Veileder utlevering av trafikkdata etter fullmakt

Veileder utlevering av trafikkdata etter fullmakt Innledning Nasjonal kommunikasjonsmyndighet (Nkom) ønsker en felles forståelse mellom tilbydere, politi/påtalemyndighet og Nkom om rekkevidden av samtykke/fullmakt fra bruker i forbindelse med utlevering av trafikkdata. Dette for å skape en helhetlig praksis og styrke forutberegneligheten for alle parter. I det følgende gir Nkom utrykk for sin oppfatning av hvor langt slike fullmakter rekker i forhold til taushetsplikten som følger av ekomloven 2-9 første ledd, der samtykket gis som fullmakt til politi, påtalemyndighet eller domstolen. Videre gis det anbefalinger for en del praktiske forhold på området. Det følger av ekomloven 2-9 første ledd at tilbyder plikter å bevare taushet om innholdet av elektronisk kommunikasjon og andres bruk av elektroniske kommunikasjon Regelen pålegger tilbyder en taushetsplikt om den informasjon de får tilgang til gjennom å tilby elektroniske kommunikasjonsnett og -tjenester. Taushetsplikten i ekomloven 2-9 første ledd omfatter blant annet trafikkdata. Dette følger klart av ekomforskriften 7-1 første ledd. Trafikkdata er definert i Ot.prp. nr. 58 (2002-2003) som data som er nødvendig for å overføre kommunikasjon i et elektronisk kommunikasjonsnett eller for fakturering av slik overføring. Som eksempler på dette, nevner proposisjonen data som angir kommunikasjonens opphavssted, bestemmelsessted, rute, klokkeslett, dato, omfang varighet og underliggende tjeneste. Nkom tolker ordlyden i ekomloven 2-9 første ledd sammenholdt med forarbeidene slik at en person som er part i elektronisk kommunikasjon kan samtykke til at tilbyder uten hinder av taushetspliktreglene kan utlevere informasjon om denne bruk av elektronisk kommunikasjon til politiet, påtalemyndigheten eller domstolene. Dette er også sammenfallende med hensynet bak ekomloven 2-9 første ledd, som er å verne bruker av elektronisk kommunikasjon. Et samtykke kan også gis som fullmakt til politiet, det vil si at det er politiet som viderebringer samtykket fra den registrerte og innhenter de aktuelle data. Nasjonal kommunikasjonsmyndighet Besøksadresse: Nygård 1, Lillesand Postadresse: Postboks 93 4791 LILLESAND Tel: 22 82 46 00 Fax: 22 82 46 40 firmapost@nkom.no NO 974 446 871 www.nkom.no

Et gyldig samtykke forplikter i seg selv ikke tilbyder til å utlevere trafikkdata, for eksempel til politiet, men gjør at tilbyder kan utlevere informasjonen uten hinder av taushetsplikten. I de fleste tilfeller er den som står oppført som juridisk abonnentsinnehaver (sluttbruker) eller registrert bruker hos tilbyder også bruker, og et samtykke vil oppheve taushetsplikten etter ekomloven 2-9 første ledd. Der det er ulike personer som er oppført som henholdsvis sluttbruker og registrert bruker, er det bare sistnevnte som kan samtykke. Det oppstår imidlertid grensetilfeller hvor det er ytterligere behov for avklaring, denne veilederen adresserer en del slike tilfeller. Definisjoner og begreper benyttet i dette dokumentet Sluttbruker: enhver fysisk eller juridisk person som inngår avtale om tilgang til elektronisk kommunikasjonsnett eller -tjeneste til eget bruk eller utlån, jf. ekomloven 1-5 nr. 15. Den som har inngått avtalen som gir tilgang til nett eller tjeneste, abonnent i vanlig språkbruk. Registrert bruker: Fysisk person som er registrert i tilbyders systemer som bruker av tjenesten. Bruker: enhver fysisk eller juridisk person som bruker elektronisk kommunikasjonsnett eller -tjeneste til egen bruk eller som innsatsfaktor for produksjon av andre tjenester, jf. ekomloven 1-5 nr. 14. Den som faktisk benytter tjenesten. For telefoni vil det, bortsett fra tilfeller med maskin-til-maskin-kommunikasjon, bli lagt til grunn at bruker er en fysisk person. Samtykke: En frivillig, uttrykkelig og informert erklæring fra den registrerte om at han eller hun godtar behandling av opplysninger om seg selv, jf. ekomforskriften 7-4 jf. personopplysningsloven 2 nr. 7. Samtykket kan gis i form av fullmakt til at andre, i denne sammenheng politiet, kan innhente data på vegne av den som samtykker. Verge: Person med mandat til å foreta rettslige handlinger og råde over midler på vegne av personen han eller hun er verge for, jf. vergemålsloven 32. For mindreårige er det den som har foreldreansvaret som er verge, med mindre vedkommende selv ikke er myndig, jf. 16. For voksne satt under vergemål oppnevnes verge av fylkesmannen, jf. 25. 2

Hva kan utleveres ved fullmakt fra den registrerte til politiet Unntaket basert på samtykke, som i disse tilfellene baseres på fullmakt fra bruker, gjelder opplysninger om vedkommendes egen bruk av nett og tjenester. Det klare utgangspunkt er dermed at de samme opplysninger kan leveres ut som ved krav om innsyn etter personopplysningsloven. Dersom tilbyder for eksempel lagrer informasjon om viderekoblinger av de enkelte anrop, kan det i rapporten vises hvilket nummer bruker selv har satt opp som viderekobling (første viderekoblingsledd). Hva gjelder informasjon om hemmelige numre, og i forlengelse av dette telefonnumre fra innkommende anrop, har politi og påtalemyndighet etter anmodning rett på å få utlevert blant annet informasjon om hemmelige numre, jf. ekomloven 2-9 tredje og fjerde ledd, med mindre «særlige grunner gjør det utilrådelig». Ovenfor politi og påtalemyndighet kan rapportene derfor inneholde også denne type informasjon. Det anbefales ikke at tilbyder utleverer data på bakgrunn av fullmakter som virker i en ubestemt periode fremover i tid. Generelt anbefales det varsomhet ved fullmakter som virker fremover i tid, og Nkom forutsetter at tilbyder, dersom slike godtas, har systemer for å følge opp at utlevering ikke forekommer lenger enn hva politiet eksplisitt ber om. Formkrav til fullmakt Et samtykke til utlevering av trafikkdata til politi og påtalemyndighet må være skriftlig. Det skal fremgå klart av fullmakten hva det samtykkes til, herunder for hvilke telefonnumre og periode(r) dette omfatter. Dersom fullmakten gjelder signaleringsdata, bør det fremkomme tilstrekkelig tydelig på fullmakt eller vedlegg hva dette omfatter, for at brukers samtykke/fullmakt kan sies å være informert. For øvrig vises det til personopplysningslovens krav til samtykke. Fullmakt fra registrert bruker Der en person er registrert som bruker av et abonnement hos tilbyder, vil denne normalt kunne samtykke til at utlevering av trafikkdata kan skje uten hinder av taushetsplikten. Det vil i de fleste tilfeller være sammenfall mellom hvem som er registrert som bruker, og bruker. Om noen i en kortere eller lengre periode benytter et abonnement som er registrert på andre, ligger det også ofte i situasjonen at det er den registrerte bruker som vil ha kontroll på den informasjon 3

som måtte bli generert av samtalen. Det kan derfor legges til grunn en presumsjon om at registrert bruker også er faktisk bruker. Dersom det ikke foreligger omstendigheter i det konkrete tilfellet som gir grunnlag for å betvile dette, se f. eks avsnitt om stjålet SIM-kort nedenfor, kan tilbyder derfor ta til følge et samtykke til utlevering fra registrert bruker av det aktuelle telefonnummer. Om fullmakten rettes til tilbyder av det elektroniske kommunikasjonsnettet, og sluttbrukeravtalen er inngått med en annen tilbyder, må nettilbyder eventuelt innhente informasjon om hvem som er registrert bruker for det aktuelle telefonnummer fra den andre tilbyderen forut for utlevering. Juridisk person er sluttbruker Der en juridisk person er sluttbruker, og en fysisk person er registrert som bruker i tilbyders systemer, er det kun sistnevnte som kan samtykke til utlevering av trafikkdata fra mobiltelefonog mobildatatjeneste. Dersom det ikke er registrert noen bruker på for eksempel et bedriftsabonnement, må det eventuelt dokumenteres at det er vedkommende som samtykker som har vært bruker i perioden samtykket gjelder. For fast internettjeneste kan juridisk person som sluttbruker samtykke dersom det fremlegges intern brukeravtale eller lignende som entydig viser at fysiske brukere av nettet har samtykket til monitorering av trafikk. Et praktisk eksempel er der arbeidsgiver er sluttbruker, men telefonen står til disposisjon for den arbeidstaker som til enhver til er på jobb, vakt, eller lignende. Det er da kun den aktuelle arbeidstaker som har disponert telefonen som kan samtykke til utlevering i den aktuelle periode han har vært bruker. Arbeidsgiver kan dermed ikke samtykke til utlevering av trafikkdata en av hans arbeidstakere har generert ved bruk av telefonen. Umyndiges mulighet til å samtykke og verges rolle I samråd med Datatilsynet anser Nkom at grensen mellom verge og mindreårig brukers samtykkekompetanse til utlevering av trafikkdata til politi og påtalemyndighet går ved fylte 15 år. Før bruker er fylt 15 år, er det således bare verge som kan samtykke til utlevering av trafikkdata. Etter dette tidspunktet er det utelukkende bruker selv som kan samtykke, og verge er avskåret fra å samtykke på dennes vegne. For voksne brukere som er satt under vergemål vil verges samtykkekompetanse bero på vergemålsvedtakets innhold. Bruker selv kan også samtykke, med mindre denne er fratatt sin rettslige handleevne i personlige forhold, jf. vergemålsloven 22 tredje ledd. 4

I tilfeller hvor bruker er mistenkt/siktet for et straffbart forhold er ikke verge legitimert til å samtykke til utlevering av trafikkdata. Begrunnelsen for dette er at en slik ordning vil være problematisk i relasjon til forbudet mot selvinkriminering som er innfortolket i EMK artikkel 6 nr. 1 og mistenktes rett til å nekte å forklare seg etter strpl. 232. SIM-kort er stjålet Dersom tilbyder har fått varsel om at et SIM-kort er stjålet, eller på annen måte har fått informasjon om dette, kan ikke trafikkdata for perioden SIM-korthet har vært stjålet, utleveres til den registrerte bruker. Dette siden presumsjonen om sammenfall mellom registrert og faktisk bruker da ikke lenger er holdbar. Bruker er død / savnet Dersom bruker er avgått med døden eller er savnet (eller av andre grunner er avskåret fra å samtykke), gjelder som det klare utgangspunkt de samme regler som nevnt over. Dersom en bruker under 15 år er savnet, vil således verge kunne samtykke til utlevering av trafikkdata til politiet, for eksempel til bruk i søk etter den savnede. Nkom er også kjent med at tilbydere i noen tilfeller mottar henvendelser fra etterlatte i forbindelse med blant annet ulykker eller selvdrap, der de etterlatte ønsker utlevert trafikkdata fra den omkomne for å gjøre seg kjent med omstendighetene. Slik Nkom tolker gjeldende rett, har tilbyder taushetsplikt overfor disse etter ekomloven 2-9, og kan dermed ikke utlevere trafikkdata hverken direkte til disse eller til politiet etter fullmakt. 5