Emil Isberg BAKGRUND

Transkript

1 YTTRANDE ÖVER PTS FÖRSLAG TILL Föreskrifter om ersättning för utlämnande av lagrade uppgifter för brottsbekämpande ändamål (dnr ) Föreskrifter och allmänna råd om skyddsåtgärder av lagrade uppgifter för brottsbekämpande ändamål (dnr ) Emil Isberg BAKGRUND Jag har grundat en ideellt driven Internetleverantör samt arbetat på flera olika tjänsteleverantörer med Internetbaserad leverans av e-post och annan elektronisk kommunikation. Därmed har jag naturligtvis också haft hand om kostnadsberäkningar ifråga DLD. Jag är också ideologisk motståndare till datalagringsdirektivet och har följt implementeringen sedan flera år. En sammanfattning av min syn på datalagringsdirektivet inför att implementeringen började gälla går att läsa på När det gäller schablonersättningen för de löpande kostnaderna samt skyddsåtgärderna har PTS tänkt på många fall, men jag noterade ett par saker som PTS gärna får ta hänsyn till om möjligt. Yttrande över PTS förslag dnr samt dnr

2 2 FÖRESKRIFTER OM ERSÄTTNING FÖR UTLÄMNANDE AV LAGRADE UPPGIFTER FÖR BROTTSBEKÄMPANDE ÄNDAMÅL (DNR ) 2.1 SAMTALS-/SESSIONSLISTA SAMT UPPGIFTSKATEGORIER Jag tycker PTS formulering av uppgiftskategorier och samtals-/sessionslistor är mycket bra och förenklar uttolkningen av vilka uppgifter som de lagringsskyldiga ska lämna ut samt förenklar kostnadsberäkningarna. 2.2 UNDANTAGSREGEL Jag tycker också det är mycket bra att förordningen specierar en undantagsregel att hänfalla till när schablonbeloppen inte går att använda av olika anledningar. Det är också bra att det anges att regeln enbart ska användas när kostnaderna avsevärt avviker från schablonbeloppen. 2.3 ÄNDRA FRÅN KONTORSTID TILL EJ OBEKVÄM ARBETSTID Att hårt styra att utlämnandet har lägre kostnad under det som PTS hävdar är normal kontorstid innebär att det är lätt för en enskild operatör att låta utlämnandet som regel ske strax utanför angiven kontorstid utan större kostnad för operatören och till större kostnad för den begärande myndigheten. Om man ska specifiera kontorstiden är det bättre att hänvisa till vad kollektivavtal anger är arbetstid som inte är obekväm eftersom lag (närmare bestämt Arbetstidslagen) inte specifierar kontorstid alls. Exempelvis anger Almega i IT&Telekomkollektivavtalet från 2010 att med obekväm tid avses all tid utom den som infaller kl 7-18 helgfri måndag - fredag (förutom flextid). Det innebär att det ska till en kraftigare fördröjning av ett ärende för att högre schablon ska kunna krävas. Förordningen ska reglera ersättningsnivån och inte branschers kontorstid. Lämna den enskilda operatörens arbetstid till det framförhandlade kollektivavtalet och undvik detaljstyrning (även om det enbart gäller schablonbelopp i det här fallet). 2.4 TA BORT SPECIFIERING AV VAD SOM INTE RÄKNAS SOM VARDAG PTS skriver i sitt underlag att den lagringskyldige inte görs medveten om begäran förrän kontorstid nästa arbetsdag om de saknar beredskap utanför den kontorstiden. Det gäller naturligtvis också företagsspecifika lediga dagar, oavsett om de räknas som helgdagar enligt lag eller norm. Att specifiera att vissa dagar utöver lagstadgade helgdagar inte ska räknas som arbetsdagar utan att ta hänsyn till företagens egna företagslediga dagar känns knappast särskilt modernt. Det bör vara upp till den enskilda lagringskyldiga hur det jobbar. Om de inte har beredskap en dag kan man oavsett inte begära att de hanterar utlämnandet, oavsett om det råkar vara på en vardag eller helgdag. Man kan undvika att specifiera vad som är varddag i förordningen utan att det påverkar ersättningsberäkningen. Yttrande över PTS förslag dnr samt dnr

3 2.5 ERSÄTTNINGSNIVÅER Majoriteten av de operatörer som föreskriften kommer gälla för har redan bemanning 24/7/365 (dygnet om, året om) och därför skulle jag föreslå att man helt tar bort schablonbeloppet för "utanför kontorstid" och istället kompenserar genom att öka den kvarvarande ersättningen med en tiondel eftersom större delen av myndigheternas begäran rimligtvis kommer att ske under kontorstid. Naturligtvis är det redan klart att en operatör som inte har bemanning under vissa tider knappast kan leverera informationen när de saknar bemanning, men det är onödigt att det ska vara olika kostnader för olika bemanningssituationer. Detsamma gäller avgörandet om det är vardag eller helgdag. Det bör vara upp till den enskilda operatören hur det jobbar. Om de inte har beredskap en dag kan man oavsett inte begära att de hanterar utlämnandet, oavsett om det råkar vara på en vardag eller helgdag. Man kan undvika att specifiera vad som är varddag i förordningen utan att det påverkar ersättningsberäkningen. PTS hänvisar till LEK att verksamheten ska bedrivas så att utlämnandet kan ske utan dröjsmål, och att det i normalfall innebär att processen påbörjats inom en timma från att begäran mottagits samt att det därmed kan innebära arbete utanför kontorstid. Det stämmer naturligtvis att det kan innebära extra kostnader för operatören gällande exempelvis mertid, övertid samt obekväm arbetstid baserat vilka anställningskontrakt samt kollektivavtal som operatören har, men det är inte tillräckligt skäl för att göra kostnadsberäkningen mer komplicerad. Det är också troligt att oavsett när begäran inkommer till operatören så innebär begäran möjligheten att operatören får kostnad för övertid på grund av det normala arbetet, särskilt om det är en mindre operatör som inte har samma möjlighet att ha personal "stand by". Att dela upp schablonerna i kontorstid respektive utanför kontorstid innebär inte att mindre diskrepans kommer att uppstå avseende ersättningen mellan de lagringsskyldiga som har beredskap och därmed arbetar efter kontorstid och de som inte har det. Dessutom ökar risken för att vissa operatörer alltid kommer lämna ut uppgifter efter kontorstid. Om man tar bort uppdelningen av schabloner i kontorstid respektive utanför kontorstid blir det enklare för både operatörer och myndigheter att beräkna och framställa ersättnings- /kostnadsunderlag. 2.6 ACCEPTERAD HANTERINGSTID Jag saknar i förordningen något som anger att processen ska påbörjas inom rimlig tid. Förarbeterna till LEK beskriver visserligen att i normala fall ska processen påbörjas inom en timma från att begäran inkommit och den lagringsskyldige blivit medveten om den. Man kan dock inte anse det självklart att en enskild operatör känner till förarbeterna även om de är lagringskyldiga. Det vore bra om förordningen om ersättningen förtydligar vad som förväntas av operatörerna. Man skulle även kunna skriva in att det är ett krav för att kunna få ersättning att processen påbörjas inom en timma från att den lagringskyldige blivit medveten om begäran. Däremot tror jag att det är onödigt att skriva med hur lång tid den enskilda operatören har på sig att lämna ut uppgifterna. Att schablonen är begränsad är tillräckligt för att operatören ska hantera ärendet skyndsamt och i undantagsfall kan myndigheten som begärt uppgifterna Yttrande över PTS förslag dnr samt dnr

4 nog se till att en operatör inte i onödan fördröjer ärendet. 2.7 ÖVERENSKOMMET STANDARDISERAT GRÄNSSNITT Normalfallet bör vara att standardiserat gränssnitt används. I annat fall riskerar man att enskilda operatörer undviker att använda sig av standardiserat gränssnitt (trots tidsvinsten) och istället utvecklar egna format som ger motsvarande tidsvinst utan lägre schablonersättning. Det innebär att myndigheten som begär utlämning måste ha flera olika hanteringssystem beroende på vilken operatör de begärt information från. Faktiskt finns en önskan från såväl brottsbekämpande myndigheter som från många lagringsskyldiga att ett standardiserat gränssnitt kan användas mellan den lagringsskyldig och begärande myndighet vilket i betydande grad skulle automatisera och effektivisera hanteringen. Rapport ITS 27 kan användas redan nu av lagringskyldiga, och det vore bra om förordningen tog hänsyn till detta genom att hänvisa till gränssnittet för begäran och utlämnande av trafikuppgifter för brottsbekämpande ändamål. Det skulle förenkla för den lagringskyldiga att från förordningen hitta till Rapport ITS 27 eftersom det i annat fall blir den begärande myndighetens skyldighet att informera om att standardiserade gränssnitt finns (även om det inte finns lagkrav på användandet). Skulle det initialt bli avsevärt större kostnad på grund av att icke-standardiserat gränssnitt används kan man använda den befintliga undantagsregeln. Det blir i så fall ett ytterligare incitament till att gå över till att använda av standardiseringsorgan utarbetat gränssnitt. 3 FÖRESKRIFTER OCH ALLMÄNNA RÅD OM SKYDDSÅTGÄRDER AV LAGRADE UPPGIFTER FÖR BROTTSBEKÄMPANDE ÄNDAMÅL (DNR ) 3.1 BEHANDLINGSHISTORIK - LOGGNING Loggningen är viktig ur säkerhetssynpunkt för att säkerställa vem som har haft tillgång till uppgifterna. Problemet är att föreskrifterna anser att historiken ska utplånas i samband med att uppgifterna utplånas. Det kan finnas behov att vid ett senare tillfälle ta reda på vilka som haft tillgång till uppgifterna även om själva uppgifterna har utplånas så jag skulle vilja att förordningen ger utrymme för sparande av historik ytterligare en tid, till exempel ett år efter att själva uppgifterna har utplånats. 3.2 BEHANDLINGSHISTORIK - KRYPTERING LAGRING Förordningen har en i mitt tycke onödig fokusering på krypteringsmetod samt krypteringsnyckellängd. Det är bättre att förordningen enbart fokuserar på att behandlingshistoriken ska skyddas genom kryptering under lagring utan att specifiera vilken metod (allmänt erkänd krypteringsmetod) eller nyckellängd (tillräcklig nyckellängd) som används. Även allmänt erkända krypteringsmetoder kan innehålla säkerhetsproblematik antingen vid lagring eller vid överföring och det bör därför vara bättre om förordningen fokuserar på att säkerhetsnivån man Yttrande över PTS förslag dnr samt dnr

5 ska sträva efter är att använda en sådan kryptering att det är omöjligt att knäcka inom en rimlig tid med rimliga resurser. När det gäller nyckellängd stämmer visserligen att generellt gäller att ju längre nyckel desto starkare blir metoden, men det gäller enbart när man jämför samma metod. När man jämför metoder är det alltför vanligt att man fokuserar på nyckelmängden som används istället för hur stark metoden är i sig. Så återigen tycker jag att förordningen ska fokusera på säkerhetsnivån istället. 3.3 BEHANDLINGSHISTORIK - KRYPTERING ÖVERFÖRING När det gäller överföring till annan behörig person är det viktigt att inte samma krypteringsmetod används som för lagring, främst på grund av att syftet är annorlunda och att man där kan välja en krypteringsmetod som är bättre anpassad till just överföring. Exempelvis kan man använda någon metod som har en krypterings- och en dekrypteringsnyckel så att man kan säkerställa att överföringen skett utan påverkan. Oavsett så bör överföring antingen utelämnas från förordningen eller ha en egen sektion med förtydligad vilken överföring som avses och vilken säkerhetsnivå som ska krävas där. Yttrande över PTS förslag dnr samt dnr