Medverkan i tidningen Politiken och intressant tidskriftsartikel om europeiskt samarbete kring signalspaning

Politiken har publicerat artikeln "Debat om kabelaflytning gav tårer i Sverige og folkeafstemning i Holland" den 1 oktober 2020 

I Danmark råder debatt då Forsvarets Efterretningstjeneste (delvis samma funktion som FRA) undanhållit information från det danska kontrollorganet (motsvarande svenska SIUN). Jag kommenterar hos Politiken vad som bör vara hemligt respektive kan diskuteras offentligt 

Nyhetsartikeln i Politiken nämner tidskriftsartikel i  "Intelligence and National Security" av prof. Bart Jacobs där han beskriver hur Sverige sedan 1970-talet ingått i europeisk allians med Danmark, Tyskland & Nederländerna, samarbete inkluderar analys & kryptoforcering. Samarbetet kallas "Maximator".

Svenskt cyberförsvar

Jag har brevledes för någon månad sedan blivit tillfrågad om skillnaden/likheten mellan FRAs signalspaning och förslag om ett svenskt cyberförsvar, särskilt om "tekniskt detekterings- och varningssystem för att bemöta avancerade IT-angrepp". När nu en dansk journalist ringde om en dansk lag som verka röra samma sak kände jag att det var dags att skriva ett kort blogginlägg.

Jag har ännu inte sett något lagförslag men viss information finns på FRAs hemsida.

FRA definierar cyberförsvar som "användning av den nationella förmågan att skydda Sverige och svenska intressen mot IT-angrepp från de mest resursstarka aktörerna".

När det talas om "detekterings- och varningssystem" så uppstår frågan var sensorerna ska vara placerade, är det hos teleoperatörerna eller i anslutning till en myndighets förbindelse till internet? Det förstnämnda vore väldigt snarlikt signalspaning. Det förefaller uifrånm FRAs uppgifter mer handlar om det sistnämnda. Föjande står i en rapport från 2 april 2012 (sid. 14).

Sensorn bör placeras mellan Internet och den verksamhet som ska skyddas vilket innebär att den bör placeras utanför verksamhetens egen skyddsbarriär (till exempel brandvägg). Placeringen av sensorn är viktig för att

- kunna ge en oförvanskad trafikbild
- kunna upptäcka IT-angrepp som sker samordnat mot flera organisationer
- kunna urskilja angreppstrender
- undvika att sensorn får tillgång till organisationens interna trafik.

Då det gäller anslutningen av en sensor till ett nätverk kan det göras på flera olika sätt. Antingen kan placeringen göras så att all trafik passerar rakt igenom sensorn eller så används en nätverksprodukt, en så kallad trafikkopierare, som kopierar trafiken till sensorn. Det tillvägagångssätt som rekommenderas är det sistnämnda. Överföringen från trafikkopieraren bör vara enkelriktad, vilket innebär att sensorn blir helt passiv och ingen påverkan kan göras på trafikflödet och dess innehåll. En passiv lösning innebär även ett extra säkerhetsskydd för sensorn, vilket är en fördel då denna kategori av system ofta är utsatta för angrepp.

Personligen anser jag det som mindre probelmatiskt med sensorer som är i anslutning till en myndighets förbindelse till internet än att staten får direkttillgång till en teleoperatörs kabel.

Här är den danska lagen som verkar röra samma sak.

Övervakning i en rättsstat och förändringar i FRAs regelverk

Universitetet i Oslo står den 12-13 november 2009 värd för den 24:e nordiska konferensen i rättsinformatik på temat "Overvåking i en rettsstat". Programmet hittar du här. Jag talar den 12 november om FRA-lagen och dess förhållande till Europakonventionen om de mänskliga rättigheterna. Nedan finns min presentation som är en uppdatering av tidigare presentationer.

För att få en intressant diskussion med mina nordiska kollegor kommer jag även ta upp information som pekar på att FRAs danska och norska motsvarigheter sysslar med samma sak, dvs kabelspaning. Se sid. 5-7 i presentationen eller tidigare inlägg om Danmark respektive Norge. Detta sker i så fall under betydligt mindre lagreglerade former.

Försvarets Radioanstalts övervakning av kommunikation och Europakonventionen om mänskliga rättigheter

View more documents from Klamberg.

Till en annan sak. Som en konsekvens av de lagändringar som riksdagen antog den 14 oktober 2009 har regeringen ändrad i anslutande förordningar. Den nya lagen om försvarsunderrättelsedomstolen finns nu som SFS 2009:966. Det handlar om:

1. Ändringar i förordningen (2008:923) om signalspaning i försvarsunderrättelseverksamhet,

2. Ändringar i förordningen (2007:261) om behandling av personuppgifter i Försvarets radioanstalts försvarsunderrättelse- och utvecklingsverksamhet,

3. Ny förordning (2009:969) med instruktion för Statens inspektion för försvarsunderrättelseverksamheten.

Bland ändringarna i förordningarna är det mest substantiella att lagringen av rådata begränsas till ett år med få möjligheter att kringgå, se 2 § andra stycket och 12 § förordningen (2007:261) om behandling av personuppgifter i Försvarets radioanstalts försvarsunderrättelse- och utvecklingsverksamhet. Detta är i enlighet med alliansöverenskommelsen från den 25 september 2008, punkt 14. Förutom att riksdagen den 14 oktober 2009 i lag specificerade ändamålen för FRAs spaning anser jag att begränsningen i lagringstid är den mest substantiella (och positiva) förändringen som följer av alliansöverenskommelsen.

Recension av bok om Forsvarets Efterretningstjenste

Johan Jakobsson har hos SvD skrivet en recension av Hans Davidsen-Nielsens bok "Spionernes krig – Historien om Forsvarets Efterretningstjenste". Rubriken för recensionen är "Dansk signalspaning gjorde skillnad". Det framgår att det bl.a. handlar om kartläggning av marin trafik under kalla kriget, vilket ger intrycket av att det handlar om eterspaning. Det hade varit mer intressant om boken tar upp frågan om kabelspaning i civila kommunikationsnät, på fråga från oppositionen vill den danska regeringen inte redogöra för om Forsvarets Efterretningstjenste sysslar med det. Det framgår inte av recensionen om boken tar upp detta. Boken finns på min inköpslista.

Danmark kan lära av de svenska protesterna mot övervakning

När jag var i Danmark för två veckor sedan blev jag intervjuad av danska Computer World. Idag publicerades intervjun "Danmark kan lære af svensk overvågnings-oprør". Läs gärna den.

Reflektioner kring den danska försvarslagen

Är just nu på en konferens i Köpenhamn om personlig integritet, informations-och kommunikationsteknologi. Arrangörer är Danskt Näringsliv, tyska och franska ambassaderna i Danmark. Imorgon ska jag tala under rubriken "Surveillance of communication by the National Defence Radio Establishment (FRA)". Danskarna är oroade över den svenska lagstiftningen, men som framgår av detta inlägg borde de även granska vad deras egna myndigheter sysslar med.

Vid mitt konferensbord hamnade medarbetare från den danska datainspektionen. När vi kom in på mitt ämne frågade jag om den danska datainspektionen uppmärksammat 17 § forsvarsloven. Den anger följande.

§ 17. Under krig eller andre ekstraordinære forhold kan forsvarsministeren1) uden retskendelse træffe foranstaltninger som omhandlet i grundlovens § 72 over for telefonsamtaler, postforsendelser og anden kommunikation

Lagen ger den danska försvarsministern rätt att utan ytterligare lagstiftning eller domstolsbeslut (retskendelse) ge tillstånd för att avlyssna kommunikation. Datainspektionen verkar inte ha uppmärksammat detta lagrum. Danska parlamentsledamöter har begärt svar från regeringen om 17 § forsvarsloven utnyttjas. Se följande utdrag.

Spørgsmål nr. 32:
Mener ministeren, at Danmark i øjeblikket er i krig, og at denne situation kan begrunde anvendelse af § 17 i forsvarsloven til evt. aflytninger uden retskendelse?

Svar:
Begrebet krig anvendes typisk ikke i den folkeretlige terminologi, som Danmark og de fleste øvrige lande anvender om nutidens militære operationer. I stedet tales om, hvorvidt staten deltager eller er part i en væbnet konflikt, herunder om konflikten er international eller ikke-international. Den nærmere vurdering heraf afhænger af en række konkrete forhold.

Det er regeringens opfattelse, at Danmark i Afghanistan deltager i en ikke-international væbnet konflikt, som defineret i Artikel 1 i Tillægsprotokol II af 18. juni 1977 til Genève-konventionerne af 12. august 1949 vedrørende beskyttelsen af ofre i ikke-internationale væbnede konflikter. I konflikten deltager på den ene side den legitime afghanske regering og dens internationale allierede, herunder Danmark, og på den anden side en eller flere fjendtlige organiserede væbnede grupper.

Jeg finder ikke, at der inden for rammerne af en besvarelse af spørgsmål stillet af Folketingets Forsvarsudvalg kan gives oplysninger om anvendelsen af forsvarslovens § 17, herunder i den konkrete situation.

Oplysninger af den omhandlede karakter giver regeringen, såfremt det måtte være aktuelt, alene til Folketingets Udvalg vedrørende Efterretningstjenesterne, der af et meget bredt flertal i Folketinget er nedsat ved lov nr. 378 af 6. juli 1988. Udvalget orienteres blandt andet af regeringen om omstændigheder af sikkerhedsmæssig karakter eller vedrørende udenrigspolitiske spørgsmål, som er af betydning for efterretningstjenesternes virksomhed.

Den danska försvarsministern vill alltså inte svara om 17 § forsvarsloven utnyttjas. Utför danska myndigheter avlyssning/övervakning motsvarande FRAs signalspaning? Forsvarets Efterretningstjeneste (FE) och Statsministeriet skriver på sina respektive hemsidor att FE håller på med "elektronisk efterretningsvirksomhed".

PÅ FEs hemsida står följande.

Foretager FE elektronisk efterretningsvirksomhed?
Ja.
FE's opgave er at indsamle, bearbejde og formidle informationer om forhold i udlandet af betydning for Danmarks sikkerhed, herunder for danske militære enheder og andre, som er udsendt til løsning af internationale opgaver.

FE's efterretningsmæssige virksomhed er derfor rettet mod forhold i udlandet og omfatter transnationale forhold (især terror og spredning af masseødelæggelsesvåben) samt militære, politiske, økonomiske og teknisk-videnskabelige informationer af betydning for danske sikkerhedsinteresser.

Der anvendes flere forskellige metoder til at indhente disse informationer. Elektronisk efterretningsindhentning er en af disse metoder. FE har siden slutningen af 1940'erne haft kapacitet til at udføre elektronisk efterretningsvirksomhed, herunder aflytning af kommunikation. Denne kapacitet bliver løbende opdateret i takt med den teknologiske udvikling.Virksomheden er alene rettet mod forhold i udlandet.

Se även vad Ole Stig Andersen, chef för Politiets Efterretningstjeneste, PET, från 1975 till 1984 säger i Jyllandsposten.

Efter att jag diskuterat saken med medarbetarna från den danska datainspektionen hittade jag följande analys från CEPOS (verkar motsvara TIMBRO). CEPOS har skrivit en analys publicerad den 30 januari 2009 där de kommer fram till att "Forsvarslovens § 17 er i strid med den Europæiske Menneskerettighedskonvention".

När jag därefter läser programmet ser jag att Jacob Mchangama från CEPOS ska tala på konferensen om "Mutation of Privacy". Ser fram emot att senare under konferensen tala med Jacob om forsvarslovens § 17.

Vad är "ekstraordinære forhold" i Danmark?

Bjorn driver den danska "Efterretning’s Blog" och vi har inlett en diskussion om den danska försvarslagen och "elektronisk underrättelseinhämtning", i Sverige benämnt som signalspaning. På hans senaste inlägg svarar jag följande.

Definitionen av "ekstraordinære forhold"
I Danmark kan Forsvarets Efterretningstjeneste (FE, motsvarande FRA i Sverige) enligt 17 § i forsvarsloven under krig eller "ekstraordinære forhold" avlyssna utan domsbeslut . Jag tycker definitionen av "ekstraordinære forhold" som en situation ”hvor statens handlefrihed og sikkerhed er truet, uden at der er tale om egentlig krig” är intressant. Frågan är om terrorism kan användas som grund för att koppla på avlyssningssystemet. Innebär det att FE får tillgång till all kabelburen kommunikation som korsar Danmarks gränser?

Vem avgör om krig eller "ekstraordinære forhold" föreligger?
Det är den danska försvarsministern och inte Danmarks folkvalda Folketing som avgör om villkoren krig eller "ekstraordinære forhold" är uppfyllda och 17 § i forsvarsloven ska utnyttjas. Försvarsministerns bedömning är hemlig. Genom en länk hos Björn kan man ta del av debatten i Folketingets forsvarsudvalg (försvarsutskottet) där det framgår att försvarsministern inte vill svara på om 17 § i forsvarsloven används och avlyssning sker. Den danska regeringen och socialdemokraterna tycker att detta är en rimlig ordning och lägger allt i händerna på Folketingets Kontroludvalg (motsvarande funktion som Försvarets Underrättelsenämnd). Att den danska försvarsministern har en sådan makt är nästan mer märkligt än den svenska ordningen, men ändå inte. Före den 18 juni 2008 hade Sverige ingen lag alls om signalspaning (elektronisk underrättelseinhämtning) men det skedde ändå.

Avlyssning i Afghanistan
Bjorn skriver i sitt inlägg att FE förmodligen avlyssnar kommunikation i Afghanistan. Det gör säkert svenska Försvarsmakten också med stöd av FRA. Det finns som bekant en svensk NEC (National Intelligence Cell) i Kabul. Eftersom Afghanistan befinner sig i en väpnad konflikt har jag större förståelse om kommunikation avlyssnas av FRA och FE. Den intressanta frågan är dock om all kabelburen kommunikation som korsar Sveriges respektive Danmarks gränser ska göras tillgängliga för FRA respektive FE utan domstolsbeslut på grund av man är inblandad i i en väpnad konflikt i Afghanistan. I Sverige har Afghanistanargumentet använts för att FRA ska avlyssna kabelburen kommunikation som korsar Sveriges gränser. Jag tror det vore bra om just detta argument inte återanvänds i den danska debatten. FRAs generaldirektör har uttalat att ”det är inget bra argument för lagen. Kommunikationerna [i Afghanistan] sker mest i etern. … vi skulle nog kunna spana mot ett sådant hot utan kabelaccess”.

Dansk motsvarighet till FRA

Förra veckan deltog jag i Aalborg, Danmark på en konferens för IT-säkerhetskonsulter från Danmark, Sverige och Norge om FRA-lagen. Som bekant har FRA-debatten nått våra grannländer. Där har debatten dock inte kommit riktigt lika lång. Jag har inte riktigt fått svar på om deras myndigheter håller på med samma sak. De danska och norska IT-säkerhetskonsulterna hade ingen kunskap om detta, vilket man annars hade förväntat sig om motsvarande ägde rum i våra grannländer. Den norske paneldeltagaren Gisle Hannemyr förklarade att de norska och danska motsvarigheterna förmodligen gör samma sak med hjälp av fullmaktslagstiftning som i förhållande till normal fredstid ger extraordinära befogenheter till regeringen. Nu har jag hittat lite information om Danmark som bekräftar detta. I Jyllandsposten står följande.

Danskerne må ikke få at vide, om Danmark på grund af krigen mod terror er i
en sådan grad af undtagelsestilstand, at Forsvarets Efterretningstjeneste, FE,
har fået carte blanche til at aflytte al kommunikation i strid med de normale
regler. Forsvarsminister Søren Gade (V) afviser således at svare på et spørgsmål fra SF's it-ordfører, Hanne Agersnap, om forsvarsministeren kan udelukke, at en undtagelsesbestemmelse i forsvarsloven - paragraf 17 - kan bruges i forbindelse med den aktuelle krig mod terror til aflytning uden retskendelse af kommunikation mellem f.eks. danske borgere og folketingsmedlemmer.
/.../
Ole Stig Andersen, chef for Politiets Efterretningstjeneste, PET, fra 1975
til 1984, skriver i en kronik i avisen i dag, at han går ud fra, at FE overvåger
den elektroniske kommunikation over Danmarks grænser, og at det kan være
fornuftigt med en sådan masseaflytning, fordi den afskærer potentielle
terrorister i Danmark fra kontakt med terrorister i udlandet og således vil være
af afgørende betydning i kampen mod terror.

»Hvis jeg har ret, hvorfor må den danske befolkning ikke få det at vide?« spørger Ole Stig Andersen.

I den danska forsvarsloven § 17 stycke 1 första punkten står följande.

§ 17. Under krig eller andre ekstraordinære forhold kan forsvarsministeren
1) uden retskendelse træffe foranstaltninger som omhandlet i grundlovens § 72 over for telefonsamtaler, postforsendelser og anden kommunikation

FE verkar alltså kunna använda undantagslagstiftning för krig och terrorism för att inhämta all kommunikation som korsar landets gränser utan domstolsbeslut (retskendelse). Det är förmodligen detta som Gisle Hannemyr avsåg med fullmaktslagstiftning. Sådan lagstiftning är förmodligen inte förenlig med Europakonventionens krav på att intrång i privatlivet ska ha explicit lagstöd som är tillgängligt och förutsebart. Frågan är om denna fullmaktslagstiftning utnyttjas. Forsvarets Efterretningstjeneste (FE) och Statsministeriet skriver på sina respektive hemsidor att FE håller på med "elektronisk efterretningsvirksomhed". PÅ FEs hemsida står följande.

Foretager FE elektronisk efterretningsvirksomhed?
Ja.
FE's opgave er at indsamle, bearbejde og formidle informationer om forhold i udlandet af betydning for Danmarks sikkerhed, herunder for danske militære enheder og andre, som er udsendt til løsning af internationale opgaver.

FE's efterretningsmæssige virksomhed er derfor rettet mod forhold i udlandet og omfatter transnationale forhold (især terror og spredning af masseødelæggelsesvåben) samt militære, politiske, økonomiske og teknisk-videnskabelige informationer af betydning for danske sikkerhedsinteresser.

Der anvendes flere forskellige metoder til at indhente disse informationer. Elektronisk efterretningsindhentning er en af disse metoder. FE har siden slutningen af 1940'erne haft kapacitet til at udføre elektronisk efterretningsvirksomhed, herunder aflytning af kommunikation. Denne kapacitet bliver løbende opdateret i takt med den teknologiske udvikling.Virksomheden er alene rettet mod forhold i udlandet.

FE har därmed ett likartat uppdrag som FRA. Det vore intressant att få veta vad som menas med att "Denne kapacitet bliver løbende opdateret i takt med den teknologiske udvikling". Innebär det inhämtning av kabelkommunikation? Om inte filtrering sker hos operatörerna (vilket regeringen i en promemoria sid. 46 och FRA i ett remissvar sid. 2 förklarat som omöjligt) så innebär det att all utrikes kommunikation överförs till den danska staten. Undra om och i så fall när debatten på allvar bryter ut i Danmark.

I Sverige har vi alltså valt en annan väg genom att ha detaljerad lagstiftning istället för fullmaktslagstiftning, vi har gjort det extraordinära normalt. Sett utifrån Europakonventionens artikel 8 och tillhörande praxis i rättsfallen Weber/Saravia och Liberty et al. mot UK så skulle Sverige förmodligen klara sig bättre i Europadomstolen än Danmark. Jag tror att att svårigheten i FRA-debatten finns någonstans här, ska vi acceptera det som tidigare ansetts extraordinärt i fredstid bara för att det är reglerat på ett öppet och detaljerat sätt? Är kampen mot terrorism ett permanent krig?

Uppdatering
Hittade mer på FEs hemsida där dansk lagstiftning återges. Märkligt nog skiljer sig texten hos FE (se stk. 3 och 4 om Politiets Efterretningstjeneste) med hur samma lag återges på andra ställen. Allt finns väl inte på internet.

Forsvarets Efterretningstjeneste er underlagt og virker under ansvar overfor
forsvarsministeren.

Stk. 2. Forsvarets Efterretningstjenestes opgave er at indsamle, bearbejde og formidle informationer om forhold i udlandet af betydning for Danmarks sikkerhed, herunder for danske enheder m.v. i udlandet.

Stk. 3. Ved den i stk. 2 nævnte virksomhed rettet mod forhold i udlandet kan tjenesten medtage oplysninger om danske statsborgere samt personer, der opholder sig i Danmark.

Stk. 4. Forsvarets Efterretningstjeneste kan videregive oplysninger til Politiets Efterretningstjeneste i det omfang, videregivelsen kan have betydning for varetagelse af tjenesternes opgaver.

Det finns vissa likheter med den svenska lagen om försvarsunderättelseverksamhet, inte minst bestämmelserna reglerar relationen mellan FRA och SÄPO/polisen. Den svenska lagstiftningen är dock lite klumpigare eftersom den börjar med ett förbud för FRA att utföra polisens uppgifter och därefter en bestämmelse som ger FRA rätt att stödja polisen. Av förarbetena framgår också att förbudet inte omfattar signalspaning för polisens räkning. Den danska lösningen i stycke 4 är mycket enklare att förstå. Det är inte konstigt att de svenska riksdagsledamöterna och f.d. försvarsminister Odenberg var förvirrade. FRAs egen hemsida är betydligt tydligare än lagtexten.

4 § Inom försvarsunderrättelseverksamheten får det inte vidtas åtgärder som syftar till att lösa uppgifter som enligt lagar eller andra föreskrifter ligger inom ramen för polisens och andra myndigheters brottsbekämpande och brottsförebyggande verksamhet.

Om det inte finns hinder enligt andra bestämmelser, får dock de myndigheter som bedriver försvarsunderrättelseverksamhet lämna stöd till andra myndigheters brottsbekämpande och brottsförebyggande verksamhet. Lag (2007:664).

Media och bloggar
Expressen, Jens O, Farmorgun, MinaModerataKarameller, Nemokrati, Tankar från rooten, Hjärnfilspån, Efterretning’s Blog