4 Valg av DNS-blokkering eller DNS-varsling
4.1 Bakgrunn
I høringsnotatet til ny pengespillov av 29. juni 2020 vurderte departementet det som lite sannsynlig at DNS-blokkering effektivt vil hindre at de som ønsker det benytter seg av uregulerte spilltilbud, fordi det finnes relativt ukompliserte metoder for å omgå denne formen for blokkering. Man vurderte derfor at DNS-blokkering først og fremst ville fungere som et informasjonstiltak som opplyser om at nettstedet ikke har norsk tillatelse, på lik linje med DNS-varsling. Fordi både blokkering og varsling er egnet til å oppnå denne effekten, konkluderte departementet med at det var mest naturlig å anvende det minst inngripende tiltaket, nemlig DNS-varsling.
Høringen av forslag til ny pengespillov viste imidlertid at kun et mindretall av høringsinstansene delte dette synet. Flere høringsinstanser viste til at selv om det fins metoder for å omgå DNS-blokkering, vil blokkering likevel være et mer effektivt tiltak enn DNS-varsling. Disse så ingen grunn til at ikke barrieren bør settes høyest mulig, dersom man ønsker å hindre rekruttering til utenlandske pengespilltilbud.
Videre viste innspill fra Telenor Norge AS at innføring av DNS-varsling vil være mer teknisk krevende enn antatt. Erfaringer fra Sverige, som hittil er det eneste landet som har innført hjemmel til å pålegge DNS-varsling, viste også at det er betydelige tekniske utfordringer med denne løsningen.
DNS-varsling innebærer at internettleverandørenes systemer må settes i stand til å gi to ulike svar når en bruker forsøker å kontakte et uregulert pengespillnettsted: Først et «falskt svar» som leder til varslingssiden, og deretter et «korrekt svar» som fører til det uregulerte pengespilltilbudet. Dette er krevende fordi stadig mer av kommunikasjonen på internett sikres ved hjelp av kryptering og signaturer, og det eksisterer ingen ferdig teknologisk løsning for DNS-varsling som kan omdirigere brukeren til det ulovlige nettstedet etter at man har fått opp varslingen. Internettleverandørene vil derfor måtte utvikle et nytt system for dette. Flere høringsinstanser viste til at dette vil være svært kostnadskrevende, forringe brukeropplevelsen og introdusere en rekke sårbarheter som kan utnyttes av aktører med dårlige hensikter.
I lys av høringsinnspillene vurderte departementet spørsmålet på nytt, og sendte 21. september 2021 på ny høring et forslag om DNS-blokkering.
4.2 Høringen
I høringsnotatet 21. september 2021 vurderte departementet at DNS-blokkering, til tross for at det kan omgås ved hjelp av for eksempel VPN-tjenester, vil skape en høyere terskel for å besøke det aktuelle nettstedet fordi brukeren vil måtte foreta seg noe aktivt for å omgå blokkeringen. Dette skiller seg fra DNS-varsling, hvor brukeren simpelthen kan klikke seg videre til det uregulerte pengespilltilbudet. Det at prosessen for å besøke det uregulerte pengespillnettstedet blir mer tungvinn, gjør at man også mer effektivt kan hindre nyrekruttering til slike spilltilbud. Departementet fant at dette ville kunne styrke Norsk Tippings og Norsk Rikstotos kanaliseringsevne i konkurransen med uregulerte pengespill.
Departementet fant videre at en innføring av DNS-blokkering vil være mindre komplisert og mindre kostnadskrevende enn DNS-varsling, fordi det allerede eksisterer en ferdig utviklet teknologi for denne typen blokkering.
Man fant på denne bakgrunn at DNS-blokkering vil være et mer effektivt tiltak enn DNS-varsling. Departementet understreket imidlertid at man ville vurdere alle innspill som har kommet inn, både vedrørende forslaget om DNS-blokkering og vedrørende det tidligere forslaget om DNS-varsling, før det konkluderes.
4.3 Høringsinstansenes syn
Actis har uttalt at selv om det naturligvis vil være mulig å omgå blokkeringen, ser organisasjonen likevel ingen grunn til ikke å sette barrieren så høyt som mulig for å hindre spill på utenlandske spillselskaper. En blokkering vil dessuten gi et tydelig signal om at nettsiden man er på vei til er ulovlig, i tillegg til å være et ekstra hinder å forsere fordi spilleren vil måtte ta aktive grep for å komme seg rundt. Prosessen med å få tilgang til ulovlige sider vil bli betydelig mer tungvint og tidkrevende.
Også Norges idrettsforbund mener at det faktum at det er mulig å omgå en DNS-blokkering, ikke er noe godt argument for ikke å lovfeste det.
UiB, Nasjonalt Kompetansesenter for spillforskning, har pekt på at en del undersøkelser tyder på at tilgjengelighet av pengespill er positivt assosiert med spillproblematikk. Andre studier indikerer at økt tilgjengelighet initialt gir en økning i problemer, som så stabiliseres eller går ned igjen senere. Ut ifra dette, mener høringsinstansen at DNS-blokkering kan være et tiltak som styrker enerettsmodellen og utestenger ulovlige spillselskap fra det norske markedet på en mer effektiv måte enn DNS-varsling.
Altibox støtter departementets vurdering av at det bør innføres DNS-blokkering fremfor DNS-varsling, på grunn av forskjellene i kompleksitet, teknologirisiko, inngripen og mer. Det er imidlertid avgjørende at myndighetenes pålegg om DNS-blokkering i minst mulig grad skaper mistillit, usikkerhet eller påfører DNS-risiko.
Finans Norge har vist til at rapporten fra EU-kommisjonen bekrefter at blokkering er et effektivt informasjonstiltak som medvirker til at en del spillere avstår fra å prøve ulovlige pengespill, selv om det er mulig å omgå blokkeringen med VPN-tjenester eller andre tekniske løsninger. DNS-blokkering vil følgelig kunne bidra til å stanse en del utfordringer på et tidlig tidspunkt.
Lotteritilsynet, Medietilsynet, Hjernesvulstforeningen og Norsk Forening for spillproblematikk har pekt på at DNS-blokkeringens effekt ikke kan vurderes isolert, men må ses i sammenheng med øvrige tiltak. DNS-blokkering vil, sammen med betalingsformidlingsforbudet og reklameforbudet, bli et forsterket virkemiddel for å utestenge disse uregulerte aktørene fra Norge og med det verne sårbare spillere og deres familier.
Spillavhengighet Norge har pekt på at et DNS-blokkert pengespillnettsted vil bidra til en pause i spillet som fungerer som en nedkjølingsperiode hos personer med et problematisk forhold til pengespill. Det er i denne perioden at spilleren reflekterer over eget spillemønster og er tilbøyelig for å søke hjelp, takket være at de har møtt på et hinder mellom seg og spilltilbudet.
Arbeidsgiverforeningen Spekter, Forbrukertilsynet og Nasjonalforeningen for folkehelsen er positive til DNS-blokkering fordi det effektivt formidler informasjon til forbrukere og gir dem et ekstra varsel om at de ikke har den samme rettslige beskyttelsen ved bruk av utenlandske pengespill på internett.
Stiftelsen Dam mener det er sannsynlig at DNS-blokkering vil øke kunnskapen omkring hvilke selskap som har, og ikke har, tillatelse til å tilby pengespill i Norge. Videre kan det redusere antall norske brukere på sidene til spillselskaper som retter virksomheten mot Norge uten tillatelse, enten fordi spillerne blir avskrekket av å vite at spillsiden opererer i strid med norsk lov, eller at terskelen for å omgå DNS-blokkeringen blir for høy.
Norsk Tipping mener tiltaket vil gjøre det vanskeligere for utenlandske spillselskaper å nå eksisterende kunder, og ikke minst rekruttere nye. For det brede lag av den spillende befolkningen vil det ifølge høringsinstansen ikke være naturlig å opprette for eksempel en VPN-løsning for å kunne omgå DNS-blokkeringen.
Spelfriheten anser DNS-blokkering som lite hensiktsmessig, og mener frivillige verktøy har en vesentlig større suksessrate enn verktøy som tar sikte på å hindre personer fra å utføre den negative handlingen. Dette blir særlig forsterket om verktøyet er lett å forbigå – slik tilfellet er med DNS-blokkering.
Norsk pokerforbund mener at når målet er å bidra til økt kunnskap og informasjon rundt hvilke spillselskap som mangler tillatelse etter norsk lov, bør departementet vurdere mindre inngripende tiltak, som f.eks. informasjonskampanjer og lignende, fremfor et tiltak som hindrer en stor gruppe muligheten til å utøve sin hobby.
Norsk Bransjeforening for onlinespill (NBO) mener departementet bør vurdere om formålet med DNS-blokkering kan oppnås med mindre inngripende tiltak som ikke innebærer en behandling av personopplysninger, slik som informasjons- eller holdningskampanjer.
4.4 Departementets vurdering
4.4.1 DNS-varsling eller DNS-blokkering
Departementet fastholder at DNS-blokkering, til tross for at det kan omgås ved hjelp av ulike verktøy som VPN-tjenester, vil skape en høyere terskel for å besøke et nettsted som tilbyr pengespill uten tillatelse, fordi brukeren vil måtte foreta seg noe aktivt for å omgå blokkeringen. Dette skiller seg fra DNS-varsling, hvor brukeren simpelthen kan klikke seg videre til det uregulerte pengespilltilbudet. Det at prosessen for å besøke det uregulerte pengespilltilbudet blir mer tungvinn, gjør at man også mer effektivt kan hindre nyrekruttering til slike spilltilbud. Dette støttes av høringsuttalelsen til Nasjonalt Kompetansesenter for spillforskning ved UiB, som har pekt på at tilgjengelighet av pengespill er positivt assosiert med spillproblematikk, og at DNS-blokkering derfor kan være et mer effektivt tiltak enn DNS-varsling. Også flere andre høringsinstanser har uttalt at barrieren for å besøke uregulerte pengespillnettsteder bør settes høyest mulig dersom målet er å redusere spilling hos selskaper som ikke har norsk tillatelse. Som vist til i Actis’ høringsinnspill vil en DNS-blokkering dessuten gi et tydelig signal om at nettsiden man er på vei til er ulovlig, i tillegg til å være et ekstra hinder å forsere fordi spilleren vil måtte ta aktive grep for å komme seg rundt. Prosessen med å få tilgang til ulovlige sider vil bli betydelig mer tungvinn og tidkrevende.
Departementet vurderer på denne bakgrunn at DNS-blokkering er det tiltaket som i høyest grad vil styrke Norsk Tippings og Norsk Rikstotos kanaliseringsevne i konkurransen med uregulerte pengespill.
I tillegg kommer at alternativet DNS-varsling har vist seg å være mer krevende rent teknisk enn antatt. Som forklart i høringsnotatet, innebærer DNS-varsling at internettilbyderens systemer må settes i stand til å gi to ulike svar når en bruker forsøker å kontakte en uregulert pengespillnettside: Først et «falskt svar» som leder til varslingssiden, og deretter et «korrekt svar» som fører til det uregulerte pengespilltilbudet. Dette er krevende fordi stadig mer av kommunikasjonen på internett sikres ved hjelp av kryptering og signaturer, og det eksisterer ingen ferdig teknologisk løsning for DNS-varsling som kan omdirigere brukeren til den ulovlige nettsiden etter at man har fått opp varslingen. Internettleverandørene vil derfor måtte utvikle et nytt system for dette. Dette kan bli kostnadskrevende, forringe brukeropplevelsen og introdusere en rekke sårbarheter som kan utnyttes av aktører med dårlige hensikter.
DNS-blokkering, derimot, eksisterer allerede som en ferdig utviklet teknologi. En slik løsning vil derfor være mindre komplisert og mindre kostnadskrevende for internettilbyderne å gjennomføre. DNS-blokkering benyttes også allerede som tiltak mot ulovlige pengespill i tolv andre EØS-land, og ytterligere seks EØS-land anvender lignende blokkeringsmetoder. Dette til forskjell fra DNS-varsling, som ennå ikke er tatt i bruk som tiltak på pengespillfeltet i noen andre EØS-land. Dette inkluderer også Sverige, som har innført en hjemmel til å pålegge DNS-varsling, men som foreløpig ikke har tatt denne hjemmelen i bruk. DNS-blokkering, derimot, vil kunne tas i bruk mer eller mindre umiddelbart.
Departementet finner på denne bakgrunn at DNS-blokkering vil være et mer effektivt tiltak enn DNS-varsling, både fordi det hever terskelen for å besøke uregulerte pengespill og fordi det kan innføres langt raskere enn DNS-varsling. Det foreslås derfor at det åpnes for å gjennomføre DNS-blokkering av pengespillnettsteder uten tillatelse, i tråd med Stortingets tidligere anmodningsvedtak.
4.4.2 DNS-blokkering kontra andre mulige tiltak
Enkelte høringsinstanser mener verken DNS-blokkering og DNS-varsling er hensiktsmessige tiltak, og har tatt til orde for at det i stedet bør innføres mindre inngripende tiltak, som for eksempel informasjonskampanjer. Til dette viser departementet at informasjons- og holdningskampanjer er tiltak som allerede er tatt i bruk på pengespillfeltet, som for eksempel Lotteritilsynets kampanje om «svart gambling», som har som formål å spre informasjon om hvilke pengespill som er ulovlige og risikoen ved å spille hos disse selskapene. I tillegg til informasjons- og holdningskampanjer er det tatt i bruk en rekke øvrige tiltak, som stans av betalingstransaksjoner, håndheving av markedsføringsforbudet, pålegg om retting og stans, mulighet for ileggelse av tvangsmulkt eller overtredelsesgebyr. Til tross for at gjennomføringen av disse ulike tiltakene har ført til en økende kanaliseringsgrad de senere årene, er det fremdeles behov for nye tiltak for å bedre måloppnåelsen om å forebygge spilleproblemer ved å kanalisere spillelysten inn i ansvarlige former. DNS-blokkering vil derfor i kombinasjon med disse tiltakene bidra til en samlet større effekt.
4.5 Mulig redusert effekt av DNS-blokkering
4.5.1 Høringen
Departementet vurderte i høringsnotatet at det finnes flere måter å omgå en DNS-blokkering på, men at tiltaket likevel må antas å ha effekt fordi det vil heve terskelen for å besøke et nettsted som tilbyr pengespill uten tillatelse i Norge, samt fungere som et informasjonstiltak for hvilke pengespilltilbud som ikke har norsk tillatelse. Omgåelsestiltaket som ble trukket fram i høringsnotatet, var først og fremst VPN-tjenester.
4.5.2 Høringsinstansenes syn
Enkelte høringsinstanser har vist til at det i dag eksisterer flere tekniske løsninger som kan benyttes for å omgå en DNS-blokkering, og som ikke ble nevnt i høringsnotatet.
Elektronisk forpost Norge og Norwegian Unix User Group har i et felles høringssvar vist til at DNS-over-https (DoH) er en ny standard for sikker håndtering av DNS-forespørsler som allerede støttes av aktører som Chrome og Firefox. Foreløpig er ofte funksjonaliteten slått av som standard, slik at bruker selv må skru den på. Ifølge høringsinstansen er dette imidlertid i ferd med å endre seg til å bli en standardinnstilling. DoH innebærer at DNS-forespørsler sendes kryptert, oftest til utenlandske servere. Dette i motsetning til standard DNS, der forespørslene som regel sendes til den lokale internettleverandøren ukryptert. DoH-serverne i utlandet vil ikke sperre nettsider på vegne av norske myndigheter, og blokkeringen vil være uten effekt når disse er i bruk.
Elektronisk Forpost Norge Norwegian og Unix User Group har videre vist til at applikasjoner («apper») ikke behøver være avhengig av en spesifikk nettadresse, og at en applikasjon med en ulovlig spilltjeneste derfor vil fungere uavhengig av om et domene er tilgjengelig for brukeren. Om en sluttbruker for eksempel laster ned en app ved navn «Gambling» på sin enhet, vil den kunne fungere uavhengig av om domenene «gambling.no» eller «gambling.com» er tilgjengelige for brukeren. Høringsinstansene har videre vist til at DNS-blokkering vil kunne bidra til å undergrave ulike sikkerhetsmekanismer på internett, noe som igjen vil kunne gjøre fremtidens internett mindre sikkert.
ISOC Norge stiller seg bak høringsuttalelsen fra Elektronisk forpost Norge og Norwegian Unix User Group, og har uttrykt bekymring for at DNS-blokkering eller varsling vil medføre at ordinært tillitsverdige DNS-tjenere ikke lenger vil bli brukt.
Norsk Økokrimforening er positiv til tiltak som regulerer og reduserer pengespill, men er skeptisk til om forslaget vil gi tilstrekkelig effekt i lys av arbeidet med å innføre og vedlikeholde et slik DNS-filter. Dagens nettleser og internettjenester gjør det enkelt å benytte VPN og andre anonymiseringsfunksjoner som kan omgå DNS-filtrene til de norske internettleverandørene. Det må derfor være gode prosesser tilknyttet å blokkere innhold på internett og revidere blokkeringen ved jevne mellomrom.
Telenor har i sitt høringssvar gjort oppmerksom på at innføring av DNS-blokkering vil bidra til at forbrukere velger seg vekk fra norske internettilbydere sin eksisterende DNS-struktur, og i stedet benytter DNS-tjenere levert av tredjeparter, eller DoH. Dette vil ifølge høringsinstansen gjøre at flere unngår DNS-blokkering brukt til andre formål, noe som igjen vil kunne gjøre sikkerhetsprodukter som Telenors Nettvern mindre treffsikre.
4.5.3 Departementets vurdering
DNS (Domain Name System) er internettjenesten som kobler domenenavn sammen med IP-adressen til en tjener på Internett og dermed gjør det mulig å sende informasjon til riktig sted på nettet. Med andre ord vil DNS oversette domenenavnet norskkasino.com (tenkt eksempel) til IP-adressen til serveren som inneholder nettkasinoet sine nettsider. Enkelte høringsinstanser har trukket fram DNS-over-https (DoH) som en nyere måte å omgå DNS-blokkering på. DoH er en ny standard for domeneoppslag som skal gi mer sikker håndtering av DNS-forespørsler. DoH krypterer forespørselen fra brukerens datamaskin til prefererte verktøy for DNS-oppslag i den globale katalogen av domenenavn, såkalte DNS-resolvere (rekursive DNS-tjenere) som utfører oppslag i denne katalogen. Løsningen sikrer at brukeren legger fra seg så lite data som mulig, og benyttes bl.a. for å forhindre at den som drifter et nettsted samler inn data om sine brukere. Fordi løsningen krypterer forespørselen til DNS-resolvere, vil den også kunne omgå en DNS-blokkering. Det innebærer at så lenge DoH er påslått, vil en DNS-blokkering i utgangspunktet ikke fungere.
Departementet har i lys av høringsinnspillene undersøkt omfanget av bruken av DoH. DoH støttes i økende grad av de mest brukte nettlesere og operativsystemer. For eksempel støttes DoH av nettleserne Firefox, Chrome, Opera og Edge, og kan finnes i operativsystem som Windows, MacOsX og Linux, samt Android og iOS. DoH er imidlertid, etter det departementet er kjent med, ikke påskrudd og aktivert som en standard innstilling i disse nettleserne eller operativsystemene, jf. pkt. 2.4.2 i NKOMs årsrapport fra juni 2022 om internett i Norge. Så lenge DoH ikke er påskrudd, vil en DNS-blokkering i utgangspunktet fungere. Det er derfor fortsatt slik at brukeren vil måtte foreta seg noe aktivt for å omgå en DNS-blokkering. Ifølge NKOMs årsrapport fra 2022 er det uvisst når DoH eventuelt vil bli aktivert i Norge på grunn av manglende insentiv og tekniske utfordringer.
Ifølge Elektronisk forpost Norge og Norwegian Unix User Group er DoH i ferd med å endre seg til å bli en standardinnstilling i de fleste norske nettlesere. Departementet ser ikke bort ifra at dette kan skje i framtiden, men anser det som svært usikkert når dette eventuelt vil bli en realitet. En annen faktor som kan påvirke utviklingen av bruken av DoH, er EU-initiativet DNS4EU, som er iverksatt for å styrke DNS-oppslagstjenester innen europeisk jurisdiksjon. DNS4EU tilbyr primært DNS-oppslag, men skal i tillegg gi beskyttelse mot uønskede nettsider i henhold til EUs eget regelverk. Tjenesten er tenkt som et åpent og gjennomsiktig alternativ til amerikanske DNS-tjenester som f.eks. Chromes DoH-løsning. Et EU-initiativ som DNS4EU, kan etter departementets vurdering gi norske myndigheter bedre muligheter til å håndheve nasjonal lovgivning gjennom DNS-blokkering. Fordi EU-initiativet er forholdsvis nytt, vet man imidlertid lite om hva som vil bli det konkrete resultatet, hvor lang tid det vil ta eller hvilke konsekvenser det vil ha for bruken av DoH.
På bakgrunn av den nevnte usikkerheten rundt utviklingen med DoH, vurderer departementet at effekten av DNS-blokkering på pengespillfeltet må ta utgangspunkt i nåsituasjonen, som er at DoH fortsatt, i de aller fleste tilfeller, må aktiveres manuelt av den enkelte bruker. Så lenge DoH ikke er aktivert som en standard innstilling i brukerens nettleser, vil en DNS-blokkering etter departementets syn fortsatt gi en betydelig effekt på folks tilgang til og informasjon om uregulerte pengespill på nett. Selv om det er fullt mulig for den enkelte bruker å aktivere DoH og dermed omgå en DNS-blokkering, er dette en løsning som krever at brukeren innehar et visst kunnskapsnivå og ønske om å aktivere et slikt verktøy, på samme måte som ved f.eks. VPN-tjenester. DNS-blokkeringen vil derfor i utgangspunktet fremdeles fungere overfor brukere som ikke aktivt har slått på en slik innstilling i sin nettleser.
Enkelte høringsinstanser har videre vist til at DNS-blokkering vil ha svekket effekt som følge av at flere pengespill blir tilbudt via apper, som ikke er avhengig av en spesifikk nettadresse. Til dette viser departementet til at det allerede utføres andre tiltak for å fjerne pengespillapper som ikke har norsk tillatelse. Lotteritilsynet gjennomfører tilsyn med tilbydere av pengespillapper, og følger utviklingen. For eksempel stenger Apple ned pengespillapper fra norske Appstore etter rapportering fra Lotteritilsynet og på eget initiativ, som følge av Apples egne retningslinjer som forbyr apper for pengespill som ikke har tillatelse i det landet de tilbys.
På bakgrunn av det ovennevnte er det fremdeles departementets vurdering at en DNS-blokkering vil ha en effekt, til tross for at det fins nye verktøy å omgå tiltaket på. Videre vil det ikke bli riktig å vurdere effekten av DNS-blokkering alene, da denne må ses i sammenheng med de øvrige tiltakene som er gjennomført for å oppnå økt kanaliseringsevne og reduksjon i antall spillerne hos utenlandske aktører.
De forskjellige nettleverandørene har egne DNS-servere (DNS-resolvere) som gjør DNS-oppslag på vegne av sine brukere. Enkelte høringsinstanser har uttrykt bekymring for at en beslutning om å DNS-blokkere flere nettsteder kan redusere tilliten til norske DNS-resolvere. Det vises i denne sammenheng til at noen sluttbrukere, i et forsøk på å omgå DNS-blokkeringen, vil skifte fra å bruke anerkjente norske DNS-resolvere, til å bruke utenlandske DNS-resolvere med et dårligere beskyttelsesnivå.
Departementet viser til at DNS-blokkeringen som er tenkt innført, er av samme type som den som for eksempel brukes i forbindelse med Kripos-filteret for å forhindre deling av overgrepsmateriale av barn og som brukes i forbindelse med pålegg om å begrense tilgangen til nettsteder for å beskytte opphavsrettigheter etter åndsverksloven. Departementet utelukker ikke at en blokkering av noen flere nettsteder, som forslaget innebærer, kan føre til at noen brukere vil velge utenlandske DNS resolvere som kan ha dårligere beskyttelsesnivå for brukeren sin nettaktivitet (eksempelvis samler inn mer data om sine brukere), enn DNS-resolvere som tilbys av norske nettleverandører. Departementet vurderer imidlertid at effekten av dette vil være begrenset, da filtreringsmetoden allerede er i bruk, og graden av filtrering (antall nettsteder som filtreres) kun økes i beskjeden grad.