I onsdags presenterade Justitie- och inrikesminister Morgan Johansson tillsammans med Sigurd Heuman det nya datalagringsdirektivet som ska börja gälla den 1:a december 2018.
Det nya förslaget om datalagringsdirektivet är avsett att följa de EU-direktiv och lagar som Sveriges tidigare datalagring ansåg bryta mot i den tidigare uppmärksammade domen mot Tele2. Den skiljer sig på flera punkter från föregående direktiv;
- Abonnemangsuppgifternas lagringstid ökar från 6 till 10 månader (t.ex. vem som har vilken IP-adress vid ett viss tillfälle)
- Lokaliseringsuppgifter sänks från 6 månader till 2 månader (t.ex. vart en mobiltelefon befunnit sig vid ett telefonsamtal)
- All kommunikation inom det fasta nätet undantas (dvs. samtal gjorda via hemtelefoni lagras inte längre)
- Uppgifter som gör det möjligt att identifiera abonnenter ska alltid lagras i samband med internetåtkomst — oberoende av teknologin som operatörerna använder (gäller ej VPN-tjänster, men internetleverantörer måste spara kundinformation)
- Uppgifterna skall endast lagras i Sverige
Tillgång till lokaliseringsuppgifter ska begränsas till grov brotslighet, medan abonnemangsuppgifter — som de menar är förenligt med EUs regelverk — endast kräver misstanke om brott för att begäras ut.[1]
Vad som är intressant i denna utredning är dock inte att det endast krävs brottsmisstanke för att få ut abonnemangsuppgifter, utan vad utredningen klassar som grova brott.
Det finns inte någon generell definition av grov brottslighet inom EU-rätten eller inom svensk rätt. Däremot förekommer i olika sammanhang, både i EU-rätten och i svensk rätt, uppräkningar av brott som – i det sammanhanget uppräkningen förekommer – ska jämställas med grova brott eller som på annat sätt ska särbehandlas. Ett exempel på en sådan uppräkning är bilagan till lagen (2003:1156) om överlämnande från Sverige enligt en europeisk arresteringsorder. I den bilagan finns angivet brott som spänner över en stor del av straffskalan; från mord och våldtäkt till förfalskning, piratkopiering och barnpornografi. Just denna uppräkning har rådet uppmanat medlemsstaterna att ta ”vederbörlig hänsyn” till vid införandet av det numera upphävda datalagringsdirektivet.[2]
En tolkning av ovanstående är alltså att datalagringsdirektivet skulle klassa klassa piratkopiering som grövre brott.
Lagring i Sverige
Enligt Morgan Johansson så har en del internetoperatörer — specifict Bahnhof och Tele2 — vägrat samarbeta med polis när de begär ut uppgifter. I Bahnhofs fall har de tolkat datalagrigsdirektivet som ett förslag som inte behöver följas eftersom det direkt bryter mot tidigare domar i EU-domstol. I Tele2:s fall har de istället hävdat att abonnentuppgifterna tillhör ett dotterbolag och inte lagras i Sverige. Därmed kan de inte heller ge ut uppgifterna då de inte har tillgång till dessa.
Det nya direktivet har löst detta på två sätt:
-
De har under utredningens gång på flertalet ställen understrykt att lagring av abonnentuppgifter (så som IP-adresser) är förenligt med EU direktiv då EU kräver att länderna har en effektiv brottsbekämpning. Utredningens tolkning är att abonnemangsuppgifter får lagras då de inte är integritetskränkande i och med att de är kopplad till en person och inte till vad personen i fråga gör. I och med det har de fastslagit att Bahnhofs beslut att inte lagra detta inte är förenligt med svensk lagstiftning.
-
De har beslutat att allt som företag enligt lag är skyldiga att lagra om svenska medborgare måste lagras inom Sverige, då det handlar om rikets säkerhet. Det innebär att bland annat Tele2 inte längre kan skydda sig bakom dotterbolag i andra länder i ett sätt att ungå utlämning av abonnemangsuppgifter.
Eftersom de centrala intressena för staten inte omfattas av EU-rätten utgör inte heller EU-rätten något hinder mot en sådan ordning. Enligt utredningen bör det således införas ett förbud för operatörerna att lagra uppgifterna utanför Sverige. Det ska i sammanhanget nämnas att lagring utanför Sverige inte torde förekomma alls eller endast i mycket liten utsträckning. [3]
Vad betyder allt detta?
Vid misstanke om brott, oberoende av straffskala, kan en åklagare begära ut vem som hade en IP-adress vid ett specifik tillfälle.
Om brottet klassificieras som grovt — vilket piratkopiering exempelvis föreslås göra — så kan åklagaren även begära ut att få lokaliseringsuppgifter på denna person.
Om regeringen beslutar att följa utredningens förslag, tror vi på OVPN att svenskar inom kort kommer att se en markant ökning av ärenden från bolag såsom Njord. Om regeringen beslutar att följa utredningens förslag, tror vi på OVPN att svenskar inom kort kommer att se en markant ökning av ärenden från bolag såsom Njord.
Vi har svårt att se hur Bahnhof & Tele2 ska lyckas kringgå att lagra identifierbar information om sina kunder då utredningen i mångt och mycket fokuserat på att just säkerställa att dessa luckor täpps igen för internetleverantörer. Lösningen för att skydda sin integritet på nätet förblir att nyttja säkra VPN-tjänster med strikta policies på att inte logga något.
Hur påverkas OVPN?
I dagsläget påverkas inte OVPN överhuvudtaget av datalagringsdirektivet. Det finns en speciell punkt i utredningen under Särskilda yttranden som specifikt nämner att lagringsskyldigheten inte omfattar VPN-tjänster. OVPN kan fortsättningsvis bedriva verskamhet utan loggar.
Dock kan det vara värt att nämna att rapporten rekommenderar en ny utredning gällande föreskrifter om vilka uppgifter som VPN leverantörer kan vara tvungna att lagra. Om en sådan utredning görs och kräver att VPN-tjänster loggar information inom Sverige är vi beredda att flytta utomlands — trots vårt tidigare löfte att verksamheten alltid kommer vara placerad i Sverige — då våra användares integritet är det som ligger i fokus för oss.