Ansvarsforhold for software data nettverk og innhold

Denne posten handler om ansvar for sine handlinger på internett. Det virker som om det er uklart for mange hvordan man kan stilles til ansvar for ulike type handlinger relatert til internett. Jeg har mine tanker om dette som jeg vil dele her.

I hvilken grad kan man stille disse 3 rollene til ansvar for sine handlinger?

• Bruker
• Utvikler
• Dataprovider
• Nettverkstilbyder

En person kan besitte 1 eller fler av disse rollene samtidig. Software og digitalt innhold har endel egenskaper som kan gjøre ansvarsforhold utydelig for "uinnvidde".

La meg slå en ting helt fast: Lager man, tilbyr, eller promoterer software eller innhold i den hensikt å begå kriminelle handlinger er man helt klart i et etisk/juridisk ansvarsforhold. I hvilken grad man er i et juridisk ansvarsforhold er komplisert siden statsborgerskap, oppholdssted og "åsted" for handling gjerne kan være 3 ulike steder.

Det må etabeleres en forståelse av sammenhengen, eller rettere sagt, forskjellene mellom software og innhold for å forstå problemstillingene bedre. Software er kode, en slags oppskrift på å behandle data. Når koden ikke kjører er den mer å betrakte som et litterært verk, altså en statisk tekst. I det koden lastes, som f.eks. når du laster denne nettsiden, instansieres koden den innholder i din nettleser. Koden kjører altså på din maskin. Siden, med koden, er lastet fra en tilbyder av blog-tjenester. Blog-tilbyderen har levert en kopi av innhold og kode, jeg har bestemt skal være med, samt det som ligger i blog-templaten, som noen andre har laget og atter andre ting blog-tilbyderen legger på. Software er svært ofte et aggregat av kode skrevet av ulike personer, distribuert i det uendelige som kopier.

Kopier av digitalt innhold kan ikke sies å være eid av noen på samme måte som fysiske objekter. Derimot så kan det være vedheftet bruks- distribusjons- og lisensregler. Kommersiell programvare gir kun kjøper lov til å bruke en kopi, mens Open Source Software har regler for distribusjonsregler. Begge varianter har ofte disclaimers og forbud mot skadelig/ulovlig anvendelse fordi opphavsmannen ikke ønsker at software skal forårsake materiell-, helse- eller økonomisk skade. Her er det imidlertidig svært mange varianter og meninger, og dette innlegget er interessant: Software liability.

Software som kode gjør ingenting, og det er først når den instansieres (kjøres) og benyttes sammen med innhold den gir mening for en bruker. Brukerens handlinger er det sentrale fordi det er disse som "kobler" software med innhold. Det er disse handlingene som må anses som legitime eller illegitime. Noen ganger er dette også uklart, som i f.eks. den arabiske våren hvor myndighetene i de aktuelle statene anså handlingene som illegitime, mens vesten sto på sidelinjen og applauderte.

Nå kan vi se på sammenhengen mellom  de ulike rollene, software og innhold

 

Det er brukerens handlinger som kan være illegitime. Brorparten av software som finnes er ikke laget for å utføre kriminelle handlinger, men som annen teknologi kan den brukes til det. Unntaket er programvare som er spesiellt laget for å stjele, ødelegge, skape falsk eller slette (andres) innhold. Botnet-software er et eksempel på dette, men denne softwaren består gjerne av komponenter skapt for helt legitime formål, men som en kriminell har laget for å kunne utføre kriminelle handlinger. Man kan derfor ikke stille alle utviklere til ansvar her, kun den som har kriminelle hensikter.

Når det gjelder en innholdstilbyders ansvar, må det stilles spørsmål ved i hvilken hensikt og i hvilken grad tilbyder er ansvarlig for innholdet. En blog-tilbyder kan ikke være ansvarlig for alt de ulike bloggerne skriver. Tilbys eller promoteres ulovlig innhold er det noe annet. En tredje variant er der en kriminell 3dje-part bryter seg inn og plasserer ulovlig innhold på en nettside. Vi ville f.eks. ikke stilt en nettavis ansvarlig om noen erstattet innholdet deres med noe ulovlig. En lagringstilbyder (Dropbox) trenger ikke engang besitte programvare som kan benyttes på alt innhold som er lagret på deres utstyr, og dermed ute av stand til å vite hva slags innhold det dreier seg om. Innholdet kan også være kryptert slik at det vil være umulig for en tilbyder å vite hva som er lagret.

Fordi myndighetene ikke ser ut til å se problemet med å tiltvinge seg private data fra borgerne, som f.eks. gjennom Datalagringsdirektivet, vil programmerere svare med å utvikle ny teknologi som lar folk beholde privatlivet også på nett. Jeg, og mange andre, ser på dette som et forsvar av Internett slik det er ment å fungere, og menneskerettigheter som gjelder i våre fysiske liv. Jeg kan ikke se at retten til et privatliv skal opphøre om vi kommuniserer digitalt.

Noen tar til orde for å begrense slik programvare og stille utviklerne ansvarlig for de som eventuellt bruker teknologien til kriminelle handlinger. Dette skivebom, og vitner om dårlig forståelse av hvem som gjør hva. Det blir omtrent som å si at soldaten er ansvarlig for handlingene til borgerne han forsvarer. Helt bak mål altså.

Tull med tall

I statistikken (2010) fra Post- og teletilsynet over anmodninger om fritak fra teleoperatørers taushetsplikt kommer det frem svært interessante tall.

I 2010 ble det anmodet om trafikkdata i 1619 tilfeller, hvorav 109 bli avslått. 316 av disse var anmodninger om trafikkdata fra basestasjoner (hvem var i et angitt område i et tidsrom) med gjennomsnittlig tid for uttrekk 4,2 timer.

I kriminalitetsstatistikken for 2006-2010 ser vi at det i 2010 totalt var 270000 (s. 4) saker. Det ble altså anmodet om trafikkdata i nesten 0.6% av sakene. Hvis vi forutsetter best case, altså at alle saker hvor det ble hentet ut ble oppklart (snitt 37,4%, s. 22) har trafikkdata bidratt til en oppklaringsprosent totalt på 1.6%. ( 1619/(270000×0.374) )

Jeg lurer veldig på hvordan Kripos har valgt ut sakene de brukte til å underbygge behovet for DLD i sin høringsuttalelse. De sier det er saker med alvorlig kriminalitet. Jeg betviler ikke at sakene var alvorlige. Kripos sier det ble hentet ut trafikkdata i 50% av disse sakene i 2008. Ser vi på statistikken for 2008 så var det i alt 264000 saker totalt. Det forteller oss at alvorlig kriminalitet i denne sammenheng utgjør 1.23% ( (1619*2)/264000) ) av sakene*. Jonas Dalheim forteller oss at i 80% av disse sakene hadde trafikkdata avgjørende betydning.

Det vil jeg kalle spekulativ bruk av tall, men så heter det seg også at det finnes 3 typer løgner: løgn, forbannet løgn og statistikk.

Jeg er fullstendig klar over at her er det mange saker som betegnes som lite alvorlig. Men det er illevarslende at kun 37,4% av sakene blir oppklart, og det må man gjøre noe med. Det er en alvorlig stor restanse av uløste saker, hvor trafikkdata ikke engang er aktuellt iflg Kripos egen statistikk (s. 19 Kripos høringsuttalelse). I tillegg leser vi jevnlig i avisene at Politiet har for liten kapasitet til å etterforske saker med kjent gjerningsmann.

Med DLD vil det bli lagret mer data enn tidligere, og antall anmodninger vil nok øke**. Jeg betviler imidlertidig sterkt at det vil løse ressursproblemene i det store bildet når man ser på tallene her. Det begynner å bli en god stund siden Jørgen Kosmo i Riksrevisjonen påpekte ressursmangel og dårlig samarbeid mellom distrikter. Det er her det ligger store muligheter for forbedring og effektivisering.

Man kan ikke løse problemene til Politiet med å fokusere på 0.6% av sakene. Her må noen ha glemt å gjøre leksen sin. Justisminister, hvordan står det til med mattekunnskapene?

* Jeg mangler statistikk om anmodninger om fritak fra taushetsplikt for 2008, men bruker tallene fra 2010
** men flere avslag pga strengere regler?

Oppdatering:
Leif Auke har laget et regneark som viser relasjon mellom oppklaring av saker med grov kriminalitet og bruk av trafikkdata.

Overfiske i personlig informasjon

I det digitale samfunnet finnes stadig mer informasjon lagret om oss. Lagring av informasjon har blitt en integrert del av vår hverdag. Vi legger igjen informasjon frivillig på nettsteder, myndigheter samler inn informasjon, og teleselskapene lagrer informasjon for å kunne fakturere oss. Datahavet med personlige opplysninger vokser hurtig. Konsekvensene er ukjente.

Myndigheter og private aktører vil fiske i datahavet for å kunne tilby oss bedre produkter og tjenester. Informasjonen kan fortelle mye om oss. Hvem vi er, våre (u)vaner og sosiale nettverk kan effektivt kartlegges. Jo fler registere som kan kobles sammen jo mer sier det om oss.

Det er 2 hovedtyper data som kan regnes som personlig informasjon:

• Innhold 
• Ustrukturert som bilder, tekst, tale osv
• Strukturert i fagsystemer som f.eks. skatteetaten bruker
• Metadata (tekniske data) som avledes av vår bruk og produksjon av innhold. F.eks:
• IP-adresser
• Mobilnr
• epost avs/mottager
• lokasjon
• Tidspunkt
• Ulike karakteristika for data som transporeres

De tekniske dataene beskriver hvem og hvor men også endel om hva. Med tekniske data kan man finne ut ganske mye om hva siden det angir hvor innholdet finnes. Kjenner man avsender og mottager av f.eks. en epost er det ikke noen stor jobb å finne innholdet. Selv om data er kryptert kan karakteristika til en viss grad avsløre hva som sendes.

Det er ikke vanskelig å tenke seg at disse dataene kan benyttes til mange formål. Det er ikke dermed sagt et det er riktig å gjøre det. Datalagringsdirektivet er som en stor trål, som skal sikre bevis om vår atferd og hvem vi kommuniserer med. DLD tar ikke hensyn til om det vi gjør er kriminellt. Alt skal lagres, ihht til gjeldende forslag i 12 måneder. Det er forøvrig 6 måneder mer enn det EU setter som minimumskrav. Myndighetene tenker på sitt eget behov. Våre kommunikasjonsdata er deres verktøy. Personlig informasjon er ikke et verktøy. Teknologien som benytter den er det. Å kalle mitt privatliv for verktøy er en fornærmelse, og sier ganske mye om myndighetenes holdning overfor borgerne.

At de samme dataene kan bli misbrukt og stjålet ser heller ikke ut til å gå nevneverdig inn på politikere selv om det stadig er eksempler i media på at det skjer. De vedtar selv lovtekniske justeringer de ikke ser konsekvensen av, og kriminelle vil skaffe seg illegal tilgang.

Alle som kan litt om fiske vet at formålsløst fiske med feil redskap gir dårlig kvalitet på fangsten. Dessuten kan det gå hardt ut over bestanden av enkelte arter. Analogien her er at DLD vil påvirke oss og endre vår oppførsel. Det kan ha en avkjølende effekt på viktige sikkerhetsventiler i et demokrati. Men her brekker analogien, fordi Fiskerinæringen reguleres av myndighetene slik at de negative effekter ikke blir for store. Det er kriminellt å fiske mer en kvoten. I datahavet går derimot myndighetene selv inn for overfiske uten å sjekke konsekvensene. Med det råkjøret som nå pågår fra Arbeiderpartiets side i Stortinget, velger man bevisst å ikke vente på mer informasjon om DLD er nyttig og sideeffekter. Enkelte politikere bruker til og med private aktørers tvilsomme praksis som alibi for DLD. Alle andre gjør det, og vi vil også være med på festen... Tankesløs og uansvarlig argumentasjon.

De nedsetter ikke engang prinsipper som forslag om utvidelser av direktivet kan prøves mot. Paradoksalt nok med bl.a. Fiskeriminister Helga Pedersen i spissen som burde vite bedre...

Det er enda et paradoks her fordi Utenriksminister Jonas Gahr Støre sier Wikileaks lekkasjene fra det amerikanske diplomatiet vil ha en nedkjølende effekt på internasjonale relasjoner. Samtidig argumenterer han for DLD. Istedet for å fremme transparens på statlig nivå og beskytte borgernes privatliv snues det hele opp ned. Da er Staten i ferd med å spore av det demokratiske sporet. I et fungerende demokrati er staten et akvarium som innbyggerne kan se inn i, med kun begrensede områder uten innsyn.

For å bortforklare hva de holder på med, ser vi politikere som forsøker å omdefinere og uthule begrepene personvern og rettsstat slik at de passer med deres egne mål. Nytalen har fått flere tunger i argumentasjonen for DLD.

Staten, med hederlige unntak som Datatilsynet og Barneombudet, svikter sin oppgave i det digitale samfunnet. Istedet for å gripe tak i utfordringer og lede mot en positiv utvikling velger man å misbruke makt. Man bytter rolle fra balansert forvalter til opportunist for ensidig måloppnåelse. Samtidig stilles det spørsmål, av EU selv, ved om kriminalitetsbekjempelse vil styrkes med DLD. Høyre kan sette en stopper for et forhastet tiltak med ukjente konsekvenser. De kan, om de vil, bidra til en positivt og helhetlig utvikling av det digitale samfunn.

Trafikkdata er avledet av sosialisering og daglig kommunikasjon

Mennesker har delt sine tanker og visjoner gjennom lange tider, og det begynte med som hulemalerier og steintavler. Disse mediene var forholdsvis tungvindte å produsere, kopiere og distribuere. Inntil ganske nylig (i dette perspektiv) har mellommenneskelig dagligtale vært forbehold de som var tilstede fysisk. Dette gjelder også kunnskapen om hvem som har snakket med hvem. I det man tar ibruk elektroniske kommunikasjonsmidler oppheves begrensninger som at en samtale er bundet til en fysisk lokasjon. En sideeffekt er at fordi leverendørene av elektroniske kommunikasjonstjenester skal faktuerer kundene, lagres det trafikkdata. Trafikkdata er egentlig å anse som derivater av min og din kommunikasjon. Dersom vi tiltror en tjenesteleverandør å lagre denne informasjonen, må vi kunne forvente at den forblir der, og vi selv kan avsløre hvem vi har kommunisert med og når. Trafikkdata er endel av vår private sfære, men alikevel tilgjengelig for andre. Vanlig dagligtale er som ringer i vannet; de ebber ut. Det gjør forsåvidt trafikkdata også, men hvis staten griper inn i lagringstid er det en 3dje part som tar kontroll over hvor raskt dette skjer.

Siden trafikkdata kan avsløre hvem man har snakket med og når, har dette naturligvis vakt interesse ifbm etterforskning av kriminalsaker. Etterhvert som elektronisk kommunikasjon griper stadig mer inn i vår daglige kommunikasjon og sosialisering, vil avledet informasjon kunne si enda mer om våre vaner og kommunikasjonsmønstre. Det at myndigheter skaffer seg tilgang til disse dataene er et etisk dilemma, og må rettferdigjøres. Graden av innsyn må være veloverveid, og balansere med et reellt behov.

EUs Datalagringsdirektiv pålegger teleoperatører og internettleverendører å lagre visse opplysninger, samt en miniums lagringstid. Desto mer detaljert, og desto lengre lagringstid, jo større er inngrepet i individets privatliv. Dessuten så vil en økning i bruk av elektroniske kommunikasjonstjenester også medføre en økning i mengde og detaljeringen. Denne utviklingen er ikke medregnet når man veier behovet opp mot inngrepet det vil medføre i den enkeltes privatliv. Det er ikke triviellt at man tvangslagrer data avledet av vår daglige kommunikasjon og sosialisering til politiformål.

Har det virkelig oppstått en trussel mot vårt samfunn som krever et slikt inngrep i den enkeltes privatliv?

Siden lokasjon vil bli pålagt lagret, ihht det gjeldene forslag for implementering av direktivet, vil det i effekt fungere som et overvåkningskamera: Man kan se hvor, hvem og når noen har kommunisert. Forskjellen er at trafikkdata er (eller ihvertfall kan gi inntrykk av) å være veldig presise når det gjelder fakta, mens overvåkningskamera kan nyansere med sinnstemning o.l. Begge deler har elementer av Panopticon, som er ment å gi en følelse av å være overvåket slik at uønsket oppførsel dempes. Det er kanskje ikke intensjonen med direktivet, men effekten vil være der likefullt. Dessuten er det veldig fristende å utvide bruken av trafikkdata.

En av opplysningene som blir lagret av alle internettleverendører i dag er IP-adresse. Den lånes ut til brukerne og må fornyes med jevne mellomrom. Ved å finne ut hvilken IP-adresse en husstand (den er ikke personlig med mindre det kun er 1 bruker av forbindelsen) hadde på et gitt tidspunkt, kan man også finne innhold lastet opp via denne adressen. IP-adressen er en innholdspeker, og kan dermed indirekte angi innhold. Det er understreket at innhold ikke skal lagres ifbm Datalagringsdirektivet, men allerede i dag kan Politiet raskt finne en god del innhold knyttet til IP-adressen. Fordi de som ikke vet hvordan man skal omgå denne knytningen ( og lagring av trafikkdata generellt) vil Politiet ha meget bra verktøy for å finne innhold. Jeg synes ikke dette er tilstrekkelig belyst i debatten om direktivet, og må absolutt med i balansering av tiltak vs inngrep i uskyldiges liv.

En skal også huske på at det som vedtas av dagens politikere nedarves til etterkommere, og de kan ha andre agendaer og mål enn dagens. En bruksutvidelse av trafikkdata for f.eks. profilering av individer vil utvilsomt kunne medføre massiv maktforsyvning i samfunnet. Det vil bl.a. rokke ved organisasjonsfrihet og ytringsfrihet, siden individet vil avveie ulempen dette vil kunne ha i andre sammenhenger dersom man selv ikke bestemmer hva man videreformidler.

Både Den europeiske menneskerettsdomstolen (EMD) og UN's Human Right Council mener lover tilknyttet terrorbekjempelse går altfor langt og medfører altfor stort inngrep i innbyggernes liv. Disse intansene vil få mange saker å jobbe med om utviklingen fortsetter i den iheldige retningen den nå har.

Innhold og trafikkdata: en lapskaus

Hva er innhold og hva er trafikkdata? Disse spørsmålene er sentrale i forbindelse med hvilke data som som pålegges lagret og ikke i Datalagringsdirektivet. Rent intuitivt virker det opplagt: innhold er det vi sier på telefon, laster opp og skriver på internett, mens trafikkdata er IP-adresser, telefonnr, epostadresser og lokasjon.

Dersom man går i dybden på dette, er det kanskje ikke så opplagt hva som er innhold og trafikkdata. Uten skarpe definisjoner vil det være lett å flytte grenser i begge retninger.

I løpet av det siste året har lokasjonsbaserte tjenester blitt svært populære, som en naturlig følge av det enorme salget av mobiltelefoner med GPS. I denne forbindelse er lokasjon innhold. Jeg vil tro de fleste oppfatter tittellinjen i en epost som innhold, mens i en del land som har implementert Datalagringsdirektivet er dette faktisk betraktet som trafikkdata. Jeg tror dette skillet kan være svært vanskelig å trekke ettersom teknologien utvikler seg, og nye typer innhold- og trafikkdata oppstår. Hvem skal definere hva som er hva? Teknologiutviklere, myndigheter eller uavhengige instanser? Som med lokasjonsdata vil det helt sikkert komme data som er begge deler.

Datakommunikasjonsfaget omhandler ulike kommunikasjonsprotokoller. På laveste nivå er protokoller for kommunikasjon mellom fysiske enheter over trådløse eller kablet nettverk. Videre så legges lag på lag med protokoller med høyere abstraksjonsnivå. De fleste har vel observert at det står http:// i adresselinjen i nettleseren. Dette står får Hypertext Transfer Protocol. På en gitt enhet i en gitt kommunikasjon ligger denne protokollen seg over de lavere protokollene (TCP/IP mm) og skjuler en hel masse underliggende datatrafikk for at nettleseren skal kunne vise en webside. For de som bruker Twitterklienter, som f.eks. Seesmic eller Tweetdeck er http:// det underliggende transportlaget, mens Twitter APIet er "protokollen" det snakkes over.
Trafikkdata i Twitter APIet er hvilke kall man har gjort mot tjenesten, og hvilke argumenter som ble sendt med. Bruker man Skype defineres skype-ider ikke på lik linje med telefonnr. Skype og andre chat-systemer har protokoller som maskerer hvem som kommuniserer.

Man kan f.eks. trekke en analogi til kjøp av bolig, hvor kjøpet består av en hel rekke kjøps- lånedokumenter og banktransaksjoner. Er det mulig å trekke en grense mellom "trafikk" og "innhold" i en slik sammenheng?

Hva som menes med trafikkdata er ikke så innlysende som man skulle tro. Desto mer det heller mot innhold desto mer sensitivt for personvernet. Desto mer sensitivt desto sterkere sikring av data behøves. Sikring må være lik på tvers av ulike teleoperatører, og vil kreve en betydelig innsats enten det lagres sentralt eller hos operatøren. Begge varianter har svakheter: sentralisering setter enda høyere krav til sikring da mye data lett kan sammenstilles, mens det må settes lit til mange ulike ansatte hos operatørene ved desentral lagring.

Definisjonen av hva som er trafikkdata og innhold er kontekstavhengig. På internett blir det nærmest rent tilfeldig hva som regnes som trafikkdata, siden det er avhengig av hvilke tjenester den enkelte benytter. Dette er ganske tekniske temaer, men likefullt en del av beslutningsgrunnlaget når politikerne skal bestemme om Norge skal implementere Datalagringsdirektivet.

Jeg mener man må sette en skarp grense, slik at eventuelle forslag om nye datatyper som skal pålegges lagring kan behandles skikkelig. Det skal være vanskeligere å legge til enn å trekke fra. Grensene må settes slik at de er lettfattelige, og endringshåndtering blir reell.

Det vil raskt oppstå en misforhold, kanskje særlig sett fra politimyndighetenes side, etter at en skarp grense er trukket og ny teknologi kommer. Endring i hvilke data som skal lagres, vil kunne kreve endring i sikkerhetsrutiner. Sikkerhetsrutinene derimot vil ikke være så lette å endre, og den effekten trafikkdata enkelte påstår vil ha i etterforskning vil etterhvert dreneres.

En rapport fra EUs medlemslands Datatilsyn ble tilgjengelig i dag. Det rådes til at man enten skroter hele direktivet eller endrer det radikalt. Der fremkommer det at implementering er svært ulik, mhp hva som lagres og hvor lenge i medlemslandene. Direktivet har uklare definisjoner på trafikk-, innholdsdata og grov kriminalitet. Det stilles spørsmål om sikring av data er god nok, og det vises også til at det ikke finnes statistikker som viser at man oppnår de mål man ville nå med direktivet. Rapporten er svært verdifull og lesverdig, så bruk tid på den. Særlig de som mener de ikke har noe å skjule bør lese den nøye. Lagring av trafikkdata er ikke så triviellt som en først skulle tro, og konsekvensene kan bli store for demokrati og samhandling.

Hele direktivet virker på meg som en elendig røre av oppkonstruerte tiltak som ikke er målrettede. En Twitter-bruker sa en gang at feilen med Datalagringsdirektivet var "design by comittee". Det tror jeg han har helt rett i. Varsellampene burde blinke faretruende hos politikerne i Norge som snart skal ta stilling til om direktivet skal implementeres.

Jeg foreslår at man begynner fra begynnelsen og ser på reelle behov og veier disse nøye opp mot inngrep i borgernes privatliv. En må huske at det lagres stadig mer data om oss, og behovet for pålagt lagring skulle logisk sett minke, ikke øke. Det er faktisk slik at uten lagring av personopplysninger så stopper AS Norge, og et pålegg blir da smør på flesk når internett og mobilbruk allikevel fører til ganske detaljert lagring som det er (om enn noe tilfeldig).

En brysom politiker

Det er året 2013. Når ungene kommer i skolealder er det vanlig å utstyre ungene med GPS-mobil som forteller foreldre hvor ungene befinner seg. Mobilen er utstyrt med kroppsvarmedetektor og kjenner igjen eieren sin på programmerte impulser. Den varsler foreldrene om ungene legger fra seg mobilen. Foreldrene kan definere grenser for bevegelsesområdet ungene kan bevege seg i, og blir varslet om grensen overtredes. Foreldrene synes dette er et fortreffelig teknologisk fremskritt. De fleste ungene er mer eller mindre konforme og bryter ikke grensene. Grenser som er absolutte. Mobilen gir ikke slingringsmonn akkurat i dag, selv om det hadde vært kult med en sykkeltur til kiosken for å kjøpe en sjokolade.

Pappa Fritjof er stortingspolitiker for et regjeringsparti som er delt i synet på Israel - Gaza konflikten. I midtøsten er dette en konflikt som har vært på bristepunktet i årevis, balansert ved å gi Israel akkurat nok slakk til å holde Palestinerne på Gaza-stripen i sjakk. USA forsyner Israel med endel våpen, og holder sin klamme hånd over det lille landet med arabere på alle kanter. Det palestinske folket er helt utarmet etter mange års innestengt tilværelse på Gaza-stripen. Det er lite å leve av, og ingenting å ta seg til. Hatet til Israel ligger latent, men det er få som orker å gjøre noe særlig utfall. Det nytter ikke.

Fritjof har ønsket å gjøre noe med dette lenge, og en dag tar han kontakt med en palestinsk organisasjon som har en liten avdeling i Norge. Siden partiet hans også har gode kontakter på den Israelske siden av konflikten, klarer Fritjof å opprette samtaler mellom Israel og Palestinerne. Han klarer til og med å organisere hjelpesendinger til Palestina. Siden han er Stortingspolitiker er han unntatt lagring av trafikkdata hos teleoperatøren sin.  Partiet taper stortingsvalget denne høsten. Folket er oppgitt over liten fremgang i utvikling av tog-kapasiteten på Østlandet. På Vestlandet, i Trøndelag og Nord-Norge er folket lei seg for å ha mistet føde- og akuttavdelinger selv om de har protestert mot dette. Flertallet vil ha regjeringsskifte.

Fritjof er ikke lengre unntatt lagring av trafikkdata. Arbeidet hans med å organisere hjelpesendinger og samtaler mellom palestinere og Israel har god fremgang. Så smeller det. Israel blir angrepet med norske våpen. Det er kaos. Ingen skjønner hvordan dette kunne skje, aller minst Fritjof. CIA kontakter Norske myndigheter og ønsker trafikkdata for personer i sentrale posisjoner som har hatt konktakt med visse palestinere.

I årene som kommer er det ingen som tør ta i palestina med ildtang. Det er for risikabelt. Best å holde seg inne med USA, og være til bry.

Dett er ren fiksjon, for å illustrere hvordan Datalagringsdirektivet kan komme til å forme Norsk politikk. Jeg har med vilje grepet fatt i aktuelle problemstillinger, så det skal være lett å relatere seg til historien. Jeg har ikke sjekket om data kan utleveres til CIA, med det foreliggende forslag for implementering av Datalagringsdirektivet.

Datalagringsdirektivet: Prinsippiell tilnærming og vurdering av praktiske konsekvenser

Debatten om Datalagringsdirektivet går høyt på Twitter, blogger og i media. Prinsipp-debatten avspores stadig av irrelevante innspill og sammenligninger. Jeg har merket meg at spesiellt mange slike innspill kommer fra Arbeiderpartiets representanter som er aktive på Twitter. Heldigvis finnes det mange som bidrar til dra debatten inn på riktig spor igjen (se ChrElinds innlegg)

Det er for meg uklart om enkelte kommer med innspill for bevisst avspore debatten, eller om de faktisk er uvitende om prinsipper om en liberal rettstat og praktiske konsekvenser. Uansett så har de kunne lese et stort antall høringsuttalelser og blogger med meget god argumentasjon mot direktivet. Det virker som om det bare preller av som vann på gåsa, og at Justisdepartementet, PST samt Kripos har fasitsvar på alt. Politimyndighetene ser sikkert en verdi i trafikkdata, men de er en subjektiv part i denne saken. Samferdelsdepartementet virker imidlertidig som et objektiv, balansert og har tolmodighet til å la være å trekke forhastede konklusjoner og inviterer til en konferanse med innlegg med ulike syn.

Prinsipiell diskusjon om flytting av grenser for overvåkning
Jeg har ikke noe særlig å tilføye på prinsipp-debatten. Den består av ganske tunge juridiske vurderinger, men selve vurderingen av hvor langt man er villig til å flytte grensene for å oppnå oppklaringsmål er veldig viktig. For å kunne tenke nøye over akkurat dette, må man legge alle andre hensyn til side. Det er stor usikkerhet knyttet til effekten av en eventuell implementering, men en må altså isolere dette til om man er villlig til å flytte grensene for overvåkning for å oppnå større oppklaringsandel i kriminalsaker. Hvis man ikke er villig til det, er resten av diskusjonen verdiløs. Derfor må det være et skarpt skille fra andre deler av problemstillingene rundt direktivet og den prinsippielle diskusjonen må avgjøres før man går løs på de praktiske delene.

En Tysk domstol har kommet frem til at implementering Datalagringsdirektivet er grunnlovsstridig. For å forstå den prinsipielle diskusjonen, bør man lese denne bloggposten.

Praktiske konsekvenser: sikkerhet og datakvalitet
Gitt at man aksepterer flytting av grenser for overvåkning, må man begynne å se på de praktiske konsekvensene en implementering vil ha. En må sikre at selve dataene blir

• Lagret forsvarlig
• Bare blir aksessert av autorisert personell
• Bare overlates til politimyndighet etter gjeldene regelverk (dette i seg selv kommer til å bli komplekst)
• Slettes etter gjeldende regler
• Ikke blir manipulert
• Administrert innenfor et regelverk som fanger opp menneskelige feil.

Dette er forhold man kan håndtere ved hjelp av et system, bestående av byråkrater. Dette er rene kostnader innført for å forvalte dataene. Penger som kunne vært brukt på mer konstruktive ting, f.eks. reell etterforskning.

Som programmerer og pådriver for innovasjon ser jeg at dette byråkratiet ikke vil gjøre det enkelt å starte opp nye telekombedrifter i Norge. Av rene økonomiske hensyn vil nok infrastukturen i størst muilig grad bli etablert i utlandet, for å slippe unna kostnader forbundet med direktivet. Det er fullt mulig etablerte operatører også vil se på disse mulighetene.

Når man lagrer data for etterforskningsformål, vil det stille store krav til nøyaktighet. Denne nøyaktigheten kan lett degeneres ved

• ID tyveri
• falske IDer
• stjålne mobiltelefoner
• bruk av naboens trådløse nettverk. 
• Manipulering av mobilenes programvare

Slike forhold er ikke spesiellt uvanlig blant notorisk kriminelle, og vil generere ganske mange falske og villedende indisier. Siden kriminielle driver kriminalitet vil dermed lovlydige mennesker kunne bli uskyldig mistenkt (ID tyveri) og i værste fall dømt for noe de ikke har gjort. Det er ikke alltid man er klar over at ens egen ID er misbrukt før det er en gått noe tid, og eldre personer/barn vil neppe oppdage det overhodet. Falske IDer burde blitt slettet fra Folkeregisterer umiddelbart, men dette er desverre ikke tilfelle per idag og det vil vil forringe kvaliteten på trafikkdatene mye mhp etterforskning, siden det er nettopp de kriminelle som skjuler seg bak falske IDer.

En manipulert mobil (f.eks. infisert med rootkit) kan fjernstyres slik at uvitende mobileiere kan få indisier mot seg. Et botnett av mobiler vil være en datakriminells våte drøm, og Datalagringsdirektivet vil da bli ganske verdiløst. En kriminell kan også legge inn programvare som generer trafikk på egen telefon mens denne lar telefonen ligge igjen mens man bedriver kriminalitet.

Som i all annen software vil det også være mange feilkilder i teleoperatørenes systemer. Det er ikke noe ukjent fenomen at det er feil på fakturaen. Det er greitt nok, fordi det er et forhold mellom forbruker og operatør. Men det er ikke greitt når de samme feilaktige dataene brukes i etterforskningsøyemed.

Praktiske konsekvenser: Etterforskning og analyse
Når en har fått hentet ut informasjon etter gjeldende reglement, vil det i mange av tilfelle være omfattende sett av data, kanske fra flere operatører og i ulike kanaler disse tilbyr. Loggene fra disse er ikke samordnet på noe vis i utgangspunktet, med mindre det er en del av implementeringen. Dette vil i så fall være kostnadskrevende, komplisert og vanskelig å garantere kvaliteten på.
I etterforskningsarbeid vil man ha behov for folk med teknisk kompetanse som kan analysere store datamengder og korrelere disse. Det som er spesiellt krevende er at resultatet av en slik analyse må være 100% presist, og det kan ikke være unøyaktigheter i det som skal brukes som bevismateriale. Trafikkdata er sentral i bevisrekkefølgen, kan den knekke som et korthus om det ikke er vanntett. Solid etterforskning basert på vitneuttalelser vil sjelden knekke på samme måten. Jeg har en følelse av at teknisk analyse av trafikkdata kan få ufortjent stor oppmerksomhet, og i noen tilfeller upresis og mangelfull, istedet for etterforskning i den mistenktes omgangskrets. Vitneuttalelser er mye mer nyansert, gi tilleggsopplysninger, gi spor i andre saker og initiere nye saker. Det vil i så fall ikke være første gang tekniske nyvinninger obstraherer det arbeidet som skal utføres, fordi man innbiller seg at IT gjør det mye mer effektivt.
Ettersom jeg har skjønt hvordan direktivet skal implementeres, kan ikke uthentede data benyttes på tvers av saker selv man kan se indisier på annen kriminell atferd.

Fra før vet vi at Politiet sliter med intern kommunikasjon på tvers av distriktene. Effektivisering av kommunikasjonen ville kunne bidra til å følge opp veldig mobile kriminelle. Spesiellt for narkotrafikk vil jeg regne med høyere antall saker og domfellelser dersom distriktene kommuniserte og samarbeidet bedre.