Femte juli

Nätet till folket!

Länktips

Vi använder kategorin länktips dels när vi vill tipsa om något intressant, dels när vi publicerar andra poster med många och/eller bra länkar.

Hård kritik mot förslag om nätcensur inför EU-valet

av

EU-kommissionen vill kontrollera innehållet i sociala media och sökmotorer inför sommarens EU-val. Experterna sågar förslagen.

EU-kommissionen har sänt upp en del testballonger om hur man kan motverka desinformation och otillbörlig påverkan i EU-valet: Guidelines for Providers of Very Large Online Platforms and Very Large Online Search Engines on the Mitigation of Systemic Risks for Electoral Processes.

Detta blir extra intressant då det är första gången EU:s nya Digital Services Act (DSA) prövas i skarpt läge.

Electronic Frontier Foundation (EFF) skriver bland annat att kommissionen fokuserar för hårt på användargenererat innehåll – och för lite på plattformarnas egna processer och grundläggande mänskliga rättigheter, speciellt yttrandefriheten.

EFF konstaterar även att det saknas definitioner av till exempel »hat« och »desinformation«, vilket är ett problem om man vill bekämpa sådant. Innehåll bör inte kunna stoppas bara för att det anses vara »problematiskt«.

Man varnar även för allt för nära samarbete mellan plattformar / sökmotorer och myndigheter. Det gäller speciellt om sådant samarbete inte är öppet och transparent. Vidare:

»[W]e recommend that the Guidelines acknowledge the potential of abuse of the trusted flagger provision in the DSA. As pointed out in previous comments and publications, the DSA lacks general safeguards for users, opening the door to potential notice, action, and human rights misuse. Any guidance should therefore stress that trusted flaggers must have the collective interests of the public and the protection of fundamental rights in mind. This is particularly true for authorities that have been awarded the status of a trusted flagger.«

Detta handlar alltså om de trusted flaggers (sv: betrodda anmälare) som skall godkännas av staten och få en direktlina till sociala media för att rekommendera vilket innehåll som skall plockas bort. Detta är speciellt problematiskt då sådana förutsätts vara organisationer som kan antas ha en egen agenda. Läs mer här »

Denna kritik är dock inget mot den bredsida som professor Alexander Peukert vid Goethe-Universität Frankfurt am Main avfyrar. Som en av de ledande experterna på EU:s nya Digital Services Act (DSA) vänder han denna nya lagstiftning mot EU-kommissionen.

Enkelt uttryckt menar han att stora delar av ovan nämnda guidelines inte är förenliga med DSA.

Till att börja med noterar han att det saknas definitioner och bedömning om vad som kan anses vara proportionerligt. Han kritiserar också den bristande transparens (och bristande regelverk) kring alla de aktörer som kommissionen vill skall vara med och moderera innehåll.

Vidare noteras att många av de fact checkers som kan komma att användas är baserade i länder utanför EU, främst i USA. Peukert menar att man i vart fall bör ställa samma krav på dem som på trusted flaggers, till exempel att de skall vara baserade i EU.

Det föreslagna samarbetet mellan plattformar / sökmotorer och myndigheterna för att moderera innehåll sågar han helt. Sådant saknar lagligt stöd i DSA. Detta gäller även kommissionens idéer om att märka AI-genererat innehåll.

Detta för att bara ta några exempel.

Nu återstår att se vilka skarpa förslag EU-kommissionen kommer att lägga fram.

Risken är att den kommer att bortse från kritiken och gå bortom sitt mandat.

Länkar:
• Disinformation and Elections: EFF and ARTICLE 19 Submit Key Recommendations to EU Commission »
• Verfassungsblog: Risky Recommendations »
• Guidelines for Providers of Very Large Online Platforms and Very Large Online Search Engines on the Mitigation of Systemic Risks for Electoral Processes »

Relaterat:
• Trusted Flaggers – EU:s nya nätcensur dekonstruerad »
• EU tänker inskränka yttrandefriheten »
• EU:s framväxande Sanningsministerium »

Chat Control: Det är totalsträckskryptering Ylva Johansson vill komma åt

av

Chat Control 2 har kört fast. Men EU:s ministerråd och EU-kommissionär Ylva Johansson vill inte ge upp tanken på att komma åt totalsträckskrypterade (E2EE) meddelanden.

I början av veckan höll EU:s inrikes- och justitieministrar möte i Bryssel. En av punkterna på ministerrådets agenda var Chat Control. (Video »)

Chat Control 1 (frivillig skanning av innehållet i medborgarnas meddelanden) förlängs, då Chat Control 2 (obligatorisk skanning samt AI-analys) kört fast i Europaparlamentet.

Det belgiska ordförandeskapet meddelade att man ändå har ambitionen att få till stånd ett beslut i ministerrådet om CC2 innan sommaren (då Ungern tar över ordförandeklubban).

Som vi rapporterade förra veckan fortsätter diskussionen och det belgiska ordförandeskapet har skickat upp några olika testballonger.

Bland annat vill man ha medlemsstaternas feedback på ett nytt sätt att göra riskbedömningar för olika meddelandetjänster (m.m.). Syftet med detta tycks vara att inte släppa frågan om tillgång till totalsträckskrypterade / end-to-end-krypterade (E2EE) meddelanden:

»Do you agree to include high-risk services using E2EE in the scope of standard detection orders, under the condition that a detection order should not create any obligation that would require a provider to create access to end-to-end encrypted data and that the technologies used for detection are vetted with regard to their effectiveness, their impact on fundamental rights and risks to cyber security?«

Vilket känns som en konstig fråga. Så här, ungefär: Skall CC2 omfatta E2EE under förutsättning att man inte kan tvinga operatörerna att bereda sig tillgång till E2E-krypterade meddelanden?

Det hela känns genomskinligt. Till att börja med är detta en uppenbar fint för att bryta ner en eventuell blockerande minoritet i ministerrådet. Att mjuka upp en text för att få igenom den och därefter strama upp den igen är ett klassiskt knep i EU:s maktspel.

Vidare handlar det om att vissa medlemsstater väldigt gärna vill komma åt E2E-krypterade meddelanden. Lyssnar man till vad inrikeskommisionär Ylva Johansson hade att säga på ministerådsmötet är det uppenbart att detta är synkat med EU-kommissionen (och Europol).

Enligt Johansson är E2EE nu det stora nya hotet mot barnen. (Nyss var det Darknet.)

Det är i sammanhanget väl känt att kommissionen och dess »högnivågrupp« arbetar intensivt med frågan om hur myndigheterna skall kunna bereda sig tillgång till E2E-krypterade meddelanden. Uppenbarligen hoppas man fortfarande att CC2 skall vara verktyget som gör detta möjligt.

Motståndet utgörs främst av Europaparlamentet som satt ner foten och sagt nej till så gott som allt av substans i CC2. Nu gäller det att det nya Europaparlament som väljs i sommar håller fast vid detta. Så länge parlamentet har tydliga röda linjer blir det svårt att finna en kompromiss i trilogförhandlingar med ministerrådet och kommissionen.

Dessutom har Europadomstolen slagit fast att rätten till E2EE är en mänsklig rättighet. Och Tyskland vill göra rätten till E2EE obligatorisk.

Dramat fortsätter. Men än så länge står CC2 och stampar på samma fläck, även om ministerrådet försöker trixa. Vi håller ett öga på detta, men just nu finns det ingen anledning till panik. Sannolikt kommer frågan att rinna över till nästa mandatperiod, efter sommarens EU-val.

Nästa möte med EU:s inrikes- och justitieministrar (RIF-rådet) hålls i Luxemburg den 13-14 juni. Om man inte gör någon fuling (som att fatta beslut om CC2 som en A-punkt* på något annat ministerrådsmöte) lär inga formella beslut fattas innan dess. Dock kommer frågan säkert att knådas bland tjänstemännen i Coreper.

(*En A-punkt är när tjänstemännen i Coreper förbereder ett ärende som sedan klubbas utan debatt på ett ministerrådsmöte utan debatt. Och då behöver det inte nödvändigtvis vara det relevanta ministerrådet. Till exempel smusslades IPRED-lagen igenom i tysthet på ett möte med rådet för fiskerifrågor.)

Relaterat:
• EU:s ministerråd ger Chat Control 2 konstgjord andning »
• Chatkontrolle: Der Rat will es nochmal versuchen »

Läs mer:
• Chatcontrol.se »
• Chatcontrol.eu »
• StopScanningMe.eu »

Följ oss även på Twitter: @femtejuli

EU:s ministerråd ger Chat Control 2 konstgjord andning

av

I ett försök att komma åt medborgarnas totalsträckskrypterade meddelanden försöker EU:s ministerråd hålla liv i Chat Control 2 – trots att förslaget i praktiken redan har fallit.

Måndag och tisdag nästa vecka (4-5 mars) samlas EU:s inrikes- och justitieministrar för möte i ministerrådet. På dagordningen står bland annat frågan om Chat Control 2. Igen.

Man har redan kommit överens med EU:s övriga institutioner om att förlänga Chat Control 1 (frivillig skanning av innehållet i användarnas meddelanden) fram till den 3 april 2026.

Nu är frågan hur man skall hantera Chat Control 2 (obligatorisk skanning av innehållet i elektroniska meddelanden), som ju redan skjutits i sank av Europaparlamentet.

Att ministerrådet alls skulle kunna nå någon kompromiss med parlamentet är osannolikt, då parlamentet sagt nej till alla bärande delar i CC2.

Det känns mer troligt att nästa EU-kommission kommer att lägga fram ett nytt förslag – Chat Control 3 – som kan träda ikraft senast i april 2026.

Detta hindrar dock inte det belgiska EU-ordförandeskapet från att diskutera frågan vidare, även om det känns lite som slöseri med tid.

Förklaringen kan möjligen ligga i att man ser CC2 som en murbräcka för att komma åt totalsträckskrypterad / E2E-krypterad kommunikation.

I sammanhanget skall noteras att Europadomstolen nyligen slagit fast att rätten till krypterad kommunikation skyddas av de mänskliga rättigheterna och vad dessa har att säga om rätten till privatliv och privat korrespondens. Alla Europarådets medlemsstater (däribland alla EU-medlemmar) är bundna av detta beslut.

Dessutom går Tyskland nu fram med lagstiftning om att göra rätten till totalsträckskryptering obligatorisk. För övrigt existerar idag inga verktyg för att granska E2E-krypterad kommunikation.

Inte desto mindre insisterar det belgiska EU-ordförandeskapet på att fortsätta diskutera CC2 i ministerrådet, på detaljnivå. Man vill även ha input från medlemsstaterna om ett antal delfrågor.

I föredragningslistan finns frågan uppsatt som en ”progress report”. Några tecken från Coreper på mer än så finns (ännu) inte.

Den svenska regeringens linje bör vara att CC2 skall läggas på hyllan tills vidare. I vart fall fram till dess att vi vet vad den nya EU-kommissionen kommer att föreslå, efter att den tillträtt vid nästa årsskifte.

Fredag den 1 mars håller riksdagens EU-nämnd möte. Då skall nästa veckas ministerrådsmöte diskuteras med justitieminister Strömmer.

Detta vore ett utmärkt tillfälle för riksdagen att göra som flera andra EU-länders parlament (bl.a. Finland och Österrike) – och säga blankt nej till Chat Control 2, då förslaget strider mot de grundläggande mänskliga rättigheterna.

(För övrigt kan noteras att även den nya polska regeringen säger nej till CC2.)

Läs mer:
• Chatcontrol.se »
• Chatcontrol.eu »
• StopScanningMe.eu »

Följ oss även på Twitter: @femtejuli

Nu tar EU makten över din webläsare

av

Nu beslutar EU att din webläsare skall tvingas acceptera statligt påbjudna certifikat – som kan öppna för övervakning av vad du gör på nätet.

På torsdag röstar Europaparlamentet om ett European Digital Identity framework (eIDAS). Frågan om ett digitalt EU-ID är kontroversiell nog i sig. Men EU är även på väg att ta makten över din webläsare.

Vi har tidigare beskrivit frågan så här:

»Vad det handlar om är ett förslag om att din webb-läsare kanske måste acceptera certifikat som staten säger åt den att acceptera – utanför HTTPS certifikatsystem (artikel 45). Facktermen är QWAC.«

Och så här:

»Blir förslaget verklighet kommer den browser du använder att tvingas acceptera interaktion med certifikat från sådan tredje part som beslutas av regeringen – utan nödvändiga säkerhetsgarantier och helt utanför HTTPS certifikatsystem.

Vilket får allvarliga konsekvenser för säkerheten på nätet. Samtidigt öppnar det för att staten kan övervaka dig och vad du gör online.«

Techradar skrev förra veckan:

»Secure browser providers, like Mozilla, and cryptographers, computer scientists, and privacy advocates have warned of how these proposed provisions endanger the security and privacy of citizens across the block.«

»What the eIDAS wants to change, raising many concerns within the industry, is how to deal with these certificates. As computer engineer and professor at EPFL Carmela Troncoso explained, the law will give EU states the right to issue these proofs of trust which web browsers will have to accept as truthful. Browser providers will also be prevented from removing these certificates (as it currently happens) even in cases where they notice malicious activities, unless the member state doesn’t allow it.«

»”[The law] changes the balance of power by moving these security checks on member states. We find this to be extremely dangerous,” Troncoso told me. ”The security of the whole internet is on the line because this is not about the security of two pages, it is the whole thing.”«

Tyska Netzpolitik.de beskriver hur Europaparlamentet och IT-experter talat förbi varandra under processen. Politikerna menar till exempel att QWACs aldrig missbrukats för övervakning – vilket de facto skett i Kazakhstan, Kina, Ryssland och Frankrike.

Förvirringen om vad som gäller är betydande. Den som vill läsa den text parlamentet skall rösta om på torsdag, se punkt 38, artikel 45. Det finns även ett yrkande (ändringsförslag 15) om att helt stryka artikel 45.

Som vanligt finns det inga garantier för att Europaparlamentets ledamöter förstår vad de beslutar om när det kommer till internet och IT.

I värsta fall får man väl använda VPN för att hämta hem en web-läsare som inte tvingas acceptera EU-certifikaten, från något land utanför unionen.

Tyskland vill göra rätten till totalsträckskryptering obligatorisk

av

Samtidigt som EU vill urholka rätten till säker krypterad elektronisk kommunikation vill den tyska regeringen göra den obligatorisk.

Det tyska departementet för transport och digitala frågor har nu tagit första steget mot att göra rätten till totalsträckskryptering / end-to-end-kryptering (E2EE) obligatorisk. Detta är en fråga som regleras i den tyska regeringens koalitionsfördrag, men som dragit ut på tiden.

Vad är det då som skall bli obligatoriskt? Det tycks inte handla om något generellt absolut krav på kryptering av allt. Däremot måste alla meddelande- och molntjänster erbjuda möjligheten till E2EE. Detta skall gälla överallt där det är tekniskt möjligt.

Vilket är ett stort steg i rätt riktning, även om man kan tycka att E2EE borde vara standard för alla elektroniska kommunikationer.

En intressant aspekt är att en av EU:s tyngsta aktörer nu är på väg att göra rätten till totalsträckskrypterad kommunikation till lag. Vilket går på tvärs mot vad andra länder i EU:s ministerråd vill. Till exempel vill Spanien helt förbjuda E2EE.

Samtidigt har EU en »högnivågrupp« som arbetar med frågan om hur man skall kunna kringgå kryptering och bereda sig tillgång till all elektronisk kommunikation.

Detta skall bli intressant att följa.

• Recht auf Verschlüsselung geplant »

Relaterat: Going dark – EU:s krig mot krypterad kommunikation »

Europadomstolen: Totalsträckskryptering är en mänsklig rättighet

av

Europadomstolen försvarar rätten till totalsträckskrypterad kommunikation. Detta sätter käppar i hjulet för det svenska utredningsförslag som vill avskaffa den.

Europadomstolen för de mänskliga rättigheterna (ej att förväxla med EU-domstolen) har nu slagit fast att myndigheterna inte har rätt att kräva ut nätanvändares totalsträckskrypterade (E2EE) kommunikation i läsbar form.

Domstolen slår alltså fast rätten till säker totalsträckskrypterad kommunikation.

Europadomstolen delar även EU-domstolens uppfattning om att datalagring (lagring av metadata om allas telefonsamtal, SMS, e-postmeddelanden, uppkopplingar, mobilpositioner m.m.) strider mot vad de grundläggande mänskliga rättigheterna har att säga om rätten till privatliv och privat kommunikation.

Detta menar domstolen även gäller meddelandetjänster.

Domen är extra intressant för oss i Sverige. Här har en utredning nyligen föreslagit att:
i) datalagringen bör utökas till att även omfatta meddelandetjänster
ii) dessa på begäran skall tvingas lämna ut innehåll i elektronisk kommunikation till myndigheterna i läsbar form.

Båda dessa förslag säger alltså Europadomstolen nej till. Utöver deklarationen om de mänskliga rättigheterna hänvisas till flera principiella uttalanden av Europarådet (till vilket Europadomstolen är kopplad). Europarådet består av fler europeiska länder än EU och är organisationen bakom Europakonventionen om de mänskliga rättigheterna.

Vad gäller den andra punkten menar domstolen helt korrekt att en operatör inte kan bereda sig tillgång till en användares totalsträckskrypterade meddelanden utan att samtidigt undergräva möjligheten till säker E2E-kryptering för alla.

Detaljerna i fallet rör meddelande-appen Telegram. Även om dess default-läge bara är kryptering mellan användare och meddelandeserver kan användare slå på totalsträckskryptering, vilket här är fallet.

Målet är mellan användare och ryska staten. Även om Ryssland lämnat Europarådet strax efter invasionen av Ukraina påbörjades ärendet tidigare och rör perioden då landet fortfarande var med.

Ärendet är av principiell betydelse och domen gäller alla Europarådets medlemsstater. Den är sprängstoff med tanke på att EU just nu försöker finna nya former för datalagring och för att kringgå totalsträckskrypterad kommunikation.

Det skall även bli intressant att se hur detta kommer att påverka utformningen av ny svensk lagstiftning om datalagring. Sådan kommer att bli nödvändig, då den nuvarande svenska lagen (trots att den skrevs om) fortfarande bryter mot den princip som slagits fast av EU-domstolen:

Övervaka dem som misstänks för brott – inte alla andra, hela tiden.

Länkar:
• Europadomstolens dom »
• Inlaga i processen från European Information Society Insitute (EISi) »

Relaterat från denna blogg:
• Ny svensk datalagring och bakdörrar till krypterad kommunikation »
• Striden om ett nytt datalagringsdirektiv i EU »
• Going dark – EU:s krig mot krypterad kommunikation »

EU:s AI Act och ministerrådets fulspel

av

I EU:s ministerråd används paradoxalt nog de mänskliga rättigheterna som argument för mer övervakning.

Just nu processar medlemsstaterna i ministerrådet EU:s nya AI Act. Det är ett märkligt skådespel.

Artificiell intelligens kan möjligen behöva regleras. Problemet är att sådan reglering bygger på hur AI fungerar idag, trots att konceptet ständigt förändras i rasande fart.

Risken är att lagstiftningen kommer att vara föråldrad redan när den klubbas. En annan risk är att detta kommer att bli ännu ett hinder för utvecklingen av europeisk IT-industri.

Men det finns ett område ministerrådet inte vill reglera. Det gäller nationell säkerhet och polisiärt arbete. Då är det plötsligt viktigt att vara flexibel…

En absurd twist är att länder som Frankrike och Tyskland nu försöker blockera förslaget till AI Act med argumentet att den kan strida mot de grundläggande mänskliga rättigheterna. Detta trots att det är uppenbart att det verkliga skälet är att de vill kunna använda AI för att övervaka medborgarna.

Under rubriken dubbla budskap kan noteras att Tyskland motiverar sitt motstånd mot förordningen med att den inte innehåller något förbud mot användning av biometrisk data vid övervakning. Men ingenstans tidigare i processen har Tyskland framfört någon sådan invändning.

Skulle EU:s AI Act bli allt för urvattnad, blockeras eller falla är det fritt fram för medlemsstaterna och övervakningsindustrin att använda både biometrisk data och AI för att övervaka medborgarna.

EU:s AI Act är i sig en märklig lagstiftning. Den känns framstressad av politiker som vill reglera en teknik de inte riktigt förstår. För att de kan.

Kanske vore det rimligare om AI föll under övrig lagstiftning och dess mer generella principer. Såväl vad gäller civil som offentlig och polisiär användning. Men det är bara en lös tanke.

EDRi: Council to vote on EU AI Act: What’s at stake? »

Nu förlängs Chat Control 1 – i väntan på Chat Control 3

av

Tro inte att striden om Chat Control är över. Ett nytt förslag om vad som skall ersätta Chat Control 1 kommer under nästa EU-mandatperiod.

Med starka argument om grundläggande mänskliga rättigheter lyckades vi stoppa Chat Control 2 i Europaparlamentet.

CC2 skulle göra granskning av medborgarns elektroniska meddelanden obligatorisk och föreskrev även att AI skulle granska allt som skrivs, sägs och sänds för att identifiera olagligt innehåll.

För att operatörer och plattformar frivilligt skall kunna fortsätta granska sina användares meddelanden i jakt på innehåll med sexuella övergrepp mot barn förlängs nu Chat Control 1, som i sin ursprungliga form går ut i sommar.

Egentligen är detta också problematiskt. Brevhemligheten är en grundläggande mänsklig rättighet som även bör gälla online. Och alla offentliga postningar kan plattformarna granska utan att det krävs någon lag alls.

Men nu är det som det är och CC1 är mindre dålig än CC2.

Just nu behandlas frågan i Europaparlamentets LIBE-utskott, där förslaget är att CC1 skall förlängas med ett år. Kommissionen vill ha en förlängning med två år och rådet med tre.

Hur som helst måste vi förbereda oss för Chat Control 3, som kommer att komma när en ny kommission tillträder efter sommarens EU-val.

Vi vet inte hur CC3 kommer att se ut mer än att man kommer att föreslå en fortsatt granskning av innehållet i folks elektroniska meddelanden. En central fråga är om det kommer att bli frivilligt eller obligatoriskt.

Vidare kan man anta att AI-analys av innehållet i våra kommunikationer knappast återkommer i CC3, i vart fall inte i sin tidigare form. Kritiken var för hård. Men vad som helt kan hända.

Den stora striden lär stå om rätten till krypterad kommunikation. Kanske i CC3, kanske i någon annan dossier. Men att frågan blir aktuell under nästa EU-mandatperiod är rätt uppenbart.

Samtidigt kör EU:s medlemsstater egna race för att kringgå krypterad kommunikation. Till exempel föreslår en svensk statlig utredning att meddelandetjänster på begäran skall tvingas överlämna innehåll i användarnas meddelanden till myndigheterna i »läsbar form«.

Uppdatering: Nu har Europaparlamentets LIBE-utskott röstat för ett års förlängning av Chat Control 1.

• European Parliament to extend voluntary chat control with some modifications »
• New chat control gate leak: Intelligence-industrial network suggests undermining encryption for other purposes than CSAM »

Skurkstater i FN vill ta kontroll över internet

av

Ryssland, Kina och Iran vill göra FN:s Cybercrime Treaty till ett verktyg för kontroll och förtryck. Nästa vecka kan allt avgöras.

29 januari till 9 februari genomförs slutförhandlingar om FN:s Cybercrime Treaty. Den text som ligger på bordet är problematisk.

Får länder som Ryssland, Kina, Iran och Pakistan som de vill öppnas dörren för censur och övervakning på ett sätt som står i konflikt med grundläggande mänskliga rättigheter. Några exempel:

  • Man är inte ens överens om vad »cyberbrottslighet« egentligen är. Vilket skapar utrymme för godtycke.
  • Vad vi i de demokratiska rättsstaterna betraktar som helt lagliga yttranden online kan komma att kriminaliseras.
  • Verksamhet som bedrivs av cybersäkerhetsexperter, visselblåsare, aktivister och journalister kan komma att kriminaliseras.
  • Säker elektronisk kommunikation kommer att undermineras.
  • IT-tekniker kan tvingas kringgå dagens verktyg för säkerhet online.
  • Data och information kan komma att delas och hämtas över gränserna på ett sätt som går bortom vad som kan anses vara lämpligt, nödvändigt och proportionerligt. Detta utan rimligt dataskydd och utan hänsyn till rättsstatens grundläggande principer.

Den sista punkten innebär att internetoperatörer och nätplattformar kan tvingas lämna ut information om sina användare och deras aktiviteter till skurkstater.

I sammanhanget skall man komma ihåg att många länder anser saker vara olagliga som är helt lagliga och självklara i en demokratisk rättsstat och i ett öppet samhälle.

Enkelt uttryckt är den aktuella texten skräddarsydd för auktoritära och totalitära stater som vill övervaka folket, kontrollera oliktänkande och hindra fri information.

Texten är inte förenlig med svensk eller EU:s lagstiftning. Och om man skall vara petig, inte heller med FN:s egen stadga om de mänskliga rättigheterna.

Dessutom finns redan nödvändiga konventioner på området, som Budapest-konventionen. Dock anser bland andra Ryssland att dessa inte går långt nog.

Så väl IT-industrin som ett hundratal organisationer som arbetar med mänskliga rättigheter och nätets frihet protesterar högljutt. Trots detta har fördraget svällt vad gäller såväl syfte som form.

EFF:s Policy Director for Global Privacy Katitza Rodriguez säger:

»The proposed treaty needs more than just minor adjustments; it requires a more focused, narrowly defined approach to tackle cybercrime. This change is essential to prevent the treaty from becoming a global surveillance pact rather than a tool for effectively combating core cybercrimes. With its wide-reaching scope and invasive surveillance powers, the current version raises serious concerns about cross-border repression and potential police overreach. Above all, human rights must be the treaty’s cornerstone, not an afterthought. If states can’t unite on these key points, they must outright reject the treaty.«

Vad gäller FN:s medlemsstater har motståndet varit trögt i starten – men verkar nu i sista stund ta fart. Bland andra USA, EU, Kanada, Nya Zeeland och ett antal latinamerikanska länder motsätter sig förslaget som det ligger i sin senaste version.

I sammanhanget är det värt att påminna om FN:s egen 5 juli-resolution som säger att mänskliga rättigheter offline även skall gälla online.

• EFF and More Than 100+ NGOS Set Non-Negotiable Redlines Ahead of UN Cybercrime Treaty Negotiations »

• Joint Statement on the Proposed Cybercrime Treaty Ahead of the Concluding Session »

• On eve of final negotiations, US says consensus growing around ‘narrow’ UN cybercrime treaty »

• Latest UN Cybercrime Treaty draft a ‘significant step in the wrong direction,’ experts warn »

Ny svensk datalagring och bakdörrar till krypterad kommunikation

av

Den förra regeringen tillsatte en utredning om datalagring och krypterad kommunikation. Dess förslag bygger på missuppfattningar om hur internet och telekommunikationer fungerar, är oproportionerliga, strider mot skyddet för privatliv och privata kommunikationer samt mot EU-rätten. Nu förväntas den nya regeringen göra utredningens förslag till lag.

Den 1 november gick remisstiden ut för SOU 2023:22 om »Datalagring och åtkomst till elektronisk information«.

Datalagringen har varit en surdeg i tio år, sedan EU-domstolen upphävde EU:s datalagringsdirektiv med hänvisning till de mänskliga rättigheterna.

Domstolens position kan enkelt beskrivas så här: Övervaka dem som misstänks för brott – inte alla andra, hela tiden.

Den dåvarande socialdemokratiska regeringen hoppades att den svenska lagen om datalagring skulle klara sig. Men 2016 fann EU-domstolen att även den var oförenlig med EU-rätten.

Vilket ledde till en ny svensk lag – som i princip har samma grundläggande fel som den förra. Enda skälet till att den finns kvar är att den (ännu) inte prövats i EU-domstolen.

Medveten om detta tillsatte justitieminister Morgan Johansson (S) en utredning, som under försommaren presenterades för den nya regeringen och justitieminister Gunnar Strömmer (M).

Som utredningens namn antyder handlar denna utredning inte bara om datalagring, utan även mer allmänt om myndigheternas »åtkomst till elektronisk information«.

Vilket i stycken leder till begreppsförvirring. Nu rör man ihop lagring av metadata (datalagring) med mer allmän tillgång till innehållet i elektroniska kommunikationer. Förmodligen hade det varit bättre att utreda frågorna var och en för sig.

• Datalagring

Vad gäller datalagringen föreslår utredningen att man antingen kan välja att lagra all kommunikationsdata (nationell säkerhetslagring) i händelse av ett nationellt nödläge under en begränsad tid, på inrådan av Säpo.

Eller att man ägnar sig åt riktad lagring – till exempel vid större stationer i kollektivtrafiken, i områden med hög brottslighet och där det kan tänkas bli trubbel.

Varpå utredaren glatt konstaterar att man kan övervaka uppåt 70% av befolkningen – om man gör en sådan bedömning från kommun till kommun.

I vart fall det senare skulle inte tåla en granskning i EU-domstolen.

Med ett väldigt krystat resonemang menar utredaren att det vore att bryta mot de mänskliga rättigheternas krav på rätten till privatliv att inte upphäva samma mänskliga rättigheter. Ur vårt remissvar:

»Utredaren menar där att skrivningen i artikel 8 i Europakonventionen om att det finns en skyldighet för det allmänna att tillförsäkra enskilda skydd för privat- och familjeliv innebär att (vissa) integritetsintrång bör kriminaliseras.

För att sådana brott ska kunna bekämpas krävs i sin tur att staten har tillgång till effektiva utredningsverktyg och eftersom datalagring, enligt utredaren, är ett sådant skulle frånvaro av datalagring innebära ett staten inte levde upp till de enskildas konventionsskyddade rätt till skydd av privatlivet.

Därmed kan enligt utredaren inte heller artikel 8 i Europakonventionen i användas för att begränsa datalagring. En begränsning blir i stället ett brott mot artikel 8.

Utifrån detta synsätt skulle förstås inte endast utebliven datalagring hota integriteten utan också varje uteblivet intrång i enskildas privata sfär (så länge det motiverades med brottsbekämpning).

Att inte kränka människors integritet skulle innebära att man kränkte deras integritet. Orwell hade inte kunnat uttrycka det bättre.«

I sammanhanget kan även noteras att de grundläggande mänskliga rättigheterna är till för att skydda individen mot staten – inte individer mot andra individer. För det senare finns vanlig lagstiftning.

• Krypterad kommunikation

I den del av utredningen som handlar om »åtkomst till elektronisk information« kan man läsa följande:

»Även tillhandahållare av Noik (nummeroberoende interpersonella kommunikationstjänster) ska alltså vara skyldiga att bedriva sin verksamhet så att beslut om hemliga tvångsmedel kan verkställas och så att verkställandet inte röjs. Det omfattar även de fall en tillhandahållare för sina kunder möjliggör totalsträckskryptering, dvs. när bara sändare och mottagare har tillgång till meddelandena i läsbar form. I dessa fall innebär anpassningsskyldigheten att tillhandahållaren ska kunna göra uppgifterna tillgängliga för brottsbekämpande myndigheter i läsbar form.«

Det vill säga att man kräver bakdörrar till krypterad kommunikation.

Ur vårt remissvar:

»En bakdörr i en tjänst kan inte begränsas till dem som har laglig tillgång till den. Finns den kan den utnyttjas av alla som känner till den, det inkluderar både organiserad brottslighet som främmande makts underrättelsetjänst. Förekomst av bakdörrar skulle sannolikt också i praktiken användas av kriminella och andra illasinnade aktörer i betydlig större utsträckning än av brottsbekämpande myndigheter.

För en kriminell är alla som har den aktuella bakdörren potentiella måltavlor (exempelvis för bedrägerier) medan brottsbekämpande myndigheter normalt är inriktade på en viss misstänkt person eller en grupp misstänkta personer. (…)

Många av de tjänster som erbjuder säkra kommunikationer idag är utländska och vänder sig till globala marknader. Det är inte sannolikt att de kommer att avskaffa totalsträckskryptering eller införa bakdörrar på grund av svenska myndighetskrav. Snarare kommer de att sluta erbjuda dessa tjänster i Sverige.«

• Vad händer nu?

Remisstiden är ute och nu skall regeringen försöka göra lag av det hela.

Det utredningen skriver om datalagring är inte i enlighet med EU-domstolens beslut och EU-rätten – eller bara orimligt i största allmänhet.

Dessutom tyder det mesta på att EU:s beslutsapparat ändå kommer att göra ett omtag vad gäller datalagringen under nästa mandatperiod 2024-29

Att ge sig på totalsträckskryptering är att förklara krig mot internet. Vilket vi kunde se under förra årets strid om Chat Control 2 – som bland annat landade i att Europaparlamentet tog principiell ställning för rätten till krypterad kommunikation.

Detta känns som en utredning som mest tillsatts för att skjuta problem på framtiden. Och när framtiden nu är här finns ändå inga bra eller rimliga svar.

Ett sista citat, ur vårt remissvar:

»Stiftelsen konstaterar att utredningen inte håller sådan kvalitet att den kan ligga till grund för lagstiftning. Bland annat bygger delar av betänkandet på missuppfattningar om hur internet- och telekommunikationer fungerar. Vidare konstateras att förslaget är oproportionerligt, strider mot skyddet av privatliv och privata kommunikationer, och med stor sannolikhet strider mot unionsrätten.

Med hänvisning till ovanstående avstyrker Stiftelsen förslaget.«

Länkar:
• Yttrande/Remiss över SOU 2023:22 ”Datalagring och åtkomst till elektronisk information” Ju 2023/01326 (PDF) »
• Regeringen: Datalagring och åtkomst till elektronisk information »
• SOU 2023:22 Datalagring och åtkomst till elektronisk information (PDF) »
• Utredning: Data om all slags meddelanden bör lagras »
• Datalagring – olaglig övervakning fortsätter och utökas »
• Going dark – EU:s krig mot krypterad kommunikation »