Forsvarets Efterretningstjeneste ryddede op på computerne, inden tilsynet kom på besøg
Tilsynet med efterretningstjenesterne skal kontrollere, at ansatte i Forsvarets Efterretningstjenestes ikke gemmer personoplysninger om danskere på deres computere længere end højst nødvendigt. Men når tilsynet varsler et kommende kontrolbesøg, minder tjenesten systematisk medarbejderne om, at de skal huske at få ryddet op
Forsvarets Efterretningstjeneste med chef Lars Findsen i spidsen sørger forud for tilsyn systematisk for at sende påmindelse til deres medarbejdere om, at de skal rense deres computere for data om danskere, som loven foreskriver.
Forsvarets Efterretningstjeneste med chef Lars Findsen i spidsen sørger forud for tilsyn systematisk for at sende påmindelse til deres medarbejdere om, at de skal rense deres computere for data om danskere, som loven foreskriver.
Der var hovedrengøring hos Forsvarets Efterretningstjeneste (FE), inden Tilsynet med Efterretningstjenesterne (TET) i 2016 kom på besøg for at kontrollere, om tjenesten lever op til reglerne om, at personoplysninger skal slettes fra medarbejdernes computere, når de ikke længere er relevante for deres arbejde.
Det fremgår af et afsnit i tilsynets seneste redegørelse, der hidtil er undsluppet offentlighedens opmærksomhed.
Direkte adspurgt af tilsynet fortalte »størstedelen« af de FE-medarbejdere, som blev udtrukket til stikprøvekontrol, »at de forud for kontrollen havde slettet oplysninger på deres arbejdsstationer«, skriver TET.
Det var ikke en tilfældighed. Da TET cirka en måned forinden havde varslet den kommende kontrol, orienterede FE’s juridiske afdeling ifølge Informations oplysninger medarbejderne og benyttede samtidig lejligheden til at erindre dem om reglerne for sletning. Det er FE’s faste praksis, når TET varsler en kommende inspektion, erfarer Information.
Sagen undrer formand for IT-politisk forening Jesper Lund.
»Hvis det får medarbejderne til at rydde op, er det jo positivt. Men det ville man nok også opnå, hvis det hele tiden lå i luften, at tilsynet kunne dukke op, hvilken dag det skulle være,« siger han.
»Man skal huske, at FE har et stort incitament til selv at sørge for, at medarbejderne lever op til de her regler for at undgå en dansk Snowden-lækage.«
Ikke en fejl
TET selv har ikke noget problem med, at FE rydder op, inden de kommer på inspektion.
For kontrollens fokus var ikke »de enkelte medarbejdere, men tjenestens samlede organisering af behandlingen af oplysninger i de pågældende afdelinger, samt effektiviteten af tjenestens oplysning af medarbejderne om gældende regler for behandling af oplysninger«, skriver TET’s formand, landsdommer Michael Kistrup, i en mail til Information.
Derfor orienterede TET på forhånd FE om, at »generel oprydning på medarbejdernes arbejdsstationer forud for tilsynets kontrol ikke ville blive betragtet som en fejl«.
Når sagen alligevel fremgår af tilsynets redegørelse, skyldes det, at det »naturligvis har en betydning for vurderingen af kontrollens resultat, at størstedelen af medarbejderne forud for kontrollen havde foretaget oprydning på deres arbejdsstationer i større eller mindre omfang«, skriver Michael Kistrup.
Med andre ord skal man altså have det forbehold i baghovedet, når man læser tilsynets konklusion. På baggrund af kontrolbesøget og nogle efterfølgende »drøftelser« med FE konkluderede tilsynet, at »samtlige medarbejdere behandlede oplysninger om i Danmark hjemmehørende personer i overensstemmelse med FE-loven«.
Nogle havde dog ikke fået ryddet helt op. I »flere tilfælde« behandlede medarbejdere »oplysninger om i Danmark hjemmehørende personer i strid med tjenestens interne retningslinjer«, tilføjede tilsynet. Blandt andet »opbevarede« de »oplysninger, som de selv vurderede ikke længere var relevante at behandle det pågældende sted«. Men tilsyneladende var det altså kun i strid med FE’s interne retningslinjer og ikke loven som sådan.
Kan give dårlige vaner
Om indretningen af kontrollen er hensigtsmæssig afhænger af, hvad man ønsker at opnå med den, siger lektor ved Roskilde Universitet Pernille Boye Koch, der har forsket i demokratisk kontrol med efterretningstjenester.
»Hvis man er ude efter, at tilsynet giver et repræsentativt billede af virkeligheden, er det ikke særligt smart at melde sit besøg på forhånd,« siger hun.
»På den anden side virker det, som om FE har eller i hvert fald har haft massive problemer med at få ryddet op i gamle data. I så fald kan det give mening at benytte den anledning, at tilsynet kommer på besøg, til at få gjort noget ved det.«
Risikoen ved den måde, tilsynet foregår på, er, at FE’s medarbejdere vænner sig til kun at slette oplysninger, når tilsynet kommer – og ikke løbende, som de bør, vurderer Pernille Boye Koch.
»Det er bagsiden af medaljen,« siger hun.
På den måde aktualiserer sagen efter lektorens opfattelse en mere generel problemstilling ved Tilsynet med Efterretningstjenesterne.
»Tilsynets effektivitet afhænger meget af, hvor mange ressourcer de har, og hvor finmasket deres stikprøvekontrol kommer til at være. Det bliver sat på spidsen af en sag som den her,« siger Pernille Boye Koch.
»For hvis de på et tidspunkt bliver nødt til at nedprioritere kontroller af arbejdsstationerne til fordel for noget andet, kan man risikere, at der opstår en uholdbar situation.«
Ulovlige søgninger
I 2016, da kontrollen fandt sted, var FE efter loven forpligtet til at slette oplysninger om »i Danmark hjemmehørende fysiske og juridiske personer«, når oplysningerne ikke længere var relevante for tjenestens arbejde. Siden er loven blevet ændret, så oplysningerne først skal slettes, når tjenesten selv bliver opmærksom på, at de ikke længere er relevante.
Dertil kommer de interne retningslinjer, som indebærer, at medarbejderne kun må have oplysninger liggende på deres arbejdsstationer – altså f.eks. på deres computere, på USB-drev, i deres mailboks, eller i form af fysiske papirer – mens de arbejder med dem.
Så snart de er færdige med at arbejde med oplysningerne, skal de uploade det færdige ’produkt’ til tjenestens fælles it-system og slette dem fra deres egen arbejdsstation. Det er vigtigt for at sikre, at tjenesten rent faktisk kan overholde reglerne om sletning. For det nytter ikke meget at slette en oplysning, der ikke længere er relevant, fra det fælles it-system, hvis medarbejderne har kopier liggende på deres computere.
FE har ikke ønsket at udtale sig til denne artikel og henviser i stedet til TET. Tilsynets formand Michael Kistrup skriver i en mail til Information, at kontrollen af arbejdsstationer skal ses »som en del af tilsynets samlede kontrol af efterretningstjenesternes virksomhed«. Kontrollen med »konkrete lovbrud« sker »i højere grad« i forbindelse med tilsynets kontrol af FE’s »indhentnings-, analyse- og dokumentationssystemer«. Her har tilsynet selv »direkte adgang til de for kontrollerne relevante informationer« og varsler ikke tjenesten om tidspunktet.
I 2016 afslørede de kontroller, at 12 procent af FE’s elektroniske søgninger på personer hjemmehørende i Danmark i opsnappet »rådata« var ulovlige. Da det kom frem sidste sommer, forklarede FE’s chef Lars Findsen, at der var tale om »fejltagelser«, og at tjenesten tog sagen alvorligt.
3. feb. 2018
