Hvilken risiko må rettsstaten tåle? Om overvåking og debatt i den digitale tidsalderen

Nye innhentingssystemer for PST og E-tjenesten innebærer en massiv utvidelse av norske myndigheters mulighet til å overvåke enkeltpersoner. Det er på høy tid at vi setter foten i bakken og vurderer om det samlede overvåkingstrykket er i ferd med å bli for stort.

Den siste tiden er norske myndigheters overvåkingstiltak igjen kommet på dagsordenen. Det skjedde da Ap, Sp og Høyre denne uken sikret flertall for regjeringens forslag om å la PST lagre store mengder åpent tilgjengelig informasjon fra internett.

Avisa BT har fortjenestefullt satt dette i sammenheng med innføringen av systemet for såkalt «tilrettelagt innhenting» av elektronisk kommunikasjon som E-tjenesten skal etablere. Essensen er at den samlede overvåkingsadgangen gjør retten til privatliv illusorisk, som direktør i Datatilsynet Line Koll har uttrykt det.

Deretter kom nyheten om at Stiftelsen Tinius vil saksøke staten med påstand om at både systemet for tilrettelagt innhenting og PSTs utvidede lagringsadgang krenker rettighetene til privatliv og ytringsfrihet etter Grunnloven og EMK.

I denne artikkelen vil jeg skissere bakteppet for den type masseovervåking dette dreier seg om, og sette tiltakene i sammenheng med tidligere overvåkingsdebatter og med hverandre. Jeg vil også si noe om hva lovgiver bør foreta seg for å sikre at myndighetenes overvåking av norske borgere skjer innenfor rammene av vår demokratiske rettsstat.

Digital revolusjon krever rettsstatlige grenser

Bredt anlagt og lite målrettet overvåking har foregått i lang tid. E-tjenesten (vår utenlandsetterretningstjeneste) har lenge overvåket kommunikasjon gjennom satellitter. Den teknologiske utviklingen har imidlertid gitt helt nye muligheter til strategisk masseovervåking og -lagring av elektronisk informasjon. Fremveksten av større lagringskapasitet og digitale verktøy basert på kunstig intelligens gjør at myndighetene effektivt kan lagre, behandle og analysere store mengder data for å avdekke trusler mot nasjonal sikkerhet. Når de teknologiske mulighetene blir ubegrenset, må samfunnet selv sette grensene for hva private og statlige aktører kan bruke dem til. Grensene for statlige aktørers overvåkingsadgang må søkes i de grunnleggende prinsippene som vår demokratiske rettsstat bygger på.

Når de teknologiske mulighetene blir ubegrenset, må samfunnet selv sette grensene for hva private og statlige aktører kan bruke dem til.

EUs datalagringsdirektiv – en foreløpig seier til personvernet

Det første masseovervåkingstiltaket som virkelig ble debattert i Norge, var EUs datalagringsdirektiv. Loven som gjennomførte direktivet i norsk rett, påla teletilbydere å lagre metadata (bl.a. data om hvem som kommuniserer med hvem, hvor og når) fra norske mobiltelefoner og datamaskiner i seks måneder. Metadata kan gi viktig informasjon i etterforskingen av straffbare handlinger, men kan samlet sett også tegne et omfattende og intimt bilde av enkeltpersoners privatliv. Dataene skulle som hovedregel bare kunne brukes av politiet i etterforskingen av straffbare handlinger med mer enn fem års strafferamme. Politiet måtte be domstolen om tillatelse for å få tilgang til dataene. Loven trådte imidlertid aldri i kraft fordi EU-domstolen kom til at den generelle lagringsplikten som fulgte av direktivet, var i strid med retten til privatliv.

Hvor er engasjementet rundt «tilrettelagt innhenting»?

Sett i lys av engasjementet mot datalagringsdirektivet var det overraskende hvor liten motstand etableringen av systemet for tilrettelagt innhenting møtte. Hjemmelsgrunnlag for etablering og anvendelse av systemet ble gitt i forslaget til ny etterretningstjenestelov, fremsatt i april 2020. Selv om en rekke sivilsamfunnsaktører tok til motmæle i høringsrunden, vekket tiltaket aldri samme engasjement som datalagringsdirektivet til tross for at systemet innebærer masseovervåking i langt større omfang og for langt mer uklart definerte formål.

Systemet for tilrettelagt innhenting vil gi E-tjenesten mulighet til å overvåke all elektronisk kommunikasjon som passerer den norske grensen. Det dreier seg ikke bare om kommunikasjon mellom Norge og utlandet. Også en stor andel av kommunikasjonen mellom mennesker på norsk territorium rutes i dag via servere i utlandet.

Systemet innebærer for det første at E-tjenesten kan lagre innholdet i all elektronisk kommunikasjon som passerer den norske grensen, i 14 dager for testformål. Innholdsdataene skal ikke kunne brukes av tjenesten, men lagringen innebærer likevel et betydelig inngrep i vårt privatliv og vår ytringsfrihet. For det andre innebærer systemet at metadata om grensepasserende kommunikasjon skal kunne lagres i 18 måneder. E-tjenesten kan søke i dataene for et bredt sett med formål definert i etterretningstjenesteloven kapittel 3, og etter informasjon om en vid krets med personer og enheter. Søkeordene som tjenesten bruker, må godkjennes av en domstol. Med slik godkjenning kan søkene pågå i seks måneder eller ett år, avhengig av hva søket gjelder. Søk skal i utgangspunktet rette seg mot mål i utlandet, men kan etter omstendighetene også omfatte personer i Norge. Systemet innebærer også at E-tjenesten på nærmere vilkår kan avlytte kommunikasjonen til konkrete personer. Også dette krever domstolstillatelse. I tillegg til domstolens forhåndskontroll skal systemet kontrolleres av det stortingsoppnevnte kontrollorganet EOS-utvalget.

Innholdsdataene skal ikke kunne brukes av tjenesten, men lagringen innebærer likevel et betydelig inngrep i vårt privatliv og vår ytringsfrihet.

Sammenliknet med datalagringsdirektivet åpner systemet for tilrettelagt innhenting for lagring av både innholds- og metadata, og lagring av metadata i tre ganger så lang tid som direktivet. Mens domstolen ifølge datalagringsdirektivet skulle beslutte hvilken informasjon politiet skulle få utlevert, vil E-tjenesten bare måtte be domstolen om tillatelse til lagring og søk og selv kunne foreta søk i de lagrede metadataene. Vilkårene for søk er også langt mindre strenge.

Liten drahjelp fra Europa

Systemet for tilrettelagt innhenting står i et sterkt spenningsforhold til våre menneskerettslige forpliktelser. Dette er særlig tydelig i praksis fra EU-domstolen. I avgjørelsen Privacy International mot Storbritannia utviklet domstolen argumentasjonen i dommen som underkjente datalagringsdirektivet, og fastslo at det britiske systemet for tilrettelagt innhenting innebar «general and indiscriminate transmission» av metadata som gikk utover det som var strengt nødvendig i et demokratisk samfunn, og dermed var menneskerettsstridig. I avgjørelsen La Quadrature du Net mot Frankrike og Belgia gjentok domstolen dette utgangspunktet, men kom til at landene på visse vilkår kunne lagre metadata ved en alvorlig trussel mot den nasjonale sikkerheten som må anses for å være reell og aktuell eller forutsigelig.

Etter dette ble iverksettelsen av det kapitlet i etterretningstjenesteloven som hjemlet etablering av det norske systemet, utsatt i påvente av to avgjørelser fra EMDs storkammer i liknende saker. Sakene Big Brother Watch mfl. mot Storbritannia og Centrum för Rättvisa mot Sverige gjaldt de britiske og svenske systemene for tilrettelagt innhenting. I avgjørelsene fastslo EMD at systemer for strategisk masseovervåking ikke i seg selv er menneskerettsstridige så sant de er akkompagnert av strenge kontrolltiltak. EMD gikk dermed lenger i å akseptere systemer for masseovervåking enn EU-domstolen. Som i tidligere saker om overvåking la EMD imidlertid vekt på at nasjonale myndigheter må ha en vid skjønnsmargin ved avgjørelsen av hvilke tiltak som er nødvendige for å beskytte nasjonal sikkerhet, og valgte derfor å fokusere på prosessuelle heller enn materielle begrensninger i overvåkingsadgangen.

I avgjørelsene fastslo EMD at systemer for strategisk masseovervåking ikke i seg selv er menneskerettsstridige så sant de er akkompagnert av strenge kontrolltiltak.

Veien åpen for tilrettelagt innhenting

Etter at en departemental arbeidsgruppe konkluderte med at det planlagte norske systemet for tilrettelagt innhenting, med et par mindre unntak, var forenelig med både EMDs og EU-domstolens avgjørelser, gikk regjeringen videre med etableringen av systemet. Den delen av etterretningstjenesteloven som tillater etablering av systemet, ble satt i kraft ved årsskiftet 2021/2022. Per i dag er det primært bestemmelsen som åpner for at systemet tas i bruk, som ikke er trådt i kraft. Forslag om enkelte endringer i denne bestemmelsen, som tilpasninger til avgjørelsene fra de europeiske domstolene, har vært på høring. Det er dermed all grunn til å tro at systemet vil kunne bli virksomt i nær fremtid.

Nytt stortingsvedtak om lagring av offentlige ytringer

Denne uken vedtok Stortinget å la PST lagre store mengder åpent tilgjengelig informasjon fra internett. Informasjonen skal i utgangspunktet lagres i maksimum 5 år, men kan lagres i opptil 15 år. Også dette gjør inngrep i retten til privatliv og ytringsfrihet. Tiltaket retter seg imidlertid mot ytringer som enkeltpersoner har valgt å sette frem i det (digitale) offentlige rom. Det må derfor anses som langt mindre inngripende enn de formene for overvåking og lagring av informasjon om rent privat kommunikasjon som er skissert ovenfor. Tiltaket skal ikke kontrolleres av domstolene, men av EOS-utvalget.

Kraftige inngrep med potensial for misbruk og utvidelse

Sett i sammenheng innebærer disse to tiltakene likevel en omfattende utvidelse av norske myndigheters mulighet til å overvåke enkeltpersoner. Både EU-domstolen og Den europeiske menneskerettsdomstolen har lagt til grunn at selve eksistensen av slike tiltak kan ha en nedkjølende effekt på folks ytringsfrihet, og at de i seg selv utgjør inngrep i enkeltmenneskers privatliv. Med slike systemer kommer et betydelig misbrukspotensial. Selv om både PST og E-tjenesten som den klare hovedregel opptrer på lovlig måte, har både etablerte kontrollorgan og offentligheten i de senere år avdekket kritikkverdige forhold i tjenestene. Det er naivt å tro at ulovligheter ikke vil skje når så omfattende systemer etableres og så store mengder informasjon lagres. Historien har dessuten vist at når nye overvåkingssystemer først er etablert, har de en tendens til å bli utvidet. Inntil videre er E-tjenestens adgang til å dele informasjon fra systemet for tilrettelagt innhenting med andre offentlige etater begrenset. Erfaringer fra Sverige tyder på at mange raskt vil ønske seg utvidelser av delingsadgangen.

Etterretningstjenestene må gis gode, målrettede verktøy

Systemet for tilrettelagt innhenting har som formål å beskytte Norges sikkerhet mot ytre fiender. Det er et svært relevant formål i dagens geopolitiske situasjon. Adgangen for PST til å lagre åpent tilgjengelig informasjon fra internett tar sikte på å beskytte oss fra indre fiender. Det er ikke så rart at PST ønsker seg en slik adgang, tatt i betraktning de forventninger samfunnet synes å ha til tjenestens kapasitet til å forebygge og avverge blant annet terror, og hvordan beskyldninger rettes mot tjenesten så snart slike hendelser finner sted.

EMD har bevisst gitt statene en skjønnsmargin, og det er opp til norske myndigheter å sørge for at denne anvendes i tråd med grunnleggende demokratiske og rettsstatlige prinsipper.

Både E-tjenesten og PST gjør viktig arbeid for å beskytte rettsstaten vår, og det er all grunn til fortløpende å vurdere om tjenestene har verktøy som er gode nok. Særlig utbredelsen av trusler i det digitale rom fordrer nye tiltak. Tiltakene bør imidlertid være så målrettet og begrenset som mulig. Det må trekkes en grense mot helt generelle former for overvåking av det omfang som systemet for tilrettelagt innhenting innebærer.

At EMD har åpnet for at masseovervåking ikke per definisjon er menneskerettsstridig, er ikke i seg selv et argument for innføring av slike systemer. EMD har bevisst gitt statene en skjønnsmargin, og det er opp til norske myndigheter å sørge for at denne anvendes i tråd med grunnleggende demokratiske og rettsstatlige prinsipper. Argumentasjonen som ligger til grunn for innføringen av tilrettelagt innhenting og lagring av offentlig tilgjengelig informasjon, har få spor av slike selvstendige, prinsipielle drøftelser.

Det er altså på høy tid at Stortinget setter foten i bakken og vurderer om det samlede overvåkingstrykket er i ferd med å bli for stort. Alternativt kan det tenkes at domstolen gjør det, som ledd i stiftelsen Tinius varslede søksmål mot staten. Det bør uansett utredes og vurderes om etterretningstjenestenes oppgaver kan løses med mer målrettede virkemidler. Som et minimum bør det vurderes om de vedtatte innhentingssystemene kan gis en mer målrettet og begrenset utforming.

Vi kan ikke få både i pose og sekk

Det også på høy tid at vi som samfunn mer aktivt tar stilling til hva vi forventer at våre sikkerhets- og etterretningstjenester skal beskytte oss mot. Vi kan ikke forvente total trygghet og frihet fra overvåking på samme tid. Vi må stille oss spørsmålet om den tross alt begrensede risikoen for alvorlige hendelser som til enhver tid eksisterer, er en risiko vår rettsstat må tåle. Som EMD har påpekt en rekke ganger, er det en risiko for at systemer for hemmelig overvåking vil «ødelegge demokratiet under dekke av å forsvare det». De fleste vil være enige i at alternativene til den demokratiske rettsstaten ikke er særlig fristende.