Redegørelse fra Tilsynet med Efterretningstjenesterne vedrørende PET for 2025 er offentliggjort

Fra januar 2025 har TET fået udvidet ansvaret og mulighederne for at kontrollere PET som led i en styrkelse af kontrollen med efterretningstjenesterne. I den forbindelse er et nyt og styrket tilsyn blevet udpeget, og TET's første årlige redegørelse vedrørende PET siden styrkelsen af kontrollen er nu offentliggjort.

TET har med styrkelsen bl.a. fået mulighed for at foretage en bagudrettet legalitetskontrol af PET's operative opgaver, dvs., om PET har handlet inden for de regler, der gælder for tjenestens operative arbejde. Inden lovændringen har TET alene skullet kontrollere PET's håndtering af personoplysninger.

TET's kontrol er risikobaseret og retter sig dermed mod de dele af PET's virksomhed, hvor der vurderes at være størst risiko for fejl sammenholdt med den potentielle skadevirkning for fysiske og juridiske personer. Ved den risikobaserede kontrol lægger tilsynet også vægt på, om mulige fejl har en karakter, der kan påvirke offentlighedens tillid til tjenesten.

Det fremgår derfor også af TET's årsredegørelse, at redegørelsen skal læses i dette lys, og at store dele af PET's virksomhed ikke har været genstand for kontrol, da det er TET's vurdering, at tjenesten på disse områder iagttager lovgivningens bestemmelser.

"I det første år med det nye tilsyn, hvor tilsynet har fået et udvidetansvarsområde, har vi haft et godt og tæt samarbejde med de nye tilsynsmedlemmer. Samarbejdet har været præget af en konstruktiv dialog og en åben udveksling af information, hvilket har bidraget til et effektivt tilsyn. Vi værdsætter den tillidsfulde relation og ser frem til at fortsætte det gode samarbejde. PET udfører en helt særlig samfundsopgave, som af mange grunde er nødt til at ske i hemmelighed. Derfor skal PET selvfølgelig også kontrolleres af en kompetent, uafhængig instans med fuldt indblik i PET's arbejde. Det bakker vi fuldtonet op om," siger Morten Duus-Larsen, der er juridisk chef i PET.

TET's årsredegørelse for 2025 viser bl.a., at PET besvarede alle henvendelser vedrørende indirekte indsigt inden for fristen, at tilsynet ikke har haft bemærkninger til PET's behandling af oplysninger i tjenestens databaser, og at tilsynet ikke har fundet anledning til bemærkninger om overordentligt kritisable forhold, dvs. forhold, hvor der er konstateret alvorlige lovbrud, eller hvor tilsynet har været forhindret i at udøve sin virksomhed i en længere periode, uden at PET har udvist vilje til at sikre afhjælpning. Herudover viser redegørelsen, at PET's interne, uafhængige kontrol var tilrettelagt og gennemført tilfredsstillende.

Årsredegøresen indeholder dog også en række punkter, hvor TET finder anledning til at udtale kritik og komme med bemærkninger i forbindelse med kontrollerne. Det gælder bl.a. på følgende områder:

PET's brug af kunstig intelligens

Som efterretnings- og sikkerhedstjeneste skal PET være på forkant med både den samfundsmæssige og teknologiske udvikling. Med den eksponentielt stigende datamængde foregår efterretningsarbejde i disse år i højere og højere grad bag en computerskærm. Stigende datamængder gør det i praksis yderst vanskeligt at gennemgå og analysere samtlige indsamlede oplysninger manuelt. Derfor benytter PET sig - ligesom andre danske myndigheder - i stigende grad af forskellige typer af kunstig intelligens (AI), herunder generative AI-værktøjer, som understøttende it-redskaber.

TET har i 2025 foretaget en kontrol af PET's behandling af oplysninger ved anvendelse af kunstig intelligens. Det fremgår i den forbindelse af årsredegørelsen, at PET's anvendelse af kunstig intelligens, herunder generative AI-værktøjer, ikke i sig selv giver tilsynet anledning til bemærkninger.

"Stigningen i datamængderne er eksponentiel, og efterretningsarbejde foregår i dag i vidt omfang bag en computerskærm. Det er derfor en forudsætning for, at PET kan fortsætte med at løfte vores opgaver, at vi høster gevinsterne af udviklingen på området for kunstig intelligens. Og jeg bemærker mig med tilfredshed, at dette i sig selv ikke giver anledning til bemærkninger fra TET. PET bruger ikke kunstig intelligens til at lave det menneskelige analysearbejde, og vi bruger ikke computere eller generativ AI til at profilere borgere i Danmark, men til understøttende arbejde, f.eks. oversættelse af dokumenter. De AI-genererede resultater gennemgår naturligvis menneskelig verificering, inden de anvendes i f.eks. efterforskninger," siger Morten Duus-Larsen.

Konkret foretog TET i 2025 kontrol af PET's behandling af oplysninger ved anvendelse af AI i fire systemer, herunder en konkret sprogmodel. PET's anvendelse af den konkrete sprogmodel sker i lukkede systemer, hvor modellen og dens underliggende teknologi ikke er offentligt tilgængelig. Adgangen til AI-funktionerne administreres derfor udelukkende af PET, hvilket muliggør, at AI-funktionerne kan håndtere følsomme og klassificerede oplysninger.

Det fremgår af årsredegørelsen, at PET havde idriftsat én sprogmodel, som i visse tilfælde kan frembringe svar, der kan indeholde personoplysninger, hvorfor TET vurderede, at sprogmodellen ikke kunne betragtes som anonym. TET fandt på den baggrund, at PET burde forholde sig til, hvordan PET-lovgivningens regler om behandling af oplysninger, sletning og behandlingssikkerhed, herunder logning, iagttages i forhold til oplysninger i sprogmodellen.

"På baggrund af TET's kontrol lukkede vi med det samme for medarbejdernes brug af den konkrete sprogmodel og indledte en konstruktiv dialog med TET. På den baggrund indførte vi hurtigt passende tiltag for at sikre, at sprogmodellen altid anvendes i overensstemmelse med PET-lovgivningen. Efter inddragelse af tilsynet åbnede vi herefter igen for anvendelsen af sprogmodellen. Som følge af vores helt særlige samfundsopgave skal der selvfølgelig stilles strenge krav til PET, når det kommer til anvendelsen af AI. På grund af områdets hastige udvikling - både teknologisk og juridisk - kommer det til at forudsætte en fortsat tæt dialog med TET," siger Morten Duus-Larsen.

Kontrol af interne retningslinjer

Som led i TET's kontrol af PET's operative opgaver har TET undersøgt PET's interne retningslinjer for anvendelse af kilder og kontakter (kilderetningslinjer) og PET's interne retningslinjer for godkendelse og iværksættelse af tvangsindgreb. TET finder det problematisk, at PET ikke har foretaget opdatering af begge retningslinjer, og at de afvigelser fra retningslinjerne, som PET har redegjort for over for TET, fører til, at retningslinjerne (på væsentlige punkter) må anses for forældede. TET noterer sig, at PET har igangsat et arbejde med at revidere retningslinjerne.

På baggrund af TET's vurderinger af kilderetningslinjerne anmodede PET den interne, uafhængige revisionsenhed i PET om at foretage en bagudrettet legalitetskontrol af tjenestens overholdelse af retningslinjerne. Kontrollen er gennemført i 1. kvartal 2026 med deltagelse fra TET. Kontrollen har fokuseret på, bl.a. hvorvidt kildesager godkendes på korrekt ledelsesniveau, og om der er dokumentation for kildernes accept af betingelser for kildeforholdet. Den uafhængige revisionsenhed har fundet, at det samlet set er muligt at foretage en bagudrettet legalitetskontrol af PET's overholdelse af de nuværende kilderetningslinjer, og at PET's overholdelse af retningslinjerne må betragtes som tilfredsstillende. Den interne revisionsrapport er sendt til TET.

For så vidt angår iværksættelse af tvangsindgreb bemærkes, at det følger af PET-bekendtgørelsens § 7, stk. 1, at straffeprocessuelle tvangsindgreb i hvert enkelt tilfælde skal godkendes af PET-chefen eller den juridiske chef eller dennes stedfortrædere. Dette overholdes selvfølgelig af PET. Endvidere bemærkes, at iværksættelsen af tvangsindgreb kræver domstolskendelse, hvorfor tvangsindgreb som det helt klare udgangspunkt forelægges for en dommer inden dets foretagelse. Det fremgår herudover af TET's årsredegørelse, at TET som led i den operative kontrol udtog 20 stikprøvekontroller af tilfældige tvangsindgreb, og at tilsynet i alle 20 tilfælde fandt, at PET havde foretaget tvangsindgrebene i overensstemmelse med de afsagte kendelser.

"Tvangsindgreb kræver som helt klart udgangspunkt dommerkendelse, hvilket PET naturligvis overholder. Og TET's stikprøvekontrol viser da også, at vi i alle kontrollerede tilfælde har efterlevet rettens kendelser. PET har forud for TET's kontroller igangsat et arbejde med at revidere bl.a. de retningslinjer, som TET har kontrolleret. Det arbejde forventes afsluttet senere i år," siger Morten Duus-Larsen.

Sletning af oplysninger

TET kritiserer bl.a. PET's opbevaring af oplysninger i såkaldte transitsystemer og i en række præproduktionsmiljøer, der anvendes til it-relateret test og udvikling.

Personoplysninger af fortrolig karakter må kun kortvarigt opbevares i transitsystemer. Ellers skal oplysningerne lagres i en journal eller database, eller alternativt skal de slettes.

PET udvikler og tester software i præproduktionsmiljøer for at opdage fejl og uhensigtsmæssige konsekvenser uden at påvirke produktionsmiljøet. I nogle tilfælde kopieres data fra et produktionsmiljø til et præproduktionsmiljø med henblik på udvikling og test af softwaren. Hvis der ved test og udvikling af software i præproduktionsmiljøer anvendes data fra PET's produktionsmiljøer, gælder PET-lovgivningens regler tillige for
disse oplysninger.

I forbindelse med TET's kontroller af transitsystemer og præproduktionsmiljøer kontrollerede tilsynet, om PET havde slettet personoplysninger i overensstemmelse med PET-lovgivningen.

Det fremgår af PET-bekendtgørelsens § 3, stk. 1, at PET skal lagre oplysninger i et journalsystem eller database inden fire uger fra modtagelsen eller tilvejebringelsen. PET-sikkerhedsbekendtgørelsens § 17, stk. 1, jf. § 18, indeholder et krav om, at oplysninger af fortrolig karakter skal behandles i systemer, hvori der foretages logning. Efter bestemmelsens stk. 2, 2. pkt., kan dokumenter, som foreligger i endelig form, opbevares i systemer, hvori der ikke foretages logning, hvis der sker sletning inden for en kortere frist, der er fastsat af PET. PET har som udgangspunkt fastsat en sådan kortere frist på 28 dage i en intern vejledning for tjenestens brug af transitsystemer.

"Sletning af personoplysninger i transitsystemer og præproduktionsmiljøer er områder, hvor vi fortsat kan og skal forbedre os. I de konkrete kontroller har der bl.a. været tale om e-mails, som skulle have været slettet eller journaliseret på et tidligere tidspunkt. Det skal vi naturligvis blive bedre til, og vi har indledt en dialog med tilsynet om bl.a. automatiseret sletning," siger Morten Duus-Larsen.

Læs årsredegørelsen fra TET

Fakta:

Tilsynet med Efterretningstjenesterne er et særligt kontrolorgan, der fører kontrol med, at blandt andet PET behandler oplysninger om fysiske og juridiske personer i overensstemmelse med de nærmere bestemmelser herom i PET-loven samt regler udstedt i medfør heraf. Der henvises til kapitel 9 i PET-loven.

I juni 2024 vedtog et bredt flertal i Folketinget ændringer af blandt andet PET-loven med det overordnede formål at styrke Tilsynet med Efterretningstjenesterne. Lovændringerne indebærer blandt andet, at tilsynet har fået nye kompetencer og nye måder at arbejde på. Med den nye lovgivning, som trådte i kraft den 1. januar 2025, har tilsynet således fået mulighed for at føre bagudrettet legalitetskontrol med PET's operative opgaver, og tilsynets adgang til oplysninger mv. hos PET er blevet udvidet.

Samtidig vil tilsynets kontrol med PET særligt skulle målrettes de dele af tjenestens virksomhed, som vurderes af størst betydning for fysiske og juridiske personer, og som på den baggrund må anses for at være mest centrale for tilliden til efterretningstjenesterne i en åben demokratisk retsstat.

Herudover fastsætter lovændringerne et tættere samarbejde mellem tilsynet og PET's interne revision samt et tættere samarbejde mellem tilsynet og Folketingets Udvalg vedrørende Efterretningstjenesterne, idet udvalget blandt andet har fået mulighed for i ekstraordinære situationer at anmode tilsynet om at undersøge konkrete sager.