Høring - politiets adgang til bruk av tvang ved ransaking av datasystem for å få tilgang til datasystemet ved biometrisk autentisering

• Høringsbrev

  Vår ref.: 16/7883 ES AIK/mk

  Høring – politiets adgang til bruk av tvang ved ransaking av datasystem for å få tilgang til datasystemet ved biometrisk autentisering

  Justis- og beredskapsdepartementet sender med dette på høring et forslag om endringer i straffeprosessloven. Det foreslås en ny bestemmelse der politiet, ved ransaking eller beslag av datasystem, gis adgang til bruk av tvang overfor mistenkte eller tredjemann for å få tilgang til datasystemet ved biometrisk autentisering. I forlengelsen av dette foreslås også at politiet ved ransaking av datasystem kan pålegge enhver å gi tilgang til systemet ved bruk av biometrisk autentisering.

  Bakgrunnen for forslagene er en kjennelse fra Høyesterett 30. august 2016 (HR-2016-1833-A, fulgt opp i HR-2016-2006-U), hvor det slås fast at straffeprosessloven § 157 ikke gir hjemmel til bruk av tvang for å få tilgang til innholdet på siktedes mobiltelefon ved bruk av fingeravtrykksautentisering. Departementet foreslår at politiet gis slik adgang, og at bestemmelsen gjøres teknologinøytral.

  Frist for å sende inn høringssvar er 13. februar 2017.

  Vi ber om at adressatene forelegger høringsbrevet med vedlegg for berørte underliggende etater og organ som ikke er oppført på adressatlisten.

  Høringsuttalelser bør fortrinnsvis avgis digitalt på www.regjeringen.no under «Send inn høringssvar». Her kan man registrere seg, mellomlagre en uttalelse og laste opp vedlegg. Alternativt kan høringssvar sendes Justis- og beredskapsdepartementet per e-post, ved bruk av adressen lovavdelingen@jd.dep.no. Alle kan avgi høringsuttalelse, men merk at uttalelser er offentlige etter offentleglova og blir publisert sammen med øvrige høringsuttalelser.
  
  Med vennlig hilsen
  
  
  Fredrik Bøckman Finstad e.f.
  avdelingsdirektør

                                                                        Anette Isachsen Kræmer
                                                                        lovrådgiver

  Dokumentet er godkjent og sendes uten signatur

• Høringsnotat

  Høringsnotat.pdf

Utdrag:

[...]

2 Bakgrunn

Departementet ønsker å legge til rette for at politiet har de nødvendige virkemidlene til effektivt å kunne etterforske straffbare handlinger. Som følge av den teknologiske utviklingen oppstår det fra tid til annen spørsmål om politiets adgang til å utnytte slik teknologi som ledd i etterforskingen. Biometrisk autentisering, for eksempel ved bruk av fingeravtrykk og iris- eller stemmegjenkjenning, blir stadig mer utbredt som adgangsnøkkel til datasystem. Dette gjelder kanskje særlig mobiltelefoner, men også andre datasystemer som nettbrett og datamaskiner.

Biometrisk autentisering bruker biometriske kjennetegn. Dette er kjennetegn som utgår fra kroppen, som er unike for hver enkelt og samtidig permanente eller stabile over tid. Ved å måle disse kjennetegnene kan de benyttes til å gjenkjenne en person eller bekrefte en persons påståtte identitet.

Biometrisk autentisering som adgangsnøkkel gir politiet særlige utfordringer ved ransaking av et datasystem, der politiet forsøker å få tilgang til systemet og mistenkte ikke vil medvirke. Et særlig spørsmål er om politiet i slike tilfeller kan benytte tvang overfor mistenkte for få åpnet systemet.

Spørsmålet kom på spissen i kjennelsen vist til ovenfor (HR-2016-1833-A) og som ligger til grunn for forslaget. Saken gjaldt konkret om politiet har hjemmel i straffeprosessloven § 157 til ved tvang å bruke mistenktes finger til å få tilgang til innhold på hans mobiletelefon. Dette besvarte et enstemmig Høyesterett benektende. Avgjørelsen er fulgt opp i senere høyesterettspraksis, jf. HR-2016-2006-U.

[...]

4 Forslaget i NOU 2016: 24 Ny straffeprosesslov

Straffeprosessutvalget, som avga sin utredning 3. november 2016, har som følge av Høyesteretts kjennelse 30. august 2016 drøftet spørsmålet om tvangshjemmel for biometrisk autentisering, jf. NOU 2016: 24 punkt 14.3.6 side 315. Et samlet utvalg går inn for at det i ny straffeprosesslov bør åpnes for å benytte tvang for å gjennomføre biometrisk autentisering, ikke bare overfor mistenkte, men overfor enhver, jf. utkastet til § 14-6 annet ledd. Bestemmelsen åpner også for bruk av biometrisk autentisering som selvstendig tvangstiltak. Bestemmelsen er inntatt i lovutkastet kapittel 14, om tvangstiltak – grunnvilkår og fellesregler, og lyder:

Enhver kan pålegges å medvirke til biometrisk autentisering, ved bruk av fingeravtrykk eller andre biologiske kjennetegn, for å sikre tilgang til sted eller datasystem når det er nødvendig for å gjennomføre et tvangstiltak, eller for å verifisere at vedkommende har tilgang til stedet eller datasystemet. Motsetter vedkommende seg autentiseringen, kan den gjennomføres med tvang.

Bestemmelsen er inntatt sammen med en hjemmel for påtalemyndigheten til å pålegge enhver med vitneplikt til å medvirke til gjennomføring av tvangstiltak.

Straffeprosessutvalgets utredning ble sendt på høring 5. desember 2016 med høringsfrist 6. juni 2017. Departementets oppfølging av utredningen vil nødvendigvis ta tid. Departementet mener det haster med å få på plass en klar hjemmel som gir politet adgang til å benytte tvang i forbindelse med biometrisk autentisering, og sender derfor på høring et forslag om endring i gjeldende straffeprosesslov. Utvalgets mer omfattende forslag, herunder spørsmålet om bruk av biometrisk autentisering som selvstendig tvangstiltak, vil bli grundig vurdert i forbindelse med høringen av NOU 2016: 24.

5 Departementets foreløpige vurdering

Etter departementets syn er det viktig at politiet har nødvendige hjelpemidler tilgjengelig for å oppklare kriminalitet. Politiet har etter gjeldende rett adgang til å ransake og beslaglegge datasystem, dersom det foreligger skjellig grunn til mistanke om et straffbart forhold som etter loven kan medføre frihetsstraff. Gjennomføringen av ransakingen, eventuelt beslaget, blir imidlertid vanskelig når systemet er adgangsbeskyttet, og politiet ikke får hjelp til å komme seg inn i systemet.

Departementet anser det tvilsomt om politiloven § 6 gir politiet tilstrekkelig hjemmel til å anvende tvang i disse tilfellene. Forslaget som departementet nå sender på høring, vil gi politiet en klar hjemmel til enklere tilgang til datasystemer som åpnes ved biometrisk autentisering.

Departementet foreslår at bestemmelsen gjøres teknologinøytral, jf. «datasystem». Den bør ikke bare omfatte fingeravtrykksavlesning, men også andre typer biometrisk autentisering, som irisgjenkjenning, netthinnegjenkjenning og kanskje i fremtiden, DNA-gjenkjenning. Bestemmelsen bør heller ikke begrenses til mobiltelefoner. Også andre datasystemer bør omfattes, som datamaskiner, nettbrett mv.

For enkelte typer av biometrisk autentisering kan imidlertid tvang være vanskelig å gjennomføre eller komme i strid med selvinkrimineringsvernet. For eksempel vil mistenktes rett til taushet stå i veien for å gjennomføre stemmegjenkjenning. Selvinkriminseringsvernet vil naturlig oppstille en skranke for fremtidige autentiseringsformer man i dag ikke har oversikt over, og hvor en fremtvingelse av identifiseringen vil representere et overgrep mot mistenkte. Dette må vurderes selvstendig i hvert enkelt tilfelle.

Det kan heller ikke utelukkes nye metoder for biometrisk autentisering, der maktanvendelsen ikke står i rimelig forhold til interessen til den som blir utsatt for inngrepet. På den bakgrunn er det tatt inn en presisering i lovforslaget om at tvangsbruken må være nødvendig og forholdsmessig, noe som allerede følger av EMK og straffeprosessloven § 170 a.

Departementet mener bestemmelsen naturlig kan tas inn som et nytt annet ledd i straffeprosessloven § 199 a, som omhandler ransaking av datasystem. I tilknytning til dette er det naturlig å foreta en endring i det som blir bestemmelsens første ledd om at enhver som har befatning med datasystemet kan pålegges å gi opplysninger som gir tilgang til systemet. Dette omfatter etter ordlyden ikke biometrisk autentisering, som for eksempel fingeravtrykk, bare opplysning om kode, passord og liknende. Det foreslås derfor en presisering i første punktum om at enhver som har befatning med datasystemet plikter å bruke biometrisk autentisering for å gi politiet tilgang til systemet.

Det kan for eksempel tenkes at en systemansvarlig kan åpne mistenktes datasystem med sitt fingeravtrykk. Da bør politiet kunne gi personen pålegg om å gjøre dette. Departementet er i tvil om det i disse tilfellene bør gis hjemmel for å gjennomføre autentiseringen med tvang. Straffeprosessutvalget går i sitt forslag inn for at tvang kan benyttes overfor enhver som motsetter seg autentisering når det er nødvendig for å gjennomføre et tvangstiltak, men departementet er i tvil om tvangshjemmelen bør rekke så langt. Etter departementets syn bør det riktignok innenfor de rammer som følger av selvinkrimineringsvernet og kravet til forholdsmessighet, være adgang til om nødvendig å bruke tvang overfor andre enn mistenkte for å få tilgang til informasjon på et datasystem som er rettslig tilgjengelig gjennom reglene om ransaking og beslag. Til sammenlikning er det i dag adgang til å dekryptere eller bryte opp låser. På den annen side forutsetter tvangen i dette tilfellet en fysisk maktanvendelse for å gjøre bruk av personopplysninger. Det kan oppleves som mer integritetskrenkende enn en lås som dekrypteres eller brytes opp.

Departementet går i forslaget imidlertid inn for at politiet gis adgang til å bruke tvang overfor andre enn mistenkte når deres datasystem er gjenstand for ransaking. Straffeprosessloven kapittel 15 åpner – om enn i begrenset utstrekning – for ransaking av tredjemanns datasystem, jf. § 192 annet ledd. Selv om slik ransaking er mindre praktisk, er departementets foreløpige syn at det også i disse tilfellene kan være grunn til å åpne for bruk av tvang for å gi politiet tilgang til datasystemet.

Dersom mistenkte ikke er til stede under ransakingen, eller politiet ikke finner det hensiktsmessig å åpne datasystemet på stedet, vil politiet ta med seg datasystemet for å undersøke det senere. Som nevnt, er det holdepunkter i rettspraksis for at videre undersøkelser av data vil bli vurdert som ledd i en fortsatt ransaking. Men spørsmålet om politiet bør ha adgang til å tvangsgjennomføre biometrisk autentisering, kan også reise seg for beslaglagte datasystemer. Det er ingen grunn til at politiet ikke skal gis samme adgang til å anvende makt for å få åpnet datasystemet ved granskning av beslaglagt datasystem, som ved ransaking av det.

Departementets foreløpige syn er at beslutningen om å anvende makt overfor mistenkte for å få åpnet datasystemet, kan treffes av politet på stedet, på samme måte som politet kan beslutte å fjerne mistenkte som sperrer for inngangsdøren ved en husransaking. Om kompetansen til å treffe beslutning om dette bør løftes opp et nivå, til påtalemyndigheten, er likevel et spørsmål som departementet særlig ber om høringsinstansenes syn på.

Departementet ber om høringsinstansenes syn på behovet for endringer i straffeprosesslovens regler i tråd med ovennevnte og på plassering og utforming av bestemmelsene.

Det bes særlig om høringsinstansenes syn på hvem som bør ha kompetanse til å treffe beslutning om bruk av tvang og om tvangshjemmelen bør gjelde generelt overfor «enhver» eller begrenses til mistenkte og tredjemann der ransaking foretas i hans datasystem.

Departementet legger avslutningsvis til at Straffeprosessutvalgets utkast til tvangshjemmel ved biometrisk autentisering for gjennomføring av tvangsmidler, omfatter også tilgang til «sted» og ikke kun datasystem. Bestemmelsen er i tillegg inntatt i et generelt kapittel som gjelder alle tvangsmidlene (der omtalt som tvangstiltak). Utvalgets forslag legger opp til en annen systematikk enn gjeldende lov. Departementet ser at det kan være gode grunner for utvalgets utforming og avgrensning av sitt forslag. For eksempel vil fingeravtrykksautentisering for å få åpnet en safe, et hus eller en bil være omfattet. En slik bredere og mer generell tvangshjemmel vil imidlertid bli vurdert etter at høringen av NOU 2016: 24 er avsluttet og i forbindelse med en ny straffeprosesslov, jf. punkt 4.

6 Administrative og økonomiske konsekvenser

Forslaget til lovendring vil ikke få nevneverdige administrative konsekvenser. Forslaget vil innebære at politiet kan etterforske mer effektivt, noe som må forventes å ha en viss kostnadsbesparende effekt.

7 Forslag til lovendringer

En regel som gir politiet adgang til å pålegge enhver som har tilgang til et datasystem å åpne det ved biometrisk autentisering og som åpner for bruk av tvang overfor mistenkte eller tredjemann som ransakingen skjer hos, kan tas inn i gjeldende straffeprosesslov § 199 a.

Paragraf 199 a kan da for eksempel lyde:

Ved ransaking av et datasystem kan politiet pålegge enhver som har befatning med datasystemet å gi nødvendige opplysninger for å gi tilgang til datasystemet eller å åpne det ved bruk av biometrisk autentisering.

Overfor mistenkte kan et pålegg om å gi tilgang til datasystemet ved biometrisk autentisering skje ved bruk av tvang, dersom tvangsbruken er nødvendig og forholdsmessig. Det samme gjelder overfor andre enn mistenkte, dersom ransaking foretas i deres datasystem.

Det foreslås videre at det i kapitlet om beslag (straffeprosessloven kapittel 16) henvises til § 199 a så langt den passer.

Tvangsmessig gjennomføring av biometrisk autentisering

Se også saken på regjeringen.no.