Femte juli

Nätet till folket!

Privatliv

Rätten till privatliv är en grundläggande mänsklig rättighet, vilket bland annat slås fast i Europakonventionen för de mänskliga rättigheterna samt i EU:s stadga. Här publicerar vi nyheter om hur myndigheter, företag och andra aktörer vill skaffa sig tillgång till vår privata information.

Pegasus: Övervakning, ändamålsglidning och dubbelmoral

av

NSO-gruppens spionprogramvara Pegasus har väckt uppmärksamhet i internationell press den senaste tiden. Bland annat tycks den ha använts för politiskt spionage i Mexiko och för att spionera på journalister i Ungern.

Även om ett land skaffar sig möjlighet att övervaka människors telekommunikationer i syfte att bekämpa brottslighet och terrorism – så tenderar sådana verktyg alltid att användas för mindre ädla syften.

Vilket är värt att hålla i minne – då mycket talar för att även svensk polis använder just Pegasus för sin hemliga dataavläsning.

Dessutom finns ett grundläggande problem, som ständigt måste påpekas: För att spionprogram skall kunna användas för till exempel hemlig dataavläsning krävs att säkerhetshål i vår IT-infrastruktur lämnas öppna och oskyddade, för att kunna användas av myndigheterna. På så sätt blir vi alla mindre säkra – när dessa säkerhetsluckor lämnas öppna även för till exempel kriminella och främmande makt.

Runt om i EU vrider politikerna nu på sig. Hur skall de till exempel kunna kritisera Ungerns påstådda spioneri mot media och medborgarrättsaktivister när de själva ofta använder samma spionprogramvara; när de givit Europol i uppdrag att knäcka krypterad kommunikation – och när de givit grönt ljus för meddelandetjänster och e-post-företag att avkryptera och granska sina användares kommunikationer i jakt på olämpligt innehåll?

Datalagring – så vill EU kringgå EU-domstolens förbud

av

De flesta av EU:s medlemsstater vill ha datalagring – det vill säga lagring av data om medborgarnas telekommunikationer, e-post, uppkopplingar, mobilpositioner m.m.

Samtidigt har EU-domstolen upprepade gånger sagt nej till svepande lagring av allas teledata utan misstanke om brott.

I ett internt arbetsdokument (PDF) från EU-kommissionen till ministerrådet gör man nu ett försök att hitta vägar runt EU-domstolens domar.

Man skissar på tre olka möjligheter:

  1. Att inte göra något, utan låta varje medlemsstat brottas med sin egen lagstiftning och EU-domstolen. (Nationell säkerhet är trots allt medlemsstaternas kompetens.)
  2. En »EU-special« – det vill säga att komma överens om ett gemensamt förhållningssätt som sedan tillämpas av medlemsstaterna direkt – utan tidsödande och krånglig lagstiftning eller demokratisk process.
  3. Ny EU-lagstiftning i form av ett nytt datalagringsdirektiv.

Man tittar även närmare på EU-domstolens domar, som kan tillåta datalagring med begränsat syfte eller i begränsad omfattning, om det finns rimliga skäl.

I sammanhanget är »nationell säkerhet« något av en fribiljett. Här är en formulering ur dokumentet, som enkelt kan användas för att motivera datalagring hur länge som helst:

»The threat to national security must be serious, genuine and present or foreseeable as assessed by national authorities according to Member States’ individual threat/risk assessment taking into account national specificities.«

I punkt 3b blir det intressant. Här talar man om att datalagringen skall kunna inriktas mot vissa personer eller vissa geografiska områden. Det vill säga att det faktiskt skall finnas något slags misstanke eller risk i botten.

»In relation to categories of persons, the Court indicates that targeted retention legislation based on objective evidence can be directed at persons whose traffic and location data are likely to reveal a link, at least an indirect one, with serious criminal offences, to contribute in one way or another to combating serious crime or to preventing a serious risk to public security or a risk to national security.«

»Geographical targeting measures may include areas where the competent national authorities consider, based on objective and non-discriminatory factors, that there exists, in one or more geographical areas, a situation characterised by a high risk of preparation for or commission of serious criminal offences. Those areas may include places with a high incidence of serious crime, places that are particularly vulnerable to the commission of serious criminal offences, such as places or infrastructure which regularly receive a very high volume of visitors, or strategic locations, such as airports, stations or tollbooth areas.«

Vilket naturligtvis är en förbättring jämfört med idag, då data om allas alla telekommunikationer lagras.

Dock blir man lite betänksam när dokumentet utvecklar sitt resonemang om målinriktad datalagring. Vad gäller geografiska mål skriver nämner man bland annat följande exempel:

»…sensitive critical infrastructure sites, transport hubs, areas with above average crime rates or that may be a target for serious crime or are high security risk e.g. affluent neighbourhoods, places of worship, schools, cultural and sports venues, political gatherings and international summits, houses of parliament, law courts, shopping malls etc.«

Till exempel kan man ifrågasätta det lämpliga i att samla in metadata som kan identifiera deltagarna på ett politiskt möte.

Här talar man även om att utöka datalagringen till att även gälla OTT communication services, det vill säga meddelande-appar och meddelandetjänster online. Förmodligen avses även sociala media.

Ett annat alternativ är »quick freeze«:

»The CJEU held that competent authorities may issue an order, subject to effective judicial review, requiring electronic communications service providers to carry out, for a specified (renewable) period of time, the expedited retention of traffic and location data in their possession, subject to strict access safeguards. This resembles the so-called “quick freeze” or “data preservation” mechanism.«

Men det bygger på att man redan i ruta ett samlar in telekommunikationsdata om alla medborgare, oavsett om det finns misstanke eller ej. Vilket EU-domstolen alltså säger nej till.

Ett annat alternativ som föreslås är »generalised retention of IP addresses assigned to the source of an Internet connection for serious crime and serious threats to public security«. Men för att kunna göra det som tänkt behöver man förbjuda VPN-uppkopplingar, vilket är något man helst inte vill peta i.

Slutligen talar man även om möjligheten att ägna sig åt allmän datalagring, men bara av »civil identity data«.

»The term “data related to civil identity” is described by the Court as data that should not make it possible to get to know the date, time, duration and addressees of the communications, nor the places where they took place, or how often this happened with specific persons within a given period. Apart from “contact details of [those] users”, it is not, however, specified what this term encompasses and to what extent, if any, it is different data compared with “subscriber data”16. In the digital environment, the notion of civil identity should cover data identifying the subscribers.«

Vilken väg ministerrådet kommer att förorda är än så länge oklart. Men här kommer ett stalltips, som bygger på följande fråga i dokumentet:

»Do Member States consider there is merit in revisiting the ‘data matrix’ exercise initiated by Europol in 2018 to try to find ways to devise a targeted retention system that fulfils the Court’s requirements?«

Man öppnar alltså för att låta Europol sköta ett målinriktat system för datalagring. Vilket passar som hand i handske med att EU redan givit Europol rätt att använda sig av privata företags olika datasystem och register. Det vill säga att man ger Europol en direktlina in till datalagringen hos de olika operatörerna och tjänsteleverantörerna.

Vilket – ur medlemsstaternas perspektiv – är det enklaste.

• Dokumentet: Non-paper on the way forward on data retention – Presentation by the Commission and exchange of views (PDF) »

#ChatControl 2.0 – ett slag mot end-to-end-krypterad e-post?

av

I veckan antog Europaparlamentet EU:s nya regelverk som låter operatörerna av-kryptera och gå igenom sina användares elektroniska meddelanden och e-post, i namn av att bekämpa sexuella övergrepp mot barn. I höst kommer nästa steg, där detta är tänkt att bli obligatoriskt.

MEP Patrick Breyer (PP, DE) skriver:

»But this is not the end of the story: For autumn 2021, European Commission announced that it will propose a follow-up legislation that will make the use of chatcontrol mandatory for all e-mail and messenger providers. This legislation might then also affect securely end-to-end encrypted communications. However, a public consultation by the Commission on this project showed that the majority of respondents, both citizens and stakeholders, were opposed to an obligation to use chat control. Over 80% of respondents opposed its application to end-to-end encrypted communications. As a result, the Commission postponed the draft law announced for July to September 2021.«

Hur man tänkt sig komma åt end-to-end-krypterade meddelanden är en gåta. Vi får se vad kommissionen föreslår efter EU:s sommarlov, som börjar nu eft parlamentets juli-session.

• MEP Patrick Breyer (PP, DE): Messaging and ChatControl »

Relaterat:

• #ChatControl – kommentarer dagen efter »
• Klart att klubbas i EU – avkryptering och granskning av e-post och meddelanden (med länksamling) »

Chatcontrol - graf över omröstningen i Europaparlamentet

#ChatControl – kommentarer dagen efter

av

I går röstade Europaparlamentet – som vi rapporterat – för att elektroniska meddelanden och e-post skall avkrypteras och analyseras i jakt på övergrepp mot barn. Här kommer en del reaktioner och information.

Till att börja med röstade de tre svenska miljöpartisterna mot sin grupplinje – och gav alltså sitt stöd till förslaget. Det börjar bli ett mönster att MP:s ledamöter överger partiets tidigare linje för medborgarnas rätt till privatliv.

Europaparlamentets vice talman Marcel Kolaja (PP, CZ) är kritisk:

»According to Kolaja, it is necessary to protect children, but mass surveillance through private messages scanning is not the proper solution, saying it could affect many citizens. The adopted derogation is “a big blow to our digital privacy,” Kolaja said.«

EDRi kommenterar:

»Diego Naranjo, head of policy at European Digital Rights (EDRi), told EURACTIV the proposal was “rushed”, and failed to strike a balance between the right to privacy and the need to protect children online because “the discussion was instead shifted from rational to emotional arguments.”«

Ur samma artikel:

»Alexander Hanff, a former victim of child abuse (…) openly criticised the provision, arguing it will deprive victims of channels for confidential counselling. “It will not prevent children from being abused, it will simply drive the abuse further underground, make it more and more difficult to discover it. It will ultimately lead to more children being abused,” Hanff said.«

MEP Patrick Breyer (PP, DE) kommenterar:

»The adoption of the first ever EU regulation on mass surveillance is a sad day for all those who rely on free and confidential communications and advice, including abuse victims and press sources. The regulation deals a death blow to the confidentiality of digital correspondence. It is a general breach of the dam to permit indiscriminate surveillance of private spaces by corporations – by this totalitarian logic, our post, our smartphones or our bedrooms could also be generally monitored. Unleashing such denunciation machines on us is ineffective, illegal and irresponsible.

Indiscriminate searches will not protect children and even endanger them by exposing their private photos to unknown persons, and by criminalising children themselves. Already overburdened investigators are kept busy with having to sort out thousands of criminally irrelevant messages. The victims of such a terrible crime as child sexual abuse deserve measures that prevent abuse in the first place. The right approach would be, for example, to intensify undercover investigations into child porn rings and reduce of the years-long processing backlogs in searches and evaluations of seized data.«

MEP Sophie in ‘t Veld (LIB, NL) säger:

»Whenever we asked critical questions about the legislative proposals, immediately the suggestion was created that I wasn’t sufficiently committed to fighting child sexual abuse.«

Detta är som vi tidigare noterat en tillfälliga regler. Nu gäller det att vara uppmärksam vad gäller nästa steg, som blir en mer permanent lagstiftning – som kan komma att bli mer omfattande och omfatta fler syften.

Länkar:
• EP vice-president slams ePrivacy derogation »
• New EU law allows screening of online messages to detect child abuse »
• EU Parliament lets companies look for child abuse on their platforms, with reservations »
•  MEP Patrick Breyer »
• #ChatControl – idag klubbas EU:s övervakning av elektronisk kommunikation »

#ChatControl – idag klubbas EU:s övervakning av elektronisk kommunikation

av

Idag har Europaparlamentet beslutat att dina meddelanden och din e-post skall avkrypteras och dess innehåll granskas.

Syftet är att bekämpa barnporr och sexuella övergrepp mot barn. Med tanke på ämnets känsliga natur har det lett till att berättigad kritik och omsorg om medborgarnas rätt till privatliv helt hamnat i skugga.

Läs vår tidigare beskrivning av frågan, dess bakgrund och process här. »

Dagens beslut gäller en tillfällig reglering, som i ett senare steg är tänkt att ersättas med ett mer permanent regelverk. Och här gäller det att se upp.

När frågan återkommer finns det många som vill utöka denna massövervakning av våra elektroniska kommunikationer till att även gälla andra syften. Det finns även de som vill se detta som ett allmänt verktyg i massövervakningens tjänst.

Så vi fortätter att bevaka frågan – för att uppmärksamma eventuell ändamålsglidning.

Länkar:
• MEP Patrick Breyer (PP, DE) »
• Klart att klubbas i EU – avkryptering och granskning av e-post och meddelanden »
• Se gårdagens debatt i Europaparlamentet här (18:25-19:05) »

EU-domstolen: OK att samla IP-adresser i jakt på fildelare

av

Ur ett pressmeddelande från EU-domstolen:

»The systematic registration of IP addresses of users and the communication of their names and postal addresses to the holder of intellectual property rights or to a third party in order to enable an action for damages to be brought is permissible under certain conditions.

The request for information from a holder of intellectual property rights is not to be abusive and must be justified and proportionate.«

Man utvecklar resonemanget om speciella förutsättningar (certain conditions):

»In the third place, the Court holds that EU law does not preclude, in principle, the systematic registration, by the holder of intellectual property rights or by a third party on his or her behalf, of IP addresses of users of peer-to-peer networks whose internet connections have allegedly been used in infringing activities (upstream processing of data), or the communication of the names and of postal addresses of users to that holder or to a third party for the purposes of an action for damages (downstream processing of data). However, initiatives and requests in that regard must be justified, proportionate, not abusive and provided for by a national legislative measure which limits the scope of rights and obligations under EU law. The Court states that the latter does not impose an obligation on a company such as Telenet to communicate personal data to private individuals in order to be able to bring proceedings before the civil courts for copyright infringements. However, EU law allows Member States to impose such an obligation.«

Detta kommer förmodligen att öka antalet ekonomiska krav från upphovsrättsindustrin och dess ombud mot fildelare. Och det kommer säkert att öka användningen av VPN-tjänster.

• EU-domstolens pressmeddelande (PDF) »

Kryptering och brevhemlighet i fara när EU bekämpar droger

av

EU håller på att ta fram en Drugs Action Plan 2021-25. I den föreslår man bland annat ökade möjligheter för att knäcka kryptering.

Punkt 7:

»Improve possibilities to tackle encryption in line with the resolution on security through encryption and security despite encryption adopted by the Council in December 2020, and other new technology-related methods employed by organised crime groups active in the drug markets to avoid detection and hide their communications. In this context, Europol analytical and technical capacities to support the Member States in this area should be strengthened and mutual legal assistance should be facilitated and strengthened, in particular regarding standard measures (e.g. subscriber identification) to improve information exchange.«

Det är inte direkt som att EU behöver fler skäl för att kringgå och underminera kryptering. Det finns redan flera andra förslag (t.ex. ChatControl). Och Europol har redan som prioriterad uppgift att knäcka krypterade kommunikationer. Men här presenterar man alltså ytterligare ett skäl.

Men det stannar inte vid detta. Även brevhemligheten (för fysiska brev) är i fara. Punkt 19:

»Promote the development, use and exchange of best practices and equipment among Member States on monitoring of suspicious postal items by employing solutions such as detection dogs and/or x-ray machines. Notably, the role of new technologies and especially of artificial intelligence should be examined, while preserving the fundamental right of privacy of correspondence.«

Att knarkhundar och röntgenmaskiner används gör att jaga droger i posten är kanske ingen nyhet. Och nu vill man alltså toppa detta med AI, utan att närmare beskriva hur det är tänkt att gå till.

I detta sammanhang är det också intressant att notera att flera EU-länder börjat med unika, kodade frimärken – vilket kan göra det möjligt att följa ett brev maskinellt.

• Statewatch: EU – Drugs strategy includes actions to ”tackle encryption” and postal snooping »
• EU-kommissionen: Draft EU Drugs Action Plan 2021 – 2025 (PDF) »

Sluta censurera sådant som inte är olagligt

av

Att reglera internet och att övervaka folket tycks vara en prioriterad politisk uppgift. Det går med en rasande fart nu.

Pandemin har förmodligen gjort det lättare. Never waste a good crisis.

Jag noterar att Europol nu har börjat punktmarkera såväl högerextremister som vänsterextremister, islamister och corona-förnekare online. Vad jag förstår använder man sig inte av lagen, eftersom en del av det material man vill ha bort inte är olagligt. Istället anmäler man innehåll till de sociala nätverkens abuse-avdelningar för brott mot nämnda nätverks användarvillkor.

Vilket alltså innebär att statens våldsmonopol ägnar tid och resurser åt att tysta oönskade röster på nätet – som inte nödvändigtvis gör något olagligt. Man kan även fundera på om det är lagen eller Facebooks användarvillkor som skall vägleda polisen i dess förhållande till det fria ordet.

Idén med att göra känsliga inskränkningar i yttrandefriheten genom att påverka sociala media att uppdatera sina användarvillkor är dubiös. Skall man göra inskränkningar i det fria ordet, då skall det ske genom lag i en öppen demokratisk process. Inte genom diskreta påtryckningar mot sociala media.

I EU-kommissionens förslag till en Digital Services Act (DSA) skriver man att olagligt material skall plockas bort. En del länder i ministerrådet, med Frankrike i spetsen, vill gå längre och även avlägsna hat och hot. Men alltså hat och hot som inte redan fallit under rubriken olagligt? Det vill säga att avlägsna lagligt innehåll. See what they did there?

Europaparlamentets franske rapportör om DSA vill redan nu att uppladdningsfilter skall införas som något slags allmänt verktyg. Det vill säga automatisk granskning och i förekommande fall censur av allt du laddar upp – där din yttrandefrihet regleras av maskiner, algoritmer och av den som kontrollerar dessa.

Jag vill inte låta alarmistisk. Men denna slappa hållning gentemot den demokratiska rättsstatens grundläggande principer och metoder är olämplig. Vi håller på att flytta makten över det fria ordet från lagstiftning och rättsväsende till slutna rum.

Det kommer även ett alternativ på papper till EU:s nya digitala Covid-pass

av

EU:s nya Covid-pass har nu fått grönt ljus av alla inblandade EU-institutioner – och systemet är tänkt att gälla i alla medlemsstater om högst sex veckor.

Även ledamöter av Europaparlamentet som kämpar för individens rätt till privatliv tycks vara nöjda med de garantier som lämnats för dataskydd och individens rätt till privatliv.

För den som ändå inte är bekväm med att ha en app kommer det att finnas ett pappers-baserat alternativ.

Man skall i sammanhanget vara medveten om att detta i praktiken blir en test inför systemet med European Digital Identity Wallets, som presenterades av EU-kommissionen förra veckan.

European Digital Identity Wallets

av

Idag presenterade EU-kommissionen huvuddragen för en förordning om European Digital Identity Wallets.

Det blir lite som Bank-ID plus en wallet för saker som digitala körkort, kreditkort, licenser, försäkringsbrev, sjukvårdsinformation, recept, kollektivtrafikkort och annat som kan vara bra att ha. Det skall fungera i hela EU. Och det sägs bli frivilligt.

Alla som bott på kontinenten, med dess viktorianska folkbokföringssystem, inser vilken teknisk och praktisk revolution detta kommer att bli i vissa länder. För oss svenskar som redan har Bank-ID, en wallet i iPhonen och betalar med mobilen blir livet möjligen ytterligare lite mer bekvämt.

Det talas även om att detta nya EU-ID skall kunna användas för inloggning på till exempel sociala media. Kommissionen påpekar att användaren då kan välja vilka data hon vill dela med sig av. Här gäller det att se upp så att EU-ID inte övergår från att vara ett möjligt val till att bli obligatoriskt.

Som vi påpekade igår, så kommer detta inte utan risker vad gäller övervakning, demokrati och säkerhet. Ytterst handlar det om huruvida vi är beredda att betro staten med nyckeln till våra liv. Och då skall man tänka på att svenska folket redan lever i ett i princip kontantlöst samhälle. Man kan bli väldigt sårbar om man kommer på kant med myndigheterna.

EU-kommissionen:
• Commission proposes a trusted and secure Digital Identity for all Europeans »
• Commission proposes trusted and secure Digital Identity for all Europeans – Questions and Answers »