Innledning

I 2020 vedtok Stortinget ny lov om Etterretningstjenesten (e-loven).^{(1)Lov 19. juni 2020 nr. 77 om Etterretningstjenesten (etterretningstjenesteloven). Loven ble endelig vedtatt, med noen endringer, i 2023.} Loven gir adgang for Etterretningstjenesten («E-tjenesten») til såkalt tilrettelagt innhenting av grenseoverskridende elektronisk kommunikasjon (heretter i denne artikkelen bare kalt «TI»), på folkemunne bedre kjent som «digitalt grenseforsvar» eller «digital masseovervåkning».

TI er en moderne metode for innhenting av etterretningsinformasjon, som på nærmere vilkår gir E-tjenesten tilgang til «masselagring (såkalt bulklagring) av metadata om elektronisk kommunikasjon som passerer den norske landegrensen».^{(2)Prop. 92 L (2022–2023) s. 22.} Det innebærer at E-tjensten kan bruke TI til å få innsyn i store mengder kommunikasjonsdata mellom norske og utenlandske borgere. På nærmere vilkår kan E-tjenesten ta i bruk bulklagrede data til målsøking, målrettet innhenting av innholdsdata og videre analyse og behandling av data for etterretningsformål.^{(3)Prop. 80 L (2019-2020) s. 92.} Formålet med TI er å modernisere E-tjenestens metoder for utenlandsetterretning, i lys av nasjonale sikkerhetsinteresser i dagens digitale trusselbilde, jf. e-loven § 1-1.

Selv om formålet om utenlandsetterretning er legitimt, kan TI innebære alvorlige inngrep i personvern, kommunikasjonsvern og pressens ytringsfrihet (kildevern). Årsaken er at verktøyet innhenter og lagrer store mengder norsk innenlands elektronisk kommunikasjon. Den Europeiske menneskerettighetsdomstol (EMD), som har vurdert lignende systemer i flere naboland, har treffende beskrevet bulklagring for sikkerhetsformål som et dilemma hvor «a system of secret surveillance for the protection of national security may undermine or even destroy democracy under the cloak of defending it.»^{(4)Big Brother Watch m.fl. mot Storbritannia [GC] avsnitt 339.}

Selv om formålet om utenlandsetterretning er legitimt, kan TI innebære alvorlige inngrep i personvern, kommunikasjonsvern og pressens ytringsfrihet (kildevern).

Som følge av konsekvensene av TI har lovendringen vekket reaksjoner fra flere hold. Stiftelsen Tinius og Varden-redaktør Tom Erik Thorsen, anla i mars 2024 søksmål mot staten med påstand om at staten er uberettiget til å innhente, lagre og behandle elektronisk kommunikasjon og begrunnet dette med at lovreglene var i strid med grunnleggende rettigheter etter Grunnloven, EMK og EØS-retten. Store deler av mediebransjen har engasjert seg som partshjelpere. Saken ble behandlet i desember 2024, og Oslo Tingrett avsa dom i mars 2025. Stiftelsen fikk ikke medhold, og har nylig anket avgjørelsen til lagmannsretten.

Artikkelen tar først for seg tilretteleggingspliktens innhold, hvem som er pliktsubjekter etter lovverket og konsekvenser for aktørene som rammes. Deretter gis en overordnet oversikt over konsekvensene for enkeltindividers personvern, kommunikasjonsvern og ytringsfrihet (kildevern). Avslutningsvis kommenteres Oslo Tingretts avgjørelse i søksmålet mot staten.

Hvilke konsekvenser har TI for aktører som pålegges tilretteleggingsplikt?

Innhenting av kommunikasjonsdata gjennom TI skjer ved at ekomtilbydere pålegges en plikt til å speile og tilgjengeliggjøre utvalgte kommunikasjonsstrømmer for E-tjenesten, jf. e-loven § 7-2. Innhenting og lagring av kommunikasjonsdataene er en form for midtpunktinnhenting, det vil si innhenting av kommunikasjon i transitt mellom to endepunkter.^{(5)Prop. 80 L (2019–2020) s. 103.} TI skiller seg fra annen midtpunktinnhenting ved at datainnhentingen er avhengig av tilrettelegging fra ekomtilbydere som E-tjenesten utpeker. Det betyr at gjennom e-lovens nye tilretteleggingsplikt kan E-tjenesten pålegge ekomtilbydere å tilrettelegge for at utvalgte kommunikasjonsstrømmer som ekomtilbyrder kontrollerer skal tilgjengeliggjøres for E-tjenestens speiling. Tilretteleggingsplikten kan i tillegg innebære å gjøre data tilgjengelig for utvalg, filtrering, testing, innhenting, lagring og søk, jf. § 7-2. Tilrettelegging kan blant annet skje på de ulike måtene § 7-2 angir, for eksempel ved å gi informasjon om dataene, tillate at E-tjenesten installerer teknisk utstyr for speilingen, bidra til teknisk drift og vedlikehold av TI og sikre at dataene ikke er underlagt kryptering som tilbyder kontrollerer. For eksempel kan E-tjenesten pålegge Telenor å tilgjengeliggjøre kabler til utlandet ved å tillate at E-tjenesten installerer utstyr for speiling av transporterte kommunikasjonssignaler i sanntid. Listen i § 7-2 over medvirkningsplikter er ikke uttømmende, jf. ordlyden «blant annet». Rekkevidden av tilretteleggingsplikten er dermed vidt angitt og gir potensielt E-tjenesten en inngripende adgang til store mengder data hos tilretteleggeren og en tilsvarende nokså ubegrenset plikt for tilretteleggere til å bistå i E-tjenestens datainnhenting.

Pliktsubjekter etter regelen om tilrettelegging er tilbydere som omfattes av ekomloven § 1-5 og tilbydere av internettbaserte kommunikasjons- eller meldingstjenester som er tilgjengelige for allmennheten.^{(6)E-loven § 7-2, se nærmere i Prop. 80 L (2019–2020) s. 214} Det betyr at tilretteleggingsplikt kan pålegges tradisjonelle ekomtilbydere og tilbydere av kommunikasjonstjenester så vel som tilbydere av internettbaserte over the top-tjenester (OTT) for kommunikasjon. Det vil si alt fra leverandører av telefoni og nett til sosiale medier og meldingsapplikasjoner. Typiske eksempler på tilbydere er Telenor, Snapchat og Messenger (Meta/Facebook). Også andre virksomheter som tilbyr digitale kommunikasjonstjenester er omfattet, og regelen skiller ikke mellom enveis- og toveiskommunikasjon. Det betyr at ordlyden ikke hindrer E-tjenesten fra å be om tilrettelegging fra andre aktører som via relevante nett leverer plattformer for digitale ytringer, for eksempel digitale fora eller nettaviser med digitale kommentarfelt. Slik regelen er utformet, er det grunn til å tro at tilretteleggingsplikten vil kunne ramme bredt.

Tilretteleggingsplikt utløses gjennom pålegg fra E-tjenesten i tråd med prosedyrene gitt i § 7-3. For det første kan tilretteleggingsplikt bare brukes når det er nødvendig for å etablere et informasjonsgrunnlag for etterretningsformål. For det andre skal pålegg om tilrettelegging gis av sjefen for E-tjenesten, men bare etter tillatelse fra retten. Det betyr i praksis at E-tjenesten må innhente forhåndstillatelse fra retten for å pålegge tilretteleggingsplikt etter § 7-2. Kravet om rettens tillatelse innebærer at tilretteleggingsplikt i ethvert tilfelle er underlagt forutgående domstolskontroll av om lovens vilkår for datainngrep er oppfylt. Det betyr at retten skal foreta en konkret vurdering av enhver forespørsel fra E-tjenesten om å innhente data fra en tilrettelegger, være seg bulklagring av metadata, målsøking i rådata, målrettet innhenting av innholdsdata, eller bruk av data til nærmere analyse. Denne domstolskontrollen utgjør en viktig rettssikkerhetsgaranti for ekomtilbydere og andre aktører som rammes av plikten.

Brudd på pålegg om tilrettelegging etter § 7-3 kan medføre straff etter § 11-8, for eksempel i form av foretaksstraff etter straffeloven §§ 27 og 28. Ekomtilbyder kan ikke inngi innsigelse ved avgjørelser om tilretteleggingsplikt, da beslutning om tilrettelegging avgjøres bak lukkede dører for retten (§ 8-3) og uten at den som avgjørelsen berører får mulighet til å uttale seg (§ 8-1). Dersom ekomtilbyder ønsker å angripe pålegg om tilrettelegging, er alternativet å benytte seg av klageadgangen etter § 11-7. Klage behandles av EOS-utvalget, som er E-tjenestens uavhengige kontrollorgan. Klageadgangen etter § 11-7 gjelder for «enhver». I praksis er det imidlertid vanskelig å se for seg at andre enn aktører som er direkte addressat for vedtak om tilrettelegging har reell mulighet til å benytte seg av klageadgangen. Faktiske eiere av kommunikasjonsdata som innhentes gjennom tilrettelegging, herunder brukere av kommunikasjonstjenestene (deg og meg), informeres ikke om at våre kommunikasjonsdata havner i E-tjenestens besittelse.

Hvilke konsekvenser har tilretteleggingsplikt for personvern, kommunikasjonsvern og pressens ytringsfrihet (kildevern)?

Formålet med E-tjenestens datainnsamling er utenlandsetterretning, og E-tjenesten skal som hovedregel ikke innhente data om norske borgere, jf. e-loven § 4-1. Ved bulkinnhenting gjennom TI, skal E-tjenesten søke å hindre å lagre data om kommunikasjon mellom personer i Norge, jf. § 7-6. All innhenting, lagring og videre behandling av data må dessuten oppfylle grunnvilkår i lovens kapittel 5, deriblant krav om forholdsmessighet, jf. § 5-4. Pålegg om tilrettelegging, målrettet innhenting, målsøking og analyse/behandling av data skal i alle tilfeller, som nevnt, forhåndsgodkjennes av en domstol, jf. § 8-1.

Et problem med TI, og bakgrunnen for søksmålet mot staten, er at det norske elektroniske kommunikasjonsnettet i stor grad er tilknyttet servere/databaser i utlandet. De fleste kommunikasjonskanaler nordmenn bruker i det daglige, passerer dermed landegrensen som følge av infrastrukturens oppbygning. Selv om E-tjenestens datainnsamling er underlagt lovens begrensninger og kontrollmekanismer, er det alminnelig anerkjent at det ikke er mulig med dagens teknologi å hindre lagring av store mengder innenlands kommunikasjon.^{(7)Dette ble også lagt til grunn av Oslo Tingrett i 24-038001TVI-TOSL/04 på s. 7.}

I tillegg til at ekomtilbydere har tilretteleggingsplikt, vil TI gjennom speiling og tilrettelegging av kommunikasjonsdata innebære omfattende innsamling av dataene til mennesker som kommuniserer med hverandre i det daglige, som medfører inngrep i berørte individers kommunikasjon.

Bulkinnhenting og -lagring av kommunikasjonsdata utgjør for det første inngrep i retten til privatliv, herunder personvern og kommunikasjonsvern. Det innebærer at alle personer i Norge som kommuniserer via tradisjonelle eller digitale kommunikasjonskanaler, er utsatt for en uoverskuelig risiko for E-tjenestens innsyn i personlig kommunikasjonsdata. For eksempel vil allerede bulklagring av metadata om en person kunne si noe om personens adresse, bevegelse eller handlingsmønster.

For det andre innebærer TI inngrep i pressens ytringsfrihet, herunder kilders rett til å forbli anonyme i møte med journalister (kildevern). I prinsippet kan hvem som helst være en journalistisk kilde, slik at kildevern henger tett sammen med personvern. Kildevernets begrunnelse har bakgrunn i samfunnshensyn; EMD har gjentatte ganger beskrevet kildevern som en hjørnestein for demokratiet og en åpen, opplyst offentlig debatt.^{(8)Se for eksempel Big Brother Watch mot Storbritannia [GC] avsnitt 442.} Av den grunn skal det være en høy terskel for inngrep i kildevernet.^{(9)Se for eksempel Goodwin mot Storbritannia [GC] avsnitt 39–40.} Uten et sterkt kildevern vil viktige bidrag til det offentlige ordskiftet kunne gå tapt, fordi kilder vegrer seg for å kommunisere med pressen. Innføringen av et system som TI vil i seg selv medføre risiko for at individer blir mer tilbakeholdne enn før med å gi informasjon til pressen over digitale plattformer – en såkalt nedkjølingseffekt. Det betyr at TI på lengre sikt vil kunne få negative konsekvenser for bidrag til den offentlig debatt, for eksempel i form av redusert kildetilfang hos medievirksomheter og andre aktører som besitter fortrolig kommunikasjonsdata.

Inngrep gjennom TI kan i praksis være mange og ulikartede, alt etter hva E-tjenestens ønsker å foreta seg, fra bulklagring av metadata til målsøking, målrettet innhenting og eventuelt behandling/analyse av etterretningsrelevante data. Befatning med både innholdsdata og metadata kan anses som inngrep.^{(10)Prop. 80 L (2019–2020) s. 96.} For eksempel vil bulkinnhenting av metadata kunne gi informasjon om individers geolokasjon, mens målrettet innhenting av innholdsdata kan gi tilgang til fortrolig tekstinnhold i en chat. Sistnevnte er mer inngripende enn førstnevnte, men begge representerer like fullt inngrepsituasjoner. I mange tilfeller vil kombinasjonen av disse kunne gi omfattende informasjon om et individs bevegelser eller handlingsmønstre. TI kan forklares som en trinnvis prosess, hvor graden av inngrep i individets rettigheter øker etter hvert som prosessen skrider frem.^{(11)Big Brother Watch mot Storbritannia [GC] avsnitt 325.}

Retten til personvern, fortrolig kommunikasjon og pressens kildevern er grunnleggende rettigheter beskyttet under Grunnloven § 102 og § 100, EMK Artikkel 8 og 10 og EUs kommunikasjonsverndirektiv. Retten til privatliv og kildevern etter Grunnloven henger nært sammen, og Grunnloven må tolkes i lys av de parallelle folkerettslige reglene. Lignende systemer som TI har vært innført i andre land og vært gjenstand for prøving i internasjonale domstoler. EMD og EU-domstolen har i disse sakene anerkjent på prinsipielt grunnlag at statlig bulkinnhenting av kommunikasjondata i seg selv ikke er i strid med hhv. EMK og EUs kommunikasjonsversdirektiv.^{(12)Se for eksempel Big Brother Watch mot Storbritannia [GC] avsnitt 322–323 og de forente sakene C-511/18, C-512/18 og C-520 (Quadrature du Net).} Men på grunn av den risiko et statlig system for bulkinnhenting og -lagring representerer, oppstiller EMD og EU-domstolen strenge materielle og prosessuelle skranker for myndighetenes befatning med vernet kommunikasjon. Dersom regelverket som skal beskytte mot inngrep inneholder en eller flere svakheter, viser praksis at en totalbedømmelse av regelverket vil kunne resultere i at bulklagringsregimet utgjør et ulovlig inngrep i berørte rettigheter. Avgjørende er om regelverket som tillater bulklagring samlet angir tilstrekkelige garantier for å hindre misbruk. Nettopp dette var derfor sentralt da Oslo Tingrett behandlet søksmålet mot staten i desember 2024.

Oslo Tingrett mener E-tjenestens «overvåkningshjemler» er lovlige

Oslo Tingrett avsa 26. mars 2025 avgjørelse i søksmålet mot staten om lovligheten av E-tjenstens nye regler om TI. Oslo tingretts konklusjon var at reglene om TI er i samsvar med de krav som oppstilles for ivaretagelse av berørte rettigheter etter Grunnloven § 102, EMK Artikkel 8 og 10 og EUs kommunikasjonsverndirektiv. Avgjørelsen er på 67 sider og er tilgjengelig i sin helhet her. Dommen er ikke rettskraftig. Saksøker innga anke over lovanvendelsen mandag 5. mai 2025.

Det faller utenfor artikkelens rammer å gjennomgå avgjørelsen i sin helhet. Gjennomgangen i det videre er derfor begrenset til en overordnet kommentar til rettens vurderinger av TI i lys av Grunnloven og EMK, som er regelsettet som får størst fokus i dommen. Jeg vil også benytte anledningen til å påpeke noen svakheter ved avgjørelsen.

Sentralt ved vurderingen etter EMK er om e-loven inneholder tilstrekkelige rettssikkerhetsgarantier («end-to-end safeguards») for å sikre berørte rettigheter og hindre misbruk, blant annet klart definerte rammer for innhentingen, formålsbegrensning, domstolskontroll og etterfølgende kontroll. I denne vurderingen tar retten utgangspunkt i 8 forhåndsdefinerte kriterier som EMD har oppstilt for å vurdere om nasjonal lovgivning fremstår betryggende ut fra en samlet vurdering («global assessment»).^{(13)Se Oslo Tingrett i 24-038001TVI-TOSL/04 på s. 24-25 og Big Brother Watch mot Storbritannia [GC] avsnitt 361.} Det er imidlertid bare fem av momentene som gis en nærmere vurdering. Begrunnelsen er at retten legger til grunn at det ikke er innsigelser fra saksøker mot de øvrige kriteriene. Dette gjør retten basert på disposisjonsprinsippet (tvisteloven § 11-2), som innebærer at retten er bundet av påstandene som partene fremsetter. Ved en abstrakt prøving av e-lovens lovlighet i lys av EMK, vil imidlertid en vurdering begrenset til 5 av 8 kriterier som EMD har oppstilt for bulklagringsregimers lovlighet, innebære at rettens samlede vurdering metodisk taper av syne viktige hensyn. En reell samlet vurdering («global assessment») av TI etter EMK forutsetter en vurdering av alle relevante momenter som EMD har oppstilt.^{(14)Se til sammenligning EMDs metode i Big Brother Watch mot Storbritannia [GC] og Centrum for Rättvisa [GC].} Metodisk kommer avgjørelsen dermed skjevt ut fra start, noe som kan ha fått uheldige innvirkninger på rettens materielle vurderinger.

I lys av partenes anførsler vurderer retten om kontrollmekanismene e-loven gir for beskyttelse av berørte rettigheter er betryggende, og det vises til det grundige lovarbeidet som ble gjort av myndighetene i forbindelse med vedtagelse av e-loven i 2020 og frem til endelige endringer ble vedtatt i 2023 med hensyn til utvikling i internasjonal rettspraksis om bulklagring. En sentral rettsikkerhetsgaranti som kom inn i loven i 2023 var krav om domstolskontroll som forutsetning for E-tjenestens inngrep, herunder bulkinnhenting og -lagring, målsøking, målrettet innhenting eller videre behandling. Retten understreker at E-tjenesten skal innhente forhåndstillatelse fra retten i to omganger: først må rettens tillatelse innhentes før tilrettelegging og speiling av metadata i bulk, og for å få nærmere tilgang til dataene gjennom søk og videre bruk må E-tjenesten på nytt innhente tillatelse.^{(15)24-038001TVI-TOSL/04 på s. 5 og 49.} Det betyr at tillatelse skal gis av retten for E-tjenestens konkrete formål med databefatningen. Dette er en viktig presisering for reell domstolskontroll med enkeltstående inngrep, og må tolkes dithen at domstolskontroll som hovedregel skal gjennomføres separat og forut for hvert stadie i prosessen av TI. Konkret domstolskontroll for enkeltstående inngrep som databefatningen representerer er en viktig rettssikkerhetsgaranti, da det begrenser E-tjenestens adgang til å be om en samlet adgang til bulkinnhenting, målrettet innhenting og videre bruk av data til analyse/behandling.

I den samlede vurderingen påpeker retten at e-lovens kontrollordning inneholder en svakhet i form av manglende adgang til effektivt rettsmiddel (EMK Artikkel 13), herunder at «en klager har begrensede muligheter til å få bekreftet om det har skjedd en rettighetskrenkelse».^{(16)24-038001TVI-TOSL/04 på s. 48.} Dette tillegges tilsynelatende lite eller ingen vekt i helhetsvurderingen, uten nærmere begrunnelse enn at «[d]et er summen av de nasjonale rettsmidlene som avgjør hvorvidt det foreligger tilstrekkelige garantier mot misbruk».^(17)Ibid. Premisset er riktig, men forutsetter at svakheten ved manglende rettsmiddel er uvesentlig og at alle relevante hensyn har vært vurdert i «summen» av kontrollmekanismer. Det er et problem at avgjørelsen etterlater tvil om begge deler.

Retten anerkjenner for eksempel at EOS-utvalget mangler kapasitet som uavhengig kontrollorgan for regelverket, men understreker at det er opp til statens skjønn å vurdere hvilke ressurser som skal tilføres organet.^{(18)24-038001TVI-TOSL/04 på s. 44.} Selv om ressursfordeling i utgangspunktet tilfaller statens skjønnsmargin, ville EMD neppe tillatt denne type ansvarsfraskrivelse; Statens positive forpliktelser etter EMK er også administrative. I praksis er det vanskelig å se forbi at EOS-utvalget potensielt er hindret fra å utføre sitt arbeid som kontrollorgan på grunn av ressursmangel. Kombinert med mangelen på effektivt rettsmiddel, er det betenkelig at tingretten ikke benytter anledningen til å reise kritikk mot kontrollordningen, for eksempel ved å understreke at staten er forpliktet etter EMK til å sikre forsvarlige ressurser for håndhevelse av menneskerettighetene som lovverket skal beskytte. Et lovverk med gjennomtenkte formuleringer har ikke større verdi enn dets mekanismer for å håndheve det.

Det er ellers uheldig at retten underspiller hvilken nedkjølingseffekt TI vil kunne ha for pressens ytringsfrihet (kildevernet). Slik dommen er skrevet, fremstår det som rettens vektlegging av kildevernhensyn er begrenset til den konkrete forholdsmessigheten av enkeltstående inngrep. På denne måten mister retten av syne at TI, som et system for masselagring av kommunikasjonsdata, i seg selv vil ha en nedkjølende effekt på ytringsfriheten i det digitale rom, fordi folk flest er klar over at kommunikasjonsdata innhentes og lagres i bulk. Det er den langsiktige nedkjølingseffekten på ytringsfriheten kildevernet først og fremst skal hindre, og som er særlig problematisk ved innføringen av TI som etterretningsverktøy.

Det samme kan sies om rettens underspilling av risikoen for misbruk av TI, for eksempel formålsutglidning eller skadepotensialet ved et fremtidig udemokratisk maktskifte. Innføring av et datainnsamlingssystem av denne dimensjonen bærer med seg en åpenbar iboende risiko for misbruk. Jeg stiller meg undrende til at denne risikoen ikke får større plass i avgjørelsen, for eksempel gjennom strengere krav til løpende og etterfølgende kontroll. Kanskje ville Oslo Tingrett vurdert lovgivningen strengere dersom systemets misbrukspotensiale ble løftet frem i større grad. På grunn av langsiktige konsekvenser for grunnleggende rettigheter, blir det desto viktigere at lovens kontrollmekanismer er betryggende, og at kontrollorganer utstyres med nok ressurser til å håndheve rettighetene.

Siste ord er ikke sagt i spørsmålet om det norske TI-regelverket gir tilstrekkelige garantier mot misbruk. Tiden vil vise om behandlingen blir annerledes når lagmannsretten skal foreta en ny, uavhengig vurdering av e-lovens mekanismer for å beskytte berørte aktører, personer og fortrolige kilder. Avgjørende i praksis blir uansett hvordan involverte aktører tar i bruk systemet i tråd med den teknologiske utviklingen. Det er ikke mulig å forutse alle utfordringer som kan true systemet i fremtiden. Et system av denne karakter er demokratisk avhengig av at det føres kontinuerlig kontroll for å sikre at grunnleggende verdier etterleves.