11 Innhenting av trafikkdata

11.1 Innledning

11.1.1 Begrepsbruk

Trafikkdata er i Metodekontrollutvalgets utredning definert som «opplysninger om hvilke kommunikasjonsanlegg som i et bestemt tidsrom skal settes eller har vært satt i forbindelse med et bestemt kommunikasjonsanlegg, og andre data knyttet til kommunikasjon». Definisjonen sondrer ikke mellom trafikkdata og såkalte lokaliseringsdata. Med lokaliseringsdata menes opplysninger om hvilke telefoner eller annet kommunikasjonsutstyr som innenfor et nærmere geografisk område har vært satt i forbindelse med bestemte telefoner eller kommunikasjonsutstyr. Ved lovendringer tilknyttet gjennomføring av datalagrinsdirektivet skilles det mellom trafikk- og lokaliseringsdata, all den tid innhenting av lokaliseringsdata representerer et større inngrep i personvernet enn innhenting av trafikkdata. I det følgende gjennomføres derfor et slikt skille. Der utvalget eller høringsinstansene bruker begrepet «trafikkdata» i den videre betydning begrepet hadde før, vil det bli presisert at også lokaliseringsdata er omfattet.

Verken trafikk- eller lokaliseringsdata omfatter opplysninger om innholdet i kommunikasjonen.

11.1.2 Datalagringsdirektivet

11.1.2.1 Kort om direktivet

Datalagringsdirektivet (2006/24/EF) ble vedtatt 15. mars 2006. Kjernen i direktivet er en plikt for ekomtilbydere til å lagre all trafikkdata i en viss periode. Formålet er å kunne benytte dette i arbeidet med kriminalitetsbekjempelse. Gjennomføringsfristen for medlemsstatene ble satt til 15. september 2007. Datalagringsdirektivet er ikke innlemmet i EØS-avtalen fordi Island ikke har godtatt det. Innholdet i direktivet ble like fullt gjennomført i norsk rett ved lov 11. april 2011 nr. 11 (heretter kalt lagringsloven), som omfatter endringer i ekomloven og straffeprosessloven. Loven er ikke i kraft. Hovedgrunnen til dette er arbeidet med en modell for fordeling av kostnader mellom ekomtilbydere og politiet. En lovproposisjon med de nødvendige lovendringene skulle etter planen vært lagt frem for Stortinget vårsesjonen 2014.

EU-domstolen i storkammer avsa 8. april 2014 dom i sakene C-293/12 og C-594/12, der EUs datalagringsdirektiv (2006/24) ble kjent ugyldig som stridende mot EU-charteret 2000 artikkel 7 og 8 om retten til privatliv og personvern. Direktivet ble funnet å være mer inngripende i retten til privatliv og personvern enn det som ble ansett som nødvendig for å ivareta allmenne interesser eller andres rettigheter.

EU-charteret er ikke bindende for Norge. De nevnte bestemmelsene i charteret fremstår imidlertid som en oppdatert versjon av EMK artikkel 8, og det er også i dommen trukket paralleller til denne og EMD-avgjørelser om personvern. EMK er gjort til en del av norsk rett ved menneskerettsloven, med forrang overfor annen norsk lov. Retten til personvern og privatliv er også gitt et grunnlovsvern ved ny § 102 i Grunnloven. For norsk retts vedkommende blir det spørsmål om hvorvidt lagringsloven slik den nå lyder er forenlig med EMK artikkel 8 i lys av dommen fra EU-domstolen, samt Grunnloven § 102. En slik vurdering vil imidlertid ikke foretas i den foreliggende proposisjonen. Spørsmålene er vurdert i en ekstern utredning, se nærmere omtale i punkt 11.4. Drøftelsen nedenfor vil begrenses til Metodekontrollutvalgets forslag om lovendringer.

11.1.2.2 Metodekontrollutvalgets avgrensning mot direktivet

I vurderingen av reglene om innhenting av trafikkdata, avgrenser Metodekontrollutvalget mot en nærmere vurdering av EUs datalagringsdirektiv. Utvalget viser til at direktivet ikke sier noe om hvilke vilkår som skal gjelde for politiets tilgang til trafikkdata, og dermed ikke berører utvalgets vurderinger direkte, jf. punkt 20.4 side 219.

Departementet la frem forslag til hvordan EUs datalagringsdirektiv kunne gjennomføres i norsk rett i Prop. 49 L (2010–2011) Endringer i ekomloven og straffeprosessloven mv. (gjennomføring av EUs datalagringsdirektiv i norsk rett). Under Stortingets behandling ble de prosessuelle og materielle vilkår for politiets tilgang til trafikkdata og lokaliseringsdata skjerpet på flere punkter, jf. Innst. 275 L (2010–2011). Dette var av hensyn til personvernet. Gjennomføring av datalagringsdirektivet i norsk rett vil således få direkte betydning for politiets innhenting av trafikkdata under etterforskningen.

Et spørsmål for departementet har derfor vært om det at utvalget ikke har behandlet forholdet til datalagringsdirektivet, gjør at det er enkelte sider ved berøringsflaten mellom metodekontroll og datalagringsdirektivet som ikke har vært gjenstand for høring. Departementet kan imidlertid ikke se at det er tilfellet. Spørsmålene som ikke direkte var gjenstand for høring i forbindelse med Metodekontrollutvalgets utredning, gjelder forhold som ble drøftet under høringen av datalagringsdirektivet og som Stortinget siden har tatt stilling til gjennom Lovvedtak 46 (2010–2011), jf. lov 15. april 2011 nr. 11. Det gjelder spørsmålet om materielle vilkår for innhenting, om lagringstid og om påtalemyndighetens hastekompetanse. Domstolskontroll og spørsmålet om å frata Nasjonal kommunikasjonsmyndighet (tidligere Post- og teletilsynet) oppgaven med å frita for taushetsplikt ved innhenting av trafikk- og lokaliseringsdata, ble drøftet i begge høringsrunder.

Lovendringene i tilknytning til datalagringsdirektivet følger i stor utstrekning opp forslagene til Metodekontrollutvalget. Departementet ser derfor ikke behov for en utførlig gjennomgåelse av utvalgets forslag, men vil likevel kort omtale forslagene og klargjøre på hvilken måte de gjennomføres. Som følge av de mellomliggende lovendringer som ledd i gjennomføringen av datalagringsdirektivet, er høringsinstansenes merknader til utvalgets forslag lite treffende, og vil ikke bli behandlet nærmere i det følgende.

11.2 Rettstilstanden inntil lovendringer tilknyttet datalagringsdirektivet trer i kraft

Lovendringene i tilknytning til datalagringsdirektivet var opprinnelig ventet å tre i kraft 1. juli 2014. EU-domstolens avgjørelse 8. april 2014 har imidlertid påvirket dette.

Politiet har i dag, før lovendringen i tilknytning til datalagringsdirektivet trer i kraft, flere og til dels overlappende hjemmelsgrunnlag for innhenting av historiske trafikk- og lokaliseringsdata under etterforskningen. Innhenting kan skje der teletilbyderne utleverer dataene frivillig, eller gjennom reglene om beslag og utleveringspålegg, jf. straffeprosessloven §§ 203 og 210, dersom de antas å ha betydning som bevis. Forutsetningen er i alle tilfeller at Nasjonal kommunikasjonsmyndighet (tidligere Post- og teletilsynet) opphever teletilbydernes taushetsplikt. Tilsynet har delegert kompetanse fra Samferdselsdepartementet. Utleveringspålegg avgjøres som hovedregel av retten, jf. straffeprosessloven § 210 første ledd, mens beslag besluttes av påtalemyndigheten dersom trafikkdataene ikke utleveres frivillig, jf. § 205 første ledd første punktum.

Etter straffeprosessloven § 215 a kan påtalemyndigheten som ledd i etterforskningen gi pålegg om sikring av elektronisk lagrede data – sikringspålegg. Dette gjelder både trafikkdata og innholdsdata, herunder filer med lyd, bilder eller tekst.

Innhenting av historiske data kan dessuten skje med hjemmel i straffeprosessloven § 216 b om kommunikasjonskontroll. Annet ledd bokstav d gir hjemmel for å innhente data knyttet til kommunikasjon. For det første omfattes opplysninger om hvilke kommunikasjonsanlegg som har kommunisert med et bestemt annet anlegg. Dette kan for eksempel være teleselskapenes registreringer av samtaler til og fra en telefon eller loggen over kommunikasjonen til og fra en datamaskin. Videre omfattes andre data knyttet til kommunikasjonen. Dette inkluderer blant annet opplysninger om samtalenes varighet, mobiltelefoners geografiske plassering idet samtalene finner sted og hvem som var logget inn på en datamaskin på det tidspunkt maskinen ble benyttet til kommunikasjon, jf. merknader til bestemmelsen i Ot.prp. nr. 64 (1998–99) kapittel 23. Regelen gir både adgang til å pålegge utlevering av historiske data, og til å gi pålegget virkning fremover i tid. Bestemmelsen stiller krav om skjellig grunn til mistanke, og mistanken må rette seg mot handling som kan medføre fengselsstraff i fem år eller mer. Alternativt må mistanken gjelde en eller flere handlinger som rammes av straffebudene opplistet i bestemmelsens første ledd bokstav b. Det kreves som hovedregel rettens kjennelse for å innhente data, jf. § 216 b første ledd.

For en nærmere redegjørelse av rettstilstanden for innhenting av trafikkdata forut for ikrafttredelse av lovendringene, vises til utvalgets utredning side 216–218 og Prop. 49 L (2010–2011) punkt 12.1. Nedenfor vil rettstilstanden etter lovendringen beskrives nærmere.

11.3 Hvordan er Metodekontrollutvalgets forslag gjennomført?

11.3.1 Hjemmelsgrunnlag for innhenting av trafikk- og lokaliseringsdata

11.3.1.1 Metodekontrollutvalgets forslag

Metodekontrollutvalget ønsker et mer enhetlig regelverk om utlevering av trafikkdata og mener at hensynet til personvern og rettssikkerhet for den opplysningene gjelder, tilsier at utlevering bare bør kunne skje etter reglene om tvangsmidler. Utvalget mener det bør åpnes for utlevering av trafikkdata bare dersom det foreligger beslutning om utleveringspålegg etter § 210, eventuelt med utsatt underretning etter § 210 a, samt at det fortsatt skal kunne skje med hjemmel i § 216 b.

11.3.1.2 Departementets vurdering

Det er klart forutsatt i Prop. 49 L (2010–2011) at § 210 ikke lenger gir hjemmel for å innhente trafikk- og lokaliseringsdata. Forslaget er derfor ikke lenger aktuelt, og departementet finner ikke grunn til å behandle dette nærmere. Departementet bemerker imidlertid at utvalgets intensjon om et mer enhetlig regelverk og bedre personvern synes å være ivaretatt gjennom de nye bestemmelsene om utlevering av trafikk- og lokaliseringsdata i §§ 210 b og 210 c.

For utlevering av historiske, personspesifikke trafikkdata er hovedregelen nedfelt i straffeprosessloven § 210 b. Bestemmelsen er ny som følge av datalagringsdirektivet, og oppstiller flere vilkår for innhenting. For det første kreves det skjellig grunn til mistanke. Dernest er det lovfestet et strafferammekrav, alternativt et kriminalitetskrav med opplisting av spesifikke lovbrudd. Etter § 210 b bokstav a må mistanken gjelde handlinger som kan medføre fengsel i fire år eller mer. I Prop. 49 L (2010–2011) punkt 12.6 begrunnes strafferammekravet slik:

«Et vilkår om krav til strafferamme på fire år eller mer reflekterer etter departementets vurdering den graden av inngrep i personvernet som innhenting av data representerer.»

Der det er grunn til å tro at handlingen er utøvet som ledd i aktivitetene til en organisert kriminell gruppe, er strafferammekravet fengsel i tre år eller mer, jf. § 210 b bokstav b. Alternativt kan innhenting skje der kriminalitetskravet etter henvisningene i § 210 b bokstav c er oppfylt.

Innhenting av lokaliseringsdata er regulert i straffeprosessloven § 210 c. Den gjelder datasøk i et bestemt område, for eksempel all trafikk på Egertorget lørdag kl. 23.00. Adgangen til å innhente lokaliseringsdata er snevrere enn for trafikkdata. I Prop. 49 L (2010–2011) punkt 12.6 begrunnes forskjellen med at basestasjonssøk er «mer inngripende i forhold til personvernet, blant annet fordi man da får med seg mye overskuddsinformasjon.» Strafferammekravet i bokstav a er derfor satt til fengsel i fem år eller mer. Oppregningen i bokstav c er dessuten søkt avgrenset til handlinger som basestasjonssøk antas å være særskilt nyttig i etterforskningen av. Etter § 210 c bokstav b er strafferammekravet senket til fengsel i tre år eller mer der det er grunn til å tro at handlingen er utøvet som ledd i aktivitetene til en organisert kriminell gruppe.

For trafikk- og lokaliseringsdata gjelder i tillegg et fellesvilkår om at opplysningene må antas å være av vesentlig betydning for etterforskningen. Innhentingen må for øvrig være forholdsmessig etter straffeprosessloven § 170 a.

Politiet og retten kan ikke innhente opplysninger om trafikk- og lokaliseringsdata gjennom vitneprov i større utstrekning enn det som følger av §§ 210 b og 210 c. Dette er fastsatt i ny § 118 a. Bestemmelsen er begrunnet i omgåelseshensyn.

Ut over lovendringene i tilknytning til datalagringsdirektivet, videreføres hjemmelsgrunnlaget i straffeprosessloven § 216 b annet ledd bokstav d for innhenting av trafikkdata.

Dersom kunden samtykker og opphever taushetsplikten, kan teletilbydere utlevere opplysninger om kundens teletrafikk. Dette forutsetter imidlertid at kunden gis kjennskap til begjæringen, og anses derfor lite praktisk.

Straffeprosessloven § 222 d og politiloven § 17 d åpner dessuten for innhenting av trafikkdata i avvergende og forebyggende øyemed. Politiet vil også kunne innhente trafikkdata med hjemmel i den ulovfestede regelen om nødrett.

11.3.2 Domstolsbehandling

Utvalget går inn for obligatorisk domstolsbehandling ved utlevering av trafikkdata, herunder lokaliseringsdata, begrunnet i hensynet til de berørtes rettssikkerhet.

Departementet bemerker at domstolskontroll med innhenting av data anses å være en sentral rettsikkerhetsgaranti. Både innhenting av trafikkdata og lokaliseringsdata krever etter lovendringen rettens kjennelse. Utvalgets forslag er således gjennomført i straffeprosessloven §§ 210 b og 210.

Retten skal i utgangspunktet sørge for at den som blir rammet snarest mulig blir kjent med kjennelsen, jf. straffeprosessloven § 52 annet ledd. Fra dette utgangspunktet følger et unntak der utsatt underretning om innhenting av data etter §§ 210 b og 210 c er «strengt nødvendig» for etterforskningen, jf. § 210 d.

Om utsatt underretning uttalte departementet følgende i Prop. 49 L (2010–2011) punkt 12.6:

«Slik utsatt underretning kan være særlig aktuelt i de tilfellene hvor dataene søkes innhentet i en tidlig fase av etterforskningen og før det er foretatt noen pågripelse. Blir den som i slike tilfeller rammes, klar over utleveringspålegget, kan det ofte miste mye av sin effekt. Videre etterforskning, eksempelvis ransaking og beslag, kan dessuten bli vanskeliggjort.»

For å bøte på manglende kontradiksjon i slike tilfeller, plikter retten å oppnevne offentlig advokat for mistenkte, jf. straffeprosessloven § 100 a første ledd første punktum.

Det fremgår ikke eksplisitt av utredningen om Metodekontrollutvalget ønsker å videreføre ordningen med å gi påtalemyndigheten hastekompetanse med etterfølgende domstolskontroll. Denne løsningen er uansett videreført med lovendringene som følge av datalagringsdirektivet, jf. straffeprosessloven §§ 210 b fjerde ledd og § 210 c annet ledd.

11.3.3 Taushetsplikt

Som en konsekvens av kompetanseoverføringen til domstolene, foreslår utvalget å frata Post- og teletilsynet (nå Nasjonal kommunikasjonsmyndighet) oppgaven med å gi politiet tilgang til trafikkdata. Utvalget ønsker å gå bort fra den ordningen at tilsynet må vurdere opphevelse av taushetsplikten.

Departementet bemerker at også dette forslaget er i samsvar med senere lovendringer, jf. ekomloven § 2-9. Det rettslige utgangspunktet er at trafikk- og lokaliseringsdata er underlagt taushetsplikt. Taushetsplikten gjelder innholdet av elektronisk kommunikasjon og andres bruk av elektronisk kommunikasjon, herunder opplysninger om tekniske innretninger, jf. ekomloven § 2-9 første ledd.

Fra dette utgangspunktet gjelder to unntak. Taushetsplikten er for det første ikke til hinder for at såkalte abonnementsopplysninger gis til påtalemyndigheten eller politiet, eller annen myndighet i medhold av lov, jf. ekomloven § 2-9 tredje ledd. Dette unntaket gjaldt også forut for gjennomføringen av datalagringsdirektivet.

Det andre unntaket følger av ekomloven § 2-9 nytt femte ledd. Her heter det at taushetsplikten ikke er til hinder for at trafikk- og lokaliseringsdata utleveres til politi og påtalemyndighet i medhold av straffeprosessloven §§ 210 b, 210 c, 216 b eller 222 d, til Politiets sikkerhetstjeneste i medhold av politiloven § 17 d eller til Finanstilsynet i medhold av verdipapirhandelloven § 15-3 annet ledd nr. 3. Innhenting av data forutsetter således ikke lenger Nasjonal kommunikasjonsmyndighets opphevelse av taushetsplikten.

Metodekontrollutvalget går inn for å kunne straffe teletilbydere som bryter taushetsplikt etter politiloven § 17 f, jf. straffeloven 1902 § 121 (straffeloven § 209). Forslaget er i tråd med lovendringene som følge av datalagringsdirektivet. Politiet kan pålegge teletilbyderne taushetsplikt med hjemmel i politiregisterloven § 35 første ledd første punktum og politiloven § 17 f tredje ledd. Overtredelse av slik taushetsplikt kan straffes etter straffeloven 1902 § 121 (straffeloven § 209), så sant vedkommende er gjort oppmerksom på dette.

11.4 Departementets avsluttende bemerkninger

Metodekontrollutvalgets forslag er i all hovedsak fulgt opp ved vedtakelsen av lov 15. april 2011 nr. 11 om gjennomføring av datalagringsdirektivet. Departementet finner på nåværende tidspunkt ikke grunn til å foreta endringer i reglene om utlevering av trafikk- og lokaliseringsdata. Bestemmelsene må vurderes samlet med øvrige lovendringer i tilknytning til datalagringsdirektivet, herunder lagringsplikten, i lys av EU-domstolens avgjørelse 8. april 2014. På oppdrag fra Samferdselsdepartementet og Justis- og beredskapsdepartementet har Hans Petter Graver, professor og dekan ved Universitetet i Oslo, og advokat Henning Harborg utredet om de norske reglene om datalagring er i overenstemmelse med EMK etter EU-domstolens opphevelse av datalagringsdirektivet. Utredningen konkluderer med at det er tvilsomt om den norske lagringsloven vil la seg forene med EMK, særlig sett hen til kravet til begrunnelse og dokumentasjon av nødvendigheten av å lagre data. Videre ser utrederne utfordringer med å skille ut taushetsbelagt informasjon til og fra sjelesørgere, helsepersonell, presse, advokater mv. før materialet utleveres. Konklusjonene i utredningen er ikke til hinder for videreføring av dagens regime for lagring og utlevering til politiet av data fra elektronisk kommunikasjon som ekomtilbyderne lagrer for egne formål. Utredningen ble avgitt 1. oktober 2015 og er til behandling i departementene.