Femte juli

Nätet till folket!

Övervakning

I denna kategori samlar vi nyheter som har med övervakning och massövervakning att göra. Det gäller såväl på nätet som i den fysiska världen.

Frankrike fortsätter olaglig datalagring

av

Frankrike väljer att kringgå EU-domstolens förbud mot svepande datalagring. Med hänvisning till ”nationell säkerhet” förlänger man den med ytterligare ett år.

Den franska lagringen av data om alla medborgares alla telekommunikationer omfattar bland annat:

  • Namn
  • Adress
  • Födelsedatum
  • Födelseort
  • Postadress
  • E-post-adress
  • Telefonnummer
  • Betalningsinformation
  • IP-adress och portnummer
  • Datum, tid och längd för alla elektroniska kommunikationer
  • Lokaliseringsdata

Frågan är hur länge Frankrike kan hänvisa till nationell säkerhet. Det tycks ha blivit något slags grund för ett permanent undantag från EU-domstolens förbud.

Nu återstår att se om Frankrikes konstitutionella råd (som ibland är förvånansvärt vettigt) kan göra något åt landets fortsatta datalagring.

Vår favorit i Europaparlamentet, ledamoten Patrick Breyer (PP, DE) säger i en kommentar:

»Mass surveillance contradicts the European values of democracy, civil liberties and the rule of law. Blanket surveillance of any kind places the population under general suspicion. France is wrong in referring to an exception allowed by the European Court of Justice in case of a specific threat to national security. France’s unspecific reference to a permanent, general security risk does not justify mass surveillance, as a former judge confirms in a legal opinion.

The French government makes the EU court’s exception the rule. National security is no free ride for mass surveillance. On the issue of data retention, the EU has a serious problem with the rule of law. Any form of blanket surveillance is a characteristic of authoritarian regimes.«

I sammanhanget är det uppseendeväckande att EU-kommissionen ständigt låter medlemsstaterna komma undan med att bryta mot EU-domstolens förbud mot generell datalagring utan misstanke om brott.

Kommissionen förväntas vara ”fördragens väktare”. I dessa fördrag ingår de mänskliga rättigheterna – som bland annat föreskriver rätten till privatliv och privat korrespondens. På denna punkt har kommissionen än så länge inte fullgjort sitt uppdrag.

Problemen med Tidö-avtalet

av

Övervakning, anonyma vittnen och brottsprovokation. Den politiska majoritetens plan saknar inte medborgarrättsliga utmaningar.

Högerblockets Tidö-avtal kommer att ge oss mer övervakning. Vilket i och för sig inte var oväntat. Här drar för övrigt alla partier utom Vänsterpartiet åt samma håll.

Ingen har något emot att man övervakar människor som är misstänkta för brott.

Men vi vill inte ha mer övervakning av alla, hela tiden – svepande och utan brottsmisstanke. Det är därför EU-domstolen sagt nej till lagring av data om alla människors alla telefonsamtal, SMS, e-postmeddelanden, uppkopplingar med mera.

Vilket Sverige inte tycks bry sig om. Det finns mycket som talar för att även den senaste svenska datalagrings-lagen skulle upphävas om den kom att prövas i nämnda domstol.

Därför – övervaka gärna skurkar, men inte vanligt hederligt folk. Respektera medborgarna istället för att se dem som potentiella problem.

Det finns mer som är kontroversiellt i Tidö-avtalet, ur ett medborgarrättsligt perspektiv.

Anonyma vittnen är en farlig idé. Tänk dig att du blir anklagad för att ha gjort något. Men du får inte veta vem som anklagat dig – och du kan därmed inte heller bedöma om den personen kan ha andra skäl för sin utsaga.

Om man alls skall införa ett sådant system, då måste det ha en solnedgångsklausul. Det vill säga att lagen skall utvärderas ur ett rättssäkerhetsperspektiv innan den eventuellt kan förlängas.

Det verkar även som om man öppnar för brottsprovokation. Men polisen borde lösa brott, inte hjälpa till att begå dem.

Det är orimligt om staten provocerar en person att utföra en olaglig handling som denne inte skulle utfört annars – och sedan straffa honom för det.

Brottsprovokation är dåligt. Men bevisprovokation bör kunna rättfärdigas, då det handlar om att utreda ett de facto begånget brott.

Det känns som om det börjar bli dags för en diskussion om rättsstatens grundläggande principer.

Nu införs inga nya lagar över en natt. Så det bör finnas tid att skjuta ner förslag som hotar våra fri- och rättigheter. Men vänta inte för länge. Lagförslag måste kritiseras innan politikerna hunnit låsa sina positioner. Så nu gäller det att vara uppmärksam.

Den nya regeringen, uppladdningsfilter, nätcensur och #ChatControl

av

Hur kommer en M+KD+L-regering med stöd av SD att hantera nät- och övervakningsfrågorna? Kan man hoppas att den respekterar våra grundläggande fri- och rättigheter? Och hur kommer den att agera i EU?

Här är tre aktuella frågor:

• Uppladdningsfilter

De nya regeringspartierna har profilerat sig som motståndare till uppladdningsfilter, i samband med förra EU-valet. Samtidigt är EU:s nya upphovsrättsdirektiv klubbat och klart, med begränsat utrymme för förändringar när det skall implementeras i svensk lag.

En proposition har redan lagts fram av den avgående S-regeringen. Även om man inte vill kännas vid ordet uppladdningsfilter, så kommer sådana ändå att bli konsekvensen av lagförslaget.

Förmodligen kommer den nya regeringen att säga att det inte finns något att göra åt saken, då vi är skyldiga att följa EU-direktivet. Eventuella uppmjukningar av propositionens text får ses som en glad överraskning, men inget som är troligt.

• Nätcensur / Trusted Flaggers

EU:s nya Digital Services Act (DSA) ger oss statligt godkända nätgranskare (myndigheter, organisationer m.fl.) som skall få en direktlinje till sociala media, för att rekommendera vilket innehåll som skall plockas bort.

Eftersom EU-förordningar skall tillämpas rakt av råder ingen tvekan om att vi kommer att få sådana nätgranskare / Trusted Flaggers. Det som kan påverkas är hur detta skall ske och vilka de skall vara.

Med tanke på regeringens profil är det inte troligt att politiskt drivna intresseorganisationer kommer att utses till Trusted Flaggers. Däremot bör man vara fortsatt vaksam mot att andra särintressen får en sådan roll. Och att myndigheter ges möjlighet att i praktiken censurera innehåll på nätet utan föregående rättslig prövning är fortfarande ett problem.

Det är en öppen fråga hur den nationella digitala samordnare som föreskrivs i DSA skall bli verklighet. Denne skall bland annat ha ansvar för de ovan nämnda nätgranskarna. Kommer detta att bli en ny myndighet? Eller kommer funktionen att hamna under någon existerande myndighet – och i så fall vilken?

Även om Trusted Flaggers är ett fullbordat faktum med DSA tycks det finnas ett rätt stort utrymme för att påverka hur systemet skall bli verklighet. Detta måste ske på ett rättssäkert sätt, med största möjliga respekt för grundläggande fri- och rättigheter.

• #ChatControl / CSAR / meddelandekontroll

EU-kommissionen har föreslagit att e-post och alla elektroniska meddelanden skall av-krypteras, öppnas och deras innehåll skall granskas. Detta omfattar alla utan att det behöver finnas någon misstanke om brott.

Vilket strider mot förbudet mot generell övervakning. Det strider även mot EU-domstolens förbud mot svepande övervakning av alla utan misstanke om brott (datalagringen).

I grunden är detta en fråga om mänskliga rättigheter – vad gäller rätten till privatliv och privat korrespondens. Dessa skall gälla även online.

Här är den första frågan hur Sverige kommer att ställa sig i EU:s ministerråd. Man kan anta att KD är för #ChatControl. Förmodligen även Moderaterna. Vad gäller Liberalerna kan man notera att i vart fall deras systerpartier i EU är mer skeptiska. SD sänder blandade signaler.

Här finns fortfarande utrymme för att påverka. Vilket är viktigt, inte minst med tanke på att Sverige kommer att vara ordförandeland i EU efter årsskiftet.

Skall vi rädda den digitala brevhemligheten, då är det nu det måste ske.

ChatControl: EU-kommissionen duckar alla jobbiga frågor

av

Det blev hård kritik men få svar när EU-kommissionär Ylva Johansson grillades om förslaget om att granska innehållet i alla våra elektroniska kommunikationer.

EU-kommissionen vill att din e-post och alla dina elektroniska meddelanden med mera skall av-krypteras, att dess innehåll skall granskas och att misstänkt innehåll skall överlämnas till en ny EU-myndighet.

På måndagen höll Europaparlamentets utskott för mänskliga rättigheter, LIBE, en utfrågning av EU-kommissionär Ylva Johansson med anledning av detta förslag om åtgärder för att förhindra sexuellt utnyttjande av barn på nätet (CSAR), populärt kallat #ChatControl.

Det uppgivna syftet är en perfekt murbräcka, för vem är väl för sexuella övergrepp mot barn? Och vem vågar säga emot utan att riskera att misstänkliggöras? Samtidigt vet vi att nya övervakningslagar i princip alltid drabbas av ändamålsglidning.

Det mesta som presenterades är sådant som lätt går att utöka till andra syften.

Är det verkligen någon som tror att detta verktyg, när det väl finns på plats, inte kommer att användas för andra ändamål?

• Du kan se utfrågningen genom att följa denna länk.

Utfrågningen börjar lite försiktigt, men tar sig i andra halvan – då kommissionär Johansson fullständigt bombarderas med kritiska frågor och allvarliga invändningar. Vilka hon i allt väsentligt duckar i sina svar.

Rätten till privatliv och privat korrespondens är en grundläggande mänsklig rättighet. Och mänskliga rättigheter skall även gälla online.

Europakonventionen om de mänskliga rättigheterna föreskriver i artikel 8:1:

»Var och en har rätt till skydd för sitt privat- och familjeliv, sitt hem och sin korrespondens.»

Sedan finns det undantag, som till exempel för att bekämpa brott. Men då måste det finnas en misstanke. Att granska innehållet i alla medborgares alla elektroniska kommunikationer för den händelse att någon eventuellt skulle skriva eller sända något olagligt är inte förenligt med rätten till privat korrespondens.

Detta är en princip som redan slagits fast av EU-domstolen vad gäller datalagringen. Svepande övervakning utan misstanke om brott är inte tillåten.

EU-kommissionen försöker komma runt detta genom att göra det hela till en fråga om den inre marknaden snarare än mänskliga rättigheter. Vilket är precis samma knep den använde när man skrev det nu ogiltigförklarade datalagringsdirektivet. Det fungerade inte då och det kommer inte att fungera nu heller.

Men trots att det är uppenbart att CSAR kommer att falla i EU-domstolen om regleringen antas, så försöker kommissionen ändå.

Det finns hur mycket som helst att kommentera om utfrågningen. Därför kommer vi att bryta ner detta till mindre delar den närmaste tiden. Stay tuned.

Video:
• LIBES utfrågning av EU-kommissionär Ylva Johansson om CSAR »

Läs mer:
• Chat Control: The EU’s CSEM scanner proposal – The End of the Privacy of Digital Correspondence »

Europol brainstormar om att knäcka krypterade kommunikationer

av

Myndigheternas krig mot krypterad information fortsätter. Samtidigt vill EU:s ministerråd begränsa insynen i hur polisen använder artificiell intelligens i sitt arbete.

Bakdörrar, superdatorer och samarbete med internetoperatörer var några av de idéer som diskuterades när EU:s olika polis- och säkerhetsorgan nyligen brainstormade hur man kan gå vidare för att knäcka krypterade kommunikationer.

Detta skedde på en konferens med EU Innovation Hub for Internal Security som hölls förra månaden, enligt Statewatch som har utskrifter av vad som diskuterades.

Särskilt uppseendeväckande är att man öppnar för att hålla säkerhetsluckor i vår IT-infrastruktur öppna istället för att anmäla dem – för att själva kunna utnyttja dessa för övervakning.

Men sådana säkerhetsluckor kan även användas av andra, till exempel kriminella och främmande makt. Vilket gör oss alla mindre säkra.

Statewatch rapporterar:

»At a recent event hosted by Europol’s Innovation Hub, participants discussed questions relating to encrypted data and the ability of law enforcement authorities to access digital information. One issue raised was a possible ”EU Vulnerability Management Policy for Internal Security,” which could allow for ”temporary retention of vulnerabilities and their exploitation by the relevant authorities.” In effect, this would mean identifying weaknesses in software and, rather than informing the software developers of the problem, exploiting it for law enforcement purposes.«

EU Innovation Hub for Internal Security består av nio olika EU-myndigheter och organ som på olika sätt arbetar med polisiära och säkerhetsrelaterade frågor. Spindeln i nätet är EU:s polismyndighet Europol. Såväl EU-kommissionen som ministerrådet är medlemmar – men inte Europaparlamentet.

I övrigt diskuterade man även hur artificiell intelligens (AI) kan användas i polisiärt arbete samt vad man kan göra för att komma åt elektroniska kommunikationer i 5G-nätet (vilket tydligen är oväntat krångligt).

Intressant nog vill EU:s ministerråd begränsa transparensen vad gäller hur polisiära myndigheter använder AI i sitt arbete. Statewatch skriver:

»The Czech Presidency of the Council has inserted new provisions into the proposed AI Act that would make it possible to greatly limit the transparency obligations placed on law enforcement authorities using ”artificial intelligence” technologies. A new ”specific carve-out for sensitive operational data” has been added to a number of articles. If the provisions survive the negotiations, the question then becomes: what exactly counts as ”sensitive operational data”? And does the carve-out concern just the data itself, or the algorithms and systems it feeds as well?«

Detta är ytterligare en het fråga som lär hamna på det svenska EU-ordförandeskapets bord efter årsskiftet.

Läs mer:
• Statewatch: EU: Discussion on encryption ponders ”retention of vulnerabilities and exploitation by the authorities” »
• ”Wicked problem”: Europol considers vulnerability exploitation to break encryption »
• Statewatch: EU: AI Act: Council Presidency seeks more secrecy over police use of AI technology »

Politiker anmäls till EU-domstolen för retroaktiv lagstiftning som gör olaglig datainsamling laglig

av

EU har stiftat retroaktiva regler som tillåter Europol att bryta mot lagen. Därför drar den europeiska dataskyddsmyndigheten politikerna inför domstol.

Som vi tidigare berättat har EU:s polismyndighet Europol olagligt lagrat uppgifter om miljontals enskilda individer – som inte är misstänkta för något brottsligt.

Med Europols nyligen utökade mandat gjordes denna olagliga lagring laglig, med ett klubbslag.

En nederländsk politisk aktivist (som inte har några kriminella kopplingar) begärde redan för två år sedan ut sina personuppgifter från Europol. I enlighet med dataskyddsförordningen.

Europol inte bara vägrade – utan raderade istället dessa uppgifter. Vilket gör det omöjligt att veta om och i vilken utsträckning de brutit mot de då existerande reglerna.

Den europeiska dataskyddsmyndigheten (EDPS) beordrade därför Europol att återskapa (!) denna data och överlämna den enligt begäran. Vilket inte skett.

Detta fall är bara en del i en större prövning av hur EU:s beslutfattare (speciellt det tidigare franska ordförandeskapet) skapat retroaktiva regler som gör handlingar lagliga, som vid det aktuella tillfället var olagliga.

EDPS drar därför lagstiftarna (rådet och parlamentet) inför EU-domstolen. Man menar att de nya reglerna inte bara hotar rättssäkerheten utan även tillsynsmyndighetens oberoende.

Detta skall bli intressant att följa. Även denna fråga kan bli en het potatis för det tillträdande svenska EU-ordförandeskapet.

Länk:
• EU privacy watchdog sues lawmakers over new Europol mandate »

Relaterade, tidigare poster (nyast överst):
• EU gör Europol till ett europeiskt NSA »
• Europol får utökat mandat för övervakning »
• Europol får fortsätta registrering av icke misstänkta »

Så kan delar av den förbjudna datalagringen ändå fortsätta

av

EU:s medlemsstater kringgår EU-domstolens förbud mot datalagring genom att bryta loss lagring och katalogisering av IP-nummer i nationell lagstiftning.

Hur kan det komma sig att generell datalagring (data om allas alla telefonsamtal, SMS, e-postmeddelanden, uppkopplingar m.m.) är förbjuden – men att lagring av IP-adresser plötsligt blivit högsta politiska mode?

I en lång rad domar (upphävt datalagringsdirektiv samt domar mot länder som ändå fortsätter) har EU-domstolen gång på gång sagt att urskiljningslös insamling av data om allas alla telekommunikationer inte får förekomma. Sådan strider nämligen mot de mänskliga rättigheterna och vad dessa har att säga om rätten till privatliv.

I den senaste domen, som riktas mot Tyskland, säger EU-domstolen dock följande:

»Unionsrätten utgör däremot inte hinder för en nationell lagstiftning (…) som, för att skydda nationell säkerhet, bekämpa brottslighet och skydda allmän säkerhet, föreskriver en generell och odifferentierad lagring av uppgifter om identiteten beträffande användare av elektroniska kommunikationsmedel…«

Det vill säga att insamling av IP-adresser ”utanför” datalagringsdirektivet anses vara nationell kompetens.

Vilket öppnar dörrarna för de medlemsstater i EU som vill försöka upprätta något slags IP-nummer-katalog på användar-/individnivå.

Detta är ett fult, men klassiskt EU-knep: Om något inte kan eller får beslutas på EU-nivå, då bestämmer sig medlemsstaterna för att göra så ändå, men var och en för sig. Vilket i praktiken får samma effekt som om beslutet fattats på EU-nivå.

Detta känns rätt mycket som obstruktion mot EU-domstolens grundläggande, principiella förbud mot datalagring. Fast på ett sätt som hindrar domstolen från att göra något åt saken.

Som vi också rapporterat leder detta till nya problem när portnummer saknas. Eftersom det råder brist på IPV4-adresser (i väntan på att allt blir klart med IPV6) delar ofta flera kunder på samma IP-nummer (så kallad NATad adress.)

Detta innebär att om polisen begär ut identiteten bakom en IP-adress – då går det bara att få ut uppgift om alla som delat denna adress. Vilket i sin tur innebär att helt oskyldiga människor kan komma att granskas av myndigheterna.

Vilket inte är acceptbelt. Vanliga, hederlig människor som inte misstänks för brott skall inte övervakas.

Använd VPN!

Läs mer / relaterat:
• EU-domstolens senaste dom (PDF) »
• Data retention ruling: Let’s free Europe from mass surveillance and general suspicion! »
• EU-stater registrerar användares IP-adresser »
• Germany split on using IP data storage to fight online child abuse »
• „Wir müssen die IP-Adressen für die Ermittlungsbehörden verfügbar haben“ »
• IP data retention is no option: IPv6 addresses can be unique and persistent tracking identifiers – a new study finds »
• Dags att ta svensk datalagring till EU-domstolen – igen? »

EU-stater registrerar användares IP-adresser

av

EU:s medlemsstater tycks samla på sig kataloger över enskilda nätanvändares IP-adresser. Vilket EU-domstolen accepterar, trots att den säger nej till generell datalagring.

Gårdagens goda nyhet var att EU-domstolen åter säger tydligt nej till urskiljningslös datalagring. Men djävulen finns i detaljerna.

Bortom huvudnyheten, i det finstilta, läser vi följande i EU-domstolens dom:

»Unionsrätten utgör däremot inte hinder för en nationell lagstiftning (…) som, för att skydda nationell säkerhet, bekämpa brottslighet och skydda allmän säkerhet, föreskriver en generell och odifferentierad lagring av uppgifter om identiteten beträffande användare av elektroniska kommunikationsmedel…«

Ledamoten av Europaparlamentet Patrick Breyer (PP, DE) kommenterar:

»Unfortunately, the greatest consensus among governments currently seems to exist on mandating indiscriminate IP data retention throughout Europe, which the judges in Luxembourg green-lighted under massive pressure.

Under no circumstances should all internet users be placed under general suspicion and online anonymity be abolished!

IP addresses are our digital fingerprints on the internet. Bulk collection would endanger crime prevention in the form of anonymous counselling and pastoral care, victim support through anonymous self-help forums and also the free press, which depends on anonymous informants.

Incidentally, there is no evidence that IP data retention significantly increases the crime clearance rate. In the absence of data retention Germany today has a higher cybercrime clearance rate than with IP data retention in place.«

Det tycks alltså som om vissa av EU:s medlemsstater samlar IP-adresser för något slags egen katalog. Detta sker även i Sverige.

Här pågår en dragkamp i frågan mellan den svenska Post- och Telestyrelsen (PTS) och Bahnhof. Ur vår tidigare rapportering:

»PTS skriver i sitt pressmeddelande ”Vid misstanke om internetrelaterade brott måste Polismyndigheten kunna begära ut uppgifter om abonnemang från den bredbandsoperatör som tillhandahåller aktuell IP-adress för att kunna identifiera en person. Bahnhof har vid flera tillfällen vägrat lämna ut uppgifter när information om portnummer saknats i Polismyndighetens begäran.”

Nyckelformuleringen här är ”när information om portnummer saknas”. Det innebär att inte bara uppgifter om den misstänkte utan även en stor mängd andra kunder som använt samma IP-adress skulle komma att lämnas ut. Vilket Bahnhof inte vill gå med på.«

PTS hotar Bahnhof med vite om man inte lämnar ut dessa användaruppgifter. Vilket överklagats till Förvaltningsrätten.

Vi träffade nyligen Bahnhofs VD Jon Karlung, som kunde berätta att om PTS får som de vill – då kan det handla om att lämna ut identiteten på hundratals användare som inte är misstänkta för något brottsligt.

Skälet är att det börjar bli slut på IPv4-adresser och att många kunder därför måste dela på samma IP-adress (NATade adresser) i väntan på IPv6.

Det blir allt tydligare att myndigheterna vill ha en egen katalog över enskilda individers IP-adresser, vilket bland annat tyder på att de inte riktigt förstår hur internet fungerar.

Vi återkommer inom kort med en podcast / intervju med Jon Karlung.