Elektronisk bevismateriale i straffesager

HOVEDPUNKTER

EU-forordning (EU) 2023/1543 gælder for internetudbydere, der leverer en eller flere af følgende kategorier af tjenester i EU:

• elektronisk kommunikation
• Internet-domænenavne og IP-nummerering
• kommunikation, lagring og -behandlingstjenester

Forordningen gælder ikke for udbydere, der leverer:

• finansielle tjenesteydelser (dvs. rådgivning i forbindelse med bank, kredit, forsikring, genforsikring, arbejdsmarkeds- eller personlige pensioner, værdipapirer, investeringsfonde, betaling og investering)
• Tjenester udelukkende indenfor deres egen EU-medlemsstat.

Europæisk editionskendelse² og europæisk sikringskendelse³ må kun udstedes:

• Under straffesager og for at fuldbyrde frihedsstraffe eller forvaringskendelser på mindst 4 måneder
• for specifikke data, som internetudbydere opbevarer (se nøgleord).

Den myndighed, der udsteder en europæisk editionskendelse, skal underrette den person, hvis data anmodes om. Dette skal i reglen ske uden unødig forsinkelse; det kan dog udsættes, hvis det for eksempel ville bringe efterforskningen i fare. Personen kan anfægte lovligheden af kendelsen ved en domstol i den udstedende medlemsstat (ret til effektive retsmidler)

Attest for en europæisk editionskendelse og attest for en europæisk sikringskendelse

• En dommer, domstol, undersøgelsesdommer eller, for de mindst indgribende datakategorier, en offentlig anklager kan udstede en europæisk editions- eller sikringskendelse.
• kendelserne kan sendes direkte til internetudbyderen i en anden medlemsstat uden forudgående involvering af det pågældende lands myndigheder.

Europæiske editionskendelser:

• skal være nødvendige for og stå i rimeligt forhold til straffesagen
• skal respektere den mistænktes eller anklagedes rettigheder
• kan kun udstedes på samme betingelser som for en tilsvarende indenlandsk sag
• skal overholde andre betingelser, herunder eventuelle tildelte immuniteter eller privilegier og fastsættelse og begrænsning af strafferetligt ansvar i forbindelse med pressefrihed eller ytringsfrihed, afhængigt af om de anmoder om abonnent-, identifikations-, trafik- eller indholdsdata
• skal omfatte specifikke oplysninger, såsom den udstedende myndighed, adressat, anmodede data og tidsinterval, gældende bestemmelser i den udstedende medlemsstats strafferet og resumé af sagen
• er som udgangspunkt adresseret til den internetudbyder, der kontrollerer personoplysningerne (dataansvarlig).

Europæisk sikringskendelse:

• skal være nødvendige og forholdsmæssige for at forhindre fjernelse, sletning eller ændring af data, som efterfølgende kan anmodes om
• kan udstedes for alle strafbare handlinger, hvis de kunne have været udstedt på samme betingelser for en tilsvarende indenlandsk sag
• skal omfatte specifikke oplysninger, såsom den udstedende myndighed, adressat, anmodede data og tidsinterval, gældende bestemmelser i den udstedende medlemsstats strafferet

Kendelser adresseres direkte via en attest for en europæisk editionskendelse (EPOC) eller en attest for en europæisk sikringskendelse (EPOC-PR) til en internetudbyders udpegede forretningssted eller retlige repræsentant.

Efterkommelse af attester for europæisk editionskendelse

Adressaterne:

• skal handle hurtigt, ved modtagelse af en EPOC, for at bevare de anmodede data
• skal sende dataene inden for 10 dage
• skal sende dataene inden for 8 timer i nødstilfælde (selvom dataene ikke må bruges, hvis deres nationale myndighed i visse tilfælde gør indsigelse mod EPOC)
• skal informere både udstedende og håndhævende myndigheder, hvis de mener, at EPOC kan gribe ind i immuniteter eller privilegier eller regler om fastsættelse eller begrænsning af strafansvar i forbindelse med pressefrihed eller ytringsfrihed.

De skal uden unødig forsinkelse forklare den udstedende myndighed, hvis de ikke kan fremlægge dataene på grund af et af følgende emner.

• EPOC er ufuldstændig, indeholder åbenlyse fejl eller giver utilstrækkelig information. Myndigheden har 5 dage til at svare.
• Data er utilgængelige på grund af omstændigheder, der ikke kan tilskrives modtageren. Hvis myndigheden er enig, underretter denne adressaten.
• Der er en anden grund til deres manglende overholdelse, såsom ordren kan være i konflikt med loven i et ikke-EU-land, hvor dataene kan være opbevaret.

Efterkommelse af attester for europæisk sikringskendelse

Adressaterne:

• skal straks, ved modtagelse af en EPOC-PR, for at bevare de anmodede data
• opbevare dataene i 60 dage, kan forlænges med yderligere 30 dage af den udstedende myndighed, hvorefter opbevaringen ophører, medmindre den udstedende myndighed i mellemtiden har fremsat en efterfølgende anmodning, for eksempel via gensidig retshjælp, om data, der skal udleveres eller opbevares i yderligere 30 dage;
• kan gøre indsigelse mod kendelsen på samme grundlag som for en EPOC (dvs. immuniteter eller privilegier, ufuldstændige eller åbenbare fejl, omstændigheder, der ikke kan tilskrives dem eller andre årsager)

Underretning til en anden medlemsstat

I forbindelse med nogle europæiske editionskendelser for trafik- eller indholdsdata vil myndigheder i medlemsstaten, hvor internetudbyderens udpegede virksomhed eller retlige repræsentant (håndhævende myndigheder) er hjemmehørende, modtage ordren på samme tid som udbyderen. De kan afslå den af følgende grunde.

• De data, der anmodes om, er beskyttet af immuniteter eller privilegier eller omfattet af regler om fastsættelse eller begrænsning vedrørende pressefrihed eller ytringsfrihed for strafansvar, som anvendes i den håndhævende stat.
• Kendelsen:
  • kunne medføre en åbenbar retsbrud af det personlige retsværn for den person, hvis oplysninger anmodes om
  • er i strid med princippet om, at en person ikke kan stilles for retten igen for en lovovertrædelse, som vedkommende allerede er endeligt frifundet eller dømt for inden for EU (ne bis in idem).
• Den adfærd, der citeres i bekendtgørelsen, er ikke en lovovertrædelse i den håndhævende stat.

Kendelser, der afvises, vil blive trukket tilbage. Den håndhævende myndighed kan dog kun gøre indsigelse mod overførsel af visse data. Inden den håndhævende myndighed fremsætter en begrundelse for afslag, kan kendelserne ændres.

Sanktioner og håndhævelse

• Medlemsstaterne skal gennemføre effektive, forholdsmæssige og afskrækkende økonomiske sanktioner for manglende overholdelse. Disse kan nå op på 2 % af internetudbyderens samlede årlige omsætning på verdensplan.
• Udstedende myndigheder kan anmode håndhævende myndigheder om at håndhæve kendelsen, hvis internetudbyderen uden at give acceptable grunde undlader at overholde en EPOC inden for fristen eller en EPOC-PR.

Al skriftlig kommunikation mellem nationale myndigheder og internetudbyderens udpegede forretningssteder eller retlige repræsentanter skal ske gennem et sikkert og pålideligt decentraliseret it-system. Forordningens bilag indeholder de formularer, der skal anvendes.

Europa-Kommissionen:

• vedtager gennemførelsesretsakter og delegerede retsakter
• skal senest den 18. august 2026 fastlægge et detaljeret program for overvågning af forordningens output, resultater og indvirkning
• skal evaluere forordningen senest 18. august 2029.

Direktiv (EU) 2023/1544

Direktivet gælder for internetudbydere, der leverer:

• elektronisk kommunikation
• Internet-domænenavne og IP-nummerering
• kommunikation, lagring og -behandlingstjenester

Direktivet gælder ikke for udbydere, der leverer:

• finansielle tjenesteydelser (dvs. rådgivning i forbindelse med bank, kredit, forsikring, genforsikring, arbejdsmarkeds- eller personlige pensioner, værdipapirer, investeringsfonde, betaling og investering)
• tjenester udelukkende indenfor deres egen EU-medlemsstat.

Udbydere, der tilbyder deres tjenester i EU, skal senest den 18. august 2026 udpege eller udnævne mindst én adressat, enten et udpeget forretningssted (hvis de er etableret i EU) eller en retlig repræsentant (hvis de ikke er det), for at sikre, at de kan modtage og efterkomme kendelser rettet til dem.

Medlemsstaterne skal:

• fastsætte regler om sanktioner for manglende overholdelse
• udpege en eller flere centrale myndigheder for at sikre korrekt anvendelse af direktivet.

Kommissionen vil evaluerer direktivet inden den 18. august 2029.