Aslak Sira Myres appell mot DLD

Fra en som har vokst opp med overvåkning og som har et reflektert og engasjert forhold til fenomenet. Hør, se og lær.

Stasministerens nye direktiv

Stasministeren følte seg naken overfor borgerne, og det som enda værre var: innsynet var ikke gjensidig. Borgerne skjulte noe for ham. Hvem vet hva folk med privatliv kan finne på?

Borgere kommuniserte med hverandre uten at han visste om det. Siden alle nå kunne bruke eletroniske kommunikasjonstjenester kunne de ha direkte kontakt med hvem som helst hjemmefra. Det var bare ved Partiets høyborg at man hadde lov til slikt må vite. At folk snakket sammen uten at Partiet hadde kontroll var ikke bra. Bevis måtte sikres.

Når 2 EU byråkrater kom til hovedstaden med et flunkende nytt direktiv i hånden, som inneholdt krav om lagring av hvem som hadde snakket sammen, og enda bedre hvor de til enhver tid befinner seg, kjente Stasministeren lettelsen bre seg. Endelig kunne han få kontrollen tilbake. EU Byråkratene sa dumme og kunnskapsløse personer ikke kommer til å se hvor fint direktivet er, som styrket demokratiet og borgerne kunne bevise sin uskyld. Det måtte pakkes pent politisk inn: Trusler om terrorangrep og landet ville bli fristat for horder av kriminelle. I tillegg smørte man på litt ekstra med å stoppe spredning av overgrepsmateriale, selv om det ikke hjalp de som ble utsatt for overgrepen i nevneverdig grad. Vi må redde barna, ikke sant?

Stasministeren tenkte også at det ville bli fryketlig fint å kunne avsløre inkompetente tilsyn, dustepartier og andre plagsomme instanser som stadig sto i veien for hans fantastiske planer og månelandinger.

Noen av Stasministerens politiske motstandere prøvde å stille kritiske spørsmål og legge frem informasjon som viste at direktivet ikke var effektivt, og kunne ha skadelige bivirkninger. Raskt kom embedsmenn og Stasministerens medhjelpere ham til unnsetning: Vi vil vel ikke ha lovløse tilstander, terror, en fristat for kriminelle? Tør dere la det skje?.
,
Ikke så rent få av Partiets medlemmer lurte også på om påstandene, om hvor fint det ble med direktivet, kunne være riktig. Men de ble selvfølgelig fortalt at de måtte være dumme som ikke så hvor fortreffelig det var. Dermed var det kun noen ytterst få partimedlemmer som hadde selvtillit nok til å tro på sin egen kunnskap og vise det offentlig.

Etterhvert som arbeidet med innføring av direktivet skred frem var det stadig kritiske røster, plagsomme dumme borgere, embedsmenn og tilsyn som maste om det fantes indikasjon på at direktivet ikke virket og kunne være uheldig for borgernes rettigheter og styresettet. Ikompetente tenkte Stasministeren, vi må lage en kampanje. Kjøpe høyeste ranking på søkemotorer, skrive innlegg i alle landets aviser, så blir nok disse masekoppene lei av å protestere.

Embedsmenn og politikere som ville ha direktivet skrev og forklarte om trusler og at det nesten ville bli umulig å oppklare kriminalitet om man ikke fikk direktivet innført. De glemte at det for kort tid siden ikke ville vært mulig å lagre slik informasjon om borgerne, og selv uten krav om lagring ville det finnes veldig mye informasjon tilgjengelig uansett. Flere og flere borgere begynte å se at Stasministerens direktiv ikke var slik ha sa.

---

Ovenforstående historie er en sterkt omskrevet versjon av H.C. Andersens Keiserens nye klær. For at det skal passe med historien er statsministerens rolle sterkt overdrevet, fakta og kronologisk rekkefølge er ikke fullstendig korrekte.

Hint! En vesentlig forskjell er politikere i et demokrati skal være avkledd. Et fungerende demokrati er såpass transparent at borgerne kan kontrollere de som har fått tillit og makt. Datalagringsdirektivet er egentlig en fordekt måte å kle av borgerne på.

Primær- og sekundærbruk av data - hvor kommer Politiets behov fra?

Som programmerer interesserer jeg meg blant annet for de artifakter som oppstår som følge av bruk av teknologi. Innføring av ISDN i Norge var starten på en ny æra for lagring av privat informasjon, for bruk i oppfølging av at avtaleforhold. Jon Bing har beskrevet dette på en god måte, og fremhever hvordan slik lagring vil stille oss ovenfor en rekke dilemmaer. For å ta Bings problemstilling litt videre, så må tenke over

• Hva lagres?
• Hvorfor?
• Hvem bør få tilgang?
• Hvem kan stille krav til ovenstående punkter?
  

Når det lagres informasjon om oss må vi kunne forvente å ha råderett over den. Den er privat, representerer et avtrykk av sthvem vi er og vårt daglige liv. Dersom noen skriver en bok eller lager en film, har man automatisk opphavsrett til materialet, mens personlig informasjon ser ut til å være fritt vilt skal vi ta politikerne som vil innføre Datalagringsdirektivet på ordet. Det er mulig den finurlige, og stadig påmininningen fra sentrale tilhengere, om at det ikke er innhold som lagres som gjør at eierskapet til denne informasjonen får lite oppmerksomhet i debatten.

Før ISDN måtte Politiet selv fremskaffe, bearbeide og lagre elektroniske bevis, men nå fikk de en mulighet til å be om detaljert informasjon uten å spørre vitner og fysiske åstedsundersøkelser. Selv om man sikkert kan vise til noen avgrensede områder før ISDN, ble data nå tilgjengelig i stor skala.

Det ovenforstående er ment som bakteppe for denne blogposten som omhandler hvordan lagringsbehov oppstår, bruk av disse dataene og når det oppstår sekundærbruk av dem.

Leveranse av tjenester basert på informasjonsteknologi medfører forbruk av ressurser som tilbyderen må dekke inn. Private gjør det oftest ved fakturering eller reklame, og offentlige tjenester dekkes over skatteseddelen. Når forbrukeren skal faktureres må det finnes et fakturagrunnlag, også ved fastpris. Selv om det er avtalt fastpris vil det alltid finnes noe data. Skal det være mulig å drifte en IT-tjeneste må man kan overvåke ressursbruk, ellers så vil man ikke ha kontroll, tjenesten oppleves som ustabil eller uforutsigbar og da flykter kundene. I tillegg så må sikkerhet ivaretas, uønsket trafikk mot tjenesten og uønsket brukeratferd må kunne avdekkes. Slike sikkerhets- og driftsbehov dekkes ved å logge aktiviteten i systemene. Loggene er viktig underlag for vedlikeholdsbehov, men de danner også avtrykk av brukernes atferd.

Lagring av personlig informasjon er avtalebetinget og regulert, i et forhold mellom forbruker og tjenestetilbyder. Sekundær tilgang må skje unntaksvis, og ved spesifikk tillatelse. Når avtaleforholdet opphører er det heller ikke noe grunnlag for at dataene fortsatt skal ligge lagret.

Som Jon Bing beskriver fattet Politiet (naturligvis, de skal jo finne relevant informasjon ifbm etterforskning) tidlig interesse for den elektroniske informasjonen som blir lagret om oss. De ble en sekundærbruker av telekom-data. Etterhvert har denne informasjonen blitt brukt i oppklaring av endel kriminalsaker, og det har dannet seg forventning om at man kan benytte elektronisk informasjon i etterforskning. Men det er vesentlig forskjell på å gi Politiet tilgang, og sikre at det skal finnes elektroniske spor etter alle borgere. Vi må huske på at det ikke er lengre enn drøytt 20 år siden noe slikt overhodet ikke var mulig. Teknologien ble ikke lagd for å sikre Politiet bevis. Behovet som det angivelig har, kan kun ha oppstått som en følge av at de tilfeldigvis har fått tilgang. Det både forundrer og skremmer meg at noen nå tydeligvis mener at Politiet nå skal ha en generell og omfattende informasjonsrett til private data. At ikke folk skvetter stolen av slike tanker er ikke noe mindre enn oppsiktsvekkende. Selv om Norge ikke blir omgjort til en politistat over natten om Datalagringsdirektivet innføres, er det en underliggende logikk her som kan medføre en slik utvikling. Det argumenteres fra Politiets side at de mister tilgang. I mitt i hode mister de ikke noe som helst, men må tilpasse seg utviklingen slik de gjorde da det ble mulig å få tilgang til elektroniske data.

Tilvenning, som jeg ikke finner noe bedre ord på, til at Politiet kan få tilgang har pågått i drøytt 20 år.  Sakte nok til at det ikke har fått den store oppmerksomheten inntil EU kom med Datalagringsdirektivet. Gjennom erfaring som programmerer vet jeg hvordan informasjonsflyt setter seg i organisasjoner og påvirker dem. Det har tydeligvis sneket seg inn uheldige forventninger om hva IT-bransjen skal stille opp med til etterforskningsformål, mens politikerne og tilsyn(?) har sovet i timen.

Med Datalagringsdirektivet stilles det krav fra sekundærbruker om hva som skal lagres og hvor lenge. Datalagringsdirektivet stiller krav uten å sjele til hva som trengs for å drifte systemene. Det er Politiets behov som skal dekkes og som danner grunnlag for helt nye krav til systemene og tjenesteleverandørene. De vil bli ansvarlige for å kunne fremskaffe bevis, mot sine egne kunder, i fremtidige kriminalsaker. Det er 3 hovedtyper informasjon som skal lagres, og ikke bare "trafikkdata" som oftest blir nevnt av politikere/media (de 2 andre blir vel lett assosiert/forvekslet med trafikkdata)

• Trafikkdata (når og hvem vi har kommunikasjon med)
  
• Lokasjonsdata (behøves i svært liten grad for oppfølging av kunden, men noe på nettverksdrift)
  
• Abbonementsinformasjon (Kundepersonalia) + IP-adresse, telefonnr osv
  

Se også Stopp DLDs informasjonsside om hva som skal lagres.

Når en sekundærbruker, som attpåtil ikke skal betale for dette, ei heller har en generell informasjonsrett, begynner å stille slike krav er det noe fundamentalt galt på gang. Jeg vil si det er å være rimelig freidig overfor borgerne som myndighetene skal tjene, men som de nå skal avkreve detaljert privat informasjon i stor skala fra. Noe av formålet med en demokratisk rettsstat må ha blitt borte på veien...

Videre: Hva vil skje med innovasjon hos tjenesteleverandøren? Vil kundene ha den samme tilliten til leverandøren når de er ansvarlige for å lagre bevis mot dem? Endel av kontroll og strategi for utviklingen av tjenestene blir nå overdratt sekundærbrukeren.

Vi er midt inne i en rivende utvikling av kommunikasjonstjenester, men dersom Politiets behov skal dekkes vil det legge føringer og begrensninger på utviklingen. Hva vil skje dersom bruksmønsteret endres? Skal ikke kommunikasjonstjenesteleverandører som er underlagt DLD få liv til å videreutvikle tjenestene sine med mindre de kan tilfredstille Politiets behov? Med den massive mengden data som lagres om oss, vil jeg regne med at det vil bli økende etterspørsel etter tjenester som ivaretar personvernet på en bedre måte enn idag, men dette vil da være i "konflikt" med Politets behov! Det er mildt sagt en uheldig sammenblanding av Statens rolle som regulerende myndighet og interessent av den avledede informasjonen.

Jeg tror Jon Bing stilte riktig diagnose i 2003:
Elektroniske spor er altså forholdsvis nye i forhold til praktisk bruk. Når det gjelder personopplysninger, har vi ofte sterke sosiale og etiske normer som støtter de rettslige reglene for utnyttelse av dem: Vi titter ikke inn gjennom vinduer, vi forteller ikke uten videre til andre hva en venn har sagt i fortrolighet. Men holdningene til elektroniske spor har ennå ikke fått tid til å danne seg. Sammen med en sterk teknologisk utvikling som gjør bruken av slike spor nyttige på så mange områder, krever dette og garanterer for en rettspolitisk diskusjon de nærmeste årene.

Problemet er at dette ikke har blitt fulgt opp i tilstrekkelig grad, og lagringen av informasjon akselerer mens regulerende instanser (med unntak av Datatilsynet, som det ikke blir lyttet til) sover videre. Den digitale rettspolitiske "gjelden" er enorm og vokser hurtig. Så får vi se hva Høyre har tenkt å bestemme seg for: dra på seg enda mer gjeld, eller begynne nedbetaling.

Beslutninger, makt og ansvar: When in doubt, don't

Beslutningen om Datalagringsdirektivet skal innføres i Norge hviler på Høyre, et liberalkonservativt parti. Med utgangspunkt i verdier som tillit til borgerne, og konservative løsninger skulle man tro svaret skulle gi seg selv. Desverre er det ikke slik, men Høyres ledelse har ikke gitt noe presist svar på hvordan de tenker når andre krav fra Politiet veier tyngre.

Rent generellt så sier mange at DLD er utformet av en komité basert på et dårlig definert problem. På meg virker det mer som en antagelse om at en man samler inn data om alles private kommunikasjon og bevegelser så er man sikret bevis den dagen de gjør noe galt. Det er vanskelig å plassere, det relativt massive, ansvaret for disse innsamlede data. EUs evaluering av direktivet blir stadig utsatt, men det lekker ut informasjon om at DLD har lite for seg mhp de problemer man vil løse. Å ta en beslutning på noe som er dårlig definert, ikke evaluert og med uklar ansvarsfordeling er, som det alltid har vært, veldig vanskelig. Da bør man man følge "When in doubt, don't" istedet for å ta en beslutning man umulig kan ha oversikt over.

Uten å ha god innsikt i Høyreledelsens vurderinger, kan man allikevel tenke seg frem til hvordan det er mulig at Høyres ledelse instiller slik de gjør om man leser deres syn på Datalagringsdirektivet. De vil ikke kunne bli stilt til ansvar, og det letter jo byrden en god del, for en beslutning om å innføre DLD fordi:

• EU krever det, og de "måtte" innføre det for å unngå sanksjoner
• Høyre skyver lettvint enda mer ansvar for sikkerheten over på teleoperatørene, uten å ha innsikt i informasjonssikkerhetsfaget. Høyres sikkerhetsregime er et falsum. Når det lekker data kan de toe sine hender og smekke noen over fingrene, og til og med få ros i media for å ta datalekkkasjer alvorlig. Dobbeltmoral!
• De vil styrke personvernet (på helt andre områder). Dette er tiltak som det egentlig er uansvarlig å ikke innføre uavhengig av DLD. Dette er bare for å pynte en ellers uspiselig rett for Høyres velgere.
• De vil ganske sikkert få gjennom en av sine hjertesaker med støtte fra Arbeiderpartiet. Reinspikka hestehandel.

 Vel, de ovenforstående punktene er kanskje ikke noe annet enn dagligdagse avveininger for en politiker høyt på strå. Jeg synes derimot det er mer overraskende at Høyre så til de grader feiler i forhold til sine egne verdier:

Verdigrunnlag	Konflikt
Frihet, ansvar, mangfold	Ved å sikre bevis fra alle norske borgere innføres en generell mistillit. Frihet og ansvars-verdiene svekkes
Ansvarlig økonomisk politikk	Store kostnader skyves over på teleoperatører og forbrukere. De som krever tvangslagring av data blir ikke belastet med kostnadene. Når den som krever ikke skal betale oppstår det ofte uansvarlighet. Jeg begriper ikke at Høyre kan være bekjent av en slik hårreisende ansvarsfrikobling mellom krav og ressursbruk
Minst mulig statlig styring og inngripen	Staten krever inn data om så og si samtlige borgeres kommunikasjon og bevegelser. Det må innføres en god del byråkrati for å implementere Høyres forslag til DLD
Respekt for andres verdier	Høyre forsvarer så og si alltid respekt for eiendom og verdier. Eiendeler og eiendom skal ikke uten videre kunne ekspropieres. DLD er formålsløs ekspropiering av personlig informasjon, noe av det mest private et menneske har. Dette kan ikke være noe annet enn kontroversiellt for velgerne i Høyre

Vi vet alle at det var mulig å løse kriminalsaker før mobiltelefonen og digitalisering av telenettet. Utviklingen har bare gjort det mulig å samle inn massive mengder data. Det er ikke dermed sagt at det er en fornuftig ting å gjøre. Politiet bør få tilgang til det som måtte finnes av spor og bevis i en sak, men det er ikke det samme som at bevis skal samles inn mot alle borgere. Det er mulig å gi Politiet mer ressurser og raskere tilgang til data når de trenger det. Det finnes andre løsninger, slik som Venstre har lagt frem.

Jeg gjetter på at hvis Høyre går sammen med Arbeiderpartiet om innføre DLD i Norge vil partiet streve med å finne seg selv etterpå. 10 av 12 fylkeslag har sagt nei til DLD, uten at det har gjort særlig inntrykk på ledelsen.