5.1 Bakgrunn

I årsmeldingen for 2014 skrev utvalget at det arbeider med problemstillinger relatert til grunnlaget i e-loven for E-tjenestens metodebruk.

Se Dokument 7:1 (2014–2015) Årsmelding til Stortinget fra EOS-utvalget for 2014, kapittel 1.4.3. E-tjenesten gjennomfører søk i lagrede metadata med utgangspunkt i selektorer knyttet til norske rettssubjekter i Norge. Søkenes formål er å finne selektorer for utenlandsetterretningsrelevante formål, typisk selektorer tilhørende norske kontraterrormål i utlandet. Med metadata forstås informasjon om data, eksempelvis tidspunkt, varighet, til/fra-identifikatorer, type trafikk og andre parametere som kan beskrive en teknisk hendelse som har funnet sted i et kommunikasjonsnettverk. En selektor kan være et telefonnummer, en e-postadresse, et Facebook-kontonavn e.l.

Sjef E fastsatte 13. august 2014 Bestemmelser for metadatasøk som kan berøre norske rettssubjekter. Det fremgår av bestemmelsene at den overordnede hensikten med metadatasøk er å søke å frembringe informasjon om utenlandske mål som tjenesten ikke tidligere er kjent med, eller å frembringe ytterligere informasjon om allerede kjente utenlandske mål.

I punkt 5.2 vil det gis en vurdering av selve innhentingen av metadata som kan inkludere metadata om kommunikasjon til og fra norske rettssubjekter i Norge, og i punkt 5.3 vil tjenestens søk i metadata for utenlandsetterretningsrelevante formål, vurderes.

5.2 Innhenting av metadata som kan inkludere kommunikasjon til og fra norske rettssubjekter i Norge

5.2.1 Innledning

Problemstillingens utgangspunkt er E-tjenestens tekniske innsamling av metadata etter forutgående teknisk analysearbeid. Alle metadata lagres uten at noe informasjon filtreres vekk. Innhenting av metadata vil kunne inkludere kommunikasjon til og fra norske rettssubjekter i Norge, dersom det kommuniseres med personer som befinner seg i geografiske områder som E-tjenesten retter sine tekniske innhentingskapasiteter mot. Av tekniske grunner vil det aldri være slik at begge endene av kommunikasjonen stammer fra Norge. E-tjenesten har orientert utvalget om at metadata først slettes etter lagring i flere år og at lagringstiden er etterretningsfaglig begrunnet.

Innhentingen av metadata er rettet mot de tematiske områder som tjenesten etter e-loven og prioriteringer fra Forsvarsdepartementet er pålagt å innhente informasjon om, jf. e-loven § 3. Innhenting av metadata innebærer «behandling» av «personopplysninger», idet det gjelder «opplysninger … som kan knyttes til en enkeltperson»

Jf. Lov 14. april 2000 nr. 31 om behandling av personopplysninger (personopplysningsloven) § 2 første ledd nr. 1. som brukes av E-tjenesten.

Jf. personopplysningsloven § 2 første ledd nr. 3.

5.2.2 E-tjenestens vurdering

Regelverket for E-tjenesten er teknologinøytralt og metodebruken er ikke spesifisert, men metodene må benyttes for å løse oppgavene som er nedfelt i e-loven § 3. E-loven § 4 begrenser tjenestens mandat ved å forby fordekt innhenting om norske rettssubjekter på norsk territorium. Tjenesten innhenter store mengder metadata basert på hva som antas å frembringe mest mulig utenlandsetterretningsrelevant informasjon.

E-tjenesten skiller mellom såkalt målutvikling og fordekt innsamling. Målutvikling er det arbeidet som gjøres for å finne og sammenstille informasjon slik at en juridisk eller fysisk person kan identifiseres. Først når det iverksettes teknisk innhenting av data fra en identifisert persons selektorer, blir behandlingen av opplysninger definert av tjenesten som fordekt innhenting og må gå klar av forbudet i e-loven § 4 mot overvåking av norske borgere i Norge. E-tjenesten mener forbudets ordlyd om fordekt innhenting «om» norske personer må forstås som «rettet mot». Det må altså innfortolkes en overvåkingshensikt. Innhenting av metadata som kan inkludere kommunikasjon til og fra norske rettssubjekter faller inn under tjenestens oppgaver som nedfelt i e-loven § 3. Innhentingen er videre uten overvåkingshensikt og dermed ikke i strid med e-loven § 4.

E-tjenesten påpeker at en annen fortolkning vil ha dramatiske konsekvenser for tjenestens mulighet til å løse sitt lovpålagte oppdrag.

E-tjenestens samlede uttalelse følger som vedlegg 2 til denne meldingen.

5.2.3 EOS-utvalgets vurdering

E-loven § 3 pålegger E-tjenesten å «innhente, bearbeide og analysere informasjon» for bestemte formål. Forbudet i e-loven § 4 rammer «overvåking eller fordekt innhenting av informasjon». Bestemmelsene sett i sammenheng reiser spørsmålet om «å innhente» i § 3 er det samme som «overvåking eller fordekt innhenting» i § 4. Dersom begrepene skal forstås på samme måte, vil det ha til følge at all informasjon som E-tjenesten aktivt tilegner seg rammes av forbudet dersom informasjonen inkluderer opplysninger om norske rettssubjekter på norsk territorium. Hvis begrepet i e-loven § 4 skal forstås snevrere enn innhentingsbegrepet i e-loven § 3, blir det et spørsmål om etter hvilke kriterier en konkret metode for innsamling av opplysninger må anses å være overvåking i forbudets forstand.

Utvalget har kommet til at det kan anføres to tolkningsalternativer for lovligheten av E-tjenestens innhenting av metadata som kan inkludere kommunikasjon til og fra norske rettssubjekter i Norge:

5.2.3.1 Tolkingsalternativ 1

Begrepet «overvåking eller annen fordekt innhenting» i e-loven § 4 kan tolkes som en henvisning til bruk av skjulte metoder for å tilegne seg opplysninger som ikke er allment tilgjengelig. Innhenting av metadata, som beskrevet ovenfor, vil etter en slik forståelse stride med forbudet i e-loven § 4, alene fordi innhentingen inkluderer metadata om norske rettssubjekter i Norge.

Utfordringen med en slik forståelse er at den ikke bærer i seg hensynet til e-lovens formål og E-tjenestens mulighet til effektivt å kunne løse sine oppgaver, jf. e-loven §§ 1 og 3, som taler for en snever forståelse av innhentingsbegrepet i forbudet.

5.2.3.2 Tolkingsalternativ 2

E-tjenesten innhenter metadataene for å fremskaffe «målrettet, tidsriktig og relevant informasjon om utenlandske forhold som svarer til nasjonale myndigheters definerte etterretningsbehov» og mener at det er «nødvendig å analysere og prosessere enorme mengder med informasjon som tjenesten har aksess til».

E-tjenestens notat 21. juli 2014. Utvalget legger E-tjenestens utgreiing om effektiviteten og det faglige behovet for innhenting av metadataene til grunn. E-tjenesten mener at forbudet i e-loven § 4 må forstås slik at det rammer den fordekte innhenting som er rettet mot norske personer og at det dermed må innfortolkes en overvåkingshensikt.

Det kan etter dette argumenteres for at forarbeidenes uttalelse om en kvalifisert form for overvåking taler for at begrepet «overvåking eller fordekt innhenting» må forstås snevrere for å sikre E-tjenestens mulighet til effektivt å løse sine oppgaver, jf. e-loven §§ 1 og 3.

Utfordringen med en slik forståelse er at lovgivningen ikke gir anvisning på hvor grensen likevel må gå. Dette reiser spørsmål om når overvåkingshensikt inntrer og hvor inngripende tiltaket er i personvernet.

5.2.3.3 EOS-utvalgets konklusjon

Utvalget mener problemstillingen er en følge av utviklingen i trusselbildet og i teknologien, og at den aktualiserer hvor skjæringspunktet mellom personopplysningsvernet og hensynet til rikets og innbyggernes sikkerhet skal ligge. Etter utvalgets oppfatning knytter det seg rettslig usikkerhet til innhenting av metadata som kan inneholde opplysninger om norske borgere i Norge. Dette taler for at problemstillingen bør forelegges for Stortinget.

• EOS-utvalget mener E-tjenestens praksis for innhenting av metadata som kan inkludere selektorer tilhørende norske rettssubjekter i Norge, bør legges frem for Stortinget for vurdering av behovet for endring i E-tjenestens regelverk.

5.3 E-tjenestens søk i lagrede metadata knyttet til norske rettssubjekter i Norge, for å finne selektorer for utenlandsetterretningsrelevante formål

5.3.1 Innledning

I 2014 ble utvalget kjent med at tjenesten foretar søk i lagrede metadata knyttet til norske rettssubjekter i Norge, for å fremskaffe utenlandsetterretningsrelevant informasjon. Den ene enden av kommunikasjonen vil stamme fra en selektor som brukes i utlandet, mens den andre enden altså kan stamme fra et norsk rettssubjekt i Norge.

E-tjenesten har kapasitet til å foreta avanserte søk i, og kompleks analyse av, store metadatamengder. Søkene og analysene kan være av ulik art og foregå på flere måter.

5.3.2 E-tjenestens vurdering

E-tjenesten viser til at målutviklingsarbeidet gjennomføres ved søk i store datagrunnlag tjenesten lovlig har innhentet ved hjelp av tekniske kapasiteter, jf. punkt 5.2.2 ovenfor. Søkene utformes med sikte på å frembringe informasjon om lovlige etterretningsmål. Slike søk gir – enten direkte eller etter en analyse – informasjon om mål av etterretningsmessig interesse, som det deretter kan rettes fordekt innsamling mot.

E-tjenesten vektlegger «både at søkene ikke er rettet mot den norske personen, men kun tar utgangspunkt i vedkommendes selektor, og at søkene ikke har noen overvåkningshensikt overfor vedkommende».

Brev fra E-tjenesten til EOS-utvalget 28. januar 2016. Metadatasøkene vil dermed etter E-tjenestens syn ikke betraktes som innhenting i relasjon til e-loven § 4. E-tjenesten peker også på at «[f]ordekt-begrepet relaterer seg til innsamlingsmetoden og fokuset for innsamlingen, ikke til etterfølgende analyse og sammenstilling av allerede innsamlet informasjon».

Brev fra E-tjenesten til EOS-utvalget 28. januar 2016.

E-tjenesten viser videre til at utenlandsetterretningsformålet gjør at det ikke ligger til PSTs oppgaver å samle inn de relevante dataene.

E-tjenesten understreker at bortfall av metodikken vil føre til alvorlige konsekvenser for tjenestens evne til å løse sine lovpålagte oppdrag innen enkelte felt.

E-tjenestens samlede uttalelse følger som vedlegg 2 til denne meldingen.

5.3.3 EOS-utvalgets vurdering

Utvalget har sett eksempler på at E-tjenesten gjennomfører søk i lagrede metadata som stammer fra ulike kategorier av personer. I de interne godkjenningene

Jf. kapittel 4 i denne særskilte meldingen. vektlegges hvorvidt det er tungtveiende operative grunner til å foreta søkene, vurdering av trusselpotensial mot Norge, og konkrete begrunnelser for nødvendigheten, herunder hva som forventes oppnådd med søkene.

E-tjenesten har presisert at søkene ikke utformes eller gjennomføres for å få informasjon om det norske rettssubjektet. Utvalgets problematisering gjelder imidlertid at selektorer tilhørende norske rettssubjekter i Norge blir brukt som et middel for å oppnå et, etter e-loven § 3, legitimt mål. Etter utvalgets mening kan en slik metodikk vanskelig utledes av dagens regelverk.

E-tjenesten peker på at begrepet «fordekt» i forbudet viser til selve innhentingen av informasjon, og ikke etterfølgende søk og sammenstilling. Utvalget deler ikke denne forståelsen. Aktive søk i, og sammenstilling av opplysninger fra selektorer tilhørende identifiserte norske rettssubjekter som stammer fra en fordekt innhentingskapasitet, kan ikke anses som noe annet enn målrettet informasjonsinnhenting mot disse, selv om formålet ikke er å innhente informasjon om de norske rettssubjektene. Ved søk og analyse behandles alltid ny informasjon. Dette vil gjelde uavhengig av E-tjenestens faglige vurdering av relevansen isolert sett. Forbudet i e-loven § 4 begrenser tjenestens mulighet til å innhente informasjon av utenlandsetterretningsmessig relevans. Hvorvidt E-tjenesten bør eller ikke bør være pålagt en slik innskrenking, er etter utvalgets oppfatning en lovgiveroppgave å ta stilling til.

I medhold av EOS-kontrolloven § 2 andre ledd skal utvalget «iaktta hensynet til rikets sikkerhet» i sin kontrollvirksomhet. I forarbeidene til EOS-kontrolloven er det uttalt at utvalgets plikt til å avveie kontrollhensynene mot hensynet til rikets sikkerhet betyr «at utvalgets standpunkter skal tas etter en avveining som inkluderer de hensyn EOS-tjenestene skal ivareta».

NOU 1994:4 Kontrollen med «de hemmelige tjenester» punkt 7.2.2 Om kontrollen. Et slikt pålegg er ment å «hindre ensidig vektlegging av kontrollformålene under gjennomføringen av kontrollen».

Ot.prp. nr. 83 (1993–1994) kapittel VI.

I lys av E-tjenestens juridiske vurdering og redegjørelse for det etterretningsfaglige behovet for å gjennomføre søk for effektivt å kunne løse sine lovpålagte oppgaver og utvalgets plikt til å iaktta hensynet til rikets sikkerhet, har ikke utvalget funnet grunn til å rette kritikk mot tjenesten eller anmodet om at metodikken suspenderes. Hensikten med denne meldingen er å melde fra til Stortinget om et mulig behov for lovendringer.

• Utvalget mener E-tjenestens søk i metadata etter selektorer tilhørende norske rettssubjekter for utenlandsetterretningsformål står i en slik rettslig uavklart stilling at Stortinget med dette orienteres.

• Utvalget anser det som en lovgiveroppgave å ta stilling til om E-tjenesten skal kunne innhente informasjon av utenlandsetterretningsmessig relevans via selektorer knyttet til norske rettssubjekter i Norge, og i tilfelle hvilke vilkår og kontrollmekanismer som skal gjelde for dette.