Udvalget for Videnskab og Teknologi 2010-11 (1. samling)
UVT Alm.del Bilag 99
Offentligt

Forslagt il

Lov om denstatslige varslingstjenestefor internettruslers behandling af personoplysninger

§ 1 .

Loven regulerer den under Minist eriet for Videnskab, Teknologi og Udviklinget ablerede statslige varslingstjeneste for internettruslers behandling af personoplysningerindeholdt i pakke- og trafikdata.Stk. 2. Kommuner, regioner og privat e virksomheder, der er beskæft iget med krit iskinfrast rukt ur, kan anmode om t ilslut ning t il den statslige varslingstjeneste for internettrusler.Stk. 3. Minist eren for videnskab, t eknologi og udvikling kan fast sæt t e nærmere regler forde i st k. 2 anført e myndigheders og privat e virksomheders t ilslut ning t il den st at sligevarslingst j enest e for int ernet t rusler, herunder regler om bet aling.

§ 2 .

I denne lov forst ås ved:1) Pakkedat a: I ndholdet af int ernet baseret kommunikat ion.2) Trafikdat a: Dat a, som behandles med henblik på overføring af pakkedat a, j f. nr. 1.3) Sikkerhedshændelse:Hændelse, der påvirker t ilgængelighed, int egrit eteller

fort rolighed af informat ion eller t j enest er på int ernet t et .

§ 3.

Den st at slige varslingst j enest e for int ernet t rusler behandler, herunder regist rerer,analysererogopbevarer,udenret skendelset ilslut t edemyndigheders ogprivat e

virksomheders ind- og udgående pakke- og t rafikdat a. Den st at slige varslingst j enest e forint ernet t rusler må alene analysere indsamlede pakkedat a i t ilfælde af begrundet mist ankeom en st edfunden eller forvent et sikkerhedshændelse og kun i det omfang, det ernødvendigt for den pågældende analyse.St k. 2. Den st at slige varslingst j enest e for int ernet t rusler slet t er de i st k. 1 nævnt epakke- og t rafikdat a, når formålet med behandlingen er opfyldt . Uanset , at formålet medbehandlingen ikke er opfyldt , kan1) pakke- og t rafikdat a, der knyt t er sig t il en konkret sikkerhedshændelse, maksimaltopbevares i t re år.

Cert if iceret ef t er DS/ EN I SO 9001

2) pakkedat a, der ikke knyt t er sig t il en konkret sikkerhedshændelse, maksimaltopbevares i 14 dage.3) t rafikdat a, der ikke knyt t er sig t il en konkret sikkerhedshændelse, maksimaltopbevares i 12 måneder.Frist erne i nr. 1-3 beregnes fra t idspunkt et for regist reringen af de pågældende dat a iden st at slige varslingst j enest e.St k. 3. Minist eren for videnskab, t eknologi og udvikling kan fast sæt t e nærmere regler forden i st k. 1 nævnt e behandling af pakke- og t rafikdat a.

§ 4 .

Best emmelserne om indsigelse i § 35 i lov om behandling af personoplysningerfinder ikke anvendelse på den st at slige varslingst j enest e for internettruslers behandling afpersonoplysninger.St k. 2. Personer, der virker inden for den st at slige varslingst j enest e for int ernet t rusler,har t avshedspligt , j f. borgerlig st raffelov § 152, j f. § 152 a-e, med hensyn t il oplysninger,som de gennem deres virksomhed i varslingst j enest en får kendskab t il, j f. dog § 5.

§ 5 .

Den st at slige varslingst j enest e kan kun videregive dat a, der er indsamlet som led ivarslingst j enest ens akt ivit et er, i følgende t ilfælde:1) Pakkedat a og t rafikdat a, der knyt t er sig t il en konkret sikkerhedshændelse, kanvideregives t il polit iet .2) Trafikdat akanvideregivest ildanskemyndigheder,t ilslut t edeprivat evirksomheder og t ilsvarende varslingst j enest er i andre lande i henhold t ilvarslingst j enest ens formål.

§ 6 .

Minist eren for videnskab, t eknologi og udvikling nedsæt t er et uafhængigt t ilsyn, derfølger den st at slige varslingst j enest e for int ernet t ruslers virksomhed.St k. 2. Tilsynet best år af en dommer som formand og fire sagkyndige medlemmer,Formanden og medlemmerne af t ilsynet beskikkes af minist eren for videnskab, t eknologiog udvikling. Minist eren for videnskab, t eknologi og udvikling skal ved beskikkelsen aft ilsynet s medlemmer lægge vægt på, at t ilsynet samlet repræsent erer j uridisk, it -revisionsmæssig og sikkerhedsmæssig sagkundskab.St k. 3. Medlemmerne beskikkes for fire år ad gangen og kan genbeskikkes.St k. 4. Minist eren for videnskab, t eknologi og udvikling fast sæt t er rammerne for t ilsynet svirksomhed. Minist eren for videnskab, t eknologi og udvikling kan herunder beslut t e, att ilsynetskaludarbej deenårsberet ningomdenst at sligevarslingst j enest efor

int ernet t ruslers virksomhed.St k. 5. I T- og Telest yrelsen st iller sekret ariat sbist and t il rådighed for t ilsynet .

St k. 6. St at en afholder alle udgift er i forbindelse med t ilsynet s virksomhed.

§ 7 .

Minist eren for videnskab, t eknologi og udvikling kan bemyndige en under minist erietopret t et st at slig myndighed eller eft er forhandling med vedkommende minist er andrest at slige myndigheder t il at udøve de beføj elser, der i denne lov er t illagt minist eren forvidenskab, t eknologi og udvikling.St k. 2. Minist eren for videnskab, t eknologi og udvikling kan fast sæt t e regler omadgangen t il at påklage afgørelser, der er t ruffet i henhold t il bemyndigelse eft er st k. 1,herunder om, at afgørelserne ikke skal kunne påklages.St k. 3. Minist eren for videnskab, t eknologi og udvikling kan fast sæt t e regler omudøvelsen af de beføj elser, som en anden st at slig myndighed eft er forhandling medvedkommende minist er bliver bemyndiget t il at udøve eft er st k. 1.

§ 8 .

Loven t ræder i kraft den 1. j uli 2011.

§ 9 .

Loven gælder ikke for Færøerne og Grønland.

Bemærkninger til lovforslagetAlmindelige bemærkningerI ndholdsfort egnelse

1.1.11.22.3.3.13.23.33.43.53.63.73.84.

Baggrund for lovforslagetI ndledningVarslingst j enest ens behandling af personoplysningerGældende retLovforslaget s indholdTilslut ning t il varslingst j enest enAut omat isk indsamling af personoplysningerAdgang t il t rafik- og pakkedat aVideregivelse af oplysningerUafhængigt t ilsynForholdet t il persondat alovenForholdet t il grundlovens § 72Forholdet t il den europæiske menneskeret t ighedskonvent ionDe økonomiske og administ rat ive konsekvenser for det offent lige

5.6.7.8.9.10.

De økonomiske og administ rat ive konsekvenser for erhvervslivetDe administ rat ive konsekvenser for borgerneDe milj ømæssige konsekvenserForholdet t il EU-ret t enDe hørt e myndigheder og organisat ionerSammenfat t ende skema

1 . BAGGRUND FOR LOVFORSLAGET

1 .1 . I ndledning

1 .1 .1 .

I nt ernet t et og informat ionssyst emer er blevet en afgørende fakt or for denøkonomiske og samfundsmæssige udvikling. I nt ernet t et s og informat ionssyst emernessikkerhed og fleksibilit et får st adig st ørre bet ydning for samfundet .

Det er regeringens vision, at Danmark skal være blandt verdens førende høj t eknologiskesamfund. Det kræver, at borgere, virksomheder og det offent lige har adgang t il avanceretinfrast rukt ur forinformat ions- og kommunikat ionst eknologi (ikt )og t il effekt ivt at udnyt t ede muligheder, der følger med digit aliseringen. Det kræver også, at borgere ogvirksomheder er t rygge ved ikt -anvendelsen og har t illid t il t j enest er på int ernet t et .

I nt ernet t et er blevet en del af den krit iske infrast rukt ur. En række af de funkt ioner, somudføres af det offent lige, og som er væsent lige for st at ens virke, afhænger af int ernet t et .

Det er nødvendigt at sikre, at syst emernes sikkerhedsniveau er t ilst rækkeligt t il at sikreen fort sat og korrekt drift af de offent lige it -syst emer. Den t eknologiske udvikling gør detmuligtativærksæt t eomfat t endeelekt roniskeangrebpådenint ernet baserede

infrast rukt ur, hvilket kan medføre sammenbrud. Sådanne sammenbrud kan få alvorligekonsekvenser for vit ale samfundsfunkt ioner, uanset om de er forårsaget af hændeligeuheld eller af bevidst e handlinger.

Det er en kendsgerning, at angrebene på int ernet t et bliver st adig mere sofist ikerede, ogat hackere st adig bliver hurt igere t il at udnyt t e de sårbarheder, der løbende opst år iint ernet t et s komponent er.

Som

eksempler

på

angreb

mod

nat ionale

digit ale

infrast rukt urer

kan

nævnes

sikkerhedshændelserne i henholdsvis Est land i april 2007 og Georgien i august 2008. Ibegge t ilfælde best od angrebene af meget st ore mængder int ernet t rafik ( pakke- og

t rafikdat a) mod vigt ige offent lige og privat e hj emmesider og syst emer med den effekt , atde ikke længere kunne t ilgås, ligesom sikkerhedshuller på hj emmesider blev udnyt t et t ilat udskift e indholdet af disse. Angrebene var primært ret t et mod t v-st at ioner, aviser,minist erier og polit iske organisat ioners hj emmesider og medført e i både Est land ogGeorgien, at regeringerne fik svækketderes int erne kommunikat ionskanaler samt

muligheden for at kommunikere med befolkningen. Angrebene var således ret t et modbåde st at ens sikkerhed og pressefriheden.

I Est land blev angreb også ret t et mod finansinst it ut ioners hj emmesider med en rækkealvorlige følger for finanssekt oren. En st ørre del af befolkningen kunne således ikke viaint ernet t ethævepengeellerudførefinansiellet ransakt ionerifleredage.

Kredit kort t erminaler, som kommunikerer med bankerne via int ernet t et , blev også ramt .

Disse eksempler underst reger, at et moderne samfund er afhængigt af et robust int ernet .

Behovet

berøres

EU-Kommissionens

meddelelse

Beskyt t else

mod

st orst ilede

cyberangreb og sammenbrud: øget beredskab, sikkerhed og robust hed

af 30. mart s

2009. Meddelelsen bygger videre på EU s ambit ion om at st yrke sikkerhed i og t illiden t ilinformat ionssamfundet . Kommissionen fremhæver i meddelelsen særligt st rat egien for etsikkert informat ionssamfund fra 2006.

I meddelelsen lægger Kommissionen vægt på forebyggelse, beredskab og bevidst gørelseog opst iller en plan over øj eblikkelige t ilt ag, der skal st yrke sikkerheden og robust heden ikrit isk informat ionsinfrast rukt ur. Et af disse t ilt ag er et ablering af velfungerende st at sligevarslingst j enest er i alle medlemslande inden udgangen af 2011.

I erkendelse af int ernet t et s vit ale bet ydning beslut t ede regeringen i maj 2009 at opret t een st at slig varslingst j enest e for sikkerhedshændelser på int ernet t et , en såkaldt GovCERT(Government Comput er Emergency Response Team).

Offent lige myndigheder kommunikerer i dag i høj grad via int ernet t et med borgere ogvirksomheder. Med opret t elsen af GovCERT ønsker regeringen bl.a. at mindske risikoenfor,atenellerflereoffent ligemyndighederselekt roniskekommunikat ionmed

omverdenen bliver afskåret i flere dage. Det t e kan udgøre en sikkerhedsrisiko og ogsåhave st ore administ rat ive og økonomiske konsekvenser t il følge. Tilsvarende gør siggældende for privat e virksomheder beskæft iget med krit isk infrast rukt ur.

GovCERT er placeret i I T- og Telestyrelsen, idet Minist eriet for Videnskab, Teknologi ogUdvikling har ressort ansvaret for sager vedrørende it -sikkerhed og t illige varet agerkoordineringen af it - og t eleberedskabet . GovCERT er ved udgangen af 2010 blevet fuldtfunkt ionsdygt ig. GovCERT kan dog først t ilbyde alle de påt ænkt e ydelser over for det ilslut t ede myndigheder, når der med Folket inget s vedt agelse af det t e lovforslag ert ilvej ebragt særskilt hj emmel t il GovCERT s behandling af personoplysninger indeholdt ipakke- og t rafikdat a.

GovCERT s formål er at være en varslingst j enest e for int ernet t rusler, og herved medvirket il, at der i st at en er overblik over t rusler og sårbarheder i t j enest er, net og syst emerrelat eret t il int ernet t et . GovCERT vurderer løbende det sikkerhedsmæssige risikobilledefor st at ens anvendelse af int ernet t et og varsler myndigheder om int ernet baseredesikkerhedshændelser og t rusler, og varslingst j enest en vil også t ilbyde bist and t il atimødegå konsekvenserne af angrebene.

I fuld drift vil GovCERT desuden kunne t ilbyde en række ydelser, som samlet set sikrer,at der kan reageres hurt igt og effekt ivt over for t rusler mod it -sikkerheden i primært dendanske st at . GovCERT vil således i høj grad kunne medvirke t il at begrænse, afkort e og ivisse t ilfælde forhindre nedbrud i it -infrast rukt uren.

Gennem GovCERT og minist eriernes fælles indsat s øges sikkerheden for den st at sligeanvendelse af int ernet t et . GovCERT medvirker t il, at st at en kan reagere koordineret påt rusler mod informat ionssikkerheden.

GovCERT samarbej der blandt andet med DK-CERT og andre landes nat ionale CERT er.DK-CERT(DanishComputerogUNI-C'sEmergencyinterneResponseTeam)erentjenestefrastyrelsen UNI-C under Undervisningsministeriet. DK-CERT fungerer som CERT forForskningsnettetnet.

GovCERT vil

derfor

kunne

formidle

informat ion om int ernet sikkerhed t il myndighederne, der rækker ud over det , der erkommercielt t ilgængeligt .

GovCERT s ydelser st illes som udgangspunkt t il rådighed for st at ens inst it ut ioner.

Lovforslaget hj emler desuden, at kommuner og regioner samt visse krit iske sekt orer(f.eks. finans-, energi-, samt it - og t elesekt oren) vil kunne t ilslut t e sig GovCERT.

1 .1 .2 .

I nt ernat ionalt er det erkendt , at det er en vigt ig opgave at reducere de risici, derer forbundet med anvendelsen af int ernet t et . En række europæiske lande har såledeset ableret st at slige varslingst j enest er, som varet ager overvågnings- og varslingsopgaverfor det st at slige område.

Varslingst j enest er i de øvrige europæiske lande er t ypisk karakt eriseret ved, at de erst at sligt ej et og drevet , og at målgruppen for deres virke er hele st at en. For allevarslingst j enest er gælder det , at ansvaret og drift en er placeret i samme myndighed. Dererdognat ionaleforskellepådenorganisat oriskeplacering.Hovedpart enaf

varslingst j enest erne er placeret hos civile myndigheder, og der er et ableret et t ætsamarbej de med sikkerhedsmyndighederne i de pågældende lande.

I Norge blev der i 2000 et ableret et Varslingssyst em for Digit al I nfrast rukt ur (VDI ). VDIorganiserer og driver et nat ionalt net værk af indbrudsdet ekt ionssensorer på int ernet t et ,som det ekt erer, om der forsøges udført uønsket akt ivit et mod krit isk digit al infrast rukt ur iNorge. VDI omfat t er ikke kun de offent lige inst it ut ioner, men også en række forsamfundet krit iske privat e virksomheder.

I Sverige er der t ilsvarende et ableret en nat ional GovCERT, og det er eft er norskforbillede yderligere beslut t et at undersøge mulighederne for at udbygge og samordne deeksist erende varslingssyst emer.

I Frankrig er GovCERT funkt ionen varet aget af CERTA, som er en del af det franskemilit ære og civile sikkerhedssyst em. CERTA er ansvarlig for at bist å de franske st at sligeorganer med at sikre, at den fornødne informat ionssikkerhed er t il st ede, samt hj ælpemed at behandle sikkerhedshændelser eller angreb mod st at ens it -syst emer.

1 .1 .3 .

GovCERT s ydelser kan grundlæggende opdeles i t o hovedgrupper: Ydelser, dert ilbydes med henblik på at forebygge alvorlige int ernet relat erede sikkerhedshændelser ogydelser, som t ilbydes eft er en hændelse er indt ruffet . De konkret e ydelser er udviklet i enfokusgruppe best ående af St at ens I t , Udenrigsminist eriet og SKAT. Ydelseskat aloget harendvidere været forelagt St at ens I t -sikkerhedsforum, St at ens I t -forum og St at ens I t -råd.

1 .1 .4 .

GovCERT er et ableret i I T- og Telest yrelsen og indgår i I T- og Telest yrelsenssekt orberedskab. Beredskabet har t il formål at sikre, at samfundsvigt ig elekt ronisk

kommunikat ion kan finde st ed i en beredskabssit uat ion med henblik på, at samfundet sfunkt ioner, som måt t e være afhængige heraf, så vidt muligt kan opret holdes.

GovCERT s opgaver kan opsummeres således:

- I ndhent ning af informat ion om sikkerhedshændelser og akt ivit et er i net og syst emeri st at en.- Analyse og vurdering af int ernet -sikkerhedsniveauet i st at en samt analyse afenkelt hændelser.- Varslingomint ernet -relat eredesikkerhedshændelser,rådgivningom

modforholdsregler og i særlige t ilfælde bist and t il myndigheder ved omfat t endehændelser.- Kont akt punkt for t ilsvarende varslingst j enest er i andre lande og løbende udvekslingaf informat ion med disse.

GovCERT s opgaver

vedrørende varsling og informat ionsindsamling forudsæt t er

opdat eret og indgående kendskab t il sit uat ionen på int ernet t et og især den t rafik, som erpå den danske del af int ernet t et . Det t e kendskab t ilegnes gennem analyse af pakke- ogt rafikdat a for virus- og hackerangreb.

Det er derfor nødvendigt at et ablere et alarmsyst em i form af et såkaldt I nt rusionDet ect ion Syst em (GovCERT I DS) på udvalgt e inst it ut ioners int ernet linj er. I DS-t j enest ener et t ilbud t il inst it ut ionerne, som er t ilslut t et GovCERT. Se mere om GovCERT I DS under1.2.2.

1 .1 .5 .

Da GovCERT vil få kendskab t il oplysninger om sårbarheder i it -syst emer i st at en,er det nødvendigt , at GovCERT klassificerer informat ionerne i henhold t il St at sminist eriet ssikkerhedscirkulære (cirkulære nr. 204 af 7. december 2001). GovCERTs lokaler ogpersonale er godkendt t il at håndt ere informat ioner klassificeret under cirkulæret t ilniveauet HEMMELI G.

1 .2 . Varslingst j enest ens behandling af personoplysninger

1 .2 .1 .

Formålet med lovforslaget er at sikre den nødvendige lovhj emmel t il GovCERT sbehandling af personoplysninger indeholdt i de indsamlede pakkedat a og t rafikdat a.Behandlingen af personoplysninger er påkrævet for, at varslingst j enest ens formål kanopfyldes. Som beskrevet i lovforslaget s § 3 og nedenfor er det dog kun i visse

afgrænsede t ilfælde, at GovCERT vil få adgang t il personoplysninger indeholdt i pakke-og t rafikdat a. Herudover er det formålet , at både kommuner og regioner samt privat evirksomheder, der beskæft iger sig med krit isk infrast rukt ur, kan t ilbydes at blive t ilslut t ett j enest en.

Begreberne

personoplysning

behandling

skal forst ås i overensst emmelse med

definit ionerne i persondat alovens § 3, st k. 1, nr. 1 og 2. I relat ion t il det t e lovforslag erdet særligt relevant at bemærke, at ip-adresser bet ragt es som personoplysninger, hvorforpersondat aloven også finder anvendelse på t rafikdat a, som bl.a. omfat t er ip-adresser, j f.definit ionen heraf i lovforslaget s § 2, nr. 2.

GovCERT skal i først e række sikre de st at slige myndigheder, der vælger at t ilslut t e sigvarslingst j enest en, mod hacker- og virusangreb. Til det formål er der med GovCERTet ableret det nævnt e alarmsyst em (GovCERT I DS), der skal behandle myndighedernesind- og udgående int ernet t rafik ( pakke- og t rafikdat a). Behandlingen best år eksempelvisafenaut omat iskfrascanningkendt eafint ernet t rafikkenogafeft erenit -angrebbaseretafpåen

angrebssignat ur

it -angreb,

manual

vurdering

mulige

angrebskarakt erist ika ved begrundet mist anke om it -angreb.

Kommuner

regioner

skal

også

kunne

t ilslut t e

sig

GovCERT

det

omfang,

varslingst j enest en har kapacit et hert il. Det er en forudsæt ning for denne t ilslut ning, atkommuner og regioner, der vælger at t ilslut t e sig varslingst j enest en, selv bet aler fuldt udfor GovCERT s ydelser i det omfang, kommunernes og regionernes t ilslut ning ikke erfinansieret på anden vis, f.eks. via UMTS-midlerne.

Målet for GovCERT s virke er overordnet via analyse- og varslingsvirksomhed i videstmuligt omfang at undgå, at offent lige myndigheder udsæt t es for både små og mereomfangsrige hacker- og virusangreb.

Ansvaret for den enkelt e myndigheds it -sikkerhed ændres ikke som følge af GovCERT sakt ivit et er. Det er således fort sat den enkelt e myndigheds ansvar at opret holde etpassende niveau for it -sikkerhed. GovCERT vil rådgive og bist å de t ilslut t ede myndighederi fornødent omfang, uden at der herved ændres ved den eksist erende ansvarsfordeling.

Dele af den krit iske nat ionale infrast rukt ur som f.eks. elforsyningen, forest ås i dag afprivat e virksomheder. Det samfundsmæssige behov for GovCERT s bist and gør sig også

gældende for disse virksomheder. Lovforslaget indeholder derfor hj emmel t il, at dissevirksomheder også kan t ilslut t e sig varslingst j enest en på et senere t idspunkt . Derhenvises t il de specielle bemærkninger neden for i forbindelse med lovforslaget s § 1, st k.2.

1 .2 .2 .

For at nå målet skal GovCERT indhent e informat ion om sikkerhedshændelser ogakt ivit et er i net og syst emer hos de t ilslut t ede myndigheder, ligesom GovCERT skal varsleved int ernet relat erede sikkerhedshændelser samt generelt vurdere sikkerhedsniveauet påint ernet t et . Endelig skal der udarbej des risikoanalyser. Det t e indebærer, at GovCERT haret løbende og indgående kendskab t il sikkerhedssit uat ionen på den danske del afint ernet t et .

Forudsæt ningen

for

kunne

t ilegne

sig

det t e

indgående

kendskab

er,

int ernet t rafikken (pakke- og t rafikdat a) behandles på såkaldt pakkeniveau for virus- oghackerangreb. Ved pakkeniveau forst ås de enkelt dele som int ernet t rafikken nedbrydes i, iforbindelse med dat at ransmission. Således kan eksempelvis en e-mail best å af alt franogle ganske få t il flere t usinde dat apakker afhængig af mailens st ørrelse.

Med henblik på denne behandling af int ernet t rafikken er der med GovCERT et ableret detomt alt e I nt rusion Det ect ion Syst em ( I DS).

GovCERT I DS best år bl.a. af decent rale I DS-enheder, som placeres på de t ilslut t edemyndigheders int ernet forbindelse. Disse enheder analyserer pakke- og t rafikdat a forangrebsmønst re på int ernet forbindelsen og lagrer pakke- og t rafikdat a i maksimalt 14kalenderdage, dog som udgangspunkt kun i seks kalenderdage. Frist en forlænges t il t reår, hvis der er t ale om en bekræft et sikkerhedshændelse j f. nedenfor.

Herudover omfat t er syst emet cent rale servere hos GovCERT. Disse anvendes t il lagring afpakke- og t rafikdat a og t il analyser og dat alagring i et hændelsesregist reringssyst em.

Med et ableringen af GovCERT I DS vil varslingst j enest en have mulighed for løbende atanalysere net værkst rafikken mellem de t ilslut t ede myndighederog int ernet t etog

herigennem danne sig et normalbillede, hvilket er cent ralt for GovCERT s virke.

Normalbilledet defineres af GovCERT på grundlag af indsamling af oplysninger i GovCERTI DS,ogbest åreksempelvis afenoversigtover,hvilke ip-adresserdert ypisk

kommunikeres med, på hvilket t idspunkt , og i hvilket omfang. Hvis der pludselig skervæsent lige ændringer i normalbilledet , som ikke kan begrundes med særlige akt ivit et erhos myndigheden selv, vil GovCERT kunne gennemføre t ilbundsgående t ekniske analyseraf pakke- og t rafikdat a, herunder spore hvorfra event uel anormal t rafik udgår, ogvurdere, om hensigt en med det t e må formodes at være fj endt lig. Et eksempel på anormalt rafik kan være, at en myndighed t ransmit t erer st ore mængder dat a t il en ip-adresseuden for normal arbej dst id, hvort il der ikke plej er at være særlig akt ivit et .

De oplysninger, som GovCERT behandler, kan bet egnes som pakkedat a, t rafikdat a ogalarmer.t rafikdat a.Alarmer genereres af GovCERT I DS ud fra best emt e t rafikmønst re i pakke- og

Pakkedat a vil blive slet t et umiddelbart eft er GovCERT s analyse, hvis denne ikke visert egn på en sikkerhedshændelse. Analyseret pakkedat a vil således kun blive opbevaret ,såfremtdat aerrelat erett ilenkonkretsikkerhedshændelseiGovCERT s

hændelsesregist reringssyst em.

Pakke- og t rafikdat a, herunder alarmer, der indgår som informat ion i en bekræft etsikkerhedshændelse, opbevares i op t il t re år. Trafikdat a der ikke er relat eret t il enbekræft et sikkerhedshændelse gemmes i op t il 12 måneder.

Det er cent ralt at bemærke sig vedrørende de t re nævnt e t idsfrist er i loven, at der er t aleom den maksimale t id, som GovCERT kan opbevare de pågældende oplysninger i. Detfølger af persondat alovens § 5, st k. 5, at de oplysninger, som GovCERT indsamler, ikkemå opbevares på en måde, der giver mulighed for at ident ificere den regist rerede i etlængere t idsrum end det , der er nødvendigt af hensyn t il de formål, hvort il oplysningernebehandles.

Persondat alovens § 5, st k. 5, har således den konsekvens i forhold t il de omt alt et idsfrist er for slet ning af indsamlede oplysninger, at GovCERT er forpligt et t il at slet t eoplysningerne på et t idligere t idspunkt , hvis varslingst j enest ens formål ikke længere gøropbevaringen nødvendig.

Frist erne er i øvrigt fast lagt på baggrund af en it -t eknisk vurdering af det nødvendigebehov i forbindelse med GovCERT s virke. I forbindelse med denne vurdering er erfaringerfra andre landes CERT'er inddraget . Frist ens længde på t re år er valgt for at kunne

sammenholde angreb med t idligere angreb inden for en t eknologisk relevant periode, dader fort sat ses angreb ret t et mod sårbarheder eller konfigurat ionsfej l, der er flere årgamle. Tre år bet ragt es som den t eknologiskelevealderfor mange it -syst emer,

hvoreft er syst emerne må udfases eller gennemgribende opdat eres.

1 .2 .3 .

GovCERT s formål er ikke at indsamle personoplysninger. Som følge af den ovenfor beskrevne rent t ekniske behandling af pakke- og t rafikdat a med henblik påvarslingsopgaven indebærer GovCERT s akt ivit et er dog uundgåeligt også behandling afpersonoplysninger, herunder indsamling og opbevaring af personoplysninger.

Den beskrevne behandling af personoplysninger i forbindelse med indsamlingen af det ilslut t ede myndigheders ind- og udgående int ernet t rafik (pakke- og t rafikdat a) er såledesen uundgåelig konsekvens af GovCERT s arbej de med løbende at vurdere it -sikkerhedenog varsle myndigheder om sikkerhedshændelser og t rusler på int ernet t et .

Formålet med det t e lovforslag er således at t ilvej ebringe den anbefalede særskilt elovhj emmel for GovCERT s behandling af personoplysninger.

2 . GÆLDENDE RET

2 .1 .1 .

Lov om behandling af personoplysninger (persondat aloven) gælder for behandlingafpersonoplysninger,somheltellerdelvis foret ages vedhj ælpafelekt ronisk

dat abehandling, j f. lovens § 1, st k. 1.

Personoplysninger og behandling er defineret i persondat alovens § 3, st k. 1, nr. 1 og2. Begreberne skal forst ås i overensst emmelse med disse definit ioner.

Persondat alovens

indeholder

række

grundlæggende

principper

for

den

dat aansvarliges behandling af oplysninger, herunder regler om indsamling, aj ourføring ogopbevaring mv. Behandling af oplysninger skal ske i overensst emmelse medgod

dat abehandlingsskik , j f. § 5, st k. 1. Det t e indebærer, at behandlingen skal være rimeligog lovlig.

I ndsamling af oplysninger må endvidere kun ske t il udt rykkeligt angivne og sagligeformål, og senere behandling af oplysningerne må ikke være i st rid med disse formål, j f.§ 5, st k. 2.

I kravet om udt rykkelighed ligger, at den dat aansvarlige i forbindelse med indsamlingenskal angive et formål, som er t ilst rækkeligt veldefineret og velafgrænset t il at skabeåbenhed og klarhed omkring behandlingen, og at formålet skal defineres med en vispræcision. I kravet om saglighed ligger, at en indsamling skal ske t il løsning af enopgave, som det ligger inden for den offent lige myndigheds område at varet age,henholdsvis inden for den (lovlige) virksomhed, som den privat e foret ager.

Eft er § 5, st k. 3, skal de oplysninger, som behandles, være relevant e og t ilst rækkelige ogmå ikke omfat t e mere, end hvad der kræves t il opfyldelse af de formål, hvort iloplysningerneBest emmelsenindsamles,indeholderogetdeformål,hvort iloplysningernesenerebehandles.af

proport ionalit et sprincip,

hvoreft er

behandling

personoplysninger ikke må gå videre, end hvad der kræves t il opfyldelse af de formål,som den dat aansvarlige er beret t iget t il at forfølge. Om bet ingelsen om proport ionalit eter opfyldtbehandles.må vurderes ud fra den konkret e sammenhæng, hvori oplysningerne

Det følger af persondat alovens § 5, st k. 5, at indsamlede oplysninger ikke må opbevarespå en måde, der giver mulighed for at ident ificere den regist rerede i et længere t idsrumend det , der er nødvendigt af hensyn t il de formål, hvort il oplysningerne behandles.

2 .1 .2 .

Persondat alovens §§ 6-8 indeholder en række best emmelser om, hvornårindsamling,regist reringogvideregivelseafpersonoplysningerkanske

(behandlingsregler). GovCERT s akt ivit et er vil kun kunne udøves, hvis disse bet ingelser eropfyldt .

Eft er persondat alovens § 6, st k. 1, nr. 1-7, kan behandling af almindelige, ikke-følsommepersonoplysninger (dvs. alle andre oplysninger end følsomme oplysninger omfat t et aflovens §§ 7 og 8) ske, hvis den regist rerede har givet udt rykkeligt samt ykke, eller hvisbehandlingen er nødvendig af nærmere angivne grunde, herunder for at udføre enopgave i samfundet s int eresse eller for at udføre offent lig myndighedsudøvelse, som dendat aansvarlige har fået pålagt .

Eft er persondat alovens § 7, st k. 1, gælder et almindeligt forbud mod behandling afoplysninger om racemæssig eller et nisk baggrund, polit isk, religiøs eller filosofiskoverbevisning, fagforeningsmæssige t ilhørsforhold samt oplysninger om helbredsmæssigeog seksuelle forhold. § 7, st k. 2-6, indeholder dog visse undt agelser hert il. Behandlingkan f.eks. ske, hvis den er nødvendig for, at et ret skrav kan fast lægges, gøres gældendeeller forsvares (st k. 2, nr. 4). Eft er § 7, st k. 2, nr. 4,kan behandlingen ske i dendataansvarliges, den registreredes eller i tredjemands interesse. Bestemmelsenomfatter bl.a. offentlige myndigheders behandling af oplysninger som led imyndighedsudøvelse.

Eft er persondat alovens § 8 gælder der særlige behandlingsregler med hensyn t iloplysninger om st rafbare forhold, væsent lige sociale problemer og lignende følsommeprivat livsforhold. Sådanne oplysninger må kun behandles, hvis bet ingelserne i lovens § 7er opfyldt . Ud over, hvad der følger af § 7, kan en offent lig forvalt ningsmyndighedbehandle oplysninger om st rafbare forhold, væsent lige sociale problemer og lignendefølsomme privat livsforhold, hvis det er nødvendigt for at varet age den pågældendemyndigheds opgaver.

2 .1 .3 .

Persondat alovens kapit el 8-10 indeholder en række regler om den regist reredesret t igheder, som bl.a. omfat t er ret t il informat ion om, at der indsamles oplysninger omden pågældende, j f. lovens §§ 28 og 29.

Eft er § 29, st k. 1, påhviler det som udgangspunkt den dat aansvarlige at oplyse om sinident it et og formålet med behandlingen mv. Det gælder dog ikke, hvis den regist reredeallerede er bekendt med oplysningerne, hvis regist reringen eller videregivelsen afoplysninger udt rykkeligt er fast sat ved lov, eller hvis underret ning af den regist reredeviser sig umulig eller uforholdsmæssigt vanskelig. Oplysningspligt en kan endviderebegrænses i medfør af lovens § 30, hvis det f.eks. er nødvendigt af hensyn t ilforebyggelse og eft erforskning af st raffesager.

Den regist rerede har endvidere ret t il indsigt i de oplysninger, der behandles om denpågældende, og har bl.a. ret t il at gøre indsigelse mod, at behandling finder st ed, at fåkorrigeret eller slet t et oplysninger, der er urigt ige eller vildledende, og at klage t ilDat at ilsynet , j f. lovens §§ 31-35 og 37-40.

2 .1 .4

. Persondat alovens §§ 41 og 42 omhandler fort rolighed og dat asikkerhed. Dendat aansvarligeskaliværksæt t edefornødnet ekniskeogorganisat oriske

sikkerhedsforanst alt ninger mod, at oplysninger kommer t il uvedkommendes kendskab,misbruges eller i øvrigt behandles i st rid med loven. Relevant e sikkerhedst ilt ag kan f.eks.være fysisk sikring af dat amedier, adgangskont rol og brug af password samt uddannelseog inst rukt ion.

For

offent lige

myndighedersreglerom

behandlingdat asikkerhed

afog

personoplysningerdenimedfør

gælderheraf

både

persondat alovens

udst edt e

sikkerhedsbekendt gørelse, j f. bekendt gørelse nr. 528 af 15. j uni 2000 med senereændringer om sikkerhedsforanst alt ninger t il beskyt t else af personoplysninger, sombehandles for den offent lige forvalt ning.

2 .1 .5 .

Dat at ilsynet har t il opgave at føre t ilsyn med persondat alovens overholdelse,behandle klager fra regist rerede personer samt afgive udt alelser og udst ede t illadelser iforbindelse med anmeldelse af behandlinger t il t ilsynet , j f. lovens §§ 57-64.

Eft er

persondat alovens § 62,

stk.

har

Dat at ilsynet

mulighed for

foret age

inspekt ioner (kont rolbesøg) hos bl.a. offent lige myndigheder.

3 LOVFORSLAGETS I NDHOLD

3 .1 . Tilslut ning t il varslingst j enest en

GovCERT bygger på, at offent lige myndighederst illingt il,ommyndighedenvilt ilslut t esigførst og fremmest st at sligedenst at sliget agerfor

varslingst j enest e

int ernet t rusler. Lovforslaget lægger som beskrevet oven for op t il at også andrekommunale og regionale myndigheder samt privat e virksomheder beskæft iget med krit iskinfrast rukt urvil kunne få mulighed for at vælge at t ilslut t e sig.

3 .2 . Aut om at isk indsam ling af personoplysninger

3 .2 .1 .

Deterhensigt enmedlovforslaget ,atdenformforbehandlingaf

personoplysninger, som GovCERT s akt ivit et er vil medføre, skal anskues som GovCERT sindsamling af oplysninger og ikke som videregivelse af oplysninger fra de t ilslut t edemyndigheder t il GovCERT.

Det anført e gælder navnlig som følge af, at GovCERT selv opst iller de omt alt e decent raleI DS-enheder, som placeres uden for de t ilslut t ede myndigheders int erne net værk, og

fordi GovCERT hereft er aut omat isk i I DS-enhederne modt ager oplysninger om ind- ogudgående int ernet t rafik (pakke- og t rafikdat a).

Det anført e medfører, at GovCERT ved den aut omat iske indsamling af personoplysningerikke skal opfylde de af persondat alovens regler, der alene vedrører den form forbehandling af personoplysninger, der beskrives som videregivelse. Se i øvrigt omGovCERT s videregivelse af indsamlede oplysninger neden for under punkt 3.3.

3 .2 .2 .

GovCERT bygger på en forudsæt ning om, at der ikke kan eller vil blive indhent etsamt ykke t il GovCERT s behandling af personoplysninger, da GovCERT s indsamling afbl.a. personoplysninger som nævnt sker aut omat isk.

3 .3 . Adgang t il t rafik- og pakkedat a

Lovforslaget indebærer, at GovCERT får adgang til såvel trafikdata som pakkedata. Det skal i denforbindelse særligt overvej es, hvorvidt det er nødvendigt og proport ionalt , at GovCERThar adgang t il at kigge i pakkedat a ved sikkerhedshændelser, eller om formålet medGovCERT kunne imødekommes alene ved adgang t il t rafikdat a eller med en anden t ekniskindret ning af GovCERT s syst emer. Såfremt det konkluderes, at adgang t il pakkedat a ernødvendigt og proport ionalt , skal det eft erfølgende vurderes, i hvilket omfang, der skalgives adgang t il pakkedat a. Der skal være den fornødne proport ionalit et mellemadgangen t il pakkedat a og hensynet t il privat livet s fred. Denne proport ionalit et safvej ninger afspej let i lovforslaget s § 3, st k. 1, og uddybes nedenfor.

I DS-alarmsyst emet , som et ableres som led i GovCERT s virke, holder via en lokalelekt ronisk alarmenhed, opsat hos de t ilslut t ede offent lige myndigheder, øj e medint ernet t rafikken (pakke- og t rafikdat a). Alarmenheden regist rer al ind- og udgåendeint ernet t rafikbåde pakkedat a og t rafikdat a. Enheden sender dog kun dat a t il GovCERT

ved mist anke om en sikkerhedshændelse.

Hvis GovCERT kun får adgang t il at behandle t rafikdat a ident ificeres blot mulige t egn påit -angreb. Angrebet s indhold og karakt er kan ikke nærmere analyseres og beskrives udfra t rafikdat a, og de relevant e modforanst alt ninger kan dermed ikke beslut t es.

For at GovCERT skal kunne yde en proakt iv og reakt iv indsat s for sikkerheden påint ernet t et og være i st and t il at varsle om it -angreb, således at angrebskilden kanfj ernes, inden skadesvirkningen spredes, er det nødvendigt at have adgang t il de

pakkedat a, som er relat eret t il den pågældende sikkerhedshændelse. Herved vil detkunne fast slås,hvorvidtdokument er,e-mails med videre erblevetkopieretog

videresendt fra brugerkredsen, og i givet fald hvilke dokument er.hereft er fast slås, og de relevant e modforanst alt ninger beslut t es.

Skadevirkningen kan

For

eksempel

kan

e-mail

med

virusinficeret

PDF-dokument

omgå

både

ant ivirusprogrammer og firewall hos en myndighed og hereft er kopiere og sendedokument er fra den inficerede PC t ilbage t il hackeren uden myndighedens vidende. HvisGovCERT ikke har adgang t il pakkedat a, vil GovCERT ikke kunne analysere denne virus ogt ræffe de relevant e modforanst alt ninger sammen med den berørt e myndighed.Hert il

kommer, at det ikke uden adgang t il pakkedat a vil være muligt for GovCERT at fast slåkonsekvenserne for den berørt e myndighed af et vellykket it -angreb.

De nødvendige oplysninger t il brug for effekt iv analyse og håndt ering af angreb liggersåledes i pakkedat a, og GovCERT vil ikke kunne håndt ere krit iske it -angreb påbet ryggende vis uden adgang t il pakkedat a.

Eft er denne overordnede vurdering af, at det er nødvendigt og proport ionalt at giveGovCERT adgang t il pakkedat a, skal det vurderes, i hvilket omfang GovCERT skal haveadgang t il pakkedat a. Der er lagt op t il, at pakke- og t rafikdat a, som knyt t er sig t il enkonkret sikkerhedshændelse, kan opbevares i t re år. Pakkedat a, der ikke er knyt t et t il enkonkret sikkerhedshændelse, kan maksimalt lagres i 14 kalenderdage. Som udgangspunktvil pakkedat a dog kun blive opbevaret i seks kalenderdage. Trafikdat a, som ikke knyt t ersig t il en konkret sikkerhedshændelse, kan maksimalt opbevares i 12 måneder. Det ervigt igt at være opmærksom på, at frist erne alle er maksimumfrist er. GovCERT vil løbendevære forpligt et t il at slet t e dat a, som ikke længere er relevant e for GovCERT s virke,uanset at frist erne beskrevet i § 3 ikke er overskredet . Derudover er det i § 3 fast sat , atindsamlede pakkedat a kun vil kunne blive analyseret af GovCERT, hvis der er begrundetmist anke om en sikkerhedshændelse, og at det kun er den relevant e del af de indsamlededat a, som kan analyseres.

I hvilket omfang der skal gives adgang t il pakkedat a vil

udover disse generelle frist er

for opbevaring - desuden skulle vurderes i den enkelt e konkret e sag ved en alarm om ensikkerhedshændelse.

Det er med GovCERT s alarmsyst em pt . ikke muligt at foret age en t eknisk graduering afadgangen t il pakkedat a på en sådan måde, at der f.eks. kun gives adgang t il visse dele afindholdet af en e-mail. Der kan kun skelnes mellem adgang t il pakkedat a eller adgang t ilt rafikdat a. GovCERT vil imidlert id følge mulighederne t æt for at finde en t eknisk løsningherpå.

Længden af frist erne i § 3 er fast sat på baggrund af en proport ionalit et safvej ning afhensynet t il GovCERT s virke set i forhold t il hensynet t il privat livet s fred. Det er i vissesit uat ioner væsent ligt for GovCERT at kunne sammenholde nyindsamlede dat a med ældredat a for f.eks. at kunne analysere et it -angreb nærmere. Heroverfor st år hensynet t il deberørt e borgeres privat liv. Denne afvej ning har result eret i de nævnt e frist er, som ogsåer fast sat under inddragelse af erfaringer fra andre landes CERT er.

3 .4 . Videregivelse af oplysninger

3 .4 .1 .

Det følger af den foreslåede best emmelse i § 5, at den st at slige varslingst j enest ekanvideregivepakkedat aogt rafikdat a,derknyt t ersigt ilenkonkretsikkerhedshændelse, t il polit iet . Formålet hermed er at sikre, at polit iet kan modt ageoplysninger t il brug for eft erforskning og forfølgelse af st rafbare forhold, der kan værebegået i forbindelse med en konkret sikkerhedshændelse, som f.eks. et virusangreb.GovCERT vil dog have behov for en videre adgang t il at udveksle t rafikdat a, herunder ip-adresser, t il andre myndigheder og t ilslut t ede privat e virksomheder ved varsling eller it ilfælde af konkret e sikkerhedshændelser. Videregivelsen skal sikre, at myndighederne ogde pågældende virksomheder kan iværksæt t e lokale modforanst alt ninger over forhændelsen. Det kan for eksempel være blokering af kommunikat ion med en specifik ip-adresse.

Der henvises i øvrigt t il de specielle bemærkninger nedenfor vedrørende lovforslaget s §5.

3 .4 .2 .

GovCERT vil i øvrigt have behov for at udveksle ip-adresser og anden t rafikdat amedt ilsvarendevarslingst j enest eriandrelandeiforbindelsemedkonkret e

sikkerhedshændelser på int ernet t et . GovCERT kan ikke videregive indholdet af en e-mail(pakkedat a) eller andre personfølsomme oplysninger.

Videregivelse af t rafikdat a er vigt igt for GovCERT s virke. Derved kan en CERT i et andetland f.eks. anmode den lokale int ernet udbyder om nedt agning af den angribende ip-

adresse. Tilsvarende er det vigt igt , at GovCERT modt ager t rafikdat a fra udenlandskeCERT er t il forebyggelse af et it -angreb.

I nt ernat ional koordination af forsvar mod elektroniske angreb i form af udveksling af ip-adresserog anden t rafikdat a er dermed en væsentlig del af grundlaget for GovCERT s aktiviteter.

3 .5 . Uaf hængigt t ilsyn

For at sikre at GovCERT s behandling af personoplysninger er i overensst emmelse meddet t e lovforslag og gældende ret i øvrigt , indeholder lovforslaget en best emmelse om, atminist eren for videnskab, t eknologi og udvikling nedsæt t er et uafhængigt t ilsyn, som skalfølge GovCERT s virksomhed. Tilsynet vil blandt andet kunne bestå i en årlig afrapportering tilministeren for videnskab, teknologi og udvikling om GovCERT s virksomhed.

3 .6 . Forholdet t il persondat aloven

3 .6 .1 .

Det er nødvendigt for, at GovCERT kan danne det for varslingsopgaven heltcent rale normalbillede for int ernet t rafikken (pakke- og t rafikdat a), at al ud- og indgåendeint ernet t rafik fra en t ilslut t et myndighed indsamles.

Det er uundgåeligt , at nogle af de personoplysninger, som GovCERTsyst emet s opbygning

som følge af

behandler, vil indeholde både almindelige, ikke-følsomme

oplysninger (persondat alovens § 6), og følsomme personoplysninger ( §§ 7 og 8). Disseoplysninger kan forekomme f.eks. i ukrypt erede e-mails fra borgere t il ansat t e i det ilslut t ede myndigheder.

GovCERT s behandling af personoplysningerne skal opfylde persondat alovens § 5, derindeholder en række grundlæggende principper for den behandling af personoplysninger,som den dat aansvarligeher GovCERTforet ager.

Kravet om god dat abehandlingsskik i persondat alovens § 5, st k. 1, indebærer, atmedarbej derne hos de myndigheder, som bliver omfat t et af GovCERT s behandlinger, skalhave klar og t ydelig forudgående informat ion om, at al brug af int ernet t et , herunder e-mails, vil blive behandlet , herunder event uelt gennemset og opbevaret med de formål,som varet ages af GovCERT.

I forhold t il saglighedskravet i § 5, st k. 2, vil det eksempelvis være i st rid medbest emmelsen, hvis GovCERT s personale i forbindelse med den beskrevne analyse af

int ernet t rafikken behandler personoplysninger, uden at det sker i forbindelse medforfølgelsen af det saglige formål med bl.a. at begrænse og varsle om hacker- ogvirusangreb. GovCERT skal således sikre, at behandlingen af personoplysninger ikke sker ividere omfang end det t e formål t ilsiger.

Vedrørende kravet i persondat alovens § 5, st k. 2, om formålsbest emt hed bemærkes, atden foreslåede ordning net op går ud på (alene) at give GovCERT adgang t il at udførevarslingsopgaven bl.a. med henblik på at begrænse hacker- og virusangreb.

Det må dog nøj e overvej es, hvorvidt en senere brug af de behandlede oplysninger eruforenelig med det oprindelige formål med indsamlingen af oplysningerne. Formålet ,hvort il de indsamlede oplysninger må anvendes, bør derfor fast låses t il alene at væreGovCERT s egne oprindelige formål.

Disse overvej elser har result eret i lovforslaget s § 5, hvorefter der alene kan ske videregivelsetil politiet af pakkedata og trafikdata, som knytter sig til en konkret sikkerhedshændelse.

Derudover indebærer lovforslaget s § 5, nr. 2, at GovCERT som led i akt ivit et erne skalhave mulighed for atoverføre t rafikdat a t il danske myndigheder, tilsluttede private

virksomheder og tilsvarende varslingstjenester i andre lande i henhold til varslingstjenestensformål. Her er overførselsmuligheden således begrænset t il t rafikdat a, hvorfor f.eks.indhold af e-mails ikke vil kunne overføres. Se endvidere under 3.3.

Der henvises i øvrigt t il de specielle bemærkninger nedenfor vedrørende lovforslaget s §5.

I forhold t il persondat alovens § 5, st k. 3, og spørgsmålet om proport ionalit et , indebærerbest emmelsen, at GovCERT s akt ivit et er skal gennemføres på en sådan måde, at de virkermindst muligt int egrit et skrænkende for den almindelige borger således, at det i videstmuligt omfang undgås, at personoplysninger behandles, herunder ikke mindst , atindholdet af e-mails ikke behandles.

over

generelle

bet ingelser

persondat alovens

§5

skal

bet ingelserne

persondat alovens §§ 6-8 være opfyldt .

Det er et krav i best emmelserne, at behandling (uden samt ykke) skal være nødvendig.Der er i den forbindelse overladt den dat aansvarlige et vist skøn. Denne vurdering skal iførst e omgang foret ages af I T- og Telest yrelsen som dat aansvarlig myndighed.

Selve den beskrevne indsamling af al ind- og udgående int ernet t rafik og de deriindeholdt e personoplysninger vil have den fornødne hj emmel i persondat alovens §§ 6-8.Der findes således i persondat alovens § 6, st k. 1, § 7, st k. 2, og § 8, st k. 1 og 6,mulighed for, at en offent lig myndighed som I T- og Telest yrelsen (GovCERT) kanbehandle personoplysninger uden samt ykke fra de regist rerede.

Jo mere indgribende den eft erfølgende behandling af personoplysningerne kan siges atvære, j o st rengere krav st illes der t il opfyldelsen af det nødvendighedskrav, der ligger ipersondat alovens §§ 6-8 og t il opfyldelsen af de beskrevne principper i § 5.

GovCERT vil skulle vurdere opfyldelsen af disse regler løbende i det daglige arbej de.GovCERT vil således kun kunne behandle og event uelt nærmere analysere en e-mailkorrespondance, når det er nødvendigt af hensyn t il opfyldelsen af varslingsopgaven,herunder håndt eringen af hackerangreb.

Til gengæld vurderes det , at der i disse undt agelsesvise sit uat ioner vil være hj emmel t ilden behandling af personoplysninger, som opgaven nødvendigvis medfører, inden forrammerne af persondat alovens behandlingsregler.

Der er i øvrigt ingen grund t il at ant age, at vurderingen af nødvendigheden ogproport ionalit et en i forbindelse med GovCERT s behandling af personoplysninger eft erpersondat alovens §§ 5-8 vil falde anderledes ud eft er persondat aloven end dent ilsvarende vurdering, som foret ages neden for i afsnit 3.7 vedrørende forholdet t il DenEuropæiske Menneskeret t ighedskonvent ions art ikel 8.

Disse regler

i persondat aloven er

i forhold t il GovCERT s akt ivit et er

afspej let

lovforslaget s § 3, st k. 1, 2. pkt .

Sammenfat t ende er det således muligt for GovCERT som dat aansvarlig i forbindelse medudøvelsen af akt ivit et erne at sikre, at beskyt t elsen i persondat alovens § 5-8 ogsårespekt eres.

3 .6 .2 .

I forhold t il persondat alovens kapit el 8 om den dat aansvarliges oplysningspligtover for den regist rerede kan det nævnes, at GovCERT s indsamling af oplysningerlighed med det for t v-overvågning gældendei

skal anses for at være foret aget hos andre

end den regist rerede, j f. persondat alovens § 29, st k. 1.

Der påhviler derfor som udgangspunkt I T- og Telest yrelsen som dat aansvarlig enoplysningspligt over for de regist rerede eft er persondat alovens § 29, st k. 1, men der vilnormalt kunne gøres undt agelse herfra, da opfyldelse af oplysningspligt en normalt vilvære umulig eller uforholdsmæssig vanskelig eft er persondat alovens § 29, st k. 3.

3 .6 .3 .

For så vidt angår indsigt sret t en eft er persondat alovens § 31 bemærkes, at der kangøres undt agelse herfra i samme omfang som eft er reglerne i bl.a. offent lighedslovens §14, j f. persondat alovens § 32, st k. 2. Som følge af den særlige best emmelse omt avshedspligt , som pålægges GovCERT s personale ved lovforslaget s § 4, st k. 2, ioverensst emmelse med offent lighedslovens § 14, er de personoplysninger, som GovCERTbehandler i forbindelse med sit virke, undt aget fra indsigt sret t en eft er persondat alovens§ 32, st k. 2.

3 .6 .4 .

For så vidt angår ret t en t il at gøre indsigelse, j f. persondat alovens § 35, åbnerpersondat adirekt ivet s art ikel 14, st k. 1, lit ra a, mulighed for, at det kan best emmes vedlov, at ret t en t il at gøre indsigelse afskæres. På den baggrund er der indsat enundt agelsesbest emmelse i de vedlagt e lovforslag, som lægger op t il, at persondat alovens§ 35 ikke skal finde anvendelse på GovCERT s akt ivit et er. Det vil medføre, at regist reredeikke vil kunne gøre indsigelse over for GovCERT s behandling af personoplysninger.

En regist reret kan dog fort sat klage t il Dat at ilsynet over GovCERT s behandling afpersonoplysninger vedrørende den pågældende, j f. persondat alovens § 40 og kapit el 16.

3 .7 . Forholdet t il grundlovens § 7 2

Grundlovens § 72 har følgende ordlyd:Boligen er ukrænkelig. Husundersøgelse,

beslaglæggelse og undersøgelse af breve og andre papirer samt brud på post -, t elegraf-og t elefonhemmeligheden må, hvor ingen lov hj emler en særegen undt agelse, alene skeeft er en ret skendelse.

Det ant ages i den j uridiske lit t erat ur, at indholdet af e-mails også er omfat t et afgrundlovens beskyt t else af meddelelseshemmeligheden (brud på post -, t elegraf- og

t elefonhemmeligheden) . En myndigheds brud på meddelelseshemmeligheden forudsæt t eruden for st rafferet splej ens område som udgangspunkt dels en udt rykkelig lovhj emmel ogdels en forudgående ret skendelse i det konkret e t ilfælde, med mindre der også foreliggeren udt rykkelig lovhj emmel t il at undt age kravet om ret skendelse. Ret skendelse behøvesheller ikke i sit uat ioner, hvor den, som foranst alt ningen vedrører, giver samt ykke t il, atundersøgelsen bliver foret aget .

Den foreslåede ordning går

ud på,

GovCERT skal behandle,

herunder

eft er

omst ændighederne analysere, t ilslut t ede myndigheders og privat e virksomheders ind- ogudgående t rafik- og pakkedat a. GovCERT skal i den forbindelse i et vist omfang have rett il at skaffe sig adgang t il pakkedat a, eksempelvis indholdet af e-mails.

Ordningen eft er lovforslaget vil uundgåeligt i visse t ilfælde indebære et indgreb imeddelelseshemmeligheden i grundlovens forst and. Der vil dog i vidt omfang foreligge etsamt ykke, som indebærer, at det ikke vil være nødvendigt at indhent e ret skendelse eft ergrundlovens § 72. Der vil imidlert id også forekomme t ilfælde, hvor et sådant samt ykkeikke foreligger, og eft ersom det i praksis ikke vil være muligt at indhent e enret skendelse, indeholder lovforslaget på den baggrund en undt agelse fra grundlovens §72 s krav herom.

Videnskabsminist eriet har bl.a. af hensyn t il grundlovens § 72 overvej et nødvendighedenog proport ionalit et en af den foreslåede ordning. Der henvises i den forbindelse t ilbemærkningerne ovenfor under pkt . X.X, hvoraf det fremgår, at der med lovforslaget erfundet den påkrævede proport ionalit et mellem hensynet t il GovCERT s formål og hensynett il privat livet s fred for de berørt e borgere.

3 .8 . Forholdet t il Den Europæisk e M ennesk eret skonvent ion

Eft er Den Europæiske Menneskeret t ighedskonvent ions art ikel 8, st k. 1, har enhver ret t ilrespekt for sit privat liv og familieliv.

Beskyt t elsen eft er art ikel 8 omfat t er såvel indgreb i meddelelseshemmeligheden, f.eks.overvågning af e-mailkorrespondance og int ernet t rafik, som offent lige myndighedersindsamling, opbevaring og anvendelse mv. af personoplysninger generelt .

I ndgreb i kommunikat ion via bl.a. e-mails vil som udgangspunkt udgøre et indgreb eft erEMRK art ikel 8. Hvis en offent lig arbej dsgiver overvåger en ansat s brug af e-mail og

int ernet ,

vil det

således udgøre et

indgreb i den ansat t es ret

t il privat liv og

korrespondance, når den ansat t e med rimelighed kunne forvent e ikke at blive overvåget(se Copland mod St orbrit annien, dom af 3. april 2007, præmis 41-42).

Det samme vil være t ilfældet , hvor en arbej dsgiver t illader en (anden) myndighed atovervåge den ansat t es brug af e-mail og int ernet .

Det forudsæt t es imidlert id, at den ansat t e i forbindelse med afsendelse af privat e-mailgiversamt ykket ilomGovCERT-behandlingen.medarbej dernemåNårdeteropt ilmyndighedense-mail,må

personalepolit ik,

sende

eller

modt age

privat

myndigheden således også kunne fast sæt t e, at medarbej derne kun må sende privat e-mail mod at samt ykke t il GovCERT-behandlingen. Det ant ages på den baggrund, ativærksæt t elsen af overvågningen af udgående e-mails med privat indhold ikke i sig selvvil udgøre et indgreb i ret t ighederne eft er EMRK art ikel 8.

For så vidt angår indgående privat e e-mails samt offent lige myndigheders indsamling,opbevaring og anvendelse mv. af personoplysninger vil der derimod være t ale om etindgreb i borgernes ret t il privat liv.

Da det som følge af den oven for beskrevne t ekniske opbygning af GovCERT ikke kanudelukkes, at GovCERT vil behandle personoplysninger om en persons privat liv, måakt ivit et erne anses for et indgreb i ret t en t il respekt for privat livet , j f. konvent ionensart ikel 8, st k. 1.

Det følger hereft er af konvent ionens art ikel 8, st k. 2, at et sådant indgreb kun kanforet ages, hvis det er foreskrevet ved lov og er nødvendigt i et demokrat isk samfund t ilvaret agelse af nærmere best emt e anerkendelsesværdige formål.

Med den foreslåede lov vil der blive klar lovhj emmel for GovCERT s akt ivit et er, sombyggerpåenlegitimogheltåbenlys (samfundsmæssig)interesseiathåndt ere

sikkerhedshændelser af it -mæssig karakt er for offent lige myndigheder i Danmark.

I ndgrebet i privat livet skal herudover eft er art ikel 8, st k. 2, have et sagligt formål ogvære proport ionalt .

GovCERT har t il formål gennem analyse, information, varsling og koordination at mindskekonsekvenserne af sikkerhedshændelser på internettet. GovCERTs aktiviteter tilsigter således atbeskytte den nationale sikkerhed, den offentlige tryghed og landets økonomiske velfærd samtandres rettigheder og friheder. Formålet må således anses for sagligt.

I T- og Telest yrelsens rapport om varsling af int ernet t rusler fra 2007 konkluderede, at deri Danmark er behov for en særskilt t j enest e t il at håndt ere sådanne sikkerhedshændelserfordetdanske samfundsometledidennat ionale it -sikkerhedsst rat egi.Den

varslingsopgave mv., som er t ilt ænkt GovCERT, må således siges at være både egnet t ilog nødvendig for at nå det beskrevne saglige mål om at forhindre hacker- og virusangrebmv.

Der kan i den forbindelse også henvises t il de neden for i afsnit 8.1.1 beskrevne signalerfra EU-Kommissionen og Rådet om, at opret t elsen af st at slige it -beredskabsenheder( GovCERT er ) er en måde, hvorpå medlemsst at erne kan løse de not oriske t rusler modderes it -sikkerhed.

Den samfundsmæssige int eresse i at forhindre og håndt ere sikkerhedshændelser af it -mæssig karakt er for offent lige myndigheder i Danmark må således anses at overst igehensynet t il privat livet for de personer, om hvilke GovCERT behandler personoplysninger.Akt ivit et erne er endvidere begrænset t il de t ilslut t ede myndigheder og virksomheders ind-og udgående dat a.

GovCERT s formål er endvidere som nævnt ikke i sig selv at indsamle personoplysninger.I ndsamlingen er i st edet en uundgåelig konsekvens af varslingsopgaven. GovCERT vil iøvrigt kun opbevare oplysningerne, så længe opbevaringen er nødvendig i forhold t ilvarslingsopgaven, hvilket vurderes t il t idsmæssigt at være de oven for i afsnit 1.2.beskrevne t idsfrist er.

Personoplysningerne

vil

derudover

heller

ikke

blive

offent liggj ort ;

t vært imod

opbevaringen af oplysningerne underlagt st renge sikkerhedsforanst alt ninger, så bl.a.offent liggørelse undgås.

Hert il kommer i øvrigt , at GovCERT eft er lovforslaget s § 6 vil blive underlagt kont rol af etuafhængigt t ilsyn. Tilsynet s t ilst edeværelse vil være med t il at sikre, at GovCERT sbehandling af personoplysninger foregår på en ret ssikkerhedsmæssigt bet ryggende måde.

Sammenfat t ende er det opfat t elsen, at den behandling af personoplysninger, som er ennødvendig del af GovCERT s akt ivit et er vil opfylde bet ingelserne i art ikel 8, st k. 2, i DenEuropæiske Menneskeret t ighedskonvent ion.

4 DE ØKONOM I SKE OG ADM I NI STRATI VE KONSEKVENSER FOR DET

OFFENTLI GE

Regeringen beslut t ede i forbindelse med opret t elsen af den danske GovCERT, atopgaverne skal finansieres inden for Minist eriet for Videnskab, Teknologi og Udviklingseksist erende ramme. I eft eråret 2009 blev det i forbindelse med udmønt ningen af UMTS-midlerne beslut t et at give yderligere midler t il udvidelse af GovCERT s dækningsområdefor perioden 2010 t il 2012.

I den UMTS-finansierede periode vil minist eriet udvide dækningen i et nærmere best emtomfang t il også at omfat t e kommuner, regioner og visse krit iske sekt orer (f.eks. finans-,energi-, samt it - og t elesekt oren) samt informat ion ret t et mod borgere, små ogmellemst ore virksomheder. GovCERT vil for det udvidede dækningsområde køre ett est forløb med fem kommuner eller regioner, som vil blive finansieret via UMTS-midlerne.Alle øvrige varslings- og overvågningsakt ivit et er i det udvidede dækningsområde vil blivegebyrfinansieret .

Tilslut t ede st at slige inst it ut ioner vil blive t ilbudt en alarmenhed. Ønskes yderligerealarmenheder opst illet vil der skulle bet ales gebyr herfor.

5 DE ØKONOM I SKE OG ADM I NI STRATI VE KONSEKVENSER FOR

ERHVERVSLI VET

Lovforslaget har ingen økonomiske eller administ rat ive konsekvenser for erhvervslivet ,idet t ilslut ning t il GovCERT er frivillig. Tilslut t ede privat e virksomheder beskæft iget medkrit iskinfrast rukt urvildogkunnehavebegrænsedeomkost ningerafhængigaf

t ilslut ningens karakt er.

6 DE ADM I NI STRATI VE KONSEKVENSER FOR BORGERNE

Lovforslaget har ingen administ rat ive konsekvenser for borgerne.

7 DE M I LJØM ÆSSI GE KONSEKVENSER

Lovforslaget har ingen milj ømæssige konsekvenser.

8 FORHOLDET TI L EU- RETTEN

Lovforslaget er ikke udt ryk for implement ering af EU-regulering. Lovforslaget indeholderdog regler af relevans for t o EU-direkt iver.

8 .1 .1 .

Der er på EU-niveau foret aget en række overvej elserovervej elsernebagiværksæt t elsenafGovCERT

der i høj grad svarer t ilbehovetfor,at

vedrørende

medlemsst at erne iværksæt t er en eller anden form for st at slig overvågningst j enest e forint ernet t rusler.

EU-Kommissionen vedt og således den 30. mart s 2009 en meddelelse om beskyt t else afkrit isk informat ionsinfrast rukt ur med undert it len "Beskyt t else mod st orst ilede cyber-angreb og sammenbrud: øget beredskab, sikkerhed og robust hed", j f. KOM (2009) 149endelig.

I denne handlingsplan opfordrer Kommissionen således medlemsst at erne t il bl.a. atopret t e landsdækkende st at slige CERT-enheder og sikre, at disse GovCERT er fungerersom nøglekomponent i det nat ionale beredskab og i informat ionsudveksling, koordineringog reakt ion på sikkerhedshændelser".

Der kan i den forbindelse bl.a. også henvises t il Rådet s resolut ion af 18. december 2009om en samordnet europæisk st rat egi for net - og informat ionssikkerhed (EUT 2009/ C321/ 01).

EU har ikke ønsket at fast lægge det nærmere indhold af de st at slige varslingst j enest er.Hvordan medlemsst at erne organisererCERT erne ersåledes t ilsyneladende op t il

medlemsst at erne selv, men under alle omst ændigheder opfordrer EU medlemsst at erne t ilat opret t e bl.a. varslingst j enest er som GovCERT.

8 .1 .2 .

Persondat adirekt ivet ( direkt iv 95/ 46/ EF med senere ændringer) er gennemført idansk ret med persondat aloven.

Persondat adirekt ivet må anses for at omfat t e GovCERT s akt ivit et er, i det omfang disseinkluderer behandling af personoplysninger.

lovforslaget

ivil

videst

muligt

omfangforpligt elser

indret t eteft er

overensst emmelseikke

medblive

persondat aloven,

Danmarks

persondat adirekt ivet

beskrevet det alj eret i det følgende.

t ilfælde,

hvor

lovforslaget

udt ryk

for

undt agelsesvis

fravigelse

persondat aloven, er der oven for i afsnit

3.5.4 nærmere redegj ort

for, hvorfor

lovforslaget er i overensst emmelse med persondat adirekt ivet .

Det vurderes således, at lovforslaget ligger inden for rammerne af persondat adirekt ivet .

8 .1 .3 .

Det generelle persondat adirekt iv er suppleret af det specifikke direkt iv omelekt ronisk kommunikat ionhereft er e-dat abeskyt t elsesdirekt ivet (direkt iv 2002/ 58/ EFblev således vedt agetfor at

med senere ændringer). E-dat abeskyt t elsesdirekt ivet

supplere persondat adirekt ivet med en række særlige best emmelser inden for denelekt roniske kommunikat ion.

E-dat abeskyt t elsesdirekt ivet finder anvendelse på behandling af personoplysninger iforbindelse med brug af int ernet t et (elekt ronisk kommunikat ion, herunder int ernet og e-mails).

Af relevans for GovCERT s akt ivit et er, som de er beskrevet i det t e lovforslag, henledesopmærksomheden på, at det følger af direkt ivet s art ikel 5, st k. 1, at medlemsst at erneskal sikre kommunikat ionshemmeligheden ved brug af offent lige kommunikat ionsnet ogoffent ligt t ilgængelige elekt roniske kommunikat ionst j enest erint ernet t et og e-mails.dvs. f.eks. ved brug af

Kommunikat ionshemmeligheden skal både sikres for så vidt angår selve indholdet afkommunikat ionen og de dermed forbundne t rafikdat a om brugen af int ernet t et . Det vilf.eks. sige, at afsenderen af en e-mail skal sikres imod, at den opsnappes, åbnes oglæses af andre end adressat en.

Som beskrevet oven for ligger det i GovCERT s syst em, at der nødvendigvis er risiko for,at oplysninger af privat karakt er i en e-mail undt agelsesvist kan blive afsløret over forandre end adressat en, nemlig GovCERT s personale, hvilketsj ældentmåsigesativæreikonfliktmedselvom det måt t e skeart ikelDer5,st k. 1,iomden

kommunikat ionshemmeligheden

e-dat abeskyt t elsesdirekt ivet .

henvises

forbindelse også t il afsnit 2.2 oven for vedrørende den t ilsvarende problemst illing iforhold t il grundlovens § 72.

Eft er art ikel 15, st k. 1, i e-dat abeskyt t elsesdirekt ivet er der dog adgang t il at indskrænkerækkevidden af direkt ivet med hensyn t il bl.a. kommunikat ionshemmeligheden, hvis ensådan indskrænkning er nødvendig, passende og forholdsmæssig i et demokrat isksamfundafhensynt ilst at enssikkerhed,forsvaret ,denoffent ligesikkerhed,

forebyggelse, eft erforskning, afsløring og ret sforfølgning i st raffesager eller uaut oriseretbrug af det elekt roniske kommunikat ionssyst em.

Direkt ivet s art ikel 15 t illader således, at der i nat ional lovgivning fast sæt t es regler, derindskrænker beskyt t elsen af kommunikat ionshemmeligheden. Bet ingelsen er imidlert id, atdet sker for at varet age et eller flere af de hensyn, der er nævnt i art ikel 15, st k. 1,herunder isæri forhold t il GovCERT s akt ivit et erhensynet vedrørende uaut oriseret

brug af det elekt roniske kommunikat ionssyst em og den offent lige sikkerhed.

Det vurderes på den baggrund, at den indskrænkning i kommunikationshemmeligheden, somGovCERT s beskrevne aktiviteter måtte medføre, er proportional og i overensstemmelse med e-dat abeskyt t elsesdirekt ivet , da indskrænkningen indføres fori direkt ivet s forst andat

undgå uaut oriseret brug af det elekt roniske kommunikat ionssyst em og beskyt t e denoffent lige sikkerhed.

Det vurderes således, at lovforslaget ligger inden for rammerne i e-dat abeskyt t elsesdirekt ivet .

9 DE HØRTE M YNDI GHEDER OG ORGANI SATI ONER M V.

Et udkast til lovforslag har været sendt i høring hos:AC, BaneDanmark, Beredskabsstyrelsen, Brancheforum Digitale Medier, Dansk Energi, DanskErhverv, Danske Regioner, Dansk Industri, Dansk IT, Datatilsynet, Domstolsstyrelsen, Energinet.dk,Energistyrelsen, Finansrådet, Foreningen Danske Olieberedskabslagre, Forbrugerombudsmanden,Forbrugerrådet, Foreningen Danske Internet Medier, Foreningen for Open Source Leverandører i

Danmark, Forsvarets Efterretningstjeneste, FTF, ISP-sikkerhedsforum, IT-Brancheforeningen, ITEK,It-politiskforening,It-sikkerhedskomiteen,Kommunernes Landsforening,Konkurrence-og

Forbrugerstyrelsen, LO, Politiets Efterretningstjeneste, PROSA, Rigspolitiet, Rigsrevisionen, Rådetfor persondata og informationssikkerhed, Rådet for større IT-sikkerhed, Statens It-forum, StatensIt-råd, Telekommunikationsindustrien i Danmark, UNI C (DK-Cert).

10 SAM M ENFATTENDE SKEM A

Posit ive konsekvenser/ mindre udgift erNegat ive konsekvenser/merudgift erTilslut ningen t il den st at sligevarslingst j enest e er frivillig. Det ilslut t ede myndigheder kan fåøgede udgift er t il it -udst yr imindre omfang.Tilslut ningen t il den st at sligevarslingst j enest e er frivillig. Det ilslut t ede myndigheder kan fåøgede administ rat ive byrder imindre omfang.Tilslut ningen t il den st at sligevarslingst j enest e er frivillig.Tilslut t ede privat e virksomhederkan få øgede økonomiske udgift eri mindre omfang.I ngenI ngenI ngen

Økonomiske konsekvenserfor det offent lige

I ngen

Administ rat ive konsekvenserfor det offent lige

I ngen

Økonomiske konsekvenserfor erhvervslivet

I ngen

Administ rat ive konsekvenserfor erhvervslivetMilj ømæssige konsekvenserAdminist rat ive konsekvenserfor borgereForholdet t il EU-ret t en

I ngenI ngenI ngenLovforslaget implement ererikke EU-regulering.

Bemærkninger t il lovforslaget s enkelt e best emmelser

Til § 1

Den foreslåede best emmelse angiver, at formålet med lovforslaget er at skabe klarerammer for GovCERT s behandling af personoplysninger indeholdt i de indsamlede pakke-og t rafikdat a.

Med lovforslaget s st k. 2 ønskes indført mulighed for, at også kommuner, regioner ogprivat e virksomheder, der beskæft iger sig med krit isk infrast rukt ur skal kunne vælge att ilslut t e sig varslingst j enest en.

Det er hensigt en, at kommuner og regioner kun skal kunne t ilslut t e sig GovCERT, i detomfang varslingst j enest en har kapacit et hert il. Det forudsæt t es i den forbindelse, at dekommuner og regioner, der vælger at t ilslut t e sig varslingst j enest en, selv bet aler fuldt udfor GovCERT s ydelser i det omfang kommunernes og regionernes t ilslut ning ikke erfinansieret på anden vis, som f.eks. via UMTS-midlerne.

Dele af den krit iske infrast rukt ur i Danmark er ej et af privat e virksomheder. Det gælderf.eks. elforsyningen. Det t e afføder et samfundsmæssigt behov for, at også sådannesekt orer kan omfat t es af GovCERT s dækningsområde for at sikre samfundet s samledesikkerhed og robust hed på int ernet t et . Privat e virksomheder beskæft iget med krit iskinfrast rukt ur har dermed også mulighed for at anmode om t ilslut ning t il den st at sligevarslingst j enest e for int ernet t rusler.

Begrebet

krit isk

infrast rukt urudgangspunkt

omfat t erde

her

ider

overensst emmelsekansigesat

med

detvit ale

beredskabsmæssige

sekt orer,

forestå

samfundsmæssige int eresser, hvori samfundet som sådan har int eresse i, at disseopret holdes. Eksempler herpå er finans-, energi samt it - og t elesekt oren. Begrebet skalfort olkes dynamisk og vil således udvikle sig over t id i t akt med samfundsudviklingen,som kan gøre det relevant at inddrage nye sekt orer i begrebet .

For så vidt angår t ilslut ningen t il GovCERT, kan minist eren for Videnskab, t eknologi ogudvikling ifølge st k. 3 fast sæt t e nærmere regler herom. De anført e myndigheder ogvirksomheder kan hereft er vælge at t ilslut t e sig GovCERT på baggrund af disse regler. De

privat e virksomheder, der måt t e t ilslut t e sig varslingst j enest en, skal selv finansieret j enest ens ydelser.

Til § 2

Den foreslåede best emmelse definerer t re cent rale begreber i loven.

Pakkedat a er i denne lov afgrænset t il kun at omfat t e indholdet af int ernet baseretkommunikat ion. Begrebet omfat t er det semant iske indhold af en int ernet baseretkommunikat ion, herunder indholdet af en e-mailkorrespondance eller indholdet aft ilgåede websider, og derudover det t ekniske indhold af kommunikat ionen, som f.eks.HTML- eller XML-koder.

I forbindelse med GovCERT s analyse af sikkerhedshændelser er det primært det t ekniskeindhold af kommunikat ionen og ikke det semant iske indhold af kommunikat ionen, som erint eressant for analysen.

Ved

t rafikdat a

forst ås

denne

lov

oplysninger,

som

beskriver

int ernet kommunikat ion, herunder ip-adresser, int ernet kommunikat ionens varighed ogt idspunkt mv.

Trafikdat a er t illige defineret i bekendt gørelse nr. 714 af 26. j uni 2008 om udbud afelekt roniske kommunikat ionsnet ogt j enest er (udbudsbekendt gørelsen) og ident isk i e-

dat abeskyt t elsesdirekt ivet (direkt iv 2002/ 58/ EF med senere ændringer) Definit ionen aft rafikdat a i denne lov er j ust eret i forhold t il denne definit ion. Sidst e led i definit ionenvedrørende debit ering er således udeladt i definit ionen af t rafikdat a i det t e lovforslag,idet dat a vedrørende debit ering ikke har relevans for lovforslaget . Derudover er detpræciseret , at det alene er int ernet baseret kommunikat ion, som er omfat t et af begrebett rafikdat a i overensst emmelse med definit ionen af pakkedat a i denne lov. Der erherudover ikke med det t e lovforslag t ilt ænkt nogen fravigelse af definit ionen af t rafikdat ai e-dat abeskyt t elsesdirekt ivet og udbudsbekendt gørelsen.

En sikkerhedshændelse defineres ved, at der ent en sker en påvirkning af t ilgængelighed,int egrit et eller fort rolighed af informat ion eller t j enest er på int ernet t et . Begrebet erdefineret i loven med henblik på at præcisere afgrænsningen af de t ilfælde, hvorGovCERT har mulighed for at opbevare pakke- og t rafikdat a i op t il t re år.

Til § 3

Det er formålet med den foreslåede best emmelse, at der t ilvej ebringes klar lovhj emmel t ilGovCERT sbehandlingafpersonoplysningeriforbindelsemedanalyse-og

varslingsopgaverne, herunder t il indsamling, regist rering og opbevaring af oplysninger omde t ilslut t ede myndigheders og virksomheders ind- og udgående int ernet t rafik, dvs.pakke- og t rafikdat a, med henblik på varet agelsen af varslingsopgaven.

For så vidt angår hj emmearbej dspladser, som medarbej dere i de t ilslut t ede myndighedermåt t e have, indsamler, regist rerer og opbevarer GovCERT alene oplysninger om ind- ogudgående t rafikdat a, herunder ip-adresser, men ikke pakkedat a.

GovCERT s akt ivit et er vil omfat t e behandling af bl.a. personoplysninger, således somdet t e defineres i § 3, nr. 1, i persondat aloven. I T- og Telest yrelsen ( GovCERT) bet ragt es iden forbindelse som dat aansvarlig, j f. persondat alovens § 3, nr. 4. At akt ivit et erne eromfat t etafreglenipersondat alovenindebærer,atDat at ilsynetharfuld

inspekt ionskompet ence i forhold t il de regist rerede og opbevarede oplysninger, j f.persondat alovens § 62,st k. 2,ombehandling,derforet ages fordenoffent lige

forvalt ning, og at bekendt gørelse nr. 528 af 15. j uni 2000 om sikkerhedsforanst alt ningert il beskyt t else af personoplysninger, som behandles for den offent lige sekt or, finderanvendelse.

I t ilfælde af begrundet mist anke om en st edfunden eller forvent et sikkerhedshændelse vilindhold af f.eks. borgeres privat e e-mails t il t ilslut t ede myndigheder uundgåeligt kunneblive afsløret over for andre end adressat en, nemlig GovCERT s personale. GovCERT spersonale vil i forbindelse med alarmer og øvrige sikkerhedshændelser nærmereanalysererpakkedat afordenpågældendeperiode,hændelsenvedrører.

Meddelelseshemmeligheden eft er grundlovens § 72 kan dermed i disse t ilfælde blivebrudt .

Når det således af st k. 1 følger, at GovCERT s akt ivit et er foret ages uden ret skendelseskyldes det , at der med best emmelsen, udover at skabe en klar hj emmel for deundt agelsesvise brud på meddelelseshemmeligheden, sigt es t il at skabe klar hj emmel forat fravige udgangspunkt et i grundlovens § 72 om ret skendelse.

Krypt eret pakkedat a, f.eks. en krypt eret e-mail med digit al signat ur, indgår ikke iGovCERT s dat agrundlag i ukrypt eret form. Ved at krypt ere meddelelser er det såledesmuligt at forhindre, at GovCERT s personale undt agelsesvis bliver nødt t il at behandleindholdet af e-mails.

Opbevaringsperioden for indsamlede oplysninger om de t ilslut t ede myndigheders ind- ogudgående int ernet t rafik vil maksimalt være t re år, for så vidt angår pakke- og t rafikdat a,der knyt t er sig t il en konkret sikkerhedshændelse på int ernet t et . Opbevaringsperiodenpåregnes dog i de flest e t ilfælde at være væsent ligt kort ere.

Såfremt

der

ikke

foreligger

konkret

sikkerhedshændelse

maksimale

opbevaringst ider væsent ligt kort ere, henholdsvis 14 kalenderdage for pakkedat a og 12måneder for t rafikdat a.

Det vurderes, at de foreslåede maksimale opbevaringsperioder er de kort est mulige iforhold t il formålet med GovCERT. Det er i den forbindelse væsent ligt at væreopmærksom på, at GovCERT med vedt agelsen af lovforslaget alene får hj emmel t il atanalyserepakkedat avedbegrundetmist ankeomenst edfundenellerforvent et

sikkerhedshændelse. Adgangen t il pakkedat a er yderligere begrænset af, at kun den delafde indsamlede pakkedat a,somerrelevantfordenpågældende analyse af

sikkerhedshændelsen, vil kunne analyseres. Adgangen for GovCERT t il pakkedat a erherved begrænset mest muligt for at imødekomme hensynet t il privat livet s fred.

Den behandling af personoplysninger, som hj emlen for GovCERT t il at indsamle,regist rere og opbevare oplysninger om de t ilslut t ede myndigheders ind- og udgåendeint ernet t rafik (pakke- og t rafikdat a) uundgåeligt vil afst edkomme, vil t il enhver t id skulleoverholdereglerneipersondat alovens§§5-8omreglerforbehandlingaf

personoplysninger.

I best emmelsens st k. 3 foreslås den nærmere t ekniske udmønt ning at skulle skeadminist rat ivt . Minist eren for videnskab, t eknologi og udvikling kan fast sæt t e nærmereregler herom.

Til § 4

I best emmelsens st k. 1 foreslås det , at persondat alovens § 35 om ret t en t il at gøreindsigelseikkeskalfindeanvendelseiforbindelsemedGovCERT sakt ivit et er.

Best emmelsen vil medføre, at regist rerede ikke vil kunne gøre indsigelse mod GovCERT sbehandling af personoplysninger.

Det vurderes således, at behovet for at gøre indsigelse i denne sit uat ion, hvorindsamlingen af personoplysninger er en nødvendig konsekvens af GovCERT s virke, ermindre fremt rædende end de administ rat ive byrder, det vil kunne pålægge GovCERT, hvisregist rerede kunne gøre indsigelse.

Der henvises i den forbindelse t il afsnit 3.5.4 i de almindelige bemærkninger, og det déranført e om persondat alovens § 35.

Best emmelsen i st k. 2 indebærer, at GovCERT s personale er underlagt en ( særlig)t avshedspligt i forhold t il de nævnt e oplysninger. De oplysninger, som GovCERTbehandler, kan derfor ikke videregives t il uvedkommende.

De personer, som GovCERT indsamler oplysninger om, har som følge af best emmelsenheller ikke ret t il indsigt i oplysningerne eft er persondat aloven, j f. persondat alovens § 32,st k. 2.

Best emmelsen

udelukker

ikke

beret t iget

videregivelse

oplysninger

eft er

lovforslaget s § 5.

Til § 5

Det følger af den foreslåede best emmelse i § 5, nr. 1, at den st at slige varslingst j enest ekanvideregivepakkedat aogt rafikdat a,derknyt t ersigt ilenkonkret

sikkerhedshændelse, t il polit iet . Formålet hermed er at sikre, at polit iet kan modt ageoplysninger t il brug for eft erforskning og forfølgelse af st rafbare forhold, der kan værebegået i forbindelse med en konkret sikkerhedshændelse, som f.eks. et virusangreb.

Med forslaget t il § 5, nr. 2, skabes hj emmel t il, at den st at slige varslings-t j enest e kanvideregive t rafikdat a t il danske myndighederovervåger forskningsnet t etdet kan f.eks. være DK-CERT, som

og t ilslut t ede privat e virksomheder beskæft iget med krit isk

infrast rukt ur, hvor det t e er nødvendigt som led i varslingst j enest ens akt ivit et er og i

henhold t il varslingst j enest ens formål. Det kan f.eks. være informat ion om en konkret ip-adresse, som har angrebet en myndighed t il forebyggelse af yderligere angreb.

Nr. 2 sikrer herudover, at GovCERT kan udveksle t rafikdat a, herunder ip-adresser, medt ilsvarende varslingst j enest er i andre lande i forbindelse konkret e sikkerhedshændelserpå int ernet t et .

Der vil ikke eft er best emmelsen i § 5, nr. 2, kunne videregives pakkedat a, herundereksempelvis indholdet af en e-mailkorrespondance.

Det forudsæt t es med best emmelsen i § 5, at andre regler i lovgivningen om indsamlingog videregivelse af oplysninger mellem forvalt ningsmyndigheder ikke vil kunne anvendes iforhold t il dat a,dererindsamletafden st at slige varslingst j enest e som led i

varslingst j enest ens akt ivit et .

Heri ligger bl.a., at hvis polit iet t il brug for f.eks. eft erforskning af et st rafbart forhold,der ikke er begået i forbindelse med en konkret sikkerhedshændelse (j f. § 5, nr. 1),ønsker pakkedat a eller t rafikdat a fra den st at slige varslingst j enest e, må polit iet gå fremeft er de almindelige st raffeprocessuelle regler i ret splej elovens fj erde bog og i denforbindelse eft er omst ændighederne indhent e ret skendelse.

Til § 6

Formålet med § 6 er at pålægge minist eren for videnskab, t eknologi og udvikling atnedsæt t e et uafhængigt t ilsyn, der skal følge GovCERT s virksomhed. Minist eren forvidenskab, t eknologi og udvikling fast sæt t er nærmere regler for t ilsynet s virksomhed.Det er hensigt en, at t ilsynet skal forest ås af en dommer som formand og fire sagkyndigemedlemmer, der må bet ragt es som upolit iske, og som beskikkes som følge af denalmindelige t illid og agt else, der er knyt t et t il deres personi lighed med ordningen, der

er kendt fra Wamberg-udvalget , der fører t ilsyn med Polit iet s Eft erret ningst j enest es ogForsvaret s Eft erret ningst j enest es behandling af personoplysninger. Det er en endvidereen forudsæt ning, at t ilsynet s medlemmer kan sikkerhedsgodkendes.

Dat at ilsynet har samt idig hermed fuld inspekt ionskompet ence i forhold t il de regist reredeog opbevarede oplysninger, j f. persondat alovens § 62, st k. 2, om behandling, der

foret ages for den offent lige forvalt ning, og at bekendt gørelse nr. 528 af 15. j uni 2000 omsikkerhedsforanst alt ninger t il beskyt t else af personoplysninger, som behandles for denoffent lige sekt or, finder anvendelse.

Til § 7

En beslut ning om, at en kompet ence overlades generelt f.eks. af en minist er t il enst yrelse, bør af hensyn t il borgernes mulighed for at kunne vide, hvem der er ret t emyndighed, alt id angives i en bekendt gørelse, j f. pkt . 4 i Just it sminist eriet s vej ledning nr.153 af 22. sept ember 1987 om udarbej delse af administ rat ive forskrift er. Det foreslåsderfor, at der i loven indsæt t es en hj emmel for minist eren for videnskab, t eknologi ogudvikling t il at bemyndige en under Minist eriet for Videnskab, Teknologi og Udviklingopret t et st yrelse eller t ilsvarende inst it ut ion t il at udøve de beføj elser, der i loven ert illagt minist eren.

Minist eren kan hereft er i en bekendt gørelse udnyt t e adgangen t il at delegere opgaver ogbeføj elsert ilenst at sligmyndighedunderminist eriet .Bemyndigelseshj emlener

formuleret , så den med sikkerhed kan rumme st at slige myndigheder under Minist eriet forVidenskab, Teknologi og Udvikling, som organisat orisk er underordnet st yrelserne.Minist eren kan således eft er den foreslåede best emmelse delegere sine beføj elser eft erloven t il enhvermyndighed inden forminist eriet s administ rat ive hierarkiuanset

myndighedens placering i det administ rat ive hierarki, herunder myndigheder, som erunderordnet st yrelser.

Endvidere foreslås det , at minist eren for videnskab, t eknologi og udvikling eft erforhandling med vedkommende minist er kan bemyndige andre st at slige myndigheder t ilat udøve de beføj elser, som i loven er t illagt minist eren for videnskab, t eknologi ogudvikling. Der er alene t ale om st atslige myndigheder. Der kan således ikke i medfør afdennebest emmelseskedelegat iont ilprivat evirksomhederellerorganisat ioner.

Omfanget af delegat ionen t il den pågældende st at slige myndighed skal ske eft erforhandling med vedkommende minist er.

Til st k. 2. Forslaget er en konsekvens af det foreslåede st k. 1. Det foreslås derfor, atminist eren for videnskab, t eknologi og udvikling får hj emmel t il at fast sæt t e regler omadgangen t il at påklage afgørelser, der er t ruffet i henhold t il bemyndigelse eft er st k. 1,

herunder at afgørelserne ikke skal kunne påklages, hvilket bet yder, at minist eren vilkunne afskære klageadgangen fra organisat orisk underordnede st at slige myndighedert il st yrelserne eller for andre st at slige myndigheder. Minist eren kan f.eks. således ikkeblot afskære klageadgang t il minist eren, men også klageadgang t il st yrelserne. Adgangent il at afskære klage knyt t er sig kun t il afgørelser på områder, som er delegeret framinist eren i henhold t il loven. Lovforslaget berører ikke øvrige klagemuligheder.

Til st k. 3. Det foreslås, at minist eren for videnskab, t eknologi og udvikling får hj emmel t ilat fast sæt t e regler om udøvelsen af de beføj elser, som en anden st at slig myndighed eft erforhandling med vedkommende minist er bliver bemyndiget t il at udøve eft er st k. 1.Best emmelsen omhandler de t ilfælde, hvor minist eren udnyt t er sin adgang t il at delegerebeføj elser t il andre st at slige myndigheder uden for Minist eriet for Videnskab, Teknologiog Udvikling.

Til § 8

Det foreslås, at loven t ræder i kraft den 1. j uli 2011.

Til § 9

Den foreslåede best emmelse angår lovens t errit oriale gyldighed. Det er hensigt en medbest emmelsen at fast lægge, at GovCERT s akt ivit et er ikke vedrører de grønlandske ogfærøske dele af riget .