Comparing the laws on signals intelligence and metadata collection in Europe and the USA

I have made a guest post at Lawfare om metadata collection in Europe. Lawfare is a leading multimedia resource on national security law, published in cooperation with the Brookings Institution.

Två nyheter: NCT och GCHQ

DN skriver att såväl chefen som den biträdande chefen för underrättelsetjänsternas samarbetsorgan Nationellt centrum för terrorhotbedömning (NCT) avgått. Det framgår att tidigare chefen Malena Rembe hade velat att NCT haft en gemensam databas istället för att vara beroende av att ha personal från de tre berörda myndigheterna (SÄPO, MUST och FRA) för att utföra en analys. Frågan är om denna databas skulle innehålla beydligt större mängder information än vad SÄPO får lagra eller om det bara handlar om att arbeta i samma system (som är fristående från SÄPO, MUST och FRA). Det senare har jag mindre problem med. Professor Wilhelm Agrell kommentar detta revirtänkande. Det påmminner om de revirstrider som kan ha förhindrat att 11/9-komplotten upptäcktes, se detta inlägg.

En annan nyhet var i The Guardian som berättar GCHQ (FRAS brittiska motsvarighet) ska samla information från Twitter och Facebook. Det talas i artikeln om att finna "meaningful patterns and relationships", dvs trafikanalys.

Aldrich om brittisk SIGINT

Har precis fått en bok publicerad 2010 om GCHQ. Författaren är Richard J. Aldrich, professor i internationella relationer. GCHQ är den brittiska motsvarigheten till FRA. Det är som ett eko av delar av den svenska debatten.

Analys av kommunikationsmönster
På sidan 544 skriver han om IMP (Intercept Modernisation Programme).

By analysing a person's social network as defined by their telephone calls, texts and emails, and then overlaying their internet use or combining it with their credit-card activity, an enormously detailed picture can be constructed of every individual and those they associate with.

Jag skrev följande i Svensk Juristtidning 4/2009.

FRA samlar in all eller stora delar av kommunikationen och granskar vem som är i kontakt med vem. ... Uppgifter om vem som kommunicerar med vem (trafikdata) kan användas för att analysera kommunikationstrafiken varigenom en persons sociala nätverk och ställning i en viss grupp kan kartläggas och fastställas.

Datamining
I anslutning till IMP tar Aldrich även upp Datamining (informationsutvinning) på sid. 545-547.

What does the government want with all this detail? ... The answer is 'datamining', the use of computers to comb through unimaginable amounts of information looking for patterns and statistical relationships.

I förarbetena till FRAs lagstiftning används begreppet trafikbearbetning, Prop. 2006/07:4 sid. 29. I ovan nämnda artikel i Svensk Juristidning söker jag förklara vad trafikbearbetning innebär.

I en amerikansk studie beskriver National Research Council [NRC] hur brottsbekämpande myndigheter använder metoder (Data Mining) för att identifiera mönster som i regel är kopplad till terrorverksamhet. Liknande metoder för trafikanalys kan i militära sammanhang ge indikationer på att ytterligare förband förts in i ett område, eller att förband försvunnit därifrån. På sådant sätt kan myndigheter som FRA göra mer eller mindre säkra slutsatser om varför en viss kommunikation äger rum. ... Studien utförd av NRC tar bland annat upp den lagstiftning som omfattar National Security Agency (NSA) och nämnda myndighets arbetsmetoder. NSA är den amerikanska motsvarigheten till FRA. I studien uppmärksammas exempelvis att NSA samlar in uppgifter i ”NSA Call database” om miljontals amerikanska medborgares telefonsamtal, vilket liknar FRA:s insamling av tele- och datakontakter i trafikdatabasen Titan. Lagstiftningen beträffande detta område i USA respektive Sverige är förvisso olika, men det verkar som FRA och NSA har likartade verktyg och arbetsmetoder.

Reglering av underrättelseverksamhet betyder expansion
Det är också hög igenkänningsfaktor när Aldrich skriver om konsekvenserna av reglering av underrättelseverksamhet, se sid. 483-484.

By the early 1990s there was a general shift towards the tighter regulation of intelligence. ... Civil rights campaignes found this a continual source of disappointment. Having presumed that more regulation would mean more restrictions on the secret state, they soon discovered that this was permissive legislation. Being 'legit" often meant that the agencies coudl carry out even more operations.

Vem bär ansvaret?
Aldrich menar att vi själva bär ansvaret för denna utveckling. Han avslutar sin bok med följande (sid. 550).

We have all embraced the world of surveillance with remarkable eagerness, surfing the internet in a global search for a better bargain, better friends, even a better partner. ... GCHQ is simply a vast mirror, and it reflects the spirit of the age.

Sverige
Aldrich nämner FRA på fyra ställen i boken och han placerar den svenska myndigheten på en delad tredjeplats tillsammans med tyska BND när västerländska signalspaningsorganisationer rangordnas. NSA är i toppen och brittiska GCHQ intar andraplatsen (sid. 438).

Aldrich beskriver också det schwesiska bolaget Crypto AG (tidigare AB Cryptoteknik), ägt av svensken Boris Hagelin den äldre. Bolaget sålde under 1950-talet krypteringsmaskiner till ett flertal ambassader. Det verkar som NSA på 1970-talet lyckades bygga in en dold bakdörr i Crypto AGs maskiner som gjorde att amerikanerna kunde avlyssna användarna. Detta läckte till den amerikanska kongressen 1986 vilket skapade viss oreda. I detta sammanhang beskriver Aldrich hur tyskarna sökte ändra på ägarförhållandena i Crypto AG och begränsa svenska Ericssons expanderande verksamhet inom kryptoområdet. Tyska BND samverkade med NSA för att skapa bakdörrar i kryptomaskiner tillverkade i neutrala Sverige och Schweiz. Aldrich beskriver dock såväl Sverige som Schweiz som "de facto" medlemmar av NATO sedan början av det kalla kriget, vilket torde vara allmän kännedom numera (sid. 212-215). Tydligen utyttjade NSA dessa bakdörrar så sent som på 1990-talet mot Iran.

E-post inhämtat av NSA använt i rättegång

I måndags (7 september 2009) dömdes tre män i Storbritannien för att de planerat att bomba flygplan på transatlantiska flygningar. De hade tänkt använda flytande sprängämnen men blev gripna 2006. Det var pågrund av detta avslöjande som man numera inte får flyga hur som helst med flytande ämnen i läskflaskor och dylikt. I den första rättegången, avslutad den 8 november 2008, fann juryn att de åtalade var skyldiga till anstiftan av mord men juryn kunde inte avgöra om åtalet beträffande planerade attacker mot flygplan var styrkt. Därför tillsattes en andra juryn för att pröva den senare frågan.

Via Bruce Schneiers blogg hittar jag en artikel från tisdagens Wired där det framgår att NSA 2006 snappade upp e-post som avslöjade planerna som de gav till britterna men NSA vägrade att meddelandena skulle användas i den första rättegången. Nu berättar Wired att NSA ändrade inställning, åklagarna använde meddelanden som bevis i den andra rättegången och BBC har publicerat meddelandena av vilket det framgår att männen använt kodspråk. Meddelandena tillsammans med övrig bevisning bidrog till att nå en fällande dom den 7 september.

Detta är intressant av flera anledningar. Organisationer som NSA och FRA är normalt mycket ovilliga att den information de inhämtar blir offentlig. Nu används det som bevisning och publiceras i media. Är detta ett trendbrott?

Samtidigt kan vi notera att Anders Eriksson i sitt förslag "Signalspaning för polisiära medel" inte bara vill att signalspaning ska kunna användas för att avslöja och förhindra brott. Han föreslår även att det ska kunna användas för att utreda brott och väcker frågan om att information inhämtat genom signalspaning under vissa omständigheter ska kunna användas som bevisning i rättegångar. Förra sommaren var regeringen mycket tydlig med att information inhämtad genom signalspaning inte skulle användas i brottsutredningar. Läs om Erikssons förslag på sidorna 113, 163 och 167.

Till detta bör läggas att resultatet av signalspaningen har presenterats i form av underrättelserapporter som inte har kunnat användas som bevisning i domstol.
/.../
Förslag: Möjligheten för Säkerhetspolisen och den öppna polisen att använda underrättelsematerial som bevisning i rättegång bör ses över.
/.../
Det finns inte någon möjlighet för mig att inom ramen för detta utredningsuppdrag presentera en lösning på problematiken och därtill är frågan av betydelse även för annan typ av inhämtning än signalspaning. Det är emellertid min uppfattning att en översyn bör genomföras.
/.../
Mitt förslag att under vissa förutsättningar kunna använda signalspaning inom ramen för förundersökningar har mötts med tvekan av bl.a. Försvarets radioanstalt.

Undra om det brittiska rättsfallet kan bli ett slagträ i denna debatt? Som en fotnot kan konstateras att när planerna avslöjades 2006 var det flera som pekade på det orealistiska i terroristernas plan som gick ut på att blanda vätskor till sprängmedel på flygplanens toaletter. BBC har senare låtit en bombexpert testa saken.

Uppdatering. Läs Glenn Greenwalds artikel. Där framgår det att meddelandena i ovan nämnda rättsfall inhämtats efter att NSA fått domstolstillstånd, en s.k. "FISA Warrant". Det har alltså inte skett inom det hemliga snabbspår utan domstillstånd som Bushadminstrationen skapade och fått kritik för. En "FISA Warrant" kan vara väldigt svepande och tillåtande så det är svårt att förstå varför Bush valde att gå utanför det ordinarie regelverket.

Miljardbelöning utsatt på Skype

Läser i The Register från februari 2009 och juli 2009 att NSA har utlyst en miljardbelöning för det företag som kan ordna med avlyssning av Skype. Tydligen klarar NSA inte av Skype's anonymisering och kryptering. The Register berättar också att brittiska och amerikanska lagar tvingar företag att ge NSA och GCHQ sina krypteringsnycklar. Nu råkar Skype vara baserat i Estland som är utom räckhåll.

NSA och GCHQ skulle kanske testa med avlyssning/övervakning som har lagstöd och/eller ansöka om domstolsbeslut. I Skypes integritetspolicy kan man läsa följande.

Med undantag för vad som anges nedan kommer Skype inte att sälja, hyra ut, utväxla eller på annat sätt överföra några personuppgifter och/eller trafikuppgifter eller kommunikationsinnehåll till tredje part utan ditt uttryckliga tillstånd, såvida inte tillämplig lag eller ett domstolsbeslut tvingar Skype att göra det.

Ganska rimligt, eller?

Som en fotnot kan man lägga till att The Register's läsare är skeptiska. En av dem skriver följande i ett kommentatorsfält.

The NSA "bounty" is also a funny joke. Several companies tied up in the US
warrantless wiretapping scandal had sold he NSA Skype eavesdropping tech years before the "bounty".

As I said the encryption really isn't that strong and the Skype's port hopping algorithms were broken years ago. The NSA just want to keep up the ruse that people using Skype are "safe" so they don't have to buy a bunch of new kit.

Bloggar
HAX, Juristens funderingar, Olofs Blogg

LSE skriver om brittisk övervakning

Den brittiska regeringen har lagt fram förslaget "Mastering of the Internet" som motsvarar FRA-lagen med skillnaden att även rent inhemsk kommunikation ska vara tillgänglig för de brittiska myndigheterna. Jag har skrivit om övervakning i Storbritannien tidigare. Under det gångna året har jag även varit i kontakt med Gus Hossein, en kollega på London School of Economics (LSE) och vi har diskuterat det brittiska förslaget. Nu har LSE presenterat en rapport om det brittiska förslaget. Se även The Register.

Övervakning i Storbritannien

DN och SvD rapporterar om ett topphemligt internetprojekt i Storbritannien som bedrivs av FRAs brittiska motsvarighet GCHQ. Saken är den att en tidigare version av GCHQs övervakning redan blivit underkänd av Europadomstolen i målet Liberty m.fl. mot UK (1 juli 2008). Den brittiska lagstiftningen är numera uppdaterad. I SvDs artikel står följande.

Förra veckan tvingades den brittiska inrikesministern Jacqui Smith backa från planerna på att införa en central statlig databas för all information om vem som ringt vem, när och hur.

Precis som i Sverige, där datalagringsdirektivet ska införas senare i år, vill nu den brittiska regeringen istället att internet- och telefonoperatörerna själva sparar uppgifterna i egna databaser.

SvD måste ha missat vad FRA håller på med och som riksdagen sagt ja till. Skandal i Storbritannien, bortglömt i Sverige. SVT Rapport avslöjade den 16 juni 2008 följande.

Trots att FRA säger sig vara inriktat på spaning mot utländska hot kan Rapport nu visa att även svensk kommunikation under lång tid fångats in och lagrats av underrättelseorganisationen.

Svenskarnas telefonsamtal och datakontakter har enligt Rapports källor samlats in och lagrats i runt tio år.

Informationen lagras i trafikdatabasen Titan och gäller information om vem som talat med vem, inte innehållet.

En version på hemsidan
FRA har hela tiden velat ge sken av att man inte sparar några större informationsmängder. Sedan förra våren berättar FRA för allmänheten på sin hemsida hur arbetet går till.

Bland annat skriver FRA att "den tillgängliga kommunikationen filtreras i realtid, vilket innebär att den absoluta merparten av trafiken aldrig lagras."

Annan bild i hemligt dokument
Men en FRA-anställd har i ett hemligt internt dokument frågat cheferna varför det står så på webben - man arbetar ju visst på det viset. Man lagrar ju och inte bara lite. Enligt den anställde lagras "stora mängder information som sedan söks igenom."

Vad den anställde frågar om, och som FRA inte säger i klartext, är att FRA fångar in och sparar omfattande mängder trafikdata om vem som kontaktar vem, när, var och hur via fasta telefoner, mobiler, sms, mejl, datorer med IP-nummer och så vidare.

Fiskar med stor håv
FRA har framhållit utåt att man jobbar med precisa, exakta sökbegrepp för att få tag i utländsk trafik. Men enligt Rapports källor handlar det om en generell massinhämtning av trafikdata. där både svenska och utländska medborgares trafikdata samlas in i en bred håv.

Under riksdagsdebatten den 17 juni 2008 var det bara två riksdagsledamoter som tog upp saken, Mehmet Kaplan (mp) och Lage Rahm (mp), anförande 192 och 194. Annie Johansson talade vagt i anförande 189 om att utreda FRAs tidigare verksamhet men någon utredning kommer inte att genomföras, det har Tolgfors förklarat i en senare riksdagsdebatt. I övrigt var riksdagsmajoriteten tyst.

Jag har i Expressen beskrivit hur riksdagen den 18 juni 2008 efter SVT Rapports inslag gett sitt lagstöd för inhämtning och lagring av trafikdata i massiva mängder utan att först diskutera saken. Än så länge har diskussionen i media nästan bara handlat om att FRA inhämtar innehåll i mail och telefonsamtal, en verksamhet som FRA beskriver som mycket begränsad och fokuserad. Det som journalisterna måste förstå att i Sverige kommer trafikuppgifter beträffande vanliga svenskars kommunikation sparas i massiv omfattning både hos 1) operatörerna och 2) i FRAs centrala databas. Det senare är redan beslutat av Sveriges Riksdag, men jag undrar när samma församling avser att mer ingående diskutera saken?

Jag vet inte om britterna vet vilka svepande befogenheter brittiska myndigheter redan har i detta avseende. Läs artikel 22(2) i RIPA, den brittiska motsvarigheten till signalspaningslagen.

22. Obtaining and disclosing communications data.— (1) This section applies where a person designated for the purposes of this Chapter believes that it is necessary on grounds falling within subsection (2) to obtain any communications data.

(2) It is necessary on grounds falling within this subsection to obtain communications data if it is necessary—
(a) in the interests of national security;
(b) for the purpose of preventing or detecting crime or of preventing disorder;
(c) in the interests of the economic well-being of the United Kingdom;
(d) in the interests of public safety;
(e) for the purpose of protecting public health;
(f) for the purpose of assessing or collecting any tax, duty, levy or other imposition, contribution or charge payable to a government department;
(g) for the purpose, in an emergency, of preventing death or injury or any damage to a person’s physical or mental health, or of mitigating any injury or damage to a person’s physical or mental health; or
(h) for any purpose (not falling within paragraphs (a) to (g)) which is specified for the purposes of this subsection by an order made by the Secretary of State.

Här finns min tidigare kommentarer om GCHQ.

Bloggar
Attila, Svensson, Neutral Good, Nils Holmlöv, Farmorgun, Satmaran

Brittiskt nej till centraliserad databas

Tidningen Independent rapporterade i oktober 2008 om ett brittiskt förslag om att upprätta en centraliserad statlig databas där uppgifter om alla telefonsamtal och mejl lagras. Enligt tidningens skulle databasen förmodligen drivas av GCHQ, den brittiska motsvarigheten till FRA. Nu rapporterar Guardian att detta förslag förkastats av den brittiska inrikesministern eftersom förslaget skulle kränka den personliga integriteten alltför mycket. Istället kommer uppgifterna i enlighet med EUs trafikdatalagringsdirektiv att lagras hos operatörerna och myndigheter måste begära ut uppgifterna i varje enskilt fall.

SVT Rapport har berättat hur FRA de senaste tio åren inhämtat trafikdata med bred håv och lagrat det i en central databas. Jag har i Expressen beskrivit hur riksdagen gett lagstöd för detta utan att först diskutera saken. I Storbritannien gick det bra att diskutera, men inte i Sverige.

Samma lag och samma kritik i England

Fick ett tips av en Daniel A, en läsare av denna blogg. Läs Independents artikel om Storbritanniens motsvarighet till signalspaningslagen. Det är i princip samma lagstiftning som i Sverige. Myndigheterna vill samla in alla britters trafikdata och jaga terrorister. Brittiska regeringens granskare av terrorismlagstiftning Alex Carlile, Richard Thomas, motsvarande parlamentets IT-integritetsombudsman, MR-aktivisten Shami Chakrabarti, konservative skuggministern Dominic Grieve (Tories), och liberaldemokraten Chris Huhne framför kraftig kritik mot lagstiftningen. Väldigt få verkar tror på denna typ av lagstiftning och arbetsmetoder, ändå dyker den upp i alltfler länder. Hur kan detta ske?