Sammendrag
Etter å ha mottatt bekymringsmelding som angikk Etterretningstjenestens (E-tjenesten) behandling av opplysninger om norske kilder mv., besluttet utvalget i juni 2013 at det skulle gjennomføres en kontroll av E-tjenestens avdeling for menneskebasert innhenting.
Utvalget foretok en uanmeldt inspeksjon av avdelingen 27. august 2013. I etterkant av dette er det foretatt én forhåndsvarslet inspeksjon og tre undersøkelser i avdelingen, henholdsvis 4. september, 6. september, 9. september og 16. oktober 2013.
Utvalget har i sin kontroll gjennomgått samtlige mapper til norske kilder i avdelingens arkiver. I tillegg er det tatt flere stikkprøver i avdelingens datasystem.
Hovedformålet med kontrollen har vært å undersøke om avdelingen har behandlet opplysninger om norske kilder og/eller andre norske personer i strid med gjeldende regelverk. Dette forutsetter en vurdering av tjenestens hjemmelsgrunnlag for å behandle slike opplysninger. Videre er det undersøkt om tjenesten har overtrådt forbudet i E-loven § 4 mot å overvåke eller på annen fordekt måte innhente informasjon om norske fysiske eller juridiske personer.
Som følge av at det av kontrollinstruksen § 5 første ledd følger at utvalget «såvidt mulig [skal] iaktta hensynet til kildevern», har utvalget godtatt at tjenesten har anonymisert informasjon som kunne identifisere kildene. Tilgang til slik informasjon har ikke vært nødvendig for å utføre utvalgets kontrolloppgave i saken.
Utvalget stilte en rekke spørsmål til tjenesten i brev 24. september 2013. Spørsmålene ble besvart av tjenesten i brev 27. september 2013.
Utvalget sendte 12. november 2013 et avsluttende brev til tjenesten. Brevet ble besvart av tjenesten 13. november 2013. E-tjenesten uttrykte uenighet med utvalget i noen av dets merknader til hjemmelsgrunnlaget for behandling av sensitive personopplysninger og til relevans- og nødvendighetskravet.
En sammenfatning av utvalgets avsluttende merknader til tjenesten følger nedenfor.
Utvalget har i sine undersøkelser ikke gjort funn som tilsier at tjenesten systematisk har behandlet opplysninger om norske kilder og/eller andre norske personer i strid med gjeldende regelverk, herunder E-loven, E-instruksen og personopplysningsloven. Utvalget har heller ikke avdekket at tjenesten har overtrådt forbudet i E-loven § 4 mot å overvåke eller på annen fordekt måte innhente informasjon om norske fysiske og juridiske personer på norsk territorium.
Etter utvalgets oppfatning kan behandlingen av personopplysninger om kilder hjemles i et samtykkegrunnlag (også sensitive personopplysninger) og i E-loven § 4 andre ledd, der det bestemmes at tjenesten kan «oppbevare informasjon som gjelder norske fysiske eller juridiske personer dersom informasjonen … er direkte knyttet til en slik persons arbeid eller oppdrag for Etterretningstjenesten», jf. E-instruksen § 5 andre ledd, der det fremgår at «tjenesten kan gjennomføre tiltak for å verifisere sine kilders troverdighet». Utvalget mener videre at forannevnte lovgrunnlag sammenholdt med personopplysningsloven også til en viss grad hjemler behandling av personopplysninger om kildens nærstående, såfremt opplysningene kan anses relevante for kildeføringen, vurdering av kildens egnethet og vurdering av sikkerheten til kilden selv.
Når det gjelder grunnlaget for å behandle sensitive personopplysninger om kildens nærstående som er gitt av kilden selv, har utvalget påpekt at hjemmelsgrunnlaget er tvilsomt. Utvalget ser imidlertid at også slike opplysninger kan være relevante for kildeføringen. Utvalget har videre påpekt at det er vanskelig å se at tjenesten kan behandle andre opplysninger om potensielle kilder enn det som er nødvendig av notoritetshensyn, med tanke på fremtidig kontakt e.l.
Utvalget har forutsatt at tjenesten følger opp behovet for et klarere hjemmelsgrunnlag for behandling av sensitive personopplysninger om kildens nærstående. Utvalget etterlyser også klare regler for innhenting og behandling av opplysninger om potensielle kilder.
Bruk av kilder er en type innhentingsmetode som innebærer særlige vurderinger av blant annet sikkerhet og troverdighet. Opplysninger som det av hensyn til en faglig forsvarlig kildeføring er relevant og nødvendig å behandle, vil kunne oppbevares av tjenesten. Hvilke opplysninger som er relevante og nødvendige for å føre kilder, er en vurdering som er utpreget etterretningsfaglig og som det er vanskelig for utvalget å etterprøve. Utvalget har likevel påpekt at tjenesten i enkelte tilfeller synes å ha behandlet opplysninger som er irrelevante og/eller unødvendige. Utvalget mener det er behandlet enkelte opplysninger om noen kilder og deres nærstående som tjenesten burde avstått fra å behandle. Utvalget har i sin kontroll av avdelingens arkiver imidlertid ikke gjort funn som tilsier at tjenesten systematisk har behandlet opplysninger som åpenbart er irrelevante og/eller unødvendige. Utvalget har anmodet tjenesten om å utarbeide internt regelverk for bruken av kilder som innhentingsmetode, der det blant annet oppstilles kriterier for opplysningenes relevans og nødvendighet.
Utvalget har videre merket seg at tjenesten vil vurdere å sette av større ressurser til mer løpende internkontrolltiltak for å sikre at opplysninger ikke oppbevares lenger enn nødvendig. Utvalget har imidlertid bedt tjenesten vurdere hvordan ledelsen i praksis skal gis et tydeligere ansvar for at avdelingens virksomhet drives i samsvar med gjeldende krav. I forlengelsen av dette nevnes at tjenesten ved innledningen av den uanmeldte inspeksjonen opplyste at det ikke eksisterte skriftlige retningslinjer knyttet til den praktiske håndteringen av kildeopplysningene, men at dette umiddelbart ville bli innført. Utvalget vil følge opp det videre arbeidet på dette feltet, siden skriftlige retningslinjer er grunnleggende for en betryggende informasjonsbehandling.
Utvalget har også påpekt at avdelingens kildearkiv og datasystemer ikke har vært tilfredsstillende tilrettelagt og systematisert med tanke på utvalgets kontroll. Dette har medført at tjenesten, før utvalget fikk innsyn, måtte gjennomgå og anonymisere informasjon som kunne identifisere kildene. Utvalget har likevel understreket at tilretteleggingen i denne saken har vært tilfredsstillende tatt i betraktning de uavklarte spørsmålene knyttet til utvalgets innsynsrett i E-tjenesten. Utvalget har forutsatt at tjenesten straks vil legge til rette for eventuelle fremtidige kontroller av avdelingen.