8.8.1 Gjeldende rett
Det følger av etterretningstjenesteloven § 1 bok-stav a at tjenesten skal «bidra til å kartlegge og motvirke ytre trusler mot rikets selvstendighet og
sikkerhet og andre viktige nasjonale interesser».
Etter § 3 første ledd skal tjenesten innhente inmasjon «som angår norske interesser sett i for-hold til fremmede stater, organisasjoner eller indi-vider». Bestemmelsene viser at forbindelsen mel-lom utenlandske etterretningsmål på den ene siden og norske interesser på den andre siden står sen-tralt for tjenesten. Som en følge av dette vil tje-nesten få befatning med informasjon som berører personer i Norge. Det er for eksempel ikke tvil-somt at tjenesten skal søke å innhente informa-sjon om utenlandske trusselaktørers kontakt med sine nettverk i Norge, utenlandske digitale angrep mot norsk infrastruktur og andre forsøk på sabo-tasje, spionasje mv. i Norge med opprinnelse fra utlandet. Felles for eksemplene er at det er tale om grenseoverskridende aktivitet med en uten-landsk og en norsk ende, og at tjenesten retter sin innhenting mot den utenlandske enden.
Etterretningstjenesteloven § 4 andre ledd fast-slår at tjenesten kan oppbevare informasjon som gjelder norske fysiske eller juridiske personer dersom informasjonen har direkte tilknytning til ivaretakelsen av tjenestens oppgaver etter § 3.
Tjenesten kan altså etter gjeldende rett oppbevare etterretningsinformasjon om norske personer, herunder om den norske enden i etterretningsre-levant grenseoverskridende aktivitet. Det kan for eksempel være informasjon om hvilke norske virksomheter en fremmed stat forsøker å angripe i det digitale rom, eller hvilke personer i Norge som en fremmed etterretningstjeneste eller et internasjonalt terrornettverk har kontakt med.
Slik informasjon kan betegnes som aksessorisk i den forstand at informasjonen følger med ved inn-henting rettet mot den utenlandske enden. Tje-nesten kan derimot ikke på fordekt måte innhente informasjon om den norske enden av den grense-overskridende aktiviteten, jf. § 4 første ledd.
Loven inneholder ingen spesifikk regulering av rådata i bulk, det vil si ubearbeidet eller auto-matisk bearbeidet informasjon der etterretnings-verdien ikke er vurdert, og der en vesentlig andel av informasjonen antas å være uten interesse for etterretningsformål.
8.8.2 Forslaget i høringsnotatet
Det foreslås i høringsnotatet et forbud mot å rette innhenting av informasjon mot personer som opp-holder seg i Norge i lovutkastet § 4-1. Det vurde-res i høringsnotatet ikke som nødvendig å innta en presisering i lovteksten om at innhenting mot etterretningsmål i utlandet ikke strider mot
forbu-det, selv om det ved innhentingen vil kunne følge med informasjon om personer i Norge.
Det foreslås i høringsnotatet å presisere i lov-teksten at innhenting av rådata i bulk ikke er å anse som rettet mot personer eller virksomheter i Norge selv om datasettet kan inneholde informa-sjon om personer i Norge (lovutkastet § 4-2 sjette ledd). Forslaget har bakgrunn i EOS-utvalgets særskilte melding til Stortinget 17. juni 2016, og har til hensikt å fjerne den rettslige usikkerheten knyttet til innhenting av rådata i bulk som EOS-utvalget peker på i meldingen. Det understrekes i høringsnotatet at stadig mer av den etterretnings-relevante informasjonen i dag befinner seg i det digitale domenet, og at den teknologiske utviklin-gen må reflekteres i et nytt og oppdatert rettslig rammeverk.
8.8.3 Høringsinstansenes syn
International Business Machines AS (IBM) deler departementets intensjon om en tydelig presise-ring av at innhenting av rådata i bulk ikke er å anse som rettet mot personer og virksomheter som befinner seg i Norge, selv om rådata kan inneholde opplysninger om disse. IBM anbefaler imidlertid å vurdere en annen formulering enn «å anse».
Norges institusjon for menneskerettigheter (NIM) omtaler den territorielle begrensningen i lovutkastet kapittel 4 i forbindelse med sine inn-spill til forslaget om tilrettelagt innhenting, og uttaler i den sammenheng at det er en naturlig konsekvens av hvordan bulkinnsamling fungerer at innhenting av rådata i bulk ikke rammes av for-budet i § 4-1.
Riksadvokaten bemerker at lovutkastet § 4-2 sjette ledd er utformet «nærmest i form av en slags definisjon», og uttaler at bestemmelsen i praksis vil kunne åpne for innhenting av informasjon om per-soner og virksomheter «i langt større omfang enn hva en er kjent med foregår i dag». Det pekes på at innhentingen ikke vil være undergitt domstolskon-troll, og at informasjonen etter behandlingsreglene i kapittel 9 vil kunne lagres i inntil 15 år med mulig-het for ytterligere forlengelse.
Stortingets kontrollutvalg for etterretnings-, overvåkings- og sikkerhetstjeneste (EOS-utvalget) viser til at utvalget i særskilt melding til Stortinget i 2016 konkluderte med at det forelå rettslig usik-kerhet knyttet til innhenting av metadata som kan inneholde opplysninger om norske borgere i Norge. Det heter videre:
«Utvalget konstaterer at våre merknader til E-tjenestens praksis med innhenting av metadata
i bulk som kan inkludere kommunikasjon til og fra norske rettssubjekter i Norge, er omgjort til et unntak fra innhentingsforbudet for E-tje-nesten i forslaget § 4-2 sjette ledd.»
Utvalget uttaler dessuten at det foreslåtte unnta-ket fra innhentingsforbudet er knyttet til rådata i bulk generelt, og ikke begrenset til metadata:
«Utvalget merker seg at det foreslåtte unntaket fra innhentingsforbudet om innhenting av rådata i bulk, ikke synes å være begrenset til metadata eller innsamling av kommunikasjons-signaler i transitt mellom en avsender og en mottaker. Utvalget merker seg videre at depar-tementet skriver at innsamling av rådata i bulk kan «skje ved bruk av enhver innhentingsme-tode», herunder innhenting av informasjon fra åpne kilder. Hvorvidt bulkinnsamling «ved bruk av enhver innhentingsmetode» vil være for-holdsmessig i det enkelte tilfellet, vil kunne avhenge av innhentingsmetoden som benyt-tes.»
EOS-utvalget fremhever videre at det er viktig å styrke utvalgets etterfølgende kontroll av Etter-retningstjenestens innhenting av rådata i bulk, blant annet ved at utvalget får egne verktøy for kontroll i tjenestens systemer.
8.8.4 Departementets vurdering
Departementet har på bakgrunn av høringen omredigert forslaget til unntaksbestemmelse i
§ 4-2 og splittet den opp i flere paragrafer. Etter departementets vurdering bør det i en egen para-graf gjøres klart at forbudet mot innhenting i Norge ikke er til hinder for at det ved innhenting av informasjon om etterretningsmål i utlandet føl-ger med informasjon om personer i Norge. En slik bestemmelse om aksessorisk informasjon om perso-ner i Norge inntas i lovforslaget § 4-7. På samme måte som ellers i kapittelet omfatter personbegre-pet både fysiske og juridiske personer.
Ordet «aksessorisk» betegner at informasjo-nen om persoinformasjo-nen i Norge følger med ved innhen-ting av informasjon om etterretningsmål i utlan-det. Den norske informasjonen er aksessorisk til informasjonen om det fremmede målet i den for-stand at hvis det ikke var for innhentingen mot det fremmede målet, ville ikke tjenesten ha kommet i befatning med den norske informasjonen. Det kan være tilsiktet eller utilsiktet at det ved innhenting mot et mål i utlandet følger med informasjon om personer i Norge. For eksempel vil det være
tilsik-tet å se hvilke norske mål fremmede aktører forsø-ker å ramme i en påvirkningsoperasjon, slik som påvirkning av valg eller andre demokratiske pro-sesser, eller i et digitalt angrep med sikte på sabo-tasje eller spionasje. Det vil også være tilsiktet å forsøke å avdekke grenseoverskridende terror-planlegging eller hvilke forgreininger et interna-sjonalt nettverk som sprer masseødeleggelsesvå-pen har til Norge. Felles for disse eksemplene er at Etterretningstjenesten innhenter informasjon om den utenlandske enden av en grenseoverskri-dende trussel, hvor informasjon om den norske forbindelsen også er etterretningsrelevant. Inn-henting av informasjon rettet mot den norske enden ligger derimot utenfor tjenestens mandat.
Slik innhenting må utføres av andre myndigheter, som Politiets sikkerhetstjeneste. Departementet understreker at Etterretningstjenesten ikke kan benytte innhentingsmetoder overfor personer i Norge med mindre en av unntaksbestemmelsene etter lovforslaget kapittel 4 kommer til anven-delse, typisk ved fremmed statsaktivitet i Norge etter lovforslaget § 4-2.
Informasjon om norske personer kan også være informasjon som er uten interesse for etter-retningsformål, altså overskuddsinformasjon. At Etterretningstjenesten kommer i besittelse av overskuddsinformasjon er en utilsiktet konse-kvens av innhenting mot etterretningsmål i utlan-det, typisk ved innhenting av rådata i bulk. Depar-tementet opprettholder forslaget i høringsnotatet om å presisere i lovteksten at innhenting av rådata i bulk ikke strider mot forbudet mot innhenting i Norge selv om informasjon om personer i Norge kan følge med i datasettet. En slik presisering fjer-ner den rettslige usikkerheten som EOS-utvalget peker på i sin særskilte melding 17. juni 2016, og bidrar til å sørge for at innhenting av rådata i bulk har trygg rettslig forankring. Presiseringen er inntatt i lovforslaget § 4-7 andre ledd.
I lys av høringsuttalelsen til EOS-utvalget pre-siserer departementet at forslaget ikke er begren-set til metadata eller innhenting av kommunika-sjonssignaler i transitt mellom en avsender eller en mottaker, men skal gjelde generelt. Bulkinn-henting er nærmere omtalt under punkt 9.4. Selv om slik innhenting er særlig relevant når det gjel-der kommunikasjonsetterretning, kan det i prin-sippet brukes ved enhver innhentingsmetode.
Departementet slutter seg til EOS-utvalgets merknad knyttet til betydningen av kravet til for-holdsmessighet i denne sammenhengen. På samme måte som ved annen innhenting må Etter-retningstjenesten vurdere nødvendighet og for-holdsmessighet etter lovforslaget § 5-4 når de
henter inn informasjon i bulk. Det må i denne for-bindelse vurderes om inngrepet vil utgjøre et ufor-holdsmessig inngrep overfor den enkelte. Dette innebærer en vurdering av om mindre inngri-pende tiltak i tilstrekkelig grad kan ivareta formå-let, virkningen for de som rammes, sakens betyd-ning og forholdene ellers. Hvorvidt og i hvilken utstrekning bulkdatasettet kan inneholde informa-sjon om personer i Norge, vil være et relevant moment i vurderingen av forholdsmessighet.
Selv om det sjelden vil være mulig å garantere at det ikke ligger informasjon om personer i Norge i et bulkdatasett, er det et grunnleggende utgangspunkt å søke å unngå dette i størst mulig grad. Ved tilrettelagt innhenting av metadata i bulk (lovforslaget § 7-7) vil det samles inn store mengder data om norsk innenlandsk kommunika-sjon. Dette skyldes at det av tekniske årsaker ikke er mulig å filtrere ut all norsk innenlandsk kom-munikasjon. Det vises til punkt 11.8.2 for en nær-mere redegjørelse. Bulkinnhenting fra andre kil-der vil i langt mindre grad berøre norsk innen-landsk kommunikasjon. For eksempel vil det ved bulkinnhenting fra satellittkommunikasjon aldri være slik at begge endene av kommunikasjonen stammer fra Norge, og over 99 % av innhentede data vil ikke være knyttet til norske personer.
Å forby innhenting i bulk fordi det ikke kan utelukkes at datasettene kan inneholde informa-sjon om personer i Norge, er etter departementets syn ikke et reelt alternativ. Bulkinnsamling er en forutsetning for moderne kommunikasjonsetter-retning. Det vises til drøftelsen av behovet for bul-kinnhenting i punkt 9.4. Departementet er enig med EOS-utvalget i at utvalgets muligheter til etterfølgende kontroll av Etterretningstjenestens innhenting av rådata i bulk bør styrkes, blant annet ved at utvalget får egnede verktøy for kon-troll i tjenestens systemer. Etterretningstjenesten tilrettelegger allerede i dag for slik kontroll. I til-legg kommer at utvalgets kontroll med tilrettelagt innhenting foreslås styrket, se punkt 11.10. Depar-tementet antar at den kontrollmetodikk og de kon-trollverktøy som vil utvikles og benyttes i forbin-delse med tilrettelagt innhenting, også vil kunne benyttes i kontrollen med annen bulkinnhenting.