EOS-utvalgets hovedkonklusjon

EOS-utvalget har over lengre tid internt drøftet betydningen av den faktiske, teknologiske og rettslige utviklingen for tilstrekkeligheten av lov 20. mars 1998 nr. 11 om Etterretningstjenesten (e-loven) som rettslig grunnlag for tjenestens overvåking.

Den viktigste grunnen til å gjennomgå rettsgrunnlaget er at norske rettssubjekter i økende grad utgjør utenlandsetterretningsmål som følge av deltakelse i internasjonal terrorisme. Utvalget har lagt E-tjenestens etterretningsfaglige vurderinger av nødvendigheten av den tekniske informasjonsinnhentingen til grunn.

Utvalgets betraktninger om både overordnede hjemmelsspørsmål og konkrete vurderinger av metoder har ført til følgende hovedkonklusjon:

• Utvalget melder med dette til Stortinget om mulige behov for endringer i E-tjenestens regelverk, jf. forskrift 30. mai 1995 nr. 4295 Instruks om kontroll med etterretnings-, overvåkings- og sikkerhetstjeneste (kontrollinstruksen) § 13 nr. 3 bokstav h.

Utvalget vil presisere at det ikke har funnet grunn til å rette kritikk mot tjenesten. Hensikten med meldingen er å melde fra til Stortinget om et mulig behov for lovendringer. Utvalget er opptatt av at EOS-tjenestenes hjemler for inngrep er tilstrekkelig klare til å kunne fastslå om tjenestene utfører sin virksomhet i tråd med lovgivers vilje.

Utvalget deler E-tjenestens syn på at regelverket for tjenestens virksomhet må legge til rette for både tjenestens mulighet til effektiv oppgaveløsning og ivaretagelse av sikkerhetshensyn. Utvalget mener at de demokratiske hensynene som påpekes i meldingen, likevel taler for en ny stortingsbehandling av hvordan de ulike hensynene best kan balanseres i loven for tjenesten.

Betydningen av den faktiske, teknologiske og rettslige utviklingen

En sentral oppgave for utvalget er å kontrollere at forbudet i e-loven § 4 første ledd overholdes. Denne bestemmelsen fastslår at E-tjenesten på norsk territorium ikke skal «overvåke eller på annen fordekt måte innhente informasjon om norske fysiske eller juridiske personer». Begrunnelsen som ble gitt i forarbeidene for forbudet i e-loven § 4, kan illustrere utviklingen som har funnet sted:

Dels var forbudet tuftet på rettslig usikkerhet knyttet til legalitetsprinsippets utstrekning for «ren innsamling av informasjon». Retten til respekt for privatliv og familieliv etter Den europeiske menneskerettskonvensjonen (EMK) artikkel 8, og grunnlovfestingen av retten til privatliv i 2014, taler for at en etterretningstjenestes innsamling av informasjon om enkeltindivider omfattes av legalitetsprinsippet, det vil si at inngrep i denne retten må ha hjemmel i lov.

Videre ble forbudet inntatt for å «fokusere på at E-tjenestens virksomhet er rettet mot forhold som ligger utenfor norsk territorium». Et skarpt skille mellom utenlands- og innenlandsetterretningsrelevante forhold er også forutsatt i forarbeidene til lov 3. februar 1995 nr. 7 om kontroll med etterretnings-, overvåkings- og sikkerhetstjeneste (EOS-kontrolloven).

Siden vedtagelsen av både e-loven og EOS-kontrolloven har det funnet sted en betydelig endring i trusselbildet og teknologiske kommunikasjonsmuligheter. Trusler kan komme fra enkeltpersoner og ikke-statlige organisasjoner. Trusselaktørene forflytter seg, de har forgreininger i flere land, og den teknologiske utviklingen har muliggjort forberedelser til terrorhandlinger på tvers av landegrenser. Norske rettssubjekter er i økende grad blitt relevante for den norske utenlandsetterretningen som følge av deltagelse i internasjonal terrorisme.

At E-tjenestens og Politiets sikkerhetstjenestes (PST) veier i økende grad krysser hverandre, har vist seg i flere etapper, blant annet ved at tjenestene ble pålagt å samarbeide ved instruks 13. oktober 2006 nr. 13 og ved etableringen av Felles kontraterrorsenter i 2014. I kontroll- og konstitusjonskomiteens innstilling til EOS-utvalgets årsmelding for 2012 ble viktigheten av et nært samarbeid mellom PST og E-tjenesten understreket, men det ble samtidig pekt på at «økt samhandling og samarbeid også gir nye kontrollutfordringer som må løses parallelt med utviklingen av samarbeidsrelasjonene».

Professor i rettsvitenskap Erling Johannes Husabø har konkludert med at det er «tvilsomt om dagens hjemmelsgrunnlag for E-tjenesten tilfredsstiller de kravene som nå stilles etter EMK», jf. vedlegg 4 til Dokument 16 (2015–2016) – Rapport til Stortinget fra Evalueringsutvalget for Stortingets kontrollutvalg for etterretnings-, overvåkings- og sikkerhetstjeneste (EOS-utvalget).

Forslag om og utredning av lovregulering av digitalt grenseforsvar

E-tjenesten har i dag ikke tilgang til elektronisk kommunikasjon som går i kommunikasjonsnett/kabler underlagt norsk jurisdiksjon. I rapporten Et felles løft, som ble fremlagt av Ekspertgruppen for forsvaret av Norge, ble det uttalt at innhenting av informasjon fra kabel ikke vil «være prinsipielt annerledes enn andre former for utenlandsetterretning, men den vil omfatte store datamengder».

I NOU 2015:13 Digital sårbarhet – sikkert samfunn uttaler Sårbarhetsutvalget følgende:

«Utvalget registrerer at det oppgis at noen land vi gjerne sammenligner oss med, har digital grenseovervåking, og forstår det etterretningsfaglige behovet for å vurdere innføring også i Norge. Utvalget er imidlertid av den oppfatning at digital grenseovervåking ikke bør innføres uten en forutgående offentlig debatt. Denne debatten bør forberedes gjennom en Norsk offentlig utredning (NOU) eller et tilsvarende utredningsdokument. På den måten vil man sikre at virkemiddelet blir diskutert i større bredde enn det utvalget har hatt anledning til å gjøre.»

Etter EMK skal inngrep i retten til privatliv være forholdsmessige – og etter EOS-utvalgets skjønn vil dette best kunne sikres ved at samtlige tilgjengelige metoder vurderes av lovgiver under ett. Dette vil sikre at vilkår som måtte fastsettes av Stortinget for sikring av enkeltpersoners rettssikkerhet og personvern, vil få allmenn anvendelse for tjenestens samlede innhentingsmetoder som kommer i inngrep med enkeltpersoner, og ikke bare for én bestemt metode. At det konkrete metodevalget ikke skal være avgjørende for enkeltpersoners rettsvern, styrker et slikt syn.

E-tjenestens søk i lagrede metadata knyttet til norske rettssubjekter i Norge, for å finne selektorer for utenlandsetterretningsrelevante formål

EOS-utvalget ble i 2014 gjort kjent med at E-tjenesten gjennomfører søk i lagrede metadata knyttet til norske rettssubjekter i Norge, for å finne selektorer som er relevante for å løse tjenestens oppdrag. Det vil si søk etter kommunikasjon mellom for eksempel norske telefonnumre i Norge og for eksempel ukjente telefonnumre i utlandet til etterretningsmål. Problemstillingen ligger i skjæringspunktet mellom hensynet til personopplysningsvern og rikets og innbyggernes sikkerhet. Etter utvalgets mening er problemstillingen av så stor prinsipiell viktighet at den må forelegges Stortinget.

E-tjenestens overordnede vurderinger

E-tjenesten har overfor EOS-utvalget uttrykt at det er «faglige mangler ved resonnementet som ligger til grunn for» utvalgets vurderinger og professor Husabøs konklusjon. E-tjenesten skriver at den «vektlegger rettslig forutsigbarhet for alle deler av [dens] virksomhet, og deler EOS-utvalgets konstatering av at innsamling av informasjon om enkeltindivider er innenfor legalitetsprinsippets sfære». E-tjenesten oppgir at «menneskerettighetene er styrende for all [deres] virksomhet i utlandet».

E-tjenesten har også gitt uttrykk for at det «ligger […] i dagen at politimetoder for en innenlands sikkerhetstjeneste er betydelig mer regelstyrt enn metodebruken for en utenlandsetterretningstjeneste». Videre skriver tjenesten at det «[å] sammenligne strategisk utenlandsetterretning med innenlands politivirksomhet med et straffeforebyggelses- og bekjempelsesformål demonstrerer manglende kunnskap om de prinsipielle forskjellene mellom disse to virksomhetene». Det påhviler utenlandsetterretningstjenesten å gå «bredt ut (målsøking) for å få svar på overordnede myndigheters informasjonsbehov». E-tjenesten skriver at «[f]okus er på informasjon og ikke på individer, og i utgangspunktet er det intet stigmatiserende for en person å bli gjenstand for E-tjenestens søkelys».

Under særlig henvisning til at «påstander i det offentlige rom om et mangelfullt rettsgrunnlag i seg selv representerer en utfordring», stiller E-tjenesten seg likevel positiv til en gjennomgang av deres rettsgrunnlag. E-tjenesten viser også til at «Lysne II-utvalget vanskelig kan åpne for å gi tjenesten ny aksess dersom rammebetingelsene for tjenesten ellers oppfattes å være i strid med gjeldende menneskerettighetskrav».

Avslutningsvis skriver tjenesten at det «også [er] et argument for lovrevisjon at den faktiske, teknologiske og rettslige utviklingen krever en kontinuerlig vurdering av E-tjenestens rettsgrunnlag».

E-tjenestens samlede uttalelse følger som vedlegg 1 til den særskilte meldingen.

EOS-utvalgets arbeid med spørsmål om rettsgrunnlaget for E-tjenestens overvåkingsvirksomhet

Utvalget har fått muntlige orienteringer av E-tjenesten under utvalgets inspeksjoner av tjenesten, foretatt egne søk i E-tjenestens systemer og gjennomgått dokumenter. På den bakgrunn utferdiget utvalget en gradert rapport som har blitt oversendt til E-tjenesten for gjennomgang og uttalelse i to omganger. Utvalget mente at det i denne saken var særlig grunn til å gi E-tjenesten mulighet til direkte å kunne imøtegå både utvalgets forståelse og argumentasjon, for at saken skulle bli best mulig opplyst. Denne særskilte meldingen bygger på nevnte rapport og E-tjenestens skriftlige tilbakemeldinger etter gjennomgang av rapporten. Under utvalgets inspeksjon i E-tjenesten i mars 2016 ble det gjennomført et møte mellom utvalget og tjenesten for å avklare prosessuelle spørsmål i forbindelse med denne særskilte meldingen.

Innledning

Det er flere særegne forhold som preger dagens regulering av E-tjenesten. Disse er både historisk, statsrettslig og folkerettslig betinget. Det vil i det følgende gis en redegjørelse for E-tjenestens rettsgrunnlag for å belyse sentrale premisser for utvalgets særskilte melding.

E-tjenestens oppgaver og EOS-utvalgets kontroll

EOS-utvalget fører løpende kontroll med E-tjenesten, som er Norges sivile og militære utenlandsetterretningstjeneste. E-tjenestens virksomhet er regulert i e-loven og e-instruksen. Med hjemmel i e-instruksen § 17 er det gitt utfyllende, ugraderte bestemmelser for E-tjenestens innsamling mot norske personer i utlandet, samt for utlevering av personopplysninger til utenlandske samarbeidende tjenester.

E-loven regulerer hovedprinsippene knyttet til virksomheten til E-tjenesten, herunder tjenestens organisasjon og oppgaver, samt forholdet til norske personer. Lovens formål er å legge til rette slik at E-tjenesten effektivt kan bidra til å kartlegge og motvirke ytre trusler mot rikets selvstendighet og sikkerhet og andre viktige nasjonale interesser, samt trygge tilliten til og sikre grunnlaget for kontroll av tjenestens virksomhet, jf. e-loven § 1.

I e-loven § 3 fastsettes det hvilke oppgaver som tilligger E-tjenesten. I denne bestemmelsen fremgår det at tjenesten skal «innhente, bearbeide og analysere informasjon som angår norske interesser sett i forhold til fremmede stater, organisasjoner og individer, og på denne bakgrunn utarbeide trusselanalyser og etterretningsvurderinger, i den utstrekning det kan bidra til å sikre viktige nasjonale interesser». Bestemmelsen lister viktige eksempler på slike interesser, men listen er ikke uttømmende. Tjenesten skal blant annet bidra til utformingen av norsk utenriks-, forsvars- og sikkerhetspolitikk, tilveiebringe informasjon om internasjonal terrorisme og innhente informasjon om spredning av masseødeleggelsesvåpen og lignende.

En sentral begrensning for tjenestens virksomhet fremgår i e-loven § 4 og i e-instruksen § 5, som oppstiller et forbud mot overvåking eller annen fordekt innhenting av informasjon om norske fysiske og juridiske personer på norsk territorium. I kontrollen av E-tjenesten er utvalget særlig opptatt av at dette lovfestede forbudet ikke overtres.

Utvalgets tilsynsoppgave overfor E-tjenesten er nærmere presisert i EOS-kontrolloven og i EOS-kontrollinstruksen § 11 nr. 1 bokstav a og e, der det fremgår at utvalget skal «sikre at virksomheten holdes innen rammen av tjenestens fastlagte oppgaver og at det ikke øves urett mot noen» og å «påse at samarbeidet og informasjonsutvekslingen mellom tjenestene holdes innen rammen av de tjenstlige behov og gjeldende regelverk». I medhold av EOS-kontrolloven § 2 andre ledd skal utvalget «iaktta hensynet til rikets sikkerhet» i sin kontrollvirksomhet.

Hjemmelsgrunnlaget for E-tjenestens overvåking

E-loven inneholder ingen bestemmelser som direkte hjemler E-tjenestens metodebruk, men loven angir i § 3 tjenestens oppgaver. Iverksetting av etterretningsoperasjoner, herunder bruk av metoder, må falle innenfor tjenestens definerte oppgaver etter § 3.

Loven og instruksen spesifiserer ikke hvilke inngripende metoder som kan benyttes, og det foreligger ikke noen begrensninger for hvilket medium (radio, satellitt, kabel mv.) informasjon tjenesten innhenter, kan transporteres over.

I Ot.prp. nr. 50 (1996–1997) gis det uttrykk for at tjenestens to hovedmetoder for egeninnhenting av etterretningsmateriale er (i) teknisk innhenting gjennom egne lyttestasjoner av elektroniske data fra radio-, radar- og akustiske kilder, og (ii) menneskebasert innhenting. I tillegg fremgår det at innsamling skjer gjennom samarbeid og informasjonsutveksling med andre lands etterretningstjenester. Ut over dette uttrykkes det i forarbeidene ikke annet om tjenestens innsamlingskapasitet enn at tjenesten må ha «nødvendig innsamlingskapasitet for prioriterte behov».

Det er likevel ikke fritt frem for tjenesten med tanke på hvilken teknologi og hvilke metoder som benyttes. Av e-loven § 6 andre ledd følger det forutsetningsvis at E-tjenestens virksomhet skal holdes innenfor rammen av lovgivning, forskrifter og ulovfestet rett. Det kan oppstilles to grunnleggende begrensninger for tjenestens informasjonsinnsamling. For det første skal ikke tjenesten «på norsk territorium overvåke eller på annen fordekt måte innhente informasjon om norske fysiske eller juridiske personer», jf. e-loven § 4 første ledd. For det andre skal all etterretningsvirksomhet gjennomføres innenfor rammen av norske folkerettslige forpliktelser, herunder EMK.

Betydningen av såkalt politisk godkjenning av metoders lovlighet

I e-instruksen § 13 bokstav d bestemmes det at saker «av særlig viktighet eller prinsipiell karakter» skal forelegges Forsvarsdepartementet. Bestemmelsen innebærer at nye metoder o.l. skal underlegges en såkalt politisk godkjenning.

Forsvarsdepartementet har i utgangspunktet gitt uttrykk for det syn at loven, sett på bakgrunn av forarbeidene, tjenestens forhistorie og vedvarende statspraksis, må anses å gi et alminnelig hjemmelsgrunnlag for bruk av inngripende metoder, så lenge det dreier seg om bruk som ligger innenfor lovens formål. EOS-utvalget mente på sin side at det burde legges større vekt på den politiske godkjenningsprosessen ved den rettslige vurderingen. Etter videre behandling, blant annet i møter med departementet, presiserte departementet i et brev til utvalget sitt syn dithen at det i en totalvurdering av lovligheten av en spesifikk anvendelse av en metode må legges betydelig vekt på om metoden er politisk godkjent. Departementet skrev også at nye innhentingsmetoder under enhver omstendighet alltid vil bli ansett som saker av viktighet, som i henhold til e-instruksen § 13 skal forelegges for departementet. Departementets syn innebar at politisk godkjenning av nye metoder er nødvendig, og at unnlatelse av å innhente godkjenning etter omstendighetene kan få betydning for spørsmålet om bruken kan anses for å være lovlig. Etter dette fant utvalget ikke grunn til å forfølge de rettslige spørsmålene ytterligere. Utvalget får i sine inspeksjoner i E-tjenesten rutinemessig fremlagt saker som er forelagt departementet i henhold til e-instruksen § 13. Utvalget får også se departementets skriftlige tilbakemeldinger til tjenesten, men ikke departementets interne dokumenter vedrørende godkjenningen.

Forholdet til norske fysiske og juridiske personer

Forholdet til norske fysiske og juridiske personer reguleres i e-loven § 4, og bestemmelsen utfylles av e-instruksen § 5.

På side 10 i Ot.prp. nr. 50 (1996–1997) presiserer departementet at e-loven § 4 ikke skal tolkes motsetningsvis. Det vil si at tjenesten overfor norske borgere i utlandet eller utenlandske borgere i Norge ikke fritt kan foreta informasjonsinnhenting.

Det er med andre ord et absolutt forbud mot på norsk territorium å overvåke eller på annen fordekt måte innhente informasjon om norske personer, med unntak for norske personer som driver utenlandsk etterretningsaktivitet i Norge. Rettsstillingen til norske fysiske og juridiske personer utenfor norsk territorium reguleres ikke i e-loven. Ifølge forarbeidene kan innhenting av informasjon her altså gjennomføres «i den grad det er nødvendig for at tjenesten skal oppfylle lovens formål og utføre de oppgaver den i denne sammenheng er pålagt». Tjenesten er imidlertid forpliktet til å respektere menneskerettighetene, herunder EMK artikkel 8 om retten til privatliv og familieliv, også utenfor Norges grenser.

Med hjemmel i e-instruksen § 17 fastsatte Forsvarsdepartementet 24. juni 2013 utfyllende bestemmelser for E-tjenestens innsamling mot norske personer i utlandet samt for utlevering av personopplysninger til utenlandske samarbeidende tjenester. For at E-tjenesten skal kunne overvåke eller på annen fordekt måte innhente informasjon om norske personer i utlandet, skal tre fastsatte vilkår være oppfylt. For det første må innsamlingen skje som ledd i E-tjenestens utførelse av lovpålagte oppgaver. Dernest må de innsamlede opplysningene kunne oppbevares av E-tjenesten i henhold til e-loven § 4 andre ledd. Til sist må innsamlingen anses nødvendig etter en forholdsmessighetsvurdering, der hensynene til å sikre viktige nasjonale interesser og konsekvensene for personen innsamlingen rettes mot, inngår.

E-tjenestens rettsgrunnlag sett i lys av EMK

I henhold til Grunnloven § 92 skal statens myndigheter respektere og sikre menneskerettighetene. Ved lov 21. mai 1999 nr. 30 om styrking av menneskerettighetenes stilling i norsk rett (menneskerettsloven) er blant annet EMK gjort gjeldende som norsk lov med forrang fremfor annen lovgivning, jf. § 3. EOS-utvalget skal etter EOS-kontrolloven § 2 nr. 1 «påse at tjenestene respekterer menneskerettighetene». Formuleringen ble tilføyd 1. juni 2009 etter forslag fra utvalget selv. Utvalgets begrunnelse for tilføyelsen var blant annet at Norges forpliktelse til å respektere menneskerettighetene «vil kunne ha vel så stor betydning på utvalgets kontrollområde som i forvaltningen for øvrig», og at dette «ville gi et viktig signal både til tjenestene og til allmennheten».

Etter EMK artikkel 8 har enhver rett til respekt for sitt privatliv og familieliv, sitt hjem og sin korrespondanse. Ingen offentlig myndighet må gjøre inngrep i utøvelsen av denne rettighet unntatt når inngrepet er i samsvar med loven og er nødvendig i et demokratisk samfunn, blant annet av hensyn til den nasjonale sikkerhet. En etterretningstjenestes overvåking og registrering av personer vil innebære et inngrep i retten til respekt for privat- og familieliv etter artikkel 8. Det kan gjøres inngrep i de beskyttede interesser i EMK artikkel 8 dersom tre hovedvilkår er oppfylt: Inngrepet må være i samsvar med loven, det må ivareta anerkjennelsesverdige formål og det må være nødvendig i et demokratisk samfunn. Lovskravet innebærer at regelen må være tilgjengelig og forutsigbar, men retter seg også mot lovens kvalitet, idet den må oppfylle grunnleggende rettsstatsprinsipper. Det sistnevnte er sentralt for utvalget, siden utvalgets kontroll forutsetter at hjemlene er av en slik kvalitet at en reell kontroll kan utføres.

Fra et kontrollperspektiv kan det reises spørsmål ved om E-tjenestens metoder som kommer i inngrep med enkeltpersoner, bør lovfestes, jf. lovskravet EMK oppstiller for at det kan gjøres inngrep i rettighetene etter artikkel 8. Evalueringsutvalget skrev følgende i sin rapport til Stortinget, jf. Dokument 16 (2015–2016):

«Etter Evalueringsutvalgets syn er et tydelig og oppdatert rettslig rammeverk ett av flere elementer i det samlede kontrollsystemet som gjelder for tjenestenes virksomhet, og et tydelig regelverk gir bedre forutsetninger for kontroll både fra EOS-utvalget og andre. Hensynet til EOS-utvalgets kontrollmulighet tilsier derfor at Etterretningstjenestens virksomhet bør reguleres i et mer konkret og allment tilgjengelig regelverk.»

Det kan være grunn til å utrede nærmere om en lov som ikke regulerer metoder for innhenting av opplysninger om individer, tilfredsstiller det lovskravet som er nedfelt i EMK.

E-tjenesten har i uttalelse til utvalget lagt til grunn at all tjenestens informasjonsinnhenting tilfredsstiller sentrale menneskerettighetskrav, herunder vilkårene for å gjøre inngrep etter EMK artikkel 8. E-tjenesten peker også på at det er behov for en utgreiing av «menneskerettighetenes ekstraterritoriale anvendelse for innhentingsmetoder som ikke innebærer at E-tjenesten har territoriell kontroll eller faktisk og effektiv kontroll over en person».

Utvalget deler tjenestens syn på at forholdet til menneskerettighetene bør utredes nærmere. Utvalget mener dette bør skje som en del av en lovutredningsprosess.

E-tjenestens interne godkjenningssystem

For all behandling av personopplysninger i E-tjenesten gjelder de generelle krav i lov 14. april 2000 nr. 31 om behandling av personopplysninger (personopplysningsloven) til formålstjenlighet, nødvendighet og relevans. E-tjenesten har utviklet et internt godkjenningssystem for enkelte kategorier av behandling, deling og innsamling av opplysninger.

For det første har E-tjenesten en rutine for overordnet godkjenning av behandling av opplysninger om personer med tilknytning til Norge, i tråd med e-loven § 4 andre ledd, jf. § 3. Den neste interne godkjenningsrutinen har sin bakgrunn i Utfyllende bestemmelser for Etterretningstjenestens innsamling mot norske personer i utlandet samt for utlevering av personopplysninger til utenlandske samarbeidende tjenester, som ble fastsatt av Forsvarsdepartementet 24. juni 2013 med hjemmel i e-instruksen § 17. E-tjenesten gjennomfører teknisk overvåking av visse norske personer i utlandet i henhold til retningslinjene i nevnte bestemmelser. Den tredje og siste godkjenningsrutinen er knyttet til tjenestens søk i lagrede metadata for å finne kommunikasjon mellom selektorer knyttet til norske rettssubjekter i Norge og etterretningsmål i utlandet, for utenlandsetterretningsrelevante formål.

Det kan argumenteres for at det er særlige hensyn ved E-tjenestens virksomhet som taler for at vilkår for innsamling og behandling av personopplysninger bør lovreguleres nærmere. En nærmere lovregulering vil etter utvalgets vurdering styrke rettssikkerheten på et felt der enkeltpersoner er fullstendig avskåret fra å få innsyn i opplysninger som er lagret om dem, og ikke en gang kan få et svar på om E-tjenesten behandler eller ikke behandler opplysninger om dem. Heller ikke når utvalget kritiserer E-tjenestens behandling av opplysninger om en person som har klaget til utvalget, vil vedkommende få vite hvilke personopplysninger tjenesten behandler, eller hva som er grunnlaget for kritikken.

På samme måte som rettens forhåndsgodkjenning av politiet og PSTs bruk av skjulte tvangsmidler, kan det tenkes ekstern forhåndsgodkjenning også av E-tjenestens inngripende metodebruk. Dette gjelder spesielt når overvåkingen retter seg mot norske borgere i utlandet, som i dag i praksis skjer på kontraterrorfeltet. Slik det er i dag, tilligger beslutningen om overvåking E-tjenesten selv når en norsk borger er i utlandet, mens PST på forhånd må innhente godkjenning for tvangsmiddelbruk fra retten når vedkommende er i Norge. For PST er det også krav om fornyet domstolsgodkjenning etter bestemte tidsperioder ved bruk av tvangsmidler.

E-tjenestens interne godkjenningssystem bekrefter at E-tjenesten har høy oppmerksomhet knyttet til de personvernutfordringer dens overvåkingsvirksomhet reiser, og at overvåkingsvirksomheten er regulert internt. Utvalget har ikke funnet at tjenesten iverksetter overvåking utenfor eget kontrollregime.

• Utvalget mener det er nødvendig at lovgiver vurderer om E-tjenestens behandling av personopplysninger som ledd i sin oppgaveløsning bør reguleres ytterligere i lovs form, og om godkjenning av inngripende metodebruk bør underlegges domstolsgodkjenning e.l., i tillegg til EOS-utvalgets eksterne etterfølgende kontroll.

Bakgrunn

E-tjenesten gjennomfører søk i lagrede metadata med utgangspunkt i selektorer knyttet til norske rettssubjekter i Norge. Søkenes formål er å finne selektorer for utenlandsetterretningsrelevante formål, typisk selektorer tilhørende norske kontraterrormål i utlandet. Med metadata forstås informasjon om data, eksempelvis tidspunkt, varighet, til/fra-identifikatorer, type trafikk og andre parametere som kan beskrive en teknisk hendelse som har funnet sted i et kommunikasjonsnettverk. En selektor kan være et telefonnummer, en e-postadresse, et Facebook-kontonavn e.l.

Sjef E fastsatte 13. august 2014 Bestemmelser for metadatasøk som kan berøre norske rettssubjekter. Det fremgår av bestemmelsene at den overordnede hensikten med metadatasøk er å søke å frembringe informasjon om utenlandske mål som tjenesten ikke tidligere er kjent med, eller å frembringe ytterligere informasjon om allerede kjente utenlandske mål.

Innhenting av metadata som kan inkludere kommunikasjon til og fra norske rettssubjekter i Norge

Innledning

Problemstillingens utgangspunkt er E-tjenestens tekniske innsamling av metadata etter forutgående teknisk analysearbeid. Alle metadata lagres uten at noe informasjon filtreres vekk. Innhenting av metadata vil kunne inkludere kommunikasjon til og fra norske rettssubjekter i Norge, dersom det kommuniseres med personer som befinner seg i geografiske områder som E-tjenesten retter sine tekniske innhentingskapasiteter mot. Av tekniske grunner vil det aldri være slik at begge endene av kommunikasjonen stammer fra Norge. E-tjenesten har orientert utvalget om at metadata først slettes etter lagring i flere år, og at lagringstiden er etterretningsfaglig begrunnet.

Innhentingen av metadata er rettet mot de tematiske områder som tjenesten etter e-loven og prioriteringer fra Forsvarsdepartementet er pålagt å innhente informasjon om, jf. e-loven § 3. Innhenting av metadata innebærer «behandling» av «personopplysninger», idet det gjelder «opplysninger … som kan knyttes til en enkeltperson» som brukes av E-tjenesten.

E-tjenestens vurdering

Regelverket for E-tjenesten er teknologinøytralt, og metodebruken er ikke spesifisert, men metodene må benyttes for å løse oppgavene som er nedfelt i e-loven § 3. E-loven § 4 begrenser tjenestens mandat ved å forby fordekt innhenting om norske rettssubjekter på norsk territorium. Tjenesten innhenter store mengder metadata basert på hva som antas å frembringe mest mulig utenlandsetterretningsrelevant informasjon.

E-tjenesten skiller mellom såkalt målutvikling og fordekt innsamling. Målutvikling er det arbeidet som gjøres for å finne og sammenstille informasjon slik at en juridisk eller fysisk person kan identifiseres. Først når det iverksettes teknisk innhenting av data fra en identifisert persons selektorer, blir behandlingen av opplysninger definert av tjenesten som fordekt innhenting og må gå klar av forbudet i e-loven § 4 mot overvåking av norske borgere i Norge. E-tjenesten mener forbudets ordlyd om fordekt innhenting «om» norske personer må forstås som «rettet mot». Det må altså innfortolkes en overvåkingshensikt. Innhenting av metadata som kan inkludere kommunikasjon til og fra norske rettssubjekter, faller inn under tjenestens oppgaver som nedfelt i e-loven § 3. Innhentingen er videre uten overvåkingshensikt og dermed ikke i strid med e-loven § 4.

E-tjenesten påpeker at en annen fortolkning vil ha dramatiske konsekvenser for tjenestens mulighet til å løse sitt lovpålagte oppdrag.

E-tjenestens samlede uttalelse følger som vedlegg 2 til den særskilte meldingen.

EOS-utvalgets vurdering

E-loven § 3 pålegger E-tjenesten å «innhente, bearbeide og analysere informasjon» for bestemte formål. Forbudet i e-loven § 4 rammer «overvåking eller fordekt innhenting av informasjon». Bestemmelsene sett i sammenheng reiser spørsmålet om «å innhente» i § 3 er det samme som «overvåking eller fordekt innhenting» i § 4. Dersom begrepene skal forstås på samme måte, vil det ha til følge at all informasjon som E-tjenesten aktivt tilegner seg, rammes av forbudet dersom informasjonen inkluderer opplysninger om norske rettssubjekter på norsk territorium. Hvis begrepet i e-loven § 4 skal forstås snevrere enn innhentingsbegrepet i e-loven § 3, blir det et spørsmål om etter hvilke kriterier en konkret metode for innsamling av opplysninger må anses å være overvåking i forbudets forstand.

Utvalget har kommet til at det kan anføres to tolkningsalternativer for lovligheten av E-tjenestens innhenting av metadata som kan inkludere kommunikasjon til og fra norske rettssubjekter i Norge:

Tolkingsalternativ 1

Begrepet «overvåking eller annen fordekt innhenting» i e-loven § 4 kan tolkes som en henvisning til bruk av skjulte metoder for å tilegne seg opplysninger som ikke er allment tilgjengelig. Innhenting av metadata vil etter en slik forståelse være i strid med forbudet i e-loven § 4, alene fordi innhentingen inkluderer metadata om norske rettssubjekter i Norge.

Utfordringen med en slik forståelse er at den ikke bærer i seg hensynet til e-lovens formål og E-tjenestens mulighet til effektivt å kunne løse sine oppgaver, jf. e-loven §§ 1 og 3, som taler for en snever forståelse av innhentingsbegrepet i forbudet.

Tolkingsalternativ 2

E-tjenesten innhenter metadataene for å fremskaffe «målrettet, tidsriktig og relevant informasjon om utenlandske forhold som svarer til nasjonale myndigheters definerte etterretningsbehov» og mener at det er «nødvendig å analysere og prosessere enorme mengder med informasjon som tjenesten har aksess til». Utvalget legger E-tjenestens utgreiing om effektiviteten og det faglige behovet for innhenting av metadataene til grunn. E-tjenesten mener at forbudet i e-loven § 4 må forstås slik at det rammer den fordekte innhenting som er rettet mot norske personer, og at det dermed må innfortolkes en overvåkingshensikt.

Det kan etter dette argumenteres for at forarbeidenes uttalelse om en kvalifisert form for overvåking taler for at begrepet «overvåking eller fordekt innhenting» må forstås snevrere for å sikre E-tjenestens mulighet til effektivt å løse sine oppgaver, jf. e-loven §§ 1 og 3.

Utfordringen med en slik forståelse er at lovgivningen ikke gir anvisning på hvor grensen likevel må gå. Dette reiser spørsmål om når overvåkingshensikt inntrer og hvor inngripende tiltaket er i personvernet.

EOS-utvalgets konklusjon

Utvalget mener problemstillingen er en følge av utviklingen i trusselbildet og i teknologien, og at den aktualiserer hvor skjæringspunktet mellom personopplysningsvernet og hensynet til rikets og innbyggernes sikkerhet skal ligge. Etter utvalgets oppfatning knytter det seg rettslig usikkerhet til innhenting av metadata som kan inneholde opplysninger om norske borgere i Norge. Dette taler for at problemstillingen bør forelegges for Stortinget.

• EOS-utvalget mener E-tjenestens praksis for innhenting av metadata som kan inkludere selektorer tilhørende norske rettssubjekter i Norge, bør legges frem for Stortinget for vurdering av behovet for endring i E-tjenestens regelverk.

E-tjenestens søk i lagrede metadata knyttet til norske rettssubjekter i Norge, for å finne selektorer for utenlandsetterretningsrelevante formål

Innledning

I 2014 ble utvalget kjent med at tjenesten foretar søk i lagrede metadata knyttet til norske rettssubjekter i Norge, for å fremskaffe utenlandsetterretningsrelevant informasjon. Den ene enden av kommunikasjonen vil stamme fra en selektor som brukes i utlandet, mens den andre enden altså kan stamme fra et norsk rettssubjekt i Norge.

E-tjenesten har kapasitet til å foreta avanserte søk i, og kompleks analyse av, store metadatamengder. Søkene og analysene kan være av ulik art og foregå på flere måter.

E-tjenestens vurdering

E-tjenesten viser til at målutviklingsarbeidet gjennomføres ved søk i store datagrunnlag tjenesten lovlig har innhentet ved hjelp av tekniske kapasiteter. Søkene utformes med sikte på å frembringe informasjon om lovlige etterretningsmål. Slike søk gir – enten direkte eller etter en analyse – informasjon om mål av etterretningsmessig interesse, som det deretter kan rettes fordekt innsamling mot.

E-tjenesten vektlegger «både at søkene ikke er rettet mot den norske personen, men kun tar utgangspunkt i vedkommendes selektor, og at søkene ikke har noen overvåkningshensikt overfor vedkommende». Metadatasøkene vil dermed etter E-tjenestens syn ikke betraktes som innhenting i relasjon til e-loven § 4. E-tjenesten peker også på at «[f]ordekt-begrepet relaterer seg til innsamlingsmetoden og fokuset for innsamlingen, ikke til etterfølgende analyse og sammenstilling av allerede innsamlet informasjon».

E-tjenesten viser videre til at utenlandsetterretningsformålet gjør at det ikke ligger til PSTs oppgaver å samle inn de relevante dataene.

E-tjenesten understreker at bortfall av metodikken vil føre til alvorlige konsekvenser for tjenestens evne til å løse sine lovpålagte oppdrag innen enkelte felt.

E-tjenestens samlede uttalelse følger som vedlegg 2 til EOS-utvalgets særskilte melding.

EOS-utvalgets vurdering

Utvalget har sett eksempler på at E-tjenesten gjennomfører søk i lagrede metadata som stammer fra ulike kategorier av personer. I de interne godkjenningene vektlegges hvorvidt det er tungtveiende operative grunner til å foreta søkene, vurdering av trusselpotensial mot Norge, og konkrete begrunnelser for nødvendigheten, herunder hva som forventes oppnådd med søkene.

E-tjenesten har presisert at søkene ikke utformes eller gjennomføres for å få informasjon om det norske rettssubjektet. Utvalgets problematisering gjelder imidlertid at selektorer tilhørende norske rettssubjekter i Norge blir brukt som et middel for å oppnå et, etter e-loven § 3, legitimt mål. Etter utvalgets mening kan en slik metodikk vanskelig utledes av dagens regelverk.

E-tjenesten peker på at begrepet «fordekt» i forbudet viser til selve innhentingen av informasjon, og ikke etterfølgende søk og sammenstilling. Utvalget deler ikke denne forståelsen. Aktive søk i, og sammenstilling av, opplysninger fra selektorer tilhørende identifiserte norske rettssubjekter som stammer fra en fordekt innhentingskapasitet, kan ikke anses som noe annet enn målrettet informasjonsinnhenting mot disse, selv om formålet ikke er å innhente informasjon om de norske rettssubjektene. Ved søk og analyse behandles alltid ny informasjon. Dette vil gjelde uavhengig av E-tjenestens faglige vurdering av relevansen isolert sett. Forbudet i e-loven § 4 begrenser tjenestens mulighet til å innhente informasjon av utenlandsetterretningsmessig relevans. Hvorvidt E-tjenesten bør eller ikke bør være pålagt en slik innskrenking, er etter utvalgets oppfatning en lovgiveroppgave å ta stilling til.

I medhold av EOS-kontrolloven § 2 andre ledd skal utvalget «iaktta hensynet til rikets sikkerhet» i sin kontrollvirksomhet. I forarbeidene til EOS-kontrolloven er det uttalt at utvalgets plikt til å avveie kontrollhensynene mot hensynet til rikets sikkerhet betyr «at utvalgets standpunkter skal tas etter en avveining som inkluderer de hensyn EOS-tjenestene skal ivareta». Et slikt pålegg er ment å «hindre ensidig vektlegging av kontrollformålene under gjennomføringen av kontrollen».

I lys av E-tjenestens juridiske vurdering og redegjørelse for det etterretningsfaglige behovet for å gjennomføre søk for effektivt å kunne løse sine lovpålagte oppgaver og utvalgets plikt til å iaktta hensynet til rikets sikkerhet, har ikke utvalget funnet grunn til å rette kritikk mot tjenesten eller anmodet om at metodikken suspenderes. Hensikten med denne meldingen er å melde fra til Stortinget om et mulig behov for lovendringer.

• Utvalget mener E-tjenestens søk i metadata etter selektorer tilhørende norske rettssubjekter for utenlandsetterretningsformål står i en slik rettslig uavklart stilling at Stortinget med dette orienteres.

• Utvalget anser det som en lovgiveroppgave å ta stilling til om E-tjenesten skal kunne innhente informasjon av utenlandsetterretningsmessig relevans via selektorer knyttet til norske rettssubjekter i Norge, og i tilfelle hvilke vilkår og kontrollmekanismer som skal gjelde for dette.