EU:s polismyndighet Europol drev ett skuggdatalager som innehöll stora mängder känslig personlig information och använde det i åratal utöver dess lagliga omfattning. Det framgår av interna dokument och vittnesmål från visselblåsare.
Systemet beskrevs tidigare som en ”skugg-IT-miljö” men saknade grundläggande säkerhets- eller dataskyddsåtgärder i enlighet med EU-lagstiftningen. Det användes för att lagra och analysera mycket känsliga uppgifter, som telefonregister, identitetshandlingar och geolokaliseringsinformation – även för personer som inte misstänktes för brott.
Avslöjandet baseras på läckta e-postmeddelanden, interna rapporter och vittnesmål från tidigare tjänstemän och visar att systemet i praktiken blev myndighetens primära miljö för storskalig dataanalys trots att det saknades väsentliga kontroller över vem som kunde komma åt eller ändra informationen.
Missa inte vårt PLUS-innehåll!
LÄS ÄVEN: Europol kräver tillgång till krypterade chattar: ”Hotar demokratin”
För första gången i myndighetens historia har flera tidigare högt uppsatta tjänstemän trätt fram och vittnat om att användningen av denna skuggmiljö för att lagra stora mängder data, och användningen av ett hemligt underrättelseverktyg som internt kallas ”Tryckkokaren”, har varit dolt från EU:s högsta tillsynsmyndighet fram till 2019.
– De skyddar lagen samtidigt som de bryter mot den, säger en tidigare högt uppsatt tjänsteman om Europol.
Ny lagstiftning
Som svar på uppgifterna säger en talesperson för Europol att myndigheten hade rapporterat sina operativa databehandlingssystem och applikationer till EU:s integritetsövervakningsmyndighet på ett öppet sätt.
– Påståendet att Europol ”höll dold” information om system eller bearbetningsmiljöer är en felaktig framställning av fakta.
Avslöjandet kommer samtidigt som EU-kommissionen förväntas föreslå ny lagstiftning som skulle utöka Europols mandat och fördubbla dess årliga budget.
2 petabyte
I centrum för myndighetens databehandlingsmetoder fanns ett system känt som Computer Forensic Network (CFN), en miljö som innehöll stora mängder känslig personlig information. Enligt Europol etablerades systemet 2012 för att behandla komplexa operativa data kopplade till utredningar som Europol stödde. Syftet var att tillhandahålla en ”säker, uppdelad” miljö för behandling av information som inte kunde hanteras i Europols befintliga system på grund av dess volym, format eller potentiella säkerhetsrisker.
2019 innehöll CFN minst två petabyte data – nästan 420 gånger större än Europols primära databas för icke-forensiskt arbete, och innehöll i praktiken nästan all Europols operativa data.
Enligt EU-lagstiftningen omfattas känsliga personuppgifter av strikta regler för hur de får lagras, nås och analyseras. Men interna dokument och vittnesmål tyder på att effektiva skyddsåtgärder saknades i det här fallet.
Terrorattacker höjde kraven
Europol är utformat för att fungera som ett centralt, AI-drivet nav som analyserar stora mängder personuppgifter och kriminaldata i realtid för att identifiera mönster och ledtrådar. Europols mer än 1 000 anställda, med säte i Haag, sitter i centrum för den europeiska polisverksamheten.
Man samlar in och analyserar data från nationella brottsbekämpande myndigheter i hela EU och stöder utredningar av terrorism, sexuella övergrepp mot barn, allvarlig organiserad brottslighet och cyberbrottslighet.
LÄS ÄVEN: SVT pixlar när Europol efterlyser ”svenske” mördaren Omar
Efter terrorattackerna i Paris november 2015 ökade kraven på Europol och man inrättade arbetsgruppen Fraternité, och medlemsstaternas brottsbekämpande myndigheter började skicka stora mängder data till myndigheten: telefonregister, underrättelserapporter och reseinformation.
Mycket av det hamnade i CFN-systemet. Bland de uppgifter som inhämtades fanns till exempel telefonloggar från individer som råkade befinna sig i närheten av Bataclan-attackerna. ”Skugg-IT-systemets” roll utökades dramatiskt efter attackerna.
Politiska konsekvenser
Inom några år hade dock CFN utvecklats långt bortom sitt ursprungliga syfte och blivit vad en tidigare högt uppsatt tjänsteman beskriver som ett ”svart hål” för oreglerad dataanalys av Europols cyberbrottsenhet. Stora datamängder kunde lagras och analyseras med färre begränsningar än i myndighetens formella system.
Fallet kan leda till omfattande rättsliga och politiska konsekvenser som sanktioner, krav på reformer och en förtroendekris för Europol. Det kan även påverka EU:s framtida lagstiftning om AI, övervakning och polissamarbete.
LÄS ÄVEN: Mohamed, Ali och Armin – ”svenskarna” som jagas av Europol
