Endringer i ekomloven (lagring av IP-adresser mv.)
Sendt: 11.01.2021
Adressat: Kommunal- og moderniseringsdepartementet
1 INNLEDNING
Vi viser til departementets høringsbrev av 9.10.2020 vedrørende ovennevnte høring.
Det er en prioritert oppgave for Advokatforeningen å drive rettspolitisk arbeid gjennom høringsuttalelser. Advokatforeningen har derfor en rekke lovutvalg inndelt etter fagområder. I våre lovutvalg sitter advokater med særskilte kunnskaper innenfor det aktuelle fagfelt og hvert lovutvalg består av advokater med ulik erfaringsbakgrunn og kompetanse innenfor fagområdet. Arbeidet i lovutvalgene er frivillig og ulønnet.
Advokatforeningen ser det som sin oppgave å være en uavhengig høringsinstans med fokus på rettssikkerhet og på kvaliteten av den foreslåtte lovgivningen.
I saker som angår advokaters rammevilkår vil imidlertid regelendringen også bli vurdert opp mot advokatbransjens interesser. Det vil i disse tilfellene bli opplyst at vi uttaler oss som en berørt bransjeorganisasjon og ikke som et uavhengig ekspertorgan. Årsaken til at vi sondrer mellom disse rollene er at vi ønsker å opprettholde og videreutvikle den troverdighet Advokatforeningen har som et uavhengig og upolitisk ekspertorgan i lovgivningsprosessen.
I den foreliggende sak uttaler Advokatforeningen seg som ekspertorgan. Saken er forelagt lovutvalget for Ikt og personvern og menneskerettighetsutvalget. Lovutvalget for Ikt og personvern består av Jarle Roar Sæbø (leder), Christopher Sparre-Enger Clausen, Kari Gimmingsrud, Eirin Helen Hauvik, Øyvind Molven, Cecilie Wille Søvik og Malin Tønseth. Menneskerettsutvalget består av Else McClimans, (leder), Elisabeth Brodtkorb, Cecilia Dinardi, Kristian Fredheim, Åge Gustad, Maria Hessen Jacobsen, Elisabeth Roscher, Nicolai Skjerdal og Vidar Strømme.
2 SAKENS BAKGRUNN
Kommunal- og moderniseringsdepartementet og Justis- og beredskapsdepartementet har fremmet forslag om at det skal innføres en plikt for tilbydere av ekomtjenester til å lagre IP-adresser slik at politiet kan få tilgang til IP-adressene for å bekjempe alvorlig kriminalitet.
3 LAGRING AV IP-ADRESSER
Generell og udifferensiert lagring av IP adresser kan, etter EU-domstolens storkammerdom av 6. oktober 2020 i de forente sakene C-511/18, C-512/18 og C-520/18, kun aksepteres når formålet er «beskyttelse af den nationale sikkerhed, bekæmpelse af grov kriminalitet og forebyggelse af alvorlige trusler mod den offentlige sikkerhed». Advokatforeningen forutsetter at en norsk lovendring som innfører en plikt til å lagre IP adresser forholder seg til dette så vel som til de øvrige kriteriene for slik lagring som EU-domstolen oppstilte i samme avgjørelse.
Ovennevnte formålsbegrensning vil også måtte ha betydning for spørsmålet om tilgang på slike data i sivile saker etter tvisteloven, jf også våre kommentarer i punkt 8 nedenfor. Etter Advokatforeningens syn vil det neppe være forenlig med EU-domstolens dom å utlevere de nevnte dataene til andre formål enn dem EU-domstolen har forutsatt.
4 KRAV TIL HVOR OPPLYSNINGENE LAGRES
I høringsnotatet viser departementene til at de ikke kan se at det for en lagringsplikt som beskrevet i høringsnotatet er ønskelig å stille krav til hvor opplysningene lagres.
Departementene begrunner dette med at det er et betydelig mindre omfang av opplysninger som lagres, og at opplysningene er å anse som mindre sensitive enn opplysningene som var omfattet av datalagringsdirektivet, samt at departementene ikke ser at det har vært en teknologisk utvikling som skulle tilsi en annen løsning.
Advokatforeningen er ikke enig i dette, og mener at det er særdeles sentralt at hjemmelen som pålegger tilbydere å lagre disse opplysningene samtidig som et minimum gir føringer på hvor det ikke er tillat å lagre disse opplysningene.
Høringsnotatet inneholder sentrale proporsjonalitetsvurderinger med tanke på hvorvidt det i det hele tatt er rom for å lagre opplysningene det skal gis hjemmel til å lagre, samt lagringstid, hvem som skal kunne få tilgang og hvordan tilgang skal gis. Disse vurderingene foretas også på bakgrunn av hensyn til kommunikasjonsvern. Sett i lys av de krav som stilles i personvernforordningen, og den utviklingen som har skjedd innen personvern i løpet av 2020 med særlig henblikk på Schrems II-dommen, er det Advokatforeningens syn at det er særlig sentralt at det klargjøres at det ikke er akseptabelt å lagre denne informasjonen i for eksempel en skytjeneste i et ikke-godkjent tredjeland. I tillegg til Schrems II-dommen, vises det til de svakheter som ble påpekt ved versjon 1 av smittesstopp appen som illustrerer at det må foreligge et særlig bevisst forhold til hvor og hvordan personopplysninger lagres, og at det foreligger et tilstrekkelig beskyttelsesnivå.
5 LAGRINGSTID
I høringsnotatet bes det særlig om høringsinstansenes syn på hvor lang lagringstiden bør være.
Det vises til at Sverige lagrer opplysningene i ti måneder, Danmark i tolv måneder og i Finland i ni måneder. Etter departementenes vurdering bør lagringstiden være innenfor det samme spennet som i de øvrige nordiske landene, slik at denne kan være for eksempel seks, ni eller tolv måneder. Departementet viser til at en lagringstid på seks eller ni måneder vil bedre ivareta kommunikasjonsvernet og personvernet for alle brukere av internett sammenlignet med en lagringstid på tolv måneder. Samtidig vises det til at en lagringstid på tolv måneder i større grad ivareta politiets behov. Videre presiseres det i høringsnotatet at det er mange forhold som må vurderes med tanke på lagringstid, blant annet hvor lang tid det kan ta før straffbare handlinger oppdages, at det tar tid prosessuelt å få utlevert materiale osv.
Alminnelige personvernsprinsipper om nødvendighet og minimering tilsier at lagringsplikten, også med hensyn til tidsmessig utstrekning, ikke går lenger enn hva som er strengt nødvendig for formålet. Det er myndighetene som må begrunne nødvendigheten. Advokatforeningen kan ikke se at departementet i høringsnotatet har begrunnet at det er strengt nødvendig å pålegge lagring stort lenger enn seks måneder. Skal det innføres lagringsplikt for en lenger periode, må det begrunnes bedre.
6 STRAFFERAMMEKRAV OG UTLEVERING AV OPPLYSNINGER TIL ETTERFORSKNING
I høringsnotatet vises det til at det ikke er tatt endelig stilling til hvilket strafferammekrav som bør settes, og det bes særlig om høringsinstansenes syn på dette. I høringsnotatet foreslås det at strafferammekravet bør settes til minimum ett eller to års fengsel, eventuelt i kombinasjon med unntak for spesifikke straffebud der opplysningene er av særlig stor betydning.
Departementene viser til en del eksempler på straffbare handlinger som har en strafferamme på fengsel i inntil ett og to år, og påpeker at enkelte slike handlinger kan oppleves som alvorlig for den som rammes selv om strafferammen ikke er lengre. På den annen side er en strafferamme på fengsel i ett eller to år forholdsvis beskjeden. De fleste straffbare forhold har en videre strafferamme. En slik grense gir ikke inntrykk av et reelt ønske om å begrense innsyn til mer alvorlige forhold.
Dersom man vektlegger kildebeskyttelse som en vesentlig innvending mot utleveringskrav, kan man også si at strafferammen har underordnet betydning. EMD har flere ganger uttalt at kildebeskyttelse skal verne adgangen til kommunikasjon i samfunnet, og at kommunikasjonsfriheten ikke bør gjøres avhengig av om kilden har opptrådt mer eller mindre klanderverdig.
I høringsnotatet vises det til at når det åpnes for å utlevere opplysninger til etterforskning, bør det etter departementenes vurdering også åpnes for at opplysningene kan utleveres når det er nødvendig for å forebygge en handling av tilsvarende alvorlighet. Advokatforeningen er i og for seg enig i at det er graden av nødvendighet som må være avgjørende, ikke om det dreier seg om etterforskning eller forebygging. Advokatforeningen er likevel kritisk til å åpne for utlevering i forebyggingsøyemed, fordi det i slike tilfeller er langt mer vanskelig å kontrollere det reelle behov.
7 UTLEVERING AV OPPLYSNINGER
Av forslaget fremgår det at opplysningene skal utleveres når det er nødvendig for å forebygge eller etterforske en straffbar handling. Forslaget inneholder imidlertid ingen konkrete angivelser av hva som kreves med tanke på nødvendighetsvurderingen, og det legges til grunn at politi- og påtalemyndighet kan be om utlevering uten at utleveringskravet skal overprøves. Advokatforeningen er av den oppfatning at nødvendighetskravet bør klargjøres.
I høringsnotatets pkt. 4.2 uttales det, under hensyn til noen eldre EMD-avgjørelser, at det er uklart om ytringsfrihet og kildevern har betydning for adgangen til krav om utlevering av IP-adresser. Etter Advokatforeningens syn er det avklart gjennom Rt-2010-1381 ("runestein") at vernet kan være til hinder for slik utlevering. Det er ikke arten av informasjon, en IP-adresse, som er avgjørende, men om virkningen av utlevering er slik at vernet etter EMK art 10 og Grunnloven § 100 trer inn.
Det er vanskelig å unngå at det fra tid til annen blir fremsatt krav om utlevering som representerer inngrep i kildevern og ytringsfrihet. Det er derfor viktig at det oppstilles slike prosessuelle krav at de som utsettes for dette har anledning til overprøving.
Videre fremgår det av forslaget at det skal kunne kreves utlevert opplysninger basert på abonnementstaker for å få IP-adresse mv. og omvendt. Advokatforeningen mener at dette er hensiktsmessig.
8 BRUK AV OPPLYSNINGENE I SIVILE SAKER
I høringsnotatet vises det til at det er usikkert hva en slik lagringsplikt for IP-adresser i praksis vil innebære i sivile saker og hvilken betydning dette vil ha for blant annet kommunikasjonsvernet. Departementene ber derfor særskilt om høringsinstansenes syn på dette, og det bes om synspunkter på om det kan være behov for begrensninger på bruken av opplysninger som omfattes av lagringsplikten i sivile saker.
Etter Advokatforeningens syn innebærer EU-domstolens storkammerdom av 6. oktober 2020 i de forente sakene C-511/18, C-512/18 og C-520/18, at det i utgangspunktet vil være i strid med denne om opplysninger om IP-adresser som er lagret i henhold til en slik lagringsplikt som forutsatt, skulle tillates utlevert til andre formål enn «beskyttelse af den nationale sikkerhed, bekæmpelse af grov kriminalitet og forebyggelse af alvorlige trusler mod den offentlige sikkerhed». Det vil innebære at utlevering av IP-adresser som er lagret i henhold til den foreslåtte lagringsplikten, i utgangspunktet ikke kan utleveres i alminnelige sivile saker. Unntak kan eventuelt tenkes i sivile saker der kravet begrunnes i straffbare forhold. Dette bør i så fall utredes nærmere før et endelig lovforslag fremmes.
Vennlig hilsen
Jon Wessel-Aas Merete Smith
leder generalsekretær