Med lovudkastet foreslås anvendelsesområdet for § 13 i lov om elektroniske kommunikationsnet og –tjenester (teleloven) udvidet til at omfatte mobiltelefoners IMEI nummer. Politiet vil efter lovforslaget uden retskendelse kunne få udleveret oplysninger om de mobiltelefonnumre og abonnementsoplysninger (navn og adresse), som et givent IMEI-nummer (International Mobile Equipment Identity) har været tilknyttet, fordi SIM-kortet for disse abonnementer har været anvendt i mobiltelefonen med det pågældende IMEI nummer.

IT-Politisk Forening vil anbefale at dette lovforslag ikke fremsættes. For det første kan et IMEI-nummer ikke med nogen teknisk eller juridisk rimelighed opfattes som en abonnementsoplysning inden for rammerne af telelovens § 13. For det andet, og mere væsentligt, strider lovforslaget mod EU-retten, idet IMEI-nummeret er trafikdata i forhold til e-databeskyttelses­direktivet, og telelovens § 13 indeholder ingen materielle og processuelle betingelser, som regulerer politiets adgang til oplysninger hos mobiludbyderen.

Disse bemærkninger uddybes i det følgende.

IMEI-nummeret er ikke en abonnementsoplysning i forhold til telelovens § 13

Det fremgår af de specielle bemærkninger til telelovens § 13, at bestemmelsen alene omfatter oplysninger om adresser og numre, som udbyderen af elektroniske kommunikationsnet og -tjenester har tildelt slutbrugeren som led i en konkret tjeneste, og som således kan benyttes til at identificere den pågældende slutbruger. I forhold til telefonitjenester vil politiet med bestemmelsen kunne få oplyst abonnementsnavn og -adresse ud fra et telefonnummer og telefonnumre tilknyttet en bestemt person. Der er ikke krav om, at udbyderen registrerer flere oplysninger end hvad der følger af telelovens § 31, stk. 2 og 3 (afgivelse af ”118” nummeroplysningsdata). Det fremhæves endvidere i bemærkningerne, at der er tale om statiske oplysninger.

IMEI-nummeret er en unik ”identitet” for den mobiltelefon, som slutbrugeren vælger at benytte. Det er ikke en oplysning, som mobiludbyderen har tildelt slutbrugeren i en konkret tjeneste. Der er heller ikke tale om en statisk oplysning som de egentlige abonnementsoplysninger (mobilnummer, navn og adresse), idet slutbrugeren frit kan flytte sit SIM-kort til andre telefoner.

De personoplysninger, som politiet kan få udleveret ved forespørgsel på et IMEI-nummer, er i visse situationer mere omfattende og indgribende i retten til privatliv end hvis politiet beder om at få oplyst abonnementsnavn for et telefonnummer. Et telefonnummer er kun tilknyttet en enkelt abonnement, mens et IMEI-nummer vil være tilknyttet alle de abonnenter, som har brugt deres SIM-kort i den pågældende telefon.

Logningsbekendtgørelsens § 4, nr. 5 kræver, at mobiludbydere ved enhver kommunikation (opkald og SMS/MMS) registrerer både IMSI (International Mobile Subscriber Identity, dvs. oplysninger om abonnentens SIM-kort) og IMEI. Efter logningsbekendtgørelsen skal disse oplysninger gemmes i et år. Det kan endvidere ikke udelukkes, at koblingen mellem IMSI og IMEI kan blive gemt i længere tid end et år, hvis en udbyder vurderer at oplysningerne er nødvendige for debitering (jf. § 23, stk. 2 i udbudsbekendtgørelsen).

Telelovens § 13 kræver ikke at politiets forespørgsel er begrænset til en kort tidsperiode, og efter de specielle bemærkninger til ændringslovforslaget er der ikke nogen grænser for hvor mange personer, der kan udleveres abonnementsoplysninger om. En udlevering efter § 13 kan i princippet omfatte en række personer, der har indgået i et socialt fællesskab, hvor de på en eller anden måde har delt mobiltelefoner med hinanden. Det er langt mere indgribende i retten til privatliv og databeskyttelse end udlevering af abonnementsoplysninger om en enkelt person, som er det normale anvendelsesområde for §13.

Det gælder uanset, at der formelt ikke er tale om et indgreb i meddelelseshemmeligheden efter retsplejelovens kapitel 71, fordi forbindelsen mellem de pågældende personer (deres ”sociale graf”) ikke er direkte knyttet til en elektronisk kommunikation (som opkaldsoplysninger for en telefonsamtale eller SMS/MMS besked).

For at opsummere første del af høringssvaret kan IMEI-nummeret efter IT-Politisk Forenings opfattelse ikke med nogen rimelighed opfattes som en abonnementsoplysning inden for rammerne af telelovens § 13, fordi der ikke er tale om en statisk oplysning som udbyderen har tildelt slutbrugeren (abonnementsoplysning), og fordi udleveringen af oplysninger tilknyttet et IMEI-nummer kan afsløre private relationer mellem flere personer.

Forhold til EU-retten

I henhold til e-databeskyttelsesdirektivet 2002/58/EF er IMEI-nummeret trafikdata, jf. mere specifikt dette direktivs betragtning nr. 15 samt præmis 40-42 i EU-Domstolens dom i sag C-207/16 Ministerio Fiscal (”data, som behandles med henblik på overføring af kommunikation i et elektronisk kommunikationsnet eller debitering heraf”).

Det betyder, at udlevering af oplysninger til politiet via behandling af IMEI-nummer skal opfylde kravene i e-databeskyttelsesdirektivets artikel 15, stk. 1, idet EU-Domstolen har fastslået, at artikel 15, stk. 1 finder anvendelse på alle retsforskrifter, som giver politiet adgang til trafikdata (jf. præmis 35 i C-207/16 og den deri nævnte retspraksis).

I parentes skal det i øvrigt bemærkes, at anledningen til den præjudicielle forelæggelse i C-207/16 var en sag, hvor den spanske anklagemyndighed med en kendelse fra en forundersøgelsesdomstol ønskede adgang til abonnementsoplysninger om brugerne af de SIM-kort, som inden for en kort periode (12 dage) havde været anvendt i en bestemt stjålet telefon (identificeret ud fra dens IMEI-nummer). Altså en adgang som svarer til den foreslåede ændring af telelovens § 13, bortset fra begrænsningen på tidsperioden (12 dage) i den spanske sag, som ikke indgår som en del af telelovens § 13.

Lovgivning om kompetente myndigheders adgang til lagrede trafikdata (herunder IMEI-numre) skal opfylde et af målene i artikel 15, stk. 1. Derudover skal lovgivningen opstille materielle og processuelle betingelser for kompetente myndigheders adgang som begrænser adgangen til det strengt nødvendige, jf. præmis 118 i Tele2-sagen (forenede sager C-203/15 og C-698/15).

For at sikre fuld iagttagelse af disse betingelser skal kompetente myndigheders adgang til de lagrede data være undergivet en forudgående kontrol af en domstol (eller en uafhængig administrativ myndighed), undtagen i behørigt begrundede hastende tilfælde (præmis 120 i Tele2-sagen).

De berørte personer skal have underretning om kompetente myndigheders adgang, så snart underretningen ikke kan skade disse myndigheders efterforskning. Denne underretning er ifølge EU-Domstolen ”de facto nødvendig for at gøre det muligt for disse personer navnlig at udøve den adgang til retsmidler, som udtrykkeligt er fastsat i artikel 15, stk. 2, i direktiv 2002/58” (præmis 121 i Tele2-dommen).

Ifølge præmis 51 i C-207/16 vil adgang til lagrede IMEI-oplysninger udgøre et indgreb i den grundlæggende ret til privatliv og databeskyttelse, jf. artikel 7 og 8 i Charter om Grundlæggende Rettigheder, foruden de rettigheder som e-databeskyttelsesdirektivet sikrer. Det gælder uanset at adgang til oplysninger om SIM-kort, der har været anvendt sammen med IMEI-nummeret inden for en kort periode, ifølge præmis 59-61 i C-207/16 ikke vil kunne karakteriseres som et alvorligt indgreb.

Når indgrebet ikke er alvorligt, stiller EU-retten ikke krav om, at adgang til lagrede data skal være begrænset til sager om bekæmpelse af grov kriminalitet (jf. præmis 53-57 i C-207/16). De øvrige betingelser for adgang til lagrede data, som opstilles i Tele2-dommen som fortolkning af e-databeskyttelsesdirektivets artikel 15, stk. 1 i lyset af Charteret, herunder krav om forudgående domstolskontrol og underretning af de berørte personer, gælder imidlertid også for indgreb som ikke kan karakteriseres som alvorlige.

Præmis 51 i C-207/16 henviser endvidere til EU-Domstolens udtalelse 1/15 om EU-Canada PNR-aftalen, hvor der ved kompetente myndigheders adgang til lagrede data som udgør et indgreb i grundlæggende rettigheder mere generelt stilles krav om materielle og processuelle betingelser, samt forudgående kontrol heraf ved en domstol eller en uafhængig administrativ myndighed.

Af punkt 63-65 i generaladvokatens forslag til afgørelse i EU-sagen C-746/18 Prokuratuur (fremsat 21. januar 2020) fremgår det ligeledes meget klart, at forudgående kontrol ved en domstol eller en uafhængig administrativ myndighed (bortset fra behørigt begrundede hastende tilfælde) og efterfølgende underretning af de berørte personer (så snart det ikke kan skade efterforskningen) er to betingelser som altid skal være opfyldt, når kompetente myndigheder får adgang til lagrede oplysninger omfattet af e-databeskyttelsesdirektivet.

Telelovens § 13 lever ikke op til disse krav i EU-retten, idet politiet får en generel adgang til ”oplysninger, der identificerer en slutbrugers adgang til elektroniske kommunikationsnet og -tjenester”, endda uden at betingelserne for edition skal være opfyldt. Politiet kan potentielt benytte denne adgang til formål, der falder uden for e-databeskyttelsesdirektivets artikel 15, stk. 1. Der er under alle omstændigheder ingen materielle og processuelle betingelser støttet på objektive kriterier som sikrer, at adgangen begrænses til det strengt nødvendige. Der er desuden hverken uafhængig domstolskontrol eller efterfølgende underretning af de berørte personer, som e-databeskyttelsesdirektivet artikel 15, stk. 1 eksplicit kræver efter EU-Domstolens retspraksis.

Af ovennævnte grunde kan telelovens § 13 på grund af EU-retten ikke udstrækkes til at omfatte behandling af oplysninger der udgør trafikdata, herunder IMEI-nummeret.