EU-domstolen har avsagt to dommer som konkluderer med at generell og udifferensiert innsamling av teledata i bulk er i strid med kommunikasjonsvernsdirektivet. Dommene har betydning for den planlagte massinnsamlingen av kommunikasjonsdata i ny lov om etteretningstjenesten, som ikke kan innføres slik det er vedtatt av Stortinget.
Dommene har også betydning for tilretteleggingsplikten for tilbydere av kommunikasjonstjenester, som heller ikke kan innføres slik loven er utformet nå.
Stortinget vedtok 11. juni 2020 ny lov om etterretningstjenesten som åpner for et såkalt digitalt grenseforsvar hvor tilbydere av kommunikasjonstjenester kan bli pålagt å gi tilgang til metadata som etterretningstjenesten vil lagre i 18 måneder.
Datatilsynet påpekte i høringsrunden at dette ville bli et for stort inngrep i borgernes privatliv og ville være i strid med både EMK og EU-retten.
- Det er ikke overraskende at EU-domstolen har kommet til et resultat som sikrer borgerne et sterkere vern av privatlivet, sier juridisk seniorrådgiver Jan Henrik Nielsen.
I dommene Privacy International (sak C-623/17) og La Quadrature du Net and Others (sak C-511/18) slår Domstolen fast at en generell og udifferensiert innsamling og lagring av kommunikasjonsopplysninger er i strid med de grunnleggende rettighetene og kommunikasjonsverndirektivet.
Kommunikasjonsverndirektivet (2002/58/EF) er EØS-relevant og gjennomført i norsk rett i ekomloven. Det følger av direktivet artikkel 5 nr. 1 at medlemsstatene plikter å sikre konfidensialitet for kommunikasjon og tilhørende trafikkdata.
- Medlemsstatene skal særlig forby avlytting, lagring og andre former for overvåkning uten brukernes samtykke, med mindre det er tillatt etter lov, sier Nielsen.
Domstolen slår fast at nasjonal lovgivning ikke kan pålegge tilbydere en plikt til å gi etterretnings- og sikkerhetstjenester tilgang til kommunikasjonsdata i bulk som innebærer en generell og udifferensiert lagring av slike data i forkant.
Dommen åpner for en begrenset tilgang for etterretnings- og sikkerhetstjenester til data basert på kriteriene slått fast i Tele2/Watson (eur-lex.europa.eu, engelsk). En målrettet innhenting av trafikk- og lokaliseringsdata kan være akseptabelt dersom lagringen begrenses til det som er strengt nødvendig basert på en reell trussel avgrenset til angitte kategorier av data, hvilke kommunikasjonsmidler som benyttes, de berørte personer og varigheten av innsamlingen og lagringstiden. Det må foreligge tilstrekkelige og solide begrunnelser for at det foreligger en reell trussel som er overskuelig, ekte og aktuell.
- Det sentrale er at innhentingen må være målrettet, tidsbegrenset og basert på en reell trussel. Det stilles krav til at den nasjonale lovgivningen må være klar på under hvilke omstendigheter og hvilke vilkår som gjelder for å iverksette en målrettet innhenting, og har tilstrekkelige sikkerhetsmekanismer for å unngå misbruk, sier Nielsen.
Domstolen legger også vekt på at innsamling av metadata er like inngripende som innholdsdata, spesielt der hvor de brukes til å lage profiler av personer, noe som kan gi en følelse av å være konstant overvåket.
- Det nevnes spesielt at informasjon om seksuell legning, politisk-, religiøs- eller filosofiske syn, samt helseopplysninger har et spesielt vern. Opplysninger om dagliglivet, bosted, bevegelser, aktiviteter og sosiale relasjoner og steder hvor man sosialiserer er svært avslørende informasjon, sier Nielsen.
Det påpekes også at en generell og vilkårlig overvåking kan få borgere til å la være å benytte kommunikasjonsmidler og ytre seg. Spesielt i sammenhenger med profesjonsbasert taushetsplikt, varslere og journalister.
Dommene likestiller behandling av opplysninger til beskyttelse av nasjonal sikkerhet med all annen behandling av personopplysninger.
- Domstolen gir klar beskjed om at etterretningstjenestens behandling av personopplysninger må i vareta grunnleggende rettigheter på samme måte som alle andre. Elektronisk overvåking skiller seg praktisk sett ikke mye fra andre informasjonssystemer, selv om innholdet kan være sensitivt. Innhold innhentes, lagres i en database og søkes på. Det er derfor ingen praktiske hindringer for at rettighetene ivaretas, mener Nielsen.
Dommene innebærer at tilrettelagt innhenting ikke kan gjennomføres slik det er regulert i ny lov om etterretningstjenesten. Hele innretningen må endres slik at innhenting kun kan skje etter domstolsbehandling dersom det er strengt nødvendig basert på en reell trussel og innhentingen må være målrettet og tidsbegrenset.
Vilkårene for når innhenting kan foregå må klargjøres og selve domstolsprøvingen tilpasses.
- Dommene løfter frem de negative sidene masseovervåking har for samfunnet, sier Nielsen avslutningsvis. – Det pekes på konsekvenser for bruk av internett og ytringsfrihet, samt følelsen av å være konstant overvåket hvis man foretar en masseinnsamling, sier Nielsen.