Conseil UE Europeiska unionens råd Bryssel den 23 november 2016 (OR. en) 14711/16 NOT från: till: Ordförandeskapet Föreg. dok. nr: 13993/16 Ärende: LIMITE CYBER 137 JAI 976 ENFOPOL 429 GENVAL 122 COSI 192 COPEN 352 Ständiga representanternas kommitté (Coreper)/rådet Kryptering: Straffrättsliga utmaningar i samband med användningen av kryptering framtida åtgärder Lägesrapport PUBLIC Inledning 1. Internet har förändrat hur världen av i dag kommunicerar, och krypteringsteknik är på väg att bli en global aspekt av dessa nya kommunikationsmodeller. Användningen av kryptering tjänar både till att tillgodose legitima behov av säkerhet och personlig integritet och utövandet av enskilda personers grundläggande rättigheter samt till att tillgodose företags och myndigheters behov av en säker och trygg cyberrymd. Företag har börjat investera i och/eller håller på att utveckla verktyg för att genom stark kryptering erbjuda bästa möjliga skydd för sina kunders personliga integritet och för att öka it-säkerheten. Försök att försvaga kryptering eller säkerhetsprotokoll i allmänhet kan medföra att personers privata information eller känslig affärsinformation kan missbrukas av annan part, och kan även föra med sig större it-säkerhetsrisker. 14711/16 sa,le/ee/ub 1
2. I praktiken kan vem som helst använda kryptering för att säkra och skydda sina personuppgifter och/eller sin personliga kommunikation. Säker behandling är ett viktigt inslag i skyddet av personuppgifter, och kryptering ges erkännande som en av säkerhetsåtgärderna i den nyligen antagna allmänna dataskyddsförordningen. Företag, offentlig förvaltning och enskilda uppmanas att använda kryptering för att skydda sina uppgifter och sin elektroniska kommunikation. Även direktivet om integritet och elektronisk kommunikation uppmuntrar till användning av krypteringsteknik för skydd av användares kommunikation. De möjligheter som krypteringstekniken erbjuder utnyttjas dock även av brottslingar för att dölja sina uppgifter och potentiella bevis, skydda sin kommunikation och skapa oklarhet kring sina finansiella transaktioner. 3. Enligt Europols hotbildsbedömning av internetstödd organiserad brottslighet för 2016 är stark kryptering av stor betydelse för e-handeln och andra it-verksamheter, men en tillräcklig säkerhet är beroende av att brottsbekämpande myndigheter har kapaciteten att framgångsrikt utreda brottslig verksamhet. Användningen av kryptering berövar de brottsbekämpande myndigheterna viktiga möjligheter att få fram bevis, särskilt med beaktande av att användningen av kryptering inte längre är begränsad till stationära datorer utan i allt högre grad är tillgänglig på mobila enheter och att många kommersiellt tillgängliga kommunikationsplattformar nu har kryptering som standardinställning (och i allt högre grad i form av totalsträckskryptering, som leder till situationer där tjänsterna inte är möjliga att avlyssna). 4. Vid det strategiska seminariet på temat nycklar till cyberrymden som anordnades den 2 juni 2016 av experter från Eurojust utbyttes information om olika frågor, däribland kryptering. Diskussionen inriktade sig framför allt på tillgången till låsta mobila enheter och i synnerhet möjligheten att använda tidigare insamlade fingeravtryck från en misstänkt person för att öppna en låst enhet i syfte att komma åt uppgifter. Det rådde i stort enighet om att kryptering behövs för att skydda medborgarnas integritet, men att en noggrann avvägning bör göras mellan detta behov och behovet av att bekämpa brottslighet och därigenom säkerställa en högre säkerhetsnivå för alla medborgare. 14711/16 sa,le/ee/ub 2
5. Med beaktande av frågans tilltagande relevans ägnades en politisk diskussion vid justitieministrarnas informella möte i juli i år åt frågan om kryptering. Denna resulterade i ett erkännande av de problem som kryptering medför och ett mandat att fortsätta undersöka saken. Olika åsikter om vilket tillvägagångssätt som bör användas framfördes från att upprätthålla status quo i fråga om respekten för integritet och företagsnormer till en önskan om att hitta effektivare verktyg för brottsbekämpande myndigheter och rentav utvidga lösningarna till att omfatta andra områden bortom det straffrättsliga. Kartläggning av problemet 6. För att följa upp resultaten av den politiska diskussionen beslutade ordförandeskapet att samla in mer djupgående information genom ett frågeformulär som syftar till att bedöma den aktuella situationen med utgångspunkt i perspektivet hos medlemsstaternas brottsbekämpande myndigheter och på denna grundval överväga möjliga riktlinjer för ytterligare åtgärder. 7. Svar erhölls från 25 medlemsstater och från Europol. Dessa svar visar på följande drag som delas av majoriteten av medlemsstaterna: Kryptering förekommer ofta eller nästan alltid i samband med brottsutredningar. (Endast 5 delegationer uppgav att detta sällan förekommer). Erfarenheterna rör både kryptering på internet (i form av krypterad e-post eller annan form av elektronisk kommunikation och/eller kommersiella applikationer såsom Facebook, Skype, WhatsApp eller Telegram) och utanför internet (vanligen brottsutredningar som omfattar krypterade digitala enheter och krypteringsapplikationer). 14711/16 sa,le/ee/ub 3
Varken en misstänkt eller en åtalad som är i besittning av en digital enhet/elektroniska data är rättsligt förpliktad att tillhandahålla de brottsbekämpande myndigheterna krypteringsnycklar/lösenord, i de flesta fall till följd av rätten att inte behöva vittna mot sig själv. I vissa medlemsstater har andra lagstiftningsstrategier tillämpats vilka medger sådana möjligheter, antingen med avseende på den misstänkte och/eller tredje part. Tjänsteleverantörer är enligt nationell lagstiftning förpliktade att tillhandahålla brottsbekämpande myndigheter med krypteringsnycklar/lösenord. Det är inte alltid som det krävs ett domstolsbeslut för detta. Svaren gör dock inte någon åtskillnad på om denna förpliktelse gäller endast leverantörer av elektroniska kommunikationstjänster eller om den omfattar även leverantörer av informationssamhällets tjänster. Avlyssning/övervakning av krypterade dataflöden i syfte att vinna åtkomst till krypterade data är möjlig under vissa omständigheter som anges i den nationella lagstiftningen. Ofta krävs ett domstolsbeslut för detta. Nationella rättsliga ramar som syftar till att säkra elektroniska bevis i fall där dessa krypterats anses vara tillräckligt effektiva, i kontrast till de allmänna rättsliga bestämmelserna om elektroniska bevis. Otillräcklig teknisk kapacitet vad gäller såväl effektiva tekniska lösningar för dekryptering som motsvarande utrustning hör till de 3 främsta utmaningarna, följt av otillräckliga finansiella resurser och otillräcklig personalkapacitet (med avseende på både antalet anställda och deras utbildning). Behovet av praktiskt orienterade åtgärder vägde tyngre än antagandet av ny lagstiftning på EU-nivå (med undantag för en delegation som fastställde ett sådant behov inom området för lagring av uppgifter och laglig avlyssning). 14711/16 sa,le/ee/ub 4
8. Alla åtgärder som vidtas i framtiden bör ta hänsyn till den politiska bakgrund som definieras av rådets slutsatser om förbättrad straffrätt i cyberrymden och om det europeiska rättsliga nätverket mot it-brottslighet som båda antogs vid RIF-rådets möte i juni under det nederländska ordförandeskapet, och de pågående processer som härrör från dem och som avser digitala bevis, med tanke på att en betydande mängd elektroniska uppgifter krypteras och inrättandet av en ram för samarbete med tjänsteleverantörer, med tanke på deras centrala roll, samt processen för att göra de delar av rättsväsendet som bekämpar it-brottslighet och brottslighet som möjliggörs av informationsteknik eller som arbetar med utredningar i cyberrymden funktionella genom att ge dem ett särskilt forum för utbyte av sakkunskap till stöd för utförandet av deras uppgifter. Nästa steg 9. Vid mötet i den övergripande arbetsgruppen för cyberfrågor den 28 oktober lade ordförandeskapet fram en strategi i fyra steg som en möjlig framtida inriktning för arbetet med krypteringsfrågan. Medlemsstaterna välkomnade ordförandeskapets initiativ och stödde åtgärderna i allmänhet. De uttryckte en önskan om att i detta skede skilja på krypteringsprocessen och expertprocessen vad gäller digitala bevis, utan att utesluta behovet av samordning och möjligheten att förena dem i framtiden, samt av att fokusera på politiska och praktiska lösningar snarare än på lagstiftning. Delegationerna konstaterade att kryptering är ett verktyg som syftar till att bevara integriteten och it-säkerheten i samhället. De underströk vikten av att inte förmedla ett budskap om att man bör försvaga krypteringen. Enskilda personers säkerhet i cyberrymden bör säkerställas, men det bör ske genom en balanserad lösning som säkerställer både skyddet av mänskliga rättigheter och individens och samhällets trygghet. De betonade betydelsen av utbildning och välkomnade Europols och Enisas initiativ om att skapa en gemensam arbetsgrupp för trygghet och säkerhet på nätet för att diskutera, utvärdera och söka efter lösningar för att motverka missbruket av kryptering och anonymitet på nätet. 14711/16 sa,le/ee/ub 5
10. Till följd av de inledande diskussionerna i den övergripande arbetsgruppen för cyberfrågor finjusterades 4-stegs-strategin och förelades samordningskommittén på området för polissamarbete och straffrättsligt samarbete den 18 november 2016, då den fick ett brett stöd. Medlemsstaterna lyfte fram behovet av att hantera både tekniska och (straff-)rättsliga aspekter av frågan och att inrikta det framtida arbetet på praktiska lösningar som kan underlätta brottsbekämpande arbete utan att kryptering som sådan och skyddet av medborgarnas integritet undergrävs. Medlemsstaterna betonade återigen vikten av att säkerställa en lämplig balans i detta avseende. Kommissionen ansågs vara bäst lämpad att organisera reflektionsprocessen för att bevara kopplingen till expertprocessen om digitala bevis och för att undvika överlappningar, samtidigt som de två processerna hålls åtskilda. 11. Under den diskussionen tog vissa delegationer mer specifikt upp tjänsteleverantörernas roll och föreslog att man bör titta närmare på räckvidden för deras ansvar och skyldigheter. Andra påminde om att man bör tänka framåt mot bakgrund av den snabba tekniska utvecklingen samt att man bör säkerställa en nära samverkan med relevanta EU-organ, t.ex. Europol och Eurojust, i denna process. 12. Det europeiska rättsliga nätverket mot it-brottslighet höll sitt första sammanträde den 24 november 2016 och diskuterade då tekniska och rättsliga utmaningar när det gäller kryptering och rättsliga hinder för hemliga utredningar online. Vid de kommande mötena förväntas nätverket fortsätta diskussionerna om dessa frågor samt utbyta bästa praxis och informera om relevant nationell lagstiftning. 14711/16 sa,le/ee/ub 6
13. Rådet uppmanas därför att utvärdera de framsteg som gjorts hittills och godkänna den 4-stegs-strategi som beskrivs i punkterna A D nedan som utgångspunkt för framtida arbete på detta område: A. Lansera en reflektionsprocess under kommissionens ledning om de straffrättsliga utmaningarna i samband med användningen av kryptering, i syfte att utarbeta praktiska lösningar som skulle möjliggöra ett eventuellt utlämnande av krypterade uppgifter eller krypterade enheter genom en integrerad EU-strategi och EU-ram. För att säkerställa samstämmighet och undvika dubbelarbete bör man i denna reflektionsprocess när så är lämpligt ta hänsyn till de framsteg som gjorts i den pågående expertprocessen om digitala bevis och i processen för utarbetandet av en gemensam ram för samarbete med tjänsteleverantörer i syfte att erhålla vissa kategorier av elektroniska uppgifter samt integrera resultaten av dessa processer. B. Utforska möjligheterna att förbättra den tekniska expertisen på både nationell nivå och EU-nivå för att möta aktuella och framtida utmaningar som härrör från kryptering, bland annat genom att förbättra den tekniska kompetens som redan finns inom Europol och att uppmuntra medlemsstaterna att utnyttja denna kompetens inom gränserna för dess mandat samt att ytterligare utveckla Europol som ett europeiskt kompetenscentrum för kryptering. Hjälp från andra relevanta EU-organ, t.ex. Enisa, skulle också kunna övervägas. 14711/16 sa,le/ee/ub 7
C. Uppmuntra medlemmarna i det europeiska rättsliga nätverket mot it-brottslighet att i sitt forum också ta upp praktiska/operativa aspekter som rör kryptering för diskussion och utbyte av information, god praxis och sakkunskap. Nära samarbete och samråd mellan Europol, Eurojust och nätverket förefaller vara avgörande för att möta de utmaningar som följer av kryptering. D. Fördjupa de praktiska/operativa aspekterna av den krypteringsrelaterade utbildning för brottsbekämpande myndigheter som EU-enheter tillhandahåller och öka de kapacitetsuppbyggande insatserna för att säkerställa att de som arbetar inom området har lämplig och aktuell kunskap och förmåga att inhämta och hantera 14711/16 sa,le/ee/ub 8