YTTRANDE Diarienr 2009-05-15 226-2009 Justitiedepartementet Åklagarenheten 103 33 STOCKHOLM Delbetänkandet SOU 2009:1 En mer rättssäker inhämtning av elektronisk kommunikation i brottsbekämpningen, Ju2009/834/Å Datainspektionen har granskat delbetänkandet främst utifrån sin uppgift att verka för att människor skyddas mot att deras personliga integritet kränks genom behandling av personuppgifter. Sammanfattning av Datainspektionens yttrande Enligt Datainspektionen är huvudsyftet med de lagförslag som presenteras i delbetänkandet att ge de berörda myndigheterna effektiva och ändamålsenliga verktyg för att kunna lösa sina brottsbekämpande uppgifter och underrättelseuppgifter genom inhämtning av uppgifter om elektronisk kommunikation, men samtidigt förstärka integritetsskyddet och rättssäkerheten vid inhämtningen. Inspektionen, som anser att den lagstiftning som utredningen föreslår i hög grad fyller det syftet, tillstyrker att förslagen i betänkandet, med följande två förändringar, blir lagstiftning. - Domstolsprövning ska vara huvudregel även vid inhämtning enligt 27:20 d) rättegångsbalken (RB). Alternativt bör det införas en bestämmelse om att beslut om inhämtning enligt 27:20 d) RB som fattas av åklagare eller undersökningsledare och som inte avser en viss teleadress ska anmälas till Säkerhets- och integritetsskyddsnämnden. - Inhämtning av abonnemangsuppgifter ska bara vara tillåten vid utredning av brott för vilka fängelse finns i straffskalan, samt vid utredning av brott som återfinns i 5 kap. brottsbalken. Postadress: Box 8114, 104 20 Stockholm E-post: datainspektionen@datainspektionen.se Besöksadress: Fleminggatan 14, plan 9 Telefon: 08-657 61 00 Webbplats: www.datainspektionen.se Telefax: 08-652 86 52
Inspektionen vill i sitt yttrande även fästa uppmärksamheten på vissa andra förhållanden som i övrigt bör beaktas i det fortsatta lagstiftningsarbetet. Datainspektionens närmare överväganden Inledning Genom den tekniska utvecklingen i samhället och det ökande användandet av elektronisk kommunikation och annan verksamhet som leder till behandling av personuppgifter går en allt större del av människors (privat)liv att följa och kartlägga för den eller dem som har tillgång till dessa uppgifter. De brottsbekämpande myndigheterna har getts omfattande tillgång till de personuppgifter som genereras av den nya tekniken och utvecklingen i den riktningen har varit särskilt tydlig efter händelserna den 11 september 2001. Eftersom personuppgifter ur flera av de system som finns kan läggas ihop och användas för kartläggning av enskildas förehavanden, är det vid bedömningen av risken för otillbörligt intrång i personlig integritet viktigt att bedöma föreslagna förändringar ur ett helhetsperspektiv. Det innebär i sin tur att en förändring med avseende på tillgången till trafikuppgifter som ensamt inte innebär en stor förändring i förhållande till gällande ordning kan påverka den totala möjlighet som de brottsbekämpande myndigheterna har att få tillgång till uppgifter om enskildas förehavanden på ett sätt som inte var avsett. Det är uppenbart att inhämtning och bearbetning av uppgifter (och innehåll) om elektronisk kommunikation har kommit att bli ett allt viktigare inslag i myndigheternas brottsbekämpande verksamhet. Detta förhållande måste dock ställas mot det faktum att enskildas rätt till skydd för privatliv och skydd mot undersökning av förtroliga meddelanden är grundläggande fri- och rättigheter som regleras bl.a. i Art. 8 i Europakonventionen och 2 kap. 6 regeringsformen. Det är Datainspektionens uppfattning att myndigheternas tillgång till trafikuppgifter innebär ett omfattande intrång i den personliga integriteten och de bestämmelser som reglerar tillgången till uppgifterna måste inrymma långtgående rättsäkerhetsgarantier i syfte att undvika risker för missbruk och otillbörliga intrång. Sådana garantier är också viktiga för att de brottsbekämpande myndigheternas arbetsmetoder ska åtnjuta allmänhetens förtroende. Sida 2 av 11
En annan aspekt som bör beaktas i detta sammanhang är den upplevda risken för att få sin elektroniska kommunikation kartlagd. Datainspektionen anser att själva risken att få sin kommunikation undersökt i olika sammanhang kan få en person att avhålla sig från vissa beteenden och viss typ av kommunikation, t.ex. besök på vissa webbplatser som ger råd i frågor om psykisk hälsa och liknande. När det gäller inhämtning i brottsutredande syfte och i underrättelseverksamhet innebär det på motsvarande sätt att personer som befunnit sig på en viss plats utan att ha någon som helst koppling till utförd eller kommande brottslighet kan få sin geografiska placering och kommunikation i form av trafikuppgifter röjd för myndigheterna. Om myndigheterna vill leta efter vittnen i anslutning till en viss (brotts)plats, kan en enskild hamna i en situation där han eller hon måste berätta om sina förehavanden för att inte dra misstanke över sig. Problematiken blir särskilt aktuell i fråga om basstationstömningar där myndigheterna dammsuger närområdet till en brottplats efter ingångar i syfte att föra en förundersökning eller annan utredning framåt. I dessa fall kommer en stor del av inhämtningen sannolikt att träffa personer som är irrelevanta för ändamålet med åtgärden. Det finns enligt Datainspektionen vidare anledning att anta att en inte obetydlig del av den oriktade inhämtningen som sker idag är föranledd av användningen av s.k. kontantkort till mobiltelefoner. Att använda kontantkort samt att byta telefoner (IMEI-nummer) under olika skeden av ett brott får ses som en taktikanpassning från de kriminellas sida och det finns anledning att anta att den undre världen hela tiden försöker att anpassa sig och vidta åtgärder i syfte att försvåra myndigheternas arbete. Det kan i sin tur leda till att myndigheterna i vart fall under vissa perioder, när t.ex. brott utförs med nya former av teknisk utrustning som hjälpmedel, kan få det svårare att lösa brott genom inhämtning av uppgifter om elektronisk kommunikation. Det är därför viktigt att myndigheternas fokus på inhämtning av uppgifter om elektronisk kommunikation inte blir för stor, utan att andra metoder för att utreda och bekämpa brott också utvecklas och att sådan förmåga vidmaktshålls. Sida 3 av 11
Upphävande av 6 kap. 22 3 p lagen (2003:389) om elektronisk kommunikation (LEK) Den största strukturella förändringen i utredningens förslag är att reglerna i 6 kap. 22 3 p LEK upphävs och att bestämmelsen, med vissa betydande förändringar, flyttas in i rättegångsbalken. Denna förändring ställer sig Datainspektionen helt bakom. Regleringen i 6 kap. 22 3 p LEK har gett myndigheterna möjligheter att inhämta historiska uppgifter om elektronisk kommunikation endast med en enda begränsning, nämligen att det för det brott, som det enligt myndigheternas bedömning är fråga om, inte är föreskrivet lindrigare straff än fängelse i två år. Några andra begränsningar har inte funnits och Datainspektionen instämmer med utredningen att bestämmelsen inte i tillräcklig grad uppfyller de krav på rättssäkerhet och integritetsskydd som ska grunda en sådan befogenhet. Bedömningen av ett brotts svårighetsgrad görs i samband med att förundersökning inleds och den inledande bedömningen kan därefter komma att bli vägledande för det fortsatta utredningsarbetet i vart fall fram till ett eventuellt åklagarbeslut om anhållande eller i vissa fall domstolsbeslut om häktning. En initial bedömning av en polisinsatschef eller åklagare att ett butiksrån som skett med ett skjutvapenliknande föremål ska bedömas om grovt rån kan medföra att stora mängder information om elektronisk kommunikation i anslutning till brottsplatsen och sedermera från en i tidigt skede gripen och anhållen misstänkt gärningsman inhämtas efter beslut från polis eller åklagare varefter personen häktas av domstol misstänkt för rån av normalgraden. I utredningen finns, pga. de initiala bedömningarna av brottets svårighetsgrad, emellertid uppgifter som inte hade varit tillgängliga för myndigheterna enligt LEK för det fall bedömningarna hade varit desamma som domstolen gjort ett par dagar efter brottet. Genom häktningsbeslutet läggs således ribban för de uppgifter om elektronisk kommunikation som därefter får inhämtas i ärendet, men omfattande inhämtning kan redan ha skett. Med det givna exemplet vill Datainspektionen peka på de uppenbara risker som finns med en mycket integritetskänslig åtgärd som endast är beroende av en enda bedömningsparameter. Inspektionen anser att enbart förekomsten av en möjlighet för de brottsbekämpande myndigheterna att i ett tidigt skede blåsa upp en brottsmisstanke i syfte att få tillgång till uppgifter om elektronisk kommunikation innebär en risk för otillbörligt intrång i personlig integritet. Att myndigheternas åtgär- Sida 4 av 11
der enligt gällande ordning i 6 kap. 22 3 p LEK inte heller blir föremål för uppföljning, statistik och granskning ökar den risken. Genom att myndigheternas tillgång till trafikuppgifter förs in i rättegångsbalkens regler på det sätt som utredningen föreslår kommer helt andra krav att ställas på de bedömningar som myndigheterna ska göra. Dels ska en proportionalitetsbedömning göras, dels ska åtgärden vara av synnerlig vikt och utföras för vissa angivna syften. Slutligen ska domstol, i de fall en misstänkt inte finns, besluta om åtgärden. Detta sammantaget medför enligt Datainspektionen att inhämtningen av uppgifter om den elektroniska kommunikationen kommer att genomföras på ett mer rättssäkert sätt och med större hänsyn till den personliga integriteten än vad som sker idag. Datainspektionen anser vidare att bara den omständigheten att reglerna kommer att återfinnas i rättegångsbalken kan ha en symbolisk betydelse som kan komma att leda till mer noggranna överväganden i de enskilda fallen. Den lösning som utredningen förespråkar innebär att myndigheterna, till skillnad från idag, i de fall där misstänkt saknas, även får möjligheter att inhämta uppgifter vid utredning av osjälvständiga brottsformer i fråga om allvarliga brott, samt i de fall då straffvärdet överstiger fängelse två år. Dessa utökade möjligheter för myndigheterna innebär enligt Datainspektionen inga betänkligheter ur integritetssynpunkt, eftersom de föreslagna reglerna måste läsas tillsammans med de skyddsregler om krav på synnerlig vikt, ett uttalat syfte, samt domstolsprövning i vissa fall. Någon erinran mot inhämtning vid utredning av osjälvständiga brottsformer eller efter en straffvärdesbedömning finns således inte. Utredningen föreslår att inhämtning enligt huvudregeln ska föregås av en domstolsprövning. Endast i de fall då åtgärden är så brådskande att domstolens prövning inte kan inväntas utan väsentligt men för utredningen eller att det är fråga om icke omfattande eller ingripande inhämtning av uppgifter med stöd den föreslagna regleringen i 27:20 d) RB kommer annan än domstol av fatta beslut. Datainspektionen anser dock, mot bakgrund av vad som anförts i inledningen av detta yttrande om graden på integritetsintrång vid basstationstömningar, att åtgärden, som i typfallet kommer att innebära inhämtning av en stor mängd uppgifter om elektronisk kommunikation som för syftet med åtgärden är irrelevanta, innebär ett beaktansvärt intrång i personlig integritet. Det bör därför övervägas om inte också hemlig teleövervakning i de fall där en skäligen misstänkt inte finns ska omfattas av huvudregeln. Mot denna ståndpunkt kan vissa praktiska och resursmässiga betänkligheter naturligtvis finnas, men Datainspektionen tolkar utredningens mo- Sida 5 av 11
tivering till att t.ex. vanliga basstationstömningar ska undantas från huvudregeln om domstolsprövning, som att åtgärden inte är särskilt integritetskränkande. Inspektionen delar inte den bedömningen och anser att domstolsprövning ska vara huvudregel även beträffande inhämtning enligt 27:20 d) RB. Åklagare och undersökningsledare bör självfallet ha möjlighet att i dessa fall fatta interimistiska beslut. En annan fördel med detta förfarande blir att all form av inhämtning avslutas med domstolsprövning (interimistisk inhämtning) eller kontroll av Säkerhets- och integritetsskyddsnämnden (inhämtning som avbryts innan domstolsprövning). Datainspektionen anser att ett likformigt system i förundersökningsfallen är till gagn för rättsäkerheten och den personliga integriteten. Såsom Datainspektionen läser utredningens lagförslag kommer dessutom varken domstol eller Säkerhets- och integritetsskyddsnämnden att kontrollera den inhämtning som sker enligt 27:20 d) RB utan att avse en viss teleadress. En alternativ förstärkning av systemet såvitt avser inhämtning enligt 27:20 d) RB som inte avser en viss teleadress skulle därför, om domstolsprövning inte ska införas som huvudregel även i dessa fall, kunna vara att införa någon form av systematisk efterhandskontroll; t.ex. att åklagaren eller undersökningsledaren efter avslutat ärende underställer Säkerhets- och integritetsskyddsnämnden eller något av nämndens granskningsombud de inhämtningsbeslut som har fattats. Införandet av ett sådant förfarande förutsätter dock att man delar Datainspektions bedömning av integritetsintrånget vid inhämtning enligt 27:20 d) RB. Särskilt om påslagen kommunikationsutrustning som inte har använts för befordran av telemeddelanden Det är uppenbart att de brottsbekämpande myndigheterna har ett stort behov av att inhämta lokaliseringsuppgifter och att detta behov finns såväl inom brottsutredningen som i underrättelseverksamheten. Såsom Datainspektionen har konstaterat ovan bör myndigheterna därför ha tillgång till uppgifterna under förutsättningen att de bestämmelser som reglerar tillgången erbjuder tillräcklig rättssäkerhet och skydd för den personliga integriteten. Datainspektionen anser i denna del att det helt saknar betydelse ur integritetssynpunkt huruvida kommunikationsutrustningen har använts för viss kommunikation eller om den endast har varit påslagen. Alltsedan Justitiekanslerns (JK) beslut i augusti 2008 (6545-06-21) har behov av en ny lagstiftning förelegat. De regleringar Sida 6 av 11
som utredningen föreslår i denna del har inspektionen därför ingen erinran mot. Uppgifter om abonnemang Utredningen föreslår att uppgifter om abonnemang ska kunna inhämtas utan dagens inskränkning att fängelse ska vara förskrivet för brottet och att gärningens straffvärde i det enskilda fallet enligt myndigheternas bedömning inte ska ligga på böter. Datainspektionen anser att den föreslagna förändringen skulle ge de myndigheterna mycket större möjligheter att kunna lösa vissa allt vanligare brottsliga beteenden såsom exempelvis ofredanden på Internet, telefonterror och lindrigare olaga hot via telefon, SMS och på Internet. Även det brott som är hänförligt till Datainspektionens kärnverksamhet, nämligen brott mot personuppgiftslagen (1998:204), skulle mer effektivt kunna utredas och gärningsmännen lagföras. De exemplifierade brotten innebär ofta en stor kränkning av målsägandenas frid och integritet vilket talar för utredningens förslag. Å andra sidan innebär en reglering helt utan begränsning att myndigheterna kan spåra en misstänkt gärningsman med hjälp av uppgifter som är hänförliga till dennes elektroniska kommunikation för utredning av straffrättens mest bagatellartade brott för det fall myndigheterna finner det lämpligt. Även om myndigheternas användande av befogenheterna i dessa fall kan antas bli ringa, finns det enligt Datainspektionen ändå anledning att överväga någon form av begränsning. Ett system utan begränsning skulle innebära att den personliga integriteten i förhållande till abonnemangsuppgifter alltid skulle väga lättare än det motstående intresset, dvs. utredning av visst brott. En rimlig nivå på begränsningen är enligt Datainspektionen att det för brottet ska vara föreskrivet fängelse i straffskalan. Det är dock angeläget att ge de brottsbekämpande myndigheterna möjlighet att inhämta abonnemangsuppgifter beträffande vissa brott som återfinns i 5 kap. brottsbalken (BrB) och för vilka endast böter finns i straffskalan. Sammanfattningsvis i denna del föreslår Datainspektionen att abonnemangsuppgifter ska kunna inhämtas för utredning av brott för vilka det är föreskrivet fängelse straffskalan, samt för utredande av brott i 5 kap. BrB. Inspektionen har inga synpunkter på att regleringen som sådan finns kvar i LEK. Sida 7 av 11
Särskilt om den föreslagna underrättelselagen Kriminalunderrättelseverksamheten är en av de mest integritetskänsliga verksamheterna i samhället. En av anledningarna till det är att verksamheten, som består av en bred inhämtning, genererar en omfattande behandling av personuppgifter beträffande personer som inte är misstänka för brott. Att införa ett krav på att misstanke om brottslighet ska vara knuten till en viss person skulle utan tvekan göra underrättelseinhämtningen smalare, träffsäkrare och innebära ett mindre integritetsintrång. Emellertid torde möjligheterna att nå framgång minska avsevärt och således göra underrättelseverksamheten ineffektiv. Det bör därför inte komma ifråga att införa något krav på personanknuten misstanke för inhämtningen. Enligt Datainspektionen bör istället kraft läggas på att skapa ett system med klara och tydliga regler för bl.a. vilka förutsättningar som ska vara uppfyllda för att inhämtning över huvud taget ska får ske, hur uppgifter som inhämtats får användas för olika ändamål och hur länge uppgifterna får bevaras innan de ska gallras (se vidare i nästa avsnitt). När det gäller frågan om utbrytande av den aktuella regleringen från 6 kap. 22 3 p LEK är Datainspektionen på samma grund som anförts ovan avseende hemlig teleövervakning positiv till utredningens förslag såvitt avser underrättelseverksamheten. Vidare anser inspektionen att den föreslagna lagens 3-5 innehåller ändamålsenliga regleringar till skydd för den personliga integriteten och innebär en klar förbättring i jämförelse med dagens bestämmelser utan att effektiviteten i underrättelsearbetet behöver försämras. Användande av inhämtade underrättelser i brottsutredningar En allmän dataskyddsprincip är att personuppgifter endast får behandlas för det ändamål för vilket uppgifterna ursprungligen samlades in (finalitetsprincipen). Datainspektionen anser att det krav som utredningen ställer upp i sitt förslag, nämligen att det ska ha fattats ett beslut om hemlig teleövervakning för att få använda inhämtade underrättelser i brottsutredningar torde vara det mest effektiva i syfte att undvika att kriminalunderrättelsetjänsten används på ett felaktigt sätt och i strid med finalitetsprincipen. Sida 8 av 11
Utredningen ser ingen anledning att reglera att information som inhämtats inom underrättelseverksamheten används för att förhindra brott och att uppgifterna kan komma att användas för att förhindra brott på bötesnivå. Utredningen anger dock att bl.a. regler i polisdatalagen kan begränsa myndigheternas möjligheter att använda informationen. De regler i polisdatalagen som är av intresse i detta sammanhang återfinns framför allt i lagens 14, 16, 19 och 21 och får till följd att uppgifter om elektronisk kommunikation, i den mån de utgör personuppgifter, får behandlas endast för ändamål som har med s.k. allvarlig brottslighet att göra. Med allvarlig brottslighet avses i detta sammanhang brott för vilket fängelse i minst två år finns i straffskalan. Uppgifterna ska, om de behandlas i en särskild undersökning i kriminalunderrättelseverksamhet, enligt huvudregeln gallras senast ett år efter det att beslut om personuppgiftsbehandlingen fattades och, avseende kriminalunderrättelseregister, senast tre år efter det att uppgifter om att den aktuella personen kan misstänkas för att ha utövat ett komma att utöva allvarlig brottslig verksamhet senast infördes alternativt till dess att en särskild undersökning som avser den registrerade har avslutats. Bl.a. mot denna utgångspunkt anser Datainspektionen att omfånget på flödet av de uppgifter som genereras inom ramen för inhämtningen av uppgifter om elektronisk kommunikation i underrättelseverksamhet är tillräckligt väl reglerat. Inspektionen har därför ingen erinran mot utredningens förslag i denna del. Behandling av uppteckningar av uppgifter om elektronisk kommunikation som har inhämtats i underrättelseverksamhet Utredningen anser att uppteckningar av uppgifter som görs i myndigheternas underrättelseverksamhet i likhet med vad som gäller vid hemlig teleövervakning (och hemlig teleavlyssning) ska granskas snarast. När det därefter gäller användandet av uppteckningarna i olika sammanhang anser utredningen att samma regler som gäller för hemlig teleövervakning ska gälla även för de uppteckningar som har gjorts i underrättelseverksamheten. Datainspektionen anser att det beträffande den av naturliga skäl mindre precisa och därmed mer integritetskänsliga underrättelseinhämtningen bör iakttas en större försiktighet än annars när det gäller uppgifters och uppteckningars fortplantning i de brottsutredande myndigheternas system och register. Emellertid är det inspektionens uppfattning, främst mot bakgrund av de avgränsande regler som utredningen har föreslagit för att myndigheterna ska få be- Sida 9 av 11
driva viss inhämtning av elektronisk kommunikation i underrättelseverksamhet, att det i de föreslagna reglerna finns ett tillräckligt integritetsskydd. Vad Datainspektionen i den delen har redogjort för i fråga om polisdatalagens bestämmelser i föregående avsnitt gäller i tillämpliga delar även beträffande uppteckningar. Kontrollfunktionerna När det gäller främst basstationstömning anser Datainspektionen att oavsett om vidare bearbetning eller ej görs av myndigheterna, intrånget i den personliga integriteten föreligger i vart fall när uppgifter om elektronisk kommunikation riskerar att hamna under ett mänskligt öga vid myndigheten. Främst av praktiska skäl anser dock inspektionen att det inte är påkallat att ge varje enskild person som omfattas av en basstationstömning rätt till överprövning i domstol. Utredningens förslag att det ska finnas en överprövningsmöjlighet endast när inhämtningen riktas mot en viss teleadress godtas därför. Datainspektionen anlägger samma synsätt när det gäller frågan om underrättelse till enskild, men inspektionen anser att avsaknaden av underrättelse till enskild i vissa fall och avsaknad av möjlighet till överprövning trots allt innebär att den enskilde går miste om en möjlighet att tillvarata sin rätt. Inspektionen har dock i det föregående förslagit en förstärkning av integritetsskyddet genom att införa domstolsprövning som huvudregel även för inhämtning enligt 27:20 d) RB. När det slutligen gäller frågan om Säkerhets- och integritetsskyddsnämndens uppgifter, innebär utredningens förslag i relevanta delar att en rad nya och omfattande uppgifter ska lösas av nämnden och dess granskningsombud. Ett förverkligande av förslagen skulle innebära ett verkningsfullt instrument för efterkontroll i syfte att se till att enskildas personliga integritet inte har blivit föremål för otillbörligt intrång, men det är mot bakgrund av de kraftigt utökade arbetsuppgifterna viktigt att tillräckliga resurser för lösandet av uppdraget tillförs och att nämndens ombud besitter tillräckliga kunskaper. Sida 10 av 11
Detta yttrande har beslutats av generaldirektören Göran Gräslund i närvaro av chefsjuristen Leif Lindgren, teamledaren Britt Marie Wester och juristen Nicklas Hjertonsson, föredragande Göran Gräslund Nicklas Hjertonsson Sida 11 av 11