7 Bruk av informasjon fra skjulte tvangsmidler til testing og utvikling

7.1 Gjeldende rett

Straffeprosessloven § 216 i og politiloven § 17 f regulerer taushetsplikt for opplysninger innhentet med skjulte tvangsmidler i henholdsvis etterforsking og som ledd i PSTs forebyggende virksomhet. Bestemmelsene fastslår at alle skal bevare taushet om opplysninger om at det er benyttet skjulte tvangsmidler, og om opplysninger som fremkommer ved bruk av slike tvangsmidler. Det er i begge bestemmelsene uttrykkelig angitt at taushetsplikten ikke er til hinder for bruk av opplysningene til nærmere angitte formål. Testing og utvikling av informasjonssystemer er ikke nevnt verken i straffeprosessloven § 216 i eller politiloven § 17 f.

Kontrollutvalget for kommunikasjonskontroll (KK-utvalget) fører kontroll med politiets bruk av kommunikasjonskontroll, romavlytting og dataavlesing, med unntak av saker som omfattes av EOS-kontrolloven, jf. straffeprosessloven § 216 h og kommunikasjonskontrollforskriften § 14 første ledd. Etter forskriften § 14 annet ledd skal utvalget kontrollere at «de opplysningene som politiet har fått ved kommunikasjonskontroll, romavlytting og dataavlesing, bare blir brukt på lovlig måte, og at lovens regler om oppbevaring, sperring og sletting av opplysninger blir fulgt».

7.2 Forslaget i høringsnotatet

I høringsnotatet bemerket departementet at skjulte tvangsmidlers inngripende karakter kan være en innvending mot at opplysninger som er underlagt formålsbegrensningene i straffeprosessloven § 216 i og politiloven § 17 f, skal kunne brukes til testing og utvikling. Samtidig ble det vist til at det nettopp på dette området er et særlig behov for verktøy som kan bidra til enklere oversikt, sammenstilling og oversettelse, samt å finne frem til relevante bevis. Slike verktøy kan bidra til å redusere den manuelle gjennomgangen av opplysninger, noe som igjen kan være positivt i et personvernperspektiv.

Departementet foreslo derfor, under noe tvil, at også opplysninger innhentet ved kommunikasjonskontroll, romavlytting og dataavlesing bør kunne brukes til testing og utvikling av informasjonssystemer som skal brukes innenfor politiregisterlovens virkeområde.

I høringsnotatet ble det uten nærmere drøftelse lagt til grunn at selv om straffeprosessloven § 216 i og politiloven § 17 f er utformet som regler om taushetsplikt og unntak fra denne, innebærer de også en regulering av hvilke formål opplysningene kan brukes til. Testing og utvikling ble derfor foreslått inntatt i nye bokstaver i straffeprosessloven § 216 i første ledd tredje punktum og politiloven § 17 f annet ledd, ettersom testing og utvikling ikke kan innfortolkes i noen av alternativene som allerede er opplistet i bestemmelsene.

Departementet var i høringsnotatet usikker på om det burde stilles ytterligere krav for at opplysninger som er omfattet av straffeprosessloven § 216 i og politiloven § 17 f skal kunne brukes til testing og utvikling, men vurderte at de foreslåtte forskriftsreglene for bruk av andre opplysningskategorier var tilstrekkelige til også å ta høyde for de særlige hensyn som gjør seg gjeldende for opplysninger fra skjulte tvangsmidler. Det ble imidlertid foreslått forskriftsfestet at også denne formen for testing og utvikling skulle underlegges krav om forhåndsdrøftelser med Datatilsynet.

I høringsnotatet ble det vist til at bruken av opplysninger som er underlagt formålsbegrensningene i straffeprosessloven § 216 i til testing og utvikling, vil falle inn under KK-utvalgets kontrollområde.

7.3 Høringsinstansenes syn

Kripos viser til at riksadvokaten har uttalt at straffeprosessloven § 216 i kun regulerer i hvilken utstrekning opplysningene kan brukes utad, og ikke legger begrensninger på politiets interne bruk. I lys av dette finner Kripos det uklart hva departementet legger til grunn når det uttales at bestemmelsen også «innebærer en regulering av hvilke formål opplysningene skal brukes til», og at nevnte bestemmelser har karakter av formålsbegrensninger. Legges riksadvokatens utgangspunkt til grunn, vil det etter Kripos’ oppfatning ikke være like stort behov for endring i straffeprosessloven. Kripos foreslår derfor at behovet for lovendring vurderes på ny. Politidirektoratet viser til Kripos sitt innspill.

Datatilsynet har enkelte prinsipielle innvendinger mot bruk av informasjon fra skjulte tvangsmidler til testing og utvikling. De verktøyene som høringsnotatet påpeker at det er behov for, kan ifølge tilsynet betraktes som ganske grunnleggende bruk av KI, men det vil også være mulig å lage systemer som kan gjenkjenne biometriske kjennetegn, som utseende, stemme eller talemåte. Datatilsynet understreker at slike verktøy må vurderes opp mot profilering, som politiregisterloven ikke omfatter, ettersom LED artikkel 11 om automatiserte individuelle avgjørelser ikke er implementert i loven.

Datatilsynet ser at det i mange tilfeller åpenbart er nødvendig å unnta behandling av personopplysninger fra denne typen kilder fra retten til innsyn og informasjon. Tilsynet anbefaler at departementet vurderer om det skal gjøres endringer i personopplysningsloven § 16, som åpner for å gjøre unntak fra de registrertes rettigheter blant annet av hensyn til forebygging, etterforsking, avsløring og rettslig forfølgning av straffbare handlinger, til også å omfatte slike behandlinger som er omfattet av forslaget.

Kontrollutvalget for kommunikasjonskontroll (KK-utvalget) tar ikke stilling til om maskinlæringsmodeller skal utvikles og benyttes, men påpeker at det er viktig at eventuell bruk av treningsdata innhentet fra skjult metodebruk begrenses så mye som mulig. Utvalget ser at anonymiserte treningsdata ikke nødvendigvis i tilstrekkelig grad tilfredsstiller kravene i KI-forordningen til relevante, representative, feilfrie og fullstendige treningsdata for trening av høyrisiko maskinlæringsmodeller. Det er viktig at hele prosessen fra innsamling av data til distribusjon av ferdig utviklede modeller blir kontrollert. Dette må legges inn under utvalgets kontroll.

KK-utvalget forutsetter at utvalget kan føre kontroll med alle ledd, fra innsamling av data, testing, utvikling, distribusjon og til bruk av ferdig utviklede modeller. Siden utvikling av modellene og bruk av opplysninger fra skjult metodebruk lite trolig vil bli prøvd for domstolen, bør utvalget få et særskilt ansvar for å føre kontroll på dette området. Det er derfor viktig at politiet gjennomfører adekvate risikovurderinger og at disse vurderingene er protokollført slik at de er etterprøvbare. Utvalget mener at politiet og påtalemyndigheten i startfasen må dokumentere hvilke tekniske løsninger, maskinvare og programvare som skal brukes, og dens egenskaper med sikte på etterfølgende kontroll. Under testing og utvikling må KK-utvalget kunne kontrollere hvordan gjennomføringen faktisk foregår, og om politiet følger fastsatte planer og retningslinjer. Før modellene settes i produksjon, må KK-utvalget kunne vurdere om gjennomføringen har gått etter planen, og at treningsdata ble håndtert og slettet eller sperret på riktig måte i etterkant.

For å muliggjøre tilsyn i alle faser må det etter utvalgets syn utarbeides detaljerte og sammenhengende rapporter som beskriver hvert steg i prosessen i detalj. Etter KK-utvalgets vurdering er det mye som taler for at politiet må følge samme prinsipper for protokollføring og innrapportering ved bruk av modellene som ved dataavlesing.

EOS-utvalget viser til at bruk av innhentede opplysninger til testing og utvikling utgjør et inngrep i personvernet, og savner en nærmere forholdsmessighetsvurdering av bruken av innhentede opplysninger til testing og utvikling generelt, og opplysninger innhentet ved bruk av tvangsmidler i forebyggende øyemed spesielt.

EOS-utvalget påpeker at politiloven § 17 f regulerer alle tvangsmidlene som PST kan anvende etter politiloven § 17 d, også beslag og utleveringspålegg, mens straffeprosessloven § 216 i regulerer taushetsplikt om opplysninger fra kommunikasjonskontroll, romavlytting, dataavlesning og tvangsmidler i avvergende øyemed. Utvalget viser til at opplysninger som skal slettes etter straffeprosessloven § 216 g annet ledd, ikke kan brukes til testing og utvikling. Departementet bør avklare om opplysninger som er omfattet av straffeprosessloven § 216 g annet ledd, men som inngår i en forebyggende sak, kan anvendes til testing og utvikling.

7.4 Departementets vurderinger

Departementet opprettholder vurderingen om at opplysninger som omfattes av straffeprosessloven § 216 i og politiloven § 17 f bør kunne brukes til testing og utvikling av informasjonssystemer som skal brukes innenfor politiregisterlovens virkeområde. Fordi det ofte er omfattende mengder informasjon som innhentes ved bruk av de aktuelle tvangsmidlene, er det på dette området et særlig stort behov for å kunne ta i bruk egnede informasjonssystemer. Materiale som er innhentet med skjulte tvangsmidler, som opptak fra kommunikasjonskontroll og materiale fra dataavlesing, er unikt i sin karakter, og det vil ofte ikke være mulig å anonymisere opplysningene fullt ut eller skape et fullverdig fiktivt datasett. I en del tilfeller vil det dermed være nødvendig å teste og utvikle informasjonssystemer ved hjelp av den typen materiale de er tiltenkt brukt på. Det kan for øvrig også ha personvernmessige fordeler at ny teknologi kan benyttes, da det vil kunne redusere behovet for manuell gjennomgang av materialet.

Innhenting av opplysninger gjennom visse skjulte tvangsmidler, som kommunikasjonskontroll, romavlytting og dataavlesing, er særlig inngripende. Dette taler for at bruk av slike opplysninger til annet enn det de var innhentet for, begrenses. Departementet mener likevel at det vil være forholdsmessig å kunne bruke slike opplysninger til testing og utvikling. Dette skyldes både det faktiske behovet for å kunne bruke opplysningene til dette formålet, konsekvensene av å bruke informasjonssystemer som ikke er tilstrekkelig testet eller tilpasset til opplysningene de skal brukes på og at behandlingen vil bli rammet inn av forskriftsbestemmelser som begrenser inngrepet til det nødvendige.

Bruk av nye systemer som ikke er testet og tilpasset til politiets behov medfører en risiko for feilslutninger, skjevheter og unøyaktigheter i systemet som kan ha konsekvenser både for etterforskingen og for den berørte selv. Etterforskingen skal klarlegge både det som taler mot og det som taler for den mistenkte, jf. straffeprosessloven § 226 tredje ledd. Mangelfull testing og utvikling før systemene tas i bruk kan medføre en risiko for at systemene ikke avdekker relevante opplysninger som kan være både til fordel og ugunst for den mistenkte. Tilsvarende kan mangelfull testing av informasjonssystemer som brukes i PSTs forebyggende virksomhet medføre en risiko for at inngripende tvangsmiddelbruk varer lenger enn den ellers ville gjort, fordi informasjonen som hentes inn må gjennomgås og vurderes manuelt. Dette taler klart for å åpne for bruk av opplysninger fra skjulte tvangsmidler til testing og utvikling.

Det vil være en forutsetning for bruk av opplysninger fra skjulte tvangsmidler at ikke bruk av andre og mindre inngripende opplysningstyper vil være tilstrekkelig til å oppnå formålet. Behandlingen av opplysningene må også være nødvendig og forholdsmessig i det enkelte tilfelle. At opplysninger er innhentet ved skjult tvangsmiddelbruk, er et moment som må tas med i denne vurderingen. Måten opplysningene er innhentet på vil også få betydning for hvilke rammer som bør settes for den enkelte behandlingen, herunder omfanget av opplysninger som skal brukes, hvem som skal ha tilgang til dem og varigheten av behandlingen.

Departementet legger også vekt på at testingen og utviklingen ikke vil medføre konsekvenser for den enkeltes rettsstilling eller at det treffes avgjørelser overfor de personene som omfattes av behandlingen. Behandlingen har dermed få paralleller til LED artikkel 11 om automatiserte individuelle avgjørelser. Det er først og fremst bruken av informasjonssystemer for å treffe avgjørelser som har negativ virkning for eller som berører den registrerte som må vurderes opp mot denne artikkelen. Slike avgjørelser legges det ikke opp til med forslaget her. At LED artikkel 11 ikke er gjennomført i politiregisterloven, kan derfor ikke ses å få noen betydning i denne sammenheng.

På bakgrunn av høringsinnspillet fra Kripos har departementet foretatt en ny vurdering av behovet for å endre straffeprosessloven § 216 i. Det aktuelle spørsmålet er hvorvidt bestemmelsen skal forstås som en bestemmelse om taushetsplikt som kun setter begrensninger på bruken av slike opplysninger utad, eller om bestemmelsen også setter begrensninger i politiets adgang til å benytte slike opplysninger internt.

Straffeprosessloven § 216 i første ledd tredje punktum angir at taushetsplikten ikke er til hinder for at opplysninger fra kommunikasjonskontroll mv. brukes i nærmere angitte situasjoner. I Ot.prp. nr. 64 (1998–99) Om lov om endringer i straffeprosessloven og straffeloven m v (etterforskningsmetoder m v) kapittel 23 punkt IV, merknadene til § 216 i, uttaler departementet at tredje punktum er et unntak fra taushetsplikten i første og annet punktum, og dermed bare regulerer i hvilken utstrekning opplysningene kan brukes utad, ved at de meddeles til andre. Det uttales at bestemmelsen dermed ikke legger begrensninger på politiets adgang til å benytte opplysninger fra kommunikasjonskontroll internt, så lenge opplysningene ikke meddeles andre. Lignende uttalelser finnes i samme proposisjon punkt 8.9.3.3 og i Prop. 61 L (2016–2017) Endringer i straffeprosessloven og politiloven (utlevering av informasjon fra PST til E-tjenesten) punkt 5.2. I enkelte andre proposisjoner forekommer derimot uttalelser som legger til grunn at bestemmelsen også innebærer begrensninger på den interne bruken av opplysninger fra skjult etterforsking, jf. blant annet Prop. 114 L (2012–2013) Endringer i politiregisterloven mv. punkt 4.2.3. Sistnevnte proposisjon har imidlertid karakter av etterarbeider til straffeprosessloven § 216 i, og har dermed begrenset vekt ved tolkningen av bestemmelsen.

I lys av det ovennevnte, kan det være grunn til å vurdere nærmere hvordan § 216 i er å forstå på dette punkt. Det kan også være grunn til å vurdere en lovendring for å klargjøre eller eventuelt endre rettstilstanden. Dette vil departementet eventuelt komme tilbake til på et senere tidspunkt. Med utgangspunkt i høringen som ligger til grunn for proposisjonen her, finner departementet det hensiktsmessig å begrense forslaget til en presisering av § 216 i som gjør det klart at opplysninger som omfattes av bestemmelsen, uansett kan brukes internt til testing og utvikling av informasjonssystemer. Departementet foreslår at dette reguleres i en ny bokstav l i § 216 i første ledd tredje punktum.

Det presiseres for ordens skyld at departementet med dette ikke har tatt stilling til om bestemmelsen legger begrensninger på andre former for intern bruk av opplysninger fra kommunikasjonskontroll.

Departementet opprettholder den foreslåtte endringen i politiloven § 17 f om bruk av opplysninger innhentet med tvangsmidler i forebyggende øyemed. Forarbeidene til denne bestemmelsen, særlig Ot.prp. nr. 60 (2004–2005) Om lov om endringer i straffeprosessloven og politiloven (romavlytting og bruk av tvangsmidler for å forhindre alvorlig kriminalitet), skiller ikke mellom intern og ekstern bruk. I denne proposisjonen, punkt 9.4.4.1, uttales det:

For departementet er det en ufravikelig betingelse for å åpne for bruk av tvangsmidler i forebyggende øyemed at det skal gjelde strenge regler om taushetsplikt, og strenge begrensninger for hva opplysningene kan brukes til.

Etter departementets vurdering tilsier dette at bestemmelsen bør endres for å unngå usikkerhet om hvorvidt opplysninger innhentet ved skjulte tvangsmidler i forebyggende øyemed skal kunne brukes til testing og utvikling.

Selv om tvangsmiddelbruk i etterforsking og forebygging har ulike formål og skjer i ulike spor, er det mange av de samme hensynene som gjør seg gjeldende ved den videre behandlingen av opplysningene som innhentes. Formålene opplysningene kan brukes til uten hinder av taushetsplikt er til dels overlappende, selv om de er snevrere for de som er innhentet med tvangsmiddelbruk som ledd i forebygging. Begrunnelsen for de snevrere rammene var særlig hensynet til å unngå at det oppstår et press i retning av bruk av tvangsmidler i forebyggende øyemed fremfor som ledd i etterforsking, noe som ville undergrave rettssikkerhetsgarantiene i strafforfølgningen, jf. Ot.prp. nr. 60 (2004–2005) punkt 9.4.4.1. Adgangen til å bruke opplysninger innhentet ved forebyggende tvangsmiddelbruk i etterforsking og som bevis i straffesak er derfor begrenset. Opplysningene kan bare brukes i etterforsking av lovbrudd som kan begrunne forebyggende tvangsmiddelbruk og som bevis for terrorlovbrudd, jf. politiloven § 17 f annet ledd bokstav b og c. Departementet ser imidlertid ikke at det er noen grunn til å etablere strengere rammer for bruk av opplysninger innhentet ved skjult tvangsmiddelbruk i forebyggende øyemed til testing og utvikling enn for bruk av andre opplysninger til dette formålet.

EOS-utvalget har bedt om at det avklares om opplysninger som omfattes av straffeprosessloven § 216 g annet ledd, men som inngår i en forebyggende sak, kan brukes til testing og utvikling. Straffeprosessloven § 216 g annet ledd pålegger en plikt til å slette blant annet kommunikasjon med nærstående og med personer som er underlagt kallsmessig taushetsplikt, med mindre vedkommende mistenkes for en straffbar handling som kunne ha gitt selvstendig grunnlag for kontrollen. Sletting skal skje så snart som mulig, jf. politiregisterloven § 50 tredje ledd tredje punktum, og det vil derfor ikke være mulig å bruke opplysningene til testing og utvikling. Straffeprosessloven § 216 g gjelder derimot ikke for opplysninger innhentet etter politiloven § 17 d. Dersom PST har registrert opplysninger som omfattes av straffeprosessloven § 216 g annet ledd, vil de etter forslaget her kunne brukes til testing og utvikling på samme måte som øvrige opplysninger innhentet ved skjulte tvangsmidler i forebyggende øyemed.

Departementet bemerker at KK-utvalgets kontroll er etterfølgende, og vil være begrenset til å kontrollere at opplysningene blir brukt på lovlig måte og at lovens regler om oppbevaring, sperring og sletting av opplysninger blir fulgt, jf. kommunikasjonskontrollforskriften § 14. Departementet legger som utvalget likevel til grunn at prosesser og planer for behandlingen er godt dokumentert, slik at KK-utvalget kan føre effektiv kontroll med at opplysningene er brukt på lovlig måte.

Forslagene i proposisjonen her regulerer ikke bruk av maskinlæringsmodeller eller andre former for kunstig intelligens. Departementet tar derfor ikke nå stilling til eventuelle mekanismer for å sikre muligheten til å føre kontroll med bruk av maskinlæringsmodeller, men forutsetter at dette vil inngå i de relevante tilsynsorganenes tilsyn på vanlig måte. Hvordan det skal tilrettelegges for kontroll må løses i dialog mellom tilsynsorganene og politiet og påtalemyndigheten.

Datatilsynets merknad om eventuell endring av personopplysningsloven § 16 oppfattes å være relatert til tilsynets vurdering av at GDPR vil kunne gjelde for behandling av personopplysninger ved testing og utvikling, også der systemene skal brukes til politimessige formål. Som omtalt i punkt 6.5.2, mener departementet at denne behandlingen kan og skal reguleres av politiregisterloven. Dette medfører at politiregisterlovens innsynsregler samt retten til dokumentinnsyn etter straffeprosessloven vil gjelde på vanlig måte, og at det ikke er nødvendig med endringer i personopplysningsloven.