Hemlig dataavlyssning

Hemlig dataavlyssning (eller hemlig dataavläsning eller hemlig nätavläsning) (HDA) är benämningen på ett tvångsmedel där myndigheter genom dataintrång tillåts utplacera spionprogram som trojaner för att avlyssna krypterad trafik från mobiltelefoner och datorer, samt lagrade uppgifter i form av filer till exempel bilder, filmer eller text.

I Sverige

Frågan utreddes redan år 2006 och den utredningen utsattes för hård kritik bland annat av Advokatsamfundets generalsekreterare Anne Ramberg. Flera remissinstanser var kritiska. Mest kritisk var Datainspektionen som ifrågasatte om förslaget ens var lagligt och pekade på att rätten till ett skyddat privatliv är reglerad i såväl Sveriges grundlag som Europakonventionen.

Den 12 maj 2016 tillsatte Regeringen Löfven I en utredning om hemlig dataavlyssning för att undersöka om det behövs, om det är effektivt och hur den personliga integriteten ska skyddas. Ett delbetänkande presenterades av Petra Lundh den 16 november 2017.

I oktober 2019 skickade regeringen remissen till Lagrådet. Tvångsmedlet beräknas användas 50-100 gånger per år. Enligt det förslaget ska Polismyndigheten, Säkerhetspolisen, Tullverket och Ekobrottsmyndigheten få använda sig av hemlig dataavlyssning. Enligt polisen var det ett "Efterlängtat och välkommet verktyg". I förslaget fick metoden inte riktas mot vissa yrkesgrupper som läkare, journalister och advokater.

Den tillfälliga Lagen om hemlig dataavläsning trädde ikraft i april 2020.

Kritik

Försämrad säkerhet för privatpersoner och allmänheten

Delar av den kritik som framförts mot metoden har handlat om att myndigheter blir "statliga hackare" som själva utnyttjar säkerhetshål i mjukvara istället för att rapportera säkerhetsproblemet till tillverkaren av mjukvaran och därmed fördröjer att problemet åtgärdas. Så länge problemet i mjukvaran kvarstår kan det utnyttjas av olagliga hackare mot alla användare som inte är misstänkta för brott men har samma bristfälliga mjukvara och där till exempel webbkameran kan smygfotografera rummet och datorns mikrofon kan spela in det som sägs. Genom att slå på en mikrofon eller kamera på en enhet som tillhör en misstänkt person kan man även avlyssna och bevaka andra människor som sitter i samma rum men som inte är misstänkta för brott.

Försämrad säkerhet för det offentliga

Karta över de mest påverkade områdena av DDoS-attacken den 21 oktober 2016.

Säkerhetsproblem som inte rapporteras och åtgärdas och som leder till att allmänhetens datorer (eller andra uppkopplade saker) blir del i ett botnet kan drabba myndigheter och viktiga samhällsfunktioner genom till exempel DDoS-attacker liknande den som inträffade i oktober 2016 då sveriges regerings webbplats, Myndigheten för samhällsskydd och beredskaps webbplats samt krisinformation.se inte gick att nå. Även företag och organisationer kan drabbas av botnetattacker vilket kan få konsekvenser både för samhället och den drabbade organisationen.

Säkerhetsproblem som inte rapporteras och åtgärdas kan även direkt drabba myndigheter, kommuner, landsting och andra samhällsviktiga funktioner som använder mjukvara med samma säkerhetshål och sedan april 2016 är statliga myndigheter genom den obligatoriska IT-incidentrapporteringen skyldiga att rapportera IT-säkerhetsbrister till Myndigheten för samhällsskydd och beredskap. Våren 2015 lyfte en statlig utredning just obligatorisk it-incidentrapportering som en av de viktigaste åtgärderna att genomföra, något som även Riksrevisionen hade påtalat.

Enligt delbetänkandet som presenterades i november 2017 skulle de brottsbekämpande myndigheterna inte vara skyldiga att rapportera IT-säkerhetsbrister.

Övriga synpunkter

"Det här kan urholka demokratin, och det möjliggör ett missbruk som riskerar att det fria samtalet inte kan äga rum. Om man ser på utvecklingen i Europa, i händerna på en politisk majoritet som ser annorlunda ut än den i dag, då är yttrandefriheten och pressfriheten det första man ger sig på."

— Anne Ramberg, 2019

En annan fråga som väckts är om myndigheter ska få åtkomst till spionprogrammen genom att köpa dem på svarta marknaden från mindre nogräknade aktörer och därigenom finansiera deras verksamhet.

Det är också oklart hur relationen mellan myndigheterna och antivirusföretag förändras om antivirusföretagen rensar bort myndigheternas skadliga kod.

Flera har varnat för ändamålsglidning och det har gjorts jämförelser med datalagringsdirektivet, som vid införandet var avsett att endast användas i bekämpningen av terrorism och annan mycket grov kriminalitet men sedan började gälla för alla brott där fängelse ingår i straffskalan.

Värdet av den eventuella prövning som föreslås föregå tvångsmedlet har ifrågasatts och vissa har kritiserat domstolar för att slentrianmässigt bevilja åklagares begäran om hemliga tvångsmedel.

Förespråkare menar att det är nödvändigt med en teknikneutral lagstiftning, medan kritiker menar att rätten att bugga datorer vore en befogenhet som sträcker sig längre än något annat tvångsmedel.

Advokatsamfundet har varnat för att den personliga integriteten äventyras och därmed i förlängningen Sveriges demokrati.

Datainspektionen avstyrkte utredningsförslaget i ett remissyttrande med hänvisning till den enskildas personliga integritet.

Journalistförbundets ordförande Ulrika Hyllert menade att dataavläsning hotade källskyddet.

Enligt rapporter från Säkerhets- och integritetsskyddsnämnden är avslagen för tillstånd att avslyssna försvinnande få.

Uppmärksammade avslyssningar

Kanadensiska Citizen Lab rapporterade i april 2022 att Jordanska människorättsaktivister, advokater och journalister hade hackats med spionprogrammet Pegasus från NSO Group, vilket hade skett mellan augusti 2019 och december 2021.

Några dagar senare rapporterade Citizen Lab att Pegasus och Candiru hade riktats mot åtminstone 65 individer mellan 2015 och 2020. Bland dessa fanns Europaparlamentariker och stabsarbetare, Kataloniens regionpresidenter, lagstiftare, jurister och medlemmar i civila organisationer som akademiker och aktivister. I några fall hade även familjemedlemmar till dessa drabbats. Citizen Lab misstänkte att rapporten kraftigt underskattade antalet faktiskt drabbade. Europaparlamentet startade en undersökningskommite för att granska Pegasus och liknande program.^{[Uppdatering behövs]}  Europaparlamentariker fick erbjudande att testa sina telefoner.

I flera dokumenterade fall (2023) har Pegasus inte använts till att bekämpa gängbrottslighet, terrorism eller narkotikahandel utan istället för att kontrollera meningsmotståndare. NSO Group har stämts i Californien (där företagets servrar finns) av journalister från El Salvador.^{[Uppdatering behövs]} 

Se även

• Avlyssning (till exempel hemlig teleavlyssning)
• Cyberkrig
• Hemlig uppgift
• Obligatorisk IT-incidentrapportering
• Stuxnet
• WannaCry