Bodström och Bahnhof: Tvinga fram det förbjudna

Hallå igen. Jag tänkte reda ut några punkter i det här med att Bahnhof lanserar en Integritetsmärkning för internetoperatörer och webbhotell. Ursäkta att jag varit offline alldeles för länge, förresten. Har avslutat en tung fas i ett jobb - som jag hoppas kommer att märkas senare! - men dessutom haft personliga tristheter.

Häromdagen presenterade Bahnhof en intressant idé: En integritetsmärkning av operatörstjänster som garanterar yttrandefrihet och integritet så långt lagligt möjligt.

Idén är fin och stämmer med den ursprungliga anda som rådde på nätet, där man såg internet som en ny arena där alla faktiskt skulle kunna framföra sitt budskap utan att behöva investera i egna tryckpressar eller bli hindrade av en redaktör med rödpenna och (kanske) den politiska korrektheten som ledstjärna. Och för att garantera denna nya frihet är integritet viktig. Vad spelar det för roll om en kinesisk journalist kan presentera åsikter och fakta som inte stämmer överens med makthavarnas om Yahoo direkt lämnar över hans mailkonversation till regimen? (Läs gärna mer om denna frihets framtid i denna utmärkta understreckare i SvD av Nicklas Lundblad).

Punkt 3 i Bahnhofs Integritetsmärkning är en smula problematisk så som den är formulerad:

"3. Aldrig vidta andra åtgärder för övervakning eller informationslagring än vad som krävs av svensk lag."

Det är ju så i Sverige att operatörer enligt Lag (2003:389) om elektronisk kommunikation är förbjudna att lagra innehåll i kommunikation mellan kunderna men även information om denna kommunikation. Man får i princip inte lagra information om vem som ringer vem eller innehållet i ett e-mail, såvida man inte har skrivit in detta i villkoren. Men det finns ett undantag i lagen: Om operatören behöver lagra vissa av de där uppgifterna för sin fakturering, ja då får de lagra. Telefonioperatörerna lagrar alltså information om vem som ringer vart och hur länge samtalet pågick. Dock måste de förstöra eller avidentifiera uppgifterna så fort de kan (t.ex. när de inte längre behövs för att exempelvis kunna lösa kundtvister).

Så egentligen säger punkt 3 att man inte skall lagra någonting, eftersom lagen idag inte kräver någonting. Fast jag tror ju att integritetsmärkta operatörer lagrar mer än det som krävs för fakturering ändå. De lagrar kanske det de får lagra och de anser absolut nödvändigt?

Man får enligt lagen lagra uppgifter för att "förhindra och avslöja obehörig använding av ett elektroniskt kommunikationsnät elller en elektronisk kommunikationstjänst" (6 kap. 8 §. 3 pkt.). Och det är väl egentligen här lagring av IP-adresser som tilldelats abonnenterna kommer in. Egentligen behövs ju inte dessa för att fakturera. Men operatören kan vilja ha dem för att kontrollera abuse, både på det egna nätet och på andras nät. Om en annan operatör skulle höra av sig och säga att en mästerspammare sitter på ett visst IP-nummer kan man vilja veta vem det är. Denna förståeliga lagring öppnar samtidigt för myndigheter att få ut uppgifter, t.ex. i fildelningsmål.

Det intressanta vore ju verkligen om en operatör inte lagrade vilka IP-nummer de tilldelar abonnenterna vid olika tidpunkter. Men jag inser problemet: Man skulle kunna dra till sig en massa kunder som bara har som syfte att begå dumheter på andra nät. Vilket skulle kunna äventyra det egna nätets existens till slut. Kan man inte få bukt med abuse kan ju hela operatören bli svartlistad av andra operatörer och interkonnektiviteten mellan näten brytas. Det är varken önskvärt för kunderna eller lönsamt.

Det optimala (om man skiter i lagen) vore såvitt jag kan se att gentemot kunder och myndigheter hävda att man inte lagrar någonting alls. Men göra det i alla fall, kanske i krypterad form. Och endast använda dessa data om det verkligen behövs för abuse. Andra förslag?

I övrigt låter väl punkterna OK.

Svaret på en fråga i Bahnhofs FAQ om Integrity-initiativet är en smula långtgående dock. Från sajten:

Fråga: Vad innebär bodströmdirektivet?
Svar: I mycket korta ordalag innebär det att alla operatörer tvingas långtidslagra all e-post som passerar genom företagets mejlservrar. Dessutom ska kundernas "surfvanor" sparas, det vill säga vilka sidor som besökts. Exakt vilka uppgifter som ska sparas är inte klart ännu, inte hur länge de ska sparas heller. Men det rör sig åtminstone om tio år. Ett av kraven är att "lagvårdande myndigheter" ska kunna söka bland uppgifterna och att de därför måste lagras på ett sätt som medger enkel avläsning. En annan punkt i lagförslaget är att polisen själva ska ta över tillsynsrollen över landets operatörer, en uppgift som Post & Telestyrelsen tidigare haft. Polisen kommer alltså själva att kunna se till så att operatörerna är så behjälpliga som möjligt mot dem. Så fungerar det på en del andra håll i världen också - i Kina och på Kuba till exempel. Det kan tilläggas att Datainspektionen har uttalat mycket kraftig kritik mot lagförslaget i sin helhet.

Jodå, det är ett passionerat försvar för ett fritt nät. Men sanningen är att det inte finns några krav på att lagra innehållet i e-post. Tvärtom skulle detta vara fortsatt förbjudet. Däremot finns krav i det EU-direktiv som blev resultatet av Bodström initiativ och kamp i EU att information om e-posten skall lagras: Vem som mailade vem vid vilken tidpunkt. Fysiska namn och adresser. Och varifrån de kopplade upp sig rent fysiskt för att maila. Operatörer gör inte detta idag. Det finns ingen anledning. Detta är genuint nytt påfund i Bodströmsamhället. Det är illa nog.

Och det där med "åtminstone .. tio år" är en överdrift. EU-direktivet kräver lagring av minst 6-24 månader. Enskilda länder kan få lagra längre men det kräver motivering till EU, som man kan misstänka mest blir en formalitet. Det talas om Polens 15-åriga lagring.

Regeringen och Bodström har nyss givit i uppdrag till byråkraten Viveka Andebratt (Oops! jag menade Gudrun Antemar), generaldirektör för Ekobrottsmyndigheten, att utreda exakt hur EU-direktivet skall implementeras i svensk lag. I hennes uppdrag ingår att föreslå lagringstid men hon skall utgå från att den minst skall vara 1 år, alltså längre än EU.s minimikrav. Detta är inte förvånande. Bodströms ursprungliga krav i EU var mycket mer långtgående: 12-48 månader samt att trafikdata om allt man gör på nätet skulle lagras. Inklusive all fildelningstrafik.

Jag har mailats med Bahnhofs VD (och min förre affärspartner alltså) Jon Karlung. Han säger att man skall tolka den där FAQ:en som att detta är "andemeningen i Bodströms samlade förslag, inklusive SOU 2005:38", inte bara EU-direktivet. Tja, jo, detta vore Bodströms våta dröm, det är helt klart. Och SOU 2005:38 ("Tillgång till elektronisk kommunikation i brottsutredningar") är en infernalisk utredning, gjord av förre Säpochefen Anders Eriksson. Jag har nämnt den förut men återkommer i detalj senare. Notera förresten det radikala i Bodströms datalagringsdirektiv: Från att ha förbjudit lagring av trafikdata gör Bodström det nu obligatoriskt.

P.S. Jag skrev förresten en krönika i Computer Sweden idag om hur världen revolutioneras av "social produktion" på nätet. Läsvärd som vanligt ;-)

Och läs Piratpartiets Rick Falkvinges måndagsmail från förra veckan där han bl a tar upp värdet av integritet.

Det där med Viveka Andebratt förresten, ni som inte lyssnat på P3 Roll On fattar ingenting.

Tack ni som hört av er! Ja, det är folk som frågar om man är OK, om något hänt, eftersom jag inte skrivit på så länge. Det värmer.

Comments

[Hugi]

Välkommen tillbaka Oscar! Jag har saknat en oklickad länk i min texplorer-rss feed de senaste veckorna :).

[Daniel Gustafsson]

Har saknat dig också! Hoppas att allt är ok? :)

Än en gång en mycket välskriven artikel.

[TiXiR]

På tal om tiden informationen skulle lagras, och med Polen som ska lagra i 15 år:
Jag läste någonstans att det självklar skulle förekomma fritt utbyte av denna information innom EU (Det med utdelning till tredje part (USA) har det skrällts en hel del för inte så länge sedan).
Så om all information från alla länder i EU delar med sig av informationen, så innebär det att informationen troligtvis kommer sparas minst lika länge som det land med längst sparingstid.

När ett år (eller vad det blir) har gått så är det bara att skicka till Polen, så har man det i 14 år till. Väl genomtänkt av initiativtagarna med andra ord..

Med andra ord så ligger Bahnhof i underkant, och det att Sverige "BARA" ska ha 1 år är bara licensatt bullshit i "Vi får det att se ut som att det dumma folket får säga något om saken med, så att det inte ser ut att vara så fruktansvärt och vidrigt som det igentligen är" - anda.

Tack för bra bloggande!