2025-01-17 · Mattias Axell

Gemensamt remissvar på Ju2024/02286 Datalagring och åtkomst till elektronisk information

Till Justitiedepartementet, Enheten för domstols- och åklagarfrågor, Ju2024/02286

Detta är ett gemensamt remissvar från DFRI, ISOC-SE och SNUS; tre ideella organisationer som från olika perspektiv verkar för en hög nivå av personlig integritet, tekniskt och juridiskt dataskydd samt ett öppet Internet.

Föreningen för Digitala Fri- och Rättigheter (DFRI) är en ideell och partipolitiskt obunden förening som verkar för främjandet av digitala fri- och rättigheter.

Internet Society i Sverige (ISOC-SE) är en ideell förening som ingår i den världsomspännande organisationen Internet Society (ISOC) som verkar för en effektiv användning och organisation av Internet.
Swedish Network Users Society (SNUS) är ett forum för tekniskt intresserade personer inom nätverksområdet. SNUS verkar för att medlemmarna får del av varandras kunskaper inom ramen för olika aktiviteter, främst genom arbetsgrupper, seminarier och testrapporter

Lagrådsremisskommentarer

Vi anser att förslaget i sin helhet fortfarande har stora brister i analysen av de konsekvenser det innebär för informationsfrihet, inskränkningarna i den personliga integriteten och möjligheten att kommunicera på ett säkert sätt. Vi vill särskilt avstyrka utredningens förslag om geografiskt riktad lagring och anpassningskydigheten för OTT-tjänster.

Vi anser fortfarande inte att förslaget kan sägas vara proportionerligt eller skäligt med hänsyn till de enorma inskränkningar på medborgarnas personliga integritet som förslaget föreslår ska införas. De föreslagna ändringarna för att tillåta datalagring knutna till kommuner kommer att leda till integritetskränkningar i form av övervakning av hundratusentals oskyldiga medborgare vilka inte är misstänkta för brott. Detta kan knappast “tolereras i ett demokratiskt samhälle” som utredningen menar.

Utredningen har gjort en utblick till hur det ser ut i övriga europeiska länder, men det saknas ett jämförande resonemang om huruvida lagstiftningen i dessa länder har varit ett effektivt verktyg och om motsvarande lagstiftning ens är rimligt applicerbar i en Svensk kontext. I många av dessa fall har utredningar tvärtom visat att de verktyg som implementerats inte på ett effektivt sätt bidragit till det avsedda ändamålet. Mot bakgrund av detta kan inte de inskränkningar verktygen ger upphov till vara ändamålsenliga eller proportionerliga.

Precis som betänkandet gör lagrådsremissen antagandet att anpassningsskyldigheten för totalsträckskrypterade tjänster är oproblematisk. Vi håller inte med om detta utan anpassningsskyldigheten riskerar att inte bara skapa stora intrång i den personliga integriteten men kan också komma att leda till att företag som tillhandahåller kommunikationslösningar kan komma att dra sig ut från den Svenska marknaden och enbart lämna kvar tjänster där kommunikationen inte kan totalsträckskrypteras. Detta skadar både fysiska personers integritet, men även juridiska personer som har behov av säker kommunikation kan komma att påverkas. I förlängningen kan Sveriges nationella säkerhet också komma att påverkas negativt. Vi saknar i utredningen även en tillfredsställande konsekvensbedömning av hur juridiska personer som hanterar sekretessbelagda uppgifter kan komma att påverkas av ett sådant scenario.

Det är, rent tekniskt, så att anpassningsskyldigheten är omöjlig att tillgodose utan att bryta totalsträckskrypteringen. Därmed är lagförslaget att jämföra med att förbjuda totalsträckskrypterade tjänster av den allmänt tillgängliga sorten.

I vårt svar på betänkandet resonerade vi kring hur utredningen ställer sig till teknikutveckling generellt, och att det verkar som att utredningen anser att litmustestet för lagstiftning är att lagen går att skriva, inte att lagstiftningen får avsedd effekt. Vi anser att lagrådsremissen belägger detta resonemang då man inte resonerar kring utvärdering av den föreslagna lagen eller tar hänsyn till vad som är tekniskt / matematiskt genomförbart eller ej.

Vi anser fortfarande att förslagen är baserade på en osund balans av det bakomliggande intresset av informationsinsamling och övervakning kontra rättigheter och skyldigheter, och menar att utredningen bör kritiseras för avsaknad av empiriskt material som stödjer tesen att lagförslagen leder till påstådd effekt.

Vi vill återigen peka på RIksrevisionens rapport “På skakig grund – beslutsunderlag inför stora reformer (RiR 2022:15)” som indikerar avsaknaden av djuplodande och genomtänkta beslutsunderlag för samhällsbärande reformer under de senaste tjugo åren.

Personlig integritet, dataskydd och rätten till säker kommunikation på ett öppet Internet är samhällsbärande fundament, ovärderliga för demokratin. De får inte offras på politikens kortsiktiga altare i en icke genomtänkt reform.

2024-12-11 · Mattias Axell

Remissvar SOU 2024:59: Signalspaning i försvarsunderrättelseverksamhet – en modern och ändamålsenlig lagstiftning

Inledning

Föreningen för Digitala Fri- och Rättigheter (:DFRI), en förening som värnar digitala fri- och rättigheter, lämnar härmed sina synpunkter på SOU 2024:59. Utredningens förslag innehåller omfattande förändringar av lagstiftningen om signalspaning som, om de genomförs, kan innebära långtgående konsekvenser för enskildas rätt till integritet, rättssäkerhet och förtroendet för myndigheterna. DFRI noterar allvarliga brister i hur förslagen hanterar proportionalitetsprincipen, hur rättssäkerhetsgarantier ställs upp, och hur grundläggande rättigheter som skyddas enligt regeringsformen och Europakonventionen värnas.

Rätten till integritet – en fundamental mänsklig rättighet

Rätten till integritet är en grundläggande mänsklig rättighet som skyddas av såväl regeringsformen (2 kap. 6 §) som artikel 8 i Europakonventionen. Utredningen föreslår en utvidgning av Försvarets radioanstalts (FRA) befogenheter, bland annat genom att möjliggöra inhämtning av lagrad information och inhemsk kommunikation under vissa förutsättningar (sid. 12, 53 och 174).

Förslaget innebär en betydande inskränkning av den personliga integriteten genom att omfattande mängder känsliga uppgifter kan inhämtas utan tillräckliga rättssäkerhetsgarantier. Denna inskränkning riskerar att undergräva förtroendet mellan allmänheten och staten samt skapa en känsla av ständig övervakning. Utredningen har inte presenterat en tillräckligt grundlig analys av hur dessa inskränkningar kan balanseras mot de säkerhetsmässiga fördelar som signalspaning påstås ge (sid. 13 och 206).

Proportionalitet och rättssäkerhet

En av de mest problematiska aspekterna av förslaget är bristen på en tydlig proportionalitetsanalys. För att intrång i enskildas fri- och rättigheter ska vara godtagbara krävs att dessa är nödvändiga och proportionerliga i förhållande till de syften som eftersträvas (sid. 110 och 117). Utredningen har inte tillräckligt belyst vilka specifika hot som förslagen syftar till att bemöta, hur effektiva de föreslagna åtgärderna förväntas vara, eller vilka alternativa åtgärder som kan tillämpas med mindre integritetsintrång.

Att FRA föreslås kunna ge sig självt tillstånd att bedriva signalspaning och hantera signalbärare utan oberoende granskning är särskilt oroväckande (sid. 13 och 110). Detta strider mot grundläggande rättsstatliga principer och riskerar att leda till godtycke och missbruk av signalspaningsbefogenheterna. För att säkerställa rättssäkerheten krävs en oberoende förhandsprövning av alla beslut om signalspaning.

Förslaget och rätten till insyn

Förslaget föreslår att Försvarets radioanstalt undantas från skyldigheten att informera enskilda om personuppgiftsbehandling. Detta kan bryta mot rätten till insyn och transparens enligt dataskyddsförordningen och påverka enskildas möjlighet att hävda och försvara sina rättigheter (sid. 13 och 206). Att undanta FRA från denna skyldighet riskerar att ytterligare underminera allmänhetens förtroende för myndigheterna och rättssystemet.

Efterhandskontroll och tillsyn

Utredningens förslag innebär att tillsynsmyndigheter som Integritetsskyddsmyndigheten inte ska kunna utföra sin tillsyn under krig eller krigsfara (sid. 124). Detta innebär att viktiga kontrollfunktioner sätts ur spel just när behovet av rättssäkerhetsgarantier är som störst. Efterhandskontrollen beskrivs som ett alternativ, men det framgår inte hur denna ska genomföras effektivt eller vilka resurser som krävs för att säkerställa att kontrollen är mer än en formalitet (sid. 117).

Behandling av personuppgifter i övningsverksamhet

Förslaget tillåter behandling av personuppgifter i övningsverksamhet, vilket kan innebära att uppgifter kan komma att användas i icke-operativa syften utan tillräcklig reglering för att skydda de registrerade (sid. 16 och 155). Det är inte acceptabelt, och heller inte nödvändigt om övningar kan utföras med anonymiserade uppgifter eller syntetisk data. Att använda riktiga personuppgifter i övningssyfte skapar onödiga integritetsrisker som inte kan motiveras i relation till behovet.

Likhetsprincipen

En central princip i ett demokratiskt samhälle är att det ska fungera så likt som möjligt även under kris och krigsfara. Detta gäller även skyddet för enskildas fri- och rättigheter och rätten till integritet och skydd för familjeliv. Utredningens förslag avviker från denna princip genom att införa långtgående undantag från tillsyn och insyn i signalspaningsverksamheten under krig och krigsfara (sid. 12 och 174). Detta riskerar att leda till en urholkning av rättsstatens principer och undergräva de demokratiska värden som förslaget påstås skydda.

Avsaknad av jämförande analys

Det saknas också en jämförande analys med andra EU-länder. Utan harmoniserad lagstiftning och synsätt riskerar Sverige att bli en udda fågel i integritetshänseende, vilket försvårar det fria utbytet av information och därmed hindrar innovation och samarbeten över gränser. En sådan avvikelse skulle kunna få negativa konsekvenser för Sveriges internationella samarbeten och trovärdighet.

Behovet av en grundlig integritetsanalys

Förslaget att tillåta inhämtning av lagrad information, inklusive data som lagras i utländska molntjänster, innebär en utvidgning av FRA:s befogenheter som inte motiveras av en tillräckligt grundlig integritetsanalys (sid. 53 och 155). Utan tydliga begränsningar av vilken information som får inhämtas och hur den får användas riskerar dessa åtgärder att leda till oproportionerliga intrång i enskildas privatliv.

Behovet av omfattande ytterligare utredning

En mer ingående analys av vilka säkerhetsbehov som verkligen motiverar förslaget och vilka alternativa åtgärder som kan vidtas med mindre integritetsintrång.
En utredning av hur tillsyn och rätten till insyn kan säkerställas även i krissituationer.
En detaljerad analys av hur liknande frågor hanteras i andra EU-länder och vilka lärdomar som kan dras.
En utvärdering av hur syntetiska data eller anonymisering kan användas i övningsverksamhet.
En översyn av vilka rättsmedel som ska finnas tillgängliga för enskilda vars rättigheter kränks genom signalspaning.

Om remissinstansernas sammansättning.

Slutligen anser DFRI att det är anmärkningsvärt att remissinstanserna främst utgörs av aktörer med koppling till försvars- och underrättelseverksamhet, vilket bär en risk att skapa en allt för ensidig bedömning. Centrala aktörer som saknas är fler aktörer med uppdrag att bevaka mänskliga rättigheter, aktörer som företräder yrken som verkar inom och är beroende av rättssäkerhet och demokratiska instrument som Journalistförbundet, forskare inom mänskliga rättigheter, dataskydd och informationssäkerhet. Vidare hade representanter från teknikföretag och internationella dataskyddsmyndigheter kunnat bidra med viktiga perspektiv kring såväl tekniska och praktiska risker med förslaget. Vi efterfrågar en förklaring till denna snäva urvalsfördelning och efterlyser en kompletterande remissomgång för en mer balanserad utvärdering.

Sammanfattning

DFRI anser att utredningens förslag i dess nuvarande form inte tillräckligt beaktar de risker som signalspaning medför för enskildas fri- och rättigheter. Förslaget i dess nuvarande form bör därför inte läggas till grund för lagstiftning. Vi uppmanar regeringen att stoppa den fortsatta beredningen av förslaget tills en omfattande och grundlig utredning av dess konsekvenser och alternativ har genomförts.

2024-05-28 · Mattias Axell

Remiss av delbetänkandet Nya regler om cybersäkerhet (SOU 2024:18)(Fö2024/00496)

Föreningen för digitala fri- och rättigheter har tagit sig tillfälle att yttra sig över SOU 2024:18.

Föreningen för Digitala Fri- och Rättigheter vill tacka för möjligheten att lämna remissvar på SOU 2024:18 ”Nya regler om cybersäkerhet”. Förslaget, som införlivar NIS2-direktivet, är ett viktigt steg mot att stärka Sveriges cybersäkerhet. Samtidigt är det avgörande att noggrant överväga hur dessa regler påverkar digitala friheter och digitala rättigheter.

Positiva aspekter

Förbättrad säkerhet för kritisk infrastruktur

En av de största fördelarna med de nya reglerna är den förbättrade säkerheten för kritisk infrastruktur. Genom att ställa högre krav på cybersäkerhet för viktiga sektorer som energi, transport, vatten och digitala tjänster, skyddar vi samhället från allvarliga störningar och potentiella attacker. Detta skapar trygghet för medborgare och företag. Vi anser att öppen programvara och öppna standarder bör lyftas mer eller ställas som krav som förutsättningar för bättre interoperabilitet, dataskydd och säkerhet.

Ökad medvetenhet och beredskap

NIS2-direktivet ställer krav på ökad medvetenhet och beredskap mot cyberhot. Detta innebär att fler organisationer måste implementera säkerhetsåtgärder och ha beredskapsplaner på plats. Detta kan leda till en kulturförändring där cybersäkerhet blir en naturlig del av verksamheten. Föreningen för Digitala Fri- och Rättigheter anser att värdet av GDPR och dataskydd samt värdet av att minimera datainsamling, även bör höjas i samband med utbildninginsatser för ökad medvetenhet och beredskap.

Förbättrad samverkan och informationsutbyte

De nya reglerna främjar bättre samverkan och informationsutbyte mellan olika aktörer, både inom landet och på europeisk nivå. Detta kan bidra till snabbare och effektivare respons på cyberhot, vilket minskar risken för omfattande skador vid incidenter. Föreningen för Digitala Fri- och Rättigheter anser även här att öppen programvara och öppna standarder bör kravställas för att uppnå bättre och säkrare samverkan samt ett mer effektivt informationsutbyte i enlighet med den nyligen presenterade utredningen som kallas Interoperabilitetsutredningen, En reform för datadelning SOU 2023:96.

Negativa aspekter

Ökad övervakning och integritetsfrågor

En av de negativa aspekterna med förslaget är att ökad cybersäkerhet ofta innebär ökad övervakning. Krav på att samla in och dela data för att upptäcka och bekämpa cyberhot kan leda till att medborgares och företags digitala friheter och privatliv påverkas negativt. Detta drabbar samhällsekonomin negativt så som minskar möjligheten till företagande och engagemang i civilsamhelle vilket kan skada samhällsberedskapen. Det är viktigt att noga överväga hur insamlad data används och att säkerställa att integriteten skyddas. Föreningen för Digitala Fri- och Rättigheter anser att ökad övervakning inte är en väg att gå för att öka cybersäkerheten, istället bör det satsas på utbildande insatser.

Högre kostnader för små och medelstora företag

För många små och medelstora företag kan de nya kraven innebära stora ekonomiska och administrativa bördor. Kostnader för att uppdatera säkerhetssystem, anställa experter och genomföra utbildningar kan vara höga. Detta kan i sin tur påverka deras konkurrenskraft och förmåga att växa.

Risk för byråkratisering

Med de nya reglerna följer också risken för ökad byråkrati. Företag och organisationer kan behöva lägga mycket tid och resurser på att följa regler och rapportera incidenter, vilket kan leda till att de distraheras från sina kärnverksamheter. Om direktivet införlivas bör även ”Once Only Principle”, det vill säga principen att endast behöva lämna en uppgift till staten en enda gång börja gälla. Detta finns redan beslutat att följa men används sällan eller aldrig i offentlig sektor. Även allt digitalt stöd eller uppgiftslämnande för små och medelstora företag bör vara licensierad med öppen källkod och bygga på öppna standarder för att underlätta en hälsosam och konkurrenskraftig marknad och lättsamhet att interagera med staten.

Rekommendationer

Balans mellan säkerhet och frihet

Det är avgörande att hitta en balans mellan förbättrad säkerhet och skydd av digitala rättigheter. Föreningen för Digitala Fri- och Rättigheter rekommenderar att man inför tydliga riktlinjer och begränsningar för hur insamlad data får användas, samt att starka skyddsåtgärder för integritet införs.

Stöd till små och medelstora företag

För att underlätta för små och medelstora företag föreslår vi att staten erbjuder ekonomiskt stöd och rådgivning att komma igång med öppna programvaror och öppet licensierade lösningar, exempelvis öppet licensierade utbildningsmaterial. Detta kan inkludera stöd och tillgång till expertis och utbildningsprogram för att migrera från stängda programvarulösningar till öppna lösningar. Det skulle hjälpa för att stängda programvarulösningar som kan ha säkerhetshål som endast leverantören, främmande makt och cyberbrottslingar känner till.

Effektivisering och förenkling

För att minska risken för byråkratisering bör regler och rapporteringskrav vara så enkla och tydliga som möjligt. Användarvänliga digitala verktyg och plattformar som drivs med öppen programvara och följer öppna standarder kan utvecklas för att underlätta för företag att följa reglerna på kostnadseffektiva sätt.

Slutsats

SOU 2024:18 ”Nya regler om cybersäkerhet” representerar ett viktigt steg mot att stärka Sveriges cybersäkerhet. Genom att noga överväga och balansera både de positiva och negativa aspekterna kan vi säkerställa att både säkerhet och digitala rättigheter skyddas. Vi ser fram emot en fortsatt dialog och samarbete för att forma ett säkert och fritt digitalt samhälle som eliminerar massövervakning, minimerar övervakning och respekterar digitala friheter och digitala rättigheter enligt FN-konventionen för mänskliga rättigheter samt Europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna, artikel 8.

2019-11-13 · Sus Andersson

Lagrådsremiss om hemlig dataavläsning

Regeringen har i oktober lämnat en lagrådsremiss om hemlig dataavläsning. DFRI:s kritiska remissvar från förra året nämns flera gånger – men regeringen väljer att ändå gå vidare med ett lagförslag. Det föreslås träda i kraft den 1 mars 2020.

Misstänkta brottslingar använder allt oftare kryptering, som gör det svårt att spåra dem via de metoder som brottsbekämpande myndigheter använder idag, som exempelvis hemlig avlyssning. Därför vill regeringen få till en lag som gör det möjligt att placera spionprogram i exempelvis misstänktas datorer och mobiltelefoner. Systemskydd ska kunna brytas eller kringgås och tekniska sårbarheter ska få utnyttjas.

När förslaget kom lämnade DFRI ett mycket kritiskt remissvar. DFRI ser förslaget om hemligt dataavläsning som ett synnerligen omfattande intrång i rätten till privatliv och skyddet av den personliga integriteten. Dessutom kan verktyg som används för hemlig dataavläsning också innebära stora risker för hela samhället. Genom att aktivt söka efter eller köpa sårbarheter i informationssystem och sedan bygga verktyg för att utnyttja dessa säkerhetsluckor utsätts allmänheten för stora risker.

I lagrådsremissen avfärdar regeringen de kritiska synpunkter som inkommit från DFRI och flera andra remissinstanser. De risker som uppstår till följd av minskad informationssäkerhet kan enligt regeringen accepteras.

DFRI anser att målet med brottsbekämpning borde vara att göra tillvaron säkrare för landets invånare, inte att utsätta oskyldiga för större risker!

2018-03-07 · Peter

[:sv]Hemlig dataavläsning ökar brottsligheten[:]

[:sv]DFRI har bjudits in att lämna synpunkter på utredningen Hemlig dataavläsning – ett viktigt verktyg i kampen mot allvarlig brottslighet.

DFRI avstyrker förslaget om att införa hemlig dataavläsning som ett hemligt tvångsmedel i Sverige. Ett sådant tvångsmedel skulle innebära ett synnerligen omfattande intrång i rätten till privatliv och skyddet av den personliga integriteten. Det har dessutom visat sig att de verktyg som används för hemlig dataavläsning medför stora risker för samtliga invånare, näringsliv, myndigheter och samhället i övrigt. De eventuella effektivitetsvinster som finns för brottsbekämpande myndigheter är inte tillräckligt stora för att motivera användandet av dessa riskabla metoder.

Risken för brottslighet kan öka med hemlig dataavläsning

Målet med brottsbekämpning borde vara att göra tillvaron säkrare för landets invånare, inte att utsätta oskyldiga för större risker. Det riskerar dock att bli fallet eftersom de verktyg som utvecklas för att genomföra hemlig dataavläsning kan komma att användas för helt andra syften, om de kommer i händerna på exempelvis kriminella ligor eller utländska underrättelsetjänster. Genom att aktivt söka efter eller köpa sårbarheter i informationssystem och sedan bygga verktyg för att utnyttja dessa säkerhetsluckor utsätts allmänheten för stora risker. Om man väljer att inte rapportera dessa brister, för att istället kunna använda dem till hemlig dataavläsning av ett litet fåtal brottsmisstänkta individer, lämnas alla andra fortsatt allt mer sårbara för intrång.

Stora risker och skador för samhället

Intrångsverktyg från NSA användes i maj 2017 till ett av historiens allvarligaste virusangrepp på datorer, under namnet WannaCry. Det är ännu svårt att fullt ut analysera vilka konsekvenser detta har fått. Klart är att dock att minst 230.000 datorer runt om i hela världen drabbats. Enorma värden har gått förlorade för privatpersoner, företag och myndigheter. Exempelvis har sjukhus i era länder lamslagits med ännu oklara följder för patienternas liv och hälsa. Angreppet utnyttjade ett säkerhetshål som hade varit känt för amerikanska NSA en längre tid. Detta angrepp kunde ha undvikits om det hade rapporterats till tillverkaren, så att hålet hade kunnat täppas till i tid. Istället valde NSA att lämna miljontals datorer sårbara, för att själva kunna utnyttja säkerhetshålet till att i hemlighet spionera på innehållet i människors datorer.

Det är enligt DFRI:s bestämda uppfattning inte till gagn för alla laglydiga invånare i Sverige att deras myndigheter ägnar sig åt hemlig dataavläsning.

Vårt remissyttrande över SOU 2017:89 (pdf, 3 sidor)

Utredningen om hemlig dataavläsning (pdf, 695 sidor)[:]