Digitalt grenseforsvar slik det er foreslått kan legge til rette for storstilt overvåkning av norske borgere. Det er fare for at vi alle vil legge bånd på oss når vi vet at vår kommunikasjon kan overvåkes.

Det er også stor sannsynlighet for at dataene brukes til andre formål og av andre myndigheter enn E-tjenesten. Vi sier derfor et klart nei til forslaget.

Uthuling av rettighetene til norske borgere

Siden 2001 er det vedtatt fem anti-terrorpakker i Norge. Det er blant annet innført regler om romavlytting og dataavlesning. Forslaget om et digitalt grenseforsvar går ut på at E-tjenesten vil få tilgang til både metadata og innhold i nett- og teletrafikken som går ut av Norge. Dette flytter grensen for overvåkning av befolkningen dramatisk. For eksempel vil metadata vil bli lagret i 18 måneder.

Slike data avslører for eksempel hvem vi har sendt epost, SMS og bilder til, hvem vi har ringt, hvor vi har vært og hvem vi har truffet. Dette er informasjon de aller færreste ønsker at andre skal ha kjennskap til. En henvendelse til et voldtektsmottak, til Kirkens SOS eller psykiatrisk legevakt forteller sitt klare språk om at det har skjedd noe dramatisk i et menneskes liv.

Tvilsomt om innenlands trafikk kan filtreres ut

E-tjenestens mandat er begrenset til etterretning utenfor Norges grenser, og formålet med det digitale grenseforsvaret er å fange kommunikasjon som passerer Norges landegrense. Det er imidlertid slik at en betydelig del av all innenlands trafikk passerer landegrensen, og dermed vil bli registrert. En e-post som sendes fra en kollega til en annen i Stavanger kan for eksempel gjerne ta turen innom andre land.

Vi vil stå igjen med et datalager der også norske borgeres interne kommunikasjon er registrert.

Lysne II-utvalget, som har lagt fram rapporten som utgjør regjeringens høringsforslag, forsøker å gjøre det uakseptable til noe akseptabelt blant annet ved å foreslå at all kommunikasjon mellom norske borgere skal filtreres bort ved hjelp av avanserte teknologiske løsninger. Det vil imidlertid være svært krevende å lage et filter som klarer å gjøre denne jobben, og vi vil stå igjen med et datalager der også norske borgeres interne kommunikasjon er registrert. Selv om «bare» utenlandsk trafikk lagres, er det snakk om store mengder data, ettersom svært mye kommunikasjon i dagens stadig med globaliserte verden er med personer, bedrifter og offentlige etater utenfor Norges grenser, og det vesentlige av denne kommunikasjonen vil være legitim.

I strid med menneskerettighetskonvensjonen og Grunnloven

Den europeiske menneskerettighetskonvensjonens artikkel 8 og Grunnlovens § 102 slår fast at alle borgere har rett til vern av sitt privatliv og sin korrespondanse. Det er ingen tvil om at det digitale grenseforsvaret bryter med dette viktige prinsippet. Lysne II-utvalget mener allikevel at forslaget ligger innenfor det en stat kan gjøre av inngrep. Datatilsynet er uenig i dette. EU-domstolen har i to avgjørelser, den siste avsagt 21. desember i fjor, slått fast at masselagring av personlig informasjon om oss er uforenlig med menneskerettighetene. EU-domstolen peker på at slike tiltak vil føre til at befolkningen vil få en følelse av å være under kontinuerlig overvåkning. Domstolen sier også at det må være en sammenheng mellom de dataene som lagres og den konkrete trusselen som tiltaket har til hensikt å avverge.

Datatilsynet mener at Lysne II-utvalgets forslag er i strid med både Den europeiske menneskerettskonvensjonen og den norske Grunnloven. Dermed er det ulovlig.

Videre uttaler domstolen at det er et krav at lagringen må være avgrenset med hensyn til tid, sted og ikke minst personkrets. EU-dommen er usedvanlig klar: den stenger helt enkelt døra for generell masselagring av borgernes data. Det digitale grenseforsvaret oppfyller ikke dommens krav til avgrensning, og vil innebære masselagring av informasjon om uskyldige mennesker. Derfor mener Datatilsynet at Lysne II-utvalgets forslag er i strid med både Den europeiske menneskerettskonvensjonen og den norske Grunnloven. Dermed er det ulovlig.

Selve innsamlingen er problemet

At det innføres domstolskontroll med det digitale grenseforsvaret, og man skal kunne søke på enkeltpersoner eller bestemt modus, vil ikke endre på dette. EU-domstolen sier at dette er krav som det er nødvendig å stille til målrettet overvåkning. Masseovervåkning kan ikke aksepteres uansett. Personverninngrepet oppstår allerede når data samles inn og registreres. Men selv målrettet etterforskning av en enkeltperson kan gi grunnlag for undersøkelse av svært mange personer. Utvalget foreslår at overvåkningen kan foregå «to ledd ut» fra den mistenkte. Stanford University gjennomførte et forsøk der 800 personer frivillig lot sine samtaler analyseres «to ledd ut». Forskerne endte opp med en liste på 25 000 navn. Dersom forslaget til digitalt grenseforsvar iverksettes, betyr «to ledd ut» at man kan overvåke ikke bare mistenkte A, men også den A har snakket med, for eksempel B, C og D, og de B, C og D har snakket med, og dermed må vi nesten bruke hele alfabetet.

Et formål fører til et annet

Datatilsynet er opptatt av og har lang erfaring med fenomenet formålsutglidning, det vil si at data brukes til andre formål enn det opprinnelige. For å forhindre dette, foreslår Lysne II-utvalget strenge regler for deling av overskuddsinformasjon fanget opp av det digitale grenseforsvaret.

Det er imidlertid lett å forestille seg at det kan bli et sterkt press fra andre organer, særlig det alminnelige politiet, om å få tilgang til dataene. Vi kan for eksempel tenke oss at det digitale grenseforsvaret fanger opp data som indikerer at det vil skje et drap. At ikke det vil komme et press fra politiet om å utlevere denne typen data er nærmest utenkelig. Utvalget foreslår også at informasjon fra grenseforsvaret ikke kan brukes som bevis i konkrete straffesaker.

Vi må være så ærlige å si at det vil finnes nyttige data der, og da er det kun et spørsmål om tid før politiet får hjemmel å bruke data fra det digitale grenseforsvaret i konkrete saker. Også andre etater, som Skattedirektoratet og Tolletaten, kan kreve tilgang til data. Norsk senter for informasjonssikkerhet (NorSIS) har allerede foreslått at også næringslivet må få tilgang til data fra grenseforsvaret. Det er derfor høyst sikkert at vi vil se en utglidning i formålet.

Det er lett å forestille seg at det kan bli et sterkt press fra andre organer, særlig det alminnelige politiet, om å få tilgang til dataene.

Ytringsfriheten begrenses

Hvorfor er digitalt grenseforsvar et alvorlig angrep mot borgernes personvern? At E-tjenesten vil sitte med informasjon om svært mange nordmenn er i seg selv et problem, og det er naturligvis slik at de aller færreste utgjør en trussel mot samfunnet.

Fri kommunikasjon er en bærebjelke i et demokratisk samfunn, og den dagen vi tenker oss om før vi kommuniserer med et annet menneske har vi tapt en vesentlig samfunnsverdi. Dette er den såkalte nedkjølingseffekten, at vi lar være å kommunisere fritt. Også ytringsfriheten rammes. Datatilsynet har i flere undersøkelser vist at det er indikasjoner på nedkjøling i Norge etter Edward Snowdens avsløringer, selv om de avslørte forhold i andre land, og overvåkningen ble gjort av en fremmed myndighet. EU-domstolen har som nevnt slått fast i to rettsavgjørelser at storstilt datalagring kan «gi borgerne en følelse av å være under kontinuerlig overvåkning».

Og dette er kjernen i spørsmålet: Vil vi legge bånd på oss i vår kommunikasjon? Jeg frykter et ja, og særlig blant grupper som har særlig behov for å kunne kommunisere fritt og uten redsel; de annerledes tenkende, opprørerne, de lovlige avvikerne, snålingene, de med en annen seksuell legning eller politisk oppfatning. For ikke å snakke om advokater, journalister, varslere og kilder, som har et særlig behov for absolutt anonymitet.

Men mer enn noe annet viser dette hva slags konstruksjon det digitale grenseforsvaret egentlig er: Hele løsningen skal ha en delete-knapp som både sletter alle data og ødelegger alt utstyr i fall vi får en ikke-demokratisk maktovertagelse. Det sier egentlig alt om hvilket potensiale det har.

Vårt klare råd er å si nei til et digitalt grenseforsvar i Norge.

 

Datatilsynets høringsuttalelse kommer 20. januar.