29/03 2011 10:00 FAX 22249533 KOM. TJENESTE U001/008 DET KONGELIGE justis- OG POLITIDEPARTEMENT Statsråden Stortingets transport- og kommunikasjonskomita Stortinget 0026 OSLO Deres ref. TDL Vfn- ref. 201100393- (TFIN Dato 29.03.2011 Prop 49 L (2010-2011) - Endringer i ekomloven og straffeprosessloven mv (gjennomføring av EUs datalagringsdirektiv i norsk rett) - nye spørsmål Jeg viser ttl brev 28. mars 2011 hvor medlemmene i Stortingets transport- og kommunikasjonskornite fra Fremskrittspartiet, Sosialistisk Venstreparti, Senterpartiet og Kristelig Folkeparti med kort frist ber om svar på nye spørsmål i anledning arbeidet med Prop. 49 L (2010-2011). I et supplerende brev av samme dato ber komiteen ved medlemmene fra Fremskrittspartiet om svar på to nye spørsmål (nr. 34). 1. Hvilke budsjettkonsekvenser har følgende elementer i avtalen mellom Hgyre og Arbeiderpartiet Svar: Det stilles spørsmål om budsjettkonsekvensene ved ulike deler av "AvtaIe mellom Arbeiderpartiet og Høyre om Prop. 49 L (2010-2011)" av 28. mars 2011 (avtalen). Jeg er enig i at de delene av avtalen som det er vist til i brevet, medfører budsjettkonsekvenser. Når det gjelder iltrafttredelse av politiregisterloven, viser jeg Otprp.nr.108 (2008-2009) Om lov om behandling av opplysninger i politiet og påtalemyndigheten kapittel 20. Fra kap. 20.2 "Innføring av ny teknologi", siteres: "Innledningsvisfinner departementet grunn til å presisere at nødvendigheten for en betydelig oppjustering av politietsdatasysterner ikke bare er et utslag av en ny politiregisterlov. Flere av politiets datasystemer er av eldre dato, for eksempel ble SSP satt i drift I 1982, og tiden er således uansett inne for en utskiftning av disse systemene. I tfilegg må politiets oppjustering av datasystemene ses i sammenheng med andre lovendringer, som i seg selv krever en slik oppjustering.det vises her fil Ot.prp.nr.22 Postadresse: Postboks 8005 Dep, 0030 Oslo Kontoradresse: Akersg. 42 Telefon: 22 24 51 00 Telefaks: 22 24 95 33 Org. nr.: 972 417 831
29/03 2011 10:00 FAX 22249533 KOM.TJENESTE U002/008 (2008-2009) om lov om endringer i straffeloven, der det i kapittel 15, punkt 15.3, om økonomiske konsekvenser er gjort rede for kostnadene for å erstatte det nasjonale straffe- og politiopplysningsregisteret (SSP) og straffesakssystemet STRASAK. Den nye polifiregisterloven fører fil at det må etableres løsninger i de av politiets elektroniske informasjonssystemer som medfører at bruk av informasjon kan logges og spores. Med dette menes at det i ettertid kan konstateres hva som er gjort i et dataanlegg/informasjonssystem, herunder hvem som har fått filgang til opplysningene og at all elektronisk behandling av opplysninger, skal være sporbare. Videre er det nødvendig å implementere følgende funksjoner: - endre, sperre, slette og markere opplysninger - sanering og arkivering - avgrense opplysninger som ikke skal lagres Økt bruk av logging vil også øke behovet for endringer i lagrings- og maskinkapasitet. Politiregisterloven vil ha konsekvenser for de fieste av politiets systemer. Som nevnt er konsekvensene for de sentrale straffesakssystemene (SSP og STRASAK) allerede beregnet i Ot.prp.nr.22 (2008-2009). Endringene på de øvrige systemene til politiet som følge av ny politiregisterlov anslår Politidirektoratet til å koste om lag 115 millioner kroner". De økonomiske konsekvensene ved domstolsbehandling (pkt. 7) og Datatilsynets nye oppgaver (pkt. 9), vil blant annet bero på hvordan dette organiseres i de berørte sektorene. En nærmere redegjørelse vil forutsette en utredning med lengre tidsfrist enn det som er gitt i komiteens brev. Dette gjelder også. spørsmålet om de andre filtakene i avtalen som komiteen har forespurt om, dvs. evaluering og statistikk. På forespørsel fra Stottinget og gitt at det settes frister som er tilpasset oppdraget, vil departementet naturligvis utrede disse spørsmålene. I alminnelighet vil den endelige vurderingen av de budsjettmessige konsekvenser gjøres i de årlige budsjettkonferanser. Jeg viser til avtalen pkt. 16, som fastsetter avtalepartenes ståsted i så henseende: "Partene forplikter seg til å stemme for de konkrete budsjettmessige konsekvenser og de konkrete forslag som følger av avtalen". 2. Hvordan Datatilsynet kan hånd,heve strengere lagringsrutiner når teleselskapene sjel kan velgeå lagre trafikkdata utenlands? I forliket stdr det kun at selskapene skal oppgi hvor dataene skal lagres, ikke at de pliktes lagres i Norge. Som betyr at de strenge reglene for lagring (lukket lagring, kryptering) kun vil gjelde for de selskapene som velger å lagre trafikkdata i Norge. Side2
29/03 2011 10:01 FAX 22249533 KOM.TJENESTE U003/006 Svar Lagringspliktig data vil i all hovedsak anses som personopplysninger i personopplysningslovens forstand og reguleres av denne loven. Loven gjennomfører EUs personverndirektiv i norsk rett og stiller krav til betryggende behandling av data. Avgjørende for om de norske personvernreglene kommer til anvendelse er om selskapet driver virksomhet i Norge, jf. personopplysningsloven 4. At et selskap velger å lagre data i en annen stat innebærer ikke at dataene unndras reglene i den norske personopplysningsloven. Personopplysningsloven inneholder videre regler om overføring av personopplysninger tll utlandet, for eksempel til en server som lagrer lagringspliktig data. Det sentrale vilkåret i den forbindelse er at mottakerstaten sikrer enforsvarlig behandling av data, jf. personopplysningsloven 29 første ledd som tyder: 29. Grunnleggende vilkår Personopplysninger kan bare overføres til stater somsikrer en forsvarlig behandling av opplysningene. Stater som har gjennomført direktiv 95/46/EF om beskyttelse av fysiske personer i forbindelse med behandlingav personopplysninger og om friutvekslingav slike opplysninger, oppfyllerkravetil forsvarlig behandling. Alle stater som er bundet av personverndirektivet anses automatisk for å oppfylle kravet til forsvarlig behandling av data. Det følger også av det underliggende direktivet at konunisjonen kan treffe beslutninger om at overføring også kan skje til land utenfor denne kretsen. Slike beslutninger av kommisjonen vil også være bindende for Norge, j personopplysningsforskriften 6-1. Sperring for overføring til en eller fiere EØS-stater eller andre stater som er godkjent av EU-kommisjonen, eller krav til lagring i Norge således være i strid med våre EØS-forpliktelser etter personverndirektivet. Datatilsynet skal påse at lover og forskrifter som gjelder behandling av personopplysninger blir fulgt, j personopplysningsloven 42 tredje ledd nr. 3. Denne oppgaven er ikke begrenset til data lagret i Norge. 2. ii) Hva er den beregnede kostnaden for telekomtilbyderne? Svar:Jeg legger til grunn at det er kostnaden ved gjennomføringen av datalagringsdirektivet som etterspørres. Omfanget av kostnader for den enkelte tilbyder vil avhenge av flere faktorer. Det er den enkelte tilbyder som selv velger lagringsløsning, noe som vil påvirke omfanget av kostnadene. Flere tilbydere kan gå sammen om felles lagringsløsninger, noe som vil kunne innebære stordriftsfordeler, se Prop. 49 L (2010-2011) Endringer i ekomloven og straffeprosessloven mv. (gjennomføring av EUs datalagringsdirektiv i norsk rett) (proposisjonen) kap. 11.4.1 og avtalen pkt.4. Det vises for grvrig til proposisjonen kap. 16.5.2 hvor det henvises tll en vurdering foretatt av selskapet Teleplan AS, hvor kostnaden for å gjennomføre Side 3
29/03 2011 10:01 FAX 22249533 KOM.TJENESTE U004/006 datalagringsdirektivet over en femårsperiode for telekombransjen er anslått til 217 millioner kroner. 2. iii) Vil forslaget medfere betydelige ulemper for kundebehandlingen hos telekomtilbyderne? Svar: I avtalen beslutter Arbeiderpartiet og Hzyre å pålegge tilbydere av elektronisk komrnunikasjon å lagre avgrensede typer data i seks måneder. Samtidig stiller vi konkrete krav til hvordan tilbyderne skal oppbevare denne inforrnasjonen. For å kunne tilby elektroniske tjenester på det norske markedet, må enhver tilbyder oppfylle disse vilkårene. Jeg kan ikke se at gjennomføringen av datalagringsdirektivet, i samsvar med proposisjonen og avtalen, vil medføre ulemper for kundene, verken betydelige eller ubetydelige. Forholdet mellom kunde og tilbyder er regulert i foreliggende avtalevilkår som gjelder med de begrensninger som er fastsatt i konsesjonsvilkår og eventuelle pålegg som gis av tilsynsmyndighet. Telenor uttalte i sin høringsuttalelse at kundene skal kunne stole på at den informasjonen selskapet har om hver enkelt, behandles fortrolig. Avtalen styrker kundenes rettigheter på dette punkt. Kunden kan på forespørsel gis innsyn i logg hvor det fremgår om data registrert på han har blitt benyttet. Det stilles spesiftkke krav til tilbydernes informasjonssikkerhet, og personalet som behandler kundenes data skal være autorisert. Datatilsynet kan ved behov pålegge bruk av krypteringsteknologi, og vi forutsetter at tilsynsmyndighetenes virksomhet vil fokusere på forbrukernes krav til god levering av elektroniske tjenester og strenge krav til personvern. Avtalen styrker tillitsforholdet mellom den enkelte tilbyder og forbrukerne. 2. iv) Kravet om kryptering av databaser, tukket lagring, autorisering av personell og krav tji sporbarhet er alle vagt formulert i avtalen. Hvordan skal disse Punktene implementeres norsk lov og ovenfor telekombransfen? Svar: I avtalen er det redegjort for krav om kryptering og lukket lagring (pkt. 5 c), autorisering av personell (pkt. 5 b) og sporbarhet (pkt. 5 d). jeg er ikke enig i at gjennomføringen av disse tiltakene har fått en vag formulering i avtaleteksten. Det foretas nødvendige lov- og forskriftsendringer i berørt regelverk, fortrinnsvis ekomloven og personopplysningsloven med tilhørende forskrifter. Datatilsynet, Postog teletilsynet og Nasjonal sikkerhetsmyndighet gir retningslinjer som omtalt. Det kan også bli aktuelt å vise til etablerte (internasjonale) standarder for informasjonssikkerhet (kryptering). 2. v) Hva er risikoen for at telekomselskapene md operere med doble databaser pd grunn av disse kravene? En slik løsning vil eke kostnadene men ikke sikkerheten. Side 4
29/03 2011 10:01 FAX 22249533 KOM.TJENESTE U005/008 Svar: Utgangspunktet er at den enkelte tilbyder selv velger lagringsløsning. Tilbyderne vil dermed selv ha betydelig mulighet ti1 å påvirke størrelsen på de kostnader som vil påløpe. Av fortalen til datalagringsdirektivet nr. 13 annet punktum fremgår det at lagring av data bør skje på en slik måte at man unngår å lagre data mer enn en gang. Det vises for øvrig ti1 proposisjonen kap. 11.4.1: henhold til datalagringsdirektivet er det ikke et krav at dataene skal lagres fysisk atskilt fra tilbyders øvrige data, men det skal etableres hensiktsmessige tekniske og organisatoriskeanordninger for å ivareta datasikkerheten. Både Datatilsynet og ekorntilbyderne har gitt uttrykk for at de er enige i Artikkel 29-gruppens anbefaling om at det ved innføring av en eventuell lagringsplikt bør etableres et logisk skille mellom dataene avhengig av dataenes formål Departementet vurderer det som avgjørende for å kunne kontrollere bruken av data som lagres i henhold til datalagringsdirektivet, at det stilles vilkår om et logisk skille mellom data ti1 fakturerings- og adrninistrasjonsformål på den ene siden, og data til kriminalitetsbekjempende formål på den andre siden. Dette innebærer ikke at data må lagres på to forskjellige steder, men at tilbyderne må ha mekanismer som styrer tligangen til data avhengig av lagringsformål. Departementet går inn for at det innføres en plikt for tilbyderne til å sørge for lagringsløsninger som ivaretar sikkerheten rundt data lagret i henhold til datalagringsdirektivet. Departementet legger til grunn at etablering av tlistrekkelige sikkerhetsrutiner og -systemer er både teknisk og achninistrativt uproblematisk, men at det vil kreve en viss investering i lagringsløsninger for tilbyderne". 3. På hvilke områder/måter er det mulig å unngå at egne data blir lagret eller identifisert? Hvordan anser man at denne muligheten vil utvikle seg i årene fremover? D ata som falier inn under lagringsplikten i datalagringsdirektivet og forslaget ekomloven ny 2-7 a skal ikke kunne unndras fra lagringsplikten. Lagringsplikten gjelder til kriminalitetsbekjempende formål og utlevering skal følgelig skje til politiog påtalemyndighet. Når lagringstiden på 6 måneder er ute, ska1 dataene slettes. Hvilke muligheter som i fremtiden vil foreligge for lagring og identifisering er det ikke mulig å si så mye om. Generelt gjelder direktivet på et område som er i rask utvikling og en må derfor være forberedt på at dette vil nødvendiggjøre tilpasninger i regelverket. Derfor er dette et forbold som skal ses nærmere på i forbindelse med evalueringen som skal skje fire år etter ikrafttredelsen, jf. avtalen mellom Arbeiderpartiet og Høyre punkt 10 om evaluering. 4. Ber om å fd Samferdselsdepratementets og fustis- og politidepartementet vurdering av om hvilken konsekvens utsettelse i Sverige og Tyskland av inoring/gjennomføring av DLD har for Norge når det gjelder innføring/gjennomforing i Norge. Side 5
29/03 2011 10:01 FAX 22249533 + KOM.TJENESTE IZI 006/006 Svar: Forpliktelsen 1i1å gjennomføre Datalagringsdirektivetfølger av E0S-avtalen. Problemene i Sverige og Tyskland vil kunne få betydning for disse statenes forhold til EU, men har ingen innvirkning på Norges forhold til EU. / Med hilsen Grethe Faremo (konist.) Side 6