Gemensamt remissvar på Ju2024/02286 Datalagring och åtkomst till elektronisk information

Till Justitiedepartementet, Enheten för domstols- och åklagarfrågor, Ju2024/02286

Detta är ett gemensamt remissvar från DFRI, ISOC-SE och SNUS; tre ideella organisationer som från olika perspektiv verkar för en hög nivå av personlig integritet, tekniskt och juridiskt dataskydd samt ett öppet Internet.

Föreningen för Digitala Fri- och Rättigheter (DFRI)  är en ideell och partipolitiskt obunden förening som verkar för främjandet av digitala fri- och rättigheter.

Internet Society i Sverige (ISOC-SE) är en ideell förening som ingår i den världsomspännande organisationen Internet Society (ISOC) som verkar för en effektiv användning och organisation av Internet.
Swedish Network Users Society (SNUS) är ett forum för tekniskt intresserade personer inom nätverksområdet. SNUS verkar för att medlemmarna får del av varandras kunskaper inom ramen för olika aktiviteter, främst genom arbetsgrupper, seminarier och testrapporter

Lagrådsremisskommentarer

Vi anser att förslaget i sin helhet fortfarande har stora brister i analysen av de konsekvenser det innebär för informationsfrihet, inskränkningarna i den personliga integriteten och möjligheten att kommunicera på ett säkert sätt. Vi vill särskilt avstyrka utredningens förslag om geografiskt riktad lagring och anpassningskydigheten för OTT-tjänster.

Vi anser fortfarande inte att förslaget kan sägas vara proportionerligt eller skäligt med hänsyn till de enorma inskränkningar på medborgarnas personliga integritet som förslaget föreslår ska införas. De föreslagna ändringarna för att tillåta datalagring knutna till kommuner kommer att leda till integritetskränkningar i form av övervakning av hundratusentals oskyldiga medborgare vilka inte är misstänkta för brott. Detta kan knappast “tolereras i ett demokratiskt samhälle” som utredningen menar. 

Utredningen har gjort en utblick till hur det ser ut i övriga europeiska länder, men det saknas ett jämförande resonemang om huruvida lagstiftningen i dessa länder har varit ett effektivt verktyg och om motsvarande lagstiftning ens är rimligt applicerbar i en Svensk kontext. I många av dessa fall har utredningar tvärtom visat att de verktyg som implementerats inte på ett effektivt sätt bidragit till det avsedda ändamålet. Mot bakgrund av detta kan inte de inskränkningar verktygen ger upphov till vara ändamålsenliga eller proportionerliga.

Precis som betänkandet gör lagrådsremissen antagandet att anpassningsskyldigheten för totalsträckskrypterade tjänster är oproblematisk. Vi håller inte med om detta utan anpassningsskyldigheten riskerar att inte bara skapa stora intrång i den personliga integriteten men kan också komma att leda till att företag som tillhandahåller kommunikationslösningar kan komma att dra sig ut från den Svenska marknaden och enbart lämna kvar tjänster där kommunikationen inte kan totalsträckskrypteras. Detta skadar både fysiska personers integritet, men även juridiska personer som har behov av säker kommunikation kan komma att påverkas. I förlängningen kan Sveriges nationella säkerhet också komma att påverkas negativt. Vi saknar i utredningen även en tillfredsställande konsekvensbedömning av hur juridiska personer som hanterar sekretessbelagda uppgifter kan komma att påverkas av ett sådant scenario. 

Det är, rent tekniskt, så att anpassningsskyldigheten är omöjlig att tillgodose utan att bryta totalsträckskrypteringen. Därmed är lagförslaget att jämföra med att förbjuda totalsträckskrypterade tjänster av den allmänt tillgängliga sorten. 

I vårt svar på betänkandet resonerade vi kring hur utredningen ställer sig till teknikutveckling generellt, och att det verkar som att utredningen anser att litmustestet för lagstiftning är att lagen går att skriva, inte att lagstiftningen får avsedd effekt. Vi anser att lagrådsremissen belägger detta resonemang då man inte resonerar kring utvärdering av den föreslagna lagen eller tar hänsyn till vad som är tekniskt / matematiskt genomförbart eller ej. 

Vi anser fortfarande att förslagen är baserade på en osund balans av det bakomliggande intresset av informationsinsamling och övervakning kontra rättigheter och skyldigheter, och menar att utredningen bör kritiseras för avsaknad av empiriskt material som stödjer tesen att lagförslagen leder till påstådd effekt. 

Vi vill återigen peka på RIksrevisionens rapport “På skakig grund – beslutsunderlag inför stora reformer (RiR 2022:15)” som indikerar avsaknaden av djuplodande och genomtänkta beslutsunderlag för samhällsbärande reformer under de senaste tjugo åren.  

Personlig integritet, dataskydd och rätten till säker kommunikation på ett öppet Internet är samhällsbärande fundament, ovärderliga för demokratin. De får inte offras på politikens kortsiktiga altare i en icke genomtänkt reform.


Styrelsemöte 9 januari

DFRI håller ett öppet styrelsemöte torsdag 2025-01-09 kl 18:00 på internet. Vi beräknas hålla på i ungefär en timme. Alla medlemmar och andra intresserade är välkomna.

Dagordning finns här (kan ändras ända fram till att mötet börjar).

Anmäl dig per mejl till dfri@dfri.se om du vill delta. Då får du också information om länk till anslutning för deltagande.


Remissvar SOU 2024:59: Signalspaning i försvarsunderrättelseverksamhet – en modern och ändamålsenlig lagstiftning

Inledning

Föreningen för Digitala Fri- och Rättigheter (:DFRI), en förening som värnar digitala fri- och rättigheter, lämnar härmed sina synpunkter på SOU 2024:59. Utredningens förslag innehåller omfattande förändringar av lagstiftningen om signalspaning som, om de genomförs, kan innebära långtgående konsekvenser för enskildas rätt till integritet, rättssäkerhet och förtroendet för myndigheterna. DFRI noterar allvarliga brister i hur förslagen hanterar proportionalitetsprincipen, hur rättssäkerhetsgarantier ställs upp, och hur grundläggande rättigheter som skyddas enligt regeringsformen och Europakonventionen värnas.

Rätten till integritet – en fundamental mänsklig rättighet

Rätten till integritet är en grundläggande mänsklig rättighet som skyddas av såväl regeringsformen (2 kap. 6 §) som artikel 8 i Europakonventionen. Utredningen föreslår en utvidgning av Försvarets radioanstalts (FRA) befogenheter, bland annat genom att möjliggöra inhämtning av lagrad information och inhemsk kommunikation under vissa förutsättningar (sid. 12, 53 och 174).

Förslaget innebär en betydande inskränkning av den personliga integriteten genom att omfattande mängder känsliga uppgifter kan inhämtas utan tillräckliga rättssäkerhetsgarantier. Denna inskränkning riskerar att undergräva förtroendet mellan allmänheten och staten samt skapa en känsla av ständig övervakning. Utredningen har inte presenterat en tillräckligt grundlig analys av hur dessa inskränkningar kan balanseras mot de säkerhetsmässiga fördelar som signalspaning påstås ge (sid. 13 och 206).

Proportionalitet och rättssäkerhet

En av de mest problematiska aspekterna av förslaget är bristen på en tydlig proportionalitetsanalys. För att intrång i enskildas fri- och rättigheter ska vara godtagbara krävs att dessa är nödvändiga och proportionerliga i förhållande till de syften som eftersträvas (sid. 110 och 117). Utredningen har inte tillräckligt belyst vilka specifika hot som förslagen syftar till att bemöta, hur effektiva de föreslagna åtgärderna förväntas vara, eller vilka alternativa åtgärder som kan tillämpas med mindre integritetsintrång.

Att FRA föreslås kunna ge sig självt tillstånd att bedriva signalspaning och hantera signalbärare utan oberoende granskning är särskilt oroväckande (sid. 13 och 110). Detta strider mot grundläggande rättsstatliga principer och riskerar att leda till godtycke och missbruk av signalspaningsbefogenheterna. För att säkerställa rättssäkerheten krävs en oberoende förhandsprövning av alla beslut om signalspaning.

Förslaget och rätten till insyn

Förslaget föreslår att Försvarets radioanstalt undantas från skyldigheten att informera enskilda om personuppgiftsbehandling. Detta kan bryta mot rätten till insyn och transparens enligt dataskyddsförordningen och påverka enskildas möjlighet att hävda och försvara sina rättigheter (sid. 13 och 206). Att undanta FRA från denna skyldighet riskerar att ytterligare underminera allmänhetens förtroende för myndigheterna och rättssystemet.

Efterhandskontroll och tillsyn

Utredningens förslag innebär att tillsynsmyndigheter som Integritetsskyddsmyndigheten inte ska kunna utföra sin tillsyn under krig eller krigsfara (sid. 124). Detta innebär att viktiga kontrollfunktioner sätts ur spel just när behovet av rättssäkerhetsgarantier är som störst. Efterhandskontrollen beskrivs som ett alternativ, men det framgår inte hur denna ska genomföras effektivt eller vilka resurser som krävs för att säkerställa att kontrollen är mer än en formalitet (sid. 117).

Behandling av personuppgifter i övningsverksamhet

Förslaget tillåter behandling av personuppgifter i övningsverksamhet, vilket kan innebära att uppgifter kan komma att användas i icke-operativa syften utan tillräcklig reglering för att skydda de registrerade (sid. 16 och 155). Det är inte acceptabelt, och heller inte nödvändigt om övningar kan utföras med anonymiserade uppgifter eller syntetisk data. Att använda riktiga personuppgifter i övningssyfte skapar onödiga integritetsrisker som inte kan motiveras i relation till behovet.

Likhetsprincipen

En central princip i ett demokratiskt samhälle är att det ska fungera så likt som möjligt även under kris och krigsfara. Detta gäller även skyddet för enskildas fri- och rättigheter och rätten till integritet och skydd för familjeliv. Utredningens förslag avviker från denna princip genom att införa långtgående undantag från tillsyn och insyn i signalspaningsverksamheten under krig och krigsfara (sid. 12 och 174). Detta riskerar att leda till en urholkning av rättsstatens principer och undergräva de demokratiska värden som förslaget påstås skydda.

Avsaknad av jämförande analys

Det saknas också en jämförande analys med andra EU-länder. Utan harmoniserad lagstiftning och synsätt riskerar Sverige att bli en udda fågel i integritetshänseende, vilket försvårar det fria utbytet av information och därmed hindrar innovation och samarbeten över gränser. En sådan avvikelse skulle kunna få negativa konsekvenser för Sveriges internationella samarbeten och trovärdighet.

Behovet av en grundlig integritetsanalys

Förslaget att tillåta inhämtning av lagrad information, inklusive data som lagras i utländska molntjänster, innebär en utvidgning av FRA:s befogenheter som inte motiveras av en tillräckligt grundlig integritetsanalys (sid. 53 och 155). Utan tydliga begränsningar av vilken information som får inhämtas och hur den får användas riskerar dessa åtgärder att leda till oproportionerliga intrång i enskildas privatliv.

Behovet av omfattande ytterligare utredning

Förslaget att tillåta inhämtning av lagrad information, inklusive data som lagras i utländska molntjänster, innebär en utvidgning av FRA:s befogenheter som inte motiveras av en tillräckligt grundlig integritetsanalys (sid. 53 och 155). Utan tydliga begränsningar av vilken information som får inhämtas och hur den får användas riskerar dessa åtgärder att leda till oproportionerliga intrång i enskildas privatliv. En omfattande utredning av förslagets konsekvenser måste därför genomföras innan några beslut fattas.
Detta innefattar dessa särskilt viktiga punkter:

  1. En mer ingående analys av vilka säkerhetsbehov som verkligen motiverar förslaget och vilka alternativa åtgärder som kan vidtas med mindre integritetsintrång.
  2. En utredning av hur tillsyn och rätten till insyn kan säkerställas även i krissituationer.
  3. En detaljerad analys av hur liknande frågor hanteras i andra EU-länder och vilka lärdomar som kan dras.
  4. En utvärdering av hur syntetiska data eller anonymisering kan användas i övningsverksamhet.
  5. En översyn av vilka rättsmedel som ska finnas tillgängliga för enskilda vars rättigheter kränks genom signalspaning.

Om remissinstansernas sammansättning.

Slutligen anser DFRI att det är anmärkningsvärt att remissinstanserna främst utgörs av aktörer med koppling till försvars- och underrättelseverksamhet, vilket bär en risk att skapa en allt för ensidig bedömning. Centrala aktörer som saknas är fler aktörer med uppdrag att bevaka mänskliga rättigheter, aktörer som företräder yrken som verkar inom och är beroende av rättssäkerhet och demokratiska instrument som Journalistförbundet, forskare inom mänskliga rättigheter, dataskydd och informationssäkerhet. Vidare hade representanter från teknikföretag och internationella dataskyddsmyndigheter kunnat bidra med viktiga perspektiv kring såväl tekniska och praktiska risker med förslaget. Vi efterfrågar en förklaring till denna snäva urvalsfördelning och efterlyser en kompletterande remissomgång för en mer balanserad utvärdering.

Sammanfattning

DFRI anser att utredningens förslag i dess nuvarande form inte tillräckligt beaktar de risker som signalspaning medför för enskildas fri- och rättigheter. Förslaget i dess nuvarande form bör därför inte läggas till grund för lagstiftning. Vi uppmanar regeringen att stoppa den fortsatta beredningen av förslaget tills en omfattande och grundlig utredning av dess konsekvenser och alternativ har genomförts.


Styrelsemöte 16 december

DFRI håller ett öppet styrelsemöte måndag 2024-12-16 kl 18:00 på internet. Vi beräknas hålla på i ungefär en timme. Alla medlemmar och andra intresserade är välkomna.

Dagordning finns här (kan ändras ända fram till att mötet börjar).

Anmäl dig per mejl till dfri@dfri.se om du vill delta. Då får du också information om länk till anslutning för deltagande.


How do I remove my personal data from open online websites in Sweden? Here are the answers

This guide describes how to take control of your personal data and remove or hide it from open websites such as Ratsit.se, MrKoll.se, Eniro.se and Hitta.se.

Many of the sites that publish personal data have a so-called ‘certificate of publication’, which means that they are covered by exemptions from the GDPR’s provision on the right to erasure. For this reason, the GDPR cannot be fully applied. However, it is generally possible to remove or hide your data from public disclosure. In some cases, after a certain period of time, you may need to repeat the process.

Use the following links to remove your personal data from some of the most commonly used proof of publication sites:

Ratsit.se
Via Mobile BankID
https://www.ratsit.se/redigera/dolj

Merinfo.se
Via Mobile BankID
https://www.merinfo.se/ta-bort-uppgifter

Hitta.se
Via Mobile BankID
https://www.hitta.se/kontakta-oss/ta-bort-kontaktsida

Eniro.se
Via Mobile BankID
https://uppdatera.eniro.se/person

MrKoll.se
Via web form
https://mrkoll.se/om/kundservice-kundkontakt/

Upplysning.se
Via web form
https://www.upplysning.se/kontakta-oss

Birthday.se
Via e-mail
E-mail address: info@birthday.se

Biluppgifter.se
Via e-mail
E-mail address: info@biluppgifter.se

You only need to delete your data from the following sites if you have been convicted of an offence:

Krimfup.se
Via e-mail
E-mail address: support@krimfup.se

Lexbase.se
Via web form
https://www.lexbase.se/sida/kontakt?

For those pages that only delete or hide your data via email or web form, you can use the following template:

——————–

Subject:

Deletion of personal data

——————–

Body text:

Hello!

My social security number is: XXXXXX-XXXX

I would like to delete my personal data.

I request that all personal data linked to me be removed from your databases and websites. This means that no person will be able to see information about me, including legal documents and other data linked to my name and social security number, in your service. I also want you, as far as possible, to minimise and delete the data you hold about me internally.

You can find information on your obligations on the website of the Data Protection Authority(https://www.imy.se).

I look forward to receiving confirmation of my erasure request as soon as possible. Please feel free to contact me if you have any questions.

Yours sincerely
First name Last name

——————–

How do I remove my personal data from websites that are fully subject to the GDPR?

For organisations and pages that are not covered by the publication certificate, there are two options:

1. you can use the MyDataDoneRight website which helps you to use the GDPR in a simple way: https://mydatadoneright.eu/

2. you can use the email template below to exercise your right to erasure and thus delete your personal data. This also applies to information held internally within the organisation without being published. Please note that there may be legal obligations in the form of laws that prevent the organisation from completely deleting your data.

The template can be used for those pages where you are asked to email or fill in a message to the recipient. Be sure to change the parts in YELLOW to match your personal data.

You can open the email template directly in your email program by clicking here, or use the text below to copy, paste and customise it yourself.

——————–

Subject:

Erasure of personal data under Article 17 of the General Data Protection Regulation (GDPR)

——————–

Body text:

Hello!

My social security number is: XXXXXX-XXXX

I hereby wish to exercise my right to erasure under Article 17 of the General Data Protection Regulation (GDPR).

I request that all personal data linked to me be removed from your databases and websites. This means that no person will be able to see any information about me, including legal documents and other data linked to my name and social security number, in your service. I also want you, as far as possible, to minimise and delete the data you hold about me internally.

You can find information on your obligations on the website of the The Swedish Authority for Privacy Protection’s (IMY).

I look forward to receiving confirmation of my erasure request as soon as possible. Please feel free to contact me if you have any questions.

Yours sincerely
First name Last name

——————–

Tip 1:
The Police Union’s article on how to reduce your online visibility:

https://www.polisforbundet.se/rad-och-stod/hot-och-vald-mot-poliser/minska-din-synlighet-pa-internet/#:~:text=Mrkoll.se,exempel%20IMY%3As%20brevmall

Tip 2:
The Right to Be Forgotten – a form for removing personalised content from Google Search. Use the following template as ‘Reason for removal’:
https://reportcontent.google.com/forms/rtbf
——————–
1) This page is about me because it includes specific personal details such as my name and address. The content directly identifies me, and these details are private and sensitive.

(2) The continued presence of this information violates my rights under the General Data Protection Regulation (GDPR). Specifically, it infringes on my right to privacy and data protection as outlined in Article 17 (Right to Erasure) of the GDPR. The information is no longer necessary for the purposes for which it was originally collected or processed, and its continued publication is not justified by any overriding legitimate interest, thus requiring its removal to comply with EU data protection laws.
——————–
Tip 3:
Block your address from unauthorised change of address and mail forwarding with ”the address lock”:
https://www.adressandring.se/vara-tjanster/adresslaset

Tip 4:
Prevent others from changing your registered address with the Swedish Tax Agency:
https://www.skatteverket.se/privat/folkbokforing/flyttanmalan/sparraobehorigadressandring.4.361dc8c15312eff6fd2ca7c.html

Report the service to The Swedish Data Protection Authority (IMY) for enforcement if your wishes are not respected under the GDPR

The IMY can initiate enforcement against services with proof of publication. Therefore, it is a good idea to notify them if the service does not remove the data. Read more on the IMY website:
https://www.imy.se/privatperson/dataskydd/vi-guidar-dig/utgivningsbevis/

Do you want to check, move, delete or retrieve your personal data under the GDPR? Use MyDataDoneRight.eu

Do you want to check, move, delete or retrieve your personal data from a company or organisation and their services? Then you can use the GDPR-safe platform MyDataDoneRight.eu. It helps you find, add and formulate your use of the GDPR. The platform does not store any personal data about you but does so if all organisations using contribute to add. Do you want to help in the project? See the DFRI project page here.

Support :DFRI – become a member, get involved or donate

Would you like to support the activities of the Danish Digital Rights and Freedoms Association to make similar guides and advocate for the right to privacy and protection of your personal data?

Welcome to become a member, get involved or donate.