Dokumentene avslørte at etterretningsmyndighetene hadde tatt i bruk mer vidtrekkende og inngripende virkemidler enn de fleste hadde kunnet forestille seg, og at programmene var verdensomspennende. Glenn Greenwald, tidligere advokat, en av Snowdens betrodde medhjelpere og nå journalist i Washington Post, skriver:

«Det dokumentarkivet som Edward Snowden hadde samlet, var forbløffende både i størrelse og i rekkevidde. Selv om jeg hadde skrevet om farene ved USAs hemmelige overvåkning i årevis, opplevde jeg de rene og skjære dimensjonene til overvåkningssystemet som genuint rystende, ikke minst fordi det åpenbart var blitt innført så å si uten demokratisk kontroll, åpenhet eller begrensninger».

Fra «Overvåket – Edward Snowden, NSA og overvåkningsstaten», Cappelen Damm 2014

Avsløringene fikk også rettslige konsekvenser. En av de viktigste kom i fjor, med EU-domstolens avgjørelse i Safe Harbour-saken. Saken gjaldt Facebooks behandling av personopplysninger om tjenestens brukere i Europa. Alle Facebook-brukere som bor i Europa har nemlig på papiret inngått en brukeravtale med Facebook Irland. Til tross for dette, viste det seg at all informasjon generert av europeiske Facebook-brukere har blitt overført til Facebook Inc.s servere i USA. Overføring av personopplysninger til land utenfor EU og EØS er bare tillatt under gitte, strenge vilkår, fordi det rettsvernet som personopplysningene våre nyter godt av i Europa, forsvinner når dataene havner et annet sted.

Ikke bare kom EU-domstolen til at disse dataoverføringene var ulovlige, men den underkjente likegodt hele den rettslige beslutningen som i sin tid innførte Safe Harbour-prinsippene. Dermed forsvant det viktigste rettslige grunnlaget for overføring av personopplysninger til USA, og med ett ble en mengde dataoverføringer ulovlige over natten.

Det var personvernaktivisten Maximillian Schrems som initierte saken. Han ville ha en slutt på at Facebook Irland sendte hans personopplysninger til USA, hvor han mente at verken lovgivning eller eksisterende praksis ga noe tilfredsstillende vern om hans personlige informasjon. Schrems henviste i den forbindelse til Snowdens avsløringer om de amerikanske etterretningstjenesters aktiviteter, og det samme gjør generaladvokat Yves Bot i sin innstilling til domstolen.

EU-domstolens konklusjoner var med andre ord en direkte konsekvens av Snowdens avsløringer, og Schrems’ initiativer via europeiske rettslige kanaler. Avgjørelsen er svært viktig, fordi Safe Harbour-beslutningen hadde vært det mest brukte rettslige grunnlaget for overføring av personlige opplysninger fra Europa til USA i over femten år. Nå er både private virksomheter og offentlige myndigheter i villrede med tanke på hva som vil skje videre. En delegasjon av EU-byråkrater er for tiden i USA for å forhandle videre om Privacy Shield, som skal være Safe Harbour-beslutningens arvtager, etter at EUs ekspertorgan i personvernspørsmål, Artikkel 29-gruppen, tidligere i vår ga en klar anbefaling til EU-kommisjonen om at det avtaleutkastet som det hadde fått til vurdering, ikke holdt mål i lys av våre grunnleggende individuelle rettigheter.

Men dommen er også svært viktig fordi den slår fast at grunnleggende individuelle rettigheter i europeisk rettstradisjon står i veien for masseovervåkning av europeiske borgere. Artikkel 29-arbeidsgruppen har analysert denne rettsavgjørelsen, og andre europeiske rettsavgjørelser om individets fundamentale rettigheter, og utledet fire garantier:

• Garanti A: et hvert inngrep i personvernet må baseres på klare, presise og tilgjengelige lovregler
• Garanti B: det er nødvendig å påvise at databehandlingen er nødvendig og proporsjonal
• Garanti C: det må finnes en uavhengig kontrollmekanisme
• Garanti D: individet skal kunne prøve lovligheten av inngrepet i sine rettigheter rettslig

At opplysninger om oss skal vernes, regnes som en grunnleggende menneskerettighet i EU. Artikkel 29-gruppen fremhever at disse garantiene må være oppfylt for at inngrep i vårt personvern skal kunne betraktes  som legitime. Dette gjelder uansett hva formålet med inngrepet er. Før vi kan gjenvinne tilliten til at våre personopplysninger blir behandlet på en forsvarlig måte i USA, er det nødvendig at amerikanske myndigheter sørger for å ivareta disse garantiene, mener arbeidsgruppen.

Disse garantiene er imidlertid ikke bare myntet på myndighetene i andre stater. Dette er allmenne prinsipper, og alle europeiske myndigheter som vurderer å innføre overvåkningstiltak mot befolkningen, må vurdere tiltakene opp mot disse garantiene. Den 8. juni skal Stortinget behandle et lovforslag fra Regjeringen om å innføre nye, skjulte tvangsmidler til kriminalitetsbekjempelsesformål (Prop. 68 L). Her finner man blant annet et forslag om å innføre dataavlesing som virkemiddel for politiet og PST. Vi forventer at Stortinget tar alle disse fire garantiene med i betraktningen når det nå skal stemme over dette lovforslaget.

Her er våre innspill:

1. Personvernkommisjon

Det er ikke fortatt noen samlet gjennomgang av personvernets kår i justissektoren. Datatilsynet mener tiden nå er inne til å sette en fot i bakken og sette ned en personvernkommisjon for justissektoren. En slik kommisjon kan eksempelvis vurdere:

• Personvernets status, og personvernutfordringer i sektoren
• Hvordan kan personvernet avveies mot andre, tungtveiende interesser
• Viktige prinsipper for personvern i justissektoren (Målrettet, proporsjonalitet, rettslig grunnlag mv )
• Analysemodell for personvernutredninger på justissektoren
• Se helhetlig på behovet for, og effekten av, hjemler og tiltak som allerede er gjennomført

2. Dataavlesing: Dokumentasjon på effekt og evaluering

Forslaget om dataavlesing reiser vanskelige prinsipielle spørsmål. Det er ikke, og må aldri bli, forbudt å tenke ondsindige eller farlige tanker. Vi må heller ikke frata mennesket dets rett til å gjennomføre gode etiske valg, som for eksempel å tenke på å gjennomføre en kriminell handling, men når tiden nærmer seg beslutte å ikke gå videre med planene.

Å tillate dataavlesing er et stykke på vei en kriminalisering av tanken. Et slikt virkemiddel krever en meget god begrunnelse og dokumentasjon for at dette tiltaket faktisk vil ha en så stor effekt på kriminalitetsbekjempelsen at det veier tynge enn inngrepet i personvernet til borgerne (proporsjonalitetsvurdering).  Vi er overrasket over at slik dokumentasjon ikke er framlagt, og blir ikke beroliget av at dette heller ikke har latt seg gjøre i våre naboland.

Dersom dataavlesing tillates mener vi det etter to år må gjennomføres en evaluering av hvorvidt tiltaket har hatt noen effekt for kriminalitetsbekjempelsen, sett opp mot rettsikkerhets- og personvernmessige konsekvenser.

3. Solnedgangslov

For å sikre at evalueringen faktisk blir gjennomført, foreslår Datatilsynet at reglene om dataavlesing vedtas som en såkalt solnedgangslov med gyldighet i to år. Dersom det ikke fremlegges solid dokumentasjon på at dataavlesing er et proporsjonalt tiltak, går reglene automatisk ut på dato.

4. Evaluering og gjennomgang av Kontrollutvalget for kommunikasjonskontroll (KK-utvalget)

Det er viktig at politiet og PSTs metoder er underlagt etterkontroll. Datatilsynet mener det er positivt at EOS-utvalget nylig er blitt evaluert, og viser til at dette utvalget med årene har opparbeidet seg meget god kompetanse, synlighet og troverdighet i samfunnet. Etter vår vurdering bør også KK-utvalget evalueres for å vurdere om det ressurs- og kompetansemessig kan føre tilsyn med dataavlesing og annen kommunikasjonskontroll. Det er også grunn til å vurdere om utvalget, som er opprettet ved kongelig resolusjon, har den nødvendige legitimitet, eller om det bør opprettes med hjemmel i lov. Også samlokalisering med EOS-utvalget bør vurderes.

5. Grundig rapportering om bruken av dataavlesing

Det er viktig at det fastsettes kriterier for rapportering på bruken av dataavlesing. Dette kan for eksempel dreie seg om antall saker og hvilke type opplysninger som hentes ut. I tillegg bør det rapporteres særskilt overfor kontrollorganene på hvor mange saker det unnlates å underrette om dataavlesing i etterkant til de berørte.

Det er gått halvannet år siden Edward Snowden avslørte at NSA drev massiv overvåkning av vanlige borgere. Dette ga personverndebatten en ny omdreining og gjorde folk flest mer opptatt av personvern. Grunnen var trolig at avsløringene avdekket muligheten for overvåkning av de verktøyene vi bruker til daglig, som epost, telefon og vanlig surfing på internett, og at nærmest alle typer overvåkning er mulig dersom man har vilje og ressurser.

Jeg vil peke på tre hovedutfordringer for personvernet i året vi har foran oss:

– Forslag til nye overvåkningstiltak

– Ny personvernforordning fra EU

– Kommersiell bruk av personopplysninger

Regjeringen har varslet en ny «pakke» med terrorbekjempende tiltak. Det vil sannsynligvis bli fremmet forslag om at PST skal få drive såkalt dataavlesning, for eksempel ved å overvåke folks tastaturer. Det er allerede foreslått at politiet skal få adgang til å bruke catchere, av samme typen som Aftenposten nylig avslørte at er utplassert i Oslo sentrum.

Trolig kommer det også forslag om at politiet skal få større tilgang til offentlige registre. I august ba PST-sjefen om hjemmel til å bruke stordata for å drive analyse på folks nettbruk, ved å «samle inn større mengde informasjon over tid». Hun innrømmet at innhentingen av store mengder data vil «inneholde opplysninger om personer, som i utgangspunktet ikke oppfyller de krav til formålsbestemthet, nødvendighet og relevans for behandling av opplysninger som i dag gjelder for sikkerhetstjenesten».

Dette er et ytterliggående og farlig forslag. Heldigvis sa samtlige politiske partier nei til forslaget samme dag det ble fremsatt.

Det er all grunn til å være svært skeptisk til slike forslag. Siden terroraksjonen 11. september 2001 er det vedtatt en rekke lover som skritt for skritt har gitt politiet adgang til mer overvåkning og kontroll av befolkningen.

Det er en sentral oppgave for politikerne å tørre å stå imot og i ethvert tilfelle foreta grundige avveininger av personverninteressene opp mot andre interesser.

Politiet skal selvsagt ha gode virkemidler for å bekjempe alvorlig kriminalitet, men borgernes frihet må ikke ofres på veien. Flere av de forslagene som nå trolig kommer vil bidra til nettopp det.

Det er en sentral oppgave for politikerne å tørre å stå imot og i ethvert tilfelle foreta grundige avveininger av personverninteressene opp mot andre interesser. Det er derfor å håpe at regjeringen i året som kommer viser at de er opptatt av personvern i praktisk politikk, ikke bare på papiret.

Personvern berøres selvsagt langt ut over kriminalitetsbekjempelse. Neste år vil EU etter alt å dømme vedta en ny personvernforordning. Borgernes rettigheter styrkes, blant annet retten til å bli glemt. Alle som lagrer og bruker data vil bli pålagt større forpliktelser til å ha en skikkelig internkontroll og gode interne rutiner for behandling av data. Datatilsynet vil bli gitt mandat til å gi bøter i millionklassen.

Norske virksomheter og offentlige etater har en stor jobb foran seg. Vår tilsynsvirksomhet avdekker jevnlig store mangler i de interne rutinene for behandling av personopplysninger. Mange vet ikke hvilke opplysninger de har lagret internt, de mangler rutiner for innsyn og for sletting.

Personvern vil flyttes fra datarommene inn i styrerommene, til etatslederne og inn på ordførerens kontor.

For å etterleve det nye regelverket må det en helt annen systematikk inn i personvernarbeidet, og det må forankres på et mye høyere nivå enn i dag. Personvern vil flyttes fra datarommene inn i styrerommene, til etatslederne og inn på ordførerens kontor.

At personopplysningene våre brukes til å skreddersy reklame er ikke noe nytt, men 2015 vil bli året da dette virkelig tar av. I dag selges personprofiler på børser nærmest som om det skulle være råolje. Man kan selge eller kjøpe profilen til ti tusen tredveåringer med bilinteresse som også spiser sushi og jobber i offentlig sektor.

Schibsted, og nå senest flyselskapet SAS, har som mål å utnytte kundenes personopplysninger i mye større grad enn i dag til blant annet målrettet reklame. Dette utfordrer personvernet på flere områder og vil bli en av Datatilsynets hovedsatsinger neste år.

Særlig utfordrende er det at «noen» vil vite svært mye om oss. Ikke bare hva vi liker å gjøre, men gjennom vår nettadferd (som surfing og søk) avslører vi hva vi er engstelig for, hvilke politiske preferanser vi har, og vår seksuelle legning.

Ofte blir anonymisering pekt på som en løsning, men sammenstilling av i og for seg uskyldige og anonyme data kan entydig identifisere en person.

Det finnes for eksempel bare en person i verden som er 50 år, bor i Oslo, eier en gammel Fiat og har en Maine Coon katt. Og har man knekket den koden, er det enkelt å vite hva Bjørn Erik Thon er redd for, hvem han omgås og hvilket politisk parti han sympatiserer med.