Motivering

Allmänt

Propositionen ger aktörer, som vanligen är arbetsgivare, rätt att på vissa villkor behandla identifieringsuppgifter i elektronisk kommunikation mellan arbetstagare och en tredje part. Enligt det första lagförslaget ska sammanslutningsabonnenter ha rätt att behandla identifieringsuppgifter i elektronisk kommunikation i sitt kommunikationsnät för att utreda om någon olovligt har använt avgiftsbelagda informationssamhällstjänster eller använt kommunikationstjänster som strider mot anvisningarna. Enligt 2 § i lagen om dataskydd vid elektronisk kommunikation () avses med sammanslutningsabonnent ett företag eller en sammanslutning som är abonnent på kommunikations- eller mervärdestjänster. Däremot ska sammanslutningsabonnenter inte ha rätt att få information om innehållet i meddelanden.

Rätten att behandla identifieringsuppgifter förutsätter att en sammanslutningsabonnent har uppfyllt sin lagstadgade skyldighet att i förväg säkerställa högkvalitativ datasäkerhet och skydda sina företagshemligheter. En sammanslutningsabonnent som är arbetsgivare ska dessutom ta upp frågan om rätten att behandla identifieringsuppgifter i samarbetsförfarande och informera personalen. Dataombudsmannen utöver tillsyn över rätten.

Om villkoren för behandling av identifieringsuppgifter är uppfyllda, får en sammanslutningsabonnent behandla identifieringsuppgifter med hjälp av en automatisk sökfunktion och i vissa fall manuellt (13 d §). Syftet med den automatiska behandlingen är att avskilja identifieringsuppgifter för meddelanden som är förknippade med missbruk för manuell behandling. Uppgifterna får bara behandlas av personer med ansvar för underhåll, dataskydd och säkerhet i sammanslutningsabonnentens kommunikationsnät och kommunikationstjänster. Vid missbruk avslöjas enligt propositionen bara uppgifter om de som kommunicerat med varandra. Inte heller då ska abonnenten ha rätt att få information om innehållet. I 42 § ingår straffbestämmelser som gäller lagstridigt förfarande.

Propositionen motiveras med att den gällande lagen inte anses tillåta sammanslutningsabonnenter att själv samla in bevis på missbruk. Det har dessutom förekommit problem med att utreda och föra missbruk genom elektronisk kommunikation vidare till förundersökning som inte kunde förutses när lagen infördes. Därtill kommer att datasäkerhetshoten har förändrats och breddats avsevärt sedan lagen kom till.

Polisens befogenheter

När propositionen bereddes övervägdes möjligheten att låta bara polisen utreda fall av missbruk. Det har dock inte ansetts möjligt eftersom sammanslutningsabonnenterna är så många, missbruket så komplext, systemen så olika och uppdragen så resurskrävande. Propositionen gäller det dagliga underhållet av sammanslutningsabonnenternas kommunikationssystem och varje abonnent tar hand om den delen själv.

Brott mot företagshemligheten och olovligt bruk är som regel målsägandebrott. Polisen eller någon annan förundersökningsmyndighet ska göra förundersökning när det på grund av anmälan till den eller annars finns skäl att misstänka att ett brott har begåtts, föreskrivs det i 2 § i förundersökningslagen (). Men det har inte ansetts att den gällande lagen om dataskydd vid elektronisk kommunikation tillåter att en sammanslutningsabonnent själv samlar in bevis för missbruk. När målsäganden har anmält brottet utför polisen förundersökning. Förvaltningsutskottet understryker att sammanslutningsabonnenter bör få behandla identifieringsuppgifter bara i den omfattning att kan specificera sin anmälan eller begäran om undersökning för polisen tillräckligt utförligt.

Sammanslutningsabonnenters ställning och skyldigheter

Företag och andra sammanslutningsabonnenter ska i första hand försöka skydda sina kommunikationsnät och kommunikationstjänster och sina företagshemligheter genom användar-, administrations- och datasäkerhetsåtgärder. Dessutom måste användarna få tydliga regler för vad som är tillåtet respektive förbjudet i hanteringen av företagshemligheter. Behandling av identifieringsuppgifter ska vara den sista utvägen. Sammanslutningsabonnenter är skyldiga att öppet redovisa för behandlingen av identifieringsuppgifter och informera användarna. Skyldighet att informera och prioritering av åtgärder för effektiv datasäkerhet och skydd för företagshemligheter är absoluta krav för att också de anställda ska ha förtroende för de befogenheter som arbetsgivaren får genom den föreslagna ändringen av lagen om dataskydd vid elektronisk kommunikation.

Om identifieringsuppgifter trots allt måste behandlas i fall av missbruk, bör man i första hand behandla uppgifterna med en automatisk sökfunktion, påpekar förvaltningsutskottet. Sökningen kan göras utifrån meddelandena: storlek, sammantagen storlek, typ, antal, kontaktmetod eller adresser. Uppgifterna bör behandlas manuellt först när den automatiska sökfunktionen har upptäckt avvikelser.

En sammanslutningsabonnent är skyldig att informera om frågan, om den behandlar identifieringsuppgifter manuellt i fall av missbruk. På arbetsplatsen ska frågan behandlas i samarbetsförfarande (13 g §). Användare vars uppgifter har behandlats manuellt ska informeras skriftligt om detta och upplysas om vad åtgärden grundar sig på (13 e §). Dataombudsmannen utövar tillsyn över rätten att behandla identifieringsuppgifter. Abonnenterna är skyldig att lämna förhandsanmälan om behandlingen och avrapportera den också i efterhand (13 h §). Arbetsgivarens informations- och anmälningsskydighet, liksom också skyldigheten att rapportera både i förväg och i efterhand är viktiga skyldigheter med avseende på hela propositionen, påpekar utskottet. För användarna är det en viktig rättsskyddsfråga att de blir informerade om att identifieringsuppgifter om dem har behandlats manuellt.

Samma rättigheter och skyldigheter som gäller sammanslutningsabonnenter gäller även myndigheter eftersom också stat och kommun kan vara sammanslutningsabonnenter. Bestämmelserna är utformade så neutralt att de i förekommande fall kan tillämpas på myndigheter och deras verksamhet. Däremot kan bestämmelsen om olovligt röjande av företagshemlighet normalt inte tillämpas på myndigheter.

Dataombudsmannen

Genom förslaget ändras ansvarsfördelningen mellan Kommunikationsverket och dataombudsmannen när det handlar om att sammanslutningsabonnenter behandlar identifieringsuppgifter i fall av missbruk. Dataombudsmannen ska i enlighet med personuppgiftslagen () utöva tillsyn över behandlingen av personuppgifter. Enligt lagen om integritetsskydd i arbetslivet () är det arbetarskyddsmyndigheterna som tillsammans med dataombudsmannen övervakar att lagen följs. Företagen som arbetsgivare är en av de största grupperna sammanslutningsabonnenter. Därför är det enligt utskottet i konsekvensens namn lämpligt att dataombudsmannen också delvis övervakar att lagen om dataskydd vid elektronisk kommunikation följs.

I ett utlåtande till utskottet säger dataombudsmannen att lagövervakningen i och för sig är tydlig, men arbetsam. Förvaltningsutskottet anser att dataombudsmannens byrå bör få mer resurser för att kunna ta hand om övervakningen av lagen. En liten enhet som denna har inga möjligheter att omfördela resurserna internt för ett nytt övervakningsuppdrag. Dessutom är det viktigt att skyndsamt utreda möjligheten att inrätta en tjänst som biträdande dataombudsman. Det är nödvändigt att dataskyddet ska kunna ordnas enligt god förvaltningssed.