DET KONGELIGE SAMFERDSELSDEPARTEMENT Statsråden Stortingets transport- og kommunikasjonskomit Stortinget 0026 OSLO Deres ref Vår ref Dato 11/94-1-1K 29.03.2011 Datalagring 2011 - Svar på spørsmål fra Transport- og kommunikasjonskomiteen Det vises til brev fra Transport- og kommunikasjonskomiteen av 28.03.2011 om Prop. 49 L (2010-2011) Endringer i ekomloven og straffeprosessloven mv. (gjennomføring av EUs datalagringsdirektiv i norsk rett), hvor det bes om svar på lovtekniske spørsmål og spørsmål ellers. I det følgende er samferdselsministerens svar på spørsmålene. 1. Departementet bes formulere et forslag til lovhjemmel som gir Datatilsynet mulighet for å pålegge kryptering i forbindelse med lagring og forsendelse av data etter ekomloven, (ny) 2-7 a. Dersom det skal innføres krav om kryptering, mener Samferdselsdepartementet at det vil være mest hensiktsmessig å innta en slik forskriftshjemmel i personopplysningsregelverket. Det vises til at en hjemmel kan inntas som nytt annet ledd i 35 om vilkår i konsesjon. Et nytt annet ledd kan for eksempel lyde: 35 nytt annet ledd skal lyde: Det kan gis forskrift om kryptering ved [lagring og] overføring av data etter ekomloven 2-7a første ledd. Regulering av kryptering i personopplysningsloven vil gjøre tilsynet med bestemmelsen enklere og mer oversiktlig. Datatilsynet vil kunne benytte tilsynsbestemmelser og sanksjonsbestemmelsene i personopplysningsloven. Det gjøres oppmerksom på at det vil være behov for en mindre endring i sanksjonsbestemmelsen 47 om tvangsmulkt. Det bør vises til 35 i opplistingen av bestemmelser som omfattes. Dette kan gjøres slik: 47 første ledd skal lyde: Ved pålegg etter 12, 27, 28, 35 og 46 kan Datatilsynet fastsette en tvangsmulkt som løper for hver dag som går etter utløpet av den fristen som er satt for oppfylling av pålegget, Postadresse: Postboks 8010 Dep, 0030 Oslo Kontoradresse: Akersg. 59, www.re 'erin en.no/sd Telefon: 22 24 81 00 Telefaks: +47 22 24 95 74 Org.nr.: 972 417 904
inntil pålegget er oppfylt. I tillegg bør man justere 48 om straff slik: 48 første ledd skal lyde: Med bøter eller fengsel inntil ett år eller begge deler straffes den som forsettlig eller grovt uaktsomt a) unnlater å sende melding etter 31, b) behandler personopplysninger uten nødvendig konsesjon etter 33, c) overtrer vilkår eller forskrift fastsatt etter 35 eller 46, d) unnlater å etterkomme pålegg fra Datatilsynet etter 12, 27, 28 eller 46, e) behandler personopplysninger i strid med 13, 15, 26 eller 39, eller f) unnlater å gi opplysninger etter 19, 20, 21, 40 eller 44. Alternativt, og etter Samferdselsdepartementets oppfatning en mindre god løsning, kan det inntas en forskriftshjemmel i ekomloven 2-7 a. «2-7 a. Plikt til lagring av data Tilbyder av elektronisk kommunikasjonsnett som anvendes til offentlig elektronisk kommunikasjonstjeneste og tilbyder av slik tjeneste skal lagre trafikkdata, lokaliseringsdata og data nødvendig for å identifisere abonnenten eller brukeren i 6 måneder til bruk for etterforskning, oppklaring og straffeforfølgning av alvorlige straffbare forhold. Plikten etter første punktum gjelder data som genereres eller behandles i tilbyders elektroniske kommunikasjonsnett ved bruk av fasttelefon, mobiltelefon, internettelefoni, internettaksess og e-post. Myndigheten kan gi forskrift, treffe enkeltvedtak eller inngå avtale om plikten til å lagre data, herunder om tiltak for å ivareta dataenes konfidensialitet, integritet og tilgjengelighet. Myndigheten kan gi forskrifi om kryptering ved [lagring og] overføring av data etter første ledd. Myndigheten kan ved forskrift eller enkeltvedtak helt eller delvis frita fra plikten til å lagre data etter første ledd eller helt eller delvis pålegge andre enn de som omfattes av første ledd plikt til å lagre data dersom dette må til for å oppnå formålet med bestemmelsen. Myndigheten kan gi forskrifi om at tilbyder kan kreve fiemlagt politiattest fra personer som skal behandle lagringspliktige data på tilbyderens vegne. Merknad til rød tekst i klamme: SD mener kryptering av data som hentes ut av tilbyders systemer og som skal overføres til politiet kan krypteres, men det bør ikke nødvendigvis innføres krav om kryptering av alle lagrede data. Sikring av lagrede data kan også ivaretas på andre måter. Kryptering av alle lagrede data vil føre til svært komplekse systemer hos tilbyder, jf. blant annet at enhver bruker av elektronisk kommunikasjon har krav på å få innsyn i sine data og disse kan ikke sendes kryptert til sluttbruker. Kravet til kryptering bør under enhver omstendighet begrenses til det stedet hvor alle dataene som skal lagres er samlet. Hvorvidt det skal innføres et krav om kryptering av lagrede data må være gjenstand for en konkret totalviirdering hvor blant annet kostnadene ved å innføre og vedlikehold krypteringsordning må avveies mot den økte sikkerhet som kun kryptering kan gi. Side 2
Det følger av lovens systematikk at det er myndigheten (som fellesbegrep) som gis forskriftskompetanse. Myndigheten er definert i loven 1-4 til å være Kongen, Departementet og Post- og teletilsynet. Det fremgår imidlertid av bestemmelsen andre punktum at Kongen kan bestemme at andre offentlige organer kan gis myndighet på begrensede områder etter loven. En alternativ løsning kan derfor være at forskriftshjemmelen for kryptering legges til myndigheten, og at det klargjøres i bestemmelsens spesialmerknad at myndighet til å kreve kryptering er ment lagt til Datatilsynet. Departementet foreslår dessuten at avtalens forslag til nytt annet punktum i annet ledd av hensyn til systematikken i bestemmelsen blir nytt fierde punktum. 2. Spørsmål 2 utgår, jf. e-post fra Tore Dag Lien. 3. I avtalen mellom Arbeiderpartiet og Høyre foreslås en krypteringsordning. Hvilke konsekvenser vil dette tiltaket kunne få for de ulike aktørene i markedet, og kan det gis en presis beregning av kostnadene knyttet til dette? Den viktigste konsekvensen av forslaget om krav til kryptering er økte kostnader. Tilbyderne vil måtte implementere nye systemer, programvare o.1 i sine allerede etablerte løsninger for kundehåndtering /fakturering. Dette vil bli svært dyrt. Pr. 28. mars 2011 er 236 tilbydere representert på Post- og teletilsynets oversikt over tilbydere på det norske markedet. Hvis en "krypteringsordning" innebærer at alle disse skal benytte samme krypteringsteknikk vil det kreve en omfattende standardisering av løsninger på nasjonalt nivå. Dersom det blir fritt fram å etablere krypteringssystemer kan en tenke seg 236 forskjellige teknikker. Uavhengig av hvordan en skal innføre en slik krypteringsordning vil en også måtte se på konsekvensen for politiet. Det må antas at data som overføres til politiet også må være i kryptert form. Det er i dag ikke mulig å komme med noen presis beregning av kostnadene ved å innføre krav om kryptering av data. Med bakgrunn i det store antallet aktører på markedet, flere med løsninger i andre land og noen med løsninger i flere land og noen bare i Norge, vil kostnadene være vanskelig å beregne uten å ha rettet en henvendelse direkte til alle disse. Slik avtaleteksten lyder er det en rekke tiltak i forbindelse med administrative og fysiske sikringstiltak som nødvendigvis vil måtte medføre store endringer hos de minste aktørene. Spesielt det som retter seg mot tilgang til lokaler og krav til personell som skal/kan håndtere lagredede data. Det er mulig å tenke seg to alternativer; ett med to databaser og ett med en database. Hvis det velges en løsning med to databaser vil en database kunne være for faktureringsformål (som vil være ukryptert) og en for direktiv-data (som vil være kryptert). En løsning med to databaser medfører at kostnaden for å lagre data blir høyere i utstyrskostnad, men vil gi enklere administrasjon og kravene om lukket lagring (avtalen pkt 5 c) vil være enklere å oppfylle. Uthenting av data fra databasen med direktiv-data vil bli mer Side 3
oversiktlig. Databasen med fakturadata vil underlegges egne sikrings- og sletterutiner, og vil inneholde langt færre opplysninger, og vil i praksis omfatte de systemene som brukes i dag. En løsning med en enkelt database vil gi en rimeligere utstyrskostnad, men medføre mer omfattende administrative rutiner og høyere driftskostnad ettersom uthenting av data vil ha to formål. Loggene for uthenting vil måtte omfatte både uthenting av faktureringsdata på kundens forespørsel og uthenting av data på forespørsel fra myndighet. Effektiv uthenting av opplysninger på forespørsel fra abonnentene vil trolig gi utfordringer mht krav om lukket lagring (avtalen pkt 5 c). Avtalens pkt 5 d, krav til sporbarhet, bruker formuleringen "enhver bruk av lagrede data". Dersom det forutsettes at dette omfatter både tilbyders bruk i forbindelse med utlevering av faktureringsgrunnlag til abonnent og utlevering av data til myndighet vil dette sannsynligvis medføre at den enkelte tilbyder må endre sine eksisterende systemer for å tilfredsstille krav til sporbarhet. Dersom avtalens pkt 5 c skal tolkes slik at også faktureringsgrunnlag skal krypteres vil dette tale for at løsningen med lavest kostnad blir en enkelt database. En enkelt database vil også være enklere å veriflsere og føre tilsyn med. Oppsummeringsmessig vil forslagene i avtalen mellom Arbeiderpartiet og Høyre medføre svært høye kostnader og være meget utfordrende å gjennomføre. Belastningen for tilbyderne vil avhenge av modell for kostnadsdeling. Dersom tilbyderne må dekke kostnadene knyttet til kryptering vil dette kunne få store konsekvenser for tjenestetilbudet og konkurransen i markedet. I dag dekkes tilbydernes merkostnader til drift av staten. Dersom det innføres strengere krav til sikkerhet bør staten dekke kostnaden til dette. 4. Kan det gis en vurdering av de konkurransemessige virkningene knyttet til innføring av kryptering slik det fremgår i avtaleteksten mellom Arbeiderpartiet og Høyre? De kostnads- og konkurransemessige konsekvensene vil sannsynligvis være størst hos de minste tilbyderne. Etter uttalelser fra flere av de norske tilbyderne vil kostnader til anskaffelse av tekniske løsninger være lik uavhengig av tilbyders størrelse. Dette vil kunne medføre en uheldig konkurransevridning mellom store og små aktører. Med bakgrunn i de sikringstiltak som framkommer i avtalen vil sannsynligvis små tilbydere måtte gjennomføre en rekke administrative og fysiske tiltak som nødvendigvis vil påføre dem betydelige kostnader. For strenge krav til lagringen vil i praksis kunne oppfattes som etableringshindring i markedet. Dette vil igjen kunne føre til at nye innovative aktører ikke etablerer seg i det norske markedet. Konsekvensen vil i så fall være at norske brukere ikke får samme mangfold av tjenester som brukere i andre land. 5. I følge avtaleteksten mellom Arbeiderpartiet og Høyre lagres det i dag data uten lovhjemmel. Hva har departementet gjort for å bekjempe dette? Samferdselsdepartementet viser til gjeldende ekomlov 2-7 annet ledd der det fremgår at traflkkdata skal slettes eller anonymiseres så snart de ikke lenger er nødvendige for Side 4
kommunikasjons- eller faktureringsformål. Gjeldende lagringsregler fremgår for øvrig av proposisjonens punkt 7.1 og 9.1. Departementet er kjent med at det har forekommet enkelttilfeller av lagring utover angitt tidsramme i Datatilsynets konsesjoner, men departementet har ikke grunnlag for å si at det generelt lagres uten lovhjemmel. 6. Med de nye lagringsbestemmelsene, er det en fare for at bransjen flytter lagringen ut av Norge? Det er vanskelig å vurdere i hvilken grad tilbydere vil lagre utenfor landets grenser som følge av lagringsbestemmelsene. Allerede i dag lagrer enkelte tilbydere trafikkdata utenfor landets grenser. De største tilbyderne har tekniske systemer i flere land, og kostnadsmessige vurderinger mht hvor tekniske løsninger og personell skal plasseres, er en kontinuerlig vurdering. Jeg er for øvrig enig med vurderingen som er gjort i proposisjonens punkt 11.4.2 om lagringssted. 7. Vil det finnes mulighet for å bruke anonymt kontantkortabonnement fra utlandet i Norge? De fleste land i EØS-området har ikke krav om registrering av kundens navn og adresse ved kjøp av kontantkort. Det er derfor vanlig at det flere steder i utlandet selges slike abonnement "rett over disk". Dette medfører at det ikke finnes personopplysninger tilknyttet slike abonnement. Flere aktører på det internasjonale markedet lover full anonymitet ved bruk av dere tjeneste (se htt ://travelsimshop.com, som retter seg spesielt mot det øst-europeiske markedet). Slike kontantkort kan benyttes i Norge og blir brukt i dag. En oversikt over noen av disse finnes på: htt ://www. re aid sm.net/enlinternational.html. Dette viser at DLD er lett å omgå. 8. Ber om en presis oversikt som viser omfang av og tidsmessig lagring av data i de ulike EU-land pr i dag. Samferdselsdepartementet har ingen presis oversikt som viser omfang av og tidsmessig lagring av data i de ulike EU-land per i dag. Jeg viser imidlertid til en oversikt fra Cullen datert juli 2010, som gir en oversikt over dette. http://ec.euro a.euf ustice/ olicies/ rivac /docs/w docs/2010/ 172 annex_en. df 9. Ber om å få Samferdselsdepartementets og Justis- og politidepartementets vurdering av om hvilken konsekvens utsettelse i Sverige og Tyskland av innføring/gjennomføring av DLD har for Norge når det gjelder innføring/gjennomføring i Norge. (Samme spørsmål er også rettet til Justis- og politidepartementet.) Side 5
Jeg mener en utsettelse i Sverige vil kunne ha konsekvenser for tilbydere som er etablert i flere nordiske land. Den svenske og den tyske utsettelsen viser at DLD er problematisk for personvernet. Etter min oppfatning er det ikke nødvendig for Norge å innføre dette så lenge store og betydningsfulle medlemsland i EU vegrer seg. 10. Er det foretatt eksplisitt vurdering av om DLD er EØS-relevant? Hvis ikke hvorfor? Hvis ja, bes vurderingen oversendt. I perioden Samferdselsdepartementet hadde ansvaret for saken ble det foretatt to utredninger av professorene Arnesen og Sejersted. Den ene utredning var på oppdrag fra IKT-Norge og et av spørsmålene som drøftes er spørsmålet om EØS-relevans. Den andre utredningen på oppdrag fra Samferdselsdepartementet gjelder i sin helhet spørsmålet om datalagringsdirektivets EØS-rettslige relevans. Disse utredningene er å finne på htt ://www.re 'erin en.no/nb/de /sd/dok/hoerin er/hoerin sdok/2010/horin --- datalagring/horingsnotat.html?id=590003. For øvrig vises til at spørsmålet også har vært drøftet av EØS-rettslig utvalg ledet av Utenriksdepartementet. 11. EU varsler strammere personvern i forestående revisjon av EUs personvernlov. Endelig behandling i kommisjonen, EU-parlamentet og ministerrådet kan ta rundt et år. Har departementet vurdert å avvente innføring av DLD i Norge til revidert personvernlov foreligger i Norge? Jeg er av den oppfatning at Norge ikke bør innføre DLD. Dette mener jeg uavhengig av EUs revisjon av personvernlovgivning. 12. Regjeringen skal legge frem egen melding om personvernet i Norge. Hvorfor vil regjeringen innføre DLD før Stortinget har behandlet meldingen om personvern i Norge? Det vises til dissensen som fremgår av proposisjonen. Med hilsen Magnhild Meltveit Kleppa Side 6