Säker e-post för journalister och aktivister i Sverige

Sverige har ett av världens starkaste källskydd i lag. Tryckfrihetsförordningen och Yttrandefrihetsgrundlagen förbjuder myndigheter att eftersöka journalistiska källor. Men lagskydd är lika starkt som den teknik som implementerar det — och e-post är en av de mest utsatta kommunikationskanalerna.

Hotmodellen för en journalist eller aktivist i Sverige ser typiskt ut så här: källan är ofta den svagaste länken, inte journalisten. En källa som mejlar från en arbets-e-postadress, öppnar mejlet på ett osäkert nätverk, eller vars enhet är komprometterad — det hjälper inte att du använder ProtonMail.

Praktiska rekommendationer för säker kommunikation:

Använd Signal istället för e-post för inledande källkontakt. Signal erbjuder end-to-end-kryptering, försvinnande meddelanden och lämnar minimalt med metadata. SecureDrop (öppen källkod, används av bland annat The Intercept och The Guardian) är ett mer avancerat system byggt specifikt för källläckor till redaktioner.

Om e-post är nödvändigt: rekommendera källan att skapa ett anonymt ProtonMail-konto utan att använda sin vanliga enhet, och via Tor eller ett offentligt WiFi de inte vanligtvis besöker. Kommunicera sedan Proton-till-Proton för end-to-end-kryptering.

Ämnesrader är metadata. Även med krypterat innehåll kan ämnesraden "Visselblåsning angående X" vara tillräcklig information. Håll ämnesrader neutrala och generiska.

För journalister på redaktioner: kräv att redaktionen har en officiell SecureDrop-installation och publicerar sin .onion-adress. Det är standardpraktik för seriösa undersökande redaktioner internationellt — svenska mediehus ligger efter.

Svenska juridiska resurser: Journalistförbundets rättshjälp kan hjälpa vid tvister om källskydd. IMY (Integritetsskyddsmyndigheten) är tillsynsmyndighet under GDPR och kan ta emot anmälningar vid dataintrång.

Till syvende och sist: tekniken skyddar bara om den används konsekvent. Ett mejl till en källa via ett okrypterat system — bland hundra krypterade — kan vara det mejlet som avslöjar allt. Säkerhetsrutiner måste vara permanenta, inte situationsbetingade.