Femte juli

Nätet till folket!

Privatliv

Rätten till privatliv är en grundläggande mänsklig rättighet, vilket bland annat slås fast i Europakonventionen för de mänskliga rättigheterna samt i EU:s stadga. Här publicerar vi nyheter om hur myndigheter, företag och andra aktörer vill skaffa sig tillgång till vår privata information.

Tyskland slutar med datalagring

av

Den tyske justitieministern Marco Buschmann (FDP) meddelar att han kommer att lägga fram ett regeringsförslag om att sluta med generell datalagring.

Vi har tidigare skrivit om den nya tyska regeringens koalitionsfördrag. Bland annat innehåller det ett nej till generell övervakning, speciellt av privat kommunikation. Och nu levererar man, genom att sluta med generell datalagring.

Bakgrund:

Lagring av data om alla medborgares alla data- och telekommunikationer är en idé som kommer från EU (där Sverige var drivande i frågan).

Datalagringsdirektivet upphävdes dock av EU-domstolen 2014, då det anses bryta mot de mänskliga rättigheterna – och vad dessa har att säga om rätten till privatliv och privat kommunikation. Detta gäller speciellt generell datalagring utan misstanke om brott.

Sedan dess har EU-domstolen (med stigande irritation) gång på gång påpekat för olika medlemsstater att de måste sluta med datalagringen.

Sverige har försökt anpassa sin lagstiftning till EU-domstolens beslut, men det finns goda skäl att anta att även dagens svenska datalagring är olaglig.

Tyskland:

Den nya tyska regeringen kommer enligt justitieminister Buschmann nu att lägga fram ett förslag om att sluta med datalagring. Det är en viktig markering då ett av EU:s tyngsta länder nu ställer sig på EU-domstolens sida.

Detta är extra viktigt då Tyskland även är en tung aktör i EU:s ministerråd. Därför kan man anta att det inte kommer att bli något av diskussionerna om ett nytt datalagringsdirektiv (anpassat för att kringgå EU-domstolens beslut).

Vi uppdaterar när vi vet mer.

Relaterade bloggposter:
• Analys: Tyskland gör en u-sväng i övervakningsfrågorna »
• Tyskland tar steget in i internetåldern »
• EU-domstolen: Sluta datalagra! »
• Dags att ta svensk datalagring till EU-domstolen – igen?

Bakgrund: Dragkampen om överföring av persondata mellan EU och USA

av

Facebooks hotar att lämna EU. Domstolar förklarar Google Analytics olagligt. Detta är konsekvensen av en dragkamp om överföring av persondata från EU till USA som pågått i årtionden.

EU-domstolen menar att sociala medias överföring av persondata från EU till USA strider mot dataskyddsförordningen (GDPR). Domstolar i Frankrike, Nederländerna och Österrike har förklarat Google Analytics olagligt. Och Meta / Facebook / Instagram har hotat att helt dra sig ur den europeiska marknaden om de inte får fortsätta överföra persondata till USA.

Även om dessa frågor är aktuella just nu är frågan långt ifrån ny. I EU har det pågått en dragkamp om dataöverföring till USA i årtionden.

Det började med det så kallade SWIFT-avtalet. Efter terrorangreppen 9-11 skärpte USA sin kamp mot terrorismen. Ett steg i detta var att analysera banktransaktioner i jakt på terror-finansiering. Detta gällde även europeiska banktransaktioner. Därför överfördes bankdata i bulk från EU till USA.

Formerna för detta var under all kritik. Dokumentationen var ibland så dålig att någon verklig granskning av metod och innehåll i princip blev omöjlig. Gång på gång krävde Europaparlamentet att detta skulle skärpas upp.

Den övergripande principfrågan var enkel: Europaparlamentet ville ha garantier för att europeisk persondata inte föll i händerna på den amerikanska säkerhetsbyråkratin.

Och gång på gång ingick EU-kommissionen avtal med USA som inte levde upp till denna princip. Av skäl man bara kan spekulera kring.

Sedan kom GDPR, som i princip kräver att data som överförs från EU till annat land skall åtnjuta samma persondataskydd som i EU. Vilket var början på senare års processer. Två gånger har EU-domstolen kommit fram till att den överföring som sker till USA (inom ramen för Safe Harbour respektive EU-US Privacy Shield) inte lever upp till dessa krav.

Ungefär samtidigt avslöjade NSA-wisselblåsaren Edward Snowden hur USA (och dess partners) dammsuger allt de kan snappa upp inom ramen för sin globala massövervakning. Vilket gjorde frågan än mer brännande.

Så vad kommer att ske nu?

En första möjlighet är att USA faktiskt ger med sig och lämnar garantier för att europeisk persondata som överförs inte sugs upp av NSA och Homeland Security. Detta vill USA inte göra.

Ett alternativ är att nätplattformarna sätter upp separat databehandling för EU, i EU. Vilket tydligen Google, TikTok och Microsoft överväger att göra. Bolagen är trots allt beroende av att analysera användardata för att kunna upprätthålla sin affärsmodell.

En tredje möjlighet är atombombs-alternativet, där de aktuella företagen stänger ner i EU. Vilket känns väldigt osannolikt.

Tills vidare hänger frågan i luften. Vilket inte är bra då det innebär stor osäkerhet för europeiska företag som är beroende av de olika plattformarna och deras analysverktyg.

Skall Europol få direkt tillgång till din e-post och dina meddelanden?

av

Två olika EU-förslag kan tillsammans ge Europol rätt att granska alla dina elektroniska kommunikationer, utan misstanke om brott.

EU-politik är ibland som ett pussel. Olika förslag läggs fram på olika håll – och tillsammans blir helheten mer än delarna. Det kan vara ett sammanträffande. Det kan också vara planerat. Oavsett vilket blir konsekvenserna långtgående.

EU har redan givit e-post-leverantörer och meddelandetjänster möjlighet att av-kryptera och granska innehållet i dina elektroniska kommunikationer. Nu är ett förslag – #ChatControl2 – på väg om att göra detta obligatoriskt.

Samtidigt har man enats om en ny förordning för Europol. En del i denna är att man ger myndigheten direkt åtkomst till data hos privata aktörer.

Den nya förordningen ger dessutom Europol rätt att samla in och lagra data om personer som inte är misstänkta för brott. Sådan verksamhet har redan förekommit, utan lagstöd.

Dessa två förslag är allvarliga nog vart och ett för sig.

Lägger man samman dem kan resultatet bli att Europol får direkt tillgång till din av-krypterade e-post och dina meddelanden hos de privata tjänsteleverantörerna och plattformarna. Detta utan att du är misstänkt för något brottsligt.

Vilket i så fall är ett omfattande intrång i individens rätt till privatliv och privat korrespondens, som den slås fast i till exempel Europakonventionen om de mänskliga rättigheterna.

Ett europeiskt eID – snart i din mobil

av

EU vill se ett gemensamt system för elektronisk identifikation. Men vilka risker kommer det att medföra?

Ökad digitalisering kan göra livet bekvämare och minska byråkratin. Men den kan också öppna för ökad övervakning och ett samhälle där vi tvingas blippa oss fram.

EU:s eIDAS Regulation håller på att uppdateras. Ett av förslagen är en digital plånbok som skall gälla i hela EU. Den är tänkt att kunna användas för till exempel identifikation, körkort, licenser, examina, medicinsk information och annat vi behöver i vår vardag.

På sikt verkar tanken vara att även sådant som bibliotekskort, kollektivtrafikbiljetter, träningspass, betalkort och validering i olika kommersiella sammanhang också skall finnas i din digitala plånbok. Det låter lite som en blandning mellan Apple iOS wallet och BankID.

EU:s digitala plånbok är även tänkt att användas för inloggningar på nätet, som ett alternativ till inloggning hos tredje part med Google och Facebook.

Vilket i så fall innebär att det blir svårare, kanske omöjligt att vara anonym på nätet. (Samtidigt driver Europaparlamentet en linje i förhandlingarna om EU:s Digital Services Act om att den som vill skall ha rätt att vara anonym på nätplattformarna. Detta är två ståndpunkter som kan vara svåra att få ihop.)

Den stora frågan i sammanhanget är hur ett digitalt EU-ID kan komma att användas för att övervaka och registrera medborgarna.

Även om syftet är ett annat, så öppnar ett eID i EU för kontroll och social scoring av kinesisk modell. (Tanken på ett digitalt klimatpass har redan diskuterats i politiska kretsar.) Lägg till det stora möjligheter till insamling av persondata.

Frågan är om vi kan vara säkra på att makthavare i framtiden aldrig någonsin kommer att utöka syftet eller missbruka systemet.

Risken är att smidighet och bekvämlighet kommer att vinna över individens rätt till privatliv. Som vanligt förekommer ingen bredare diskussion eller rapportering i media om saken.

Det finns dock en intressant rapport från EDRi och Epicenter – som föreslår några förändringar av eIDAS till det bättre:

• eIDAS Policy Paper (PDF) »

Notera även att eIDAS innehåller ett förslag om att din webb-läsare måste acceptera allt som regeringen säger att den skall acceptera – helt utanför HTTPS certifikatsystem. Uppdatering: Läs mer hos EFF »

Relaterat:
• Nu kommer EU-ID – ett samhälle där man blippar sig fram? »
• European Digital Identity Wallets »

Europol får fortsätta registrering av icke misstänkta

av

Enligt en överenskommelse i EU görs Europols olagliga registrering av miljontals icke misstänkta nu laglig. Man får även direkt tillgång till data hos bland andra Google och Microsoft.

Förhandlingarna mellan de tre EU-institutionerna är klara. Europols mandat utökas.

Som vi tidigare rapporterat har Europol olagligt samlat in data om flera miljoner personer som inte är misstänkta för brott. Denna insamling görs nu laglig.

Man har även kommit överens om att ge Europol direkt tillgång till data hos privata aktörer, som till exempel Google och Microsoft.

Ledamoten av Europaparlamentet Patrick Breyer (PP, DE), tillika suppleant i Europols supervisory body (JPSG) säger:

»In the trilogue negotiations, my group Greens/EFA strongly opposed the reform, which aims to legalise Europol’s illegal actions instead of stopping them. According to the findings of the European Data Protection Supervisor, Europol has been illegally storing masses of data transmitted by national intervention authorities on millions of unsuspected individuals for years. We are talking about large amounts of data (mobile phone location data, passenger lists) of people who are in no way connected to criminal activities. The consequence is that innocent citizens run the risk of being wrongly suspected of a crime because they were in the wrong place at the wrong time.

The planned cooperation of Europol with private companies (such as Google and Microsoft), which unjustly report masses of people as part of pan-european message screening and chat control, is also unacceptable. The fact that Europol even wants to train error-prone algorithms with real citizens’ data in the future threatens to lead to false positives and discrimination.«

EU-kommissionen är däremot entusiastisk. Kommissionär Ylva Johansson säger:

»Europol needs modern means to support police in their investigations. The stronger mandate agreed today asserts Europol’s place as a global leader in developing new technology for law enforcement, cooperating with private companies to prevent and investigate crime and protecting fundamental rights like personal data protection.«

Överenskommelsen talar även om ökad kontroll av Europols verksamhet. Vi får hoppas att man menar vad man säger. Som det är nu får inte ens MEP Patrick Breyer rätt att inspektera verksamheten, trots att han som sagt är suppleant i JPSG.

Länkar:
• MEP Patrick Breyer (PP, DE): Agreement reached on new Europol mandate: Illegal activities must not be legalised! »
• EU-kommissionen: Europol: Commission welcomes political agreement on stronger mandate »

Relaterat:
• EU vill göra Europols olagliga registrering av icke misstänkta laglig »

EU-domstolen på väg ge grönt ljus för registrering av alla dina resor

av

EU-domstolens generaladvokat föreslår att registrering av alla våra resor kan fortsätta. Vilket dock strider mot andra domar mot svepande övervakning utan misstanke om brott.

I ett förslag till dom i EU-domstolen föreslår dess generaladvokat att EU:s PNR-system (Passenger Name Record) kan fortsätta. Vilket – intressant nog – i någon mening kolliderar med tidigare domar som sätter stopp för urskiljningslös övervakning och registrering, som till exempel datalagringen.

Vanligtvis följer domstolen generaladvokatens rekommendationer. Men i just detta fall kan det bli annorlunda, på grund av ovan nämnda förhållande till andra domar.

PNR-systemet är till för att registrera alla flygpassagerares namn och personliga information. Det kan till exempel handla om vem du reser med, hur du betalt din biljett, om du har ovanligt lite bagage, din hälsoinformation, om du beställt specialkost med mera. Denna information överförs sedan till polisen innan planet avgår.

Ärendet är väckt av belgiska Ligue des droits humains. Värt att notera är att Belgien redan utökat systemet till att även gälla internationella resor med tåg, buss och båt. Vilket är något som fler EU-länder överväger att ta efter. Det diskuteras även PNR för bilhyra och hotellövernattningar.

• Statewatch: EU: Mass travel surveillance: no problem, says court »
• Verfassungsblog: A cautious green light for technology-driven mass surveillance »

EU vill göra Europols olagliga registrering av icke misstänkta laglig

av

Europol samlar på sig information om människor som inte är misstänkta för brott. Nu vill EU ändra reglerna för att göra denna olagliga verksamhet laglig – trots att den strider mot EU:s fördrag och förordningen om dataskydd.

I åratal har Europol samlat på sig mer data än vad lagen tillåter. Det handlar om personuppgifter där det inte kan påvisas att de registrerade personerna ägnar sig åt något olagligt eller har brottsligt samröre.

Nu har EU:s datatillsynsmyndighet EDPS beordrat Europol att radera denna information. Computer Sweden skriver:

»EDPS ger Europol ett år på sig att ta reda på vad som lagras på ett lagligt sätt, och de ska även radera nyligen insamlade uppgifter som inte kategoriserats inom sex månader.«

Europol anser sig dock inte ha gjort något fel. Och EU:s inrikeskommissionär Ylva Johansson säger till The Guardian:

»De brottsbekämpande myndigheterna behöver verktygen, resurserna och tiden för att analysera data som lagligen överförts till dem. (…) I Europa är Europol plattformen som stödjer de nationella polismyndigheterna i denna gigantiska uppgift.»

Slovenien ställde sig under sitt EU-ordförandeskap förra halvåret på Europols sida. Statewatch rapporterar:

»There has been ”significant progress” in negotiations on new powers for EU police agency Europol, according to a document circulated by the Slovenian Presidency of the Council in December. The police agency was recently ordered to delete vast amounts of personal data that it was processing illegally – but the new rules would allow those practices to continue. Member states may be hoping to approve the new rules before the agency has to implement the deletion order.«

EDRi noterar samma sak:

»The indiscriminate bulk data collection and algorithmic analyses of the “uncategorised” data by Europol violates EU data protection law, the EU Charter of Fundamental Rights and the Treaties. However, these activities not only continue in spite of the EDPS strong criticism – the EU institutions try to legalise them under the revised Europol Regulation.«

I sammanhanget är det värt att notera att det snart kommer en dom i EU-domstolen om PNR, det vill säga Passenger Name Record som handlar om att samla in persondata om alla flygresenärer. Detta kan komma att bli en signal om hur man får eller inte får samla in information. Om domstolen går på samma linje som när det gäller datalagringen lär domen bli att man inte får ägna sig åt urskiljningslös övervakning och datainsamling, speciellt inte utan misstanke om brott.

Det är dock inget det nuvarande franska EU-ordförandeskapet tänker vänta på. Åter till Statewatch:

»The French Presidency of the Council wants to enter secret ”trilogue” negotiations with the European Parliament and European Commission on new rules governing Europol, the EU policing agency, with a text including a ”workaround” to allow Europol to hold on to vast quantities of personal data that it is currently processing illegally.«

»The Presidency’s proposal seeks to allow agencies and states that illegally provided data to Europol to be able to give their consent for its ongoing processing under the new rules, which would legalise existing practices…«

EU tänker alltså göra olaglig övervakning och registrering – som strider mot EU:s fördrag och dataskyddsförordning – laglig genom hemliga förhandlingar.

EU-kommissionen och ministerrådet är redan ombord. Sedan får vi se vad som händer när Europaparlamentet skall behandla den nya regleringen för Europol.

Skulle de föreslagna förändringarna bli verklighet är det uppenbart att frågan kommer att gå vidare till EU-domstolen.

Länkar, i tidsordning:
• MEP Patrick Breyer (PP, DE): Stop Europol’s illegal bulk data collection! »
• Computer Sweden: Europol tvingas radera stora mängder personuppgifter »
• The Guardian: A data ‘black hole’: Europol ordered to delete vast store of personal data »
• EDPS Decision on the retention by Europol of datasets lacking Data Subject Categorisation (PDF) »
• Statewatch: EU: Europol: ”Significant progress” on legalising illegal data practices »
• EDRi: The EU’s own ‘Snowden Scandal’: Europol’s Data Mining »
• Statewatch: Europol: Council Presidency proposes workaround for illegal data processing »

#ChatControl2: EU-förslag på väg om obligatorisk av-kryptering och granskning av meddelanden och e-post

av

EU-kommissionen vill nu göra granskning av innehållet i dina meddelanden och din e-post obligatorisk.

Den 2 mars planerar EU-kommissionen att presentera ChatControl 2 (meddelandekontroll) – som innebär att det blir obligatoriskt för meddelandetjänster och e-post-leverantörer att av-kryptera och granska innehållet i alla användares alla elektroniska kommunikationer.

ChatControl1 är redan beslutad i EU och ger operatörerna möjlighet att göra detta. ChatControl2 gör det obligatoriskt.

Fortfarande är det dock ett mysterium hur man tänker hantera företags, organisationers och privatpersoners egna e-post-servrar. För att inte tala om P2P-kryptering. Och meddelandetjänster utanför EU.

Syftet är att kontrollera att du inte ägnar dig åt sexuella övergrepp på barn. Vilket dock snabbt kan utökas när systemet väl är klubbat och klart.

EU-kommissionen ber nu alla medlemsstater plus Norge, Island och Ukraina att komma in med fem exempel var på övergrepp mot barn för att motivera sitt förslag och för ”policy development”. Även Storbritannien tycks vara med på ett hörn.

Förslaget har redan brett stöd i EU:s ministerråd. En intressant detalj är att den förra tyska regeringen under sitt ordförandeskap drev på i dessa frågor. Men – den nya tyska regeringen säger i sitt koalitionsfördrag nej till generell övervakning, speciellt av privat kommunikation. Vilket rimligen bör innebära ett nej till ChatControl.

Den nya tyska regeringens samarbetsavtal säger även en att rätten till kryptering skall garanteras. Vilket rimligen också bör sätta käppar i hjulet för ChatControl. I den mån man tänker stå för vad man kommit överens om, vill säga.

Vi följer utvecklingen.

• Chat control: Schengen states should promote decryption of messengers »
• Våra tidigare poster om ChatControl »
• Analys: Tyskland gör en u-sväng i övervakningsfrågorna »

Är Google Analytics olagligt i EU?

av

Användning av Google Analytics har bedömts stå i strid med EU:s dataskyddsförordning, GDPR. Så vad händer nu?

I Österrike har dataskyddsmyndigheten, Datenschutzbehörde (DSB), kommit fram till att användning av Google Analytics strider mot dataskyddsförordningen (GDPR).

Skälet är att persondata överförs till USA, vilket strider mot den så kallade Schrems II-domen i EU-domstolen.

Liknande klagomål har nu lämnats in i de flesta EU-länder.

Scherms II är ett steg i den decennielånga dragkampen om överföring av persondata till USA, där sådan information kan komma att hamna i händerna på NSA (”collect it all”) och andra underrättelseorgan. (FISA 702-reglerna.)

Hanteringen av sådan överföring har i stor delar varit under all kritik och bland annat kritiserats hårt av Europaparlamentet.

Striden har sitt ursprung redan i början av 2000-talet med överföringen av europeisk bankdata i bulk till amerikanska myndigheter, som en del i kriget mot terrorismen.

Scherms II-domen innebar att Privacy Shield-avtalet mellan EU och USA upphävdes, då det inte uppfyllde de krav som utlovats.

Ett sätt att lösa problemet skulle kunna vara att USA utfärdar vattentäta garantier för att europeisk persondata inte kommer att missbrukas där. Vilket inte tycks ske. Ett annat alternativ är att tjänster som Google Analytics delas upp, så att europeisk persondata stannar och analyseras inom EU:s gränser. Vilket inte heller tycks ske. Så läget förefaller rätt låst.

Google säger till The Register (i översättning av Computer Sweden):

»Människor vill att webbplatserna de besöker ska vara väldesignade, lätta att använda och respektera deras integritet. Google Analytics hjälper återförsäljare, regeringar, icke-statliga organisationer och många andra att förstå hur deras webbplatser och appar fungerar för användarna – men inte genom att identifiera individer eller spåra dem på webben. Dessa organisationer, inte Google, kontrollerar vilka data som samlas in med dessa verktyg och hur den används. Google hjälper till genom att tillhandahålla en rad skyddsåtgärder, kontroller och resurser för regelefterlevnad.«

Som vanligt står olika, var för sig relativt begripliga, intressen mot varandra.

• Computer Sweden: Österrikes dataskyddsmyndighet: Tyskt företag bröt mot GDPR när de använde Google Analytics »
• The Register: Austrian watchdog rules German company’s use of Google Analytics breached GDPR by sending data to US »

Dags att ta svensk datalagring till EU-domstolen – igen?

av

PTS hotar internetoperatören Bahnhof med miljonvite – för att inte följa den svenska lagen om datalagring, vilken i sin tur strider mot EU-domstolens upprepade domar om datalagringen.

Post och telestyrelsen (PTS) hotar internetoperatören Bahnhof med fem miljoner kronor i vite för att inte följa den svenska lagstiftningen om datalagring.

Detta trots att EU-domstolen upphävt EU:s datalagringsdirektiv och flera gånger återkommit med domar som säger att medlemsstaterna inte får ägna sig åt svepande lagring av data om allas alla tele- och datakommunikationer utan misstanke om brott.

Just nu väntar vi på ännu en dom där domstolen med all sannolikhet kommer att upprepa sitt tidigare nej till datalagringen. Generaladvokaten skriver:

»Advocate General Manuel Campos Sánchez Bordona considers that the answers to all the questions referred are already in the Court’s case-law or can be inferred from them without difficulty.«

Nu är frågan om det aktuella fallet kan komma att leda till ännu en prövning av den svenska datalagringen i EU-domstolen. I så fall tyder allt på att domstolen kommer att döma till Bahnhofs fördel.

PTS skriver i sitt pressmeddelande:

»Vid misstanke om internetrelaterade brott måste Polismyndigheten kunna begära ut uppgifter om abonnemang från den bredbandsoperatör som tillhandahåller aktuell IP-adress för att kunna identifiera en person. Bahnhof har vid flera tillfällen vägrat lämna ut uppgifter när information om portnummer saknats i Polismyndighetens begäran.«

Nyckelformuleringen här är ”när information om portnummer saknas”. Det innebär att inte bara uppgifter om den misstänkte utan även en stor mängd andra kunder som använt samma IP-adress skulle komma att lämnas ut. Vilket Bahnhof inte vill gå med på.

Och Bahnhofs ståndpunkt stöds alltså av ett flertal domar i EU-domstolen.

Detta kan bli intressant. Fortsättning följer.