Leif Martin Kirknes

leif.kirknes@lomedia.no

Forrige fredag la regjeringen fram forslag til ny ekom-lov, der de vil pålegge ekom-tilbydere å lagre en kobling mellom IP-adresse og navnene til personer som har benyttet denne i 12 måneder, inklusive klokkeslett.

En IP-adresse er et unikt nummer alle datamaskiner, mobiltelefoner og duppeditter som er på internett har, som fungerer som en teknisk adresse på internett og som er koblet mot et selskap som igjen kobler det til sine kunder.

Men hvilket nummer man får tildelt kan av tekniske årsaker variere, og endres fra tid til annen. Det liker Politiet dårlig, siden det kan gjøre det vanskelig å spore opp folk en stund etter at en kriminell handling er begått.

I dag lagrer tilbyderen kobling mellom kunde og IP-adresse i opp mot en måned av mer teknisk/administrative årsaker, som fakturaformål. Politiet kan be om informasjon om hvem en IP-adresse har tilhørt, men har informasjonen gått ut på dato har ikke ekom-tilbyderen noe svar.

Får regjeringen det som de vil nå, så får Politiet et av sine store ønsker oppfylt. For regjeringen vil pålegge dem som tilbyr internettilgang, slik som Telenor, Telia og Altibox, å lage et register over hvilken kunde som har hatt hvilken IP-adresse på et gitt tidspunkt i 365 dager.

– Dette verktøyet er noe politiet har etterspurt i 13 år. Ny teknologi krever modernisert lovverk, sa justisminister Monica Mæland under framleggelsen av lovforslaget.

– Overgrep

Det var handlinger relatert til pedofili og seksuallovbrudd som var det statsminister Erna Solberg, familieminister Kjell Ingolf Ropstad og justisminister Mæland nevnte mest da de la fram lovforslaget hos Kripos på Bryn fredag, men lovforslaget vil være til hjelp for politiet i også andre krimsaker.

– Dette forslaget vil gi politiet rammene de trenger for å bekjempe nettovergrep. Det er de digitale sporene som er av størst betydning for politiet i slike saker. Det er avgjørende å kunne knytte en IP-adresse til et abonnement, sa Solberg, som la til at dette forslaget er det største grepet i kampen mot nettovergrep siden Politireformen.

Lise Matheson fra seksjon for internettrelaterte overgrep hos Kripos viste med tall hvordan flere saker glipper fordi informasjon om IP-adressen har gått ut på dato. I 2020 fikk de inn 2484 tips fra utlandet og fra National Center for Missing & Exploited Children, hvorav informasjon om IP-adressen hadde utløpt for 426 av tipsene.

– I disse tilfellene må vi, om mulig, spore annen informasjon, som epost og annen brukbar informasjon. Det er både tid- og ressurskrevende, sa hun.

(Fortsetter under bildet)

Kripos-sjef Kirstin Ottesen Kvigne i samtale med justisminister Monica Mæland.

Leif Martin Kirknes

Alvorlig kim

Kjell Ingolf Ropstad sa han har jobbet for dette i mange år.

– På samme måte som vi vet hvem som eier bilskilt og telefonnummer, bør vi også kunne vite dette med IP-adresser, sa han, mens Monica Mæland sa:

– Dette handler egentlig bare om å gi politiet same tilgang til informasjon som de hadde før digitaliseringen. Ny teknologi gir også nye teknologiske muligheter for de kriminelle, og da må politiet få nye verktøy.

Det er foreslått et krav om at den straffbare handlingen som begås må ha en strafferamme på over tre år, mens for en del lovbrudd der IP er sentralt som bevis foreslås tilgang uavhengig av strafferamme.

Blant annet ren datakriminalitet, men også en rekke andre ting som, som «Krenkelse av representasjonen til en fremmed stat eller mellomstatlig organisasjon», «Uaktsom avsløring av statshemmeligheter» og «Hensynsløs atferd».

Personvern

Høringsrunden opp mot forslaget, som foregikk tidligere i år, var preget av en del innsigelser. Både Datatilsynet, Elektronisk Forpost Norge, Tekna og EL og IT Forbundet var kritiske til forslaget, blant annet på grunn av massiviteten og omfanget av lagringen.

Til Nettverk sier Datatilsynet at de fortsatt mener det samme som under høringen. Blant annet mener de at forslaget kan være i strid med rettspraksis i Europa. Det har både de og flere andre argumentert for i høringsrunden før forslaget kom fredag.

– Stortinget vil da risikere å innføre en lov som kan stride mot våre internasjonale forpliktelser. Det mener vi de ikke bør gjøre, sier Jørgen Skorstad, leder for juridisk avdeling hos Datatilsynet.

Årsaken er at de anser IP-adresser som personopplysninger. IP-adressene kan identifisere enkeltindividers bruk av nettet på generelt grunnlag, og vil resultere i en ganske omfattende databehandling for mange flere personer enn bare dem som er i politiets søkelys.

– Det sies at andre land, blant annet naboland, allerede har tilsvarende IP-lagring?

– Det brukes alltid som et argument. Men jeg tror det er lurt at norske myndigheter tar en selvstendig vurdering, sier Skorstad.

(Fortsetter under bildet)

Kjell Ingolf Ropstad

Leif Martin Kirknes

Grundig utredning

– Kripos snakker mye om pedofili og barneovergrep i sammenheng med IP-lagring?

– Om det skal innføres slik registrering mener Datatilsynet det må være avgrenset til slike former for kriminalitet. Vi mener man bør være så konkret som mulig og ser at denne type lovgivning kan tas i bruk også i tilfeller som ikke var lovgivers hensikt. Det mener vi bør være en del av debatten når det skal diskuteres.

Datatilsynet anbefaler at en nærmere og omfattende utredning av folks personvern må på plass, siden ordningen i realiteten vil registrere inn hele Norges nettsurfende befolkning. De skjønner at politiet ønsker nye virkemidler i møte med digital kriminalitet, men mener det er viktig å finne riktig balansepunkt.

– En skikkelig grundig vurdering av konsekvenser og risiko for den enkelte er ekstremt viktig, for dette er komplekse og høyt innviklede spørsmål som krever gode redegjørelser. Alle nyanser bør belyses. Menneskerettigheter som personvern stiller ekstra sterke krav til lovgivers utredningsplikt, sier Skorstad.

Lite dokumentert

EL og IT mener også det er et paradoks at det mangler dokumentasjon på at tiltak som lagring av IP-adresser har en direkte og reduserende effekt på alvorlig kriminalitet. De mener lovforslaget ikke har tatt til seg deres budskap under høringen.

– Lovforslaget ble som vi fryktet: «barns beste» brukes som argument for å lagre IP-adresser, selv om det ikke kan dokumenteres en effekt og fordi politiet bare «vil ha informasjonen». Det er ikke godt nok for vår del, skriver Geir Aasen i EL og IT til Nettverk i en epost.

Telenor påpeker at muligheten for VPN kan gjøre effekten av tiltaket begrenset, og at summen av ekom-informasjon som lagres, og som kan spores til den enkelte borger, etter hvert er betydelig.

Dilemmaer

Mæland erkjenner at det er noen personvernsdilemmaer i forslaget.

– Samtidig som det kan være et viktig verktøy for politiet og samfunnet, kan det være inngripende for den enkelte. Vi må anerkjenne det og finne riktig balanse mellom kriminalitetsbekjempelse og behovet for personvern, sa hun.

For å sikre at IP-lagringen ikke misbrukes skal det legges til rette for tilsyn og kontroll av utlevering av IP-adresser, la Monica Mæland til.

Men det finnes måter å skjule sine spor på internett. Blant annet såkalt VPN, som gjør at IP-adressen datamaskinen har kan skjules. I stedet vises en helt annen IP-adresse.

VPN-teknologien kan brukes til helt legitime formål, som sikring av bedriftsnettverk, men brukes også av kriminelle for å skjule sin aktivitet. En ekstremvariant av VPN-teknologi, ofte forbundet med svært lyssky virksomhet av ulik art, kalles «dark web».

Overfor Nettverk forklarer Erna Solberg at deres forslag til IP-lov ikke er perfekt.

– Det finnes måter å omgå vanlige IP-adresser på, og det kan man ikke gjøre noe med. Det er ikke perfekt å gå etter IP-adresser, sier hun, men legger at IP-lagring vil hjelpe til å fange dem som ikke behersker slike teknologier, og at radikaliseringsprosesser på internett gjerne starter i det små.

– At noen kan komme seg unna betyr ikke at vi ikke skal gjøre dette, sier Solberg.

– Stor betydning

Assisterende sjef ved Kripos, Ketil Haukaas, påpeker overfor Nettverk at det fortsatt er sånn at fingeravtrykk er viktig i etterforskningsøyemed, selv om det finnes enkle måter å «beskytte seg mot» det.

– Det er en grunn til at alle andre nordiske land, og egentlig alle land vi sammenligner oss med, ser behovet for lagring av IP-adresser. Det vil være til nytte i alle typer alvorlige saker, også drap og forsvinning. Med IoT (tingenes internett) har også mange kjøretøy IP-adresser, så dette tror vi vil ha stor betydning. All honnør til regjeringen som foreslår det, vi har vært helt i utakt med landene rundt oss, sier han.

Haukaas minner om at det er en grunn til at det ikke er tillatt med anonyme mobilabonnement og anonyme bilskilt i Norge.

– IP-adresse er å anse som abonnementsinformasjon. Selv om det går an å skjule seg vil reaktiv etterforskning, avhør og andre bevis kunne skaffe bevis du i ettertid kan ettergå, hvor IP-adressen kan få betydning likevel, sier han.

– Hvis vi benytter eksempelet der det sammenlignes med bilnummer vil vi kunne identifisere eieren, men vet ikke hvem som sitter i bilen eller hva de snakker sammen eller hvor de tenker å reise. Denne loven og tilgang på IP-adressen vil uansett hjelpe et skritt lenger på veien, sier han.

Reaktiv og proaktiv

Olav Skard, som er leder i Nasjonalt cyberkrimsenter, understreker at IP-informasjon er en av flere ting politiet kan få nytte av.

– IP-lagring vil ta oss et skritt nærmere med å identifisere folk. I enkelte tilfeller vil vi få nye opplysninger, i andre tilfeller kan informasjonen gå inn i et sett opplysninger som er med å oppklare en sak, sier han.

– Den foreslåtte loven gir mulighet for etterforskning som strekker seg bakover i tid. Men er det ikke bedre å være i forkant, før hendelsen skjer?

– Det er ikke i motsetning til hverandre, det å jobbe proaktivt og det å jobbe reaktivt. Slik jobber vi i alle saker. At vi får bedre verktøy i det reaktive betyr ikke at vi ikke jobber proaktivt, sier Kripos.-sjef Kristin Ottesen Kvigne til Nettverk, mens Haukaas påpeker at etterforskning i sin natur er reaktivt, men at etterforskning i seg selv også har en forebyggende effekt.

Nasjonalt Cybersikkerhetssenter-sjef Olav Skard og assisterende Kripos-sjef Ketil Haukaas. Bak t.h. Lise Matheson.

Leif Martin Kirknes

«Spleiselag»

– Har dere nok ressurser til å utnytte det nye verktøyet fullt ut?

– Vi vil vel aldri være helt fornøyde med ressursene. Men det kan også hende vi bruker uforholdsmessig mye ressurser på å forsøke finne svarene på andre måter. Jeg tror ikke vi skal blande budsjettdiskusjonen opp i det her, sier Haukaas

Det er lagt opp til at tilbyderne skal dekke investerings- og driftskostnader ved slike systemer, men staten betaler for selve uthentingen.

– Hva tror du ekom-operatørene synes om dette, justisminister Mæland?

– Det vil de sikkert være kritiske til. Men det har et samfunnsansvar, og så tar vi noen av kostnadene for å få det opp og stå. Dette er etter samme modell som våre nordiske naboer, sier Mæland.

Telenor kritisk til kostnader

Telenor sier til Nettverk at de nå skal lese selve provisjonen nøye og utrede hvilke konsekvenser forslaget innebærer. Men de setter i utgangspunktet ikke pris på å skulle betale for forslaget.

– Ut over avveiningene knyttet til person- og kommunikasjonsvern, som vi mener det er viktig at en eventuell utvidet IP-lagring tar hensyn til – og som vi tidligere har anført, merker vi oss at regjeringen foreslår at tilbyderne skal dekke investeringskostnader og faste driftskostnader i forbindelse med ordningen, skriver informasjonssjef Henriette Holte i en epost til Nettverk.

De mener prinsipielt at det i tilfeller hvor staten pålegger private aktører utvidede oppgaver av ulik art, så bør også staten ta kostnadene både for investering og drift i tilknytning til disse.

– Vi oppfatter at det er stor grad av samsvar i bransjen om dette prinsipielle utgangspunktet, skriver Holte.

Telia

Telia sier til Nettverk at de er enige i at staten bør dekke hele prisen.

De viser ellers til sitt høringssvar, der det blant annet står «At ekomtilbydere blir pålagt å lagre informasjon om sine kunder for å kunne bistå politiet i deres arbeid vil (...) innebære et prinsipielt veiskille. Lagring av opplysninger om privat kommunikasjon for at opplysningene skal kunne gjøres tilgjengelig for myndighetene vil kunne true den enkeltes kommunikasjonsvern og personvern. Det er derfor helt avgjørende at man ved innføring av er slikt tiltak vektlegger disse hensynene. Ved utforming av regelverket som hjemler tiltaket bør det også tas høyde for at visse typer kommunikasjon kan være underlagt et særskilt vern, som journalisters kommunikasjon med sine kilder, advokaters korrespondanse med sine klienter mv.»

Kildevern

De mener lovforslaget bør vurderes i sammenheng med den foreslåtte tilretteleggingsplikten i ny lov om Etterretningstjenesten og arbeidet som nå utføres av personvernskommisjonen nedsatt av Kommunal- og Moderniseringsdepartementet.

«Resultatet av Personvernskommisjonens arbeid og vurderinger, samt personvernkonsekvensene av tilretteleggingsplikten bør inngå i en vurdering av hvordan en plikt til å lagre IP-adresser vil slå ut for personvernet og kommunikasjonsvernet,» skriver Telia.

Pressens interesseorganisasjoner har også vært kritisk av kildevernshensyn. Det ble debattert grundig i Dagsnytt 18 på mandag.