Datatilsynet om den nye E-loven: – Dessverre ingen store endringer

– Jeg har ikke fått studert lovforslaget i detalj, men det ser dessverre ut til at det ikke er så store endringer fra det som ble sendt på høring sist. I hvert fall ikke ved første øyekast, sa direktør i Datatilsynet, Bjørn Erik Thon, til Forsvarets forum onsdag ettermiddag.

Regjeringen la i går frem sitt reviderte forslag til ny Etterretningstjenestelov. I proposisjonen legges det opp til tilrettelagt informasjonshenting, også kjent som digitalt grenseforsvar: At Etterretningstjenesten skal få tilgang til å masselagre elektronisk kommunikasjon som krysser den norske grensen.

Dette skal ifølge lovforslaget lagres i 18 måneder slik at E-tjenesten skal kunne søke i informasjonen. Det er metadataen som vil lagres, som for eksempel kan inneholde informasjon om navn, dato, klokkeslett, geografisk plassering og IP-adresse.

Spørsmålet om digitalt grenseforsvar har lenge stått i hardt vær blant lovforslagets kritikere – deriblant Datatilsynet. Her er noen av punktene som direktør Bjørn Erik Thon og juridisk seniorrådgiver Jan Henrik Nielsen mener har forbedret seg – eller stått på stedet hvil – fra høringsutkast til proposisjon.

Venstre tok dissens på lovforslaget:

Grande om e-loven: – Inngrepet i personvernet blir for sterkt

Utydelig mandat

Da forslaget til ny Etterretningstjenestelov ble sendt på høring i 2018, gikk noe av kritikken ut på at forslaget virket utydelig og vagt.

Datatilsynet mente at forslaget ikke tok skikkelig for seg hvilke opplysninger som faktisk hentes inn, og hvilke fullmakter Etterretningstjenesten ville ha til å søke i lagrede data. Loven var rett og slett upresis, mente Datatilsynet.

– E-tjenesten skal primært jobbe mot utenlandske trusler, mens PST jobber mot trusler her hjemme. Men forslaget som ble sendt på høring åpnet for at E-tjenesten kunne overvåke også personer i Norge, sier Jan Henrik Nielsen.

Heller ikke i det nye lovforslaget, mener Datatilsynet at Etterretningstjenestens handlingsrom er tydelig nok skissert.

– Det er problematisk, fordi det er en lov som skal praktiseres i hemmelighet. Jeg forstår at E-tjenesten skal operere i hemmelighet, men når det gjelder hva dette vil få å si for personvern, hva slags data som skal hentes, hva dataen kan avsløre og hva det kan bety for deg og meg, er dette i liten grad tatt opp i forslaget, sier Bjørn Erik Thon.

Frank Bakke-Jensen skriver til Forsvarets forum at det er tatt på alvor at høringsutkastet ble oppfattet som uklart, og at de har lagt ned en betydelig innsats for å gjøre lovforslaget så klart og presist som mulig.

– Det er samtidig på det rene at klarhet og presisjon må veies mot andre legitime hensyn når lover skal utformes, sier Forsvarsministeren, og viser blant annet til at lovforslaget skulle være teknologinøytralt og skjerme detaljer knyttet til metode og kapasitet.

Forsvarsministeren skriver videre at det er gjort flere endringer som følge av høringsrunden, og at FD blant annet følger opp flere forslag fra Datatilsynet i det nye lovforslaget. Les mer om endringene i faktaboksen nederst i saken.

Brede søk

I høringsutkastet av 2018, lå det opp til relativt bred overvåkning, mente Datatilsynet. De brukte følgende eksempel: E-tjenesten identifiserer en potensiell utenlandsk terrorist, som har kontakt med en person i Norge. I forslaget som så det ut til at E-tjenesten ville ha lov til å gjøre søk også på denne personen - og personer to ledd ut fra denne norske kontakten.

– Da driver man ikke bare etterretning mot den norske kontakten, men også venner eller bekjente av den kontakten igjen. Det vil være typisk familie, venner, arbeidsgiver, sier Nielsen.

Han merker seg at det nye lovforslaget har endret dette punktet. Forsvarsminister Frank Bakke-Jensen (H) sier dette til Forsvarets forum:

– I høringsutkastet sa vi at man kunne gjøre søk to ledd ut i kommunikasjonslinja. Det var det mange kritiske røster til, og det har vi begrenset til bare ett ledd.

Bedre kontrollmekanismer

En annen utfordring med digitalt grenseforsvar er det rettslige grunnlaget Etterretningstjenesten vil ha for å drive hemmelig overvåkning. Hemmelig overvåkning har vært behandlet i en rekke dommer i Den europeiske menneskerettighetsdomstolen (EMD), forklarer Nielsen. Det begynte med telefonavlytting, så har teknologien utviklet seg.

– EMD legger til grunn en del kriterier for hvilke mekanismer som skal være tilstede for å drive med hemmelig overvåkning: Det må foreligge en klar lovhjemmel, borgerne må kunne lese ut av loven hva de kan forvente at blir overvåket, og det må foreligge mekanismer for domstolskontroll.

Thon sier at dette forslaget har noe tydeligere kontrollmekanismer.

– De skriver at de har prøvd å gjøre lovforslaget klarere, og at de har gjort noe med kontrollmekanismen, med mer løpende kontroll.

For å få lov til å gjøre søk i lagret metadata, må E-tjenesten nå komme med en begrunnet begjæring og få tillatelse fra Oslo tingrett, skriver NTB. E-tjenesten kan også be om få se innholdet i dataene, og hvis de får medhold av Oslo tingrett, kan de få se innhold i en definert tidsperiode.

Videre legges det i lovforslaget opp til at EOS-utvalget kan begjære Oslo tingrett at en pågående innhenting skal stanses.

– Er dette tilstrekkelig kontroll?

– Vi ser at det ser ut som det er bedre tilsynsmuligheter nå enn tidligere. Men vil gjerne høre hva EOS-utvalget sier om hvilken betydning dette vil få i praksis, sier Thon.

Nedkjølingseffekten

Datatilsynet har også uttrykt stor bekymring for «nedkjølingseffekten» som digitalt grenseforsvar vil kunne føre med seg: At faren for å bli overvåket kan føre til at folk i mindre grad kommuniserer åpent.

Ytringsfrihet handler om å ytre seg, forklarer Nielsen, mens personvern i denne sammenheng handler om muligheten til å danne seg meninger i frihet.

– Stadig større del av våre liv foregår på internett. Hvis du opplever at din aktivitet blir overvåket så har det noe å si for menneskets grunnleggende mulighet til å utvikle seg, sier han.

Det har lenge vært en praksis ved biblioteker, forklarer Nielsen, at de ikke registrerer over lengre tid hvilke bøker du har lånt, fordi du skal kunne låne de bøker du vil – og det fritt.

– Det har vært flere saker der politi eller etterretning ønsker å få tilgang til hvilke bøker en person har lest, og der biblioteket ikke har ønsket å gi ut opplysninger om dette - nettopp fordi det er en frihet å kunne innhente kunnskap uten at myndighetene kan få informasjon om det.

At digitalt grenseforsvar vil kunne ha en nedkjølende effekt, er ikke tilstrekkelig hensyntatt i lovforslaget, mener direktør Bjørn Erik Thon.

Debattinnlegget fra forsvarsministeren:

Ønsker ny etterretningslov

– Dette er særlig bekymringsfullt for folk som har et spesielt beskyttelsesbehov. Det er en del folk som lever i randsonen av samfunnet, som ikke gjør noe galt, men som kanskje trenger beskyttelse. Hvis de stemmene stilner på grunn av dette, er det svært alvorlig.

Frank Bakke-Jensen sier at det er viktig å formidle at tilrettelagt innhenting er strengt begrenset til utelandsetterretning. Dette for å hindre en nedkjølende effekt.

– Det vil og på sikt kunne ha en nedkjølende effekt hvis ikke Etteretningstjenesten har de verktøyene de trenger for å beskytte norsk digital informasjon mot trusselaktører, sier Forsvarsministeren.

Begrepsbruk

Bakke–Jensen sa onsdag at det i lovforslaget er snakk om masselagring av metadata, ikke masseovervåking. Thon sier at han er enig i at det i hovedsak går ut på masselagring - uten at det betyr at det er uberettiget å bruke ordet masseovervåkning om praksisen.

– Jeg mener at man ikke skal bruke ord som «tilrettelagt innhenting» - det er å kalle en løve for en tamkatt. Dette er et alvorlig inngrep i personvernet, og da må man kalle det for det det er.

– I forslaget som vi har lagt fram for Stortinget, er vi tydelige på at tilrettelagt innhenting er et sterkt inngrep i personvernet. Det er ingen uenighet med Datatilsynet om dette. Men inngrepet er nødvendig for å styrke sikkerheten vår og beredskapen vår, er forsvarsministerens svar.

En server i Singapore

En annen utfordring med digitalt grenseforsvar, er at norsk internettrafikk ikke er utelukkende norsk. All internettrafikk finner den raskeste veien til mål: enten det er via norske kabler og servere, eller en server i Singapore, forklarer Nielsen.

Så å overvåke internettrafikk over grensen, vil i praksis bety å overvåke nesten all trafikk.

– Slik internett er bygget opp, så går nesten all kommunikasjon mellom norske borgere gjennom utlandet, og lagres sjeldent utelukkende på en server her i Norge, sier Nielsen.

Han bruker følgende eksempel: Hvis du sender en e-post til en kollega på kontoret ved siden av, er det ikke slik at den e-posten nødvendigvis lagres på en server i Norge, eller går gjennom norske internettkabler. Det samme gjelder meldinger som går gjennom ukrypterte meldingstjenester: Meldingene transporteres ofte gjennom internettkabler i andre land, eller lagres på utenlandske servere.

– De største internettkablene til Norge går via Sverige. Vi har ikke et nasjonalt internett som kan operere uavhengig av resten av internett. Det er derfor potensiale for at all internettkommunikasjon havner i digitalt grenseforsvar, sier Nielsen.

I det nye lovforslaget legges det begrensninger på hva slags informasjon som kan brukes av E–tjenesten: Informasjonen som lagres skal som hovedregel kun brukes til utenlandsetterretning.

Les også:

Kan dele etterretningsinformasjon dersom det står om liv

Kommer tjenesten over informasjon om lovbrudd i Norge, skal dette slettes. Det skal kun varsles til norsk politi ved nødrettslige tilfeller der det handler om avverging av alvorlig trusler mot liv, helse og frihet, forklarte Frank Bakke-Jensen på onsdag.

– I praksis vil det nesten være umulig at E-tjenesten kommer over den typen informasjon all den tid det søket de får lov til å gjøre er såpass spisset og rettet mot det de i utgangspunktet leter etter , som er trusler mot Norge fra utlandet.

Lagrer data om nordmenn

All kommunikasjon mellom norske borgere skal i utgangspunktet filtreres bort i prosessen med tilrettelagt informasjonsinnhenting. Det kommer likevel til å lagres mye informasjon om nordmenn i metadatalagre, sier Datatilsynets direktør.

– Hvordan dette filteret skal lages har vært teknisk veldig omstridt. Det vil være noen enorme datamengder. Hvordan de i det hele tatt skal få tilrettelagt for lagring er det mange som har stilt spørsmål ved, sier Bjørn Erik Thon.

Akkurat på dette punktet, er forsvarsministeren delvis enig.

– Vi vil filtrere ut det vi klarer å filtrere ut, men det er en kjensgjerning at det likevel vil lagres store mengder data om norsk innenlandsk kommunikasjon. Dette er det ingen uenighet med Datatilsynet om. Etterretningstjenesten vil ikke ha tilgang til denne kommunikasjonen, sier Bakke–Jensen.

Forsvarsministeren sier han tar kritikernes bekymringer på alvor, og at FD føler opp forslag som de mener vil styrke kontrollen og redusere risikoen for misbruk og vilkårlighet.

– Jeg er trygg på at vi har funnet en god balanse, men forventer at det fremdeles vil være delte meninger om lovforslaget. Det er naturlig når vi skal lage regler som krever en avveining av ulike legitime hensyn og interesser.