Spørsmål

Hege Bae Nyholt (R): Statens egen veiledning slår fast at CLOUD Act kan pålegge amerikanske selskaper å utlevere data fra norske offentlige virksomheter, også når dataene er lagret i Europa.
Hva er statsrådens oppdaterte vurdering av hvilke opplysninger om studenter og ansatte i Felles IAM som kan gjøres tilgjengelige for amerikanske myndigheter, i klartekst eller indirekte gjennom metadata, og vil statsråden stanse pålegget om innføring til risikoen er fullt kartlagt og Stortinget har fått korrekt og fullstendig informasjon?

Begrunnelse

Statsråden korrigerte 1. september flere svar til Stortinget etter at det kom frem at Sikt hadde gitt henne upresis og mangelfull informasjon om Felles IAM. Morgenbladets innsyn viser at systemet behandler langt flere opplysninger enn statsråden først oppga. I tillegg til fødselsnummer og e-postadresse gjelder dette blant annet fullt navn, mobilnummer, IP-adresse, aktivitets- og bruksdata, profilbilde, ansettelsesforhold, gruppetilknytning og personlig PIN-kode til adgangskontroll.

Saken kan derfor ikke reduseres til hvor serverne står, eller om data er kryptert under overføring. Statens egen veiledning om amerikansk etterforsknings- og etterretningslovgivning slår fast at amerikanske skytjenesteleverandører vanligvis er omfattet av CLOUD Act, at utleveringsplikten også kan gjelde data lagret i Norge, og at loven omfatter opplysninger fra norske offentlige virksomheter.

Det har også kommet frem at opplysninger kan være tilgjengelige i klartekst ved drift og bistand, og at kryptering derfor ikke i seg selv avskjærer et lovlig amerikansk utleveringskrav. Videre kan metadata som IP-adresser, tidspunkt, aktivitetsmønstre,
gruppetilknytninger og tilganger gi detaljert informasjon om hvem en person er, hvor vedkommende kobler seg til, hvilke systemer personen bruker, og hvilke fagmiljøer eller prosjekter vedkommende er knyttet til.

Universitetet i Oslo, NTNU og Universitetet i Agder er pålagt å gå over fra egenutviklede løsninger til Felles IAM. Spørsmålet er hva som rettslig og teknisk kan utleveres, hvilke konsekvenser det kan få for norske borgere, og om innføringen er forsvarlig før dette er fullstendig kartlagt.

Svar

Eileen Fugelsnes: Daværende forsknings- og høyere utdanningsminister korrigerte svarene på spørsmål nr. 3291, 3379 og 3485 etter at hun var blitt klar over at informasjonen hun hadde mottatt fra Sikt var upresis og mangelfull. Fredag 4. september sendte Kunnskapsdepartementet derfor en bestilling til Sikt hvor det ble bedt om en grundig redegjørelse av tjenesten Felles IAM. Som en del av bestillingen ble Sikt blant annet bedt om å si noe om hvilke vurderinger de gjør knyttet til relevant lovverk.

Jeg er opptatt av at forskere, studenter og ansatte ved norske universiteter og høyskoler skal ha en sikker og effektiv identitets- og tilgangsstyringstjeneste. Jeg mottok redegjørelsen fra Sikt fredag 11. september og trenger tid til å gjennomgå saken grundig. Frem til dette utsetter jeg gjennomføringen av pålegget om den videre innføringen av løsningen hos de resterende institusjonene.