse från brottsbekämpningssynpunkt. • Ett beslut om lagring ska gälla så länge behovet kan förväntas föreligga och längst under tre års tid. • Lagringsskyldigheten ska därefter kunna förlängas genom ett nytt beslut om behovet kvarstår. • De behöriga myndigheterna ska vid ändrade förhållanden ompröva om grunden för den utökade lagringen består och annars upphäva lagringsbeslutet.

En riktad lagringsåtgärd som avser skyddsvärda platser, såsom flygplatser, tågstationer, kusthamnar eller vägtullstationer, gör det möjligt för de brottsbekämpande myndigheterna att inhämta trafikuppgifter och särskilt lokaliseringsuppgifter för alla personer som vid en viss tidpunkt använder elektroniska kommunikationstjänster på en sådan plats. En riktad lagringsåtgärd av denna typ kan således göra det möjligt för de brottsbekämpande myndigheterna att, genom att få tillgång till de lagrade uppgifterna, få information om personers närvaro på de platser eller inom de geografiska områden som omfattas av åtgärden, och om deras förflyttningar mellan eller inom dessa områden. I syfte att bekämpa grov brottslighet kan myndigheterna dra slutsatser om personers närvaro och förehavanden på dessa platser vid en viss tidpunkt under lagringsperioden. Frågan är hur sådana platser ska väljas ut.

Ett sätt att avgränsa vilka platser som bör omfattas av riktad lagring avseende skyddsvärda platser kan vara att utgå från bestämmel-

12 SpaceNet-domen p. 110.

ser om skyddsobjekt enligt skyddslagen (2010:305). Skyddslagen ger rättsliga förutsättningar för ett kvalificerat skydd för vissa byggnader och anläggningar m.m. Enligt 1 § skyddslagen ska för samhället viktiga byggnader, andra anläggningar, områden och objekt kunna ges ett förstärkt skydd mot sabotage, terroristbrott, spioneri m.m. och grovt rån. Lagen innehåller också bestämmelser om skydd för allmänheten mot skada som kan uppkomma till följd av militär verksamhet, se 2 §. I 3 § skyddslagen anges att det kan beslutas att något ska vara ett skyddsobjekt för att tillgodose behovet av skydd enligt 1 eller 2 §§ skyddslagen. Enligt 7 § skyddslagen innebär ett beslut om skyddsobjekt att obehöriga inte har tillträde till skyddsobjektet. Tillträdesförbudet omfattar även tillträde med hjälp av en obemannad farkost. Genom ett särskilt beslut får tillträdesförbudet förenas med ett förbud mot att göra avbildningar, beskrivningar eller mätningar av eller inom skyddsobjektet. Enligt 20 § skyddslagen kan ett beslut om skyddsobjekt gälla tills vidare eller under viss tid.

Klart är att bedömningen att något är ett skyddsobjekt i sig skulle kunna utgöra tillräcklig grund också för behovet av utökad riktad lagring, eftersom skyddslagens syfte är att ge viss typ av kritisk infrastruktur ett kvalificerat skydd. Som framgår av 1 och 2 §§ skyddslagen har dock reglerna för skyddsobjekt inte utformats med hänsyn till förekomsten av grov brottslighet rent generellt. Vi ser därför framför oss fler platser som motiverar riktad lagring men som inte är eller skulle kunna vara skyddsobjekt. Även om syftet med skyddslagen delvis sammanfaller med syftet för den riktade lagringen gör vi alltså bedömningen att urvalet för riktad lagring skulle bli för snävt om enbart skyddsobjekt skulle omfattas av riktad geografisk lagring med avseende på skyddsvärda platser. Vi förordar i stället ett bredare anslag där fler platser ska kunna omfattas av utökad riktad lagring.

Ett annat sätt att avgränsa vilka platser som bör omfattas av riktad lagring avseende skyddsvärda platser är att utgå från bestämmelserna i säkerhetsskyddslagen (2018:585). I likhet med skyddslagen kan säkerhetsskyddslagen också tjäna som vägledning för att kunna identifiera behov av lagring avseende skyddsvärda platser. Enligt 1 § första stycket säkerhetsskyddslagen tillämpas lagen bl.a. för den som till någon del bedriver verksamhet som är av betydelse för Sveriges säkerhet. Med säkerhetskänslig verksamhet avses antingen en verksamhet som är av betydelse för Sveriges säkerhet eller en verksamhet som

13

Se prop. 2009/10:87 s. 1.

omfattas av ett för Sverige förpliktigande internationellt åtagande om säkerhetsskydd. Begreppet säkerhetskänslig verksamhet omfattar såväl militär som civil verksamhet och är oberoende av om verksamheten bedrivs av det offentliga eller av enskilda aktörer.

Vi anser att det inte vore ändamålsenligt och alltför resurskrävande att låta Polismyndigheten, Säkerhetspolisen eller Tullverket ta kontakt med alla som bedriver säkerhetskänslig verksamhet för att närmare utröna behovet av utökad riktad lagring på den plats där den säkerhetskänsliga verksamheten bedrivs. En bättre lösning vore att låta de behöriga myndigheterna vid behov samråda med den som bedriver tillsyn över säkerhetskänslig verksamhet. Alla som på något sätt bedriver säkerhetskänslig verksamhet står under tillsyn av den myndighet som regeringen bestämt enligt 6 kap. 1 § säkerhetsskyddslagen. Tillsynsansvaret är fördelat mellan Försvarsmakten, Försvarets materielverk, Säkerhetspolisen, Affärsverket svenska kraftnät, Transportsstyrelsen, PTS, Finansinspektionen, Statens energimyndighet, Strålsäkerhetsmyndigheten och länsstyrelserna enligt 8 kap. 1 § säkerhetsskyddsförordningen.

Säkerhetspolisen och Försvarsmakten är samordningsmyndigheter enligt 8 kap. 2 § säkerhetsskyddsförordningen (2021:955).

I sammanhanget bör nämnas att det finns ett nära samband mellan säkerhetsskyddslagen och bestämmelserna i skyddslagen vad gäller frågor om fysisk säkerhet. Om den behöriga myndigheten redan konstaterat att det finns behov av riktad lagring avseende visst skyddsobjekt, behöver den inte utreda om det bedrivs säkerhetskänslig verksamhet där. Polismyndigheten, Säkerhetspolisen och Tullverket kan således med ledning av skyddslagen och säkerhetsskyddslagens bestämmelser bedöma vad som avses med en skyddsvärd plats inför ett beslut om utökad riktad lagring.

Vi kan dock inte utesluta att det kan finnas platser som bedöms vara särskilt utsatta från brottsbekämpningssynpunkt och som varken är skyddsobjekt eller en sådan plats som omfattas av säkerhetsskyddslagens bestämmelser. Det kan röra sig om gränsövergångar, trafikleder, knutpunkter för trafik eller annan plats som är av särskild betydelse från brottssynpunkt. Mot denna bakgrund bör det vid utökad riktad lagring avseende skyddsvärd plats också finnas möjlighet att beakta om en plats är särskilt utsatt för grov brottslighet. Som redan nämnts i föregående avsnitt ska bedömningen ske med iakttagande av proportionalitetsprincipen och på grundval av objektiva och icke-

diskriminerande faktorer, exempelvis genomströmning av ett stort antal människor på en viss plats eller att platsen som sådan möjliggör viss brottslighet, exempelvis smuggling.

Sammanfattningsvis bör utökad riktad lagring avseende skyddsvärd plats kunna avse en plats för ett skyddsobjekt, en plats där det bedrivs säkerhetskänslig verksamhet enligt säkerhetsskyddslagen eller en annan plats som bedöms vara av särskild betydelse från brottsbekämpningssynpunkt. I den danska lagstiftningen ges vissa exempel som kan vara vägledande, bl.a. • statschefens och statsministerns bostäder, • ambassader, • polishus, • kriminalvårdsanstalter, • bro-, tunnel- och färjeförbindelser, • knutpunkter för trafik och större tillfartsvägar, • gränsövergångar, • bussterminaler, • stationer för stads- och fjärrtrafik, • verksamhet som bl.a. hanterar farliga kemikalier och andra hälso-

vådliga ämnen, • flygplatser, och • militäranläggningar.

Vi har i föregående avsnitt gjort bedömningen att tiden ska begränsas avseende ett beslut om utökad riktad lagring avseende geografiska områden. Samma huvudprincip bör även gälla för utökad riktad lagring avseende skyddsvärda platser. Det ligger i sakens natur att viss infrastruktur som exempelvis en hamn eller flygplats är av mer beständig natur och typiskt sett sker inga stora förändringar över tid i fråga om skyddsvärdet vid sådana platser. Att ständigt förnya dessa beslut framstår därför inte som ändamålsenligt. Mot den bakgrunden

14

Lovforslag nr. L 93, § 786 c, Stk. 2. https://www.ft.dk/ripdf/samling/20211/lovforslag/l93/20211_l93_som_fremsat.pdf. Hämtat den 20 april 2023.

föreslår vi att ett beslut om utökad riktad lagring avseende skyddsvärda platser ska kunna gälla i tre år. Om behovet av datalagring på den skyddsvärda platsen kvarstår, bör beslutet kunna förlängas med högst tre år åt gången.

Det bör också sägas något om hur lagring avseende platser ska avgränsas i storlek. Med plats avses som huvudregel en yta som jämfört med ett geografiskt område är mindre till sin storlek, även om det kan hända att stora skyddsvärda anläggningar i vissa situationer leder till viss överlappning mellan dessa begrepp. I praktiken bör det inte föranleda några tillämpningssvårigheter, eftersom grunden för lagring skiljer sig åt beroende på om det är fråga om utökad riktad lagring avseende ett begränsat geografiskt område eller en plats.

När det gäller tillhandahållarna bör något sägas om hur lagringen ska verkställas. Det kommer i verkligheten sällan förhålla sig så att upptagningsområdet för en mobilmast, eller internetknutpunkt för fast bredband, kommer att vara avgränsad så att endast en viss angiven plats omfattas av lagringen. Det får accepteras att lagringen i vissa fall kommer att avse ett område som är större än själva platsen. Det är inte lämpligt att heller här ange hur stort ett sådant område får vara med angivelser av exakta mått. I likhet med vad vi har skrivit om utökad riktad lagring avseende områden måste bedömningen göras från fall till fall. Ytterst får lagringen utformas med beaktande av platsens belägenhet och karaktär samt tillhandahållarens infrastruktur. Beslutet bör dock vara tillräckligt preciserat för att tillhandahållarna ska kunna verkställa beslutet.

Som nämnts återkommer vi i avsnitt 9 om lagringsskyldighet för tillhandahållare av Noik.

Det torde höra till ovanligheterna, men vid förändrade förhållanden, såsom nedläggning av flygplatser eller omläggning av hamnar m.m., bör den beslutande myndigheten ha en skyldighet att ompröva behovet av lagring och upphäva lagringsbeslutet om lagringen inte längre bedöms strängt nödvändig.

I avsnitt 8.3.3 redovisar vi våra överväganden när det gäller omfattningen av lagringen.

Utökad riktad lagring avseende personer

Utredningens bedömning: Utökad riktad lagring avseende en viss person bör införas när det finns ett samband mellan personen och grova brott eller grov brottslig verksamhet under förutsättning att integritetsintrånget är proportionerligt och rimligt begränsat.

Enligt EU-domstolen har medlemsstaterna bl.a. möjlighet att vidta lagringsåtgärder avseende personer som är föremål för utredning, andra aktuella övervakningsåtgärder eller som förekommer i det nationella kriminalregistret på grund av en tidigare fällande dom för allvarliga brott som kan vara en indikation på att det föreligger en hög återfallsrisk.

En riktad lagring avseende en person kan riktas mot personer som förekommer i utredningar om grova brott och i underrättelseverksamhet avseende grov brottslighet, personer som är eller tidigare varit föremål för hemliga tvångsmedel, personer som förekommer i belastningsregistret och misstankeregistret samt personer som står under övervakning eller är villkorligt frigivna. Även personer som indirekt främjar brottslighet, såsom s.k. målvakter, kan bli föremål för riktad lagring. Det väsentliga är möjligheten att på objektiva och icke-diskriminerande grunder kunna sätta ett direkt eller indirekt samband mellan personen och grova brott eller grov brottslig verksamhet.

En reglering med personbestämd riktad lagring förutsätter att uppgifter om personen lämnas till den eller de tillhandahållare som därefter ska verkställa lagringen. Att till tillhandahållarna överlämna sådana uppgifter innebär risker för stort intrång i enskildas personliga integritet. Integritetsintrånget framstår som särskilt allvarligt om lagring kan ske beträffande personer utan att det föreligger någon konkret brottsmisstanke mot personen. Det finns en risk att uppgifter sprids om vilka personer som är föremål för riktad lagring. En sådan risk föreligger även om tillhandahållarnas tystnadsplikt skulle utvidgas till att avse uppgifter om vilka personer lagringen riktas mot. De enskilda personerna riskerar därmed att bli utpekade såsom misstänkta för brott.

Visserligen lämnar de brottsbekämpande myndigheterna redan i dag personuppgifter till tillhandahållarna i samband med verkställighet av vissa hemliga tvångsmedel. Det handlar dock om ett mycket begränsat antal uppgifter, som dessutom normalt lämnas till utvalda tillhandahållare efter noggranna överväganden av de brottsbekämpande

myndigheterna. Överföringen av uppgifter kräver också beslut av domstol eller åklagare.

Ett sätt att utforma utökad riktad lagring avseende person vore att överlåta till de behöriga myndigheterna att på eget ansvar fatta beslut om vilka personer som ska kunna bli föremål för lagring, exempelvis personer som förekommer i utredningar om grova brott eller i underrättelseverksamhet avseende grov brottslighet. För att lagringen inte ska bli godtycklig krävs att det ställs någon form av beviskrav i fråga om den enskildes anknytning till grova brott eller grov brottslig verksamhet. Det är emellertid svårt att föreskriva ett sådant beviskrav. Om det sätts lågt, finns det en risk att ett mycket stort antal personer blir föremål för riktad lagring. Sätts höga beviskrav, kan i stället ändamålet med lagringsåtgärden i stor utsträckning gå förlorat. Om beviskraven är lika höga som vid användning av hemliga tvångsmedel, skulle det i princip inte finnas anledning att först begära uppgifter lagrade när man på samma underlag skulle kunna begära uppgifterna utlämnade. I sådana situationer uppfyller användning av HÖK i realtid i princip samma funktion.

Vi gör bedömningen att det i praktiken är svårt att tillämpa ett beviskrav som inte medför att lagringen kan omfatta ett mycket stort antal personer. Förutom detta menar vi att det inte är lämpligt att låta de behöriga myndigheterna ensidigt och på eget ansvar fatta beslut om vilka personer som ska kunna bli föremål för lagring. Det har sin grund i, som vi beskrivit ovan, att det kan innebära ett stort integritetsintrång att bli föremål för tvångsåtgärder från de brottsbekämpande myndigheternas sida. Ett beslut om lagring av uppgifter knutna till en person utgör en rättighetsinskränkning, även om det är fråga om en mindre ingripande åtgärd jämfört med användning av hemliga tvångsmedel. Sådana beslut bör typiskt sett föregås av någon form av kontroll.

Vår utgångspunkt är därför att utökad riktad lagring avseende personer bör utformas på ett sådant sätt att risken för integritetsintrång är så liten som möjligt. Mot denna bakgrund föreslår vi två modeller för personbaserad lagring där integritetsintrånget, enligt vår mening, är proportionerligt och rimligt begränsat. En modell tar sikte på personer som är eller har varit föremål för hemliga tvångsmedel. Den andra modellen avser personer som genom lagakraftvunnen dom eller godkänt strafföreläggande ålagts påföljd för viss allvarlig brottslighet.

Utökad riktad lagring avseende personer som är eller har varit föremål för hemliga tvångsmedel

Utredningens förslag:

• Datalagring får avse en person som är eller har varit föremål för hemliga tvångsmedel som avses i rättegångsbalken, lagen om hemlig dataavläsning eller inhämtningslagen. • Ett beslut om lagring får inte grunda sig på ett tvångsmedelsbeslut som är äldre än tre år. • Ett beslut om lagring ska gälla så länge behovet kan förväntas föreligga och längst under ett års tid. • Ett beslut om lagring får förlängas genom ett nytt beslut. Ett beslut om förlängning får dock inte beslutas senare än tre år efter det att tvångsmedelsbeslutet meddelats. • De behöriga myndigheterna ska vid ändrade förhållanden ompröva om grunden för den utökade lagringen består och annars upphäva lagringsbeslutet.

Denna modell avser alltså personer som är eller har varit föremål för hemliga tvångsmedel. Sådana åtgärder föregås alltid av ett domstolseller åklagarbeslut. Det finns därigenom tillräckliga rättssäkerhetsgarantier för de enskilda.

Med hemliga tvångsmedel avses i detta sammanhang de åtgärder som regleras i 27 kap. rättegångsbalken, lagen om hemlig dataavläsning och inhämtningslagen. Det omfattar även hemliga tvångsmedel enligt 27 kap. rättegångsbalken eller lagen om hemlig dataavläsning genom tillämpningen av preventivlagen, LIRB, EIO, och LSU.

En person som är eller har varit föremål för hemliga tvångsmedel kan sättas i direkt eller indirekt samband med grova brott eller grov brottslig verksamhet. Det bör dock nämnas att användning av hemliga tvångsmedel även kan omfatta andra personer än de som misstänks för grova brott eller deltagande i grov brottslig verksamhet, exempelvis en målsägande. I anslutning till detta bör nämnas att tilllämpningsområdet för vissa av de hemliga tvångsmedel vi nämnt är bredare än att åtgärden riktas mot bara en person. Exempelvis kan inhämtning enligt inhämtningslagen ge tillgång till uppgifter om vilka

mobiltelefoner som haft kontakt med en viss basstation vid en viss tidpunkt, dvs. en s.k. basstationstömning. I en sådan situation riktar sig åtgärden snarare mot utrustningen. På motsvarande sätt kan en HÖK i vissa situationer användas för att ta reda på vem som innehar ett abonnemang. I dessa exempel avser åtgärderna alltså i första hand utrustning och abonnemang. Vi återkommer till dessa fall i avsnittet nedan om utökad riktad lagring avseende teknik.

Vi föreslår sammanfattningsvis en möjlighet till utökad riktad lagring avseende personer som är eller har varit föremål för hemliga tvångsmedel. De behöriga myndigheterna kan således fatta beslut om utökad riktad lagring avseende en sådan person när domstol eller åklagare har meddelat tillstånd till ett hemligt tvångsmedel. Inget hindrar att ett sådant beslut fattas vid en senare tidpunkt än då tillståndet meddelades. Det krävs dock att de behöriga myndigheterna gör bedömningen att det är strängt nödvändigt i det enskilda fallet. Vårt förslag utgår således inte från att alla som är, eller vid något tillfälle har varit, föremål för hemliga tvångsmedel per automatik också ska bli föremål för utökad riktad lagring. Även om det i många fall kan vara så att ett tvångsmedelsbeslut i sig kan utgöra skäl för ett beslut om utökad riktad lagring finns situationer när så inte är fallet. Det kan exempelvis vara så att det visar sig att en person, som varit föremål för hemliga tvångsmedel, saknar koppling till den aktuella brottsmisstanken.

För att inte riskera att ett beslut om utökad riktad lagring avseende en person i aktuella situationer går utöver vad som är absolut nödvändigt, bör det finnas tidsmässiga begränsningar. Det bör inledningsvis finnas en bortre gräns för hur gammalt ett beslut om hemliga tvångsmedel ska få vara när det läggs till grund för ett lagringsbeslut. Enligt vår bedömning framstår det inte som proportionerligt att låta äldre tvångsmedelsbeslut ligga till grund för lagring. Vi föreslår därför att de behöriga myndigheterna ska kunna fatta beslut om utökad riktad lagring i upp till tre år efter det att ett tvångsmedelsbeslut har fattats, förutsatt att det fortfarande finns ett behov i det enskilda fallet.

Utöver detta bör även giltighetstiden för beslut om utökad riktad lagring begränsas. Ett sådant beslut bör få gälla så länge det finns ett behov men längst under ett års tid. Om det finns ett fortsatt behov av lagring, får beslutet förlängas, men inte bortom tidsgränsen om tre år.

Ett beslut om lagring avseende en person som varit föremål för ett hemligt tvångsmedel måste innehålla uppgifter som gör det möjligt för tillhandahållaren att verkställa lagringen. Om det är ett namn, nummer, kontouppgift, abonnemangsuppgift eller uppgift om utrustning har inte någon betydelse. Det väsentliga är att det går att knyta personen till uppgiften och att tillhandahållarna de facto har möjlighet att verkställa lagringen. Vi ser fördelar med att beslut om utökad riktad lagring kan avse en person och inte begränsas till visst nummer, adress eller utrustning. Många gånger har den myndighet som beslutar om lagring av trafik- och lokaliseringsuppgifter även tillgång till uppgifter som behövs för att verkställa beslutet. Med vårt förslag får tillhandahållaren, för det fall sådana uppgifter saknas, bistå den beslutande myndigheten. Exempelvis kan tillhandahållarna genom uppgifter som de behandlar för egna ändamål, exempelvis för fakturering, knyta en viss person till ett visst konto, abonnemang eller enhet.

Utökad riktad lagring avseende personer som dömts för grova brott

Utredningens förslag:

• Datalagring får avse en person som genom lagakraftvunnen dom eller godkänt strafföreläggande ålagts påföljd för brott som ger rätt att använda HÖK enligt rättegångsbalken. • Ett beslut om lagring avseende person får inte grundas på en dom eller ett godkänt strafföreläggande senare än tre år efter det att den ålagda påföljden till fullo har verkställts. • Ett beslut om lagring ska gälla så länge behovet kan förväntas föreligga och längst under ett års tid. • Ett beslut om lagring får förlängas genom ett nytt beslut. Förlängning får dock inte beslutas senare än tre år efter det att den ålagda påföljden till fullo har verkställts. • De behöriga myndigheterna ska vid ändrade förhållanden ompröva om grunden för den utökade lagringen består och annars upphäva lagringsbeslutet.

Lagringen enligt denna modell tar i första hand sikte på personer som är dömda för grova brott.

Uppgifter om den som har dömts för brott eller har godkänt ett strafföreläggande finns i belastningsregistret, som förs av Polismyndigheten. Bestämmelser om belastningsregistret finns i lagen (1998:620) om belastningsregister med tillhörande förordning (1999:1134). Sekretess gäller i verksamhet som avser förande av eller uttag ur registret. Det finns dock särskilda föreskrifter om utlämnande av uppgifter ur registret, se 35 kap. 3 § OSL.

Den omständigheten att någon har blivit dömd för grovt brott kan vara en indikation på att det föreligger en återfallsrisk. Med grova brott avser vi även här brott för vilka det finns möjligheter att tillämpa reglerna om hemliga tvångsmedel, i praktiken s.k. HÖKbrott som vi beskrivit tidigare beträffande utökad riktad lagring avseende områden. Det skulle därför kunna vara motiverat med en möjlighet till lagring gentemot personer som blivit dömda för grova brott.

Vi menar dock att inte alla som förekommer i belastningsregistret som dömts för grova brott bör kunna bli föremål för utökad riktad lagring. En sådan ordning skulle i praktiken kräva att uppgifter kontinuerligt behöver överföras till tillhandahållarna på grund av de ständiga förändringar som sker i registret, eftersom tillhandahållaren behöver underrättas om nya eller gallrade avsnitt i belastningsregistret. I praktiken skulle i så fall krävas någon form av systemintegration mellan Polismyndighetens och tillhandahållarens uppgiftssamlingar, om innehållet i belastningsregistret ska styra den utökade riktade lagringen avseende personer. Att överföra stora delar av belastningsregistret eller att låta privaträttsliga subjekt ha någon form av direktåtkomst till dessa starkt integritetskänsliga samlingar av personuppgifter vore dock en främmande ordning. Skyddet för enskildas integritet skulle på detta sätt urholkas.

En lämpligare ordning är att låta de behöriga myndigheterna göra ett urval efter bedömning i det enskilda fallet. En sådan ordning bär större likhet med vad vi har beskrivit ovan vid utökad riktad lagring avseende personer som är eller har varit föremål för hemliga tvångsmedel. I sådana fall föregås bedömningen av överväganden i det enskilda fallet och är begränsade till antalet. Mot denna bakgrund gör vi bedömningen att det bör finnas en möjlighet för de behöriga myndigheterna att besluta om utökad riktad lagring avseende en person

som genom en lagakraftvunnen dom eller godkänt strafföreläggande ålagts påföljd för ett sådant brott som ger rätt att använda HÖK.

En sådan lagring skulle kunna utformas på ett sådant sätt att den har ett samband med den rättsverkan som den ålagda påföljden har. Med det menar vi att ett beslut om utökad riktad lagring inte ska få fattas när påföljden till fullo har verkställts, vilket som huvudregel betyder vid prövotidens utgång. En sådan modell har nackdelen att räckvidden av åtgärden begränsas. Typiskt sett kvarstår risken för återfall i brottslighet även efter en verkställd påföljd.

Å andra sidan kan det anföras principiella invändningar mot att grunda ett beslut om utökad riktad lagring på en dom eller godkänt strafföreläggande när påföljden till fullo har verkställts. Datalagringen skulle då kunna uppfattas som ytterligare en påföljd eller annan rättsverkan av brott. Vi ser dock inte saken på det sättet. Ett beslut om utökad riktad lagring avseende en person bör ses som en brottsbekämpande åtgärd som har sin grund i att den som blivit lagförd för ett grovt brott ofta har en förhöjd risk för att återfalla i ny brottslighet. EU-domstolens resonemang om sådan riktad lagring måste också förstås på detta sätt.

Vi gör sammantaget bedömningen att övervägande skäl talar för att det bör finnas en möjlighet att besluta om datalagring även en viss tid efter det att den ålagda påföljden till fullo har verkställts.

Frågan om hur lång tid det ska vara bör bedömas utifrån behovet av lagring. En längre tid än tre år torde generellt sett inte behövas. Vi föreslår därför att lagringen ska kunna ske upp till tre år efter det att påföljden till fullo har verkställts. Det betyder dock att den som döms till ett längre fängelsestraff kan komma att bli föremål för ett beslut om utökad riktad lagring under en relativ lång tid, eftersom ett beslut om lagring vid behov kan fattas under verkställigheten av fängelsestraffet och sedan komma att förlängas. Enligt vår bedömning är det inte oproportionerligt. Den omständigheten att myndigheterna har möjlighet att besluta om utökad riktad lagring betyder inte per automatik att så sker. Behovet ska alltid prövas genom en bedömning i det enskilda fallet. Det är de behöriga myndigheterna som i första hand ska avgöra om det finns ett sådant behov. Så kan exempelvis vara fallet när en person som är dömd för grova brott återkommer i underrättelseuppslag. Genom den tidigare domen föreligger en viss presumtion för risk för återfall i grov brottslighet. Den

risken bör vara tillräcklig om det i övrigt finns ett behov hos de behöriga myndigheterna att besluta om utökad riktad lagring.

När det sedan gäller frågan om hur lång tid ett beslut om lagring ska få gälla är vår utgångspunkt att en tidsbegränsning på ett år bör gälla. Vid behov får ett beslut förlängas. Ett beslut om lagring eller förlängning av ett sådant beslut bör dock, som vi utvecklat ovan, inte kunna fattas senare än tre år efter det att den ålagda påföljden till fullo har verkställts.

Som vi har beskrivit ovan ska tillhandahållarna vid behov bistå den beslutande myndigheten i fråga om verkställighet av beslutet. Tillhandahållarna förväntas dock inte ta ansvar för eller överpröva de behöriga myndigheternas beslut. Det är den myndighet som beslutar om utökad riktad lagring avseende person som bär ansvaret för att beslutet är korrekt. Bedömningen får ske med utgångspunkt från dels uppgifter som myndigheten själv förfogar över, dels uppgifter som myndigheten får av tillhandahållarna. Som huvudregel bör de behöriga myndigheterna kunna utgå från att den som tecknat ett visst abonnemang också är den som genererar trafik- och lokaliseringsuppgifterna som ska lagras. Om myndigheterna däremot får ett tvetydigt underlag från tillhandahållarna, exempelvis förekomsten av ett familjeabonnemang med flera användare eller motsvarande, bör det i normalfallet krävas ytterligare åtgärder för att säkerställa att beslutet inte avser fel person. Att en enhet tycks användas sporadiskt av någon annan än innehavaren bör dock inte utgöra hinder mot lagring.

I vissa situationer kan det förhålla sig så att utrustning och abonnemang byter ägare så att lagringen inte längre omfattar den person som ursprungligen avsågs. Om den myndighet som fattat beslutet får kännedom om sådana förhållanden, ska beslutet upphävas. Det bör förtydligas att beslutet om utökad riktad lagring avseende person inte i efterhand får kompletteras med nya uppgifter. Exempelvis kan inte ett beslut om utökad riktad lagring avseende person i efterhand kompletteras med nya abonnemangsuppgifter. Bortsett från uppenbara skrivfel eller motsvarande felaktigheter bör ett fattat beslut inte ändras. Vid ändrade förhållanden ska i stället ett nytt beslut fattas.

Som nämnts återkommer vi i avsnitt 9 om lagringsskyldighet för tillhandahållare av Noik.

Utökad riktad lagring avseende teknik

Utredningens förslag:

• Datalagring får ske avseende sådan utrustnings- eller abonnemangsidentitet som använts vid eller skäligen kan antas komma till användning vid ett grovt brott eller vid grov brottslig verksamhet. • Brott och brottslig verksamhet som innefattar sådana brott som ger rätt att använda HÖK enligt rättegångsbalken får ligga till grund för beslut om utökad riktad lagring avseende utrustnings- eller abonnemangsidentitet. • Ett beslut om lagring ska gälla så länge som behovet kan förväntas föreligga och längst under ett års tid. • Lagringsskyldigheten ska därefter kunna förlängas genom ett nytt beslut om behovet kvarstår. • De behöriga myndigheterna ska vid ändrade förhållanden ompröva om grunden för den utökade riktade lagringen består och annars upphäva lagringsbeslutet.

Förutom de modeller av lagring som vi föreslagit ovan tillåter EUrätten att lagring grundas på andra objektiva och icke-diskriminerande kriterier, om dessa begränsas till vad som är strängt nödvändigt och det, åtminstone indirekt, finns ett samband mellan allvarlig brottslighet och de personer vilkas uppgifter lagras. Ett sådant kriterium skulle kunna vara att använda riktad lagring beträffande viss utrustning, teknisk infrastruktur eller tjänst. Härefter använder vi oss av uttrycket utökad riktad lagring avseende teknik när vi beskriver sådan lagring.

En utmaning med utökad riktad lagring avseende teknik är att det krävs ett underlag som visar ett direkt eller indirekt samband mellan användningen av viss utrustning eller tjänst och grov brottslighet. I regel sker elektronisk kommunikation med hjälp av produkter och tjänster på den öppna marknaden och dessa har som huvudregel helt legitima användningsområden. Exempelvis kan krypterade kommunikationslösningar användas såväl för att skapa förutsättningar för

15

SpaceNet-domen p. 112.

arbete på distans som för att dölja brottslig verksamhet. Det krävs därför ett särskiljande kriterium som lagringen kan utgå ifrån.

En annan utmaning är att en modell med utökad riktad lagring avseende teknik måste utformas på ett sådant sätt att det som särskiljer tekniken ska gå att identifiera av den som tillhandahåller tjänsten. Om trafiken är krypterad för tillhandahållaren, eller om utrustningen inte går att identifiera, finns ingen reell möjlighet att kunna rikta lagringen till tjänster och utrustning som identifierats av de brottsbekämpande myndigheterna. I vissa situationer behandlar tillhandahållarna exempelvis inte uppgifter om utrustningsidentitet.

Det finns även utmaningar med utökad riktad lagring avseende teknik på grund av den snabba teknikutvecklingen och den ständiga förändringen i konsumtions- och kommunikationsvanor. Det medför praktiska svårigheter att på förhand föreskriva närmare kriterier för en sådan lagring när användarna ofta byter utrustning eller kommunikationssätt.

Vi har mot bakgrund av ovan beskrivna utmaningar ändå övervägt olika lösningar för utökad lagring avseende teknik. En teoretisk lösning skulle kunna vara att i lag slå fast de grundläggande principerna för hur utökad riktad lagring avseende teknik får ske och därefter överlåta till de brottsbekämpande myndigheterna, en domstol eller ett annat oberoende organ att i särskilda situationer uppdra åt tillhandahållarna att påbörja en viss typ av riktad lagring. Vi ställer oss emellertid klart tveksamma till en sådan lösning. En sådan oprecis reglering torde knappast vara förenlig med EU-rätten. Sett ur tillhandahållarnas perspektiv framstår det vidare som betungande och kostsamt att bli ålagda en lagringsskyldighet som inte präglas av tillräcklig grad av förutsebarhet. Det kan som vi gett exempel på ovan också uppstå situationer där det beslutas om en lagringsskyldighet som inte går att verkställa på grund av tekniska hinder. Sammantaget finns sådana utmaningar med utökad riktad lagring avseende teknik att de inger betänkligheter med att alls föreslå en sådan modell.

De brottsbekämpande myndigheterna har emellertid för oss påtalat att det finns ett angeläget behov i det brottsbekämpande arbetet att kunna fatta beslut om utökad riktad lagring som tar sikte på användning av viss utrustning, infrastruktur och tjänst. Som exempel har bl.a. nämnts hur myndigheterna har kunnat sätta krypterade kom-

16 Exempelvis kan en Mac-adress (Media Access Control) identifiera enhetens nätverksanslutning men den uppgiften har tillhandahållare många gånger inte tillgång till.

munikationsenheter och tjänster som Encrochat, Sky ECC och Anom i förbindelse med grov brottslig verksamhet. Som ytterligare exempel har nämnts hur s.k. målvakter kan försöka dölja förekomsten av grova brott eller grov brottslig verksamhet genom att registrera sig som innehavare av vissa sim-kort för mobiltelefoner.

För att uppfylla EU-rättens krav på proportionalitet måste det i nationell lagstiftning föreskrivas klara och precisa bestämmelser som reglerar räckvidden och tillämpningen av lagringen samt anges minimikrav, så att de personer vars personuppgifter berörs har tillräckliga garantier för att uppgifterna på ett effektivt sätt är skyddade mot riskerna för missbruk. Vi anser mot bakgrund av vad vi beskrivit att det inte är förenligt med EU-rätten att rent generellt överlåta till de brottsbekämpande myndigheterna att fatta beslut om utökad riktad lagring avseende teknik. Proportionalitetskravet torde i regel hindra exempelvis beslut om utökad riktad lagring av en hel kommunikationsplattform eller tjänst.

Vi har däremot, med utgångspunkt från de konkreta behov som de brottsbekämpande myndigheterna har beskrivit, gjort bedömningen att utökad riktad lagring bör kunna föreskrivas i vissa konkreta situationer när det avser användning av viss utrustning eller ett specifikt abonnemang. Det är då till en början fråga om avgränsade och precisa fall. Det handlar om situationer när de brottsbekämpande myndigheterna kan konstatera att en viss utrustning eller ett visst abonnemang används för att begå grovt brott eller skäligen kan antas komma till användning vid ett grovt brott eller vid grov brottslig verksamhet. Lagringen tar sikte på själva utrustningsidentiteten eller abonnemangsidentiteten.

En viktig förutsättning är naturligtvis att de brottsbekämpande myndigheterna har tillgång till uppgifter som tillhandahållarna kan använda för att identifiera viss utrustning eller visst abonnemang. Exempel på uppgifter som den utökade riktade lagringen kan avse kan vara IMEI-nummer för mobiltelefoner, ICCID-nummer för simkort eller IMSI-nummer för mobiltelefonabonnemang, fasta eller dynamiska ip-adress eller ett konto hos en tillhandahållare av tjänster

17

Dessa kommunikationstjänster ställdes avsiktligt till kriminella organisationers förfogande, se exempelvis Riksåklagarens yttrande den 29 april 2021 i Högsta domstolens mål B 2222-21 avseende Encrochat, AMR-3420-21. 18

SpaceNet-domen p. 69. 19

ICCID-nummer kan även avse s.k. eSim som då är en integrerad del av enheten och bör bedömas som utrustningsidentitet.

för kommunikation (se avsnitt 9.3). Det finns inget som hindrar att även nummerserier används för att identifiera viss utrustning, exempelvis en viss serie av IMEI-nummer eller motsvarande.

Det bör i sammanhanget förtydligas att ett beslut om utökad riktad lagring avseende en ip-adress inte är samma sak som att lagring ska ske av den trafik som sker till och från en viss enhet. Som vi har redogjort för i avsnitt 6.6.1 måste innehavaren av en ip-adress hållas isär från ip-adress som trafikuppgift. Vad vi nu talar om är användningen av ip-adress som utgångspunkt för att tillhandahållarna ska verkställa ett beslut om utökad riktad lagring avseende ett visst abonnemang. Det är inte samma sak som att internettrafik till och från abonnemanget ska lagras. Sådan aktivitet kan indirekt avslöja innehållet i aktiviteten, exempelvis då en viss webbsida har besökts. Vi har, som framgår av avsnitt 7.3.6, gjort bedömningen att det av integritetsskyddskäl inte ska förekomma någon lagring av internettrafik. Vi gör ingen annan bedömning i fråga om utökad riktad lagring.

Sammanfattningsvis kan ip-adress vara ett bland många sätt för de behöriga myndigheterna att identifiera och begära lagring av ett abonnemang som direkt eller indirekt har koppling till grova brott och grov brottslighet. Vi övergår nu till frågan om hur en sådan koppling ska se ut.

Att konstatera om en enhet eller ett abonnemang används eller har använts vid ett grovt brott bör i regel vara oproblematisk. Så kan exempelvis vara fallet när de brottsbekämpande myndigheterna kan konstatera att en mobiltelefon eller en dator har använts eller alltjämt används för dataintrång, barnpornografibrott eller grova bedrägerier och de behöriga myndigheterna behöver datalagring under utredningstiden för att kunna klarlägga vem som är innehavare av enheten eller abonnemanget.

När det gäller kopplingen till grov brottslighet i övrigt krävs i regel underrättelseuppgifter som påvisar ett direkt eller indirekt samband mellan en viss enhet eller abonnemang och grov brottslig verksamhet. Bedömningen får inte bygga på spekulationer eller antaganden utan ska vara grundad i faktiska omständigheter inom ramen för ett enskilt fall eller händelseförlopp. I 27 kap. 1 § rättegångsbalken finns bestämmelser om att ett föremål får tas i beslag om det skäligen kan antas att det har betydelse för bl.a. utredning om brott. Vi anser att motsvarande beviskrav bör gälla för utökad riktad lagring avseende teknik. I fråga om bevisningens styrka kan vägledning hämtas från

begreppet skälig misstanke. Det är svårt att i generella termer ange när en skälig misstanke mot någon kan föreligga. Rent allmänt tar dock skälig misstanke sikte på situationer där konkreta omständigheter av en viss styrka pekar på att just den misstänkte har begått brottet.

Det finns vissa svårigheter med att ställa samma beviskrav för underrättelseverksamheten, där det många gånger kan vara svårt att precisera vilka brott det är fråga om. I vissa fall kan misstankar riktas mot en större krets personer, utan att det går att avgöra vem eller vilka som kan misstänkas. Det finns dock inget som hindrar att det ställs motsvarande krav på att det ska finnas konkreta omständigheter som talar för att utrustningen eller abonnemanget kan antas komma till brottslig användning.

Som vi har redovisat tidigare får riktad lagring användas för att bekämpa grov brottslighet. Det innebär att brott och brottslig verksamhet som innefattar sådana brott som ger rätt att använda HÖK enligt rättegångsbalken får ligga till grund för beslut om utökad riktad lagring avseende utrustnings- och abonnemangsidentitet.

Ett beslut om utökad riktad lagring avseende teknik bör på samma sätt som övriga former av utökad riktad lagring begränsas i tid för att lagringen inte ska pågå längre än vad som är absolut nödvändigt. Vi har för merparten av övriga former av riktad lagring gjort bedömningen att ett år är lämpligt. Vi gör ingen annan bedömning för utökad riktad lagring avseende teknik och föreslår att ett beslut om utökad riktad lagring ska få gälla i högst ett år. Om behovet av datalagring avseende viss utrustnings- eller abonnemangsidentitet kvarstår, får de behöriga myndigheterna förlänga sitt beslut i högst ett år åt gången.

Som för alla former av utökad riktad lagring ska beslutet upphöra vid ändrade förhållanden. Vi har i ovanstående avsnitt om utökad riktad lagring avseende person beskrivit att överlåtelser av utrustning och abonnemang kan ge upphov till att lagringen behöver upphöra. På samma sätt som ovan ska alltså den myndighet som fattat ett beslut om utökad riktad lagring upphäva sitt beslut om det kommer till myndighetens kännedom att kopplingen mellan utrustnings- eller abonnemangsidentitet och grova brott eller grov brottslig verksamhet har upphört.

20

Jfr Lindberg, Gunnel, Straffprocessuella tvångsmedel – när och hur får de användas, Juno version 5, publicerat digitalt 2022, s. 80–90.

8.3.3 Lagringsskyldighetens omfattning vid geografiskt riktad lagring och utökad riktad lagring

Utredningens förslag: Geografiskt riktad lagring ska omfatta fler uppgiftstyper än den lagringsskyldighet som gäller i dag och lagringsskyldighetens omfattning ska framgå av lag med närmare föreskrifter i förordning.

Ett beslut om utökad riktad lagring kan omfatta samma uppgiftstyper som geografiskt riktad lagring. Ramarna för lagringsskyldighetens omfattning ska framgå av lag och närmare föreskrifter anges i förordning.

Lagringstiden för såväl geografiskt riktad lagring som utökad riktad lagring ska vara ett år från den dag kommunikationen avslutades.

Om tillhandahållarna saknar uppgift om när kommunikationen avslutades, ska lagringstiden räknas från den dag då uppgiften genererades. Geografiskt riktad lagring ska även omfatta lagring av uppgifter som genereras eller behandlas vid misslyckad uppringning. Sådana uppgifter får även lagras vid utökad riktad lagring.

Vi har föreslagit två former av riktad lagring, geografiskt riktad lagring och utökad riktad lagring. Dessa kan i vissa situationer överlappa varandra.

Geografiskt riktad lagring ålägger tillhandahållare att lagra trafikoch lokaliseringsuppgifter inom vissa kommuner. För geografiskt riktad lagring bör lagringsskyldighetens omfattning framgå direkt av lag och närmare föreskrifter anges i förordning.

Utökad riktad lagring förutsätter ett beslut från Polismyndigheten, Säkerhetspolisen eller Tullverket. Vid utökad riktad lagring bör ramarna för lagringsskyldighetens omfattning, i likhet med vad vi har föreslagit för nationell säkerhetslagring, framgå av lag och närmare föreskrifter i förordning.

I syfte att bekämpa grov brottslighet behövs en mer omfattande

lagringsskyldighet än i dag

Som vi redovisat i avsnitt 7.3.6 reglerar EU-rätten lagring av trafikoch lokaliseringsuppgifter på övergripande nivå och det ankommer på medlemsstaterna att reglera lagringens omfattning till vad som är strängt nödvändigt. Även om våra överväganden nu handlar om riktad lagring gör vi i huvudsak samma bedömningar som beträffande lagring i syfte att skydda den nationella säkerheten. Eftersom de författningsändringar som gjordes i Sverige år 2019, om en begränsning i lagringsskyldigheten för teleoperatörer, syftade till att tillgodose det EU-rättsliga kravet på att lagringsskyldigheten inte får vara generell och odifferentierad finns det nu anledning att överväga vilka uppgifter som bör kunna lagras vid riktad lagring.

I våra överväganden beaktar vi i denna del följande uttalanden som regeringen gjort i fråga om vikten av tillgång till information för att bekämpa grov brottslighet i Sverige. Våldsbrott i form av skjutningar och sprängningar har ökat markant i Sverige de senaste åren. Antalet skjutningar med dödlig utgång har också ökat. Men den grova brottsligheten är inte begränsad till skjutvapenvåld. Narkotikabrott, rån och utpressning är exempel på andra brott som är vanligt förekommande i sådana sammanhang. Denna brottslighet har ofta stark koppling till kriminella nätverk. Brott som begås inom ramen för kriminella nätverk kan av olika skäl vara särskilt svåra att utreda. För att öka tryggheten i landet och stärka skyddet mot sådan brottslighet, som utgör ett hot mot såväl enskilda människors liv och hälsa som det svenska samhället i stort, måste insatserna mot de kriminella nätverken ytterligare intensifieras. Ett viktigt led i detta är att säkerställa att de brottsbekämpande myndigheterna har tillgång till ändamålsenliga och verkningsfulla verktyg för att effektivt kunna förhindra och bekämpa allvarlig brottslighet. En avgörande faktor för att kunna förhindra skjutningar och sprängningar och annan grov brottslighet är att myndigheterna får tillgång till relevant information i ett tidigt skede.

En modell med riktad lagring, dvs. både geografiskt riktad lagring och utökad riktad lagring, innebär att de brottsbekämpande myndigheterna kommer få en sämre förmåga att förhindra och bekämpa grov brottslighet än med nuvarande ordning. För att tillgodose myndig-

21

Jfr kommittédirektiven 2020:66, 2020:104, 2021:102.

heternas behov av uppgifter för att bekämpa den grova brottsligheten behöver därför de uppgiftskategorier som togs bort genom 2019 års lagstiftning kunna omfattas av riktad lagring. Härutöver behöver viss anpassning ske i anledning av teknikutvecklingen, såsom utifrån hur användningen av permanenta och tillfälliga identifierare sker i 5G (se avsnitt 10.4.2). Vi hänvisar till avsnitt 7.3.6 för en beskrivning av uppgifter som lagrades före 2019 års reform. Se även jämförelsetabell i bilaga 3.

Vårt ställningstagande innebär att skyldigheten att lagra trafikoch lokaliseringsuppgifter i syfte att bekämpa grov brottslighet ska omfatta fler uppgiftskategorier än i dag. I nästa avsnitt redovisar vi samtliga uppgiftskategorier som antingen ska lagras vid geografiskt riktad lagring eller som kan omfattas av lagringsskyldigheten vid utökad riktad lagring. Den utökade riktade lagringen kan alltså, beroende på beslutet i det enskilda fallet, omfatta samma typer av uppgifter som den geografiskt riktade lagringen.

Lagringen kommer, i förhållande till nu gällande regelverk, omfatta färre abonnenter och registrerade användare av elektroniska kommunikationstjänster. Även den tekniska utvecklingen och nya kommunikationsmönster har gjort att mycket av den information som tidigare varit tillgänglig för brottsbekämpande myndigheter inte längre går att komma åt. Det motiverar en mer omfattande lagring. Vi bedömer därför att en lagringsskyldighet i enlighet med våra förslag är proportionerlig sett till syftet att bekämpa grov brottslighet.

Vi påminner avslutningsvis även här, se avsnitt 7.3.6, att regleringen i EU:s dataskyddsförordning inte fråntar leverantörerna ansvar enligt nya LEK. Trafik- och lokaliseringsuppgifter som vid något tillfälle har behandlats för att förmedla en viss tjänst kan således omfattas av lagringsskyldighet enligt nya LEK. Sådana uppgifter får således inte raderas, inte ens om det sker i omedelbar anslutning till att trafiken förmedlas. Vi återkommer i avsnitt 9 till frågan om tillhandahållare av Noik ska kunna omfattas av lagringsskyldigheten.

Principer för lagringsskyldighetens omfattning och uppgifter som omfattas av lagringsskyldigheten

Vi hänvisar till avsnitt 7.3.6 vad gäller principerna för lagringsskyldighetens omfattning och uppgifter som omfattas av lagringsskyldigheten. Samma principer ska alltså gälla vid lagring av uppgifter som sker i

syfte att bekämpa grova brott. Det innebär bl.a. lagringsskyldigheten endast ska gälla för uppgifter som genereras eller behandlas i leverantörens verksamhet och att fler uppgifter ska lagras. Se närmare om detta under rubrikerna Principer för lagringsskyldighetens omfattning och Uppgifter som omfattas av lagringsskyldigheten i avsnitt 7.3.6.

En fråga som uppkommer i anledning av våra förslag är om det vid lagring som sker för att bekämpa grov brottslighet ska lagras färre uppgifter än vid nationell säkerhetslagring. Det går att motivera en sådan åtskillnad, eftersom frågor om nationell säkerhet motiverar mer ingripande åtgärder. De brottsbekämpande myndigheterna har emellertid samma behov av uppgifter och använder i allt väsentligt samma metoder i det brottsbekämpande arbetet. Det talar emot en differentierad lagring när det gäller att bekämpa grov brottslighet. Var någon befunnit sig inför planeringen av ett brott, eller efter ett fullbordat brott, är lika betydelsefullt för brottsutredningen, oavsett om den avser bekämpning av grov brottslighet eller brottslighet som hotar den nationella säkerheten. Det är exempelvis svårt att motivera att färre uppgifter ska lagras när lagringen syftar till att förhindra eller lagföra ett mordförsök, föranlett av uppgörelser mellan kriminella grupperingar, än när mordförsöket har föregåtts av politiska motiv. Vi kan därför inte se några bärande argument för att de brottsbekämpande myndigheterna ska få sämre utredningsunderlag i vissa fall. Vi bedömer att det i stället är lämpligare att minska riskerna för intrång i de enskildas personliga integritet genom att reglera förutsättningarna för lagringsskyldigheten på det sätt som vi beskriver nedan. Utfallet blir under sådana förhållanden att de brottsbekämpande myndigheterna senare kan få tillgång till samma typer av uppgifter. Lagringstiden blir dock kortare och lagringen är inte heller generell och odifferentierad när den sker i syfte att bekämpa grov brottslighet. Sammantaget bör syftet med lagringen inte påverka vilka uppgifter som bör lagras. Efter att lagring skett ska således följande frågor kunna besvaras i efterhand. 1. Vem kommunicerade med vem?

– Telefonnummer, ip-adress eller annan meddelandeadress.

– Abonnemangs-, konto- eller utrustningsidentitet och kopp-

lingen mellan permanenta och tillfälliga identifierare.

– Uppgifter om abonnent och registrerad användare.

– Uppgifter som krävs för att identifiera slutmålet för kom-

munikationen i de situationer där den som avskiljer kommu-

nikationen inte omfattas av lagringsskyldighet, exempelvis när

kommunikationen övergår från tillhandahållarens nät till ett

företagsnätverk. 2. När ägde kommunikationen rum?

– Datum och spårbar tid för då samtalet påbörjades och avslu-

tades, då ett meddelande skickades och togs emot, eller då viss

internettrafik ägde rum. 3. Var fanns användarnas utrustning?

– Lokaliseringsuppgifter vid kommunikation eller internetåtkomst,

alltså inte endast vid kommunikationens början och slut.

– Övriga lokaliseringsuppgifter som inte är trafikuppgifter (t.ex.

satellitpositioneringsuppgifter som genererats i utrustningen). 4. Vilken typ av kommunikation var det fråga om?

– Uppgifter om den eller de tjänster som använts.

– Uppgift om kapacitet för överföring (t.ex. fast bredband via

fiber).

Geografiskt riktad lagring bör även omfatta lagring av uppgifter som genereras eller behandlas vid misslyckad uppringning. Sådana uppgifter bör få lagras vid utökad riktad lagring.

Eftersom geografiskt riktad lagring och utökad riktad lagring inte kommer att omfatta hela landet behöver tillhandahållarna kunna avgöra när lagring ska ske. I praktiken behöver tillhandahållarna kontrollera om kommunikationsutrustningen finns inom en viss kommun som omfattas av geografiskt riktad lagring respektive inom ett område som omfattas av utökad riktad lagring. Frågan är hur tillhandahållarna ska agera när den som kommunicerar förflyttar sig, dvs. anländer till eller lämnar ett område som omfattas av lagringsskyldighet under pågående kommunikation. Det framstår som oproportionerligt att ålägga tillhandahållarna att kontrollera sådan kommunikation som inte omfattas av lagringsskyldighet när kommunikationen påbörjas. Det är vidare förenat med svårigheter att låta lagringsskyldigheten omfatta sådan kommunikation som avslutas i ett område som inte

omfattas av lagringsskyldighet. Tillhandahållarna har i dessa fall inte uppgifter om exempelvis när kommunikationen avslutas, vilket enligt nu gällande regler utgör utgångspunkten för lagringstiden. Vi har tidigare konstaterat att lagringsskyldigheten endast ska gälla för uppgifter som genereras eller behandlas i den egna verksamheten. Om tillhandahållaren saknar vissa uppgifter i anledning av en person förflyttar sig under kommunikationen, ska de uppgifter som är tillgängliga lagras. Om tillhandahållaren saknar uppgift om när kommunikationen inleddes eller avslutades, ska lagringstiden i stället utgå från när uppgifterna genererades. Sammanfattningsvis ska lagringsskyldigheten omfatta alla uppgifter som genererats inom det område som omfattas av geografiskt riktad lagring eller utökad riktad lagring.

Avslutningsvis kan frågan ställas om den lagringsskyldighet som vi föreslår i syfte att bekämpa grov brottslighet är proportionerlig och förenlig med EU-rätten. Med våra förslag kommer fler uppgiftskategorier att lagras än i dag men våra förslag innebär också att färre personer omfattas av lagringen. I proportionalitetsbedömningen bör ingå att den tekniska utvecklingen, ökade möjligheter till elektronisk kommunikation och förändrade kommunikationsmönster har påverkat förutsättningarna för de brottsbekämpande myndigheterna att få tillgång till trafik- och lokaliseringsuppgifter i syfte att bekämpa grov brottslighet. För viss typ av brottslighet, exempelvis sådan brottslighet som äger rum i digitala kanaler, är trafik- och lokaliseringsuppgifter en avgörande förutsättning för en effektiv brottsbekämpning. Lagringsskyldighet enligt dagens modell medger exempelvis inte att lokaliseringsuppgifter lagras när kommunikationen sker med hjälp av sådana kommunikationstjänster som vi beskriver i avsnitt 9. Våra förslag syftar därför också till att utjämna skillnaden mellan olika kommunikationstjänster. I avsnitt 13 återkommer vi till hur våra förslag påverkar den personliga integriteten. Sammantaget gör vi bedömningen att denna mer avgränsade lever upp till EU-rättens krav på proportionalitet.

Lagringstiden

Vi hänvisar till avsnitt 7.3.6 i fråga om en beskrivning av de nu och tidigare gällande lagringstiderna.

Som gäller för all datalagring måste lagringstiden fastställas på objektiva grunder och begränsas till vad som är strängt nödvändigt. De brottsbekämpande myndigheterna har påtalat vikten av att uppgifter lagras under en längre tid än i dag, bl.a. med hänsyn till att de brott för vilka de lagrade uppgifterna kan inhämtas inte sällan är sådana som kräver lång utredningstid. I likhet med vad vi beskrivit i föregående avsnitt om lagringsskyldighetens omfattning finns det ett större utrymme att nu föreslå en längre lagringstid än i dag, eftersom lagringen inte längre omfattar samtliga abonnenter och registrerade användare av kommunikationstjänster. Vi ser inga bärande argument för att låta olika typer av uppgifter ha olika lagringstider. För syftet att bekämpa grova brott behövs en helhetsbild. Vi gör sammantaget bedömningen att samma lagringstid ska gälla för alla typer av uppgifter och att den ska vara längre än i dag. Vi bedömer också att lagringstiden, liksom vid nationell säkerhetslagring, bör regleras direkt i författning. Det går nämligen inte att i förväg veta hur länge uppgifterna kan behövas. Utan en fast lagringstid måste tillhandahållarna också anpassa sina system inför varje enskilt lagringsbeslut så att uppgifter gallras i rätt tid. Vi har i avsnitt 7.3.6 redovisat att det finns fördelar med att i författning föreskriva en viss lagringstid även om det kan innebära att uppgifter kan komma att lagras längre tid än den som beslut gäller. Vi har ingen annan uppfattning när det gäller utökad riktad lagring.

Frågan är dock hur lång lagringstid som kan anses vara proportionerlig vid riktad lagring. Enligt nu gällande ordning lagras uppgifter mellan två och tio månader beroende på vilken typ av uppgift det är fråga om. Regeringen anförde bl.a. följande i fråga om lagringstiden.

De uppgifter om elektronisk kommunikation som inhämtas av polisen

i underrättelseverksamheten är i de flesta fall yngre än en månad, men

det finns även ärenden där historik upp till sex månader varit av stor vikt

vid analysarbetet. I polisens utredningsverksamhet är den största andelen

historiska uppgifter yngre än tre månader. Omkring 20–25 procent är

äldre än tre månader och ungefär en tiondel av den totala mängden är

äldre än fem månader. De utredningar i vilka det finns ett behov av äldre

22 Se prop. 2018/19:86 s. 50.

uppgifter avser främst grova våldsbrott av spaningskaraktär samt grova

seriebrott såsom våldtäkter och mordförsök (SOU 2015:31 s. 129). Detta

bör beaktas vid bestämmandet av lagringstiden. En annan faktor att be-

akta är att de brottsbekämpande myndigheterna har behov av längre lag-

ringstid för ip-adresser vid ärenden som har internationell koppling, t.ex.

barnpornografibrott. Exempelvis har Polismyndigheten uppgett att den

med en lagringstid på sex månader måste lägga ner ungefär hälften av

alla barnpornografiärenden som upparbetas utomlands. Skälet till att dessa

ärenden tar lång tid att utreda är att det krävs många olika typer av åt-

gärder (såsom beslag, analys av beslagtagen materiel och identifiering av

gärningsman och brottsoffer) där det krävs samarbeten med en eller flera

polismyndigheter utomlands. Myndigheterna har sammanfattningsvis upp-

gett att de har behov av längst lagringstider för uppgifter hänförliga till

mobil telefoni och ip-telefoni samt för abonnemangsuppgifter hänför-

liga till internetåtkomst.

De brottsbekämpande myndigheterna har för oss påtalat behovet av en längre lagringstid för att nödvändiga åtgärder ska kunna vidtas innan uppgifterna gallras. Detta har blivit mer påtagligt för myndigheterna då den grova brottsligheten har tilltagit och att kommunikation flyttats från traditionella kanaler till internet. Sådan brottslighet kan vara svårupptäckt, utredningarna kan vara komplexa och involvera många aktörer. Inte sällan har sådan brottslighet även internationella inslag varför det behövs ytterligare utredningstid. Även det faktum att avancerad utrustning används vid grov brottslighet påverkar utredningstiden. Det kan i vissa fall ta lång tid för de brottsbekämpande myndigheterna att få tillgång till innehållet i en modern mobiltelefon eller dator.

För kort lagringstid i fråga om kommunikation som sker över internet kan leda till att utredningar måste läggas ned, eftersom trafikoch lokaliseringsuppgifter i regel är avgörande för att kunna identifiera de misstänkta.

Vi gör bedömningen att det behov de brottsbekämpande myndigheterna har gett uttryck för talar en längre lagringstid. Vi har härutöver i avsnitt 6.6.1 föreslagit att uppgifter om abonnemang ska lagras i ett år efter att abonnemanget upphört. Vi har som nämnts tidigare gjort bedömningen att det är viktigt att de brottsbekämpande myndigheterna får ett helhetsperspektiv. När tillgång väl ges till de lagrade uppgifterna behövs en samlad bild för att de brottsbekämpande myndigheterna ska kunna använda materialet på ett tillräckligt effektivt sätt. Vi föreslår därför att lagringstiden för geografiskt riktad lagring och utökad riktad lagring ska vara ett år från den dag kom-

munikationen avslutades. Om uppgift om när kommunikationen avslutades saknas ska lagringstiden räknas från den dag då uppgifterna genererades, se föreslagen lydelse av 9 kap. 22 § nya LEK.

Vid nationell säkerhetslagring har vi föreslagit att lagringstiden ska vara två år. Även om grov brottslighet kan planeras och pågå under flera år, gör vi bedömningen att det inte kan anses vara försvarligt att låta tillhandahållarna lagra trafik- och lokaliseringsuppgifter i så lång tid som två år. En längre lagringstid än ett år för riktad lagring framstår inte som proportionerlig. Det får accepteras att vissa äldre uppgifter som kan vara avgörande för bekämpningen av grov brottslighet kan falla utanför den riktade lagringsskyldigheten.

Avslutningsvis vill vi förtydliga att tiden för ett beslut om utökad riktad lagring ska hållas isär från lagringstiden för trafik- och lokaliseringsuppgifter. Ett beslut om utökad riktad lagring avseende exempelvis ett område gäller normalt ett år medan tiden för själva lagringen av uppgifterna normalt är ett år efter det att uppgifterna genererades. Det innebär att uppgifter kan vara lagrade även efter det att skyldigheten att lagra uppgifter har upphört.

Sammanfattning av våra förslag avseende lagring av uppgifter i syfte att bekämpa grov brottslighet

Vi föreslår två modeller av riktad lagring i syfte att bekämpa grov brottslighet: geografiskt riktad lagring och utökad riktad lagring. Geografiskt riktad lagring ska äga rum i de kommuner som PTS föreskrivit. Utökad riktad lagring ska äga rum avseende de områden, de platser, de personer eller den utrustning och de abonnemang som omfattas av Polismyndighetens, Säkerhetspolisens och Tullverkets beslut. Myndigheternas tillämpning av reglerna om utökad riktad lagring ska vara föremål för SIN:s tillsyn.

Vid geografiskt riktad lagring ska samtliga tillhandahållare som är lagringsskyldiga enligt 9 kap. 19 § nya LEK lagra de uppgifter om abonnemang samt trafik- och lokaliseringsuppgifter som är nödvändiga för att spåra och identifiera • kommunikationskällan och slutmålet för kommunikationen, • datum, tidpunkt och varaktighet för kommunikationen, • typ av kommunikation,

• kommunikationsutrustning, samt • lokalisering av kommunikationsutrustning.

Vid utökad riktad lagring beslutar Polismyndigheten, Säkerhetspolisen och Tullverket vilka uppgifter, av de ovan beskrivna, och vilka tillhandahållare som ska omfattas av lagringsskyldigheten. Lagringstiden vid riktad lagring ska vara ett år efter att kommunikationen avslutades eller om uppgiften saknas då uppgifterna genererades.

Våra förslag syftar till att anpassa dagens regler om datalagring till EU-rätten. Utgångspunkten har varit att skapa så goda förutsättningar som möjligt för de brottsbekämpande myndigheterna med iakttagande av vad EU-rätten tillåter samtidigt som skyddet för enskildas personliga integritet respekteras. Vår utgångspunkt har varit att lagringen ska vara proportionerlig och strängt nödvändig. Vi har eftersträvat en lagring som inte ska vara generell och omfatta hela eller nästan hela befolkningen. I stället är lagringen inriktad på områden, platser, personer, utrustning och abonnemang som är av särskilt intresse för det brottsbekämpande arbetet. De personer vars uppgifter lagras ges ett effektivt skydd mot att deras personuppgifter missbrukas dels genom tillsyn, dels genom föreslagna begränsningar av lagringen.

Regleringen bör sammantaget enligt vår mening ge de brottsbekämpande myndigheterna goda möjligheter att bekämpa allvarliga brott samtidigt som respekten för den enskildes personliga integritet upprätthålls.

8.3.4 En ny lag om riktad lagring av uppgifter om elektronisk kommunikation

Utredningens förslag: Förutsättningarna för riktad lagring ska regleras i en ny lag benämnd lagen om lagring av uppgifter om elektronisk kommunikation i syfte att bekämpa grov brottslighet.

En reglering av riktad lagring aktualiserar dels bestämmelser som vänder sig till tillhandahållarna, dels bestämmelser som berör myndigheter. Vi ser många fördelar med att bibehålla systematiken i nya LEK, som redan i dag berör och tillämpas av många olika intressen-

ter. Av det skälet föreslår vi att frågor som berör tillhandahållarna, dvs. frågor om lagringsskyldighet, vilka uppgifter som ska lagras, lagringstid m.m. ska regleras i nya LEK. Frågor som berör myndigheter, såsom vilket förfarande som ska gälla vid beslut om riktad lagring, passar däremot mindre väl i nya LEK. De generella förutsättningarna för riktad lagring bör regleras i en särskild lag på samma sätt som vi föreslagit för nationell säkerhetslagring. Vi föreslår därför en ny lag som lämpligen kan benämnas lagen om lagring av uppgifter om elektronisk kommunikation i syfte att bekämpa grov brottslighet.

8.3.5 Tillgången till lagrade uppgifter vid riktad lagring och rättssäkerhetsgarantier

Utredningens bedömning: Tillgång till lagrade trafik- och lokaliseringsuppgifter får endast ges för bekämpning av grov brottslighet. Reglerna i rättegångsbalken, preventivlagen, inhämtningslagen, lagen om särskild kontroll av vissa utlänningar och lagen om hemlig dataavläsning uppfyller EU-rättens krav i detta avseende. Reglerna i nämnda lagar uppfyller även övriga EU-rättsliga krav när det gäller tillgång till uppgifter i syfte att bekämpa allvarlig brottslighet i den mån de omfattas av våra överväganden. Våra förslag medför inte något behov av författningsändringar avseende tillgången till lagrade uppgifter.

Enligt EU-rätten måste medlemsstaterna föreskriva klara och precisa bestämmelser som anger under vilka omständigheter och på vilka villkor tillhandahållare av elektroniska kommunikationstjänster ska ge behöriga nationella myndigheter tillgång till lagrade trafik- och lokaliseringsuppgifter. Tillgång till lagrade uppgifter kan i princip bara beviljas för uppgifter om personer som misstänks planera, begå eller ha begått ett grovt brott eller på något annat sätt vara inblandade i ett sådant brott. Det har sin grund i att uppgifterna lagrats för ändamålet att bekämpa grov brottslighet.

Regeringen bedömde, i förarbetena till den nu gällande datalagringsregleringen, att tillgång till lagrade trafik- och lokaliseringsuppgifter får ges endast för bekämpning av grov brottslighet och att reglerna i rättegångsbalken, preventivlagen, inhämtningslagen och lagen om särskild utlänningskontroll uppfyller EU-rättens krav i detta av-

seende. Efter regeringens bedömning i denna fråga har hemlig dataavläsning införts som ett nytt hemligt tvångsmedel som kan ge åtkomst till bl.a. kommunikationsavlyssningsuppgifter, kommunikationsövervakningsuppgifter och platsuppgifter (om hemlig dataavläsning, se avsnitt 5.3.4). Dessutom har lagen om särskild utlänningskontroll ersatts av lagen (2022:700) om särskild kontroll av vissa utlänningar (om denna lag, se avsnitt 5.3.3). Det kan konstateras att tillgång till trafikoch lokaliseringsuppgifter genom hemlig dataavläsning eller med stöd av lagen om särskild kontroll av vissa utlänningar endast kan beviljas för bekämpning av grov brottslighet. Vår bedömning är därför att det inte krävs några författningsändringar när det gäller för vilken brottslighet tillgång till de lagrade uppgifterna kan beviljas.

Det kan i detta sammanhang noteras att det i delbetänkandena Utökade möjligheter att använda hemliga tvångsmedel (SOU 2022:19)

och Utökande möjligheter att använda preventiva tvångsmedel

(SOU 2022:52) föreslås större möjligheter att använda hemliga tvångsmedel såväl inom som utom förundersökningar, se avsnitt 5.3.

I förarbetena till den nu gällande datalagringsregleringen bedömde regeringen att reglerna som ger tillgång till lagrade trafik- och lokaliseringsuppgifter uppfyller EU-rättens krav på att tillgången som huvudregel endast ska gälla personer som på något sätt kan vara inblandade i allvarlig brottslighet och att regleringen även i övrigt uppfyllde de EU-rättsliga kraven. Vi gör ingen annan bedömning i dessa avseenden.

När det gäller det EU-rättsliga kravet på att de brottsbekämpande myndigheternas tillgång till datalagrade uppgifter, utom i motiverade brådskande fall, ska föregås av en kontroll av domstol eller en oberoende myndighet gjorde regeringen en annan bedömning. Där föreslog regeringen, för att anpassa reglerna till EU-rätten, att åklagare vid Åklagarmyndigheten skulle besluta om tillstånd för inhämtning av uppgifter enligt inhämtningslagen, i stället för att Polismyndigheten, Säkerhetspolisen respektive Tullverket skulle fatta sådana beslut. Det är denna reglering som gäller i dag. Det finns inte skäl för oss att nu igen överväga denna fråga, eftersom Utredningen om preventiva tvångsmedel (Ju 2021:15) enligt tilläggsdirektiv den 28 april 2022 (dir. 2022:32) har fått i uppdrag att ta ställning till om, och i så fall på vilket sätt, tillämpningsområdet för inhämtningslagen bör ut-

23

Se prop. 2018/19:86 s. 64 f. 24

Se a. prop. s. 72 f.

vidgas och till hur beslutsordningen bör se ut vid en eventuell utvidgning av inhämtningslagens tillämpningsområde. Vi lämnar därför inga förslag när det gäller beslutsordningen enligt inhämtningslagen.

Till skillnad från våra förslag gällande nationell säkerhetslagring, där tillgången till de lagrade uppgifterna behöver begränsas till bekämpning av brottslighet som innebär ett hot mot den nationella säkerheten, medför våra förslag om riktad lagring inte några motsvarande behov av begränsningar. Det bör för tydlighetens skull påpekas att uppgifter från riktad lagring även kan inhämtas för bekämpning av brottslighet som innefattar hot mot den nationella säkerheten eller för annan grov brottslighet än den som uppgifterna var avsedda att lagras för.

Vår bedömning är sammanfattningsvis att det inte krävs några författningsändringar när det gäller reglerna om tillgång till lagrade trafik- och lokaliseringsuppgifter i syfte att bekämpa allvarlig brottslighet. I denna bedömning ingår dock inte frågan om beslutsfattare enligt inhämtningslagen.

8.3.6 Personuppgiftsbehandling vid riktad lagring i syfte att bekämpa grov brottslighet

I detta avsnitt diskuterar vi eventuella behov av att reglera den personuppgiftsbehandling som måste utföras när det gäller lagring i syfte att bekämpa grov brottslighet. För en närmare beskrivning av nu gällande regler för personuppgiftsbehandling hänvisar vi till avsnitt 7.3.8.

Tillhandahållarnas behandling av lagrade uppgifter

Utredningens förslag: Det ska finnas författningsstöd för tillhandahållarnas behandling av personuppgifter när det gäller lagring och utlämnande av uppgifter i syfte att bekämpa grov brottslighet.

Tillhandahållarnas behandling av fysiska personers trafik- och lokaliseringsuppgifter är reglerade i nya LEK och nya FEK med bl.a. begränsningar kring hur uppgifterna får hanteras.

Vi har i avsnitt 7.3.8. föreslagit ändringar i nya LEK i anledning av våra förslag om nationell säkerhetslagring. Motsvarande ändring krävs även för geografiskt riktad lagring och utökad riktad lagring.

Eftersom vi föreslår att de olika formerna av lagringsskyldighet vid riktad lagring ska regleras i två nya paragrafer i nya LEK (9 kap. 19 c–d §§) bör motsvarande ändringar göras genom tillägg i 9 kap. 1, 10 och 21 §§ nya LEK.

Genom ändringarna finns författningsstöd för tillhandahållarnas behandling av trafik- och lokaliseringsuppgifter när det gäller lagring och utlämnande av uppgifter i syfte att bekämpa grov brottslighet.

Vi föreslår i övrigt inga förändringar i sak när det gäller rätten för tillhandahållare att behandla personuppgifter i syfte att bekämpa grov brottslighet.

De brottsbekämpande myndigheternas behandling av lagrade uppgifter

Utredningens bedömning: Vårt förslag om en modell för riktad lagring av trafik- och lokaliseringsuppgifter i syfte att bekämpa grov brottslighet föranleder inga ändringar i de brottsbekämpande myndigheternas registerförfattningar.

Behöriga myndigheters behandling av personuppgifter i syfte att bekämpa brott regleras i brottsdatalagen (2018:1177) i förening med de särskilda registerförfattningar som gäller för respektive verksamhet, exempelvis polisens brottsdatalag (2018:1693). Säkerhetspolisens behandling av personuppgifter regleras härutöver även i lagen (2019:1182) om Säkerhetspolisens behandling av personuppgifter.

Vårt förslag om att den nu gällande skyldigheten att lagra trafikoch lokaliseringsuppgifter ska inskränkas genom en modell med riktad lagring innebär inga förändringar när det gäller de rättsliga grunderna eller ändamålen för Polismyndighetens och Säkerhetspolisens och Tullverkets behandling av personuppgifter i syfte att bekämpa grova brott. Myndigheterna kan redan i dag behandla personuppgifter beträffande frågor som rör grov brottslighet. Det behövs därför inga författningsändringar avseende de brottsbekämpande myndigheternas behandling av personuppgifter.

PTS:s behandling av personuppgifter vid beslut om geografiskt riktad lagring

Utredningens bedömning: PTS behandlar inte personuppgifter i syfte att förebygga förhindra, utreda, avslöja och lagföra brott vid fastställandet av geografiskt riktad lagring. Våra förslag medför inte något behov av förändringar i nuvarande reglering.

PTS behandlar personuppgifter i sin verksamhet med stöd av EU:s dataskyddsförordning. Enligt nu gällande reglering har myndigheten inte något uppdrag eller någon lagreglerad skyldighet som aktualiserar personuppgiftsbehandling inom brottsdatalagens område. När PTS enligt våra förslag ska föreskriva i vilka kommuner geografiskt riktad lagring ska äga rum aktualiseras frågan om det krävs författningsändringar avseende myndighetens personuppgiftsbehandling. Vi har föreslagit att den officiella statistiken ska ligga till grund för PTS:s föreskrifter i detta avseende. Statistiken kan inte härledas till någon enskild person utan presenteras endast på aggregerad nivå och innehåller således inte personuppgifter. PTS behandlar alltså inte personuppgifter i syfte att förebygga förhindra, utreda, avslöja och lagföra brott i arbetet med att fastställa var geografiskt riktad lagring ska ske. En annan sak är att det vid detta arbete kan förekomma personuppgifter. En sådan uppgiftsbehandling skiljer sig dock inte från annan personuppgiftsbehandling i samband med utövandet av myndighetens tillsynsuppdrag. Exempelvis kan den jämställas med den personuppgiftsbehandling som sker när PTS utövar tillsyn över teleoperatörerna i deras lagring av trafik- och lokaliseringsuppgifter i syfte att bekämpa grov brottslighet. För sådan personuppgiftsbehandling finns stöd i befintlig reglering. Vi kan således inte identifiera något behov av författningsändringar för den personuppgiftsbehandling som sker inom PTS:s verksamhet i anledning av våra förslag.

8.3.7 Sekretess och tystnadsplikt

I detta avsnitt diskuterar vi frågan om behovet av att reglera sekretess vid beslut om riktad lagring.

Sekretess och meddelarfrihet vid utökad riktad lagring

Utredningens förslag: Sekretess ska gälla för uppgifter om en enskilds personliga och ekonomiska förhållanden i angelägenheter om utökad riktad lagring, om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till honom eller henne lider skada eller men. I en angelägenhet om utökad riktad lagring ska tystnadsplikten inskränka rätten att meddela och offentliggöra uppgifter enligt tryckfrihetsförordningen och yttrandefrihetsgrundlagen.

Utredningens bedömning: Nuvarande sekretessregler till skydd för intresset av att förebygga eller beivra brott ger ett tillräckligt sekretesskydd för uppgifter i angelägenheter om utökad riktad lagring. I befintliga regler om sekretess till skydd för enskilda i verksamhet som syftar till att förebygga eller beivra brott, m.m. finns däremot inte något motsvarande skydd för enskildas personliga och ekonomiska förhållanden. En kompletterande bestämmelse bör därför införas.

Vi har i avsnitt 7.3.9 bedömt att reglerna i 18 kap. OSL om sekretess till skydd främst för intresset av att förebygga eller beivra brott, ger ett tillräckligt skydd i angelägenheter om nationell säkerhetslagring. Vi har i samma avsnitt föreslagit en bestämmelse om att sekretess ska gälla för uppgifter om enskildas personliga och ekonomiska förhållanden, om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till honom lider skada eller men och uppgiften förekommer i angelägenhet om nationell säkerhetslagring, 35 kap. 1 § första stycket 10 OSL.

Vi bedömer att uppgifter som förekommer under handläggningen vid de beslutande myndigheterna i ärenden om utökad riktad lagring omfattas av sekretess enligt 18 kap. 1 och 2 §§ och 35 kap. 1 § OSL. Vi bedömer vidare att sekretess enligt 18 kap. 1 och 2 §§ OSL gäller

även vid SIN och vid andra myndigheter som kan involveras i angelägenheter om utökad riktad lagring. När det däremot gäller sekretess för uppgifter om enskildas personliga och ekonomiska förhållanden finns, på samma sätt som vid nationell säkerhetslagring, ett behov av sekretesskydd i angelägenheter om utökad riktad lagring.

Den nuvarande modellen för lagring ger enskilda ett skydd genom den sekretess som gäller i de brottsbekämpande myndigheternas verksamhet, 35 kap. 1 § första stycket 4 OSL och den tystnadsplikt som gäller i tillhandahållarnas verksamhet, 9 kap. 31 § nya LEK. När lagringsskyldigheten i stället följer av beslut om utökad riktad lagring kommer sekretess till skydd för enskildas personliga och ekonomiska förhållanden enligt 35 kap. 1 § OSL inte att gälla hos vissa andra myndigheter som kan involveras i angelägenheter om utökad riktad lagring. Sekretessen skulle exempelvis inte gälla hos SIN i samband med dess tillsyn. Sekretessen skulle inte heller gälla i PTS tillsynsverksamhet eller hos andra myndigheter än brottsbekämpande myndigheter som Polismyndigheten, Säkerhetspolisen eller Tullverket samråder med inför ett beslut om utökad riktad lagring. Det krävs således ett skydd för uppgifter om enskildas personliga och ekonomiska förhållanden utanför de brottsbekämpande myndigheternas verksamhet.

Vi har vidare föreslagit att rätten att meddela och offentliggöra uppgifter enligt tryckfrihetsförordningen och yttrandefrihetsgrundlagen bör inskränkas i ett ärende om nationell säkerhetslagring. Utifrån samma resonemang som vi har fört i avsnitt 7.3.9 bör tystnadsplikten få inskränka rätten att meddela och offentliggöra uppgifter enligt tryckfrihetsförordningen och yttrandefrihetsgrundlagen även när det gäller angelägenheter om utökad riktad lagring. Uppgifter i sådana angelägenheter kan innehålla såväl underrättelseuppgifter, uppgifter som omfattas av försvarssekretess och uppgifter om personer som eventuellt kan bli föremål för hemliga tvångsmedel. Som vi tidigare har redovisat i nämnda avsnitt är det typiskt sett sådana uppgifter där tystnadsplikten ska få inskränka rätten att meddela och offentliggöra uppgifter.

Vi föreslår mot denna bakgrund att sekretess ska gälla för uppgifter om en enskilds personliga och ekonomiska förhållanden i angelägenheter om utökad riktad lagring, om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till honom eller henne lider skada eller men och att tystnadsplikten ska inskränka rätten att meddela och offentliggöra uppgifter enligt tryckfrihetsför-

ordningen och yttrandefrihetsgrundlagen. Bestämmelserna bör, på samma sätt som beträffande nationell säkerhetslagring, föras in som en ny punkt i 35 kap. 1 § OSL (p. 11) respektive i 18 kap. 19 § och 35 kap. 24 § OSL.

Sekretess beträffande ett beslut om utökad riktad lagring

Utredningens bedömning: Sekretessen ska omfatta ett beslut om utökad riktad lagring.

I motsats till PTS:s föreskrifter om geografiskt riktad lagring fattas ett beslut om utökad riktad lagring av Polismyndigheten, Säkerhetspolisen eller Tullverket. Vi har i föregående avsnitt konstaterat att uppgifter som förekommer under handläggningen vid dessa myndigheter i en angelägenhet om utökad riktad lagring omfattas av sekretess enligt 18 kap. 1 och 2 §§ samt 35 kap. 1 § OSL. Frågan är om det bör göras något undantag från sekretessen avseende själva beslutet om utökad riktad lagring. Vi konstaterar att det finns flera skäl som talar emot detta, även om det i vissa fall kan finnas ett insynsintresse avseende omfattningen av ett beslut om utökad riktad lagring.

Den information som ligger till grund för bedömningen om utökad riktad lagring kan vara skyddsvärd och även innehålla integritetskänsliga personuppgifter. Om detta helt eller delvis återges i beslutet, försvårar det möjligheten att hemlighålla uppgifterna. Det går i och för sig att föreskriva att endast uppgifter om lagringsskyldigheten och dess omfattning ska vara offentliga, dvs. motsvarande domslutet i en dom. Vi gör dock bedömningen att detta inte skulle vara tillräckligt för att motverka de negativa effekter det skulle få för de brottsbekämpande myndigheternas verksamheter om det blev känt var den utökade riktade lagringen gäller. I många situationer skulle beslutet i sig indirekt kunna avslöja uppgifter om underrättelse- eller utredningsverksamheten. Till exempel kan ett beslut om riktad lagring som syftar till att bekämpa organiserad brottslighet på en viss plats avslöja för de personer som begår brott eller ägnar sig åt brottslig verksamhet att de är föremål för åtgärder. Det är inte heller önskvärt att uppgifter om skyddsvärda platser sprids till en alltför bred krets eftersom uppgifterna samlat skulle kunna användas för att åskådliggöra sårbarheter i fråga om Sveriges försvarsförmåga. Avslutnings-

vis kan den omständigheten att det inte är känt var utökad riktad lagring äger rum ha en avhållande effekt på den eller de individer som förbereder brott eller i övrigt ägnar sig åt brottslig verksamhet. Om det fanns en möjlighet att få ta del av beslut om utökad riktad lagring, skulle det de facto finnas utrymme för kriminella att kunna kartlägga var i landet det saknas datalagring. En följd skulle då kunna bli att viss kriminell verksamhet förläggs till sådana platser där datalagring inte äger rum. Vår bedömning är att det är lämpligare att beslut om utökad riktad lagring, i likhet med beslut nationell säkerhetslagring och vissa straffprocessuella tvångsmedel, i sin helhet omfattas av sekretess.

Tystnadsplikt och inskränkningar i meddelarfriheten för tillhandahållare i ett ärende om utökad riktad lagring

Utredningens förslag: Tillhandahållarnas tystnadsplikt ska gälla i angelägenheter om utökad riktad lagring. Tystnadsplikten ska ha företräde framför meddelarfriheten.

Enligt 9 kap. 31 § nya LEK får den som tillhandahåller ett elektroniskt kommunikationsnät eller en elektronisk kommunikationstjänst som inte är en nummeroberoende interpersonell kommunikationstjänst (Noik), inte obehörigen föra vidare eller utnyttja det som han eller hon i samband med tillhandahållandet har fått del av eller tillgång till i form av 1. en uppgift om abonnemang, 2. innehållet i ett elektroniskt meddelande, eller 3. en annan uppgift som angår ett särskilt elektroniskt meddelande

(dvs. en trafikuppgift).

Vi återkommer i avsnitt 9.6.2. till frågan om även tillhandahållare av Noik bör omfattas av denna tystnadsplikt. I 9 kap. 32 § nya LEK finns en straffsanktionerad tystnadsplikt för de tillhandahållare som regleras i 9 kap. 31 § nya LEK när det gäller uppgifter som hänför sig till vissa angelägenheter, bl.a. användning av hemliga tvångsmedel. Enligt 44 kap. 4 § tredje stycket OSL inskränks meddelarfriheten för tillhandahållarna i fråga om straffprocessuella tvångsmedel.

Vi bedömer, på samma sätt som vi har föreslagit när det gäller nationell säkerhetslagring (se avsnitt 7.3.9), att det bör införas en tystnadsplikt för tillhandahållarna avseende angelägenheter om utökad riktad lagring och att detta bör regleras genom ett tillägg i 9 kap. 32 § nya LEK. Tystnadsplikten bör omfatta exempelvis information om att myndigheterna har varit i kontakt med tjänsteleverantören, vad som har kommunicerats, beslut om utökad riktad lagring och på vilka områden eller platser eller avseende vilka personer, utrustningar eller abonnemang lagringen gäller och att lagringen har påbörjats eller avslutats.

Vi föreslår också att meddelarfriheten för tillhandahållare inskränks när det gäller angelägenheter om utökad riktad lagring. Ett tillägg om detta bör därför föras in i 44 kap. 4 § OSL.

Finns det behov av en sekretessbrytande bestämmelse?

Utredningens bedömning: Det behövs inte en särskild sekretessbrytande bestämmelse för att myndigheter ska kunna lämna upplysningar till Polismyndigheten, Säkerhetspolisen och Tullverket i angelägenheter om utökad riktad lagring. Vid behov kan myndigheterna lämna sådana upplysningar till Polismyndigheten, Säkerhetspolisen och Tullverket med stöd av den s.k. generalklausulen.

Även om Polismyndigheten, Säkerhetspolisen och Tullverket bör ha en god kännedom i frågor relaterade till grov brottslighet kan dessa myndigheter ha behov av att samråda med andra myndigheter i frågor som gäller utökad riktad lagring, särskilt när det gäller skyddsvärda platser. Det förefaller naturligt att Polismyndigheten, Säkerhetspolisen och Tullverket inom ramen för pågående samverkan med andra brottsbekämpande myndigheter kan komma att inhämta synpunkter från bl.a. Åklagarmyndigheten, Ekobrottsmyndigheten, Skatteverket och Kustbevakningen.

Polismyndigheten, Säkerhetspolisen och Tullverket har dock inte en kontinuerlig samverkan med alla de myndigheter som kan komma att involveras inför ett beslut om utökad riktad lagring avseende skyddsvärda platser. I många fall bör det i och för sig vara tillräckligt för Polismyndighetens, Säkerhetspolisens och Tullverkets bedömning att de aktuella myndigheterna lämnar allmänna upplysningar

om platsen eller verksamheten. Som huvudregel bör det därför inte vara aktuellt att lämna ut känsligare detaljuppgifter. Bedömningen ska trots allt ske på en övergripande nivå. Det går dock inte att utesluta att det i undantagsfall kan uppkomma situationer där det finns behov att lämna ut uppgifter som omfattas av sekretess. För sådana situationer finns behov av en sekretessbrytande bestämmelse.

En möjlig lösning vore att föreskriva om en särskild uppgiftsskyldighet för att tillgodose detta behov. Nackdelen med en sådan lösning är att uppgiftsskyldigheten inte kan vara obegränsad, utan behöver villkoras, så att det intresse som sekretessen ska skydda inte går förlorat genom att uppgiften lämnas till Polismyndigheten, Säkerhetspolisen eller Tullverket. I allt väsentligt motsvarar en sådan bestämmelse den s.k. generalklausulen i 10 kap. 27 § OSL. Enligt generalklausulen får, med vissa undantag, en sekretessbelagd uppgift lämnas till en myndighet, om det är uppenbart att intresset av att uppgiften lämnas har företräde framför det intresse som sekretessen ska skydda. Vi gör bedömningen att generalklausulen bör ge ett tillräckligt stöd för att Polismyndigheten, Säkerhetspolisen eller Tullverket ska kunna inhämta sekretessbelagda uppgifter från andra myndigheter i de fall detta behövs. Mot denna bakgrund ser vi inga fördelar med en särskild föreskrift om uppgiftsskyldighet i angelägenheter om utökad riktad lagring avseende skyddsvärda platser.

9 Särskilt om lagring och tillgång till uppgifter från s.k. OTT-tjänster

I detta avsnitt överväger vi om leverantörer av s.k. OTT-tjänster ska omfattas av skyldigheter att lagra och ge åtkomst till uppgifter om elektronisk kommunikation och lämnar förslag om detta.

9.1 Inledning

De brottsbekämpande myndigheterna behöver ha tillgång till ändamålsenliga och verkningsfulla verktyg för att kunna förebygga, förhindra, upptäcka, utreda och lagföra brott. Som framgår av tidigare avsnitt är tillgången till information från elektroniska kommunikationer ofta av stor betydelse för att myndigheterna ska kunna utföra sin brottsbekämpande verksamhet. Det blir samtidigt allt vanligare att kommunikation sker genom tjänster vars tillhandahållare inte omfattas av någon rättslig skyldighet att lagra eller tillhandahålla uppgifter, nämligen tjänster som tillhandahålls av andra än de traditionella teleoperatörerna. Exempel på sådana tjänster är OTT-tjänster i form av nummeroberoende interpersonella kommunikationstjänster. Det kan vara tjänster som Apple Imessage och Facetime, Discord, Google Messages, Kik Messenger, Line, Messenger from Meta, Skype, Slack, Telegram, Viber och Whatsapp för att nämna några bland många.

Enligt våra direktiv ska vi analysera förutsättningarna, även ur ett tekniskt perspektiv, för att tillhandahållare av sådana OTT-tjänster som används för interpersonell kommunikation ska kunna omfattas av skyldigheterna att lagra och lämna ut uppgifter om elektroniska

1 Vissa tjänster, såsom Apple Imessage och Google Messages, har också funktionalitet för att skicka ett meddelande genom teleoperatörerna om den egna tjänsten inte är tillgänglig.

kommunikationer. Vi ska lämna förslag på de författningsändringar och andra åtgärder som bedöms nödvändiga.

9.2 OTT-tjänster och nummeroberoende interpersonella kommunikationstjänster (Noik)

OTT är en förkortning för engelskans over the top. OTT-tjänster är operatörsoberoende tjänster i form av video, ljud eller meddelanden som sänds ut till användare via data- eller tele- eller kabelnätet av en fristående tjänst. Benämningen over the top används på grund av att signalerna förekommer utöver – ovanpå – de vanliga sändningarna. Den fristående tjänsten tar normalt inte betalt för datakommunikationen; denna betalar användarna för genom sitt internetabonnemang. Internetleverantören ansvarar i sin tur inte för innehållet utan ser enbart till att materialet kommer fram. Begreppet OTT-tjänster avsåg inledningsvis tjänster som erbjöd möjlighet att ta del av tvsändningar och film direkt över internet, i stället för via exempelvis kabeltv-nätverk eller satellit. Med tiden har begreppet utvidgats till att även innefatta tjänster som avser interpersonell kommunikation. I våra direktiv används begreppet nummeroberoende interpersonella kommunikationstjänster (i fortsättningen kallade Noik).

9.3 Närmare om Noik

9.3.1 Definitioner

I nya LEK har vissa definitioner ändrats i förhållande till gamla LEK och vissa nya definitioner har tillkommit. Definitionerna finns i 1 kap. 7 § nya LEK och följer i många fall direkt av definitionerna i EU:s direktiv om inrättande av en europeisk kodex för elektronisk kommunikation (e-kodexen). Definitionen av elektronisk kommunikationstjänst i nya LEK motsvarar artikel 2.4 i e-kodexen. Definitionen innefattar inte något krav på att tjänsten helt eller huvudsakligen ska utgöras av överföring av signaler, vilket innebär en utvidgning i

2 Se https://it-ord.idg.se/. Hämtat den 20 april 2023. 3 Nationalencyklopedin, OTT. http://www.ne.se/uppslagsverk/encyklopedi/lång/ott. Hämtat den 20 april 2023.

förhållande till vad som tidigare ansågs vara en elektronisk kommunikationstjänst.

För att tjänsten ska anses som en elektronisk kommunikationstjänst ska den vanligen tillhandahållas mot ersättning, alltså kommersiellt, via elektroniska kommunikationsnät. Sker tillhandahållandet på rent ideell basis, omfattas tjänsten inte av definitionen. I många fall tillhandahålls kommersiella tjänster dock gratis till slutkunden. Det kommersiella inslaget manifesteras då på något annat sätt. Det kan exempelvis vara så att tjänsten är reklamfinansierad eller kommer paketerad som en tjänst vid köp av en mobiltelefon från viss tillverkare.

Kravet på tillhandahållande mot ersättning bör anses vara uppfyllt även när tillhandahållaren får betalt av tredje part och inte av slutkunden, t.ex. om tillhandahållaren tjänar pengar på personuppgifter eller andra data som samlas in vid användningen av tjänsten. Inom den digitala ekonomin anser marknadsaktörerna nämligen ofta att information om användare har ett ekonomiskt värde. Elektroniska kommunikationstjänster tillhandahålls allt oftare i utbyte mot att slutanvändarna tillhandahåller personuppgifter eller andra data. I skäl 16 i e-kodexen anges att begreppet ersättning i detta sammanhang bör omfatta sådana situationer där tillhandahållaren av en tjänst begär att slutanvändaren medvetet lämnar personuppgifter i den mening som avses i EU:s dataskyddsförordning eller andra data direkt eller indirekt till tillhandahållaren. Vidare anges i skäl 16 i e-kodexen att begreppet ersättning även bör omfatta situationer där slutanvändaren ger tillgång till information utan att aktivt tillhandahålla den, som till exempel personuppgifter, inklusive ip-adress, eller annan automatiskt genererad information. Det är information som samlas in och överförs via kakor.

En elektronisk kommunikationstjänst kan enligt definitionen i nya LEK vara av tre slag, som delvis kan överlappa varandra: • internetanslutningstjänster, • interpersonella kommunikationstjänster, och • tjänster som helt eller huvudsakligen utgörs av överföring av signaler.

4 Se prop. 2021/22 :136 s. 122 f. 5 Se a. prop. s. 406.

Det som främst är av intresse i detta sammanhang är alltså interpersonella kommunikationstjänster. Definitionen av dessa motsvarar artikel 2.5 i e-kodexen. En interpersonell kommunikationstjänst definieras i nya LEK som en tjänst som vanligen tillhandahålls mot ersättning och som möjliggör ett direkt interpersonellt och interaktivt informationsutbyte via elektroniska kommunikationsnät mellan ett begränsat antal personer. En ytterligare förutsättning är att de personer som inleder eller deltar i kommunikationen bestämmer vem eller vilka som ska vara mottagare av denna. Definitionen omfattar dock inte en tjänst som möjliggör interpersonell och interaktiv kommunikation enbart som en extrafunktion av mindre betydelse som är direkt kopplad till en annan tjänst. En sådan extrafunktion av mindre betydelse är alltså inte en interpersonell kommunikationstjänst enligt definitionen i nya LEK.

Interpersonella kommunikationstjänster är således tjänster som möjliggör ett interaktivt utbyte av information mellan personer. Definitionen omfattar tjänster som traditionella röstsamtal mellan två eller flera fysiska personer, men även t.ex. e-posttjänster, meddelandetjänster och gruppchattar.

Definitionen täcker alltså bara tjänster där antalet deltagare i kommunikationen är begränsat och där deltagarna bestäms av kommunikationens avsändare eller deltagare. Interaktiv kommunikation innebär att tjänsten gör det möjligt för mottagaren av informationen att svara. Tjänster som inte uppfyller dessa krav omfattas inte av definitionen.

Sådana tjänster som faller utanför definitionen kan exempelvis vara linjära sändningstjänster för radio och tv, beställvideo, bloggar och informationsutbyte mellan maskiner. Sådana tjänster kan dock erbjudas på samma plattform som en tjänst som uppfyller kraven för en interpersonell kommunikationstjänst.

Det finns inget krav på att interpersonella kommunikationstjänster helt eller huvudsakligen ska inkludera överföring av signaler. Därmed omfattas t.ex. mjukvarutjänster för direkt kommunikation mellan slutanvändares datorer där tjänstetillhandahållaren inte har inflytande eller rådighet över själva överföringen av kommunikationen.

6 Se prop. 2021/22:136 s. 407 f.

I skäl 17 i e-kodexen anges bl.a. följande.

I undantagsfall bör en tjänst inte anses som en interpersonell kommuni-

kationstjänst om funktionen för interpersonell och interaktiv kommu-

nikation enbart är en extrafunktion av mindre betydelse som är direkt

kopplad till en annan tjänst och som av objektiva tekniska skäl inte kan

användas utan den huvudtjänsten, och integreringen av den inte är ett sätt

att kringgå tillämpningen av bestämmelserna för elektroniska kommu-

nikationstjänster. Som delar i undantaget från definitionen bör mindre

och extrafunktion tolkas restriktivt och ur ett objektivt slutanvändar-

perspektiv. En interpersonell kommunikationstjänstfunktion skulle kunna

anses mindre om dess objektiva användbarhet för slutanvändaren är

mycket begränsad och om den i själva verket knappt används av slut-

användarna.

Extrafunktioner av mindre betydelse kan t.ex. vara vissa kommunikationsfunktioner i online-spel, beroende på deras användning och funktion. Mot bakgrund av vad som uttalas i skäl 17 i e-kodexen gör vi bedömningen att utrymmet är mycket begränsat för vad som kan anses vara en sådan extrafunktion av mindre betydelse.

De interpersonella kommunikationstjänsterna kan vara antingen nummerbaserade eller nummeroberoende. En nummerbaserad interpersonell kommunikationstjänst är enligt nya LEK en interpersonell kommunikationstjänst som etablerar en förbindelse till nummer i nationella eller internationella nummerplaner eller som möjliggör kommunikation med sådana nummer. En Noik etablerar inte en förbindelse till nummer i nationella eller internationella nummerplaner och möjliggör inte heller på något annat sätt kommunikation med sådana nummer. Tillhandahållare av Noik kan i och för sig ställa krav på att ett telefonnummer anges vid registreringen av ett konto i tjänsten, men telefonnumret har ingen betydelse för hur kommunikationen etableras eller förmedlas genom tjänsten. Däremot kan telefonnumret ibland användas för att slutanvändare ska kunna hitta varandra i tjänsten.

I stället för telefonnummer använder tillhandahållare av Noik annat som identifierar de unika användarna. Det kan t.ex. vara en e-postadress eller en annan unik användaridentitet. Vilka tjänster som faktiskt kommer att bedömas vara Noik får utvisas av framtida praxis. Vi har i inledningen till detta avsnitt lämnat några exempel på Noik.

7 Se a. prop. s. 408. 8 Se a. prop. s. 408 f.

I rapporten svenskarna och internet 2021 finns ytterligare exempel på tjänster som omfattas av definitionen, exempelvis: • Instagram (chatt och meddelande-delarna). • Snapchat. • Microsoft Teams. • Zoom. • Linkedin (chatt och meddelande-delarna). • Tiktok (chatt och meddelande-delarna). • Google Meet. Härutöver finns ett flertal stora tillhandahållare av e-post som omfattas av begreppet Noik, exempelvis: • Gmail. • Apple Mail. • Outlook (tidigare MSN, Hotmail). • Yahoo! Mail. Det går inte att uttömmande lista alla Noik eller att uppskatta hur många företag som tillhandahåller Noik. Det beror bl.a. på att sådana företag kan ha sin hemvist i olika länder samtidigt som deras tjänster tillhandahålls globalt och på att sådana tjänster kan uppstå och försvinna på relativt kort tid.

9.3.2 Ip-adress i stället för telefonnummer

Som nämnts ovan förmedlas ett samtal eller ett meddelade genom en Noik över internet, såvida inte tjänsten har en reservlösning som skickar meddelandet på ett traditionellt sätt, exempelvis via den traditionella sms-tjänsten i ett mobiltelefoninät. Allt som kopplas upp mot internet måste ha en ip-adress (Internet Protocol Address) för att fungera. Vid internetåtkomsten tilldelas användaren en ip-adress 9 Se https://svenskarnaochinternet.se/rapporter/svenskarna-och-internet-2021. Hämtat den 20 april 2023. 10 Se a. prop. s. 384.

genom en tjänsteleverantör. Med ip-adress avses en unik adress som används för identifiering och kommunikation mellan datorer m.m. på internet med hjälp av Internet Protocol-standarden. Det finns två standarder i bruk, IPv4 och IPv6. En IPv4-adress kan exempelvis se ut på följande sätt 193.11.1.15 medan en IPv6-adress kan se ut på följande sätt 2001:06b0:0048:0000:0000:0000:0000:0100 (2001:6b0:48::100 i komprimerad form ).

Ip-adresserna kan vara fasta, dvs. samma användare har alltid samma adress, eller dynamiska, dvs. de tilldelas användaren under en begränsad tid. När dynamiska ip-adresser används kan alltså samma användare ha olika adresser vid olika tillfällen och samma ip-adress kan användas av olika användare vid olika tillfällen.

Adresseringsstandarden IPv4, som introducerades i början av 1980-talet, är den standard som främst används för att kommunicera över internet i dag. Detta protokoll har en begränsad adressrymd, dvs. antalet enheter som kan tilldelas en ip-adress. Detta ledde till att standarden för IPv6 (med en mycket större adressrymd än IPv4) togs fram och började användas i slutet av 1990-talet parallellt med IPv4.

IPv4-adresserna har i princip tagit slut, i den meningen att befintliga adresser redan har allokerats. Det är delvis en förklaring till varför tillhandahållare använder adressöversättning. Adressöversättning är ett vedertaget sätt för aktörerna att hantera bristen på IPv4adresser genom funktioner som t.ex. Network Address Translation (NAT) eller Carrier Grade NAT (CGN). Adressöversättning innebär att flera slutkunder delar på en publik IPv4-adress i stället för att få varsin unik, publik IPv4-adress. I teorin kan upp till cirka 60 000 slutkunder dela på en enda publik IPv4-adress men i praktiken är det betydligt färre slutkunder som delar på en sådan adress. För att i dessa fall kunna veta vem som använt en ip-adress vid ett specifikt tillfälle måste man känna till den avsändande eller motta-

11

Teknisk specifikation från för IPv4, IETF (RFC 791) publicerad 1981, https://www.rfceditor.org/pdfrfc/rfc791.txt.pdf och IPv6 IETF (RFC 1883) publicerad 1995, https://www.rfc-editor.org/pdfrfc/rfc1883.txt.pdf. Hämtat den 20 april 2023. 12

De inledande nollorna i varje grupp och grupper med nollor kan utelämnas. 13

Rapport Koppla upp till internet med framtidssäkra IPv6-adresser, PTS-ER-2021:11. 14

https://www.ripe.net/publications/news/about-ripe-ncc-and-ripe/the-ripe-ncc-has-runout-of-ipv4-addresses. Hämtat den 20 april 2023. 15

Rapport Tillhandahållande av IPv6 i fasta allmänna kommunikationsnät i Sverige, den 10 maj 2022, PTS-ER-2022:21.

gande användarens s.k. portnummer och ha en tämligen precis uppgift om tiden för kommunikationen.

9.3.3 ”Svenska” ip-adresser

Ip-adresser är inte i sig kopplade till ett visst land. Något förenklat kan fördelningen av ip-adresser beskrivas på följande sätt. Organisationen IANA (Internet Assigned Numbers Authority), som drivs av ICANN (Internet Corporation for Assigned Names and Numbers), administrerar ip-adresser globalt. Ansvaret är sedan delegerat till fem regionala organisationer, RIR (Regional Internet Registries) som tilldelar ip-adresser till sina medlemmar, vanligen olika tillhandahållare. De regionala organisationerna är • AFRINIC (African Network Information Centre). • ARIN (American Registry for Internet Numbers). • LACNIC (Latin America and Caribbean Network Information

Centre). • APNIC (Asia Pacific Network Information Centre). • RIPE NCC (Réseaux IP Européens Network Coordination

Centre, nedan RIPE).

Ip-adresserna tilldelas medlemmarna i stora block. Ett block med ipadresser som tilldelas en specifik tjänsteleverantör, har samma tal i de inledande grupperna. Till exempel har Sunet (Swedish University Computer Network) bl.a. tilldelats blocken 193.10.0.0–193.11.255.255 för IPv4 vilket innebär att ip-adresserna i vissa delar av Sunets nät alltid börjar med 193.11. På motsvarande sätt har Sunet bl.a. tilldelats IPv6 block som börjar med 2001:06b0. På det sättet skulle man kunna säga att alla ip-adresser i ett block som tilldelats en svensk tjänsteleverantör är ”svenska ip-adresser”. Olika tillhandahållare kan dock dela på samma inledande tal och en leverantör kan ha verksamhet i flera olika länder.

16 Av PTS föreskrifter (PTSFS 2019:2) framgår att den lagringsskyldige ska lagra uppgifter om publik ip-adress med tillhörande portnummer kopplat till användarens ip-adress och spårbar tid för kopplingen.

Enligt RIPE:s nuvarande policy ska ip-adresserna användas inom medlemmens egna resurser. Tjänsteleverantörens ip-adresser fördelas till olika autonoma system (AS). De stora svenska tillhandahållarna har ofta flera AS. Om leverantören t.ex. tar fram en ny internet-tjänst, så knyts ett antal ip-adresser till denna tjänst. Vilka publika ip-adresser som är knutna till vilket AS registreras och uppgifterna finns publikt tillgängliga. Det innebär att det utan svårigheter går att härleda ip-adressen 193.11.1.15 till Sunet med registrerad adress i Stockholm.

Ett AS behöver dock inte vara knutet till ett visst land och man kan inte med 100 procents säkerhet säga att en ip-adress används i ett visst land. Vid landsgränser är osäkerheten störst om internetåtkomsten sker via mobil nätanslutningspunkt.

Det kan i sammanhanget noteras att det finns kommersiella tjänster för lokalisering av ip-paket och ip-adresser. I en artikel i Journal of Information Technology and Control (ITC 3/46) från 2017, Location Accuracy of Commercial IP Address Geolocation Databases, anges att träffsäkerheten bland de undersökta lokaliseringstjänsterna uppgick till nästan 100 procent på landnivå. När det däremot gällde region- och stadsnivå var träffsäkerheten lägre.

Det går också att, genom olika tekniska lösningar, spåra den nätutrustning som finns närmast innehavaren av ip-adressen och på det sättet få kännedom om ungefärligen var innehavaren befinner sig. Sammanfattningsvis går det med förhållandevis enkla medel och stor träffsäkerhet att fastställa var en viss enhet som använder en viss ipadress finns.

Vi återkommer i avsnitt 9.6.1 kring frågor om Noik och anknytning till Sverige.

9.3.4 Hur sker kommunikation via Noik?

Tillhandahållare av Noik erbjuder tjänster som funktionsmässigt motsvarar de nummerbaserade interpersonella kommunikationstjänsterna. Området för elektronisk kommunikation är emellertid i ständig förändring och utvecklingen går mot allt fler hybridlösningar. Flertalet Noik kan dock sägas fungera enligt en kombination av följande alternativ:

17

Se https://itc.ktu.lt/index.php/ITC/article/view/14451. Hämtat den 20 april 2023.

1. Kommunikationen sker antingen i realtid, eller enligt principen

store-and-forward. 2. Kommunikationen passerar antingen tjänsteleverantörens infra-

struktur, eller så gör den inte det. 3. Kommunikationen fortsätter antingen att vara lagrad hos tjänste-

leverantören efter att den nått fram till mottagaren, eller så gör

den inte det.

Ett exempel på realtidskommunikation är talkommunikation mellan två och flera personer. Principen store-and-forward innebär att kommunikationen mellanlagras på väg till mottagaren, vanligen i tjänsteleverantörens infrastruktur, och att mottagandet kan ske antingen direkt eller vid ett senare tillfälle. Exempel på tjänster av typen storeand-forward är e-post, chatt och röstbrevlådor.

Nästan alla tillämpningar av Noik förutsätter att kommunikationen på ett eller annat sätt passerar tjänsteleverantörens infrastruktur. Detta är särskilt tydligt för tjänster av typen store-and-forward, eftersom kommunikationen då kan anlända till mottagaren i ett senare skede (jfr när nya e-postmeddelanden hämtas efter att mobiltelefonen varit i flygplansläge).

Vissa typer av tjänster för realtidskommunikation kan dock vara utformade så att trafiken efter samtalsuppkoppling går direkt mellan de deltagande terminalerna, utan att passera tjänsteleverantörens infrastruktur. Det bör dock poängteras att själva etableringen av kommunikationen alltid förutsätter att tjänsteleverantörens infrastruktur nyttjas, bl.a. eftersom den initierande parten inte kan antas veta vilken ip-adress som den andra parten använder just då. En central egenskap hos Noik som stödjer realtidskommunikation är därför att aktiva användarkonton behöver meddela tjänsteleverantören att de är aktiva och hur de kan nås (exempelvis genom att de meddelar sin nuvarande ip-adress), för det fall ett talsamtal inkommer från en annan användare. Detta förfarande påminner om hur en mobiltelefons hemmanätverk får information om var i världen mobiltelefonen befinner sig (vid roaming), samt hur den nätinfrastruktur mobiltelefonen för tillfället är ansluten till får reda på ungefär var i nätet telefonen befinner sig (t.ex. någonstans i en specifik grupp av basstationer).