Europa eksporterer spionteknologi til diktaturstater i stor stil

Det vakte jubel blandt menneskeretsaktivister og organisationer, da EU ved udgangen af 2014 indførte restriktioner på eksport af overvågningsteknologi.

Endelig, mere end tre år efter at afsløringer oven på Det Arabiske Forår havde vist, hvordan den europæiske overvågningsindustri hjalp Mellemøstens diktatorer med at holde deres befolkninger i et jerngreb, skred de europæiske lande til handling.

Som følge af »stigende bekymring vedrørende brugen af overvågningsteknologi og cyberværktøjer, der kan misbruges til at krænke menneskerettighederne eller EU’s sikkerhed«, ville eksport af overvågningsteknologi uden for unionens grænser fremover kræve en godkendelse fra myndighederne, skrev EU-Kommissionen i en pressemeddelelse.

Men i dag er jublen afløst af skuffelse: De nye restriktioner har ikke haft den effekt, mange havde håbet på.

I de første to år siden, restriktionerne blev indført, har EU’s medlemslande mindst 317 gange tilladt eksport af overvågningsteknologi. Til sammenligning er der givet 14 afslag.

Og en stor del af eksporten går til lande med et problematisk forhold til menneskerettigheder.

Det afslører en tværeuropæisk undersøgelse, som Information har foretaget som led i et samarbejde med et netværk af europæiske medier.

Undersøgelsen er den første systematiske kortlægning af de europæiske landes eksport af overvågningsteknologi.

Men eksporten er i realiteten formentlig endnu større, for 11 af EU’s 28 medlemslande har ikke udleveret de efterspurgte oplysninger. Heriblandt Frankrig og Italien, der huser nogle af verdens største overvågningsvirksomheder. De to lande anser oplysninger om eksport af overvågningsteknologi for at være fortrolige.

Autoritære lande

I knap 30 procent af de sager, hvor det har været muligt at fastslå modtagerlandet, er eksporten gået til lande, som er karakteriseret som ’ikke frie’ i tænketanken Freedom Houses seneste ’Freedom in the World’-rapport. Blandt dem er De Forenede Arabiske Emirater – et land, der er kendt for at bruge overvågningsteknologi mod fredelige regimekritikere.

Forskere fra Citizen Lab ved University of Toronto har tidligere påvist, hvordan den berømte menneskeretsaktivist Ahmed Mansoor er blevet overvåget med software fra en italiensk virksomhed. Alligevel har både Danmark og Storbritannien givet tilladelse til at sælge systemer til masseovervågning af internettrafik til landet. Og Finland har givet den canadiske virksomhed EXFO’s finske datterselskab lov til at eksportere mobilovervågningsudstyr dertil, afslører undersøgelsen.

I 52 procent af sagerne er eksporten gået til lande, som Freedom House karakteriserer som ’delvist frie’. Det er bl.a. et land som Tyrkiet, hvor Erdogan-regeringen efter det mislykkede militærkup sidste år har slået hårdt ned på politiske modstandere. Kun 17 procent af eksporttilladelserne gælder lande, der ifølge Freedom House er ’frie’.

»Tallene viser tydeligt, at den nuværende regulering er utilstrækkelig,« siger Edin Omanovic, research officer ved organisationen Privacy International.

»Det er et bekymrende lavt antal ansøgninger, der bliver afslået. Med tanke på at mange af de lande, der bliver eksporteret til, har et problematisk forhold til menneskerettighederne og ikke har nogen retssikkerhedsmæssige garantier i forhold til brugen af overvågningsteknologi, burde der have været givet mange flere afslag.«

En lignende konklusion drager den amerikanske sikkerhedsforsker Collin Anderson, der har udarbejdet en rapport om reglerne for handel med overvågningsteknologi for ngo’en Access Now og blandt andet har forelæst om emnet i Europa-Parlamentet.

»De få sager, hvor der er blevet givet afslag, er små succeshistorier. Men når vi kan se, at eksporten i mange tilfælde går til lande med et problematisk forhold til menneskerettighederne, så viser det, at de flotte ord og hensigter, der lå til grund for reglerne, ikke er blevet fulgt ordentligt op i praksis,« siger Collin Anderson.

Tortur i Bahrain

Der er flere dokumenterede eksempler på, at europæisk overvågningsudstyr er blevet brugt til at slå ned på regimekritikere i autoritære lande. Det amerikanske medie Bloomberg afslørede i kølvandet på Det Arabiske Forår, hvordan teknologi fra blandt andet det danske firma ETI, der i dag ejes af den britiske våbengigant BAE Systems, havde hjulpet Tunesiens Ben Ali-regime med at overvåge befolkningens private kommunikation.

I Bahrain er aktivister blevet torteret, mens de blev forhørt om private beskeder, som myndighederne havde opsnappet ved hjælp af udstyr fra finsk-tyske Nokia Siemens Networks. I Marokko er journalister fra oppositionsmediet Mamfakinch blevet angrebet med spionsoftware fra italienske Hacking Team. Samme software er også blevet brugt mod etiopiske eksiljournalister, viser rapporter fra Citizen Lab ved University of Toronto.

Når myndighederne i de europæiske lande afgør, om der skal udstedes en tilladelse til eksport af overvågningsteknologi, er de forpligtet til at inddrage »alle relevante hensyn« – herunder risikoen for, at teknologien kan bidrage til menneskerettighedskrænkelser. Det er en konsekvens af EU’s såkaldte dual use-forordning. Dual use-produkter er varer og teknologi, som kan bruges både til civile og militære formål.

Men i modsætning til reglerne for eksport af konventionelle våben er der ikke noget krav om, at der skal gives afslag, hvis der vurderes at være »en klar risiko« for, at dual use-teknologien kan blive misbrugt til undertrykkelse i destinationslandet. Myndighederne kan eksempelvis vælge at vægte hensynet til økonomiske interesser eller interessen i at opretholde et godt forhold til et givent land højere.

»Det grundlæggende problem er, at de regler, som nu også omfatter cyberovervågning, oprindeligt blev designet til noget helt andet, nemlig at forhindre spredning af teknologi, som kan bruges til udvikling af masseødelæggelsesvåben,« siger Quentin Michel, der er professor ved institut for Jura og Statskundskab på Université de Liège og ekspert i reglerne for eksportkontrol med kritiske produkter.

»Derfor fokuserer de mest på sikkerhedsrisici og er ikke ordentligt gearet til at tage højde for de risici for menneskerettighederne, som eksport af cyberovervågningsteknologi indebærer.«

Tre problematiske køberlande

De Forenede Arabiske Emirater

En sammenslutning af syv fyrstendømmer, hvoraf Dubai og Abu Dhabi er de mest kendte.

Ifølge Amnesty International arresterer regimet jævnligt kritikere, ligesom tortur og mishandling af fanger er »almindeligt«. Landets love foreskriver hårde fængselsstraffe for folk, der spreder information, som eksempelvis »kan skade den nationale enhed« eller statens »ry«.

Citizen Lab ved University of Toronto har dokumenteret, hvordan menneskeretsaktivisten Ahmed Mansoor er blevet overvåget med indtrængningssoftware.

Alligevel har Danmark, Finland og Storbritannien givet tilladelse til eksport af overvågningsteknologi til landet. Holland har derimod afslået en tilladelse af hensyn til menneskerettighederne.

Egypten 

Efter militærkuppet i 2013 har general Abdel Fatah al-Sisis regime intensiveret forfølgelsen og undertrykkelsen af civilsamfundet.

Demonstrationer er forbudt, og mange regeringsmodstandere og borgerretsaktivister er blevet arresteret.

Personer, der modtager udenlandsk finansiering til aktiviteter, der anses for »skadelige for nationale interesser«, kan idømmes livstid.

At »håne religion« eller at fornærme den »offentlige moral« er også forbrydelser. Desuden er forfølgelsen af LGBT-personer taget til.

Ifølge undersøgelsen har Storbritannien tilladt eksport af udstyr til mobilovervågning til landet.

Vietnam

Kommunistisk et-parti-styre. Er tidligere af organisationen Reporters Without Borders blevet karakteriseret som verdens tredjestørste fængsel for onlinedissidenter og bloggere, kun overgået af Kina og Iran.

Alligevel har Storbritannien tilladt eksport af mobilovervågning til landet.

Og Danmark har givet et firma tilladelse til at demonstrere et system til overvågning af internettrafik for potentielle kunder i landet.

 

Nyt forslag

I en kommentar til Informations undersøgelse skriver en talsperson for EU-kommissionen: »Det er tydeligt, at den eksisterende kontrol er nødt til at blive gjort mere effektiv og konsistent. Det indebærer at adressere spredningen af cyber-overvågning-teknologier og de risici de udgør for international sikkerhed for bedre at kunne beskytte menneskerettigheder og digital frihed.«

EU-Kommissionen fremlagede i efteråret et forslag om at stramme reglerne for eksport af overvågningsteknologi. Det nye forslag vil ikke gøre det obligatorisk at afslå en eksporttilladelse, hvis den er forbundet med risici for menneskerettighederne.

Men det præciserer, at myndighederne i medlemsstaterne altid skal inddrage en vurdering af »respekten for menneskerettigheder i det endelige destinationsland så vel som landets respekt for den internationale humanitære lovgivning«, når de vurderer, om en tilladelse skal udstedes eller ej. Samtidig vil Kommissionen lade restriktionerne gælde flere typer overvågningsteknologi end de tre, der i dag er omfattet af reglerne.

Europa-Parlamentets ordfører for forslaget, Klaus Buchner fra Tysklands De Grønne, mener, at undersøgelsen understreger behovet for en stramning af reglerne.

»De 14 afslåede eksporter, som datasættet viser, har i praksis styrket menneskerettighederne og EU som handelspartner. Det vigtige er nu at harmonisere denne menneskerettighedsfokuserede tilgang over hele Europa for at overvinde interne forskelle og mangelfuld implementering,« siger han.

Det er imidlertid uklart, om Kommissionens forslag vil blive vedtaget. Ifølge et notat fra den danske regering er der »generel skepsis blandt medlemsstaterne«. De frygter, at forslaget vil »medføre store administrative byrder for både virksomheder og myndigheder«.

Selv er den danske regering ifølge notatet »enig i vigtigheden i at sikre, at eksport af cyberovervågningsteknologi ikke misbruges til at krænke menneskerettigheder i autoritære regimer«. Men den foretrækker, at reguleringen i stedet sker »via det internationale eksportkontrolsamarbejde« – såsom Wassenaar-aftalen, der omfatter 41 lande over hele verden – i stedet for på EU-niveau. Hvis det ikke lader sig gøre, vil regeringen i stedet arbejde for at begrænse de nye EU-regler på flere punkter.

Forslaget skal debatteres i Europa-Parlamentet den 28. februar. Det er endnu uvist, hvornår det kommer på ministerrådets dagsorden.

Om undersøgelsen

Med Information som primus motor har en række europæiske medier samarbejdet om at indsamle oplysninger om eksporten af overvågningsteknologi fra de relevante myndigheder i alle EU’s medlemslande samt Norge.

• 18 lande har indvilliget i at udlevere oplysninger. Det gælder Østrig, Belgien, Bulgarien, Kroatien, Danmark, Estland, Finland, Tyskland, Irland, Letland, Litauen, Malta, Holland, Rumænien, Slovakiet, Spanien, Storbritannien og Norge. Med få undtagelser dækker tallene perioden 31. december 2014-31. december 2016.
• Syv lande har ikke villet udlevere de efterspurgte oplysninger, da de anser dem for at være underlagt fortrolighed. Det gælder Cypern, Tjekkiet, Frankrig, Grækenland, Ungarn, Italien og Slovenien.
• Ét land, Sverige, har ikke kunnet udlevere oplysningerne, da man angiveligt ikke har registreret eksporttilladelserne i en detaljegrad, der gør det muligt.
• Tre lande har ikke besvaret vores henvendelser. Det gælder Polen, Portugal og Luxembourg.

Resultaterne af undersøgelsen kan findes i deres helhed her. 

Undersøgelsen skal tages med visse forbehold:

Den omfatter kun de typer digital overvågningsteknologi, som i dag er underlagt eksportkontrol (se boksen ’Det eksporterer Europa’). Reglerne er tidligere blevet kritiseret for ikke at omfatte en række andre indgribende overvågningsteknologier.

Undersøgelsen siger ikke noget om, hvem den specifikke kunde i et givent land er, eller hvad udstyret skal bruges til. I visse tilfælde kan overvågningsudstyr bruges til rent defensive formål såsom at beskytte sig mod cyber-angreb.

Det kan variere, hvor meget udstyr, der må eksporteres som følge af en tilladelse. Antallet af tilladelser afspejler derfor ikke nødvendigvis eksporten i kroner og øre.

Ifølge de tyske myndigheder vælger nogle virksomheder at trække deres ansøgning om eksporttilladelse tilbage, hvis det efter den indledende dialog med myndighederne står klart, at der formentlig vil blive givet afslag. Sådanne tilfælde fremgår ikke af undersøgelsen, og ifølge de tyske myndigheder er det ikke muligt at kvantificere hvor udbredt dette fænomen er.

Statistikken omfatter alle tilladelser. Derfor indgår bl.a. også midlertidige tilladelser, der er givet med henblik på demonstration for potentielle kunder eller lignende.