Torsdag 11. juni ble forslaget til ny lov om etterretningstjenesten (e-lov) vedtatt i Stortinget. Sjelden har et overvåkningstiltak vært gjenstand for så mye debatt og kritikk. Det er selvsagt en tid for alle, også for oss i Datatilsynet, å sette punktum. Men vi må vente litt.

Borgerrettsorganisasjoner, blant annet i Sverige, har gått til sak for å få kjent lignende lover kjent ugyldig i Den Europeiske Menneskerettighetsdomstolen (EMD). Dersom staten Sverige felles, vil det bety store endringer i den norske loven. Faktisk kan den nye e-loven lide samme skjebne som datalagringsdirektivet i sin tid gjorde. Det ble vedtatt i Stortinget, formelt som en del av lov om elektronisk kommunikasjon. Men loven trådte aldri i kraft fordi EU-domstolen kom til at direktivet var i strid med EUs Charter for Grunnleggende Rettigheter, som er et speil av Den Europeiske Menneskerettighetskonvensjonens artikkel 8 og vår egen Grunnlov § 102. Dette er juss på sitt aller vakreste, og lyder slik:  

Alle har rett til respekt for privatlivet og familielivet sitt, for heimen sin og kommunikasjonen sin. Det må ikkje utførast husransakingar, så nær som i kriminelle tilfelle. Dei statlege styresmaktene skal sikre eit vern om den personlege integriteten.

Hva er egentlig vedtatt?

Det andre vi må vite er hva som egentlig er vedtatt. Lysne II–utvalget, som la grunnlaget for dagens lov, beskrev et overvåkningssystem som rent konseptuelt var mulig å forstå. Så kom utkastet til proposisjon, og det ble adskillig vanskeligere. Datatilsynet skrev en meget grundig høringsuttalelse der vi mente det var for stor uklarhet knyttet til forslaget til at regjeringen burde gå videre med det. Vi fremsatte imidlertid ikke mindre enn 29 konstruktive forslag til endringer, dersom forslaget mot vårt råd ble videreført. Når regjeringens endelige forslag kom på bordet i april, kunne vi konstatere at mye er forbedret, og flere av Datatilsynets (og andres) forslag er imøtekommet. Men etter å ha lest forslaget, og komiteens innstilling, står jeg fortsatt igjen med et stort spørsmål: Hva er det egentlig som er vedtatt?

Dette er et kjernespørsmål ved enhver vedtatt lov, men særlig viktig når det gjelder e-loven. Den skal i stor grad praktiseres i hemmelighet. Det må vi selvsagt akseptere, men det er påtrengende viktig at vi for eksempel vet hva slags data som kan samles inn. Leser vi lovforslaget, er ikke det mulig å forstå. Leser vi forarbeidene, eller komiteinnstillingen, er spørsmåltegnet like stort.

Lagring av informasjon om alle norske borgere

Det er utvilsomt at det vil bli lagret informasjon om alle norske borgere. En lang rekke aktører vil bli pålagt å tilrettelegge data for e-tjenesten, altså «speile og gjøre tilgjengelig utvalgte kommunikasjonsstrømmer». Dette betyr (veldig forenklet) at et selskap som for eksempel Telenor må sørge for at grensekryssende SMS- og MMS-tjenester som går i Telenors nett, kopieres og legges inn i metadatalagret, for e-tjenestens senere bruk. Men ingen har gitt noe godt svar på hvor langt denne plikten rekker. Er for eksempel Finn.no, med godt over to millioner unike brukere i uken, omfattet, i og med at de har en meldingstjeneste? DnB, Norges største bank, har en meldingstjeneste. TUI, en av Norges største charteroperatører, har en chattetjeneste. Og den vi chatter med trenger ikke sitte i Norge, men i Tyskland, eller kanskje i India. Kan sjefen for etterretningstjenesten, som er gitt denne fullmakten, pålegge disse aktørene å «tilgjengeliggjøre utvalgte kommunikasjonsstrømmer» for e-tjenesten?

Det er heller ikke klargjort hva det betyr at såkalte internettbaserte OTT-tjenester er omfattet av tilretteleggingsplikten. I proposisjonen er det ikke engang forsøkt å beskrive hva dette er. Dette er tilslørende, særlig fordi OTT-tjenester er noe vi alle sammen bruker mange ganger hver eneste dag. Her er noen eksempler: Netflix, Skype, Messenger, WhatsApp, Playstation 4 og Zoom, som Stortinget selv brukte under høringen. Dette burde vært uttrykt i klartekst.

Loven kan i realiteten ikke kontrolleres

Som nevnt er kontrollmekanismene forbedret, og det er selvsagt positivt. Men med den usikkerheten som hefter med omfanget av innhentingen, er det fare for at det nå er vedtatt en lov som i realiteten ikke kan kontrolleres. Kontroll fordrer klarhet og forutsigbarhet, og der er det store mangler ved det som er vedtatt.

Flere høringsinstanser, blant annet Datatilsynet, tok til orde for at loven bør evalueres. Det er veldig bra at Stortinget sluttet seg til dette. Vedtaket lyder:

Evalueringen skal være offentlig og foreligge senest fire år etter at loven er satt i kraft. Evalueringen skal gjelde lovens virke og mulighet for kontroll av dens bestemmelser, inkludert ressurssituasjonen, kompetanse og virkemidler hos EOS-utvalget og domstolene.

Nedkjølingseffekt

Men hva med konsekvensene for den enkelte borgers personvern? Og hva med nedkjølingseffekten, altså om innføring av masseovervåkning vil føre til at borgerne generelt og grupper i befolkningen spesielt, vil legge bånd på sin kommunikasjon? Datatilsynet gjennomførte nylig en spørreundersøkelse, der vi stilte dette spørsmålet:

«Har du gjort noen av de følgende aktivitetene fordi du er usikker på om myndigheter som politiet, PST eller etterretningstjenesten kan få tilgang til informasjonen?«

Svarene viste at 16% hadde unnlat å delta i en debatt på Facebook, eller deltatt i kommentarfeltet i en nettavis.

Vi lever kanskje i verdens frieste land, med utstrakt ytringsfrihet, en flora av medier og fri meningsdannelse. I denne konteksten kan vi ikke slå oss til ro med at hver åttende innbygger har lagt bånd på seg selv. Det er grunn til å tro at prosentdelen er høyere i deler av befolkningen, for eksempel blant innvandrere, og grupper i samfunnets randsone. Eller for igjen å sitere Yassine, som var informant i en masteroppgave i kriminologi om nedkjølingseffekt. Hun uttrykker det slik:  

Jeg har tenkt over det sjæl, når jeg er på telefonen og prater om Islam, så tenker jeg «oi shit, det burde jeg kanskje ikke ha sagt … Tenk om noen hører det og tror jeg kanskje skal bombe noen» eller no ikke sant, det er helt sykt. Du blir jo paranoid.

Jeg er fortsatt bekymret for Yassine!

• Hva vil et digitalt grenseforsvar bety for personvernet? Hør Personvernpodden – Datatilsynets egen podcast.
• Les Datatilsynets siste høringsinnspill til Stortinget