Forskrifter til ny sikkerhetslov

Sendt: 01.10.2018

Adressat: Forsvarsdepartementet

1. Innledning

Vi viser til departementets høringsbrev av 2.7.2018 vedrørende ovennevnte høring.

Det er en prioritert oppgave for Advokatforeningen å drive rettspolitisk arbeid gjennom høringsuttalelser. Advokatforeningen har derfor en rekke lovutvalg inndelt etter fagområder. I våre lovutvalg sitter advokater med særskilte kunnskaper innenfor det aktuelle fagfelt og hvert lovutvalg består av advokater med ulik erfaringsbakgrunn og kompetanse innenfor fagområdet. Arbeidet i lovutvalgene er frivillig og ulønnet.

Advokatforeningen ser det som sin oppgave å være en uavhengig høringsinstans med fokus på rettssikkerhet og på kvaliteten av den foreslåtte lovgivningen.

I saker som angår advokaters rammevilkår vil imidlertid regelendringen også bli vurdert opp mot advokatbransjens interesser. Det vil i disse tilfellene bli opplyst at vi uttaler oss som en berørt bransjeorganisasjon og ikke som et uavhengig ekspertorgan. Årsaken til at vi sondrer mellom disse rollene er at vi ønsker å opprettholde og videreutvikle den troverdighet Advokatforeningen har som et uavhengig og upolitisk ekspertorgan i lovgivningsprosessen.

I den foreliggende sak uttaler Advokatforeningen seg som ekspertorgan. Saken er forelagt lovutvalget strafferett og straffeprosess samt lovutvalg for samferdsel og sjø-, luft- og annen transportrett inklusive sjøforsikring.

2. Innspill

Advokatforeningen er i hovedsak positive til forslagene til forskrifter til ny sikkerhetslov og vi opplever at inndelingen i tre forskrifter som logisk og oversiktlig.

Forslaget til ny myndighetsforskrift inneholder en rekke bestemmelser om informasjonsdeling mellom Nasjonal sikkerhetsmyndighet (NSM) og Politiets sikkerhetstjeneste (PST), Felles cyberkoordineringssenter (FCKS) og fremmede stater. Dette reiser noen problemstilleringer som også Advokatforeningen adresserte i sin årstale 2017 – der vi tok til orde for en mer helhetlig utredning av personvernet på det juridiske feltet og i forbindelse med innføringen av ny teknologi for overvåking.

Advokatforeningen opplever at forholdet til personopplysningsregelverket fremstår som for dårlig utredet og rammene for bruk av personopplysninger og vektleggingen av hensyn i svært stor grad overlates til virksomhetene selv, slik forskriften er foreslått. Dette er uheldig fra et personvernperspektiv da det begrenser forutberegnelighet og åpenhet for de som er registrerte. Vi mener derfor at disse forholdene helt klart må reguleres i forskrift.

Alle virksomheter som er underlagt sikkerhetsloven er også underlagt personvernforordringen som trådte i kraft i juni 2018. Advokatforeningen vil derfor påpeke viktigheten av at alle forskrifter utformes i tråd med kravene i personvernforordningen.

3. Merknader til forslag til myndighetsforskrift.

I myndighetsforskriften § 8 tredje ledd siste punktum gis NSM adgang til å utlevere opplysninger til PST på eget initiativ, bestemmelsen er hjemlet i sikkerhetsloven § 8-12. Slik vi forstår denne bestemmelsen kan utlevering bare skje når Politiets sikkerhetstjeneste anfører at det er nødvendig for å ivareta oppgavene i politiloven § 17 b og § 17 c nr. 1. Vi er derfor  usikre om det foreligger forskriftshjemmelen for NSMs utlevering av opplysninger på eget initiativ da PST i en slik situasjon ikke kan godtgjøre at dette er nødvendig for å ivareta sine oppgaver. I siste ledd foreslås det at regler for utleveringen av opplysninger fra NSM til PST skal fastsettes i en avtale mellom virksomheten. Avtalen skal som et minimum fastsette hvordan hensynet til det opprinnelige formålet med opplysningene (personkontroll) skal veies mot hensynet til at opplysningene kan brukes til å ivareta PSTs oppgaver. Dette fremstår etter vårt syn som uheldig ut i fra et personvernperspektiv. PST vil benytte opplysningene til et nytt formål, og dette formålet kan etter vår oppfattelse ikke være uforenelige med det opprinnelige formålet. Det er derfor viktig at rammene og veiingen av hensyn gjøres av departementet i forskriftsform slik de er tilgjengelige for allmenheten. Dette vil også styrke åpenheten i behandlingen.

Sikkerhetsutvalget foreslo i sin rapport følgende:

«for å ytterligere styrke forutsigbarheten for den enkelte, mener utvalget at det uttrykkelig bør fremgå av personopplysningsblanketten den enkelte fyller ut som grunnlag for klareringsprosessen, at nærmere angitt informasjon vil kunne deles med PST»

Advokatforeningen stiller seg bak denne vurderingen, og foreslår at en slik bestemmelse innarbeides i klareringsforskriftens § 7.

I forslaget til myndighetsforskriften §10 om utlevering av personopplysninger til andre lands myndigheter eller til internasjonale organisasjoner Norge har et sikkerhetssamarbeid, fremgår det at personopplysninger vil kunne utleveres til tredjestater, jf. personvernforordningen kapittel fem.

Ved en slik utlevering av personopplysninger må departementet sikre seg at vilkårene i forordningens kapittel fem tilfredsstilles før opplysninger utleveres, og vi mener at dette bør fremkommer av forskriftsbestemmelsen.

Til forskriftens § 13 erkjenner Advokatforeningen at det er et behov for informasjonsdeling mellom partene i Felles cyberkoordineringssenter, men samtidig setter personvernforordningen en del krav ved behandling av personopplysninger. Personopplysninger skal behandles på en lovlig, rettferdig og gjennomsiktig måte, jf. personvernforordningen artikkel 5. Med lovlig menes at behandlingen må ha uttrykkelig hjemmel i forordningens artikkel 6. Advokatforeningen kan ikke se at det foreligger en slik uttrykkelig hjemmel for informasjonsdelingen slik den er foreslått i §13. Dette er spesielt viktig når det er tale om deling av informasjon mellom EOS-tjenesten, som har ulike oppgaver og hjemler for å utøve sin virksomhet. Advokatforeningen kan ikke se at personvernkonsekvensene av forslaget er utredet slik det er krav om. Vi anbefaler at det utarbeides et forslag til endring i sikkerhetsloven som setter de formelle rammene for FCKS sitt arbeid, og som regulerer hvilke opplysninger som kan deles og til hvilket formål.

Vedrørende kapittelet om tilsyn har departementet etterspurt høringsinstansenes syn på i hvilken utstrekning tilsynsbestemmelsene skal forskriftsfestes fremfor at de gis gjennom instruks. Advokatforeningen mener at enkelte av bestemmelsene, som bestemmelsen om tvangsmulkt og hva tilsynet skal kontrollere, bør forskriftsfestes. Derimot ser ikke Advokatforeningen noe behov for at de som blir utsatt for tilsyn av forutberegnelighetshensyn har behov for regler som blant annet forskriftens §§ 14 og 15. Slik Advokatforeningen ser det, er dette regler av intern karakter som like gjerne kan gis gjennom instruks.

4. Merknader til forslag til virksomhetsforskriften

Advokatforeningen er positive til siste ledd i §14 hvor det fremgår at virksomheten ikke skal «bruke mer inngripende sikkerhetstiltak enn det som fremstår som nødvendig for å håndtere den aktuelle risikoen.» Vi skulle imidlertid også ønske en presisering av at tiltakene også må være forholdsmessige, og at det ikke bør behandles personopplysninger i større grad en nødvendig (dataminimalitet).

Departementet har etterspurt innspill om NSM kan tildeles påleggskompetanse for varsling av digital infrastruktur (VDI). I lys av den stadig viktigere rollen digital infrastruktur spiller ut fra et sikkerhetsperspektiv, støtter Advokatforeningen en slik kompetanse. Advokatforeningen ønsker imidlertid å understreke viktigheten av en tilstrekkelig klar hjemmel for en slik kompetanse.

5. Merknader til klareringsforskriften

I forslagets §13 siste ledd foreslås det bestemmelser om at opplysninger utlevert fra Politiet og PST til NSM skal brukes skal fastsettes i en avtale mellom virksomhetene. Avtalen skal som et minimum fastsette hvordan hensynet til det opprinnelige formålet med opplysningene skal veies mot hensynet til at opplysningene kan brukes i vurderingen av om en sikkerhetsklarering kan gis.

Dette gir liten forutberegnelighet for den registrerte og ingen åpenhet rundt hvordan virksomhetene balanserer hensynet til den enkeltes personvern mot virksomhetens behov. Dette oppleves som svært uheldig, og Advokatforeningen mener at disse hensynene hellere kan reguleres direkte i forskrift, fremfor avtale mellom virksomhetene.

Vennlig hilsen

Jens Johan Hjort                Merete Smith
leder                                   generalsekretær