IT-Politisk Forenings høringssvar vedrørende lovudkastet er opdelt i to hovedafsnit. Hovedafsnit A omfatter politiets anvendelse af databaserede analyseredskaber (lovforslagets § 1), mens hovedafsnit B er om politiets adgang til oplysninger om flypassagerer (lovforslagets § 2).

A. Politiets anvendelse af databaserede analyseredskaber

Som IT-Politisk Forening læser lovforslagets § 1 er formålet at skabe en retlig ramme for politiets anvendelse af databaserede analyseredskaber, og mere konkret systemet POL-INTEL, som Rigspolitiet har købt fra IT-virksomheden Palantir Technologies. Sådanne analyseredskaber kaldes ofte ”intelligence-led policing” eller ”predictive policing”. Vi har i dette høringssvar brugt ordet ”intelligence-led policing” af hensyn til sproglig konsistens med lovforslagets bemærkninger.

Indledende generelle bemærkninger

IT-Politisk Forening finder det beklageligt, at der ikke inden anskaffelsen af POL-INTEL har været en politisk debat i Folketinget og i offentligheden om konsekvenserne af intelligence-led policing for tilrettelæggelsen af politiets arbejde, forholdet mellem politi og borgere, og ikke mindst borgernes grundlæggende rettigheder til privatliv, persondatabeskyttelse og ytringsfrihed. Som Justitsministeriet nævner i lovforslagets bemærkninger, er der lande som er længere fremme på området end Danmark, og disse landes erfaringer fra såvel politimyndigheder som borgerretsorganisationer kunne uden tvivl have været nyttige for den danske debat. Forløbet omkring POL-INTEL minder en del om indførelsen af automatisk nummerpladegenkendelse (ANPG) i Danmark, hvor IT-systemerne blev indkøbt af Rigspolitiet, og først derefter blev den retlige ramme udarbejdet i form af ANPG-bekendtgørelsen, mens der aldrig på noget tidspunkt var lagt op til en offentlig debat om brugen af ANPG.

Lovforslaget indeholder nogle relativt brede beføjelser (specielt den foreslåede § 2 a, stk. 1 i politiloven), eller henviser til allerede eksisterende brede bestemmelser som rammerne for politiets behandling af personoplysninger efter persondataloven. Dermed bliver den reelle retlige ramme for intelligence-led policing i virkeligheden de bekendtgørelser, som Justitsministeren får hjemmel til at udstede efter den foreslåede § 2 a, stk. 3 i politiloven, eller som Justitsministeren allerede har hjemmel til at udstede efter persondataloven. Der er ikke i lovforslagets bemærkninger redegjort nærmere for det forventede omfang og indhold af disse fremtidige bekendtgørelser. På den baggrund er det temmelig vanskeligt at vurdere konsekvenserne af lovforslaget.

For IT-Politisk Forening spiller det en væsentlig rolle, om politiet i forbindelse med konkrete efterforskninger indsamler oplysninger om personer, der er under konkret mistanke, eller om der foretages en mere generel indsamling af personoplysninger om alle eller større grupper af borgere, hvoraf langt hovedparten er ikke-mistænkte personer. Det sidste har karakter af masseovervågning, som vi er principielle modstandere af.

Vi noterer os, at det af lovforslagets bemærkninger fremgår, at lovforslaget ikke i sig selv medfører en øget adgang til at indsamle personoplysninger. Men vi kan samtidig konstatere, at det inden for rammerne af persondataloven var muligt at lave en bekendtgørelse om ANPG, som netop medfører indsamling af oplysninger om ikke-mistænkte borgere. Der er formentlig inden for rammerne af persondataloven mulighed for at lave bekendtgørelser om lignende generel indsamling af oplysninger om alle borgere til brug for politiet på det strafferetlige område, for eksempel automatisk ansigtsgenkendelse på offentlige områder (som visse EU-lande for tiden overvejer at indføre) eller indsamling af oplysninger fra sociale medier (som nævnes i pkt. 2.4.1 i lovforslagets almindelige bemærkninger).

Når der eksisterer eller skabes en hjemmel til at indsamle oplysninger om borgerne efter persondataloven, skaber nærværende lovforslag en relativt generel hjemmel til at behandle dem inden for rammerne af systemer til intelligence-led policing, for eksempel POL-INTEL systemet. Denne indsamling af personoplysninger kan være både målrettet (som politiets efterforskningsdatabase, PED) eller generel med karakter af masseovervågning (som ANPG).

Konsekvenserne for borgernes privatliv af intelligence-led policing kommer derfor reelt fra samspillet mellem lovforslagets ændringer af politiloven (herunder især bekendtgørelser efter den foreslåede § 2 a, stk. 3 i politiloven) og politiets hjemmel til at indsamle personoplysninger efter persondataloven, hvor sidstnævnte i høj grad vil afhænge af, om Justitsministeren i fremtiden vil udstede flere bekendtgørelser som giver politiet mulighed for at indsamle oplysninger om potentielt alle borgere, uanset om de er mistænkte eller ej (som ANPG-bekendtgørelsen).

IT-Politisk Forening har naturligvis ikke nogen indvendinger mod en IT-understøttet effektiv planlægning af politiets arbejde, men vi er meget optaget af, om intelligence-led policing vil medføre øget masseovervågning. Efter vores vurdering er der absolut mulighed for at dette kan ske, jf. det samspil mellem lovforslaget og den allerede eksisterende adgang til indsamling af personoplysninger efter persondataloven, som vi har beskrevet ovenfor. Men vi anerkender bestemt også muligheden for at intelligence-led policing i Danmark bliver begrænset til primært at behandle personoplysninger om mistænke personer, og at der i bekendtgørelser efter den foreslåede § 2 a, stk. 3 kan komme væsentlige begrænsninger på adgangen til at samkøre databaser og i øvrigt behandle lovligt indsamlede personoplysninger i de databaserede analyseredskaber. På det foreliggende grundlag er det ikke muligt at skelne mellem disse to fremtidige scenarier for intelligence-led policing.

IT-Politisk Forening vil opfordre til, at Justitsministeriet redegør for eventuelle planer om at bruge indsamlede personoplysninger om ikke-mistænkte borgere i intelligence-led policing systemerne. Bemærkningerne nævner alene ANPG og derudover de rammer, som persondataloven sætter, men det er ikke videre konkret, eftersom ANPG næppe er det eneste område, hvor der inden for rammerne af persondataloven kan indsamles oplysninger om en stor del af befolkningen.

En sådan redegørelse i lovforslagets bemærkninger vil utvivlsomt også være en stor hjælp for Folketinget, når lovforslaget skal behandles, og hvis Folketingets medlemmer skal besvare spørgsmål fra borgere, som er bekymrede for risikoen for øget masseovervågning. Det må også være i Justitsministeriets og Rigspolitiets interesse, at der ikke i befolkningen skabes myter om hvad POL-INTEL skal anvendes til.

Den kommende lov om retshåndhævendes myndigheders behandling af personoplysninger

Lovforslaget har reference til persondataloven (lov nr. 429 af 31. maj 2000), som er den nuværende ramme for politiets behandling af personoplysninger både inden for og uden for det strafferetlige område. Som bekendt har Danmark den 15. december 2016 i forbindelse med indgåelse af samarbejdsaftalen med Europol forpligtet sig til en fuldstændig gennemførelse af retshåndhævelsesdirektivet 2016/680/EU i dansk ret inden 1. maj 2017. Fra den dato vil politiets behandling af personoplysninger på det strafferetlige område være omfattet af den nye lov om retshåndhævende myndigheders behandling af personoplysninger, mens politiets øvrige behandling af personoplysninger vil være omfattet af persondataloven frem til 25. maj 2018, og derefter af databeskyttelsesforordningen, jf. betragtning 11-12 og artikel 9, stk. 2 i retshåndhævelsesdirektivet.

I det omfang § 1 i nærværende lovforslag omfatter personoplysninger, må behandlingen falde ind under det strafferetlige område. Dermed vil den relevante persondataretlige reference om mindre end to måneder, og antageligt allerede inden loven overhovedet træder i kraft, jf. lovforslagets § 3, være den kommende lov om retshåndhævende myndigheders behandling af personoplysninger, og ikke persondataloven. På den baggrund ville det efter IT-Politisk Forenings opfattelse have været ønskeligt, hvis § 1 i dette lovforslag var blevet fremsat efter vedtagelsen af den kommende lov om retshåndhævende myndigheders behandling af personoplysninger.

For politiets behandling af personoplysninger på det strafferetlige område har persondataloven en fuldstændig undtagelse for oplysningspligten over for den registrerede (kapitel 8), indsigelse mod og berigtigelse af forkerte oplysninger (§§ 35-37), samt automatiske afgørelser og profiling (§ 39). Disse dele af den registreredes rettigheder er derimod som udgangspunkt omfattet af retshåndhævelsesdirektivet, med visse muligheder for at indskrænke rettighederne. I forhold til retten til indsigt vil retshåndhævelsesdirektivet formentlig have en snævrere adgang til at fastsætte begrænsninger af denne ret end hvad § 32, stk. 1 og stk. 5 i persondataloven tillader.

Disse forskelle vil utvivlsomt have væsentlig betydning for nærværende lovforslag. IT-Politisk Forening vil derfor opfordre til, at Justitsministeriet i forbindelse med lovforslagets fremsættelse i bemærkningerne, eller alternativt i den kommenterede høringsoversigt, redegør for hvilke konsekvenser den kommende lov om retshåndhævende myndigheders behandling af personoplysninger vil have for lovforslaget.

Tværgående informationsanalyse (§ 2 a, stk. 1)

Den foreslåede § 2 a, stk. 1 i politiloven giver hjemmel til tværgående informationsanalyser på grundlag af politiets databaser (de oplysninger politiet behandler), når dette er nødvendigt af hensyn til udførelsen af politiets opgaver. Disse tværgående informationsanalyser vil generelt, som beskrevet i lovforslagets bemærkninger, omfatte anvendelse af personoplysninger til andre formål end dem, som de er indsamlet til, og samkøring af flere forskellige databaser.

Det nævnes i pkt. 3.2.1.1.1 i de almindelige bemærkninger, at den tværgående informationsanalyse skal ske inden for rammerne af persondataloven, og i de specielle bemærkninger til lovforslagets § 1 nævnes desuden de rammer, som vil fremgå af bekendtgørelser efter den foreslåede § 2 a, stk. 3 i politiloven. IT-Politisk Forening forstår dette som at der med lovforslaget ikke er tilsigtet en afvigelse fra persondatalovens bestemmelse om at indsamling af personoplysninger skal ske til udtrykkeligt angivne og saglige formål, og senere behandling må ikke være uforenelig med disse formål. En behandling af personoplysninger til intelligence-led policing kan efter vores opfattelse ikke siges at være en behandling i statistisk eller videnskabeligt øjemed, jf. persondatalovens § 5, stk. 2 (og artikel 4, stk. 3 i retshåndhævelsesdirektivet).

Politiets databaser vil være indsamlet til mange forskellige formål, så det må bero på en konkret vurdering af formålet for hver enkelt database, eller rettere hver enkelt indsamling af personoplysninger, i hvilket omfang oplysningerne kan anvendes til andre formål i forbindelse med en tværgående informationsanalyse. I den forbindelse bør der skelnes mellem indsamling af personoplysninger inden for og uden for det strafferetlige lovgivning, specielt når disse to områder vil være omfattet af hver sin persondatalovgivning (hvilket reelt sker allerede fra 1. maj 2017, og især fra 25. maj 2018). Når databeskyttelsesforordningen finder anvendelse fra 25. maj 2018, må overførslen af personoplysninger behandlet efter forordningen til intelligence-led policing systemer i øvrigt være en begrænsning af borgernes databeskyttelsesrettigheder, som skal opfylde betingelserne i forordningens artikel 23, uanset at det er politiet selv som er dataansvarlig.

Under alle omstændigheder kan den foreslåede § 2 a, stk. 1 ikke fastsætte en hjemmel til at anvende enhver personoplysning til ethvert andet formål, som i den typiske markedsføringsomtale af såkaldte ”big data” analyser, da det fuldstændigt ville eliminere persondatalovens helt grundlæggende princip om formålsbegrænsning, jf. navnlig artikel 8, stk. 2 i Den Europæiske Unions Charter om Grundlæggende Rettigheder.

En reel vurdering af beføjelsen til at foretage tværgående informationsanalyser vil derfor forudsætte et nærmere kendskab til den udmøntning (og dermed præcisering) af hjemlen i § 2 a, stk. 1, som Justitsministeren vil fastsætte i bekendtgørelser udstedt i medfør af § 2 a, stk. 3. Indholdet af disse bekendtgørelser er imidlertid ikke nærmere skitseret i lovforslagets bemærkninger.

I bemærkningerne pkt. 2.3.1 nævnes samkøring af politiets registre over sigtede personer med oplysninger fra andre andre registre, for eksempel Danmark Statistik. Det er uklart for IT-Politisk Forening om der hermed menes samkøring af oplysninger på personniveau, eller en anden form for sammenstilling med aggregerede oplysninger modtaget fra Danmark Statistiks almindelige abonnementsordninger. Hvis der er tale om det første, vil IT-Politisk Forening finde det meget vidtgående og samtidig påpege, at nærværende lovforslag næppe kan siges at skabe en hjemmel til denne type samkøring, idet samkøring på personniveau sker med registre som Danmarks Statistik, og ikke politiet, er dataansvarlig for. En del registre hos Danmark Statistik gør formentlig brug af undtagelser i persondatalovgivningen, som udelukker anvendelse til andet end statistiske og videnskabelige formål, og behandling af personoplysninger selv til mere overordnede planlægningsformål i et system til intelligence-led policing må falde uden for dette formål.

Indsamling af oplysninger fra offentligt tilgængelige kilder (§ 2 a, stk. 2)

Af de specielle bemærkninger fremgår det at

Med denne bestemmelse indføres et klart hjemmelsgrundlag til, at politiet kan indsamle og behandle enhver oplysning fra offentligt tilgængelige kilder, der er nødvendig for udførelsen af politiets opgaver, jf. politilovens § 2.

Umiddelbart er ”enhver oplysning” meget vidtgående, og definitionen af offentligt tilgængelige kilder er desuden i sig selv meget vidtgående, fordi definitionen alene afgrænses af, at indsamlingen (eller indhentningen) af oplysninger ikke indebærer et straffeprocessuelt indgreb efter retsplejeloven. Definitionen af ”offentligt tilgængelige kilder” omfatter således også oplysninger, som kan købes på kommercielle vilkår, herunder potentielt meget detaljerede oplysninger om konkrete personer, som kan købes fra databrokere.

Senere i de specielle bemærkninger til § 2 a, stk. 2, og i de almindelige bemærkninger pkt. 3.2.2.1.1, står der at hjemlen til at indsamle personoplysninger skal fremgå af persondataloven, hvilket må skulle forstås således, at § 2 a, stk. 2 ikke i sig selv giver en hjemmel til at indsamle personoplysninger.

Selv med denne afklaring af forholdet mellem lovforslaget og persondataloven er det dog noget uklart hvad persondataloven egentlig kan give politiet hjemmel til med hensyn til indsamling af personoplysninger fra offentligt tilgængelige kilder. Hvis man laver en Google-søgning på en bestemt person, kan alene oplysninger fra internettet nærmest endeløse informationsophobning give et ofte meget detaljeret billede af personens interesser, omgangskreds (kontaktflade) og adfærd, både i den virtuelle og den fysiske verden. Det gælder ikke mindst hvis personen er aktiv på sociale medier som Twitter og Facebook, da disse platforme af kommercielle årsager registrerer store mængder personoplysninger om deres brugere.

I forhold til vurderingen af lovforslagets konsekvenser for borgernes privatliv kunne det være yderst relevant at kende Justitsministeriets vurdering af hvilke grænser persondatalovens generelle krav om nødvendighed og proportionalitet egentlig sætter i forhold til indsamling fra offentligt tilgængelige kilder, herunder ikke mindst internettet og sociale medier. Det gælder især når indsamlingen af oplysninger sker for større grupper af personer til databaseret analyse, og ikke til en konkret efterforskning af en konkret mistænkt person.

Det er endvidere ikke klart i hvilket omfang § 2 a, stk. 2 definerer en yderligere hjemmel til behandling af personoplysninger udover selve indsamlingen. Af de specielle bemærkninger til § 2 a, stk. 2 fremgår det

Bestemmelsen sikrer således alene, at der er en klar hjemmel for politiet til – såvel inden for som uden for strafferetsplejen og på tværs af hele dansk politi – at behandle, videregive, videreanvende mv. de oplysninger, politiet allerede har indsamlet og løbende kan indsamle, i overensstemmelse med gældende ret. Dette vil bl.a. sikre, at der er et klart retligt grundlag for politiet til at anvende samtlige de datakilder, som politiet har til rådighed til brug for løsningen af politiets opgaver.

Et retligt grundlag for at anvendelse ”samtlige de datakilder, som politiet har til rådighed” kan meget vel overskride grænserne for hvad der er tilladt inden for rammerne af persondatalovens formålsbegrænsning.

Generelt er den skiftende omtale af ”hjemmel til enhver indsamling og behandling” og at ”behandlingen skal ske inden for rammerne af persondataloven” noget forvirrende, idet begge dele ikke kan være korrekte, medmindre ”enhver behandling og indsamling” altid skal respektere de begrænsninger, som persondataloven (og senere lov om retshåndhævende myndigheders behandling af personoplysninger samt databeskyttelsesforordningen) fastsætter.

IT-Politisk Forening vil opfordre til, at lovforslagets forhold til persondataloven bliver beskrevet mere klart, og at rammerne for behandling personoplysninger til andre formål end de (snævert) er indsamlet til bliver konkretiseret. Visse steder kan bemærkningerne, især når ordet ”big data” inddrages, læses som en næsten fuldstændig fravigelse af den generelle formålsbegrænsning.

Med hensyn til køb af personoplysninger fra databrokere finder IT-Politisk Forening det meget problematisk, at potentielt meget detaljerede personoplysninger, som borgere med samtykke har afgivet til markedsføringsformål af den ene eller den anden årsag (for eksempel deltagelse i konkurrencer), kan blive brugt i et databaseret analyseredskab for politiet. Udover anvendelsen til et helt andet formål end det oprindelige, og de mere principielle persondataretlige problemer som det skaber, kan der i høj grad stilles spørgsmål ved validiteten af personoplysninger fra databrokere. En del borgere afgiver utvivlsomt bevidst forkerte oplysninger, fordi de gerne vil deltage i en konkurrence, men ikke ønsker at betale med deres persondata. Privatlivsforkæmpere anbefaler ofte borgerne at ”lyve” om dem selv i sådanne uskyldige sammenhænge (markedsføring) for at beskytte privatlivet.

Inden for den Europæiske Union skal databrokere overholde persondatalovgivningen, og det må antages at deres indsamling af personoplysninger generelt sker med samtykke. Men databrokere i USA kan potentielt også indsamle oplysninger om danske borgere i strid med den europæiske persondatalovgivning. I USA er persondata groft sagt en handelsvare for virksomheder, mens persondatabeskyttelse er en grundlæggende ret for borgerne i EU. Det vil være meget uheldigt, hvis politiet køber oplysninger om danske borgere fra databrokere, som har indsamlet disse oplysninger i strid med dansk eller europæiske persondatalovgivning. IT-Politisk Forening vil anbefale, at det for en god ordens skyld præciseres i lovforslagets bemærkninger, at politiets køb af persondata på kommercielle vilkår fra eksempelvis databrokere kun kan omfatte personoplysninger, hvor politiet har vished om at indsamlingen er sket under lovlige forhold.

B. Politiets adgang til oplysninger om flypassagerer

Udlændingelovens § 38, stk. 4 og § 38, stk. 8 og 9 giver i dag politiet hjemmel til at modtage API-oplysninger til henholdsvis den obligatoriske grænsekontrol ved Unionens ydre grænser og den frivillige ikke-systematiske udlændingekontrol ved de indre Schengen-grænser. SKAT indsamler efter toldlovens § 17, stk. 4 (den gældende) de fulde PNR-oplysninger, undtaget PNR-feltet med generelle bemærkninger der kan indeholde følsomme personoplysninger, til egne formål med toldkontrol samt til PETs opgaver vedrørende forebyggelse og efterforskning af overtrædelser af straffelovens kapitel 12 og 13.

Lovforslaget skaber en hjemmel til at SKAT tillige kan indsamle API-oplysninger (en delmængde af PNR-oplysningerne) til politiets opgaver i medfør af udlændingelovens § 38. Det fremgår af bemærkningerne at politiet ikke får adgang til flere API-oplysninger end politiet vil kunne modtage direkte fra luftfartsselskaberne, og at API-oplysninger skal slettes efter 24 timer, medmindre oplysningerne senere er nødvendige for udøvelsen af lovpligtige funktioner.

Lovforslagets bemærkninger pkt. 4.2.3 nævner, at politiet vil kunne behandle de indhentede API-oplysninger i overensstemmelse med den foreslåede bestemmelse i politilovens § 2 a, stk. 1, altså tværgående informationsanalyse. IT-Politisk Forening antager, at der hermed menes databaseopslag til kontrolformål i eksempelvis Schengen Informationssystemet (SIS II) og lignende, og at der navnlig ikke skabes en hjemmel til en anden analysebaseret anvendelse af API-oplysningerne, som kan føre til at API-oplysningerne alligevel ikke slettes fra politiets systemer efter 24 timer.

Behandling af API-oplysninger til almindelig grænsekontrol, altså kontrol af om en udlændinge lovligt kan rejse ind i Danmark eller have ophold her (hvis det er kontrol ved en indre Schengen-grænse), vil ikke være behandling af personoplysninger til retshåndhævelse, jf. pkt. 2.1.3.5 i lovudkastet af 1. marts 2017 vedrørende retshåndhævende myndigheders behandling af personoplysninger. Når retshåndhævelsesdirektivet er gennemført i dansk ret (dvs. fra 1. maj 2017), bør behandlingen af API-oplysninger efter politilovens § 2 a, stk. 1 derfor begrænses til formål der udgør retshåndhævelse, og ikke behandling i forbindelse med kontrollen af om udlændingen har et lovligt indrejse- eller opholdsgrundlag.

Udover disse forslag til præciseringer har IT-Politisk Forening ingen bemærkninger til lovforslagets § 2 om politiets adgang til API-oplysninger via SKAT.

Selv om det formelt ikke vedrører nærværende lovforslag, vil IT-Politisk Forening dog for en god ordens skyld nævne, at vi i forbindelse med høringssvaret til lovforslag L 95 af 12. december 2014 om ændring af udlændingeloven fremførte, at artikel 21 i Schengen-grænsekodeksen kun tillader politimæssige foranstaltninger i grænseområdet, hvis de ikke har karakter af systematisk grænsekontrol som ved de ydre grænser, hvis de udføres som stikprøvekontrol, og hvis de bygger på generelle politioplysninger og -erfaringer med hensyn til eventuelle trusler mod den offentlige sikkerhed, og navnlig tager sigte på at bekæmpe grænseoverskridende kriminalitet. Hvis udlændingekontrollen ved de indre Schengen-grænser skal baseres på registrering og profilering af den enkelte rejsende ud fra modtagne API-oplysninger, kan der, efter vores vurdering, være en konflikt med kravet om, at grænsekontrollen skal bygge på generelle politioplysninger. Det gælder især hvis den databaserede analyse med API-oplysninger omfatter et stort antal flyankomster, og hvis analysen bruges til at udvælge de ankomster som skal udsættes for en fysisk kontrol (hvor Schengen-grænsekodeksen som bekendt begrænser det antal flyankomster, som lovligt kan kontrolleres).