Ventelo AS Rolfsbuktveien 4 Postboks 1, Fornebu NO-1330 Fornebu Org: NO 890 164 072 MVA T +47 21 55 00 00 F +47 21 550É.01.no Post- og teletilsynet Postboks 93 4791 LILLESAND V3r refèraise tto2068-22-417.7 l'ô1tâkè.s \r redse D-L2-00777 DìrolS rêd Fornebu, 10.04.2012 Þ,'rtail'.Ê(ilegq 0 HøRING - DATALAGRINGSFORSKRIFTEN Vi viser til høringsbrev av 07.02.12 fra Post- og teletilsynet (PT) hvor det bes om kommentarer til utkast til forskrift om lagringsplikt for bestemte data og om tilrettelegging av disse data (data lag ri n gsforskriften). Ventelos kommentarer til utkastet følger nedenfor. Kommentarene følger høringsnotatets rekkefølge. For øvrig viser Ventelo til høringsuttalelsen fra ITK Norge, som vi slutter oss til. 1. lnnledning Som PT selv kommenterer utgjør datalagringsforskriften kun ett element i regelverket relatert til gjennomføringen av datalagringsdirektivet i norsk rett. Ventelo ønsker innledningsvis å påpeke viktigheten av å se det totale regelverket isammenhengfør tilbyderne pålegges å starte implementeringen av datalagringen, slik at det er klarlagt hva som skal lagres, hvilke krav som stilles til lagringen, hvem som har plikt til å lagre, personvernmessige krav og rettigheter samt kostnadsfordeling. Alle disse forholdene har betydning for valg av tekniske og administrative løsninger, herunder hvilket handlingsrom tilbyderne har med hensyn til fellesløsninger for lagring og utformingen av bransjestandard for overleveringsformat. Klargjøringen av krav og handlingsrom er følgelig av stor betydning for kostnadsbildet. Det er av vesentlig betydning at tilbyderne ikke må justere tekniske løsninger i ettertid, da det både øker kostnadene og krever store personalmessige ressurser. Ventelo vil derfor fraråde myndighetene mot å ha for stort tidspress i gjennomføringen av datalagringsdirektivet og mot at tilbyderne gis for korte tidsfrister iforbindelse med sin implementering. Selv om den planlagte gjennomføringen pr. 01.07.12 er utsatt, er det viktig at det ikke medfører at tilbydernes tidsfrist for implementering forkortes.
Av samme grunn er det også viktig at myndighetene ikke stiller krav om midlertidige løsninger i en mellomfase mellom tidspunktet for vedtakelse av datalagringsforskriften og fristen for full implementering. Ventelos oppfatning er at staten må bære kostnadene med gjennomføringen av datalagringsdirektivet i norsk rett. Dette gjelder både kostnader til implementasjon og løpende drift. Tilbyderne har ikke behov for eller nytte av dataene som lagres i henhold til direktivet eller de tekniske løsningene som etableres for å kunne oppfylle lagringsforpliktelsene. Vi ser at etablering av en felles lagringsløsning víl være med på å redusere samfunnets kostnader betydelig, samtidig som sikkerheten ivaretas. Ventelo er derfor opptatt av at det legges til rette for felles lagringsløsninger. En felles lagringsløsning vil være til stor hjelp for et flertall av de lagringspliktige, samt forenkle grensesnittet mot politi og påtalemyndighet. 2. Hvem skal lagre (kapittel 3 i høringsnotatet)? 2.1 Konkurransenøytralitet Hvilke tilbydere som pålegges plikt til å lagre data og hvilke tilbydere som ikke omfattes av lagringsplikten har stor konkurransemessig betydning. Ventelo mener som nevnt at det er staten som bør dekke kostnadene knyttet til datalagringen, men dersom resultatet skulle bli at tilbyderne må dekke deler av kostnadene, vil dette være et vesentlig konkurransemessig element. I alle tilfeller vil personvernelementet være et forhold som påvirker konkurransen ved at kunder i valget mellom en tilbyder som er lagringspliktig og en tilbyder som ikke er lagringspliktig i mange tilfeller sannsynligvis vil velge tilbyderen som ikke er lagringspliktig. Det er derfor av sentral betydning at PT legger prinsippet om konkurransenøytralitet til grunn ved avgjørelsen av hvem som er lagringspliktig. PT skriver på s. 3 i høringsnotatet at det vil bero på en konkret vurdering om en tilbyder faller inn under kategorien som er lagringspliktig. Etter vår oppfatning må det være klart på forhånd hvilke tilbydere som har plikt til å lagre data, for å hindre konkurransevridning. Vi antar det er naturlig at PT har denne rollen med å foreta forhåndsavklaringer. PT må videre følge aktivt opp at lagringspliktige faktisk lagrer data i henhold til regelverket. Det vil ikke være tilstrekkelig å føre kontroll ut fra listen over registreringspliktige tilbydere i ekombransjen, ettersom det kan være registreringspliktige som faktisk ikke har registrert seg hos PT. Vi antar det kan være en rekke aktører som har registreringsplikt, men som til tross for dette ikke er registrert. Når det gjelder vurderingen av om private elektroniske kommunikasjonsnett skal være lagringspliktige nevner PT i punkt 3.3.2 ulike vurderingskriterier. Hensynet til konkurransenøytralitet er ikke nevnt som et forhold som skal inngå i vurderingen. Etter vår oppfatning vil et sentralt vurderingstema være hvorvidt det bidrar til konkurransevridning dersom den aktuelle tilbyderen ikke pålegges lagringsplikt. Også med hensyn til hvilke private
elektroniske kommunikasjonsnett som omfattes av lagringsplikten bør dette være avklart på forhånd, før lagringsplikten inntrer. Videre nevnes i punkt 3.3.4 at PT vil konsultere politi og påtalemyndighet ved eventuelle endringer i kretsen av lagringspliktige subjekter i henhold til ekomloven $ 2-7 a. For å ivareta det konku rransemessige aspekter bør også Kon kurransetilsynet konsulteres. I punkt 3.4 refererer PT til at Samferdselsdepartementet følger opp om Svalbard skal unntas av lagringsplikten. For å hindre konkurransevridning mener vi at Svalbard må omfattes av lagringsplikten. 2.2 lnnholdstjenester PT viser til at Kripos har uttrykt behov for at det lagres data for innholdstjenester, som f.eks. <<chat>>, søkemotorer og nettsamfunn, jf. høringsnotatet punkt 3.3.2 s 5. Ventelo støtter PTs vurdering om ikke å utvide kresen av lagringspliktige til å omfatte leverandører av innholdstjenester. Lagring av innholdstjenester faller utenfor datalagringsdirektivet, og det er presisert at innhold ikke skal lagres. Etter vår vurdering er det kun kategoriene som direktivet angir som lagringspliktige som bør inkluderes i lagringsplikten i norsk rett. Vi kan ikke se noen grunn til at lagringsplikten skal utvides i forhold til det som følger av direktivet. Datalagringsdirektivet i seg selv innebærer en omfattende lagring av trafikk, og er et betydelig inngrep i personvernet til brukere av ekomtjenester. Gjennomføring av direktivet ble vedtatt etter omfattende debatt, og hvor en rekke aktører hadde sterke innvendinger av hensyn til personvernet. Det vil være uheldig å utvide omfanget lagringsplikten ytterligere, og lagringsplikten bør ikke omfatte innholdstjenester. Lagring av innholdstjenester vil for øvrig skape store problemer med hensyn til innsynsretten. lnnsyn i brukerdata er kostbart å separere i loggdata. Majoriteten av innholdstjenester starter og stopper i applikasjoner på private maskiner eller i skytjenester som den lagringspliktige kun opptrer som transittleverandør for. 3. Lagringspliktig data (kapittel4 i høringsnotatet) 3.1 Hovedregelen om hvem som skal lagre hva PT angir at den lagringspliktige skal lagre data knyttet til egne abonnenter, slik den lagringspliktige som hovedregel kun skal lagre trafikkdata for kommunikasjonen som egen kunde gjennomfører, samt lokasjons- og abonnementsdata for egne kunder. Ventelo påpeker i den sammenheng at ordlyden i de ulike bestemmelsene i kapittel 2 i utkastet til forskrift ikke er konsekvent med hensyn til om lagringsplikten gjelder <abonnent sg brukeo eller
(abonnent eller bruker>. Det er behov for à klargjøre om forskjellen i bruken av (ogd og <eller> er bevisst. Spørsmålet er særlig relevant for innsynsretten etter personopplysningsloven og $ 4-2 første ledd bokstav a) i forskriftsutkastet. Abonnent og bruker kan være to forskjellige enheter/personer, og det må avklares hvordan innsynsretten skal praktiseres for henholdsvis abonnenten og bruker, herunder hvordan brukers personvern skal ivaretas. For øvrig legger Ventelo til grunn at lagringsplikten kun gjelder trafikk til og fra tilbyders otfentlige nett, slik at en tjenestetilbyder ikke er ansvarlig for logging av data i kundens private nett som Virtuelle Privat nett og/eller kundens lokalnett. Videre at lagringsplikten ikke gjelder data for andre enn egne kunder. 3.2 E-oosttieneste Vi er uenige med PT i at tilbydere som kun tilbyr e-posttjenester ikke er lagringspliktige. Ventelo mener prinsippet om konkurransenøytralitet er viktig også med hensyn til hvilke data som er lagringspliktige. Like tjenester må behandles likt. For det første stiller vi spørsmål ved konklusjonen om at en e-posttjeneste ikke er en elektronisk kommunikasjonstjeneste. Uansett er vi uenige i at kun tilbydere som etter PTs oppfatning er tilbydere av offentlig elektronisk kommunikasjonstjeneste (eller som eventuelt blir pålagt lagringsplikt med hjemmel i ekomloven $ 2-7a annet ledd), skal ha plikt til å lagre data relatert til e-post. For SMTP e-post innebærer PTs forslag at kun tilbydere i Norge omfattes av lagringsplikten. En stor andel av SMTP e-posttilbyderne vil ikke omfattes av lagringsplikten. Disse SMTP e- posttilbyderne kan bruke dette som et konkurransefortrinn, både i markedsføring overfor kunder og som følge av at de slipper kostnader knyttet til lagringsplikten. Dersom PT fastholder forslaget, er dette er ytterligere argument for at staten må dekke kostnadene forbundet med datalagringsdirektivet. PTs forslag betyr at bl.a. hotmail og gmail faller utenfor lagringsplikten. I tillegg til at dette er uheldig fra et konkurransemessig perspektiv, er konsekvensen at en stor andel av e-post trafikkdata faktisk ikke lagres. Økt tilbud og bruk av skytjenester gir store muligheter for å unndra trafikk fra lagring, i strid med formålet med datalagringsdirektivet om å forebygge og bekjempe kriminalitet. 3.3 Network Address Translation (NAT) Ventelo er enig i PTs konklusjon om ikke å pålegge lagring av informasjon som er nødvendig for å identifisere abonnenten i de tilfeller den lagringspliktige bruker NAT. Dette ville i så fall innebære lagring av omfattende datamengder, uten at bruker kan identifiseres med tilfredsstillende grad av sikkerhet. Lagring av NAT framstår derfor som uhensiktsmessig ut fra formålet med direktivet.
3.4 Vi finner det noe uklart hvilke sesjoner PT henviser til når det i punkt 4.3.9 uttales <Grunnen til dette er at det genereres langt flere sesjoner ved mobil internettaksess enn ved bruk av mobiltelefontjeneste>. Det er også behov lor à klargjøre hva som er oppstart av kommunikasjonen ved mobil internettaksess. Kunden tildeles lp-adresser hver gang en mobiltelefon kobler seg til et nett, selv om mobiltelefonen/internettaksessen ikke er i bruk. 3.5 Cellensoeoorafiskelokaliserino Slik vi oppfatter punkt 4.3.10 i høringsnotatet går kravet til lagring av cellens geografiske posisjon lenger enn det som følger av direktivet. Det bør ikke stilles krav til lagring av areal/sektor. 4. Krav til behandlingen av lagrede data (kapittel 5 i høringsnotatet) 4.1 Fellesløsnino for laorino Som nevnt innledningsvis er Ventelo opptatt av at forskriften ikke blokkerer for at tilbydere i fellesskap etablerer en fellesløsning for lagring, noe som kan være til beste både for tilbyderne og politi/påtalemynd ig het. Forskriftsutkastets krav til lagringen (kapittel 3) er sentrale ved en slik fellesløsning. Etter vår oppfatning må derfor PT gjennomgå forskriften for å sikre at den ikke inneholder bestemmelser som er til hinder for fellesløsning for lagring. Tilbyderne bør ha et betydelig handlingsrom med hensyn til å etablere fellesløsninger. For å fjerne tvil om at det er adgang til å etablere fellesløsning er bør gjennomgående formuleringer om at <lagringspliktige skal> byttes ut med <lagringspliktige er ansvarlig for>. Da presiseres samtidig at tilbydere som deltar i en fellesløsning fortsatt har et selvstendig ansvarlig for å overholde datalagringsforskriftens og personopplysningslovens krav, samt andre relevante bestemmelser. 4.2 Beviskvalitet PT skriver på s. 21 at tilsynet legger til grunn at det skal settes krav om at kvaliteten på dataene ikke blir forringet ved lagringen, og at dette også må omfatte krav til at den bevismessige verdien av de lagrede dataene ikke forringes gjennom lagringen. I forskriftsutkastets $ 3-1 er begrepet < beviskval itet> bru kt. Etter Ventelos vurdering er <beviskvalitet>, <kvalitet> og <<bevismessig> misvisende begreper. Tilbydernes lagringsplikt kan ikke gå lenger enn å lagre dataene <<as is>>. Det kan ikke stilles krav om at tilbyderen gjør kvalitetshevende tiltak. Tilbyderne skal heller ikke sikre bevis. Det tilbyderne skal ha plikt til er å sikre data. Ventelo legger til grunn at PT med begrepet <<kvalitet>
mener <integritet>, og det med begrepet <bevis> menes <data>. Teksten S 3-1 må justeres for å reflektere dette, for å hindre tvil om at det er <as is>-prinsippet som gjelder. 4.3 Loqoføring oo sletteolikt Det er noe uklart hva som inngår i plikten til å opprette logg over all behandling av data under lagringen. Bl.a. uttales at loggen vil være med på å sikre beviskvaliteten på de lagrede dataene. Samtidig skal loggen oppbevares i 3 år. Lagringspliktige data skal imidlertid slettes etter 6 måneder. Dersom det føres en logg om medfører at lagringspliktige data framkommer av loggen, kan det stilles spørsmålstegn ved en oppbevaringstid på 3 år, bl.a. om det står i motstrid med plikten til å slette data etter 6 måneder. Behandling og uthenting av lagringspliktige data/tilgjengeliggjøring 5.1 Den reoistrertes rett til innsyn Som påpekt i punkt 4.1 reiser innsynsretten spesielle problemstillinger knyttet til abonnenukunde vs. bruker. Gjennomføringen av datalagringsdirektivet betyr at omfattende data om abonnenten, og eventuelt om bruker der denne er en annen enn abonnenten, lagres. Det er derfor viktig å hensynta den enkelte persons personvern, og hindre at innsynsretten benyttes slik at f.eks. abonnenten får innsyn i opplysninger om bruker som bruker ikke ønsker at abonnenten får kjennskap til. Vi forutsetter at plikten til å gi innsyn ikke gjelder overfor andre tilbyderes kunder. 5.2 Felles format Ventelo er enig med PT i at lagringspliktige data bør gjøres tilgjengelig på et format som er hensiktsmessig både for tilbyder og de som har krav på å få tilgang til dataene, og at det bør etableres en bransjestandard for et felles format. En slik bransjestandard må etter vår oppfatning etableres før tilbydernes plikt til å implementere løsninger for datalagring inntrer. PT må gis bransjen tilstrekkelig frist til å etablere en bransjestandard. Denne fristen må også se hen til når politi og påtalemyndighet vil være i stand til å ta imot dataene i henhold til kravene i politiregisterloven. Gjennomføringen av datalagringsforskriften innebærer også at det stilles krav til politi og påtalemyndighet, og deres evne til å håndtere mottak av dataene. Dette må hensyntas ved fastsettelse av implementeringsfristen. 5.3 Responstid Så lenge det ikke er uttrykkelig fastsatt i datalagringsforskriften forutsetter Ventelo at tilbydere ikke har plikt til å etablere noen ordning for utlevering/uthenting utenom ordinær arbeidstid. Regelverket bør være likt for alle tilbydere, uavhengig av størrelse.
For øvrig har vi ikke innsigelser til fristen på to virkedager for utlevering/uthenting. 6. Overgangsordninger (kapittel 7 i høringsnotatet) Som nevnt innledningsvis er det vår oppfatning at det ikke skal etableres overgangsordninger. Overgangsordninger øker kostnadene. Dette gjelder uavhengig av hvem som skal bære kostnadene med gjennomføringen av datalagringsdirektivet. I tillegg innebærer overgangsordninger omfattende personalmessige ressursbruk. Ressursene bør benyttes til å klargjøre felles lagringsformat, og deretter implementeringen. Ventelo anslår at vi har behov for en implementeringstid påt 12-18 måneder etter at alle krav er klarlagt. 7. Økonomiske og administrative konsekvenser (kapittel 8 i høringsnotatet) Som PT skriver er kostnadene knyttet til gjennomføringen av datalagringsdirektivet betydelige. Kostnadene knytter seg både til etablering og til ulike løpende driftsoppgaver. Som vi har påpekt innledningsvis mener vi staten må dekke kostnadene ettersom disse ikke relaterer seg til tilbydernes egne behov for lagring, men kun pàløper som følge av samfunnets behov. Vi ber om at kommentarene hensyntas i det videre arbeidet med datalagringsforskriften, og at PT samordner sitt videre arbeid med andre myndigheter ved overlappende eller tilgrensede problemsstillinger. Med vennlig hilsen Advokat