Spm. nr. S 1421 (omtrykt)

6) Til justitsministeren af:

Michael Aastrup Jensen (V) (medspørger: Karsten Lauritzen (V) ) :

Hvad agter ministeren at foretage sig som følge af den yderst alvorlige læk af følsomme persondata hos Nets, jf. afsløringerne af ugebladet Se og Hørs adgang til en række personers kreditkortoplysninger?

Værsgo.

Tak. Spørgsmålet lyder: Hvad agter ministeren at foretage sig som følge af den yderst alvorlige læk af følsomme persondata hos Nets, jf. afsløringerne af ugebladet Se og Hørs adgang til en række personers kreditkortoplysninger?

Justitsministeren.

Jeg kunne godt være fristet til bare at sige, at jeg agter at henvise til min tidligere besvarelse, men så får jeg nok problemer. I stedet for vil jeg svare, og jeg vil svare, at spørgsmålet om Nets ikke sorterer under mig. Når det gælder tilsynet med Nets' overholdelse af reglerne om it-sikkerhed, varetages det af Finanstilsynet. Mit svar bliver så i stedet for, at jeg desværre bliver nødt til at henvise til Erhvervs- og Vækstministeriet.

Hr. Michael Aastrup Jensen.

Nu har vi lige været så positive over, at »m.v.« kunne dække ret meget, så jeg går ud fra, at »m.v.« også dækker det her. Situationen er jo den, at der har været forskellige forslag. Jeg kan forstå, at der er et konkret forslag, som er oppe at vende lige i øjeblikket, og som jeg synes det kunne være rigtig interessant at høre ministerens holdning til. Det er om, at der i dag reelt ikke foregår en opfølgning på, hvordan virksomheder håndterer personfølsomme data, og at sanktionerne i forbindelse med det er ret slappe. Man kan, er det kommet frem, få en bøde på 25.000 kr., hvis man endelig får en bøde.

Der er der andre der siger, at det jo er lidt absurd, når vi kigger på alle mulige andre sager som miljøsager, brud på fødevaresikkerheden og en lang række sager. Der er det jo helt, helt andre økonomiske sanktioner end 25.000 kr., der bliver pålagt. Overtrædelse af reglerne om beskyttelse af personfølsomme data er jo mindst lige så alvorlig, som hvis der sker en miljøskandale eller lignende skandaler andre steder.

Så jeg har to spørgsmål for at være forholdsvis konkret, og det er, punkt 1, om bødestørrelsen også indgår: Kunne det være større bøder end dem, der i dag? Punkt 2, kan man som virksomhed, der håndterer personfølsomme data, miste retten til at have med personfølsomme data at gøre, hvis det er noget af det, der er i ministerens værktøjskasse, altså underforstået, at hvis og såfremt en virksomhed gentagne gange har fået pålæg og ikke har fulgt op, kan den så miste retten til at have med personfølsomme data at gøre? Det synes jeg også kunne være interessant at høre set i lyset af ministerens åbenhed om, at Folketinget også bliver inddraget. Så kan man jo lige så godt også have en diskussion af nogle mere konkrete ting, som jeg ved i hvert fald er oppe at vende i dag.

Justitsministeren.

Jeg diskuterer gerne bødestørrelser, men jeg vil sige, at det ikke er den eneste mulighed, vi har for at komme efter folk. Vi har sådan set også straffeloven, som jo hegner noget af det her ind. Og der er det sådan, at strafferammen er bøde eller fængsel i indtil 1 år og 6 måneder, og straffen kan stige til fængsel indtil 6 år under særlig skærpende omstændigheder, eller hvis der er tale om overtrædelser af mere systematisk eller organiseret karakter. Det er bare for lige at understrege, at der ikke kun er bøder på paletten. Der er også en strafferamme, som i den videste konsekvens går til 6 års fængsel. Det synes jeg lige at man skal have med.

I forhold til spørgsmålet om, om man kan få frataget sin ret, vil jeg sige, at Nets jo, så vidt jeg ved, har en legitim ret til at behandle den her slags oplysninger. Så har der været nogle sikkerhedsbrud, som jeg forstår det, og som man angiveligt må tro, og der må jeg henvise til, at det må være erhvervs- og vækstministeren, som det henhører under, der må kunne svare på spørgsmål om de regler.

Hr. Michael Aastrup Jensen.

Ja, men vi ser det jo så også som en helhed. Det er derfor, vi har diskussionen. For der er jo de her forskellige ben, men de går jo alle sammen op i den samme krop, der hedder: Hvordan sørger vi for bedre sikkerhed? Jeg lover, at vi også forfølger sagen i forhold til erhvervsministeren.

Men lige for at anholde det, som ministeren siger, at der jo er højere straffe, vil jeg sige, at jo, men det er jo møntet på dem, som foretager den ulovlige handling, altså dvs. dem, der går ind og tager data enten i hackerangreb, eller hvor medarbejdere går ind og tager data ulovligt. Nu tænker jeg på den pågældende virksomhed, der simpelt hen ikke følger op på de givne retningslinjer og lignende, der er for it-sikkerhed. Der går jeg ikke ud fra – for så har jeg i hvert fald misforstået det totalt – at en virksomhedsejer kan blive sendt i fængsel. Der får man i dag et pålæg, og der kan man få en maks.-bøde på 25.000 kr. Så det er selve virksomheden, der behandler personfølsomme data, jeg er nysgerrig efter.

Justitsministeren.

Der er jo forskellige regler om det her. Altså, der er jo persondataloven, som har bestemmelserne om, hvornår behandling af personfølsomme oplysninger må finde sted, og også bestemmelserne om, hvordan personoplysninger skal beskyttes. Det er strafbelagt for private virksomheder at overtræde disse bestemmelser. Herudover indeholder lov om betalingstjenester og elektroniske penge regler om, hvilke sikkerhedsforanstaltninger der skal træffes ved brug og udbud af betalingstjenester. Endvidere indeholder straffeloven forskellige bestemmelser, som afhængigt af de nærmere omstændigheder kan være relevante i forhold til misbrug af personoplysninger. Der er det, at strafferammen alt i alt, som jeg nævnte før, går op til 6 års fængsel.

Så er det hr. Karsten Lauritzen som medspørger.

Tak. Jeg forstår jo godt, at ministeren henviser til andre ministerier, der ligger uden for ministerens ressortområde. Det er en anerkendt praksis, men det er jo meget illustrativt for det problem, der er på det her område, at it-sikkerhed ikke er placeret i ét ministerium, men fordelt på en lang række forskellige ministerier.

Det er jo ikke, fordi jeg vil klandre ministeren, der kommer her og svarer på ganske fin vis og rækker en hånd frem, men det illustrerer jo, at det ikke er nok, at justitsministeren gør noget. Der er måske behov for, at statsministeren og regeringen som sådan sætter sig i spidsen for at se på, hvordan man kan flytte det her op på den politiske dagsorden, og hvor man placerer et ministerielt ansvar henne, måske i et enkelt ministerium i stedet for i tre, fire, fem, seks, syv, otte forskellige ministerier.

Det var sådan en bemærkning til ministerens henvisning til andre ministre, som jeg jo godt forstår, men som alligevel illustrerer det problem, vi har, med sådan et komplekst spørgsmål her.

Det, jeg så vil spørge ministeren om, er, om ministeren kan sige noget om, hvor lang tid ministeren forventer at der kommer til at gå, før den politimæssige efterforskning af Nets er færdig. Er det noget, som ministeren forventer tager år, som vi har set i forhold til CSC-sagen, eller er det noget, ministeren har en forventning om kan gøres på kortere tid?

Ministeren.

Jeg tror, at det er mest fornuftigt, at jeg blander mig udenom, hvordan politiet tilrettelægger sin efterforskning. Jeg har noteret mig det ved at kigge fjernsyn, så jeg tænker, at andre nok også har set, at det er noget, politiet har taget meget alvorligt.

Som jeg startede med at sige i et af de tidligere spørgsmål, har politiet også netop åbnet en ny afdeling, NC3, et nationalt center for cyberkriminalitet, i Ejby, hvor der sidder 75-80 mand – tror jeg det er – og arbejder specifikt med de her problemstillinger. En af deres første opgaver har været at kaste sig over det her, så jeg ved, at der har man taget godt hånd om det allerede. Men det er op til politiet at vurdere, hvornår en efterforskning er afsluttet, og så er det op til anklagemyndigheden at finde ud af, om der skal rejses en sag. Så sådan må det jo være.

Så bliver jeg spurgt til, hvordan man skal organisere det her arbejde i regeringen, og der bliver jeg i hvert fald nødt til at sige, at det ligger uden for mit ressort, men det, jeg dog kan sige, er, at der jo er data i alle ministerier, vi har oplysninger alle steder, så det, vi skal, er jo at sørge for, at lovgivningen rammer og favner det hele, og der er det jo persondatalovgivningen, som jeg har ansvaret for som minister, der er den, der kan komme i anvendelse.

Når jeg henviste til erhvervs- og vækstministeren i spørgsmålet om, hvorvidt man kunne tilbagekalde tilladelser til eksempelvis virksomheder, som legitimt handler med kreditkortoplysninger, er det, fordi jeg ikke vil gøre mig skyldig i at stå og sige noget forkert, men jeg bliver nødt til bare at indrømme, at jeg simpelt hen ikke kender lovgivningen i detaljen.

Hr. Karsten Lauritzen igen.

Det er jo helt fint. Det er ikke en kritik af ministeren, men blot det, at ministerens svar her jo er en illustration af det problem, som vi står over for. Det er rigtigt, at ministeren er ansvarlig for persondatalovgivningen, men tilsynet ligger jo spredt i forskellige ministerier. Jeg tror – og det er jo nok Venstres hovedpointe og grunden til, at vi stiller de her spørgsmål i dag – vi har brug for at have en overordnet politisk diskussion om, hvordan det er organiseret, så vi sikrer en effektiv beskyttelse og håndhævelse.

Jeg hører også det, ministeren siger, med, at hun ikke vil blande sig i den konkrete efterforskning. Det beder vi sådan set heller ikke om. Men ministeren som øverste chef for politi og anklagemyndighed har jo mulighed for at sige, at det her er en sag, som er meget vigtig, og at den også er vigtig af den årsag, at når den er afsluttet, påtænker vi at ændre lovgivningen. Og det er jo det, ministeren siger ministeren er åben over for. Der er det sådan, at vi jo ikke kan lave lovgivning, før efterforskningen er afsluttet.

Ministeren.

Hvis der er foregået ulovligt misbrug af oplysninger, er det i forvejen ulovligt. Så det er ikke det, vi jo sådan set skal tale om. Jeg behøver ikke at sige til politiet, at det her er vigtigt. Det er de udmærket klar over, og som jeg har forstået det, er de i den grad gået i gang både med afhøringer og sigtelser, der er blevet rejst – i hvert fald en enkelt, har jeg set. Og som jeg har nævnt flere gange, har man også etableret en ny stor afdeling. Det har jo så været i gang i lang tid i Ejby med den her NC3-afdeling, som er nationalt center for cyberkriminalitet.

Vi går i gang med nu at kortlægge præcist, hvordan lovgivningen er, hvordan tilsynet er, hvordan rammerne er, og så må vi tage en politisk drøftelse af, hvad vi gør. Jeg synes, det er vigtigt ikke at afvise noget som helst, for vi bliver nødt til at sørge for, ikke kun at tingene ikke er ulovlige, og at man kan straffes, men også at vi bliver endnu bedre til at beskytte data, så det ikke sker. For i det her er hovedproblemstillingen jo, at det ikke må ske. Det er ikke så vigtigt, om vi får straffet folk, men om vi får beskyttet helt almindelige mennesker.

Så er det hr. Michael Aastrup Jensen til afslutning.

Tak for det. Skal vi ikke på den her halvt overskyede dag alligevel prøve at bevare forårsoptimismen og så sige tak for de tilkendegivelser, der er kommet fra ministeren om, at Folketingets partier bliver inddraget i processen helt fra starten. Det er sådan, jeg forstår det. Det tager vi vel mod. Som ministeren også anerkender, så har vi været ude med nogle bud på nogle rigtig konkrete tiltag, som ville kunne højne datasikkerheden konkret. Vi har også nogle rigtig gode ideer om det mere overordnede osv., så vi vil meget gerne indgå i den videre dialog, og vi siger mange tak for indbydelsen.

Ministeren.

Jamen selv tak. Jeg vil glæde mig til de kommende politiske drøftelser. Jeg kan så afsløre, at det ikke kun er Venstre, som har en interesse i den her sag, det tror jeg at de fleste partier i Folketinget har. Jeg har også modtaget en dosmerseddel fra Enhedslisten, som er alenlang, så jeg er sikker på, vi nok skal få tilbragt fornøjelige stunder med hinanden, hvor vi kan komme i dybden med det her vigtige spørgsmål.

Spørgsmålet er sluttet. Tak til justitsministeren.

Så er det næste spørgsmål stillet til kulturministeren af hr. Jan E. Jørgensen.