Overvaking

Pernille Ekornrud Grøndal

pernille@dagogtid.no

I 2023 fekk Etterretningstenesta lovheimel til å overvake store delar av den elektroniske kommunikasjonen til norske borgarar. Men fullmaktene er for vide og kontrollen med overvaking for dårleg, meiner ei samanslutning av dei største presseorganisasjonane i Noreg. Om det stemmer, vert opp til Oslo tingrett.

Overvakingsheimlane som no skal under lupa, vert gjerne kalla det digitale grenseforsvaret. Grovt forklart kan E-tenesta, i medhald av E-lova, samle inn og lagre store mengder kommunikasjonsdata som kryssar grensene til Noreg, og påleggje telekommunikasjonsselskapa å leggje til rette for det, såkalla «tilrettelagd innhenting» (TI).

Mesteparten av elektronisk kommunikasjon mellom nordmenn – anten dei brukar Telenor, Telia eller Ice, eller nytter internett, til dømes via Signal, Instagram, Facebook eller Outlook – går via utlandet. Datatrafikken går til dømes via fiberoptiske kablar til Sverige, eller skylagringstenarar på kontinentet, og tilbake igjen til Noreg.

Det inneber at E-tenesta kan overvake store delar av kommunikasjonen mellom norske borgarar, i tillegg til internettaktiviteten vår, sjølv om oppgåva deira er å drive utanlandsetterretning, ikkje innanlandsetterretning.

Uroa presse

Den 6. mars gjekk Stiftelsen Tinius, majoritetseigar i Schibsted, og sjefredaktør i Varden Tom Erik Thorsen til søksmål mot staten ved Forsvarsdepartementet. Som partshjelparar har dei med seg Norsk Journalistlag, Norsk Redaktørforening, Norsk PEN og fleire. Saksøkarane meiner lova bryt både med retten til ytringsfridom og personvern, og med rettspraksis frå EU-domstolen og Den europeiske menneskerettsdomstolen (EMD).

Kjersti Løken Stavrum er dagleg leiar i Stiftelsen Tinius. Ho fortel at søksmålet kom som eit resultat av å lese alle dei kritiske høyringssvara til reglane om det digitale grenseforsvaret i fleire høyringsrundar, frå tunge aktørar som Datatilsynet, Tekna og Norges institusjon for menneskerettigheter (NIM).

– Vi ville ta ein for laget. Når staten set inn nye overvakingsverktøy, må vi syte for at lovene, og kontrollen med dei, er i tråd med dei demokratiske ideala.

Med så vide fullmakter som E-tenesta har fått, vert det nærast umogleg å oppretthalde eit privatliv overfor styresmaktene, heiter det i stemninga.

Stiftelsen Tinius krev dom for at overvakingsheimlane er ulovlege. Staten har frist til å svare på stemninga innan 15. mai.

– Vi er uroa for at den statlege overvakinga piplar inn i alle livets samanhengar. Over tid kan det medføre at vi ikkje tør delta i det offentlege ordskiftet.

Kjersti Løken Stavrum, dagleg leiar i stiftinga Tinius.

Brokete historie

Søksmålet som no er fremja, er det siste i ei lang rekkje innvendingar mot det digitale grenseforsvaret. Ordskiftet frå lovarbeidet, som vart sett i gang av Solberg-regjeringa, fram til E-tenesta fekk fullmaktene dei ønskte seg i 2023, var prega av heftig debatt i dei juridiske og teknologiske fagmiljøa. Datatilsynet, Tekna, og NIM hadde sterke motførestillingar.

Sjølve E-lova vart vedteken i 2020, men reglane om digitalt grenseforsvar måtte vente. I løpet av prosessen kom det nemleg ny rettspraksis frå EU og EMD som presiserte på kva vilkår TI er lovleg. Med nokre tilpassingar vart framlegget seinare vedteke med eit breitt fleirtal i juni 2023: 83 stemmer for og 18 mot. Raudt, SV, Venstre og MDG var motstandarane. Stiftelsen Tinius meiner tilpassingane ikkje var gode nok.

Innhalds- og metadata

Kva data er det så E-tenesta har fått høve til å hente inn, lagre og sjå?

For det første kan E-tenesta, i medhald av kapittel 7, samle inn, lagre og lese innhaldet i til dømes Google-søk eller tekstmeldingar. For det andre kan dei innhente og lagre metadata i bulk, og søkje i desse, på visse vilkår. Metadata er informasjon som skildrar kommunikasjonen, men ikkje innhaldet i han (til dømes kva tid informasjonen vart send, kor mange kontaktpunkt det har vore mellom dei som kommuniserer, kor lenge ein samtale varte, geografisk posisjon eller IP-adresse). Innsamling «i bulk» vil seie innsamling av store mengder rådata der det er klart at datamaterialet også vil innehalde opplysingar som ikkje er etterretningsrelevante.

Slike data kan E-tenesta hente inn eller søkje i ved å krevje at tilbydarar av elektronisk kommunikasjon (Telenor, Telia og ICE) gjer data tilgjengelege. Om E-tenesta skal påleggje selskapa tilrettelegging, må ho likevel ha fått førehandsløyve frå Oslo tingrett.

Meir oppsiktsvekkjande er det då at E-tenesta òg har heimel til skjult innhenting av elektronisk kommunikasjon som er i transitt mellom mottakarar (paragraf 6-9, midtpunktinnhenting), til dømes over telenettet eller internettet. Det gjeld òg innhenting av metadata i bulk, sjølv om informasjon om nordmenn vil vere ein del av materialet og metoden kan verte nytta overfor nordmenn – til dømes norske journalistar – i utlandet. I tillegg kan dei avlese datamaskinar eller andre system der relevante etterretningsdata vert lagra (paragraf 6-10, endepunktinnhenting). Avgjerda treffer E-tenesta sjølv, utan førehandsgodkjenning frå retten.

Informasjon frå TI skal ikkje nyttast til politiføremål eller delast med dei andre etterretningstenestene. TI-data kan ikkje nyttast som bevis i straffesaker, med unntak av i terrorsaker.

Nedkjølingseffekt

Stiftelsen Tinius er uroa for korleis heimlane påverkar kjeldevernet. E-tenesta har nemleg fått heimel til målretta datainnsamling mot journalistar. Det gjeld sjølv om kjeldene vert avslørte, om E-tenesta meiner det er strengt naudsynt at kjeldevernet viker for nasjonale interesser.

Når kjelder avstår frå å gje informasjon i frykt for overvaking, kan det direkte påverke det offentlege ordskiftet og informasjonsfridomen, meiner Stiftelsen Tinius.

– Vi er uroa for at den statlege overvakinga piplar inn i alle livets samanhengar. Over tid kan dette medføre at vi ikkje tør delta i det offentlege ordskiftet, seier Stavrum.

At innhaldet i kommunikasjon – kva du skriv til kjærasten, eller kva du meiner om den nye sjefen – kan overvakast av dei hemmelege tenestene, er ubehageleg for dei fleste. Innsamling av metadata, derimot, kan ved første augekast verke mindre inngripande, ettersom dei ikkje seier noko om kva ein har snakka om.

Snowden-avsløringane avdekte likevel at metadata kan vere verdfull informasjon kombinert med andre data som vi legg igjen spor av på internettet, og som vert nytta til å gje detaljert informasjon om til dømes rørslemønster, sosiale relasjonar eller aktivitetar. Alt i 2014 skildra Datatilsynet i rapporten «Personvern – tilstand og trender» korleis etterretningstenestene i verda i mindre grad driv målretta innhenting av informasjon, og i større grad driv med masseovervaking der metadata speler ei viktig rolle.

Vissa om at nokon ser deg i korta, kan få deg til å endre åtferd. Ein rapport frå Internet Policy Review syner at dette fenomenet, den såkalla nedkjølingseffekten, påverkar viljen borgarane har til å delta i demokratiske aktivitetar og medfører sjølvsensur og konformitet.

Endra trugselbilete

På den andre sida står E-tenesta og Forsvarsdepartementet, som meiner dei er sjanselause mot åtak frå fiendtlege stormakter og internasjonale kriminelle nettverk dersom dei ikkje har tilgang til det digitale rommet. Med dette perspektivet vert overvaking eit verkemiddel for å tilpasse seg eit stadig skiftande digitalt trugselbilete.

Vi kan sjå føre oss at til dømes Russland med eit enkelt grep får tilgang til dei sentrale helseregistera våre og slår dei ut av funksjon. Heile helsetenesta vil verte lamma på sekundet. Slike scenario skal E-tenesta fange opp, analysere og handtere. Med andre ord må E-tenesta balansere tryggleiken til riket og innbyggjarane med det individuelle og kollektive vernet av verdiar som privatliv, ytringsfridom og informasjonsfridom.

Det er likevel ikkje heilt opplagt kvifor E-tenesta treng å overvake kommunikasjon mellom nordmenn for å verne oss mot slike trugsmål. Olav Lysne, mannen som leia utvalet som teikna skissene til det digitale grenseforsvaret alt i 2016 (Lysne II-utvalet), forklarte det slik under ein tryggleikspolitisk konferanse ved Nobels fredssenter i 2019:

– Den informasjonen som har relevans for E-tenesta, ligg og badar som små dropar gøymde innimellom personlege kommunikasjonsdata frå norske borgarar.

Dåverande sjef for E-tenesta, Morten Haga Lunde, presenterer rapporten Fokus for dåverande forsvarsminister Ine Eriksen Søreide i 2017. Den gongen heit det at «auka politisk spenning mellom Vesten og Russland fører til at det digitale rommet i større grad vil bli brukt til å støtte opp under press og truslar.»

Vidar Ruud / NTB

Innvendingane

At E-tenesta har eit legitimt behov for å overvake digitale rom, er saksøkjarane for så vidt samde i. Likevel går fullmaktene lenger enn det menneskerettane tillèt, hevdar dei. I tillegg er kontrollmekanismane som skal demme opp for inngrepet, for slappe.

1. Vage vilkår

EU-domstolen krev at innhentinga er basert på ein alvorleg trugsel mot nasjonal tryggleik. Slik lovteksten er formulert, kan E-tenesta nytte TI også for føremål som «ivaretakelse av prioriterte utenriks-, forsvars- eller sikkerhetspolitiske interesser knyttet til forhold og utviklingstrekk i andre stater og regioner». Det, meiner Stiftelsen Tinius, er føremål som går vidare enn EU og EMD legg opp til.

2. Låg terskel

Ifølgje EU-domstolen må staten kunne påvise tilstrekkeleg konkrete omstende som tilseier at den nasjonale tryggleiken er truga. Trugselen må vere reell og aktuell.

Den norske lovteksten krev derimot at TI er «nødvendig for å etablere et informasjonsgrunnlag for etterretningsformål».

Stiftelsen Tinius peiker på at terskelen for overvaking i den norske lovteksten er for låg, samanlikna med krava frå EU-domstolen. I tillegg meiner dei at domstolen vil ha problem med å overprøve kva etterretningsbehov E-tenesta har – den vurderinga gjer nemleg E-tenesta sjølv.

3. Filtrering

E-lova krev at E-tenesta filtrerer vekk data som ikkje har etterretningsrelevans, så langt det er mogleg. Problemet, meiner Stiftelsen Tinius, er at dette slett ikkje alltid er mogleg. I tillegg er det tvilsamt at det uansett er opp til E-tenesta sjølv å avgjere kva som er etterretningsrelevant.

4. EOS-utvalet

EOS-utvalet skal føre kontinuerleg kontroll med overvakingsvurderingane i E-tenesta. Men, seier Stiftelsen Tinius: EOS-utvalet seier sjølv at ein styrkt kontroll av TI vil krevje store ressursar – ressursar dei ikkje har. Stiftelsen Tinius peiker òg på at det er ei skeivfordeling av midlar mellom etterretningstenestene (E-tenesta, Nasjonal tryggingsstyresmakt (NSM) og PST på den eine sida, og EOS-utvalet på den andre sida.

Utvalet skal òg føre etterhandskontroll for at personar som har vorte overvakte, skal få prøvd om overvakinga var lovleg. Dette er vanskeleg, meiner Stiftelsen Tinius, når den som klagar til EOS-utvalet, ikkje har krav på noka grunngjeving for resultatet av kontrollen – fordi dette vert rekna som gradert informasjon. Vidare er det problematisk, meiner dei, at EOS-utvalet ikkje har høve til å avgjere at overvakingsaktivitet er ulovleg, og at ulovleg innsamla data skal slettast – dei kan berre gje «kritikk».

5. Domstolskontroll

Menneskerettane krev at bulkinnsamling av data er gjenstand for uavhengig kontroll. Stiftelsen Tinius påpeiker, med støtte frå Advokatforeningen, Datatilsynet og NRK, at E-lova ikkje stiller krav til førehandskontroll før metadata vert lagra. Vidare at det er problematisk at E-tenesta sjølv har ansvar for å opplyse domstolen om saka. Dette burde vere opp til ein uavhengig sakkunnig å gjere, skriv Stiftelsen Tinius.

6. Lagringsavgrensing og sletting

Lova opnar for lagring av rådata og innhaldsdata i inntil 15 år. Metadata skal som regel slettast innan 18 månader. Det er likevel mogleg, peiker Stiftelsen Tinius på, å gjenskapa metadata frå rådata og dermed omgå 18-månadersfristen.

7. Midt-/endepunktinnhenting

I likskap med Datatilsynet meiner Stiftelsen Tinius det er paradoksalt at midt- og endepunktinnhenting ikkje er underlagd dei same kontrollmekanismane som TI, når dei i realiteten kan medføre eit stort inngrep i personvernet.

Departementet

I høyringsrundane og i media har Forsvarsdepartementet lagt vekt på at fullmaktene er så avgrensa at dei må aksepterast dersom E-tenesta skal fylle funksjonen sin. Dette, kombinert med god parlamentarisk, juridisk og teknologisk kontroll med overvakinga, rettferdiggjer inngrepet.

Dag og Tid har spurt departementet om dei meiner at E-lova vil stå seg ved ei eventuell domstolsprøving, og om dei har andre kommentarar til rettssaka. I eit e-brev svarar dei dette:

«Grunnleggande sett handlar dette om korleis ein kan ta vare på tryggleiken i Noreg og på same tid sikre sentrale verdiar som ytringsfridom, pressefridom og personvern (...) Avveginga har vore grundig handsama gjennom heile lovgjevingsprosessen. Vi har full tillit til at domstolen vil handsame søksmålet på ein god og rett måte.»

Uansett koker rettssaka ned til dette: Er overvaking prisen vi må betale for eit trygt samfunn?

Dag og Tid følgjer opp saka når staten leverer partsinnlegg.