– Det aller meste av rettighetsbruddene foregår på internett. Vi dokumenterer på vegne av rettighetshaverne vi representerer hva som foregår, og dokumentasjonen er elektronisk, sier Rune Ljostad i advokatfirmaet Simonsen.
Simonsen er piratjegere. De etterforsker, anmelder og går til sak på vegne av sine klienter. De skal finne pirater som ulovlig distribuerer rettighetsbeskyttet materiale som for eksempel film.
Teknisk Ukeblad har fulgt piratjakten tett. Vi har undersøkt hvordan piratjegerne jobber for å stanse den ulovlige fildelingen.
Oversiktsside: Piratjakten
Kontroversiell konsesjon
Adbvokatfirmaet Simonsen har siden 27. november 2006 hatt konsesjon til å loggføre IP-informasjon i forbindelse med piratjakten.
Piratjegerne fikk avslag fra Datatilsynet på sin søknad om forlenget konsesjon da den utgikk i juni, men har fått lov til å fortsette frem til klagen på avslaget er behandlet.
Det kan fort ta noen måneder, ettersom klagen både skal innom Datatilsynet og Personvernnemda før den avgjøres.
Les mer:
Piratjegerne kan ta seg god tid
Ønsker lovregulering av piratjegerne
Avslørende IP-adresse
For å kunne gå til sivilt søksmål for brudd på sine klienters opphavsrett, må Simonsen vite hvem som står bak IP-adressen som er loggført slik at de har en motpart de kan stevne for retten.
Den informasjonen er kun tilgjengelig for internettleverandøren, og per i dag er det bare politiet som har rett til å kreve slik informasjon utlevert.
En IP-adresse er ikke en sensitiv personlig opplysning i seg selv, men krysskoblet med annen informasjon kan den avsløre mye om en person.
Kommentar: Gi meg din IP-adresse
På spørsmål fra Teknisk Ukeblad om Simonsen krysser informasjon fra sin loggføringsdatabase med andre registre eller informasjon, er svaret kontant nei.
– Selve tankegangen er veldig fremmed for oss, sier advokat Espen Tøndel i Simonsen.
Han forklarer at de ikke har behov for å krysskoble informasjon for å få de bevisene de trenger til sin etterforskning.
– Den eneste koblingen vi trenger er IP-adressen til vedkommende, sier Tøndel til Teknisk Ukeblad.
Omfattende politiarbeid
Post- og teletilsynet har gjort et vedtak der de åpnet for at nettleverandøren Lyse Tele kan gi Simonsen kundenavnet bak en IP-adresse som piratjegerene har sporet til ulovlig distribusjon - uten å måtte gå via politiet.
Les mer: – Dommen burde vært offentliggjort
Simonsen forklarer at IP-adresse og kundenavn ikke nødvendigvis er komplett fellende bevis i seg selv.
Dersom politiet hadde prioritert å følge opp saken der Teletilsynet åpnet for privat utlevering av IP-info, ville de fått informasjonen om kundenavnet på svært kort tid, men de ville i tillegg vært avhengig av en tilståelse eller en fysisk beslagleggelse av den mistenktes datamaskin.
Hvis vedkommende ikke tilstår, må politiet gjennomføre en analyse av innholdet på datamaskinens harddisk, noe som kan være svært ressurskrevende ettersom politiet må utføre arbeidet selv.
En beslaglagt harddisk vil normalt inneholde mye annen personsensitiv informasjon. Den kan derfor ikke utleveres til for eksempel Simonsens piratjegere.
– Politiet gjør den tekniske analysen, og den må de gjøre, sier Tøndel til Teknisk Ukeblad.
Misfornøyd
Simonsen opplever det imidlertid som svært problematisk at politiet prioriterer så få av sakene de har anmeldt på vegne av sine klienter.
– Politiet har kjørt en sak i året, sier Ljostad.
Det har ligget på samme lave nivå de siste årene, på tross av at antall anmeldelser har økt kraftig.
– De aller fleste sakene har vært kjørt av Økokrim, tidligere Kripos. De har vært opptatt av å kjøre prinsipielle saker, og prøve ny lovgivning, sier Tøndel.
Kapasitetsmangel
Tøndel og Ljostad mener politiet har for liten kapasitet til å etterforske datakriminalitet, men viser også til at det ikke er naturlig å overlate alt til politiet, ettersom piratkopiering først og fremst er et brudd på noens eierskap til åndsverk.
Slike saker hører derfor hjemme i sivile rettsaker.
– Det omtales som at løsningen er politi, men politiet er begrenset til brudd på straffeloven, sier Ljostad.
Utredningsenhet
Simonsen er et advokatfirma, og selv om de har konsesjon til loggføring av data til bruk i etterforskning av ulovlig fildeling, er dette strengt tatt ikke en del av den regulære advokatvirksomheten.
– Den enkelte rettighetshaver kunne gjort det selv eller satt det bort til andre enn oss. Det er ikke som advokater vi gjør dette, sier Ljostad.
Simonsen har opprettet en egen utredningsenhet som jobber separat fra resten av advokatvirksomheten, og det er den som tar seg av etterforskningen frem til saken ender i rettsapparatet.
– At rettighetshaverne opptrer samlet i stedet for hver for seg, har den fordelen at omfanget av arbeidet reduseres. Samtidig blir det enklere å kvalitetssikre og føre tilsyn med at arbeidet utføres i samsvar med kravene i konsesjonen og de strenge lovreglene for behandling av personopplysninger, sier Ljostad.
Internasjonalt piratproblem
Ulovlig fildeling av opphavsrettsbeskyttet innhold er på ingen måter et særnorskt problem.
Piratkopiering er en internasjonal aktivitet, og det samme er piratjakten. Selv om datatrafikken på internett går på tvers av landegrensene, må piratjegerne forholde seg til nasjonale lovverk.
– Når det er noe som har tilknytning til Norge, er det vi som håndterer det, sier Tøndel.
– Har dere lov til å dele informasjonen dere samler inn med andre?
– De som trenger det, sier Tøndel.
Få mottakere
Det betyr ikke at det er helt fritt frem.
– Det er ikke så mange som det er aktuelt å gi informasjon videre til, sier Tøndel.
Han trekker frem politiet, domstoler og internettleverandører som aktuelle mottakere av informasjon fra deres loggførte register.
– Det kan også være aktuelt å gi opplysninger videre til de vi representerer, sier Tøndel.
Hemmelige klienter
Hvem det er, er ukjent. I PT-vedtaket som åpner for utlevering er Simonsen oppført som representant for tre sladdede selskapsnavn.
På spørsmål fra Teknisk Ukeblad om informasjon har blitt utlevert til klienter i denne eller andre saker, er svaret nei.
– Jeg kan ikke huske at vi noensinne har gjort det, sier Ljostad.
Tøndel samtykker, og påpeker at lovgivningen som alle piratjegere må forholde seg til innenfor EØS-området er ganske lik.
– Hva med USA?
– Vi vil ikke kunne utlevere til USA. Ikke uten videre, sier Tøndel.
Ingen bevisfisking
Simonsen sier at de starter sin etterforskning kun på spesifikk mistanke når de får tips om at en film er lagt ut for ulovlig nedlasting.
De avviser at de går inn i fildelingsnettverk for å fiske etter bevis på ulovlige aktiviteter.
– Bevisfiskescenarioet er fremmed for oss, sier Tøndel til Teknisk Ukeblad.
Ikke ressurser
Et slikt scenario ville gjort det mulig å loggføre all ulovlig aktivitet på ett eller flere piratnettverk, for så å bedrive en massiv overvåkning av alle IP-adresser som kan delta i mistenkelige fildelingsnettverk.
– Vi har ikke ressurser til eller fullmakter til å jobbe på denne måten, sier Tøndel.
Han forklarer at det er først når de får konkrete tips, at de aktivt begynner sin etterforskning. Når det skjer, går de målrettet inn i kjente piratnettverk.
– Vi oppsøker steder der det erfaringsmessig foregår mye kriminelt, sier Tøndel.
Sikret loggføring
– Vi går inn som en annen bruker ville gått inn. Forskjellen er at de er der for å begå lovbrudd, mens vi er der for å stanse dem, sier Tøndel til Teknisk Ukeblad.
Loggføringen gjøres fra en lokasjon som er sikret i henhold til Datatilsynets krav.
Det betyr at det ikke er en oppgave som gjøres fra en vilkårlig kaffebar der vedkommende kan rote bort en bærbar PC full av sensitiv informasjon.
Norske eksperter
Arbeidet gjøres i all hovedsak av norske IT-eksperter.
– Vi leier inn folk til å gjøre den delen av jobben, sier Tøndel.
Simonsen vil ikke si noe om hva deres egen utredningsenhet gjør selv, og hva som utføres av internasjonale partnere i piratjakten.
Uansett hvem som gjør hva, må alle som er involvert forholde seg til samme lovgivning og konsesjonskrav, og det er Simonsen som står ansvarlig for hele aktiviteten.
– Advokatfirmaet er det som kalles behandlingsansvarlig etter loven, sier Ljostad.
Det betyr at Ljostad ikke kan skylde på innleide underleverandører hvis de bryter loven eller kravene i konsesjonen, uavhengig av om det er egne ansatte, innleide norske eksperter eller utenlandske underleverandører.
Danske privatetterforskere
Datatilsynet har fått spesifisert hva Simonsen gjør selv, via innleide norske ressurser, og hva som gjøres av ekstern tredjepart.
Den eksterne tredjeparten er i hovedsak danske Dtecnet. De jobber med slik etterforskning på vegne av sine kunder i blant annet Norge, Sverige, Danmark, England, Tyskland, Frankrike og USA.
Dtecnet vil ikke uttale seg om spesifikke oppdrag for Simonsen, men svarer på generelle spørsmål om hvordan de jobber på vegne av sine oppdragsgivere.
– Vi søker etter folk som deler filmen. Vi loggfører IP-adressen, nøyaktig sted og tidspunkt, og laster selvsagt ned en kopi av filmen som vi ser på for å sjekke at det virkelig er filmen, sier Thomas Sehested, administrerende direktør i Dtecnet til Teknisk Ukeblad.
Rapport
Når det er gjort, overleveres bevismaterialet til kunden i form av en rapport, samt med tilhørende logget informasjon.
– Vi genererer en massiv mengde data i loggfiler, sier Sehested.
Det dreier seg om kommunikasjonslogger for P2P-trafikken mellom Dtecnet's fildelingsklienter og mistenkte fildelere, men inkluderer ingen informasjon om eventuelle chattelogger eller annen datatrafikk utover selve fildelingen.
Åpne registre
Ettersom Dtecnet jobber med piratjakt i fildelingsnettverk på tvers av landegrensene, er det teoretisk mulig for selskapet å systematisk loggføre aktiviteten til svært mange mennesker.
Selskapet gjør det imidlertid klart at de, på samme måte som Simonsen i Norge, etterforsker på konkret mistanke.
– Vi etterforsker alltid bare på tittel-basis, sier Sehested.
På spørsmål om hvorvidt de krysssjekker loggført IP-info mot andre kilder, forteller Sehested at Dtecnet kun bruker åpne tilgjengelige registre som er nødvendig for å gi oppdragsgiverne informasjon til å gå til rettsapparatet med saken.
– Vi sjekker IP-adressen opp mot åpne registre for å finne ut hvilket land og hvilken internettleverandør brukeren kommer fra, sier Sehested til Teknisk Ukeblad.
Utover dette sjekker ikke Dtecnet IP-adressen opp mot andre registre eller databaser.
Det kunne de i teorien ha gjort uten at det ville vært brudd på konsesjonen som Simonsen fikk av Datatilsynet.
Datatilsynets konsesjon
– Konsesjonen gjelder oppbevaringen, forklarer Kim Ellertsen, avdelingsdirektør i Datatilsynet, til Teknisk Ukeblad.
Det betyr at konsesjonen ikke sier noe om metodene piratjegerne i Simonsen bruker til å samle inn informasjon, men at den legger klare føringer og retningslinjer for hvordan informasjonen skal oppbevares, sikres og brukes.
– Man må holde seg til formålet, sier Ellertsen.
Få hindringer
I piratjakten er formålet definert som å underbygge anmeldelse til politiet eller sivil erstatningssak.
Det betyr at det i utgangspunktet ikke er noe som hindrer piratjegerne i å krysskoble sin loggførte informasjon med andre informasjonskilder for å identifisere den mistenkte fildeleren.
Dette kan for eksempel gjøres ved å krysse IP-info med andre nettjenester der en bruker har identifisert seg med navn og/eller brukernavn, eller ved hjelp av målbevisste hackermetoder rettet mot personen bak IP-adressen.
digi.no: Bli med på et ekte hacker-angrep
Kan ikke krysskoble
Datatilsynet ser muligheten, men påpeker at det ikke bare er Simonsen som må forholde seg til sin konsesjon.
Det samme gjelder andre aktører som har konsesjon til andre former for loggføringer.
– Informasjon som er innsamlet skal brukes til formålet det er innsamlet for, og det gjelder begge veier, sier Ellertsen til Teknisk Ukeblad.
Det er derfor ikke lov å krysskoble informasjon fra et konsesjonsbasert register med ett formål, til informasjon i et annet register som er opprettet for et annet formål.
– Hvert register har sin rolle og sin rolle alene. Det legger en begrensning på koblingsmulighetene mellom registrene, sier Ellertsen til Teknisk Ukeblad.
Ulovlig
Hvis registrene ikke har likelydende formål, vil en eventuell krysskobling være ulovlig og det vil i så fall være problematisk i bevisføringen når saken skal gjennom rettsapparatet.
Spørsmålet er likevel ikke helt avklart, ettersom det finnes mange former for informasjon som ikke er konsesjonspliktig i seg selv, men som kan brukes til å avdekke personsensitiv informasjon gjennom krysskobling.
Ellertsen bekrefter at det er mulig, og trekker det frem som en begrunnelse for hvorfor Datatilsynet trenger nye retningslinjer fra politikerne.
– Det er jo det vi har utfordret Kulturdepartementet på, sier Ellertsen.
