Datalagringsdirektivet: Prinsippiell tilnærming og vurdering av praktiske konsekvenser

Debatten om Datalagringsdirektivet går høyt på Twitter, blogger og i media. Prinsipp-debatten avspores stadig av irrelevante innspill og sammenligninger. Jeg har merket meg at spesiellt mange slike innspill kommer fra Arbeiderpartiets representanter som er aktive på Twitter. Heldigvis finnes det mange som bidrar til dra debatten inn på riktig spor igjen (se ChrElinds innlegg)

Det er for meg uklart om enkelte kommer med innspill for bevisst avspore debatten, eller om de faktisk er uvitende om prinsipper om en liberal rettstat og praktiske konsekvenser. Uansett så har de kunne lese et stort antall høringsuttalelser og blogger med meget god argumentasjon mot direktivet. Det virker som om det bare preller av som vann på gåsa, og at Justisdepartementet, PST samt Kripos har fasitsvar på alt. Politimyndighetene ser sikkert en verdi i trafikkdata, men de er en subjektiv part i denne saken. Samferdelsdepartementet virker imidlertidig som et objektiv, balansert og har tolmodighet til å la være å trekke forhastede konklusjoner og inviterer til en konferanse med innlegg med ulike syn.

Prinsipiell diskusjon om flytting av grenser for overvåkning
Jeg har ikke noe særlig å tilføye på prinsipp-debatten. Den består av ganske tunge juridiske vurderinger, men selve vurderingen av hvor langt man er villig til å flytte grensene for å oppnå oppklaringsmål er veldig viktig. For å kunne tenke nøye over akkurat dette, må man legge alle andre hensyn til side. Det er stor usikkerhet knyttet til effekten av en eventuell implementering, men en må altså isolere dette til om man er villlig til å flytte grensene for overvåkning for å oppnå større oppklaringsandel i kriminalsaker. Hvis man ikke er villig til det, er resten av diskusjonen verdiløs. Derfor må det være et skarpt skille fra andre deler av problemstillingene rundt direktivet og den prinsippielle diskusjonen må avgjøres før man går løs på de praktiske delene.

En Tysk domstol har kommet frem til at implementering Datalagringsdirektivet er grunnlovsstridig. For å forstå den prinsipielle diskusjonen, bør man lese denne bloggposten.

Praktiske konsekvenser: sikkerhet og datakvalitet
Gitt at man aksepterer flytting av grenser for overvåkning, må man begynne å se på de praktiske konsekvensene en implementering vil ha. En må sikre at selve dataene blir

• Lagret forsvarlig
• Bare blir aksessert av autorisert personell
• Bare overlates til politimyndighet etter gjeldene regelverk (dette i seg selv kommer til å bli komplekst)
• Slettes etter gjeldende regler
• Ikke blir manipulert
• Administrert innenfor et regelverk som fanger opp menneskelige feil.

Dette er forhold man kan håndtere ved hjelp av et system, bestående av byråkrater. Dette er rene kostnader innført for å forvalte dataene. Penger som kunne vært brukt på mer konstruktive ting, f.eks. reell etterforskning.

Som programmerer og pådriver for innovasjon ser jeg at dette byråkratiet ikke vil gjøre det enkelt å starte opp nye telekombedrifter i Norge. Av rene økonomiske hensyn vil nok infrastukturen i størst muilig grad bli etablert i utlandet, for å slippe unna kostnader forbundet med direktivet. Det er fullt mulig etablerte operatører også vil se på disse mulighetene.

Når man lagrer data for etterforskningsformål, vil det stille store krav til nøyaktighet. Denne nøyaktigheten kan lett degeneres ved

• ID tyveri
• falske IDer
• stjålne mobiltelefoner
• bruk av naboens trådløse nettverk. 
• Manipulering av mobilenes programvare

Slike forhold er ikke spesiellt uvanlig blant notorisk kriminelle, og vil generere ganske mange falske og villedende indisier. Siden kriminielle driver kriminalitet vil dermed lovlydige mennesker kunne bli uskyldig mistenkt (ID tyveri) og i værste fall dømt for noe de ikke har gjort. Det er ikke alltid man er klar over at ens egen ID er misbrukt før det er en gått noe tid, og eldre personer/barn vil neppe oppdage det overhodet. Falske IDer burde blitt slettet fra Folkeregisterer umiddelbart, men dette er desverre ikke tilfelle per idag og det vil vil forringe kvaliteten på trafikkdatene mye mhp etterforskning, siden det er nettopp de kriminelle som skjuler seg bak falske IDer.

En manipulert mobil (f.eks. infisert med rootkit) kan fjernstyres slik at uvitende mobileiere kan få indisier mot seg. Et botnett av mobiler vil være en datakriminells våte drøm, og Datalagringsdirektivet vil da bli ganske verdiløst. En kriminell kan også legge inn programvare som generer trafikk på egen telefon mens denne lar telefonen ligge igjen mens man bedriver kriminalitet.

Som i all annen software vil det også være mange feilkilder i teleoperatørenes systemer. Det er ikke noe ukjent fenomen at det er feil på fakturaen. Det er greitt nok, fordi det er et forhold mellom forbruker og operatør. Men det er ikke greitt når de samme feilaktige dataene brukes i etterforskningsøyemed.

Praktiske konsekvenser: Etterforskning og analyse
Når en har fått hentet ut informasjon etter gjeldende reglement, vil det i mange av tilfelle være omfattende sett av data, kanske fra flere operatører og i ulike kanaler disse tilbyr. Loggene fra disse er ikke samordnet på noe vis i utgangspunktet, med mindre det er en del av implementeringen. Dette vil i så fall være kostnadskrevende, komplisert og vanskelig å garantere kvaliteten på.
I etterforskningsarbeid vil man ha behov for folk med teknisk kompetanse som kan analysere store datamengder og korrelere disse. Det som er spesiellt krevende er at resultatet av en slik analyse må være 100% presist, og det kan ikke være unøyaktigheter i det som skal brukes som bevismateriale. Trafikkdata er sentral i bevisrekkefølgen, kan den knekke som et korthus om det ikke er vanntett. Solid etterforskning basert på vitneuttalelser vil sjelden knekke på samme måten. Jeg har en følelse av at teknisk analyse av trafikkdata kan få ufortjent stor oppmerksomhet, og i noen tilfeller upresis og mangelfull, istedet for etterforskning i den mistenktes omgangskrets. Vitneuttalelser er mye mer nyansert, gi tilleggsopplysninger, gi spor i andre saker og initiere nye saker. Det vil i så fall ikke være første gang tekniske nyvinninger obstraherer det arbeidet som skal utføres, fordi man innbiller seg at IT gjør det mye mer effektivt.
Ettersom jeg har skjønt hvordan direktivet skal implementeres, kan ikke uthentede data benyttes på tvers av saker selv man kan se indisier på annen kriminell atferd.

Fra før vet vi at Politiet sliter med intern kommunikasjon på tvers av distriktene. Effektivisering av kommunikasjonen ville kunne bidra til å følge opp veldig mobile kriminelle. Spesiellt for narkotrafikk vil jeg regne med høyere antall saker og domfellelser dersom distriktene kommuniserte og samarbeidet bedre.