EUs forskuterte forsvar av DLD

Drøytt 200 dager på overtid fikk vi evaleringen av Datalagringsdirektivet. Direktivet ble presset igjennom på Stortinget like i forkant av at evalueringen endelig ble lagt fram. Hvorfor det ikke var mulig å avvente informasjon om erfaringer med DLD, både positive og negative er en pussighet uten sidestykke. Vi var ikke engang smarte nok til å gjøre som Sverige, og utsette avgjørelsen om innføring.

Demokrati: en styreform hvor flertallet har avgjørende innflytelse, men mindretallets interesser også blir tatt hensyn til. - http://www.caplex.no

I et fungerende demokrati skal prinsipper om beskyttelse av et mindretalls interesser avgjøre. Det er forståelig at noen (flertallet) mener at vi skal ta ibruk midler som kan bidra til bekjempelse av alvorlig kriminalitet og terror. Men man kan ikke ensidig vurdere dette når titaket åpenbart er i konflikt med en større gruppes legale interesser, og som til og med er i konflikt med Menneskerettighetskonvensjonen. Helt uavhengig av hvorvidt trafikkdata er nyttig, skal man objektivt vurdere om det er nødvendig på bekostning av mindretallets interesser. Uansett så tror jeg at mindretallet blir til flertall etterhvert som kunnskapen om DLD øker. I nettavisenes spørreundersøkelser, som ikke er representative i folket, ligger nei-andel stort sett på 75-90%. Jeg antar at aktive nettbrukere er bedre informert på dette området enn de som kun leser aviser på papir. Dette fordi de både har bedre kunnskaper om moderne teknologi og tilgang på alternativ informasjon til endel medier som har sviktet i debatten.
 
Når vi endelig kan lese evalueringen, sier den at DLD helt klart er en utfordring med hensyn på personvernet og retten til et privatliv. Videre så påpekes det at regler for tilgang til og bruk av data praktiseres vidt forskjellig. I Polen ble det hentet ut data 1 million (1048318) ganger i 2009, noe som umulig kan være tilknyttet etterforskning av alvorlig kriminalitet og bekjempelse av terror. Når informasjon først er tilgjengelig, er terskelen ikke så høy for å bruke den.

Det som slår meg meg er presset fra EU for at medlems- og EØS-land skal innføre DLD er sterkt, mens de som (mis)bruker data og ikke kan gjøre rede for hvordan data er brukt slipper unna uten en skramme. Sverige trues med bøter etter at de besluttet å utsette implementering 1 år. Når kommisjonen ser problemet med nettopp misbruk av data, burde de ikke irettesette landene som bruker tvangslagrede data til annet enn det opprinnelige formålet: bekjempe terror og alvorlig kriminalitet? Ensidig straff mot de som ikke har innført er i seg selv et varsel om manglende kritisk sans og balansert holdning til DLD.

Det kan være flere grunner til at trafikkdata ikke blir brukt slik det var tenkt:

• Terrorvirksomhet i de fleste land er liten, så behovet for å trafikkdata for bekjempelse av det er ikke-eksisterende. Dessuten skjuler terrorister en god del spor allerede selv når truslene ikke er reelle.
• Grunnlov og etterlevelse av den er ikke god nok for å beskytte borgerne mot overgrep. Hvor sterkt står rettsstaten i disse landene? DLD er i seg selv en svekkelse av rettsstaten, fordi man vender om prinsippet om at du er uskyldig inntil det motsatte er bevist. Leder for Politiets Fellesforbund, Arne Johannesen, bruker aktivt argumentasjon om at man lettere kan bevise sin uskyld. Det er ikke slik en rettsstat fungerer.
• Man simpelthen griper tak i det som er tilgjengelig for å etterforske all kriminalitet. Hvorfor skal man ikke bruke data som kan få kriminelle dømt, når data faktisk er lagret? Det vil kreve god selvbeherskelse på myndighetsnivå for å la være.

Om man leser evalueringen vil man oppdage at den ikke underbygger formålet med direktivet, snarer tvert i mot. Det noe svake tallmaterialet, som ikke kan vise relasjon mellom bruk av trafikkdata og etterforskning av terror og alvorlig kriminalitet blir feid bort med uttalelser fra myndighetene i medlemslandene som sier at tvangslagring av data er nødvendig. Problemet med denne påstanden om nødvendiget er det skal veies opp mot den Europeeiske Menneskerettighetsskonvensjon (EMK) artikkel 8

1. Enhver har rett til respekt for sitt privatliv og familieliv, sitt hjem og sin korrespondanse. 
2. Det skal ikke skje noe inngrep av offentlig myndighet i utøvelsen av denne rettighet unntatt når dette er i samsvar med loven og er nødvendig i et demokratisk samfunn av hensyn til den nasjonale sikkerhet, offentlige trygghet eller landets økonomiske velferd, for å forebygge uorden eller kriminalitet, for å beskytte helse eller moral, eller for å beskytte andres rettigheter og friheter.”

I evalueringen fremkommer det kun bruk av nødvendighet i forbindelse med å finne vitner o.l. Dette er ikke nødvendighet, men en mer effektiv måte å finne ut det samme som man kan gjøre med tradisjonelle etterforskningsmetoder. Nødvendighetskriteriet er ikke oppfylt, og evalueringens konklusjon om det motsatte er ikke støttet på noe vis av evauleringen. Snarere tvert i mot.

Evalueringen belyser overhodet ikke hvordan situasjonen ville vært uten tvangslagring. Det nevnes at 67% av alle forespørsler er for data yngre enn 3 mnd, og de ville da med stor sannsynlighet vært lagret i telekomoperatørenes systemer uansett. I Norge blir data stort sett slettet når de er 4-6 mnd gamle med dagens praksis, og vil neppe endre seg iflg telekombransjen selv. I kategorien 3-6 mnd gamle data er det 19% andel av de data som hentes ut. Hvis vi antar at halvparten ikke ville vært slettet innen Politiet ba om data, ville de altså få data i 76,5% av tilfellene. Jeg vil si det er en meget god prognose målt opp mot andre typer spor Politiet må finne og analysere. Å forlange bortimot 100% er ikke innenfor virkelighetens rammer. Få andre bransjer kan ikke forvente at ting er tilrettelagt fra andre i samme grad. Det er på tide Justisdepartementet og Politiet stikker fingeren i jorda.

Jeg vil tørre å påstå at min blogpost Tull med Tall, som tar utgangspunkt i et regneark som viser relasjonen, og proporsjoner, for uthenting av trafikkdata i ulike typer kriminalsaker og kriminalitetsstatistikk er et bedre grunnlag til å gjøre vurderinger på enn EUs evaluering, selv om Norge ikke har innført Direktivet. I det minste er det en god fremstilling av situasjonen uten at DLD er innført.

Men når konklusjonen i evalueringen var forskuttert, var fallhøyden for stor til å lande på en annen konklusjon. Den 3.12.2010 sa Cecilie Malmström på en pressekonferanse at Data Retention is here to stay. Kommisjonen hadde konkludert på forhånd, og siden man ikke kunne underbygge den med fakta blir evalueringen kun halvhjertet forsøk på å få det til å se ut som kartet stemmer med terrenget.

Utfordringer i forbindelse med terror- og kriminalitetsbekjempelse i Spania og Norge er nok vidt forskjellige. I og med at Spania har levd med terror i flere tiår (konflikten med Baskerne) og har vært utsatt for terror organisert av Al-Qaida er det klart lettere å argumentere for implementering der enn i Norge. Selv om vi lever i en stadig mer globalisert hverdag har fortsatt hvert land sin egen grunnlov. Kriminalitetsetteforskning og terrorbekjempelse er delvis internasjonale problemer. Men det blir allikevel feil å tvangslagre privat informasjon i alle land uavhengig av nødvendighet og interesser i det enkelte land. Jeg er ser behovet for å regulere f.eks. hvordan data utveksles mellom nasjoner, men ikke at behov hos noen skal ha så store konsekvenser for alle andre. For meg bryter det prinsipper mot sammenblanding av ulike interne anliggender. (Når alle skal formes over samme lest, blir det stor friksjon, siden ingen land består av samme "materiale". Selv innen EU/EØS er det vidt forskjellige kulturer, utfordringer osv).

Trafikkdata kan nok sies å kunne ha bidratt til oppklaring av mange saker i ettertid, men realiteten er at våre kommunikasjonsmønstre endres raskt. Om 10 år vil man neppe kunne se tilbake og si det samme. Det vil nok stort sett være den eldre og lovlydige delen av befolkning som bruker kommunikasjonsmidler DLD omfatter. De yngre, og en god del eldre, endrer kommunikasjonsmønstere as we speak og kriminelle med incentiv for å endre vaner gjør det garantert. Ofte er alternativene gratis, sikrere og mer brukervennlige, og det burde være ganske innlysende for de fleste at det vil skje store forandringer.

Informasjonens iboende potensiale for makt

Den digitale teknologiutviklingen gir oss enorme muligheter til å lagre og behandle store mengder informasjon. Generellt er dette overveiende positivt og setter oss i stand til å analysere og løse vanskelige problemer. Teknologien er imidlertidig nøytral i forhold til hvilken informasjon som lagres og behandles.

Teknologien har ingen innebygd etikk, moral og grensesetting, dette er det vi som benytter teknologien som er ansvarlig for. Etterhvert som vår teknologiske kapasitet øker, øker også ansvaret for at den anvendes positivt. Informasjonsteknologi har iboende egenskaper som kan endre maktforhold og hvordan sette grenser for privatlivet. Den lagrer også informasjon som tidligere var muntlig kommunikasjon, slik at den kan publiseres effektivt til et videre krets også utenom personlig nettverk. Informasjon er ikke lengre begrenset fysisk til den nærmeste krets. I det digitale samfunnet er muligheten for trekke grenser for eget privatliv blitt mer diffuse, og i noen tilfeller vanskelig å trekke.

Teknologien gjør informasjonen både mye mer flyktig og konsentrert  enn noen gang tidligere. Kort oppsummert kan vi si at informasjon i digital form har bl.a. disse egenskapene som også skiller den fra analog motsats:

• Lett å konsentrere
• Flyktig
• Analyserbar i stor skala
• Lett å korellere distribuerte datasett

Disse egenskapene gir en verdiøkning, men samtid også utfordringer til hvordan man skal håndtere sikkerhet mot misbruk og tyveri. Om man ikke har veldig god innsikt i hva dette innebærer kan man komme til å ta feil beslutninger.

Anders Brennas blogpost om hvordan Aftenposten fikk tilgang til Wikileaks komplette informasjonsdata, sier mye. Sikkerhetsløsninger kan kun begrense hvem som får tilgang, men ikke hva tiltrodde personer gjør med tilgjengelig informasjon. Høy konsentrasjon, spesiellt av sensitiv informasjon, gir makt.

Som vi ser har informasjonsteknologi stort potensiale og bringer nye utfordringer med seg. Skal informasjon aggregeres bør det være begrunnet og knyttet til et bestemt og kontrollerbart formål. Videre så må den juridiske eller moralske eier av informasjonen ha full disposisjonsrett. Dersom det ikke er god overenstemmelse mellom eierskap og disposisjonsrett tar man i praksis vekk mulighetene for å selv trekke grenser. Dette gjelder såvel på individ- som organisasjon- og nasjonalt nivå. Bare på denne måten kan informasjonen forvaltes riktig og med risikovurderinger gjort av dens eier.

Disposisjonsrett gir mulighet til å bruke informasjon etter eget forgodtbefinnende. En av Assanges nærmeste medarbeidere så seg, av ukjent grunn, bedre tjent med å lekke tiltrodd informasjon. Wikileaks hadde på sin side fått tilgang på informasjonen av tiltrodde etteretningsmedarbeidere som mente at informasjonen burde gjøres kjent. Selv på myndighetsnivå kan vi se at det er svært lett å uthule- eller endre lovverk for å kunne utnytte informasjon til flere formål. Dette bør ikke overraske noen, da det nærmest er en naturlov at man vil utnytte de ressurser og maktmidler som er tilgjengelig. Informasjon "finner" gjerne sin egen vei, avhengig av disposisjonsrett og hva tiltrodde personer mener formålstjenlig. I tillegg kommer selvfølgelig datainnbrudd og menneskelig feil som medfører data på avveie.

Det er allikevel et skarpt skille mellom privat informasjon og annen informasjon. Fratas man disposjonsrett for egen informasjon og mulighet til å trekke sine personlige grenser, fratar man individet privatliv og integritet.

Det er viktigere enn noen gang at mulighet for å kunne ha disposisjonsrett over egen informasjon for å kunne trekke grenser rundt seg selv. Eller sagt på annen måte: det er ingen grunn til at digitalisering av kommunikasjon skal endre på retten til å trekke sine egne grenser. Hvordan den enkelte velger å bruke denne retten må fortsatt være individuell. Noen lever offentlige liv, andre mer private. I problematiske livsfaser er man naturlig nok forsiktigere enn når det står bra til.

Jeg vil tro veldig få vil si seg uenig i det jeg skriver her. Om de da ikke har gjort det før, bør de reflektere over at Datalagringsdirektivet Høyre vil stemme for innføring av i Stortinget 4.4.2011 er nettopp overdragning av disposisjonsrett av informasjon om hvem du kommuniserer med, hvor og når. Det er feil retning i et veivalg teknologien stiller oss overfor.

Høyre har gått for såkalt strengt regelverk for sikring for de data som skal lagres. Dette fungerer selvfølgelig fint som innsalgsargument, men er i realiteten et falsum:

• Regler har ingen direkte praktisk betydning hverken for implementasjon eller  oppfølging. Da må det i det minste følge med midler til byråkrati, oppfølging og  gjennomføring (tiltak i informasjonssikkerhetsfaget er kontinuerlig og nitidig arbeide) over lang tid. Dette er en forpliktelse Høyre og Arbeiderpartiet påtar seg og ikke kan løpe fra.
• Kryptering av overskuddsinformasjon er ikke en styrking av personvernet. Det er ikke engang en et nullsumspill siden det faktisk blir større datamengde (spesiellt lokasjonsinformasjon og epost avsendere og mottagere) som kan stjeles og misbrukes. Før denne tvangslagrede informasjonen blir flyttet til kryptert database. (merk: det krever sletting av informasjon i kildesystem, utover operatørenes eget behov, og sjansen for at det da glipper er større)
• Regelverket vil neppe ha gyldighet for operatører som velger å bruke lagring i utlandet. Dette er svært vanlig strategi for å spare penger, samt at telekom-operatører opererer på tvers av landegrenser.
• Det "strenge" regelverket endrer ikke noe på det faktiske forhold at man overdrar disposjonsrett fra eier til 3dje part. Datalagringsdirektivet er stikk motsatt av styrking av personvernet uansett hvordan man vrir og vender på det, og ingen regler kan endre på det. 
• oppdatering: De fleste av disse reglene er heller ikke noe annet enn common sense og ansvarlig politikk som ville blitt vedtatt helt uavhengig av Datalagringsdirektivet. Da blir det direkte falskneri å koble til innføring av direktivet. Les også Geir Pollestads utmerkede serie bloggposter om Høyres spillfekteri om hva de har oppnådd i forhandlinger med Arbeiderpartiet.