Femte juli

Nätet till folket!

SOU

Sveriges statstrojan

Datainspektionen säger nej till statstrojanen

av

Nu har Datainspektionen sagt sitt om den utredning om ”hemlig dataavläsning” som presenterades i november 2017.

Datainspektionen är bland annat kritisk till att den så kallade statstrojanen ska få användas för mindre brott, och menar att utredningen ”väsentligt underskattat integritetsriskerna”.

Så här vackert inleder myndigheten sitt yttrande, som publicerades i dag:

Användningen av det föreslagna tvångsmedlet hemlig dataavläsning kan komma att innebära ett i den personliga integriteten synnerligen ingripande intrång. För att införa ett sådant tvångsmedel i ett demokratiskt samhälle måste det föreligga mycket starka skäl.

Mellan raderna säger alltså Datainspektionen att utredningens förslag är odemokratiskt. Och kritiken fortsätter i den andan:

Eftersom varje tvångsmedel och övervakning av enskilda personer innefattar ett integritetsintrång måste nödvändigheten av dessa metoder alltid vägas mot integritetsskyddsintresset. Vid dessa bedömningar måste hänsyn tas till kraven i regeringsformen, Europakonventionen och EU:s rättighetsstadga. Enskildas rätt till skydd för sitt privat- och familjeliv och sitt hem och sin korrespondens är en grundläggande rättighet i ett demokratiskt samhälle. Varje inskränkning i denna rätt måste bygga på ett angeläget samhälleligt behov av inskränkning och den måste stå i rimlig proportion till det syfte som ska tillgodoses genom ingreppet. Vidare måste undantagen vara utformade med sådan precision att inskränkningen av rättigheten är förutsägbar i rimlig utsträckning.

Datainspektionen går så långt som att använda ordet ”totalövervakning”:

Det skulle, vid ett införande i enlighet med utredningens förslag, kunna vara möjligt för den brottsbekämpande myndigheten som använder metoden att närmast fullständigt kunna kartlägga och övervaka den person som utsätts för åtgärden. En sådan totalövervakning av en person innebär naturligtvis synnerligen stora risker för den personliga integriteten för den som utsätts för åtgärden, och ibland även för andra.

Mot den bakgrunden anser myndigheten inte att en statstrojan är ett proportionerligt tvångsmedel:

Nödvändigheten av den föreslagna utformningen och användningen av tvångsmedlet måste anses väsentligt understiga integritetsskyddsintresset. Mot denna bakgrund avstyrker Datainspektionen förslaget.

Det sammantagna intrycket är att Datainspektionen står upp för det demokratiska samhället och sätter ner foten när regeringen avser bryta mot Sveriges grundlag, Europakonventionen och EU:s rättighetsstadga – ja, mot själva idén om den västerländska demokratin så som den var tänkt att fungera.

Även Säkerhets- och integritetsskyddsnämnden säger nej

Även den statliga myndigheten Säkerhets- och integritetsskyddsnämnden underkänner utredningens förslag. Deras yttrande är längre och mer byråkratiskt formulerat. Ett utdrag:

Den föreslagna tillämpningen av hemlig dataavläsning vid hemlig kameraövervakning och hemlig rumsavlyssning kommer däremot att innebära en väsentlig utökning av myndigheternas möjlighet att i hemlighet kartlägga enskildas liv. Dessa tvångsmedel tillhör de mest integritetskränkande och bör som utgångspunkt användas restriktivt. I denna del har utredningen enligt nämnden dels inte förmått påvisa ett tydligt behov av det nya tvångsmedlet, dels inte analyserat de tekniska problemen och gränsen mellan domstolens och den verkställande myndighetens roller tillräckligt. Enligt förslaget ska hemlig dataavläsning kunna verkställas t.ex. i en mobiltelefon genom att kamera- och mikrofonfunktionerna aktiveras. För att säkerställa verkställighet enbart på den plats som anges i tillståndet är det nödvändigt att den brottsbekämpande myndigheten känner till exakt var telefonen finns under hela verkställighetstiden. Likaså får verkställigheten inte komma i konflikt med bestämmelserna om avlyssningsförbud. Utredningen har inte redovisat någon närmare analys av hur detta ska gå till.

Nämnden ser dessutom ”särskilda svårigheter när det gäller tillämpningen av proportionalitetsprincipen vid hemlig dataavläsning”, vilket även är Datainspektionens huvudargument.

Nu återstår att se om regeringen tar till sig kritiken. Nästa steg i lagstiftningskedjan är en lagrådsremiss som innehåller samtliga remissyttranden och som Lagrådet ska ta ställning till. Lagen föreslås träda i kraft den 1 januari 2019.

Bild: Remix av ett foto av Richard Fisher (CC BY 2.0).

Längre straff för upphovsrättsbrott ger polisen mer makt att avlyssna

av

Regeringens utredare Dag Mattsson presenterade förra veckan sitt betänkande Grovt upphovsrättsbrott och grovt varumärkesbrott.

Utredningen föreslår att upphovsrätts- och varumärkesbrott får en särskild straffskala, där brott som betecknas som ”grova” ska kunna ge mellan sex månader och sex års fängelse.

Migrations- och biträdande justitieminister Heléne Fritzon kommenterade i ett pressmeddelande:

I dag pågår det en organiserad piratverksamhet på nätet som får stora konsekvenser för hela samhället. Därför är det bra att straffskalorna för dessa brott har setts över då straffen ska stå i proportion till brottens allvar.

Den grövre straffskalan välkomnas av polisen. Paul Pintér, polisens nationella samordnare mot immaterialrättsliga brott, säger till Ny Teknik:

Det är efterlängtat för oss inom polisen. Det kommer att öppna upp andra utredningsmetoder som vi kan använda oss av under förundersökning.

Ett högre maxstraff ger alltså polisen ökade befogenheter att avlyssna, begära ut uppgifter från internetoperörer, med mera. Ännu en utredningsmetod som polisen nu får tillgång till skulle kunna vara den föreslagna statstrojanen, där polis ska ha rätt att installera avlyssningsutrustning på misstänktas datorer. Ordföranden för Dataskydd.net och före detta europaparlamentarikern för Piratpartiet Amelia Andersdotter kommenterar på Facebook:

I kombination med förslagen i utredningen om hemlig dataavläsning (SOU 2017:89) innebär strafförlängningen att åklagare och polis ska få hacka fildelare.

Utredningen föreslår också att domännamn ska kunna tas i beslag, på samma sätt som hårdvara tas i beslag under en utredning. Enligt utredaren kommer detta att ”få betydelse för det brottsförebyggande arbetet”:

Den pågående brottsligheten försvåras så att den inte kan fortsätta ända till dess att ett lagakraftvunnet beslut om att egendomen ska förverkas kan verkställas, något som kan dröja flera år. (s. 8)

Detta förslag – unikt för immaterialrättsbrott – ifrågasätts dock av Daniel Westman, en av utredningens egna experter, som menar att ett beslagtagande av domännamn ”skulle innebära en principiell nyhet i svensk rätt” och kunna få konstiga konsekvenser:

Med förslaget skulle detta nya verktyg emellertid bara bli tillgängligt i samband med brottsutredningar inom upphovsrätten och varumärkesrätten, inte i t.ex. utredningar som rör betydligt allvarligare brottsbalksbrott. (s. 119)

Lagändringarna ska träda i kraft den 1 juli 2019, enligt förslaget.

Henrik Alexandersson (HAX)

HAX: Hemlig dataavläsning – låt er inte luras!

av

Så har då utredningen om hemlig dataavläsning presenterats. Den föreslår att myndigheterna skall få installera spionprogram på folks datorer, plattor och telefoner. Med stor sannolikhet kommer regeringens proposition att ligga mycket nära utredarens förslag.

Det sägs att detta mycket integritetskränkande verktyg bara skall få användas för att bekämpa allvarlig brottslighet. Känns det igen? Det sa man om datalagringen också – som sedan kom att användas till exempel för att jaga fildelare och för att låta skattemyndigheterna snoka i folks privatliv.

Ger man staten sådana här verktyg – då är det inte en fråga om ifall utan när ändamålsglidningen kommer att ske.

Den lilla debatt som alls förekommit i media har mest handlat om detaljer. Men – vad jag har kunnat se – har den inte alls berört den stora frågan: Att det är en dålig idé att skapa bakdörrar som undergräver allas vår it-säkerhet.

Vi har redan sett hur sådana verktyg har hamnat i orätta händer efter att ha läckts från amerikanska myndigheter. Även om Sverige skulle ta fram en helt egen ”statstrojan” är det – återigen – inte en fråga om om utan när den läcker och hamnar i händerna på till exempel kriminella och främmande makt.

Dessutom bygger sådana här verktyg så gott som alltid på sårbarheter och säkerhetsluckor som är kända eller på väg att bli kända. Vilket innebär att andra mycket väl kan komma att utnyttja den bakdörr till våra datorer som politikerna nu vill öppna.

Svenska staten håller med andra ord på att bli ett hot mot svensk it-säkerhet.

Slutligen kan man konstatera att en proposition från regeringen i denna fråga kommer att bli ännu ett svek från (regeringspartiet) Miljöpartiet i integritetsfrågorna. Dess svek är nu totalt.

Låt oss se till att få upp en debatt om hemlig dataavläsning på banan så snart som möjligt – medan det fortfarande är möjligt att påverka med sakliga argument och innan positionerna blir alltför låsta.

Och vill regeringen och övervakningspartierna ha en integritetsdebatt lagom till valåret 2018 – då ska de också få en.

Battle stations!

/HAX

Not: Det här inlägget skickade Henrik Alexandersson i ett brev från fängelset, daterat 19 november 2017. Bilden togs under en tågresa till Prag 2016. Foto: TE.

Sverige får sin första statstrojan

av

I dag presenterade regeringens särskilda utredare Petra Lundh delbetänkandet Hemlig dataavläsning – ett viktigt verktyg i kampen mot allvarlig brottslighet.

Utredaren föreslår att Sverige inför en tidsbegränsad lag som tillåter ”hemlig dataavläsning”.

Regeringen förklarar vad som menas:

Med hemlig dataavläsning kan man med hjälp av tekniska hjälpmedel, till exempel programvara, i hemlighet läsa meddelanden som skickas till eller från exempelvis mobiltelefoner. Det är redan i dag tillåtet att samla in sådan information men inte alltid möjligt på grund av bland annat kryptering.

I klartext innebär detta att regeringen vill komma runt Whatsapps och andra meddelandeappars end-to-end-kryptering. Eftersom det inte är något alternativ att knäcka krypteringen återstår bara för staten att läsa meddelandena på de berördas telefoner innan de krypterats och efter att de avkrypterats.

Tyskarna har gett tekniken namnet ”statstrojan” – tyska underrättelsetjänsten BND satsade under förra året 150 miljoner euro på att försöka komma runt krypteringen i meddelandeappar, något vi berättade om i 5 juli-poddens avsnitt 31.

Och belgarna gav nyligen Big Brother-priset 2017 till ”den europeiska trenden state hacking”.

Säga vad man vill om Sveriges justitie- och inrikesminister Morgan Johansson, men han är i alla fall väldigt trendig.

Datalagringen begränsas – inte

av

Så har då utredarna Sigurd Heuman, Mikael Kullberg och Christofer Gatenheim lämnat över sitt delbetänkande om den svenska datalagringen till justitie- och inrikesminister Morgan Johansson.

Utredarna skriver i en debattartikel:

EU-domstolen har fastslagit att den svenska datalagringen inte är förenlig med EU-rätten. Att enbart upphäva de svenska reglerna är emellertid inte någon möjlighet.

…

Utredningen har undersökt olika former av datalagring. Den enda rimliga modellen är en som liknar den nuvarande, men som är ännu mer begränsad.

Det låter ju bra, men när man går in på detaljer visar det sig att utredarnas förslag på många sätt innebär en utökning av datalagringen – inte en begränsing. Till exempel vill utredarna differentiera längden för datalagringen, från dagens sex månader till tre olika längder: Två, sex och tio månader, beroende på hur viktig informationen är för polisen.

Att lagra viss information i tio månader i stället för sex månader låter inte som en begränsning. Bahnhofs vd Jon Karlung kommenterar syrligt på Twitter:

Även Journalistförbundet är kritiska. Jonas Nordling och Stephen Lindholm skriver i en replik till utredarna:

Vi säger inte att polisen aldrig ska få tillgång till uppgifter, men det måste finnas en rimlig balans mellan polisens intressen och den enskildes intressen. I andra EU-länder lyckas polisen utreda brott utan att länderna bryter mot mänskliga rättigheter. Det måste gå att lösa i Sverige också.

De menar rentav att den mjäkiga utredningen kan göra polisens arbete svårare:

Utredarna skriver att syftet med förslaget är just att ge polisen verktygen för att lösa brott. Men förslaget kan istället få motsatt effekt och riskerar dra ut på polisens problem ytterligare. Eftersom lagen troligtvis även i fortsättningen kommer att strida mot EU-rätten finns det en stor risk att det blir en vända till av domstolsprövningar. Det kommer att ta tid och kommer antagligen leda till att EU-domstolen återigen konstaterar att svensk lagstiftning inte håller måttet.

Men tillbaka till utredarnas debattartikel. Utredarna föreslår att ”samtal och meddelanden inom det fasta nätet” undantas från datalagring, men formuleringarna gör att man undrar om de förstår hur internet fungerar:

Polisen har störst behov av uppgifter från mobiltelefoner och internet. Samtal och meddelanden inom det fasta nätet behöver därför enligt utredningen inte längre lagras. Detta innebär till exempel att samtal från hemtelefonen eller mejl som skickas från en fast internetanslutning inte längre kommer att lagras. När det gäller internetåtkomst kan däremot inte samma begränsning göras, eftersom en stor del av internetbrotten begås från datorer med fast anslutning.

”När det gäller internetåtkomst”? Men mejl är ju internetåtkomst. E-post är en del av internet. Så är även telefonsamtal numera – den så kallade ”hemtelefonen” kopplar upp sig via internet. Menar de i själva verket ”webben” när de skriver ”internetåtkomst”? Det är oklart – kanske förklaras det närmare i utredningen, som jag inte läst än.

Värt att notera är även utredarnas retorik i debattartikeln. Man målar som vanligt upp en bild av de allvarliga brott där datalagring anses vara viktig:

Polisen får veta vilka platser en gärningsman varit på, vilka personer som gärningsmannen haft kontakt med och vilka personer som befunnit sig nära en brottsplats. Polisen får även reda på vem som använt den ip-adress som till exempel kan knytas till spridning av barnpornografi eller narkotikaförsäljning. Även i underrättelsearbetet är informationen viktig, inte minst för att upptäcka terrorister och illegala underrättelseagenter.

Knark, barnporr och terrorism alltså. Men i verkligheten är det en annan brottstyp som dominerar polisens förfrågningar till internetleverantörerna, nämligen fildelning, enligt siffror som internetleverantören Bahnhof offentliggjorde 2016:

fildelning_diagram

Lägg till detta att utredarna föreslår en utökning av möjligheterna att koppla en IP-adress till en person:

Utredningen föreslår också att regleringen ska utformas så att en användare bakom en ip-adress alltid ska kunna spåras oavsett vilken teknik som operatören använder sig av. Så är inte fallet i dag.

Just denna punkt tycker jag spontant, utan att känna till de tekniska eller juridiska detaljerna, känns mest skrämmande. Varenda fotavtryck som görs på internet ska alltså kunna kopplas till en verklig person. Total övervakning.

Vi får nog anledning att återkomma till detaljerna i utredningen.

Delbetänkandet Datalagring – brottsbekämpning och integritet är en del av den större Utredningen om datalagring och EU-rätten, som beställdes av regeringen i februari 2017 för att ta reda på hur svensk lagstiftning ska förhålla sig till den dom i EU-domstolen från december 2016 som underkände generell datalagring.

Amelia Andersdotter granskar Bahnhofläckan

av

Före detta EU-parlamentarikern för Piratpartiet Amelia Andersdotter har i dag publicerat två inlägg på Dataskydd.net.

Bahnhofläckan

Det första handlar om Bahnhofläckan och regeringens utredning Datalagring och EU-rätten, som vi rapporterat om tidigare.

Andersdotter har läst de läckta dokumenten och konstaterar att två av dem handlar om ”påverkansförsök från Polismyndigheten och Säkerhetspolisen riktade mot utredningen”:

Precis som många tidigare skrifter till stöd för datalagring är de närmast kliniskt befriade från konkreta exempel på att datalagring är ett outbytbart och ovärderligt verktyg för brottsbekämpning. Det är synd, eftersom EU-domstolens domslut ska ses mot ljuset av en mycket låg evidensnivå för att datalagring varit effektivare och användbarare än andra metoder vid brottsbekämpning.

Ett av de läckta dokumenten avslöjar att utredaren ”inte velat ta i de svåraste konsekvenserna av EU-domstolens domslut från förra året”.

EU-domstolen kom som bekant fram till att generell datalagring strider mot de mänskliga rättigheterna. Utredningens syfte är därför att ge regeringen underlag för hur Sverige ska förhålla sig till domen.

Andersdotter sammanfattar:

Naturligtvis ligger det politiska ansvaret för att svenska staten inte förmår skydda de egna medborgarnas rättigheter ytterst på regeringen. Men deras arbete görs så mycket svårare av att statliga utredare inte ger regeringen ett gott stöd i uppdraget.

Utredningen ska presenteras den 9 oktober 2017.

Dataskyddsutredningen

Det andra inlägget gäller regeringens utredning Ny dataskyddslag, som handlar om hur Sverige ska implementera EUs dataskyddsförordning.

Andersdotter har tittat närmare på några av remissvaren, och konstaterar att den livliga diskussionen på EU-nivå inte följt med till nationell nivå. I stället har vi fått påtryckningar från näringslivet:

Företagsrepresentanter som Bankföreningen och Svenskt näringsliv anser att konsumenter har en lägre rätt till insyn, eller i vilket fall inte bör få en högre rätt till insyn, än vad som är fallet idag. Oroväckande nog har de vunnit gehör för denna ståndpunkt hos Datainspektionen.

Andersdotter tar också upp problemet med att en myndighet som Datainspektionen, som är en av remissinstanserna, inte deltar i sammanhang som de inte får betalt för. Detta gör att de är mer mottagliga för uppvaktning från näringslivet, medan mer ideell input riskerar att gå dem förbi:

Datainspektionen åker inte på möten som de inte får betalt för att delta på, och är därmed otillgängliga för många konferenser och sammanslutningar av grupper av medborgare som har stor kännedom och kunskap om dataskydd men färre ekonomiska resurser att ordna konferenser med betalda talare.

EUs dataskyddsförordning ska börja tillämpas i Sverige den 25 maj 2018.

Deadline för att kommentera nya dataskyddslagen

av

Regeringens utredning Ny dataskyddslag handlar om hur Sverige ska tillämpa EUs dataskyddsförordning. Nu på fredag 1 september 2017 är det deadline för remissvar.

Föreningen Dataskydd.net har skickat in ett remissyttrande.

Bland annat kritiserar Dataskydd.net att utredaren inte valt att stödja användandet av pseudonymer i offentliga handlingar som ett extra lager av integritetsskydd, och att privatpersoner inte ska ha rätt till rättelser i arkiv, om till exempel en felaktig medicinsk diagnos arkiverats.

Läs mer hos Dataskydd.net.