Datalagring

Anmälningspliktiga operatörer är skyldiga att lagra uppgifter om sina abonnenter för att underlätta brottsbekämpning. Här kan du läsa om vilka lagrings- och säkerhetskrav som gäller.

Alla operatörer med anmälningspliktig verksamhet är skyldiga att lagra uppgifter för brottsbekämpning. Syftet med lagringen är att göra det möjligt för brottsbekämpande myndigheter att i efterhand kunna spåra och identifiera kommunikation som kan vara relevant i en utredning. Det kan till exempel handla om att fastställa vem som har kommunicerat med vem, när och varifrån.

Den här typen av information är ofta avgörande i utredningar om allvarlig brottslighet, som grova våldsbrott, organiserad brottslighet eller terrorism. Genom att operatörer lagrar uppgifter på ett säkert och strukturerat sätt bidrar de till att rättsväsendet kan arbeta effektivt – samtidigt som rättssäkerheten värnas genom tydliga regler för hur uppgifterna får användas.

Anmälningsplikt

Vem är ansvarig för lagringen när flera operatörer är inblandade?

De operatörer som har avtal med slutanvändare (abonnenter) är skyldiga att lagra uppgifter. Nät- eller kommunikationsoperatörer (exempelvis stadsnät) som är delaktiga i samma kommunikationstjänst är skyldiga att lagra uppgifter som genereras och behandlas i deras verksamhet, som exempelvis en användares IP-adress.

Vilka uppgifter omfattas?

De uppgifter som ska lagras är de som uppstår eller behandlas vid användning av telefoni, SMS, MMS samt vid internetåtkomst. Det handlar både om abonnemangsuppgifter och trafikuppgifter, som visar mellan vilka, när och hur en kommunikation har ägt rum.

Syftet med lagringen är att möjliggöra spårning och identifiering av:

Avsändare
Mottagare
Tid och datum
Längd på kommunikationen
Typ av kommunikation
Utrustning
Plats vid kommunikationens början och slut

Om abonnemangsuppgifter

Abonnemangsuppgifter är information som kan knytas till en abonnent hos en elektronisk kommunikationstjänst. Det handlar till exempel om innehavarens namn, adress, telefonnummer (MSISDN), IP-adresser och IMSI-nummer.

Om användning av NAT-teknik

Vid användning av NAT-teknik (Network Address Translation), där flera användare delar på en eller ett fåtal publika IP-adresser, krävs ytterligare uppgifter för att kunna identifiera enskilda abonnenter. Eftersom det i dessa fall inte går att identifiera en abonnent enbart med hjälp av en IP-adress, behöver operatörer som använder NAT lagra flera uppgifter, som tillhörande portnummer kopplad till IP-adressen och spårbar tid för kopplingen. Lagringstiden för dessa uppgifter är tio månader.

Föreskrifter (2022:14) om vilka andra uppgifter som ska lagras för att identifiera abonnent och registrerad användare vid användning av NAT-teknik

Hur länge ska uppgifterna lagras?

Lagringstiden varierar beroende på vilken typ av uppgift det handlar om.

Uppgifter kring

Telefoni och meddelanden (sms, mms) ska lagras i 6 månader
Lokalisering ska lagras i 2 månader
Internetåtkomst ska lagras i 10 månader
Sista använda utrustning inom operatörens kontroll (exempelvis en MAC-adress som identifierar fibermodem, utrustning i basstation eller en router i ett allmänt trådlöst nätverk) ska lagras i 6 månader.

Tillfälligt bevarande

Om en uppgift riskerar att raderas men kan vara viktig i en brottsutredning, kan en åklagare eller undersökningsledare besluta att den ska bevaras tillfälligt (frysning). För att en uppgift ska kunna bevaras måste den redan vara lagrad när beslutet tas. Det går alltså inte att kräva att någon börjar spara uppgifter i framtiden. Beslutet gäller i högst 90 dagar, men kan förlängas med ytterligare 90 dagar om det finns särskilda skäl.

Exempel på uppgifter:

bilder
meddelanden
information om avsändare eller mottagare

Vilka säkerhetskrav finns det?

Det finns särskilda krav på säkerhet vid datalagring, vilka regleras i Post- och telestyrelsens (PTS ) föreskrifter och allmänna råd (2022:11) om säkerhet i nät och tjänster. Dessa föreskrifter ställer krav på att leverantörer av elektroniska kommunikationsnät och -tjänster bedriver ett långsiktigt, systematiskt och kontinuerligt säkerhetsarbete.

Föreskrifterna omfattar bland annat:

Genomförande av riskanalyser och riskhantering
Tekniska och organisatoriska säkerhetsåtgärder
Rapportering av säkerhetsincidenter
Skydd av uppgifter som lagras för brottsbekämpande ändamål
Planering för totalförsvarets behov av elektronisk kommunikation

Föreskrifter och allmänna råd (2022:11) om säkerhet i nät och tjänster

Kan vissa operatörer undantas från skyldigheten?

I vissa enskilda fall kan PTS bevilja undantag från skyldigheten att lagra uppgifter. Det krävs då synnerliga skäl och beslutet kan förenas med villkor samt återkallas.

När PTS prövar en begäran om undantag görs en avvägning mellan nyttan för brottsbekämpande myndigheter och de kostnader eller andra negativa konsekvenser som skyldigheten innebär för operatören. Om PTS nekar undantag till lagringsskyldigheten kan beslutet överklagas till Förvaltningsrätten i Stockholm.

Det är viktigt att notera att det är operatören själv som måste ta initiativet till att kontakta PTS. I begäran ska det framgå:

Varför ett undantag bör beviljas.
Varför det inte är möjligt att någon annan utför lagringen.

Begäran om undantag skickas till:

Post- och telestyrelsen (PTS)
Box 6101
102 32 Stockholm
E-post: pts@pts.se

Vad händer om reglerna inte följs?

PTS bedriver tillsyn för att säkerställa att reglerna följs. Om en operatör inte följer reglerna kan PTS kräva att nödvändiga åtgärder vidtas, vilket kan förenas med vite. För vissa typer av överträdelser är PTS dessutom skyldig att besluta om sanktionsavgift.

Datalagring för brottsbekämpande ändamål