Frp om E-tjenestens ulovlige datainnhenting: – Nedslående

– Det er alvorlig. Dette viser at E-tjenesten har brutt loven og gått utover de begrensningene Stortinget trakk opp da vi behandlet dette i forrige runde.

Det sier leder for kontroll og konstitusjonskomiteen, Per-Willy Amundsen (Frp).

Onsdag kom EOS-utvalget med nyheten om at E-tjenesten ulovlig har innhentet informasjon frem til september i år.

– Svært opprivende debatt

I 2020 ble det stor debatt rundt et forslag fra regjeringen om å endre e-loven. Endringen ville gi E-tjenesten utvidet myndighet til å samle inn data som flytter seg over landegrenser.

Da lovendringen ble vedtatt fikk E-tjenesten lov til å drive masseinnsamling av det som kalles metadata om eposter, telefoni og internettrafikk. Dette er data som blant annet forteller hvem informasjon er sendt mellom, når og hvor.

E-tjenesten fikk ikke lov til å samle inn innholdsdata uten tillatelse fra tingretten. Dette er selve innholdet i korrespondansen.

EOS-utvalget er valgt av Stortinget for å kontrollere at de hemmelige tjenestene (E-tjenesten, PST og NSM) ivaretar enkeltpersoners rettssikkerhet og personvern. 

Etter at e-loven ble endret bestemte utvalget seg for å gjennomføre kontroll av innretningen på E-tjenestens metadatalagring opp mot e-loven.

Gjennom kontrollen oppdaget EOS-utvalget at E-tjenesten – i tillegg til å samle inn metadata – har samlet inn innholdsdata fra emnefeltene i eposter. Det er dette som utgjør lovbruddet.

E-tjenesten sier informasjonen ikke er blitt brukt i noen form for etterretning.

Per-Willy Amundsen reagerer på at E-tjenesten har brutt loven på denne måten.

– Det var en svært opprivende debatt i Stortinget, og da vi landet der vi landet, mente vi det var fordi vi fikk en god balanse mellom sikkerhet og personvern, sier han.

– Det burde være en selvfølge at E-tjenesten må følge Stortingets lover på lik linje med alle andre i staten. Det er nedslående å se at det ikke har skjedd.

Oppdaget i januar, stoppet i september

Leder for EOS-utvalget, Grete Faremo, forteller at de sendte brev til E-tjenesten i desember i fjor med spørsmål om lagringen. I februar fikk de beskjed om at E-tjenesten hadde oppdaget at de samlet inn emnefeltdata.

E-tjenesten oppdaget den første modulen som samlet inn data om emnefelt i januar i år. Da den ble skrudd av, trodde de problemet var løst. I april oppdager de derimot at ytterligere to moduler gjør det samme. Disse ble skrudd av først i august.

E-tjenesten slettet emnefeltdataene i september, men sier de ikke har noe informasjon om hvor mye data som var ulovlig innsamlet.

– E-tjenesten har opplyst at det var en prosess som avdekker ytterligere moduler som samlet inn data. Vi har kritisert at det tok så lang tid, sier Faremo til Altinget.

Mellom januar, da feilen først ble oppdaget, og september, fortsatte altså den ulovlige innsamlingen av data.

Skylder på data-systemet

Å samle inn metadata i stor skala, krever et avansert system. I sitt svar til EOS-utvalget, skriver sjef for E-tjenesten, Nils Andreas Stensønes, at systemet fortsatt er i byggefasen. Det skal være ferdig i 2026.

– Det var påregnelig å støte på noen utfordringer av denne karakter som ligger til grunn for utvalgets kritikk, skriver han.

Stensønes peker på at de har fulgt en internasjonal standard for innhenting av metadata. Denne standarden regner emnefeltdata som metadata. De har brukt denne standarden selv om E-tjenesten har vært enig i at dette er data som ikke skal samles inn.

Stensønes erkjenner samtidig at de burde ha satt flere ressurser på saken da de oppdaget feilen.

Dette er ikke godt nok, ifølge Per-Willy Amundsen.

– Det er aldri godt nok når man bruker utenforliggende faktorer for å forklare et lovbrudd. Det kan kanskje bidra til å opplyse hvorfor dette har skjedd. Det er vi lydhøre for, sier han.

I sitt brev til Stortinget, svarer EOS-utvalget at det er E-tjenestens ansvar å kontrollere at systemer som bygger på anskaffet programvare som i utgangspunktet ikke er skreddersydd til E-tjenesten, «krever særlige undersøkelser og vurderinger sett opp mot den prosessering og lagring som e-loven tillater».