Femte juli

Nätet till folket!

Datalagring

EU-domstolen har flera gånger sagt nej till urskiljningslös lagring av data om allas alla tele- och datakommunikationer utan misstanke om brott. Ändå har såväl Sverige som flera andra EU-länder datalagring som strider mot domstolens beslut. I Sverige utreds nu frågan nu en gång till och i EU funderar man på hur man bäst skall kunna kringgå domstolens beslut.

Delseger för OVPN i The Pirate Bay-mål

av

TorrentFreak:

»After two movie companies demanded that VPN provider OVPN preserve data relating to an IP address used by The Pirate Bay, the parties have been arguing the case in court. In an early victory for OVPN, the court has now ruled that the financial penalties demanded by the movie outfits are inappropriate because the VPN asserts it has no useful information to hand over.«

• TorrentFreak: The Pirate Bay – OVPN Wins First Stage of Information Injunction Battle »

• Bakgrund: Den ständiga jakten på The Pirate Bay – filmbolag ger sig på VPN-tjänst »

Den ständiga jakten på The Pirate Bay – filmbolag ger sig på VPN-tjänst

av

Trots årtionden av rättsprocesser lever The Pirate Bay vidare som vanligt.

Samtidigt fortsätter nöjesindustrin sina försök att få stopp på verksamheten. Nu senast är det filmbolagen SF och Nordisk Film som är på krigsstigen.

Spåren ledde till Coludflare, vidare till ISP:n OBEnetwork och slutligen till VPN-operatören OVPN. Nu har filmbolagen begärt ett informationsföreläggande mot OVPN hos Patent- och Marknadsdomstolen. Men OVPN konstaterar att de inte kan lämna den begärda informationen – då de varken lagrar trafikuppgifter, tidsstämplar, DNS-upplag, IP-adresser, MAC-adresser eller information om ackumulerad bandbredd.

Det skall bli intressant att se hur detta kommer att utvecklas. För oavsett om det beslutas om vite, så finns det inga loggar att lämna ut. VPN-tjänster omfattas inte av kravet på datalagring.

OVPN:s advokat, Michael Lettius på Glimstedts Advokatbyrå konstaterar i sin inlaga:

Tillhandahållandet av VPN-tjänster utgör inte en sådan anmälningspliktig verksamhet som avses i 2 kap. 1 § lagen (2003:389) om elektronisk kommunikation (”LEK”) och därmed omfattas inte heller tillhandahållande av sådana tjänster av lagringsskyldigheten i 6 kap. 16 a § LEK. Av förarbetena till den gällande lydelsen av lagrummet framgår att bl.a. VPN-tjänster inte omfattas då ”det konstateras att förslaget inte innebär att sådana uppgifter ska lagras eftersom sådana tjänster aktiveras först efter internetåtkomsten”.

Ändringen avseende lagringsskyldigheten (och flera andra lagändringar) var påkallade av EU-domstolens dom i det s.k. Tele2-målet 2016. EU-domstolen fastslog i detta och ett annat mål bl.a. att undantag från skyddet för personuppgifter ska inskränkas till vad som är strängt nödvändigt och att, vad gäller lagring, de lagrade uppgifterna sammantagna kan göra det möjligt att dra mycket precisa slutsatser om privatlivet för de personer vilkas uppgifter har lagrats.

Sammantaget medför det anförda att OVPN – som alltså inte tillhandahåller någon elektronisk kommunikationstjänst – inte omfattas av lagringsskyldigheten enligt LEK och därmed inte heller av rekvisiten i det åberopade lagrummet i lagen (1960:729) om upphovsrätt litterära och konstnärliga verk (…)

En lärdom, om man gräver ner sig i länkarna, är dock att det under vissa omständigheter kan gå att se vem som använder en viss IP-adress just nu. Detta är dock inget som behöver bekymra vanliga VPN-användare, som ju hoppar till nya IP-adresser varje gång de kopplar upp sig. Men vill man verkligen känna sig säker – till exempel om man vill sända ett synnerligen konfidentiellt meddelande – då kan det kanske vara lämpligt att koppla upp och ner sig mot sin VPN för just detta tillfälle. Men det får betraktas som överkurs.

OVPN kommenterar fallet:

»Vi bestrider helt och hållet Rättighetsalliansens påstående att OVPN har ”illojala syften” och att vår affärsidé är att hjälpa kriminella undgå rättsvårdande myndigheter. Tvärtom används OVPN av flera olika kundgrupper, som exempelvis journalister, advokater, politiker, myndigheter och konsumenter. För att vara helt tydlig: Vi stödjer inte på något sätt eller förespråkar användning av OVPN för att begå brott. Det är väldigt tydligt i våra Allmänna Villkor.

OVPN:s huvudfokus är att skydda människor från hackare och massövervakning. Vi går mot tider där regeringar, lagligt eller olagligt, avlyssnar sina och andras medborgare på en orimligt stor skala. Vi anser helhjärtat att människor bör uppleva samma integritet oavsett om man talar med en person på internet eller ansikte-mot-ansikte.

Vi står fast vid vår övertygelse om ett övervakningsfritt samhälle.«

Fortsättning lär följa.

Länkar:
• OVPN bestrider informationsföreläggande »
• Rättighetsalliansens ansökan om informationsföreläggande (PDF) »
• Inlaga från OVPN:s advokat (PDF) »
• TorrentFreak: The Pirate Bay’s IP Address Belongs to a VPN Provider, ISP Tells Court »

Fyll gärna på i kommentarsfältet om du hittar något intressant i dokumenten eller om du har nyheter i ärendet.

Felaktig data från dansk datalagring kan ha spridits i hela EU

av

Som vi tidigare rapporterat har Danmark haft problem med sin datalagring. Under åtta års tid han felaktig data ha använts i upp till 10.000 polisutredningar.

Nu utreder både den danska motsvarigheten till Datainspektioner och EU:s European Data Protection Board vad som skett. Tusentals rättsfall har åter öppnats för att se om felaktig data lett till felaktiga domar eller beslut.

Till att börja med pekar detta på risker, brister och osäkerhet i de uppgifter om hämtas ut från lagringen av data om medborgarnas tele- och nätkommunikationer. Men även EU:s princip om informationsdelning kan förvärra problemen. Den piratpartistiske ledamoten av Europaparlamentet Patrick Breyer förklarar:

»This issue is also highly problematic considering that Denmark exchanges communications data with other Member States. While the Commission said Denmark was obliged under the data protection directive to notify recipients of false communications data, the Danish police representative said they were only answering questions from receiving authority. The data protection authority would need to make sure all receiving authorities are notified of errors and, in the meantime, notified that the data MAY be erroneous.«

Enkelt uttryckt: EU:s informationsdelning mellan medlemsstaterna och i olika gemensamma databaser riskerar att sprida uppgifter som bygger på felaktig data i så vida kretsar att det kan bli svårt att rätta till.

Detta väcker även frågor om hur den svenska datalagringen granskas och kvalitetssäkras.

Länkar:
• MEP Patrick Breyer (PP, DE) om bristerna i den danska datalagringen »
• Ur arkiven – Danmark: Datalagringen igång igen efter att allvarliga brister avslöjats »

EU förbereder nytt direktiv om datalagring

av

I corona-krisens skugga förbereder EU ett nytt direktiv om datalagring. Som bekant ogiltigförklarade EU-domstolen det förra direktivet, eftersom det strider mot de mänskliga rättigheterna och vad dessa har att säga om rätten till privatliv.

EU-kommissionären för säkerhet och »inrikes frågor« Ylva Johansson har beställt en studie av hur ett nytt direktiv kan rullas ut. Riktlinjerna tycks ha en kraftig slagsida till förmån för att datalagring skall införas. (EDIT: Studien kan ha beställts innan Johansson tillträdde, då förmodligen på tjänstemannanivå. Vilket dock inte ändrar något i sak.)

Digital Courage kommenterar saken bland annat så här:

»In November 2019, the EU Commission ordered a study on mass data retention of telephone and internet data. The Belgian consulting firm Milieu was awarded the contract and is to complete the study by mid-2020. Milieu is to prepare a “retrospective fact finding support study”, which is to provide the Commission with facts supporting the reflection process that has been ongoing since 2017. We have criticised this reflection process on several occasions, because it merely explores options for blanket mass surveillance without examining alternatives that may be more favourable to the people’s fundamental rights.«

Den piratpartistiske, tyske ledamoten av Europaparlamentet Patrick Breyer skriver i ett uttalande:

»Instead of an independent scientific study, a commercial consultant firm has been contractually obliged to accept all changes to the final report the EU Commission demands. Instead of a transparent procedure, only government representatives in Council are being informed about the process. Instead of involving all affected groups in the study, data protection authorities, professional associations and civil society will not even be asked. Instead of an open-ended approach, EU Security Commissioner Johannsson has already spoken out in favour of new ‘legislation for data retention’ late last year in the Civil Liberties Committee.«

Det verkar med andra ord som om EU-kommissionen (och förmodligen även ministerrådet) redan på förhand bestämt sig för att ignorera eller runda EU-domstolens kritik mot datalagringen.

• Digital Courage: Blanket data retention: biased study by the EU Commission »
• MEP Patrick Breyer (Pp) »
• Utredningens hårt censurerade beställning / direktiv (PDF) »

Kommer smitto-krisen att leda oss in i en Storebrors-stat?

av

Den pågående smitto-krisen kan leda in i en Storebrors-stat.

Ett exempel är hur appar snabbt och enkelt kan sättas upp för att hålla koll på människors risk-status och var de befinner sig. I Kina är detta redan verklighet. I Aftonbladet beskriver Mattias Beijmo några av riskerna:

För de som tycker att stater mer fritt ska få tillgång till våra digitala fotspår är coronaviruset en gudagåva. På samma sätt som kriget mot terrorismen varit ständig förklaringsmodell för allsköns kränkningar av vår integritet, kommer nu viruset vara det som öppnar portarna för att innovativt använda appar som redan finns i vår mobil för att skydda samhället.

Så kan det säkert vara. Dagens Nyheter tycks redan driva den linjen på ledarplats. Det är bara en tidsfråga tills myndigheter och politiska partier hakar på.

När systemet sedan är infört, då är risken uppenbar att det blir kvar. För att det kan vara bra att ha. För att polisen tycker det är praktiskt. För att det underlättar planering av kollektivtrafiken. Och så vidare.

Våra mobiler är redan idag spårsändare som låter myndigheterna kartlägga var vi befunnit oss, så infrastrukturen finns redan på plats. Företag som Google och Facebook säljer redan data om användarnas beteende. Och det finns redan appar som övervakar vår hälsa.

Något större principiellt paradigmskifte är det inte heller. Med FRA-lagen är det redan klart att staten kan skanna av en stor del av våra elektroniska kommunikationer. Och med datalagringen har en princip etablerats som ger myndigheterna klartecken till att betrakta hela befolkningen som potentiella skurkar och terrorister.

Om smitto-krisen tvingar på oss en ny typ av övervakning, då står sista försvarslinjen vid hur lagstiftningen reglerar hur den får användas. Vilket inte är något absolut skydd mot missbruk av systemet. Men det enda som i så fall står mellan oss och ett dystopiskt Storebrors-samhälle.

Nu gäller det att vara uppmärksam och vaksam.

/ HAX

Det kommersiella alternativet till datalagring och hemlig dataavläsning – utanför lagen?

av

Protocol.com rapporterar:

»U.S. law enforcement agencies signed millions of dollars worth of contracts with a Virginia company after it rolled out a powerful tool that uses data from popular mobile apps to track the movement of people’s cell phones, according to federal contracting records and six people familiar with the software.

The product, called Locate X and sold by Babel Street, allows investigators to draw a digital fence around an address or area, pinpoint mobile devices that were within that area, and see where else those devices have traveled, going back months, the sources told Protocol.«

Detta är intressant. Det finns med andra ord kommersiella tjänster som gör samma saker som datalagringen och i viss mån hemlig dataavläsning.

Den centrala frågan är om detta kan ske utanför vad som regleras i lag. Vilket i så fall är problematiskt.

En annan aspekt är att detta är en tjänst (utvecklad för anpassad annonsering) som kan köpas av i princip vem som helst.

Länk: Through apps, not warrants, ‘Locate X’ allows federal law enforcement to track phones »

Video: Datalagring, uppladdningsfilter och ansiktsigenkänning

av

De senaste nätnyheterna: Datalagring, uppladdningsfilter och ansiktsigenkänning.

Se videon på Youtube »

Eftersom denna site är rensad från kakor och andra integritetskränkande tillägg bäddar vi inte in filmen för automatisk uppspelning här – utan ber dig att istället följa länken till Youtube ovan.

Datalagring även för meddelandeappar och sociala media?

av

Säkerhetspolisen och regeringskansliet har idag haft en smått förvirrad kommunikation om datalagring, genom media.

Först ut var Säpo-chefen Klas Friberg, i DN:

»Ett nytt EU-direktiv ger medlems­staterna möjlighet att låta brottsbekämpande myndigheter få tillgång till information från meddelandetjänster i appar och sociala medier. Men ett förslag som bereds i Regeringskansliet innebär att Sverige nu avstår från den möjligheten. Konsekvensen blir att svenska brottsbekämpande myndigheter kommer att sakna viktiga och moderna verktyg för att hantera terroristbrott, spioneri och annan allvarlig brottslighet. Regeringen måste nu skyndsamt utreda frågan.«

Sedan var det dags för digitaliseringsminister Anders Ygeman i SR:

»– Jag delar i grunden säkerhetspolisens bedömning att kommunikationstjänster som liknar sms och andra, ska omfattas av dagens reglering, säger han.« (…)

»– Jag tror att det finns ett missförstånd, mellan regeringskansliet och säkerhetspolisen i vilken lagstiftning du kan reglera den här möjligheten, där Säkerhetspolisen menar att det här bör gå att reglera inom ramen för EU-kodexen, och där regeringskansliets uppfattning är att det här inte räcker, utan att du också måste ändra inhämtningslagen, och då får vi sätta oss ner mellan regeringskansliets och säkerhetspolisens jurister, för att se hur vi bäst kan lösa det.«

Enkelt uttryckt: Både Säpo och regeringen är överens om att datalagringen även bör omfatta meddelandeappar och sociala media.

Hur det skall gå till är dock oklart. Plattformar som Facebook lagrar förvisso radan allt användarna gör. Men hur det skall gå till att få alla olika meddelandeappar med i datalagringen framgår inte.

Sedan är frågan om det alls behövs. Vi har redan den vanliga datalagringen – som lagrar data om alla svenskars alla telekommunikationer, e-postmeddelanden, nätuppkopplingar, mobilpositioner med mera. Snart får vi även hemlig dataavläsning. Vilket innebär att myndigheterna kan bereda sig tillgång till misstänkta personers (m.fl.) smartphones, plattor, datorer m.m. – där de dels kan undersöka allt innehåll (filer, bilder, videos, ljud, kontakter, meddelanden etc.); dels använda kamera och mikrofon för övervakning; dels se allt som görs på enheten i realtid; dels  dels läsa meddelanden som sänds via appar innan de krypterats eller efter att de avkrypterats.

Myndigheterna har alltså redan mycket omfattande tillgång till både icke-misstänktas och misstänktas kommunikationer. Nu vill man utvidga detta till att gälla alla svenskars alla meddelanden via appar. Man tänker uppenbarligen inte ge sig förrän man har kontroll över alla folkets kommunikationer.

Vilket är ett uttryck för att våra politiker betraktar hela svenska folket som potentiella skurkar och terrorister – som ständigt måste övervakas och kontrolleras. Vilket står i kontrast till Europakonventionen om skydd för de de mänskliga rättigheterna – som slår fast att den som inte är misstänkt för brott har rätt till privatliv och privat korrespondens. Och i kontrast mot EU-domstolens principbeslut om att staten inte får bedriva urskiljningslös övervakning av hela folkets telekommunikationer utan misstanke om brott.

Länkar:
• DN Debatt: ”Regeringsnej till EU-direktiv gör Säpos arbete svårare” »
• SR: Säpochefen kritiserar regeringsförslag »
• SR: Ygeman – det råder ett missförstånd »

Uppdatering: Efter att ha ägnat en stor del av dagen till att rota i EU-dokument och att försöka förstå Säpo-chefens utspel – så får jag nog hålla med digitaliseringsminister Ygeman om att Säpo tycks ha missuppfattat saken. Eller så är det ett märkligt PR-utspel med oklart syfte. Men någon egentlig substans bakom Klas Fribergs uttalanden är svåra att finna.

EU-domstolen på väg att stoppa datalagringen – igen

av

EU-domstolens generaladvokat föreslår att domstolen skall stå fast vid sitt beslut från 2014 om att svepande datalagring utan misstanke om brott inte skall vara tillåten.

Det är ett antal mål som rör Frankrike, Belgien och Storbritannien som snart kommer att avgöras av EU-domstolen.

EDRi:

The Advocate General confirms that the ePrivacy Directive and EU law applies to data retention for the purpose of national security. He proposes to uphold the case-law of the Tele2 case and stressed that “a general and indiscriminate retention of all traffic and location data of all subscribers and registered users is disproportionate” and that only limited and discriminate retention with limited access to that data is lawful. He states that “the obligation to retain data imposed by the French legislation is general and indiscriminate, and therefore is a particularly serious interference in the fundamental rights enshrined in the Charter” and similar criticism is raised on the Belgian and UK laws.

Enkelt uttryckt: Att lagra data om alla medborgares telekommunikationer, utan misstanke om brott strider – fortfarande – mot vad de mänskliga rättigheterna har att säga om rätten till privatliv.

Detta är inte bara en knäpp på näsan för de medlemsstater som fortsatt trotsar EU-domstolens beslut om datalagringen – utan även för EU-kommissionen, som försökt ducka frågan.

Nu är frågan: Om domstolen går på generaladvokatens linje (vilket den förmodligen kommer att göra) – kommer detta då även att innebära att den nya svenska lagen om datalagring är ogiltig?

Sverige har ju som bekant, flera gånger, försökt kringgå EU-domstolens beslut. Nu senast med en ny lag om datalagring – som fortfarande bryter mot den grundläggande princip som domstolen slagit fast.

Inom ett par månader kommer domstolens slutgiltiga beslut. Och om domstolen då står för sina principer – då kan den svenska lagen komma att prövas igen eller möjligen ogiltigförklaras direkt.

EDRi: Indiscriminate data retention considered disproportionate, once again »

Privacy International: Preliminary Statement: Advocate General’s Opinion Advises that Mass Surveillance Regime is Unlawful »

EU-domstolens pressmeddelande (PDF) »