Overvågningsstaten Danmark: Sådan fungerer den digitale kontrol med borgerne

Hver gang du bruger dit Rejsekort, googler et symptom eller sender en besked via din telefon, efterlader du digitale spor.

I Danmark, et af verdens mest digitaliserede samfund, samles disse spor op af en lang række aktører: staten, kommunerne, private virksomheder og efterretningstjenesterne.

Det sker ofte med lovhjemmel, sommetider i gråzoner, og ikke sjældent uden at borgerne er klar over det. Spørgsmålet er ikke om du overvåges. Spørgsmålet er hvem der gør det, med hvilken ret, og hvad der sker med dataene bagefter.

Hvad er digital overvågning egentlig?

Digital overvågning er den systematiske indsamling, lagring og analyse af data om enkeltpersoner eller grupper ved hjælp af elektroniske midler.

Det er et bredt begreb, der dækker alt fra statens logning af telefonopkald til private virksomheders sporing af forbrugeradfærd online. I det offentlige debatrum bruges begrebet ofte snævert om statens brug af teknologi til at holde øje med borgere, men den fulde forståelse kræver, at man ser hele landskabet: det offentlige, det private og skæringspunktet imellem dem.

Det er værd at bemærke, at digital overvågning ikke per definition er illegitim. Et effektivt politi og en fungerende efterretningstjeneste har brug for visse redskaber til at bekæmpe alvorlig kriminalitet og beskytte nationale interesser.

Problemet opstår, når disse redskaber bruges for bredt, uden tilstrækkelig kontrol, eller når de private virksomheders dataindsamling sker uden meningsfuldt informeret samtykke. Den balance, mellem sikkerhed og frihed, mellem effektivitet og privatliv, er kernen i enhver seriøs diskussion om overvågning.

Statens overvågningsapparat: Tre søjler

Den danske stats digitale overvågning hviler på tre søjler: logningspligten, efterretningstjenesternes beføjelser og de kommunale og statslige registre. Tilsammen udgør de et system, der er langt mere omfattende, end de fleste borgere forestiller sig.

Logningspligten – det brede net

Logningspligten (sessionlogning er det tekniske udtryk) forpligter teleselskaber og internetudbydere til at registrere metadata om borgernes kommunikation.

Det vil sige: hvem du ringer til, hvornår, fra hvilken placering og i hvor lang tid, men ikke hvad der siges. Denne pligt har eksisteret i dansk ret siden begyndelsen af 2000’erne og er siden blevet genstand for gentagne retlige og politiske stridigheder.

EU-Domstolen slog i 2020-afgørelsen i sagen La Quadrature du Net fast, at generel og udifferentieret logning af al kommunikation er i strid med EU’s grundlæggende rettigheder, nærmere bestemt retten til privatliv og beskyttelse af personoplysninger i henhold til EU’s charter.

Danmark reagerede på dette med en ny model for “målrettet logning”, der i teorien begrænser overvågningen til specifikke geografiske områder og risikogrupper. I praksis er det dog fortsat et system, der registrerer enorme mængder data om millioner af borgere, og den retlige diskussion er endnu ikke afsluttet.

Fra et strukturelt perspektiv er det her, man ser den klassiske spænding: nationale sikkerhedshensyn over for individuelle rettigheder defineret på EU-niveau.

PET og FE – efterretningstjenesternes særlige verden

Politiets Efterretningstjeneste (PET) og Forsvarets Efterretningstjeneste (FE) opererer begge med vidtgående beføjelser til elektronisk overvågning. PET er hjemlet i PET-loven og fører kontrol med trusler mod den indre sikkerhed, herunder terrorisme, spionage og ekstremisme.

FE opererer under FE-loven og er rettet mod trusler fra udlandet, men har med Forsvarets Efterretnings- og Sikkerhedstjenestes (DDIS) signalovervågning adgang til at opfange elektronisk kommunikation, der passerer over danske kabler og satellitter.

Det er her systemet viser sin sande logik: efterretningstjenesterne er underlagt parlamentarisk kontrol via Udvalget for Forretningsordenen og det nyoprettede Tilsynet med Efterretningstjenesterne (TET), men denne kontrol er i sin natur begrænset.

Læs også: Når bits og bytes bliver statssikkerhed: Hvad cybersikkerhed betyder for national suverænitet

Efterretningstjenester arbejder med klassificeret information, og den demokratiske oversight er i sagens natur kompromitteret, når lovgiverne ikke kan se, hvad der faktisk foregår. Det er ikke en dansk særegenhed. Det er et strukturelt dilemma i alle demokratier, men det er et reelt problem for borgernes retssikkerhed.

De store registre – staten kender dig bedre end du kender dig selv

Danmark har en internationalt anerkendt tradition for offentlige registre. CPR-registret, Folkeregisteret, skatteregistrene, sundhedsregistrene, kriminalregistret, tilsammen indeholder de statslige og kommunale databaser oplysninger om danskernes liv, som intet andet land i verden har maken til.

Det er en legitim arv fra velfærdsstatens behov for at koordinere ydelser og skatter. Men disse registre udgør også en potentiel overvågningsinfrastruktur af formidabel størrelse.

Det er ikke tilfældigt, at Danmark har kunnet digitalisere det offentlige Danmark hurtigere end de fleste andre lande: fundamentet var allerede lagt i form af velfungerende registre og en befolkning, der er vant til at dele data med staten.

NemID og det efterfølgende MitID er ikke bare en praktisk løsning. Det er et centraliseret identitetssystem, der forbinder borgerne med statens digitale infrastruktur på en måde, der giver myndighederne enestående muligheder for at følge borgernes digitale aktivitet.

Den private overvågning: Tech-giganternes parallelle system

Statens overvågning fylder meget i den offentlige debat, men den er faktisk i mange henseender mere begrænset og reguleret end den overvågning, der udøves af private tech-virksomheder.

Google, Meta (Facebook og Instagram), Apple og Amazon indsamler dagligt data om danskernes søgeadfærd, sociale relationer, bevægelsesmønstre, forbrugsvaner og psykologiske profiler, i et omfang, der overstiger, hvad selv de mest ivrige efterretningstjenester ville have fantasi til at efterspørge.

GDPR (General Data Protection Regulation) er EU’s forsøg på at regulere denne private dataindsamling. Forordningen, der trådte i kraft i 2018, giver borgerne rettigheder som adgang til egne data, retten til at blive glemt og krav om informeret samtykke. Datatilsynet er den danske myndighed, der håndhæver GDPR, og kan udstede bøder til virksomheder, der bryder reglerne.

I praksis er håndhævelsen dog fortsat en asymmetrisk kamp: de store tech-virksomheder har juridiske afdelinger på størrelse med mellemstore advokatfirmaer, mens Datatilsynet opererer med begrænsede ressourcer og et hav af klager.

Man må konstatere, at GDPR har hævet standarden for databeskyttelse i Europa sammenlignet med resten af verden, men det er langtfra en komplet løsning. Cookiebannere er i vid udstrækning blevet et compliance-teater, hvor designvalg, som at gøre “afvis alt” sværere at klikke end “accepter alle”, kanaliserer brugerne mod at aflevere mere data, end de måske ønsker.

Overvågning i det offentlige rum: Kameraer og sensorer

Videoovervågning i det offentlige rum er et område, der vokser støt. Politiet har adgang til et stigende antal kameraer i byer og på veje. Kommunerne installerer kameraer på skoler, i parker og i boligområder. Private virksomheder, fra supermarkeder til boligforeninger, har egne kamerasystemer. Tilsammen udgør de et netværk af optiske sensorer, som dækker langt større dele af det offentlige rum, end man intuitivt forestiller sig.

Det er her ansigtsgenkendelsesteknologien (biometrisk identifikation) bliver et centralt spørgsmål. I Danmark er brugen af automatisk ansigtsgenkendelse i offentligt regi fortsat begrænset, men teknologien er tilgængelig og benyttes i begrænset omfang af politiet.

EU’s AI-forordning, der gradvist implementeres fra 2024-2026, forbyder realtidsbiometrisk identifikation i offentlige rum med visse undtagelser, men undtagelserne er brede nok til at give anledning til bekymring. Fra et strukturelt perspektiv er den vigtige pointe, at teknologien løber foran lovgivningen. Når systemerne er på plads, er det vanskeligt at afvikle dem igen.

Magtanalyse: Hvem har reel kontrol?

Den formelle magtstruktur er relativt klar: Justitsministeriet og Rigspolitiet er øverst i kæden for politiets brug af overvågning. FE og PET er underlagt henholdsvis Forsvarsministeriet og Justitsministeriet. Datatilsynet fører tilsyn med private og offentlige aktørers behandling af persondata. Folketing og regeringen sætter de lovgivningsmæssige rammer.

Den uformelle magtstruktur er mere kompleks. Efterretningstjenesterne besidder viden og teknologiske kapaciteter, som de civile kontrolorganer ikke kan føre fuld demokratisk kontrol med. Tech-virksomhederne opererer med forretningsmodeller baseret på data, som i høj grad er flyttet væk fra europæisk jurisdiktion, selvom de betjener europæiske borgere. Og kommunerne, der håndterer enorme mængder borgernære data, har vidt forskellig praksis og kapacitet til at beskytte disse data.

Det er værd at bemærke, at interessekonfliktspotentialet er betydeligt. Politiet er afhængigt af efterretningsdata for at løse sager og har en institutionel interesse i at udvide sine beføjelser. Tech-virksomheder tjener penge på data og har en strukturel interesse i at indsamle mest muligt.

Politikere har en interesse i at fremstå handlekraftige over for sikkerhedstrusler, hvilket typisk trækker i retning af at udvide overvågningsbeføjelserne. Borgernes interesse i privatliv og retssikkerhed er diffus og svær at organisere politisk.

Internationale perspektiver: Danmark i et europæisk billede

Sammenlignet med sine europæiske naboer befinder Danmark sig i en midterposition. Storbritannien er historisk set et af de mest overvågede vestlige demokratier med et enormt netværk af kameraer og vidtgående efterretningsbeføjelser. Frankrig har efter terrorangrebene i 2015 udvidet sine overvågningsredskaber markant. De nordiske lande, Sverige, Norge og Finland, har alle systemer, der ligner det danske, men med visse forskelle i lovgivning og politisk kultur.

Læs også: Ytringsfrihedens grænser i Danmark: Hvad må du sige – og hvad koster det dig?

Det, der gør Danmark særlig interessant fra et strukturelt perspektiv, er kombinationen af to faktorer: den meget høje digitaliseringsgrad og den relativt høje institutionelle tillid. Danskere er vant til at dele data med det offentlige, og den generelle tillid til staten er høj sammenlignet med andre lande. Det er en kulturel forudsætning, der gør det lettere at implementere digitale systemer, men det er også en forudsætning, der kan svækkes, hvis tilliden viser sig at være fejlplaceret.

USA er i en klasse for sig med NSA’s globale overvågningsprogram, afsløret af Edward Snowden i 2013.

Snowden-afsløringerne viste, at den amerikanske efterretningstjeneste rutinemæssigt overvågede kommunikation fra allierede landes borgere og statsledere, herunder sandsynligvis danskere.

Det satte spørgsmålstegn ved, om de internationale overførsler af data til amerikanske cloud-tjenester er forenelige med europæiske borgeres rettigheder. EU-Domstolens Schrems II-afgørelse fra 2020 slog fast, at de daværende overførsler af data til USA var ulovlige, og den efterfølgende Data Privacy Framework er fortsat genstand for retlig usikkerhed.

En dansk sag: FE-sagen og kontrolsvigt

Et konkret eksempel på de strukturelle svagheder i det danske overvågningssystem er FE-sagen fra 2020-2021. Her fremkom det, at Forsvarets Efterretningstjeneste angiveligt havde hjulpet den amerikanske efterretningstjeneste NSA med at overvåge europæiske allierede, herunder muligvis tyske og franske embedsmænd og politikere.

Sagen afslørede, at den parlamentariske kontrol med efterretningstjenesterne havde fejlet, og der blev nedsat en uafhængig undersøgelseskommission.

Sagen er illustrativ af flere grunde. Den viser, at selv i et samfund med relativt stærke institutioner og høj tillid kan overvågningsmyndigheder operere i gråzoner, som de parlamentariske kontrolorganer ikke opdager i tide. Den viser, at de internationale efterretningsnetværk, herunder det tætte samarbejde i det såkaldte Five Eyes-netværk og samarbejdet med USA, skaber forpligtelser og praksisser, som ikke altid er forenelige med de formelle regler. Og den viser, at demokratisk kontrol med efterretningstjenester kræver mere end papirkontrol. Det kræver institutioner med reel kapacitet og vilje til at gøre deres arbejde.

Borgerens rettigheder – og hvor de reelt strækker sig

Formelt set har den danske borger en række rettigheder i relation til digital overvågning. GDPR giver ret til indsigt i egne data, ret til berigtigelse og i visse tilfælde ret til sletning. Databeskyttelsesloven regulerer det nationale supplement til GDPR. Persondataloven (nu erstattet af Databeskyttelsesloven) har eksisteret i forskellige former siden 1978. Den Europæiske Menneskerettighedskonvention beskytter retten til privatliv.

I praksis er det imidlertid vanskeligt for den enkelte borger at håndhæve disse rettigheder. At klage til Datatilsynet kræver overskud og kendskab til systemet. At sagsøge en stor tech-virksomhed er realistisk set forbeholdt organisationer med ressourcer. At kontrollere, hvad efterretningstjenesterne har registreret om dig, er i sagens natur umuligt, fordi sådanne oplysninger er klassificerede. Det er et af de mere alvorlige strukturelle problemer: rettighederne eksisterer på papiret, men adgangen til at håndhæve dem er ujævnt fordelt.

Konklusion: Strukturens logik og borgerens valg

Digital overvågning i Danmark er ikke en enkelt instans eller et enkelt system. Det er et kompleks af statslig logning, efterretningsindhentning, offentlige registre, private tech-giganter, kommunal kameraovervågning og biometrisk teknologi, alt sammen gennemvævet af lovgivning, der forsøger at balancere sikkerhed, effektivitet og grundlæggende rettigheder.

Det er her systemet viser sin sande logik: overvågning er ikke primært et spørgsmål om ond vilje. Det er et spørgsmål om institutionelle incitamenter, teknologisk kapacitet og demokratisk kontrol. Staten har incitament til at indsamle data, fordi det giver handlekraft. Virksomhederne har incitament til at indsamle data, fordi det er forretningsmodellen. Og borgerne er i begge tilfælde den part, hvis interesser lettest overses, fordi disse interesser er svære at organisere politisk og juridisk.

Det er ikke tilfældigt, at de stærkeste kræfter i kampen for digital privatliv ikke er politiske partier, men organisationer som Amnesty International, NOYB (None Of Your Business) grundlagt af den østrigske advokat Max Schrems, og den databasefed aktivisme, der opstår, når nok borgere forstår, hvad der faktisk sker med deres data. Den strukturelle forudsætning for forandring er oplysning: borgere, der kender systemet, kan kræve af politikerne, at det forvaltes med respekt for de rettigheder, demokratiet i teorien garanterer.

Del denne artikel med nogen, der ikke vidste, at Danmark har et logningssystem. Diskutér den med din omgangskreds. Og hvis du finder ExtraFokus’ arbejde med at forklare disse strukturer værdifuldt, kan du støtte os med en donation, det er det, der gør uafhængig journalistik mulig.

ExtraFokus.com: Dybere blik på verden.