En sejr for dit privatliv – EU logningsdirektiv kendt ulovligt.

Igår kom en god nyhed. EU domstolen underkendte med et brag det 8 år gamle logningsdirektivet under dække af hvilket Danmark har indført sessionslogning, som betyder at du og jeg bliver registret mere en gang i minuttet.

@karmel80 Du er lidt for hurtig med den danske logningslov i indledningen. Den blev vedtaget i 2002, altså før logningsdirektivet.

— Jesper Lund (@je5perl) April 9, 2014

Dommen betyder, at der alene kan registreres data om os – hvis det er nødvendigt. Myndigheder må ikke registrere og overvåge os alle bare fordi de kan. Hvis vi skal overvåges, så skal vi være under mistanke for alvorlig kriminalitet eller terrorvirksomhed inden en overvågning kan igangsættes. Sådan var det i den gamle analoge verden og sådan skal det også være igen i den elektroniske verden.

(Du kan se/downloade dommen som pdf her.)

Direktivet er i modstrid med vores ret til privatliv. Dommen fastslår at logningsdirektivet er et omfattende og særligt alvorligt indgreb i vores grundlæggende rettigheder fordi overvågningen ikke er begrænset til det strengt nødvendige. Overvågningen omfatter alle personer, alle kommunikationsmidler og al trafikdata uden sondring, begrænsning eller undtagelser, og er ikke begrænset til dem der er under mistanke for at begå grov kriminalitet eller personer i nærheden af dem (præmis 56-59).

Dommen understreger i præmis 26-28, at indsamling af metadata, f.eks. hvor vi er og hvem vi kommunikerer med, bestemt ikke er uskyldigt, men kan vise megen information om os og derfor også påvirker vores ytringsfrihed.

Årligt 3,5 billioner registreringer. Sessionslogning udgør over 90 procent af dataindsamlingen i Danmark. Den samlede tele- og internetlogning i Danmark har ca. kostet de danske teleselskaber 200 millioner kroner at indføre, og 50 millioner kroner i drift hvert år siden 2007, hvor reglerne trådte i kraft. En regeringsaftale som udskød evalueringen af logningsreglerne til folketingssamlingen 2014-2015 bør ophæves efter dommen, så revisionen kan komme igang med det samme. Radikale Venstres IT-ordfører Jeppe Mikkelsen har allerede støttet at man skal se på den danske logning i lyset af dommen.

Det kan godt være, at dommen ikke direkte kender den danske lov for ulovlig, men uanset den juridiske teknikalitet så mener jeg det kun kan gå for langsomt, at komme igang med en revision, hvilket også støttes af teleorganisationerne, som jo betaler gildet (via os kunder). Især på sessionslogning er de danske regler sandsynligvis i modstrid med kravet om proportionalitet.

Jakob Willer, der er direktør i Teleindustrien har tidligere udtalt til Information via Version2, “at regler om logning af internettrafik, har medført en eksplosionsagtig vækst i antallet af registreringer, som teleselskaberne skal opbevare. Det betyder en ret indgående overvågning af vores kunder, som ikke har haft nogen værdi for politiets efterforskning. Det er mildest talt ikke proportionalt.” Det har omkostninger for teleindustrien, men det har særligt omkostninger for os som borgere og for vores privatliv.

Hver gang man indsamler og lagrer data indebærer det en risiko for misbrug og/eller fejl. Derfor er det vigtigt at kun det mest nødvendige indsamles og der holdes ordentligt øje med det som man har indsamlet. Domstolen understreger, at skal være tilstrækkelige garantier for at data indsamlet om os beskyttes mod misbrug og ulovlig adgang, og at dette er særligt vigtigt, når der er tale om automatiseret indsamling/behandling af data og betydelig risiko for uretmæssig adgang.

Logningsdirektivet kræver ikke at myndighederne holder styr på de data, som indsamles, sådan at de ikke deler data med myndigheder, som ikke har brug for dem. Der er ikke krav om, at data lagres i EU, sådan at andre landes myndigheder ikke kan kræve adgang. Det er ikke ordentligt fastsat hvor lang tid myndighederne kan beholde data. Vi er ikke gennem direktivet sikret en uigenkaldelig sletning af data. Og det er bare myndighederne, direktivet giver tjenesteudbyderne mulighed for at tage hensyn til økonomiske betragtninger i forbindelse med fastlæggelsen af det sikkerhedsniveau, de vil anvende på vores data. Det betyder, at teleindustrien selv kan bestemme om det kan betale sig for dem, at passe ordentligt på data om os.

Men trods alt har teleselskaberne styr på hvordan data kan læses i modsætning til politiet, som det viste sig ikke kunne bruge de indsamlede data, da de ikke kunne læse dem, og de har kun “i meget begrænset omfang” ikke være relevante for Politiets Efterretningstjeneste.