Høringssvar fra EOS-utvalget

Dato: 26.09.2022

Forsvarsdepartementet

Postboks 8126 Dep.

0032 OSLO

26.9.2022

Vår ref.: 2022/414-9

Deres ref.: 2016/2773-185/FD II 6/SIH

Høringssvar fra EOS-utvalget – Forslag til endringer i etterretningstjenesteloven

1. Innledning

EOS-utvalget viser til Forsvarsdepartementets høringsbrev 27. juni 2022 om endringer i etterretningstjenesteloven. Frist for å inngi høringssvar er 27. september 2022.

Forslaget får betydning for EOS-utvalgets kontrollvirksomhet og gir dermed grunn til enkelte merknader.

Utvalget merker seg at forslaget bl.a. har sin bakgrunn i avsagte dommer fra EMD og EU-domstolen om hvilke krav EMK og EU-retten stiller til nasjonale bulkinnsamlingsregimer. Forslaget til lovendringer tar sikte på å sikre og tydeliggjøre Norges etterlevelse av EMK og EØS-retten. Dette er viktig også i relasjon til EOS-utvalgets kontroll, som blant annet har til formål å se til «at tjenestene respekterer menneskerettighetene» (EOS-kontrolloven § 2).

Forslaget til endringer i etterretningstjenesteloven § 7-3 går ut på å splitte opp den myndigheten til å pålegge ekomtilbydere tilrettelegging som nå er lagt til sjefen for Etterretningstjenesten. Beslutning om å kreve speiling av kommunikasjonsstrømmer som grunnlag for søk og innhenting etter § 7-8 og 7-9 skal treffes av tingretten (forslag til ny § 7-3 andre ledd). Sjefen for E-tjenesten skal imidlertid kunne beslutte speiling av kommunikasjonsstrømmer som utelukkende skal benyttes for testing og analyse etter §§ 7-5 og 7-7 fjerde ledd med sikte på å avklare om det foreligger grunnlag for å fremme begjæring om en slik beslutning fra retten (forslag til ny § 7-3 første ledd).

Utvalget oppfatter det slik at formålet med forslaget til § 7-3 første ledd er at E-tjenesten skal kunne vurdere og faktuelt grunngi hvilke kommunikasjonsbærere som antas å transportere mest mulig etterretningsrelevant kommunikasjon, for så å fremme begjæring om rettens beslutning etter andre ledd. Informasjonen som speiles etter forslag til § 7-3 første ledd kan ikke benyttes til etterretningsproduksjon.[1]

Etter utvalgets oppfatning er det hovedsakelig to forhold som gjør at henvisningen til §§ 7-5 og 7-7 fjerde ledd skaper uklarheter. For det første gjelder forslaget til § 7-3 første ledd et annet og nytt formål enn §§ 7-5 og 7-7 fjerde ledd. Av denne grunn er det uklart om testinnhenting og testanalyser etter § 7-5 kan benyttes til det formålet forslaget til § 7-3 første ledd angir.

For det andre skal lovgivning som omhandler personopplysninger begrense omfanget av innsamlingen, behandlingen av dataene og lagringstiden til det som er nødvendig for formålet med innsamlingen. Slike krav oppstilles i § 7-5 for data til testformål, og i §§ 7-7 flg. for metadata og innholdsdata til etterretningsproduksjon, i tillegg til kapittel 9. Utvalget savner en tilsvarende klargjøring av hvilke krav av denne typen som skal gjelde for data som blir innsamlet i kraft av ny § 7-3 første ledd.

For å klargjøre hvilke behandlingsregler som gjelder for opplysninger innhentet etter forslag til § 7-3 første ledd, bør det etter utvalgets oppfatning vurderes om det er behov for å regulere dette i en egen bestemmelse der formålet til forslag til § 7-3 tillegges avgjørende betydning for utformingen av tilhørende behandlingsregler. Siden §§ 7-5 og 7-7 fjerde ledd forfølger andre formål, bør ikke disse uten videre gis tilsvarende anvendelse.

2. Kan testing og analyse etter § 7-5 benyttes for det formålet forslaget til § 7-3 angir?

For det angitte formålet i forslaget til § 7-3 første ledd, kan sjefen for E-tjenesten beslutte speiling med sikte på testinnhenting og testanalyse etter § 7-5. Paragraf 7-5 hjemler utelukkende teknisk understøttelse av TI-systemet for å muliggjøre bl.a. utvalg av kommunikasjonsbærere. For å vurdere om en kommunikasjonsbærer inneholder etterretningsrelevant kommunikasjon etter forslag til § 7-3 første ledd og således danner grunnlag for en begjæring til retten etter forslag til § 7-3 andre ledd, legger utvalget til grunn at E-tjenesten nødvendigvis må foreta en vurdering som går utover en ren teknisk understøttelse. Selv om data speilet etter forslag til § 7-3 første ledd ikke skal kunne benyttes til etterretningsproduksjon, vil det etter utvalgets oppfatning måtte foretas en etterretningsfaglig vurdering dersom E-tjenesten skal kunne ha en kvalifisert mening om en kommunikasjonsbærer inneholder etterretningsrelevant kommunikasjon eller ikke. Etter utvalgets oppfatning hjemler ikke testinnhenting og -analyse etter § 7-5 en slik etterretningsfaglig vurdering.[2]

Dette viser den underliggende mangelen med lovforslaget. Etter gjeldende kapittel 7 knytter bestemmelsene seg hovedsakelig til to formål; testinnhenting og testanalyser etter § 7-5, og etterretningsproduksjon etter § 7-7 flg. Forslaget til § 7-3 første ledd innfører slik utvalget ser det et tredje formål; å avklare om det foreligger grunnlag for begjæring til retten om speiling av kommunikasjonsstrømmer. Når eksisterende bestemmelser i kapittel 7 gis tilsvarende anvendelse for et nytt formål de opprinnelige bestemmelsene ikke var myntet på, oppstår uklarheter og avgrensningsproblemer som beskrevet ovenfor.

3. Hvilke behandlingsregler gjelder for data speilet til testing og analyse etter § 7-7 fjerde ledd?

Gitt at departementet velger å opprettholde henvisningen til §§ 7-5 og 7-7 fjerde ledd i forslaget til § 7-3 første ledd, vil det særlig for testing og analyse etter § 7-7 fjerde ledd ikke være mulig for utvalget å føre en reell kontroll med at de speilede dataene kun benyttes til å avklare om det foreligger grunnlag for å fremme begjæring – og ikke til etterretningsproduksjon.

Bakgrunnen er at § 7-7 opprinnelig er ment å hjemle innhenting og lagring av metadata i bulk som skal inngå i etterretningsproduksjonen gjennom søk i medhold av § 7-8. Departementets forslag om at sjefen for E-tjenesten skal kunne speile og lagre metadata til testing og analyse etter § 7-7 fjerde ledd med et annet formål enn etterretningsproduksjon for øye, ledsages ikke av noen mekanismer for å holde disse dataene adskilt fra data til etterretningsproduksjon. Til sammenligning oppstiller § 7-5 tredje ledd et krav om at innhentede data til teknisk understøttelse holdes adskilt i et kortidslager.

Videre oppstiller § 7-7 heller ingen behandlingsbegrensninger utover en henvisning til § 7-5 femte ledd. Også dette står i kontrast til § 7-5 som har strenge behandlingsregler. For eksempel bestemmer § 7-5 fjerde ledd at data kun kan lagres i 14 dager dersom det dreier seg om opplysninger som kan knyttes til enkeltpersoner, mens metadata som speiles etter forslag til § 7-3 første ledd til testing og analyse etter § 7-7 fjerde ledd vil kunne lagres i 18 måneder, jf. § 7-7 tredje ledd.

Når formålet med forslaget til § 7-3 første ledd er at E-tjenesten skal kunne faktuelt grunngi en begjæring om speiling etter forslag til § 7-3 andre ledd,[3] ber utvalget departementet vurdere om testinnhenting og -analyse etter § 7-7 er nødvendig for å oppnå dette formålet. Formålet med § 7-7 fjerde ledd er slik utvalget ser det først og fremst å analysere, feilsøke og oppdatere metadatalageret, og ikke å identifisere etterretningsrelevante kommunikasjonsstrømmer.

Dersom sjefen for E-tjenesten likevel gis kompetanse til å speile kommunikasjonsstrømmer til testing og analyse etter § 7-7 fjerde ledd, er utvalget av den oppfatning at det samtidig bør oppstilles en plikt til å holde disse dataene adskilt fra øvrige metadata som innhentes og lagres etter § 7-7. Videre bør det også oppstilles behandlingsregler for å redusere risikoen for feil og misbruk. Det bør særlig vurderes om en lagringstid på 18 måneder er nødvendig, gitt at disse dataene ikke skal benyttes til retrospektive søk for etterretningsproduksjonsformål.

4. Beslutning om speiling truffet av sjefen for E-tjenesten mangler tidsbegrensning

Etter forslag til § 7-3 første ledd er det ingen tidsbegrensning for hvor lenge sjefen for E-tjenesten kan beslutte speiling. Forslag til § 7-3 fjerde ledd angir etter sin ordlyd kun en tidsbegrensning for speiling som besluttes av retten.

Både EMD og EU-domstolen har slått fast at det klart må fremgå av nasjonal lovgivning hvor lenge en tillatelse til en bulkinnsamlingsoperasjon kan vare.[4]

Etter utvalgets oppfatning må det derfor i lovs form klart angis en absolutt frist for hvor lenge en beslutning av sjefen for E-tjenesten om speiling kan vare. Videre må speilingen avsluttes tidligere dersom grunnvilkårene i kapittel 5 ikke lenger er oppfylt.

5. Uklarhet om begrepene «etterretningsformål» og «etterretningsproduksjon»

I høringsnotatet[5] uttales det at informasjon som speiles etter forslag til § 7-3 første ledd «ikke kan benyttes til etterretningsformål etter loven § 1-3 første ledd bokstav c, dvs. for å løse en av Etterretningstjenestens oppgaver etter kapittel 3».

Det følger av § 7-1 første ledd at et av grunnvilkårene for E-tjenestens adgang til tilrettelagt innhenting er at det gjøres for etterretningsformål. Dette formålet må være oppfylt på alle stadier av TI-prosessen.

Etterretningsformål er de formål som fremgår av loven kapittel 3, jf. § 1-3 bokstav c. E-loven § 3-5 bokstav c bestemmer at gjennomføring av «testing av teknisk utstyr og annen trenings- og øvingsaktivitet» er et etterretningsformål. Videre fremgår det av Prop. 80 L (2019–2020) at teknisk understøttelse etter § 7-5 regnes som et etterretningsformål, samtidig som slike testdata ikke kan benyttes til etterretningsproduksjon, jf. side 107.

Utvalget antar at departementet mener å presisere at speiling til testing og analyse etter forslag til § 7-3 første ledd ikke kan benyttes i etterretningsproduksjon etter §§ 3-1 til 3-4. I motsatt fall – at de speilede dataene ikke kan benyttes til etterretningsformål – vil speilingen ikke oppfylle grunnvilkåret til etterretningsformål i § 7-1.

6. Uklart om forslaget til § 7-3 gir hjemmel til speiling for utviklings- og vedlikeholdsformål

Forslaget til § 7-3 første ledd bestemmer at det kan besluttes speiling til testing og analyse etter §§ 7-5 og 7-7 fjerde ledd «med sikte på å avklare om det foreligger grunnlag for å fremme begjæring om rettens beslutning etter annet ledd». I høringsnotatet[6] uttales det at «[f]ormålet med speiling er å kunne avklare om det foreligger grunnlag for å fremme begjæring til retten om å tillate speiling som grunnlag for søk og innhenting etter §§ 7-8 og 7-9».

Etter utvalgets oppfatning er det uklart om Etterretningstjenesten etter den foreslåtte bestemmelsen vil ha hjemmel til å speile med det formål å bruke dataene til utvikling, vedlikehold og oppdatering av TI-systemet.

Med vennlig hilsen

Astri Aas-Hansen

utvalgsleder

[1] Høringsnotatet side 17.

[2] Se Prop. 80 L (2019-2020) side 107 og 215.

[3] Høringsnotatet side 15.

[4] Se bl.a. Centrum för Rättvisa avsnitt 331 og La Quadrature du Net avsnitt 138.

[5] Side 17.

[6] Side 17.