Obama begränsar avlyssning

Idag blev jag intervjuad i SvD under rubriken "Obama begränsar avlyssning".

Transcript of interview in currrents events program SVT Agenda

Here is the video and a transcript in English of the interview with me on FRA (the Swedish equivalent of the NSA) in the currents events program  "SVT Agenda".

The following background is given before the interview: 1) The Norwegian Government is worried that Norwegian communication is under the surveillance of FRA because a substantial amount of Norwegian domestic communication is routed through Sweden. 2) General Alexander explains that the metadata is collected by European intelligence agencies which is shared the data with NSA. 3) Swedish Foreign Minister Carl Bildt explains that Sweden has the best legislation and oversight in the world.

Anders Holmberg (AH): Mark Klamberg is with us, lecturer in public international law at Uppsala University. You have been critical against the law on signals intelligence since the debate in 2008, welcome to our show.

Mark Klamberg (MK): Thank you.

AH: What is your opinion, does the Norwegian Government have any basis for their worries?

MK: The legislation permits surveillance towards Norwegian communication. I dont know if and to what extent such surveillance is carried out.

AH: What kind of guarantees could the Norwegian Government get?

MK: I think it would be difficult to issue such guarantees because Denmark and Finland are also worried, if Sweden would issue guarantees to all countries surrounding Sweden, there would not be any communication left to have surveillance on.

AH: Because it is only communications crossing Swedish borders that may be subjected to FRA surveillance?

MK: That is correct.

AH: In the introduction we heard top US officials explain that European intelligence agencies has collected the date and shared it with the US, has the FRA done the same?

MK: Such practice is consistent with my understanding of how the FRA operates, it was disclosed in 2008 by SVT (TV public broadcasting) that the FRA collects and stores huge amounts of metadata and there was a subsequent disclosure that the FRA transferred such data in bulk to the US. Thus it (the FRA modus operandi) is consistent with the current disclosures.

AH: You are talking about “bulk” and “metadata”, what is that?

MK (holding an envelope): Metadata is, if we take the example of a phone call, information on who is making the phone call and who is receiving it, the same applies to e-mails. When talking about an e-mail message one can choose either to read the content of the message or - if we look at an envelope - we can identify the receiver and the sender. One can do so in relation to phone communication and e-mails -  metadata is envelope information that is stored in huge amounts. That is what has been revealed now in relation to the US and what has previously been revealed in relation to Sweden.

AH: And it is enormous amounts of communication?

MK: In relation to France and Spain it amounts to tens of millions of records per month which are stored and transferred to the US.

AH: If one does not look into the envelope, what use can one have of it?

MK: One could use such data in an efficient manner to chart crime and terrorism, however it can also be abused and derail. Please allow me to make a comparison. It is not an example of FRA operations. There was a recent disclosure of monitoring by the Skåne province police which involved a large database with records of people with Romani ethnicity. They have not been wire-tapped or had their messages read. They have been monitored (charted). Each record on an individual in isolation may appear harmless but when aggregated it is perceived as very invasive. Now, the FRA is not interested what is happening on the Skåne countryside but it is a good example how metadata surveillance may be intrusive.

AH: Now, the FRA has the (legal) right to conduct surveillance and share data with other countries, what is the problem if the FRA is doing the same thing as other European intelligence agencies?

MK: My view is that the problem is that when this legislation was adopted the message was that it was very regulated and that only small amounts if information would be stored. However, when one studies the internal (FRA) documents leaked to SVT, when I study the law and you read the reports of the Swedish Data Inspection Board the opposite picture emerges: the surveillance and storage of data is massive. The problem is that the Government gives one picture, the law and leaks from inside the FRA on how it actually works gives a totally different picture.

AH: But you have heard Minister of Foreign Affairs Carl Bildt say that we have the best legislation in the world, there is no better law in this area than the law on the FRA.

MK: Sweden has legislation but I don’t think it establishes strong limits, the law has many provisions but each prohibitive provision is subject to a (permissive) caveat/exception. I think this legislation is hollow.

AH: But there is special committee that is exercising oversight over the FRA? It is called SIUN.

MK: As long as the law is very permissive, it does not matter what this committee thinks. Further, it is the Government that makes the appointments to the committee and if the committee would find something unsuitable (in the FRA operations) although still legal, it reports to the Government. Moreover, it is also the Government that has the final say on who sits on the court that approves the reporting (sic! it should be “surveillance”) and the Government can ask the FRA to conduct surveillance. Too much power is associated with the Government (of Sweden) and I perceive that as a problem.

AH: Hold on, I need to understand. So you mean that the Government can ask for surveillance and the Government decides which persons are exercising oversight over the FRA?

MK: That is correct.

AH: And that is not, you…

MK: I don’t agree with Carl Bildt that Sweden has the best legislation. In the US they are having congressional hearings where top officials are questioned. That has not happened in the Swedish parliament, I would have liked such hearings in the Swedish parliament.

AH: These are secret activities. Isn’t obvious that we can’t have public hearings, the FRA cannot provide information on who they are targeting, can they?

MK: Yet they are now having (public) hearings in the US. True, it would be inappropriate if the FRA would disclose to the public who they are targeting and which networks are under surveillance. However, I find it reasonable that the people is entitled to information on the scale of the surveillance. We (the people) don’t know that at the moment.

AH: The Government has been very silent with comments on this matter, what is your conclusion (interpretation)?

MK: Sweden has an exchange of data with the US, if the Swedish Government would start to complain against the US it could soon come right back (at the Swedish Government).

AH: This story will not disappear soon. Mark Klamberg, thank you for being with us.

MK: Thank you.

Medverkan i SVT Agenda

Jag har medverkat i SVT Agenda under rubriken "FRA:s avlyssning oroar Norge", nedan finns ett klipp. Strax före har en norsk statssekreterare uttryckt oro över att norsk kommunikation är övervakad.

Europas underrättelsetjänster samarbetar med USA för att samla in informatio

Igår medverkade jag i Sveriges Radio Studioett om USAs, Frankrike och Spaniens övervakning under rubriken "Europas underrättelsetjänster samarbetar med USA för att samla in information". Läs även SvDs intervju med Johan Sigholm där han kommer till samma slutsats som mig om Frankrikes och Spaniens inblandning. Johan Sigholm medverkar också i en intressant radiointervju.

USA:s avlyssning snackis både på nätet och EU-toppmötet

Jag har medverkat i intervju hos Sveriges Radio P3 under rubriken "USA:s avlyssning snackis både på nätet och EU-toppmötet".

Comparing the laws on signals intelligence and metadata collection in Europe and the USA

I have made a guest post at Lawfare om metadata collection in Europe. Lawfare is a leading multimedia resource on national security law, published in cooperation with the Brookings Institution.

Electronic surveillance and privacy - in light of the Snowden Affair

Earlier this week I had a presentation on "Electronic surveillance and privacy - in light of the Snowden Affair" in Uppsala, September 16th, 2013. It was hosted by UF Uppsala (Association of international affairs). The presentation is in English.

The Magazine Ergo covered the presentation with a story written in Swedish and some of the statements in the article are somewhat different from what I actually said. All in all it still captures the main message of my presentation.

Därför nekas Edward Snowden asyl överallt

Den 3 juli 2013 medverkade jag i TV4 Nyhetsmorgon på temat "Därför nekas Edward Snowden asyl överallt". Se inslaget nedan.

Does FISA grant direct access to the servers of internet service providers?

A key question is whether FISA grants direct access to the servers of internet service providers. It is always difficult for legal scholars to analyse the law in foreign jurisdictions, in this case US law. I have for some time sought the provision in FISA which obligates communication service providers (CSPs) to grant NSA access to their fibre optic cables. In the Verizon court order disclosed by the Guardian there is a reference to 50 USC § 1861 but that provision concerns the production of tangible things such as records, but arguably not direct access to fibre optic cables or the entire network of a CSP. I believe that the relevant provision needs to be sought elsewhere in FISA.

In Sweden the relevant provision is to be found chapter 6 section 19(a) of the Electronic Communications Act (2003:389). It provides that the CSPs (such as TeliaSonera and Bahnhof) are under an obligation to transfer all cable communication crossing Swedish borders to certain “interaction points” (black boxes), which may include communication where the sender or receiver is in Sweden. See also section 4.3.1 in this article.
 
I thing that I have now found the relevant provision in FISA. It is 50 USC § 1881a (see also section 702 of the FISA Amendments Act)

(h) Directives and judicial review of directives

(1) Authority  

With respect to an acquisition authorized under subsection (a), the Attorney General and the Director of National Intelligence may direct, in writing, an electronic communication service provider to—

(A) immediately provide the Government with all information, facilities, or assistance necessary to accomplish the acquisition in a manner that will protect the secrecy of the acquisition and produce a minimum of interference with the services that such electronic communication service provider is providing to the target of the acquisition; and 

(B) maintain under security procedures approved by the Attorney General and the Director of National Intelligence any records concerning the acquisition or the aid furnished that such electronic communication service provider wishes to maintain.

See also the subsections on challenges to directives.

(4) Challenging of directives

(A) Authority to challenge  

An electronic communication service provider receiving a directive issued pursuant to paragraph (1) may file a petition to modify or set aside such directive with the Foreign Intelligence Surveillance Court, which shall have jurisdiction to review such petition. 

[...]

(5) Enforcement of directives

(A) Order to compel  

If an electronic communication service provider fails to comply with a directive issued pursuant to paragraph (1), the Attorney General may file a petition for an order to compel the electronic communication service provider to comply with the directive with the Foreign Intelligence Surveillance Court, which shall have jurisdiction to review such petition.

(B) Assignment  

The presiding judge of the Court shall assign a petition filed under subparagraph (A) to 1 of the judges serving in the pool established under section 1803 (e)(1) of this title not later than 24 hours after the filing of such petition.   

(C) Procedures for review  

A judge considering a petition filed under subparagraph (A) shall, not later than 30 days after being assigned such petition, issue an order requiring the electronic communication service provider to comply with the directive or any part of it, as issued or as modified, if the judge finds that the directive meets the requirements of this section and is otherwise lawful. The judge shall provide a written statement for the record of the reasons for a determination under this paragraph.

I believe that the interpretation of the term "electronic communication service provider" is crucial. Should it be interpreted narrow to only include CSPs such as Verizon and ATT (comparable with TeliaSonera and Bahnhof) or a more broad interpretation that also includes other internet service providers such as Google, Facebook, Microsoft and Skype? From the reaction of the latter companies and US Government it appears as the provision is interpreted narrowly. If this is true, the US Government would make a great favour to it self and this debate if it made the relevant court orders (and interpretation of such orders) public.  This is not only of interest to the American public, we have some Google, Facebook, Microsoft and Skype users in Sweden as well.

In comparison, I find the Swedish law more clear on this matter, it only concerns cables crossing Swedish borders, not servers of other internet service providers (Facebook has servers in Sweden, see this article).

I would be happy for any US scholars to correct any errors in this post on FISA.

Update 1. Marcus Jerräng pointed me to the fact that the US Director of National Intelligence (DNI) makes an explicit reference to section 702 of FISA in relation to the PRISM program which suggests a broad interpretation. At the same time the DNI is describing it in terms of "targeted acquisition". Is this a contradiction? The access can arguably be broad at the same time as the subsequent targeting of specific individuals (i.e. collection and storage of content data at the NSA) is narrow. That is how understand the operations of the FRA (the Swedish counterpart to the NSA).

Update 2. I have now found a blog post of Orin Kerr, professor at the George Washington University Law School, an expert on computer crime law and internet surveillance. He writes the following:

It sounds like the PRISM program is the way of implementing the statute [FISA Amendments Act of 2008], now codified at 50 U.S.C. 1881a

In other words, the PRISM program is legal.

Update 3. Here is a very interesting paper written by Joris Van Hoboken, Axel Arnbak and Nico Van Eijk, They also discuss the PRISM program in relation to FISA 50 USC 1881a (section 702).

Comments on the NSA Prism program and Verizon court ruling

The Guardian and the Washington Post have on Thursday disclosed two very interesting documents that reveal two separate, probably interrelated, surveillance programs run by the NSA. The first document is a court order that forces Verizon to hand over phone records of millions of US customers. The second document contains selected slides from a slide PowerPoint presentation on a previously undisclosed program called PRISM. I have commented upon the story in Sveriges Radio P1 Studio Ett.

Update Sunday, June 9th, 2013. If one listens to the interview with me from Friday at 04.38-6.10, you can hear that I find the information about Verizon reliable because it confirms what has been revealed before from other sources (see for example USA Today May 10th, 2006). The documents disclosed by the Guardian strengthens this story. I am more cautious in the interview in relation to the claim that the NSA through the PRISM program has direct access to the servers of internet service providers such as Google, Facebook, Microsoft and Skype because the documents (i.e. the PowerPoint presentation) is scant on the scope and mode of these operations.

It appears as I am not the only one who is cautious in relation to the original PRISM story. Ed Bott writes that the same day (Friday June 7th 2013) Washington Post changed key details in the PRISM story. After comparing the original and the edited versions of the Post's article, Bott's conclusion is that the Washington Post "leaked PowerPoint presentation from a single anonymous source and leaped to conclusions without supporting evidence". Barton Gellman, who co-wrote the Washington Post’s story, later told the Huffington Post that he “started to hear some footsteps [from the Guardian], so I had to move” and said he "would have been happier to have had a day or two” more to work on the PRISM story. In other words, the story was published prematurely. Gellman co-authored on Saturday a new article based with a different narrative on how it works:

According to a more precise description contained in a classified NSA inspector general’s report, also obtained by The Post, PRISM allows "collection managers [to send] content tasking instructions directly to equipment installed at company-controlled locations," rather than directly to company servers. ... According to slides describing the mechanics of the system, PRISM works as follows: NSA employees engage the system by typing queries from their desks. For queries involving stored communications, the queries pass first through the FBI’s electronic communications surveillance unit, which reviews the search terms to ensure there are no U.S. citizens named as targets.

If this description is correct, the PRISM program is more targeted and narrow in scope compared to how it was described initially.

This story is very similar to the debate we had 2008 in Sweden on surveillance run by the FRA (the Swedish national authority for Signals Intelligence). My conclusion is that intelligence agencies and the politicians that have insight and power over these programs need to be more transparent if they want to continue with programs they perceive as legitimate. Otherwise we are sure to see more future "scandals" in this area, even in cases when the operations are run in accordance with the law. A good start for Government (in the U.S., Sweden and elsewhere) would be to publicly publish on an annual basis the number of messages (content data) they intercept and how many records (metadata) they have in their databases.

Here is what I have written on the topic in English.

Update Monday, June 10th, 2013. Today I am interviewed by Sveriges Radio on Snowden and potential extradition to the U.S. from Hong Kong or Iceland.

NSA använder sannolikhetsvärden för att rikta signalspaning

Det här verkar vara en intressant bok om NSA. I recensionen står det: "If the NSA wants to collect information on a specific target, it needs one additional piece of evidence besides its own "link-analysis" protocols, a computerized analysis that assigns probability scores to each potential target". Det här med 1) link-analys (trafikanalays), 2) sannoliketsvärden och 3) automatisering i signalspaning har jag försökt uppmärksammat tidigare, se sid. 530-531 denna artikel.

Ett centralt verktyg för att kunna identifiera vilken kommunikation som är relevant för innehållsbearbetning är trafikbearbetning. Förarbetena uttrycker det på följande sätt.

Trafikbearbetningen syftar till att bringa ordning i det skenbara kaos som det inhämtade materialet erbjuder. Härigenom kan man konstatera vem som kommunicerar med vem och varför. De uppfångade radiosignalerna identifieras och trafikmönster fastställs.

Med andra ord, FRA bearbetar trafiken och fastställer vilka trafikmönster som är intressanta. Trafikbearbetningen sker i efterhand genom analys av mönster i trafikdata, dvs. man fastställer vem som kommunicerar med vem. Detta ger myndigheten förmågan att avgöra till eller från vilka telefonadresser och IP-adresser som kommunikationen behöver granskas närmare. Kryptering av innehållet i ett meddelande erbjuder inget skydd mot trafikbearbetning, eftersom det endast förutsätter tillgång till trafikdata. Trafikbearbetning benämns ibland även som trafikanalys.

Förarbetena förklarar inte hur FRA genom trafikbearbetning kan identifiera ”varför” viss kommunikation äger rum. Följande resonemang kan erbjuda en tänkbar förklaring. Om FRA först identifierar vem som kommunicerar med vem och med vilken frekvens (intensitet) denna kommunikation äger rum kan myndigheten även dra andra slutsatser. FRA kan avgöra om dessa personer tillhör en fast grupp eller ett lösare nätverk, vem som är ledare för denna grupp samt om deras kommunikation kan kopplas till aktivitet som är känd genom andra informationskällor. I en amerikansk studie beskriver National Research Council hur brottsbekämpande myndigheter använder metoder (Data Mining) för att identifiera mönster som i regel är kopplad till terrorverksamhet. Liknande metoder för trafikanalys kan i militära sammanhang ge indikationer på att ytterligare förband förts in i ett område, eller att förband försvunnit därifrån. På sådant sätt kan myndigheter som FRA göra mer eller mindre säkra slutsatser om varför en viss kommunikation äger rum. Det finns en viss grad av osäkerhet i slutsatser som endast grundas på trafikbearbetning varför de ska hanteras med försiktighet. 

Samt sid. 102-103 i denna artikel.

Public authorities as well as private parties hold transactional records, for example 1) applications for passports, visas, work permits and drivers’ licenses; 2) credit and debit card transactions; 3) automated teller machine (ATM) withdrawals; 4) airline and rental car reservations; 5) in the context of this article: Internet access, records of phone calls and e-mail messages. The fact that all of the data in question are in digital form means that increasingly powerful tools - such as automated data mining - can be used to analyze it. ...  

In a report from the U.S. National Research Council the following definitions on two different data mining techniques are provided. Subject-based data mining uses an initiating individual or other datum that is considered, based on other information, to be of high interest, and the goal is to determine what other persons or financial transactions or movements, etc., are related to that initiating datum. This data mining technique simply expands and automates what a police detective or intelligence analyst would carry out with sufficient time. Patternbased data mining looks for patterns (including anomalous data patterns) that might be associated with terrorist activity —these patterns might be regarded as small signals in a large ocean of noise. In its report, the National Research Council Such presents the conclusion that automated terrorist identification is not technically feasible because the notion of an anomalous pattern - in the absence of some well-defined ideas of what might constitute a threatening pattern - is likely to be associated with many more benign activities than terrorist activities. It is argued that the utility of pattern-based data mining is found primarily if not exclusively in its role in helping humans to prioritize attention and deploy scarce investigative resources.

Källhänvisningar finns i de länkade artiklarna.

A Comparative Analysis of Electronic Surveillance Laws in Europe and the USA

My article co-written with Elisabet Fura on electronic surveillance laws in Europe and the USA has been published as a contribution to the book Josep Casadevall, Egbert Myjer, Michael O’Boyle (editors), “Freedom of Expression – Essays in honour of Nicolas Bratza – President of the European Court of Human Rights”, Wolf Legal Publishers, Oisterwijk, 2012. You can read the article here.

Bamford: NSA signalspanar mot inhemsk kommunikation

Enligt James Bamford så har NSA nu börjat ska ägna sig åt signalspaning mot inhemsk kommunikation som en del av programmet "Stellar Wind". Han lutar sig mot källor inifrån NSA. En pikant detalj är att NSAs nya anläggning i Bluffdale, Utah är så stor att att den berörda kommunen fick ändra och utvidga sina kommungränser så att anläggningen skulle få plats.

Varför är detta intressant? NSA har liksom sin svenska motsvarighet FRA riktat sin spaning mot kommunikation utanför eller som korsar landets gränser och ej mot inhemsk kabelkommunikation. Med hänsyn till den omfattning av kommunikation som berörs av signalspaning så är NSAs utvidgade spaning, om Bamfords uppgifter stämmer, ett radikalt steg.

Jag håller på att skriva en artikel om den amerikanska lagstiftningen och jag undrar enligt vilket regelverk som NSA har rätt att spana mot inhemsk kommunikation. NSAs spaning mot internationell kommunikation regleras enligt Foreign Intelligence Surveillance Act och jag känner inte till någon lag som tillåter motsvarande spaning mot inhemsk kommunikation.

Läs mer i denna utskrift från Democracy Now och artikel i Wired. Kolla in inslag från Democracy Now med början 11.40. 

Rondellhunden, JihadJane och signalspaning

I Expressen kan man läsa att specialpolis i Irland gripit sju personer misstänkta för att vara inblandade i en mordkomplott mot den svenske konstnären Lars Vilks. Mest välkänd bland konspiratörerna är Colleen "JihadJane" R. LaRose. Detta är förstanyheten i flera medier. Det är naturligtvis bra att mordkomplotten mot Lars Vilks upptäckts och förhindrats. Som Peter Englund skriver.

Att tysta Lars Vilks handlar i förlängningen om att tysta oss alla. Om hans konst kan vi alltid diskutera. Om hans rätt att utöva den – aldrig.

Mindre uppmärksammat är hur polisen fått nys om denna misstänkta brottslighet. I Sydsvenskan står det att gripandena skedde "efter ett tips från den amerikanska rikspolisen FBI, som ska ha bedrivit signalspaning mot gruppens e-post och andra kommunikationer."

Detta är intressant ur åtminstone två aspekter.

För det första brukar det vara hemligt mot vilka mål signalspaning sker. Uppgifterna i Sydsvenskan verkar vara fortsättning på en trend av ökad offentlighet vilket jag noterat tidigare beträffande användning av signalspaningsmaterial i en brittisk domstol. Kommer den information som inhämtats genom signalspaning att dyka upp i den kommande rättegången mot "JihadJane" och hennes bundsförvanter? Materialet verkar dyka upp i det åtal som väckts i USA. Många tycker nog det är rimligt, men det väcker frågor om den svenska regeringens och FRAs ståndpunkt att signalspaning inte har något att göra med brottsutredningar att göra. När slutar underrättelsearbetet och övergår till brottsutredning? Ska signalspaning avbrytas så fort det finns skäl att inleda förundersöning? Vad händer om polis och åklagare dröjer med att inleda förundersökning? Får information som inhämtats genom signalspaning användas i förundersökning och rättegång?

Avslutningsvis, vad innebär det att FBI bedrivit signalspaning mot "gruppens e-post och andra kommunikationer"? Jag antar att detta innebär att NSA varit inblandat. Varför kunde detta inte ske med vanlig avlyssning eller övervakning? Enligt New Tork Times förklarade Colleen R. LaRose på youtube och intersajter under sitt alias "JihadJane" att hon ville hjälpa muslimer. Därefter började "JihadJane" kommunicera med sina bundsförvanter i Sydostasien och Europa. "JihadJane" hade även en MySpace-profil där hon tillkännagav sina sympatier. Hon skrev bl.a.: "I support all the Mujahideen I hate zionist & all that support them”. Räckte det inte för myndigheterna att få tillgång till just den kommunikation som hör till LaRose och hennes bundsförvanter utan att använda signalspaning?

Nyheten att "JihadJane" gripits med hjälp av signalspaning kanske får upp stödet för signalspaning i vissa kretsar, men behovet av att klarlägga varför det behövs utöver vanlig avlyssning och övervakning kvarstår.

Till en annan sak. Min kollega Per Larsson har startat en blogg om whistleblowing, yttrandefrihet och korruption. Idag skriver han om Lars Vilks och rätten att få häda.

Recension av The Shadow Factory

I SvD finns en recension av James Bamford's "The Shadow Factory: The Ultra-Secret NSA from 9/11 to the Eavesdropping on America" (2008), en mycket läsvärd bok. I SvDs nätupplaga anges inte vem som är recensenten.

Det intressanta i boken är att FRAs amerikanska motsvarighet NSA bedrev signalspaning redan 1996 riktat mot Bin-Ladens högkvarter i Jemen och därmed några av 11 septemberterroristerna. NSA fick 1999 information om att dessa (namgivna personer) skulle lämna Jemen för Kuala Lumpur. Informationen lämnades inte över till FBI eller CIA. Terroristerna spårades inte efter Kuala Lumpur. Trots att männen använde samma namn som NSA kände till stoppades eller övervakades inte männen när de anlände till USA. Männens pass kopierades i tullen och överfördes till CIA som inte reagerade.

Påminner om den nigerianska man som varit i Jemen och i december 2009 försökte spränga ett flygplan. Han fanns också med på listor över misstänkta terrorister.

Jag hade ett större utbyte av Bamford's tidigare bok "Body of Secrets: Anatomy of the Ultra-Secret National Security Agency" (2002) eftersom jag läste den i samband med FRA-debatten hösten 2008. Med undantag för avsnittet om 11 september var "The Shadow Factory" en upprepning för mig.

Jag skrev en recension om "The Shadow Factory" för ett halvår sedan men skickade inte in recensionen eftersom jag var så trött på frågan. Det är möjligt jag lägger upp min recension ikväll. Redan nu anser jag att SvDs recension brister i några hänseenden. För det första, recensenten tar inte upp vad Bamford skriver om övervakning riktad mot amerikanska medborgare som saknar koppling till brottslighet eller terrorism. För det andra, recensenten skriver följande.

I USA har en rad olika företag vuxit upp kring NSA för att kunna erbjuda alltmer exklusiva och avancerade tekniska lösningar för hantering av de enorma mängder inspanat material som flyter in i NSA:s datorer.

Denna redogörelse är synnerligen tankeväckande men tenderar att bli alltför teknisk och ter sig dessutom ganska främmande för en svensk läsare eftersom någon motsvarande privatisering av annars statliga underrättelsefunktioner inte finns här.

Jag har undrat vem som konstruerat FRAs signalspaningsssystem. Eftersom NSA har tagit hjälp av privata företag som Northrop Gruman, Booz Allen Hamilton, Boeing och Computer Sciences Corporation har jag svårt att tro att FRA skulle klara samma sak på egen hand. Jag har därför begärt handlingar från FRA som visar vilka privata företag som levererar varor och tjänster till FRA som rör "data-, nätverk och telekomsystem samt tillhörande programvara" avseende FRAs kommunikationssignalspaning för åren 2005-2009. Jag fick följande svar den 28 september 2009.

De berörda uppgifterna omfattas av sekretess enligt 15 kap. 2 § offentlighets och sekretesslagen (2009:400). Uppgifterna ger vägledning om den utrustning och de tjänster som myndigheten köper för kommunikationssignalspaning och avslöjar därigenom myndighetens metoder och förmåga i detta avseende. Det kan antas att det skadar landets försvar eller på annat sätt vållar fara för rikets säkerhet om uppgifterna röjs. Er begäran lämnas därför utan bifall.

Det visar att frågan om privata företags relation till FRA är oklar och att SvDs recensent saknar täckning när denne avfärdar tanken om att FRA i vissa delar kan vara beroende av privata företag. Det är anmärkningsvärt att vi vet mer om NSA i detta hänseende än vad vi vet om FRA.

Avslutningsvis, se följande intervju med Bamford nedan om "The Shadow Factory".

Vid 22.10 lärde jag mig något nytt. Jag trodde FBI var en organisation utan väggar mellan olika avdelningar. FBI är tydligen uppdelat i två delar, en del som sysslar med brottsutredningar och en del som sysslar med underrättelseverksamhet. FBIs brottsutredningsverksamhet försvårar informationsutbyte mellan NSA och FBI, då NSA inte vill att deras informationen ska förekomma i brottsutredningar. Det är samma problematik som uppkommer i informationsutbytet mellan FRA och SÄPO/polisen. Jag har uppfattat att även SÄPO/polisen har olika avdelningar som sysslar med brottsutredningar respektive underrättelseverksamhet. Skillnaden är att Sverige inte riktigt har en motsvarighet till CIA.

På gång i den akademiska verkstaden

Det är lite tyst på min blogg men det beror på att jag hållit halvtidseminarium beträffande min avhandling inom folkrätt "Evidence in International Criminal Procedure". Jag fick konstruktiv kritik och är mycket nöjd. För att belöna mig själv för att ha nått halvvägs har jag avsatt september till att skriva på två artiklar till utländska juridiska tidsskrifter.

I den första artikeln tester jag några idéer i min avhandling. Den andra artikeln är en expanderad version av min artikel i Svensk Juristidning "FRA:s signalspaning ur ett rättsligt
perspektiv", men på engelska. Jag försöker att jämföra med hur det är i andra länder och hittar en stor mängd artiklar publicerade i USA. Flera av dem är endast tillgängliga genom prenumeration som jag har på universitetet, t.ex. artiklar av Orin Kerr och Daniel J. Solove. Andra är allmänt tillgängliga, t.ex. "The NSA Phone Call Database: The Problematic Acquisition and Mining of Call Records in the United States, Canada, the United Kingdom, and Australia" publicerad i Duke Journal of Comparative & International Law, Vol 17:441 2007, av Andrew P. MacArthur. Den tar upp ungefär samma frågeställningar som återfinns i min artikel i Svensk Juristtidning och min kommande artikel på engelska. MacArthur har inte tagit upp fallet Weber och Saravia mot Tyskland från Europadomstolen för mänskliga rättigheter, men det kan ju bero på att Europadomstolen inte uttryckligen diskuterade data mining (men det framgår tydligt att den tyska underrättelseorganisationen BND sysslar med det). MacArthur verkar driva tesen att Europakonventionen om mänskliga rättigheter förbjuder data mining beträffande traffikdata oavsett hur den nationella regleringen ser ut. Det bryter per definition mot konventionen eftersom det inte är "nödvändigt i ett demokratiskt samhälle" (sid. 471-474). Jag är inte lika tvärsäker eftersom Europadomstolen brukar ge staterna ett manöverutrymme i bedömningen vad som är "nödvändigt i ett demokratiskt samhälle".

Syftet med min artikel är framförallt att möta det intresse som finns utomlands för den svenska lagstiftningen. Jag har redan talat om den svenska lagstiftningen i Bryssel, Köpenhamn och i november blir det Oslo. Min förhoppning är att artikeln jag skriver på kan möta det intresset. I juni 2010 ska jag till USA och min förhoppning är att artikeln då är publicerad så att jag kan diskutera den med kollegor inom den amerikanska akademin.

E-post inhämtat av NSA använt i rättegång

I måndags (7 september 2009) dömdes tre män i Storbritannien för att de planerat att bomba flygplan på transatlantiska flygningar. De hade tänkt använda flytande sprängämnen men blev gripna 2006. Det var pågrund av detta avslöjande som man numera inte får flyga hur som helst med flytande ämnen i läskflaskor och dylikt. I den första rättegången, avslutad den 8 november 2008, fann juryn att de åtalade var skyldiga till anstiftan av mord men juryn kunde inte avgöra om åtalet beträffande planerade attacker mot flygplan var styrkt. Därför tillsattes en andra juryn för att pröva den senare frågan.

Via Bruce Schneiers blogg hittar jag en artikel från tisdagens Wired där det framgår att NSA 2006 snappade upp e-post som avslöjade planerna som de gav till britterna men NSA vägrade att meddelandena skulle användas i den första rättegången. Nu berättar Wired att NSA ändrade inställning, åklagarna använde meddelanden som bevis i den andra rättegången och BBC har publicerat meddelandena av vilket det framgår att männen använt kodspråk. Meddelandena tillsammans med övrig bevisning bidrog till att nå en fällande dom den 7 september.

Detta är intressant av flera anledningar. Organisationer som NSA och FRA är normalt mycket ovilliga att den information de inhämtar blir offentlig. Nu används det som bevisning och publiceras i media. Är detta ett trendbrott?

Samtidigt kan vi notera att Anders Eriksson i sitt förslag "Signalspaning för polisiära medel" inte bara vill att signalspaning ska kunna användas för att avslöja och förhindra brott. Han föreslår även att det ska kunna användas för att utreda brott och väcker frågan om att information inhämtat genom signalspaning under vissa omständigheter ska kunna användas som bevisning i rättegångar. Förra sommaren var regeringen mycket tydlig med att information inhämtad genom signalspaning inte skulle användas i brottsutredningar. Läs om Erikssons förslag på sidorna 113, 163 och 167.

Till detta bör läggas att resultatet av signalspaningen har presenterats i form av underrättelserapporter som inte har kunnat användas som bevisning i domstol.
/.../
Förslag: Möjligheten för Säkerhetspolisen och den öppna polisen att använda underrättelsematerial som bevisning i rättegång bör ses över.
/.../
Det finns inte någon möjlighet för mig att inom ramen för detta utredningsuppdrag presentera en lösning på problematiken och därtill är frågan av betydelse även för annan typ av inhämtning än signalspaning. Det är emellertid min uppfattning att en översyn bör genomföras.
/.../
Mitt förslag att under vissa förutsättningar kunna använda signalspaning inom ramen för förundersökningar har mötts med tvekan av bl.a. Försvarets radioanstalt.

Undra om det brittiska rättsfallet kan bli ett slagträ i denna debatt? Som en fotnot kan konstateras att när planerna avslöjades 2006 var det flera som pekade på det orealistiska i terroristernas plan som gick ut på att blanda vätskor till sprängmedel på flygplanens toaletter. BBC har senare låtit en bombexpert testa saken.

Uppdatering. Läs Glenn Greenwalds artikel. Där framgår det att meddelandena i ovan nämnda rättsfall inhämtats efter att NSA fått domstolstillstånd, en s.k. "FISA Warrant". Det har alltså inte skett inom det hemliga snabbspår utan domstillstånd som Bushadminstrationen skapade och fått kritik för. En "FISA Warrant" kan vara väldigt svepande och tillåtande så det är svårt att förstå varför Bush valde att gå utanför det ordinarie regelverket.

Lederman and Kerr on the 4th amendment

Martin Lederman of Georgetown Law and Orin Kerr of George Washington University Law discusses amendments on the FISA law in this video.

Orin Kerr is a leading scholar on Fourth Amendment jurisprudence in electronic communications and surveillance. Orin Kerr has argued that the NSA surveillance program acting without court warrants probably was constituational but in violation with FISA. In a European context it is difficult to understand how a law on surveillance can be in violation with a law, but still constitutional. Article 8 of the European Convention on Human Rights requires, inter alia, that restrictions in privacy have to be in accordance with law. The 4th amendment has a different standard, in Katz v. United States, 389 U.S. 347 (1967), the Supreme Court ruled that the amendment covered a person's "reasonable expectation of privacy".

Martin Lederman argues that the american legislation is obscure, and makes the joke that only 40-50 persons in the U.S. understands the legislation and at least 99 % of them work for the executive branch of Government. Reminds me of the situation in Sweden. Martin Lederman makes the assumption at 44.50 that the NSA computers records and retains the content of all conversations, which in my view, is a wrong assumption of how signal intelligence actually works.

Since the discussion was recorded, Martin Lederman left Georgetown Law and is working in the Obama administration.

NSAs signalspaning mot 11/9-terroristerna

Jag har under sommaren läst James Bamfords senaste bok "The Shadow Factory: The Ultra-Secret NSA from 9/11 to the Eavesdropping on America", publicerad 2008. Han berättar bl.a. hur NSA genom signalspaning avlyssnade och övervakade Bin-Ladens operativa högkvarter i Sanaa, Yemen.

NSA fick redan 1999 information om att två av de personer som skulle delta i attentanten två år senare var på väg till USA. Informationen överfördes inte till FBIs högkvarter trots att FBI hade två sambandspersoner hos NSA/CIA. I USA lyckades NSA även snappa upp kommunikation när en av attentatsmännen kontaktade högkvarteret i Sanaa, eftersom han hade sin fru där. NSA vidareförmedlade inte informationen till CIA eller FBI, som till skillnade från NSA har resurser och befogenhet att gripa personer i USA. Attentatsmännen flyttade och bosatte sig under sommaren 2001 i Laurel, samma småstad där NSA har sitt högkvarter. De amerikanska myndigheterna tappade bort dem eftersom nästa attack skulle ske i Sydostasien, inte USA. Allt är dokumenterat med referenser till officiella rapporter och intervjuer med myndighetsföreträdare, bl.a. FBIs sambandspersoner hos NSA/CIA. Lyssna på Bamford om du inte orkar läsa boken.

Efter den 11 september stod CIA och FBI i fokus för den officiella granskningen varför terroristerna inte hade upptäckts och angreppen förhindrats. NSAs roll fick inte mycket uppmärksamhet. James Bamford har lyft fram det senare vilket gör att man bättre kan förstå möjligheterna och begränsningarna med signalspaning.

Se även del 2 nedan där Bamford berättar hur NSA efter den 11/9 gav efter för trycket från Bushregimen och började avlyssna, övervaka kommunikation till, från och i USA. Det gjordes utan domstolstillstånd trots att den amerikanska motsvarigheten till FRA-lagen kräver det och trots att det fanns ett kontrollorgan, motsvarande Försvarets Underrättelsenämnd.

Newsweek skrev 2008 en artikel som berättar hur justitieministern Ashcroft, hans ställföreträdare Comey och FBI-chefen Mueller blev överkörda av Bush beträffande NSAs avlyssning och övervakning. Ashroft, Comey hotade med att avgå och FBI-chefen Mueller hade t.o.m. skrivit sin avskedsansökan vilket även framgår av en officiell rapport publicerad den 10 juli 2009. Det är en ganska morbid historia eftersom allt utspelade sig på ett sjukhus där Ashcroft var inlagd för intensivvård, halvt nedsövd, men det är en välbekant historia i USA. Även Bamford skriver om den i sin bok. De nya uppgifterna i Newsweeks artikel är orsaken till varför Ashcroft, Comey och Mueller var negativa till NSAs övervakningsprogram. Det handlade om NSAs databas där vanliga privatpersoners kommunikation registrerades och uppgifterna lagrades vilket påminner om FRAs trafikdatabas.

Nu är inte Bamford mot NSA eller signalspaning. Han bara tycker att NSA ska följa amerikansk lagstiftning och att hemlighetsmakeriet är för omfattande. Programmet är gjort av Democracy Now, ett utmärkt TV-program som ibland sänds på Öppna Kanalen.

Amerikansk rapport släppt om Bushadministrationens övervakningsprogram

Det är många som har begärt att man ska utreda FRAs verksamhet historiskt, men regeringen anser att det är omöjligt. I USA klarar man av det.

Den 10 juli 2009 presenterades Report on the President’s Surveillance Program. Genom rapporten och medias rapportering får man reda på mer om avlyssning utan domstolsbeslut och NSA Call Database där uppgifter om miljontals amerikaners telefonsamtal registrerats och lagrats, inte helt olikt FRAs databas Titan.

Ett av de mer pikanta inslagen rör godkännandet av programmet.

Bushadministrationens hantering av programmet ledde till att USAs justitieminister John Ashcroft, biträdande justitieminister James B. Comey och FBI-chefen Robert Mueller hotade med att avgå. Kontroversen hamnade på sin spets när Bushs dåvarande personliga juridiska rådgivare Alberto Gonzales den 10 mars 2004 försökte övertyga justitieminister John Ashcroft om att godkänna en fortsättning av programmet, trots att Ashcroft vid tidpunkten var inlagd på sjukhus för intensivvård och inte var insatt i frågan. James B. Comey var tjänstgörande justitieminister men ville inte godkänna programmet eftersom man efter analys på det amerikanska jusitiedepartementet kommit fram till att programmet hade allvarliga rättsliga brister. Programmets fortsättning godkändes den 11 mars 2004 av Bush och Gonzalez utan Ashcroft eller Comey.

Jämför gärna med Fokus rapportering Spelet om FRA.

En dag i januari 2007 sätter sig en av finansminister Anders Borgs tjänstemän ner och skriver en promemoria. Tjänstemannen arbetar på budgetavdelningen, men det här ärendet handlar inte om pengar.

Det handlar om att slå larm. Något har gått alldeles snett i regeringskansliet.

Försvarsdepartementet har inte bara ignorerat justitiedepartementets kritik mot en ny lag utan också struntat i alla rutiner, skriver tjänstemannen. Bakom ryggen på alla har försvarsministern fått de fyra partiledarna att säga ja till lagen. Dessutom har underlaget som partiledarna fått varit uselt. Deras beslut är fattat på felaktiga grunder.
/.../
I första veckan av december skrev (Odenbergs] tjänstemän ett utkast till en lagrådsremiss. De mejlade över dokumentet till justitiedepartementet.

– Nu försökte de kuppa igenom det i tysthet, det var det som var så jävla fult, säger en tjänsteman på justitiedepartementet.

Beatrice Ask behövde ingen övertalning. Hennes tjänstemän visste ju att hon var skeptisk till den föreslagna lagen.
/.../
Fredrik Reinfeldt ville visa upp alliansens regeringsduglighet. Den dåliga stämningen märktes ännu inte utåt. Men HG Wessberg och Magnus G Graner, statssekreterare på justitiedepartementet, rök ihop på ett statssekreterarmöte så till den milda grad att Ulrica Schenström läxade upp dem.

Newsweek förklarar varför kritikerna på det amerikanska justitiedepartementet inte var upprörda över avlyssningen utan över något annat, närmare bestämt den massiva lagringen av telefon- och datakontakter. James B. Comey stannade till augusti 2005 eftersom Bush ändrat programmet på sådant sätt att den massiva lagringen av tele- och datakontakter skulle upphöra, vilket råkar vara samma del av FRAs verksamhet som jag är mest kritisk till. John Ashcroft meddelade sin avgång den 9 november 2004 efter presidentvalet och ersattes av Gonzales.

Amerikanerna verkar kunna handska med sin nutidshistoria som i många delar är mer känslig än den svenska, ska inte vi klara av det?

Vi måste kunna stoppa upp för att reflektera, annars kan det sluta som i Storbritannien. Karl Sigfrid tipsar om ett reportage av BBC där vi får veta att en av 78 britter är föremål för riktad övervakning. Den brittiska lagen RIPA som är en expanderad version av FRA-lagen tillåter diverse myndigheter, även arbetsförmedlingar, kommunala förvaltningar att övervaka och avlyssna medborgare.

Läs gärna vad Johan Westerholm skriver om den amerikanska rapporten.