Tysk forfatningsdomstol om datalagringsdirektivet.

Tyskland innførte i 2007 datalagringsdirektivet. Det ble (både før implementasjonen, men desto mer etter dette tidspunktet) utstarkt motstand mot innføringen og en sak ble etterhvert reist for en nasjonal forfatningsdomstol.

Tyskland valgte de en gjennomføringsmodell med 6 måneders lagring, rettskjennelser for direkte uthenting av data, ingen rettskjennelse for indirekte uthenting og bruk av data (der politiet sitter med en ip-adresse og vil ha ut kundeinformasjon, ikke uthenting av datamengde fra en gitt celle til et gitt tidspunkt). Når det gjelder hva som skulle lagres, la den tyske loven seg i all hovedsak på en nærmest ordrett oversettelse av direktivteksten. En forskjell som kan være verdt å nevne er at Tyskland eksplisitt tok med lagring av trafikkdata i forbindelse med kommunikasjon med utenlandske sentraler. Jeg vil i det videre gå direkte inn på dommen fra den tyske, føderale forfatningsdomstolen.

I sin dom fremholder den tyske forfatningsdomstolen først at ubetinget lagring av all data ikke nødvendigvis i seg selv er ikke-konstitusjonell, men at det er nærmere vilkår for at en slik praksis skal kunne møte de proposjonalitetskrav som reises i den tyske grunnloven. Retten kommer i sitt infoskriv om dommen først med endel generelle kommentarer til generell lagring av data og det overgrep det er i forhold til fri kommunikasjon og retten til fritt å utvikle personlighet. Retten går også lengre enn både EU og andre, nasjonale politiske instanser i å beskrive lagringen av trafikkdate i presise termer. Domstolen sier i sitt presseskriv f.eks:

”Even though the storage does not extend to the contents of the communications, these data may be used to draw content-related conclusions that extend into the users’ private sphere. In combination, the recipients, dates, time and place of telephone conversations, if they are observed over a long period of time, permit detailed information to be obtained on social or political affiliations and on personal preferences, inclinations and weaknesses. Depending on the use of the elecommunication, such storage can make it possible to create meaningful personality profiles of virtually all citizens and track their movements. It also increases the risk of citizens to be exposed to further investigations without themselves having given occasion for this. In addition, the possibilities of abuse that are associated with such a collection of data aggravate its burdensome effect. In particular since the storage and use of data are not noticed, the storage of telecommunications traffic data without occasion is capable of creating a diffusely threatening feeling of being watched which can impair a free exercise of fundamental rights in many areas.”

Her går den tyske domstolen langt i å skissere generell lagring av data i mer dystopiske og historisk sett dystre ordelag, spesielt sammenlignet med endel av debattene innad i EU før vedtagelsen av direktivet, der trafikkdata ble omtalt som noe upersonlig og som data hvis lagring ikke ville utgjøre noe særlig inngrep i den personlige sfære. Slik jeg ser det legger den tyske forfatningsdomstolen seg her på en linje som er langt mer realistisk og som også er i tråd med nasjonal forskning i tyskland, som viser at (husk referanse) borgernes kommunikasjonsmønstre endres som følge av potensiell overvåkning.

Etter en generell innføring i ulemper ved og muligheter med direktivet, går retten videre med en mer spesifikk analyse av hvor problemene med den nåværende tyske implementering foreligger. Det er fire hovedområder hvor forfatningsdomstolen mener at lovgivningen svikter. Datasikkerhet, gjennomsiktighet rundt datalagring, rettssikkerhet rundt lagring/uthenting og graden av presisjon i lovverk rundt hvilke forbrytelser som hjemler uthenting av data. Det virker på meg som om retten argumenterer for alle diesse momentene under en paraply av proposjonalitet.

Jeg vil først se på problemstillinger rundt datasikkerhet. Så langt i mine undersøkelser av implementasjon av datalagringsdirektivet i forskjellige medlemsland, har jeg ikke funnet noen gjennomføringsmodeller som tar god høyde for datasikkerhetsproblematikk. Mange gjør som den tyske loven, legger en slags standarisert ”dette skal være sikkert”-løsning til grunn, uten å videreføre dette særlig. Forfatningsdomstolen anser ikke dette til å være tilstrekkelig for å sikre mot misbruk av data. Den påpeker at man bør innføre spesifikke og strenge krav til datasikkerhet i forbindelse med lagring av trafikkdata. Slik retten ser det kan man godt delegere ansvaret for detaljgjennomføring og tekniske løsninger til en komitè eller en undergruppe under statlig kontroll, det viktigste synes å være at det er klare og strenge krav til datasikkerhet. Min mening er at dette er et sentralt moment. Misbruk av data er for mange det mest åpenbare problemet med direktivet, og den totale mangelen på gode og godt utarbeidede sikkerhetsløsninger er en akilleshæl for direktivet etter min mening. Dette må, slik jeg ser det, omhandle både teknisk infrastruktur, uthentingsrutiner, programvareløsninger og rent fysisk bygningskontroll/tilgangskontroll. På denne måten kan man eliminere misbruk fra ansatte hos telekomtilbydere, fra politiets side og fra eksterne kriminelle elementer som vil bruke lagrede data med kriminelle hensikter.

Det neste hovedpunktet fra forfatningsdomstolen er at det ikke var tilstrekkelig gjennomsiktighet rundt uthenting av data. Her fremgår det at domstolen vil avvise et prinsipp der uthenting av data skal hemmeligholdes og fremholder at de det gjelder må informeres om datauthenting såfremt ”otherwise the porpose of the investigation served by the retrieval of data would be frustrated”. Den løsningen domstolen skisserer her vil i praksis snu bevisbyrden i slike tilfeller og pålegge politiet en plikt til å vise at det er nødvendig med hemmelighold med hensyn til etterforskningen. Etter mitt syn er også dette et viktig sikkerhetsnett. Ei heller her har jeg sett tilsvarende regler i de gjennomføringsreglene jeg har vurdert så langt. Slik domstolen også fremholder, mener jeg at et slikt tiltak vil medføre en mindre utbredt endring av kommunikasjonsvaner som en følge av frykt for overvåkning. Dermed vil et slikt tiltak i stor grad gjøre den generelle lagringen mer spiselig i en proposjonalitetsvurdering.

Rettens tredje hovedmoment er at det er en mangel på presisjon når det gjelder hvilke lovbrudd som kan hjemle uthenting av data. For det første synes det å være relativt brede og vage forhold som kan hjemle uthenting av data i utgangspunktet, i tillegg kan alle lovbrudd relatert til telekommunikasjonsutstyr hjemle uthenting av data, en slik definisjon av de lovbrudd som hjemler uthenting av data vil i stor grad undergrave poenget med direktivets formål om å bekjempe ”serious crime”. Domstolen sier selv:

”Here, the legislature no longer confines itself to the use of data to prosecute serious criminal offences, but goes far beyond this, and thus far beyond the objective of data storage specified by EU law”

Det fremgår av kapittelet om mangel på presisjon at domstolen ønsker lovgivning der det fremgår på en presis og forståelig måte hva som kan hjemle uthenting av trafikkdata i forbindelse med etterforskning av kriminelle handlinger, samt uthenting i forbindelse med avverging av fare og bruk innad i etteretningstjenestene. Jeg vil først se på rettens syn på rettssikkerhet, slik at borgerne i større grad kan forutset uthenting av nettopp sine trafikkdata. Jeg vil først se på hva forfatningsdomstolen sier om regelverket i forbindelse med ordinær kriminalitet. Selv om domstolen i noen grad også her argumenterer under en proposjonalitetsparaply, vil jeg si at det er mer nærliggende å dra inn krav om kvalitet på nasjonale lover i forhold til EMK i dette tilfellet. Også jf EMK stilles det krav om presisjon og forutberegnelighet, noe også den tyske forfatningsdomstolen altså her legger vekt på. Min vurdering av dette forholdet er at presise og forutberegnelige lover er en av flere forutsetninger for at en nasjonal gjennomføringsmodell skal komme klar av EMK 8. Er det nærmest umulig å vite hvor politiet og retten vil legge listen utfra den nasjonale lovteksten, vil det etter min mening være nærliggende å anta at man bryter med EMK 8. Avslutningsvis i denne delen av drøftelsen fremholder også retten at det er en hel rekke grupperinger som må falle helt utenfor uthentingsmuligheter. Det være seg kommunikasjon med psykolog, helsetjenester o.l over telefon/epost. Domstolen fremhever at slike tjenester må unndras uthenting hvis loven skal kunne anses for å være proposjonal. Dette er også et moment som komparativt sett er sentralt. Jeg har også til gode å se at dette er noe nasjonale innføringsregimer tar høyde for. Å kunne ivareta kildevern, legers taushetsplikt o.l. vil man måtte ta hensyn her for å unngå fare for å komme i konflikt med bl.a. EMK 8. At ingen land jeg har undersøkt har spesifisert dette konkret i sin gjennomføring er en stor svakhet med gjennomføringen etter mitt syn. Når det gjelder uthenting av data for avverging av fare og til bruk i etteretningstjenesten, konkluderer retten forholdsvis raskt med at de vide fullmakter som her gis på ingen måte er tilstrekkelig. De vide fullmaktene gjør det nærmest mulig for politi og etteretningsvesen å hente ut data for all sin virksomhet. Dette aviser forfatningsdomstolen som grunnlovsstridig uten å gå særlig dypt inn i materien. Her fremgår det igjen at et begrenset, spesifikt og smalt spekter av forbrytelser må ligge til grunn for uthenting av data, uansett formål, hvis man skal falle innenfor den tyske grunnlovens proposjonalitetsregelverk.

Det fjerde momentet omhandler rettssikkerhet i forbindelse med uthenting av data. Her peker spesielt retten på at uthenting kun må skje etter rettslig kjennelse og at det må foreligge klare og kraftige sanksjoner når det foreligger misbruk av retten til uthenting. Det førstnevnte må få utløp i en mulighet til å få en rettslig kjennelse der man selv også blir involvert, før data kan hentes ut. Her er det jo i det øvrige europa varierte implementasjonsteknikker. Der de fleste statene har innført en eller annen form for rettslig kontroll, er det også andre stater der data utleveres direkte til politiet etter forespørsel. Etter mitt syn er rettslig kontroll med uthenting en grunnleggende forutsetning for at generell lagring av trafikkdata. Uten en slik kontroll er faren for misbruk overhengende og mulighetene for å selv være med i prosessen fraværende. Dette henger også sammen med en eventuell manglende gjennomsiktighet i prosessen. Uten rettslig kontroll og varsel til borgerne om at overvåkning skjer, vil, slik også den tyske forfatningsdomstolen kommer inn på, trusselen om overvåkning ligge som et teppe over all kommunikasjon.

Mitt syn på dommen fra den tyske forfatningsdomstolen er at den tar opp flere sentrale momenter ved den tyske implementasjonen av direktivet, som også kan finnes i flere andre europeiske land. Den argumentasjonen domstolen fører ligger også tett opp til de vurderinger EMK tradisjonelt har tatt, og vil sådan være en god indikator på hvor listen vil ligge for krav til nasjonale gjennomføringsmodeller.