Leser Staten meldingene dine? Dette svarte Digitaliserings- og forvaltningsdepartementet

Digitaliserings- og forvaltningsminister Karianne Tung.

Trond Bie· IT avisen

Det har de siste dagene rapportert av flere medier, blant annet Subjekt.no («Loven som lar staten lese meldingene dine, har allerede blitt snikinnført i Norge»), at Norge allerede har innført et EU-regelverk som åpner for skanning av private meldinger, bilder og videoer.

Har Norge innført meldingsskanning?

Digitaliserings- og forvaltningsminister Karianne Tung avviser overfor ITavisen at regelverket har trådt i kraft i Norge, så hva er det som skjer?

Jo, regjeringen har riktignok vedtatt en bestemmelse i ekomforskriften («Forskrift om elektroniske kommunikasjonsnett og elektroniske kommunikasjonstjenester») som er klargjort for å gjennomføre EU-reglene. Bestemmelsen er imidlertid ikke virksom, fordi den nødvendige EØS-prosessen ikke er ferdigstilt. Samtidig har selve EU-regelverket utløpt.

Det er derfor ikke riktig å si at norske myndigheter allerede har satt i gang generell skanning av nordmenns private kommunikasjon, men at dette kan endre seg.

Det er også slik at Chat Control 1.0 (dette må du vite om Chat Control) ble videreført, og at det er Chat Control 2.0 «alle frykter», da dette er EUs plattform som vil påby scanning av meldinger og bilder i apper, i motsetning til dagens ordning der appene kan velge om de vil scanne brukernes meldinger. Dette er en funksjon ingen i utgangspunktet ønsker, derfor er det heller ingen apper som markedsfører det.

Ekomforskriften paragraf 3-3: «Samtykke etter §§ 3-1 og 3-2 skal oppfylle kravene til samtykke i personvernforordningen. Ved innhenting av samtykke skal tilbyder informere bruker om hvilken type trafikk- eller lokaliseringsdata behandlingen gjelder, om behandlingens varighet, om formålet med behandlingen og om lokaliseringsdata er ment å kunne utleveres til tilbyder av tjenesten. Bruker skal ved hjelp av en enkel og vederlagsfri ordning til enhver tid kunne trekke samtykket tilbake.»

Den aktuelle bestemmelsen finnes i ekomforskriften § 3-7 og viser til EU-forordning 2021/1232, senere forlenget gjennom forordning 2024/1307 for de av dere som vil lese alle detaljene.

EØS-arbeidet er ikke ferdig enda

Bestemmelsen ble vedtatt som en del av den nye norske ekomforskriften og sier at EU-reglene skal gjelde som norsk forskrift når de nødvendige EØS-forutsetningene er oppfylt.

– Det er vedtatt en bestemmelse i ekomforskriften som skal gjennomføre EUs midlertidige forordning om bekjempelse av seksuelle overgrep mot barn på nett. Men bestemmelsen har ikke trådt i kraft fordi EØS-prosessen ikke har blitt ferdigstilt, opplyser Tung til ITavisen.

EFTA oppgir også at EØS-komiteens beslutning er vedtatt, men at ikrafttredelsen fortsatt avventer oppfyllelse av konstitusjonelle krav i ett eller flere av EØS/EFTA-landene.  

Kort forklart har Norge altså laget den juridiske plassen for regelverket, men ikke aktivert

EU-reglene har dessuten utløpt

Det kompliserer saken ytterligere at det midlertidige EU-regelverket utløp 3. april 2026.

EU-kommisjonen ønsket å forlenge ordningen, men Europaparlamentet og Rådet kom ikke til enighet før fristen. Europaparlamentet opplyser at reglene derfor falt bort 3. april. EU arbeider fremdeles med både en ny midlertidig løsning og et permanent regelverk.

Det betyr at Norge foreløpig ikke kan sette det opprinnelige regelverket i kraft slik det foreligger: – EU diskuterer nå en ny forlengelse. Regjeringen følger arbeidet i EU og vil ta stilling til eventuelle nye regler når de foreligger, sier Tung.

Hva åpnet regelverket for?

Forordning 2021/1232 var et midlertidig unntak fra EUs regler om konfidensiell elektronisk kommunikasjon.

Hensikten var å la enkelte leverandører av e-post-, chat- og meldingstjenester fortsette frivillig bruk av teknologi for å:

Oppdage kjente bilder og videoer som viser seksuelle overgrep mot barn

Oppdage mønstre som kan tyde på grooming av barn

Fjerne slikt materiale

Rapportere funn til politi eller relevante organisasjoner

Det var ikke staten som skulle sitte og lese samtaler, men regelverket ga private tjenesteleverandører som valgte å delta, adgang til å behandle innhold og tilhørende trafikkdata for dette bestemte formålet.

Regjeringens eget EØS-notat beskriver ordningen som et unntak som skulle la meldingstjenester videreføre frivillig skanning og bruk av anti-grooming-teknologi.  

Det er likevel reell innholdsskanning. Teknologien kunne undersøke tekst, bilder, videoer og enkelte kommunikasjonsdata for å lete etter bestemte treff eller mønstre. Lydsamtaler er unntatt fra regelverket.

Dette er de «strenge rammene»

Tung understreker at forordningen ikke åpnet for generell eller ubegrenset overvåking av all privat kommunikasjon.

De konkrete begrensningene følger hovedsakelig av artikkel 3 i forordning 2021/1232.

Behandlingen måtte være strengt nødvendig og utelukkende ha som formål å avdekke, fjerne og rapportere materiale om seksuelle overgrep mot barn eller mulig grooming.

Teknologien skulle være minst mulig inngripende og i tråd med det som ble ansett som beste tilgjengelige teknologi. Ved analyse av tekst skulle systemene ikke kunne utlede hele meningsinnholdet i samtalen, men bare oppdage mønstre som kunne gi konkret mistanke.

Ved søk etter grooming skulle mistanken bygge på objektive risikofaktorer, som mulig aldersforskjell og sannsynligheten for at et barn deltok i samtalen.

For å kunne bruke unntaket måtte tjenesteleverandørene:

·       Gjennomføre en personvernkonsekvensanalyse

·       Konsultere personvernmyndighetene på forhånd

·       Begrense antallet feilaktige treff

·       Ha menneskelig kontroll over systemene

·       Få et mulig nytt funn bekreftet av et menneske før rapportering

·       Informere brukerne om at skanning fant sted

·       Tilby klageordninger og mulighet for rettslig prøving

·       Rapportere om blant annet datamengder, feiltreff og klager

Data uten relevante funn skulle slettes umiddelbart. Opplysninger knyttet til en mistanke kunne bare lagres så lenge det var strengt nødvendig, og maksimalt i 12 måneder.

GDPR skulle fortsatt gjelde. Regjeringen oppsummerer også de norske vurderingene med at behandlingen måtte være forholdsmessig, begrenset til strengt nødvendige innholds- og trafikkdata og utføres med teknologien som griper minst mulig inn i privatlivet.  

Kryptering skulle ikke svekkes

Forordningen slo uttrykkelig fast at den ikke skulle tolkes som et forbud mot eller en svekkelse av ende-til-ende-kryptering.

Det står samtidig ikke hvordan en tjeneste med full ende-til-ende-kryptering i praksis skulle kunne gjennomføre innholdsskanning uten å analysere data før kryptering eller etter dekryptering. Dette blir derfor viktig å følge med på.

Den midlertidige forordningen påla imidlertid ikke alle tjenester å skanne, men gjorde frivillig skanning lovlig innenfor bestemte rammer.

– Stortinget behandlet lovgrunnlaget. Gjennomføringen skjedde via forskrift med hjemmel i lov som Stortinget hadde vedtatt, forsikrer Tung.

Stortinget stemte heller ikke separat over hele ordlyden i EU-forordningen da den senere ble plassert i forskriften. Stortinget vedtok i stedet lovhjemmelen som ga regjeringen myndighet til å gjennomføre detaljene gjennom forskrift.

Dette skal være en vanlig måte å gjennomføre detaljert EØS-regelverk på, men innebærer samtidig at den endelige forskriftsbestemmelsen ikke får den samme separate plenumsbehandlingen som en ny lov.

Regjeringen har ikke utført en særskilt vurdering med hjemmel i Grunnloven

ITavisen spurte også om regelverket er forenlig med Grunnloven § 102, som beskytter retten til privatliv og privat kommunikasjon.

Tung svarte oss at regjeringen ikke har gjennomført noen særskilt vurdering av forholdet til denne bestemmelsen:

– Det er ikke gjort en særskilt vurdering av forholdet til Grunnloven, men regelverket er utformet slik at det ivaretar grunnleggende rettigheter, blant annet gjennom strenge personvernmessige begrensninger, sier statsråden.

Departementet viste allerede i lovproposisjonen til at det måtte gjøres vurderinger av personvernkonsekvenser dersom regelverket senere skulle gjennomføres i forskrift.  

ITavisen forventer at Regjeringen godtar en forlengelse av det eksisterende regelverket

Regjeringen har heller ikke vurdert å bruke reservasjonsretten i EØS-avtalen, noe som kan leses på den måten at de i stor grad er enig i prinsippene om å utføre dette:

– Regjeringen har ikke vurdert å benytte reservasjonsretten, men følger arbeidet i EU og vil ta stilling til eventuelle nye regler når de foreligger, sier Tung.

Den opprinnelige forordningen var allerede vurdert som EØS-relevant og akseptabel av departementet, uten behov for en særskilt norsk tilpasningstekst. Derfor virker det for oss på mange måter for sent å klage over dette i politisk forstand: den kampen ser ut til å være tapt.

Dog må en eventuell ny EU-forlengelse eller permanent ordning vurderes på nytt før den kan få virkning i Norge. Basert på regjeringens svar til ITavisen er det imidlertid lite som tyder på at den vil motsette seg en ny midlertidig ordning dersom EU vedtar en.

Det som skjer videre, avhenger av om EU vedtar en ny midlertidig forlengelse eller blir enig om et permanent regelverk, og hvordan regjeringen og EØS-systemet deretter velger å behandle det, men som vi allerede har nevnt er det stor sannsynlighet for at Norge henger seg på videre bruk av «Chat Control 1.0», og at det således i første omgang ikke betyr store endringer før andre generasjon «Chat Control» i så fall blir bestemt som aktiv