Tidal-saken bringer brede prinsipielle spørsmål

Tirsdag ble spørsmålet om hvorvidt Økokrim får lov til å laste ned data fra Tidals servere i USA behandlet i Høyesterett. Dette er et prinsipielt spørsmål som berører langt mer enn Tidal-saken.

Hvis Tidal får medhold i at serveren ikke kan ransakes, kan det få konsekvenser for politiets etterforskning i saker der selskaper eller privatpersoner som er mistenkt for lovbrudd har sine data lagret på servere i utlandet.

Hvis Økokrim derimot får medhold i at serveren kan ransakes, kan det åpne for at andre lands myndigheter kan laste ned data fra norske servere, eller fra norske selskaper med kontorer i andre land.

Servere i USA

Saken er kanskje kjent for de fleste: I mai 2018 publiserte DN en artikkel som hevder at strømmetjenesten Tidals lyttertall hadde blitt jukset med for artistene Beyoncé og Kanye West, og dermed gitt disse en urettmessig merinntekt. Tidal har avvist beskyldningene.

Artikkelen førte til flere anmeldelser av Tidal til Økokrim, som satte i gang etterforskning av mulig datamanipulasjon, og hvem som i så fall er ansvarlig.

Under Økokrims etterforskning ble det iverksatt ransakelse av Tidals kontorer i Oslo, hvor det også ble satt i gang kopiering av selskapets data fra servere i USA. Tidal benytter seg nemlig av skytjenester hos Amazon Web Services (AWS).

Spørsmålet er om disse dataene dermed ligger utenfor norsk politis jurisdiksjon, slik Tidal hevder. Oslo tingrett sa ja til å stoppe kopieringen frem til det spørsmålet er endelig avgjort.

Borgarting lagmannsrett ga Økokrim medhold i at dataene kunne lastes ned, men saken er altså anket til Høyesterett.

– Kan beslaglegge hva som helst, hvor som helst

Det er to aspekter ved dette spørsmålet. Det ene er om det er hjemmel i norsk lov til å gjøre et slikt beslag, det andre er om det bryter med den internasjonale folkeretten – altså om det krenker USAs eller andre staters rettigheter å hente ut data derfra.

I straffeprosessloven står det at politiet ved skjellig grunn til mistanke om kvalifiserte lovbrudd kan ransake oppbevaringssteder for å lete etter bevis. Tidal mener at fordi oppbevaringsstedet i dette tilfellet er i utlandet, så gir ikke paragrafen hjemmel til å ransake.

Statsadvokat Henrik Horn er uenig, og mener paragrafen gir hjemmel selv om serveren ligger i utlandet. Tidals advokat Fredrik Berg mener dette kan ta bort nasjoners mulighet til å beskytte seg og sine data.

– Det Økokrim hevder er at hvis man har tilgang til informasjon via internett, så kan man også ta beslag. Og det betyr jo at alle lands påtalemyndigheter kan beslaglegge hva som helst som er lagret hvor som helst, så lenge man har tilgang og det foreligger en adgang til ransaking og beslag der, sier han til digi.no.

Må være likt for andre land

Under Høyesterettsbehandlingen ble blant annet det amerikanske Cloud act et tema. Den sier at amerikanske myndigheter kan pålegge tilbydere av skytjenester å utlevere data uansett hvor i verden serverne befinner seg.

Dette regelverket har altså noen paralleller til Tidal-spørsmålet, men med noen forskjeller: For det første er det altså bare tilbydere av selve skytjenestene som kan pålegges utlevering, og for det andre gjelder det kun amerikanske selskaper.

I spørsmålet som nå behandles her i Norge er det imidlertid ikke et poeng at Tidal er et norsk selskap. Hverken Horn eller Berg mener det vil være naturlig å skille mellom hvorvidt det er norske eller utenlandske selskaper som skal ransakes, så lenge selskapet opererer i Norge, og man har tilgang til dataene herfra.

Dermed åpner det også prinsipielt for at norske selskaper med kontorer i andre land også må akseptere at det landets myndigheter da får tilgang til selskapets data, uansett hvor disse er lagret, mener Berg.

Horn er enig i at hvis Norge kan laste ned filer som er lagret på servere i utlandet, så må dette stille seg på samme måte for de andre statene.

– Ja, det må jo bli helt parallelt. Hvis det er mistanke om at et norsk selskap som opererer i Russland har brutt russisk lov, slik at russiske myndigheter kan ransake hos selskapet, så må de også kunne ransake dets elektroniske lagringssteder, sier Horn.

• Mener GDPR går for langt og gir Norge en stor ulempe: – Kunstig intelligens krever så mye data som mulig

Kan bryte med andre lands lover

Berg hevder at et av problemene med å laste ned innholdet på servere fra andre land er at man ikke aner hva som ligger der. Når dataene er beslaglagt av et annet land, vil det fortsatt være landet der serveren ligger sine regler som gjelder for behandlingen av dem.

Her kan det være snakk om for eksempel private brukerdata eller forretningshemmeligheter som kan bryte med det andre landets personvernlover eller konkurranselover hvis de havner på avveie.

Horn påpeker imidlertid at dette ikke skiller seg fra hvordan det er med ransakelser av lokale data.

– Sånn er det jo i norske straffesaker hele tiden. Man laster ned store datamengder, også kan det vise seg at det for eksempel er advokatkorrespondanse der, og da kan man ikke ta det. Man kan egentlig ikke engang se på det, så det er utviklet mekanismer som skal hindre det.

Vil gjøre politiarbeidet vanskeligere

Hvis Høyesterett kommer til motsatt beslutning, at Økokrim ikke kan hente ut data fra servere i utlandet, vil dette gjøre politiets arbeid vesentlig vanskeligere, mener Horn.

En slik avgjørelse vil nemlig få konsekvenser for mange saker med potensielle digitale beviser. Da kan de i utgangspunktet bare hente ut data som er lagret lokalt, eller på servere i Norge.

Hvis en nordmann for eksempel er mistenkt for produksjon av overgrepsfilmer av barn, men har lagret filmene på en server i et annet land, vil ikke politiet uten videre kunne hente ut dette bevismaterialet.

– Ja, i utgangspunktet må dette være en generell regel som må gjelde i alle typer tilfeller, sier Berg, og erkjenner at dette nok vil gjøre politiets arbeid vanskeligere.

Det betyr imidlertid ikke at de aldri vil få tilgang til materialet. I noen tilfeller vil dette kunne løses med internasjonalt samarbeid, slik det også gjøres hvis det er fysiske beviser i andre land man ønsker å få tilgang til.

– Det er arbeid på gang, både under datakriminalitetskonvensjonen og i EU for å utarbeide egne regler for effektiv utveksling av datamaterialet, sier Berg.

Horn mener likevel at dette vil ta betydelig lenger tid og mer ressurser, og at det vil innebære at politiet vil få tilgang til mye mindre bevismateriale.

Høyesterettens avgjørelse er ventet å komme innen to uker.

• Cloud Act og GDPR: Amerikansk lovendring kan tvinge selskaper til å bryte GDPR