I folketingssamlingen 2011/12 fremsatte Justitsministeriet et lovforlag (L 53) om at udskyde revisionsbestemmelsen med to år. Der var ikke flertal for dette lovforslag, og det var vores klare indtryk ud fra betænkningen til L 53, at Folketinget ønskede at overveje spørgsmålet om revision af logningsbestemmelserne i den kommende folketings­samling, altså 2012/13. Vi er derfor noget overrasket over at Justitsministeriet med dette lovforslag igen foreslår en to-årig udskydelse af revisionsbestemmelsen.

Ifølge betænkningen til L 53, og besvarelse af spørgsmål 14 til L 53, forventede Justitsministeren i februar 2012, at EU Kommissionen i løbet af sommeren 2012 ville fremlægge et forslag til revision af logningsdirektivet (2006/24/EF). Det skete imidlertid ikke, og i bemærkningerne til det nye lovforslag skriver Justitsministeriet, at det nu forventes at EU Kommissionen fremlægger dette forslag i 2013, eventuelt 2014. På den baggrund foreslår Justitsministeriet en ny to-årig udsættelse af den danske revisionsbestemmelse.

IT-Politisk Forening mener, at den danske befolkning har ventet længe nok på EU Kommissionen, og at Folketinget bør starte en selvstændig revision af de danske lognings­bestemmelser nu. Det virker som om at arbejdet med at revidere logningsdirektivet i EU regi er gået mere eller mindre i stå.

Implementering af logningsdirektivet i national lov er stødt på betydelige vanskeligheder i flere EU lande. Irland og Østrig har igangværende sager ved EU domstolen om hvorvidt borgernes fundamentale rettigheder krænkes af direktivet (retten til privatliv efter EMRK artikel 8). I Tyskland, Tjekkiet, Rumænien, Bulgarien, Cypern og Litauen har lokale forfatningsdomstole helt eller delvist underkendt den nationale lov som implementerede logningsdirektivet. Denne udvikling er næppe fremmende for at skabe en enighed på EU niveau om revision af direktivet.

Derudover har Danmark på flere punkter valgt at gå videre med logning end direktivets krav. Det gælder for eksempel sessionslogning af internettrafik (registrering af trafikdata for hver 500. internetpakke, eller første og sidste pakke i en session), som er særligt indgribende i privatlivets fred, jf. vores bemærkninger nedenfor. Folketinget kan uden videre ophæve disse dele af logningsbekendtgørelsen uden at komme i konflikt med EU direktivet.

Det fremgår endvidere af betænkningen til L 53, at et flertal i Folketinget ønsker en selvstændig dansk evaluering og revision i 2012/13, med særlig fokus på sessionslogningen.

Logningsbestemmelserne vs fundamentale rettigheder

Logningsbekendtgørelsen og logningsdirektivet er en begrænsning af borgernes ret til privatliv, som er sikret af EMRK artikel 8. Denne ret er naturligvis ikke absolut, men staten har bevisbyrden for at begrænsningen er "nødvendig i et demokratisk samfund" og at den fornødne proportionalitet er til stede. Det er ikke tilstrækkeligt at de indsamlede oplysninger efter logningsbekendtgørelsen er "nyttige" for politiet.

I december 2012 kom den østrigske lov om implementering af logningsdirektivet for forfatnings­domstolen. Dommerne ved forfatningsdomstolen i Østrig mente, at der var betydelig risiko for at logningsdirektivet var i strid med EU's charter om fundamentale rettigheder. På den baggrund blev EU domstolen anmodet om en præliminær afgørelse [1]. Irland har i forvejen en tilsvarende sag verserende ved EU domstolen.

Dertil kommer, at lokale forfatningsdomstole i flere EU lande (jf. ovenfor) har underkendt love som implementerer logningsdirektivet, blandt andet med henvisning til at det vil krænke borgernes fundamentale rettigheder.

Den danske logningsbekendtgørelse er noget mere vidtgående end den østrigske lov fordi Danmark, som det eneste EU land, kræver sessionslogning af internettrafik.

EU kommissions evalueringsrapport af 18. april 2011

I afsnit 4 bemærkes det, at EU Kommissionen i april 2011 har offentliggjort en evalueringsrapport om logningsdirektivet. Det anføres, at evalueringen viser, at logning er et nyttigt værktøj for retshåndhævelsen i EU.

IT-Politisk Forening mener ikke, at evalueringen af rapporten viser, at logningen faktisk har givet en bedre retshåndhævelse. Grundlaget er meget tyndt. Otte medlemslande har slet ikke bidraget med statistik om anvendelsen af logningen. Bidragene fra de øvrige lande er ikke overbevisende.

Evalueringsrapporten indeholder nogle simple sammentællinger af brugen af indsamlede data. Men den indholder ingen kvantitative mål for effekten for retshåndhævelsen. Der er ingen opgørelse over hvor mange forbrydelser, der blev opklaret som resultat af logningen, dvs. forbrydelser som faktisk blev opklaret og som ikke ville være blevet opklaret uden logningen.

EDRi's skyggerapport om evaluering af logningsdirektivet citerer en tysk undersøgelse (bestilt af den tyske regering), hvor det konkluderes at datalogning ville have gjort en forskel i 0,002% af alle kriminalsager [2]. IT-Politisk Forening er medlem af EDRi.

Rapporten overvejer ikke negative effekter af logningen. IT-Politisk Forening frygter, at massiv overvågning af danskere og EU-borgere kan skabe mistillid til politiet og myndighederne, hvilket kan gøre det sværere at opklare forbrydelser. Forbrydelser bliver i stort omfang opklaret ved hjælp af vidner, der frivilligt giver sig til kende og kontakt med folk tæt på kriminelle miljøer.

Konkrete eksempler på brugen af danske logningsdata

I forbindelse med behandlingen af L 53 i 2011/12 samlingen fremlagde Justitsministeriet et notat med 10 eksempler på brugen af data indsamlet efter logningsbekendtgørelsen (Bilag 8 til L 53). Dette notat er oprindeligt udarbejdet til EU Kommissionen.

For det første skal vi bemærke, at kun et enkelt eksempel vedrører internetdata. Det er primært telefonidata og især masteoplysninger for mobiltelefoni som virker interessante for politiet. For det andet vedrører alle 10 eksempler almindelig kriminalitet, og ikke terror, selvom terror i høj grad blev brugt som begrundelse for at vedtage logningsdirektivet og udformningen af logningsbekendtgørelsen i Danmark.

Kun et af de 10 eksempler bruger internetoplysninger, og her er der tale om forholdsvis banal kriminalitet som svindel med kreditkort (databedrageri), der alene påfører banker begrænsede økonomiske tab. Typen af kriminalitet som opklares med hjælp fra logningsdata må være et væsentligt aspekt i vurderingen af om logningen er nødvendig og proportional, jf. bemærkningerne ovenfor om borgernes fundamentale rettigheder.

Den danske overimplementering af logningsdirektivet

I afsnit 3.3.2 til bemærkningerne til lovforslaget redegør Justitsministeriet for at Danmark på flere punkter har overimplementeret logningsdirektivet. For så vidt angår internetkommunikation gælder det sessionslogningen og logning af trafikdata fra trådløse wifi hotspots. For så vidt angår mobiltelefoni kræver logningsbekendtgørelsen registrering af ikke bare den første mast (som krævet af direktivet) men også den sidste mast. Justitsministeriet vil uddybe disse punkter i en kommende redegørelse. IT-Politisk Forening vil sende kommentar til Retsudvalget når denne redegørelse foreligger.

Sessionslogningen er særligt indgribende i forhold til privatlivets fred. Det skyldes dels det meget store antal registreringer per borger per dag, dels karakteren af de oplysninger som registreres. Der er ikke direkte tale om en indholdsregistrering eller URL registrering (links til websider), men registrering af IP adresser for webtrafik hos borgeren fortæller alligevel meget om forhold som borgerne med rette kan anse for at være rent private forhold. Registrerede IP adresser vil eksempelvis fortælle om borgeren læser netnyheder hos Information eller Jyllands-Posten, og hvilke politiske partier som borgeren interesserer sig for [3].

De nuværende krav om logning på offentlige trådløse wifi hotspots må betragtes som værende decideret formålsløse (for politiet), men kravene påfører ejere af offentlige hotspots betydelige udgifter. Der bliver ikke registreret oplysninger som vil kunne føres tilbage til personer.

Efter logningsbekendtgørelsen skal der kun registreres oplysninger om brugeren som i forvejes registreres af anden grund, og på et offentligt hotspot er det generelt ingen oplysninger. Det betyder at brugeridentiteten på et offentligt hotspot vil være MAC adressen på computerens trådløse netkort. MAC adressen kan i praksis ikke henføres til en person, og det er meget nemt at ændre (spoofe) MAC adressen.

Denne væsentlige begrænsning i logningen på offentlige hotspots bliver i øvrigt indirekte anerkendt på side 5 i Justitsministeriet notat af 17. juni 2011 (dokument: JJA40456, tillige offentliggjort i svaret på L 53 spørgsmål 2) om arbejdsgruppens overvejelser vedrørende udvidelse af logningsforpligtelserne med blandt andet bruger­registrering på offentlige hotspots.

Bruges sessionslogningen overhovedet af politiet?

Ingen af de 10 eksempler fra notatet i bilag 8 til L 53 bruger data fra sessionslogningen. Kun et af de 10 eksempler vedrører internetdata, men her har politiet alene brugt oplysningen om hvem der har fået tildelt en IP adresse på et givent tidspunkt.

I besvarelse af spørgsmål 31 til L 53 skriver Justitsministeren at sessionslogning ikke indgår i de 10 eksempler fordi der er tale om et notat udarbejdet til EU Kommissionen, og Justitsministeriet har derfor alene givet eksempler på data som er omfattet af logningsdirektivet.

Det må imidlertid betyde at Justitsministeriet ikke har undersøgt om data fra sessionslogningen bliver brugt af politiet, og i hvert fald ikke på samme systematiske måde som de 10 eksempler i notatet til EU Kommissionen. IT-Politisk Forening skal derfor opfordre til at Justitsministeriet undersøger dette spørgsmål, og hvis muligt fremlægger anonymiserede eksempler på brugen af data fra sessionslogningen (i stil med det notat som er sendt til EU Kommissionen).

Det nævnes i besvarelsen af spørgsmål 43 at sessionsdata kan være nyttige for politiet hvis kriminelle benytter sig af cloud løsninger. Det er naturligvis muligt, men brugen af cloud tjenester vil typisk efterlade spor på den computer hvorfra cloud løsningen benyttes, og derfor er eventuelle data fra sessionslogningen unødvendige. Besvarelsen af spørgsmål 43 nævner også krypterede data og krypteret kommunikation. Begge dele kan givetvis besværliggøre en politimæssig efterforskning, men vi har meget svært ved at se hvilken forskel sessionslogning skulle gøre her.

Videre nævnes det at "... Rigspolitiet har samtidig oplyst, at anvendelse af sådanne data [sessionslogning] kan bidrage til at sikre et så detaljeret billede af målpersonens kommunikation som muligt og således kan medvirke til, at der kan etableres en kommunikationsprofil på personen." For det første er denne brug af sessionslogningen på et meget generelt og abstrakt plan. For det andet er det, som Rigspolitiet omtaler, reelt en profilering af hver eneste dansker som bringer tankerne hen på DDR-tidens masseovervågning. IT-Politisk Forening finder det helt uacceptabelt at staten har teknisk mulighed for at opbygge sådanne kommunikationsprofiler på hver eneste borger. Men det er netop hvad logningsbekendtgørelsen, og i særdeleshed sessionslogningen, giver mulighed for.

Som nævnt ovenfor er det ikke tilstrækkeligt at de indsamlede oplysninger er nyttige for politiet. Eftersom der er tale om en begrænsning af borgernes fundamentale rettigheder, er der krav om "nødvendighed i et demokratisk samfund" og at den fornødne proportionalitet er til stede. Sessionslogningen er særligt indgribende i borgernes privatliv, idet der eksempelvis kan ske en indirekte registrering af borgernes politiske præferencer, ligesom sessionslogningen muliggør en omfattende profilering af borgerne.

Fremtidig brug af sessionslogningen

På længere sigt forventer IT-Politisk Forening at sessionslogningen kan blive brugt til "data mining" efterforskning, hvor politiet eksempelvis systematisk undersøger hvilke borgere eller IP adresser der har besøgt en bestemt hjemmeside (der er vedholdende rygter om at NSA i USA laver den slags "data mining"). Vi kan ikke vurdere om det vil kræve en lovændring, men datamaterialet er allerede indsamlet efter sessionslogningen. Som analogi kan nævnes masteoplysningerne for mobiltelefoni, hvor politiet efter Retsplejelovens § 780, stk. 1, nr. 4 (udvidet teleoplysning) har mulighed for at få udleveret en liste med alle de borgere som har befundet sig i et bestemt område på et givent tidspunkt, uagtet at der ikke er nogen konkret mistanke mod disse borgere. De har blot befundet sig på det "forkerte" sted på det forkerte tidspunkt.

Erfaringerne viser generelt at indsamlede oplysninger om borgerne løbende vil blive brugt til flere og flere formål, herunder formål som ikke blev diskuteret da man oprindeligt besluttede at indsamle oplysningerne. Denne glidebane har stærkt negative konsekvenser for borgernes ret til privatliv.

Justitsministeriets ønsker om udvidelse af logningsbekendtgørelsen

I følge bemærkningerne afsnit 3.3.3 arbejder Justitsministeriet stadig med overvejelser om at udvide omfanget af den danske internet og telelogning, hvilket i givet fald vil føre en yderligere dansk overimplementering af logningsdirektivet.

På teleområdet er det personregistrering af købere af forudbetalte taletidskort (hvilket EU Kommissionen fandt unødvendigt i deres evaluering af logningsdirektivet i 2011), og på internetområdet har Justitsministeriet fokus på brugerregistrering ved offentligt wifi hotspots, samt i øvrigt alle de andre "huller" (undtagelser) i den nuværende logningsbekendtgørelse.

Indtil videre har dette arbejde fokuseret på de tekniske aspekter i en lukket diskussion med bl.a. internetudbydere og Horesta (hvis medlemmer driver en del af de pågældende hotspots). Vi er ikke i tvivl om at der er teknisk mulighed for at lave mere vidtgående internetovervågning i Danmark. Det interessante spørgsmål er om det er ønskeligt for samfundet at gøre det.

Hvis Justitsministeriet fortsat vil arbejde med planer for mere internetlogning, er der behov for at inddrage flere interessenter i dette arbejde, herunder civilsamfundet og organisationer som IT-Politisk Forening. De tekniske aspekter bør være afklaret på nuværende tidspunkt, idet der er gået 18 måneder siden Justitsministeriet i juni 2011 fremlagde en foreløbig, men særdeles grundig og gennemarbejdet, rapport om udvidelse af tele- og internetlogningen.

Hvis Folketinget går i gang med en evaluering og revision af logningsbekendtgørelsen, kan Justitsministeriet passende fremlægge disse forslag for Folketinget, hvis Justitsministeriet altså mener at der virkelig er behov for mere tele/internet logning i Danmark.

IT-Politisk Forening har i oktober 2011 sendt en henvendelse til Folketingets retsudvalg med kommentarer til notatet fra arbejdsgruppen om brugerregistrering på offentlige hotspots og den øvrige udvidelse af internetlogningen som arbejdsgruppen foreslår (vores notat kan findes som Retsudvalget 2011/12, Almindelig del, bilag 19).

IT-Politisk Forenings anbefaling til Folketinget

IT-Politisk Forening har forståelse for at en fuldstændig dansk revision af logningsbekendtgørelsen skal koordineres med EU og en eventuel revision af logningsdirektivet. Mens vi venter på EU Kommissionen kan EU Domstolen afsige en kendelse om at direktivet strider mod borgernes fundamentale rettigheder.

Hvad enten dette sker eller ej, anser vi det for helt utænkeligt at EU landene bliver enige om en udvidelse af logningsdirektivet, således at flere oplysninger skal logges, eksempelvis at sessionslogning bliver et krav i et revideret logningsdirektiv. På den baggrund vurderer vi, at Folketinget uden videre kan ophæve de elementer af logningsbekendtgørelsen som går videre end direktivets krav. Der vil ikke være nogen reel risiko for at Danmark bliver tvunget til at genindføre disse logningselementer om et par år på grund af et revideret logningsdirektiv.

Vi vil derfor kraftigt anbefale Folketingets partier at reducere omfanget af den danske logning til direktivets krav. Da sessionslogningen har stærkt negative konsekvenser for privatlivets fred, vil dette i sig selv give et mærkbart bidrag til forbedring af borgernes fundamentale rettigheder. Samtidig er sessionslogningen formentlig det dyreste element i logningen, fordi teleselskaberne registrerer et stort antal oplysninger som de ikke ville have registreret på nogen måde under normale omstændigheder, for eksempel til faktureringsformål.

Referencer og noter

[1] Constitutional Court has reservations against data retention and turns to the CJEU, pressemeddelelse fra forfatningsdomstolen i Østrig, 18. december 2012
http://www.vfgh.gv.at/cms/vfgh-site/attachments/2/7/9/CH0003/CMS1355817745350/press_release_data_retention.pdf

[2] Shadow evaluation report on the Data Retention Directive (2006/24/EC), European Digital Rights, 17. april 2011
http://www.edri.org/files/shadow_drd_report_110417.pdf

[3] Af de 8 partier som er repræsenteret i Folketinget, har 7 partier deres hjemmeside på egen server med fast IP adresse. Her vil der i praksis være en 1:1 sammenhæng mellem IP adressen og domænenavnet, som let kan registreres via reverse DNS opslag. Kun et parti har hjemmesiden på et webhotel med "shared hosting", altså mange forskellige hjemmesider på samme IP adresse.