Utleveringspålegg i tjenesten Politi-Utlevering

Finansnæringen har konkludert at politiet kunne få utlevert kontoopplysninger via tjenesten Politi-Utlevering dersom det foreligger et signert og maskinlesbart utleveringspålegg ved hver forespørsel til finansforetak. Dette gjelder for hjemmel strpl. §210 (3). Se juridiske rammebetingelser Politi-Utlevering.

Utleveringspålegget skal følge med i hver forespørsel som sendes til finansforetaket slik at banken får verifisert om forespørselen stemmer med det påtalemyndigheten har godkjent.

Om utleveringspålegget

Utleveringspålegget (extradition order, EO) er en JSON Web Token (JWS) dvs. en åpen industristandard RFC 7519 for å representere krav (claims) på en sikker måte mellom to parter. Alle feltene i utleveringspålegget er obligatoriske.

Formatet til utleveringspålegget skal være:

For header:

For payload:

Eksempel på innhold (Payload)

{
    "extraditionOrderID": "a4f10250-7e30-11ee-b4b0-ab5ccb7c1184",
    "version": "1.0,0",
    "partyID": "31057710503",
    "mandate": "Straffeprosessloven §210 (3) første punktum",
    "reason": "Opplysningene antas å ha betydning som bevis i straffesak der noen med skjellig grunn kan mistenkes for en straffbar handling.",
    "fromDate": "2022-01-01",
    "toDate": "2023-12-31",
    "onlyPrimaryOwner": "false",
    "accountList": true,
    "accountDetails": true,
    "transactions": true,
    "cards": false,
    "roles": true,
    "district": {
        "districtID": "56",
        "districtLabel": "Økokrim"
    },
    "approval": {
        "approvedByID": "ABC123",
        "approvedByName": "Peder Aas",
        "approvedByRole": "Politiadvokat",
        "approvalTimestamp": "2024-04-05T08:27:18.14Z"
    },
    "caseID": "81e97495-38c6-42dd-92a7-73654c48f0ac",
    "exp": 1636027948
}

Verifisering av utleveringspålegg

Utleveringspålegget er signert og med et spesifikt sertifikat som kun påtalemyndighet kan benytte. Sertifikatet vil ha spesifikke OU og CN verdier:

• OU: “Påtalemyndighet”
• CN: “Godkjenning av utleveringspålegg”

Signering av utleveringspålegg er basert på standard PKI. Privat signeringsnøkkel tilhørende det spesifikke virksomhetssertifikatet vil bli benyttet av påtalemyndigheten ved signeringen. Dette sertifikatet og mellomliggende utstedersertifikater vil ligge i JWT header x5c. Finansforetakene må på forhånd ha lastet ned rotsertifikat fra Buypass og bruke dette som tillitsanker, slik at sertifikatets gyldighet kan valideres mot rotsertifikatet via kjeden av mellomliggende sertifikater. I tillegg skal finansforetakene validere at OU og CN er som over. Når man på denne måten har verifisert at mottatt sertifikat er påtalemyndighetens sertifikat for godkjenning av utleveringspålegg, skal finansforetakene validere signaturen ved å sjekke mot dette sertifikatet.

Det er viktig å notere at Buypass bruker forskjellig rotsertifikat for test og produksjon.

Dersom signaturen er gyldig anbefales det at innholdet i utleveringspålegget også verifiseres. Formatet til feltene skal være iht. spesifikasjonen over og i tillegg anbefales det å sjekke at:

1. “mandate” skal enten være “Straffeprosessloven §210 (3) første punktum” eller “Straffeprosessloven §210 (3) andre punktum”
2. “reason” skal enten være “Opplysningene antas å ha betydning som bevis i straffesak der noen med skjellig grunn kan mistenkes for en straffbar handling.” eller “Opplysningene antas å ha betydning i en sak hvor noen er meldt savnet, og det er grunn til å frykte at noe har tilstøtt den savnede.”
3. Kombinasjoner av “mandate” og “reason” er slik at dersom “mandate”=”Straffeprosessloven §210 (3) første punktum”, må “reason”=”Opplysningene antas å ha betydning som bevis i straffesak der noen med skjellig grunn kan mistenkes for en straffbar handling.”. Videre er det slik at dersom “mandate”=”Straffeprosessloven §210 (3) andre punktum”, må “reason”=”Opplysningene antas å ha betydning i en sak hvor noen er meldt savnet, og det er grunn til å frykte at noe har tilstøtt den savnede.”.
4. “fromDate” kan ikke være eldre enn 10 år før dagens dato.
5. “accounts” må være “true”.
6. “approvalTimestamp” kan ikke være etter dagens dato (i fremtiden).
7. “approvalTimestamp” sett opp mot dagens dato må være <= 90 dager.
8. “exp” kan ikke være eldre enn 90 dager etter “approvalTimestamp”.

Validering av forespørsel ift utleveringspålegg

Når utleveringspålegget er verifisert kan det brukes for å validere forespørselen det ble sendt med.

Se Gyldige forespørsler i forhold til utleveringspålegget for Politi-Utlevering

Testing av forespørsler / utleveringspålegg

Det anbefales å gjennomføre testing av ulike kombinasjoner av forespørsler og utleveringspålegg fra politiet slik at finansforetak sikrer seg at forespørsler er gyldige.

Det er definert 48 test-caser som tar for seg verifisering knyttet til:

• Gyldighet av selve utleveringspålegg (format, varighet)
• Tilgang til endepunktene
• Forespørsel iht utleveringspålegget
  • ID til kontrollobjektet
  • Lovhjemmel
  • Saksnummer
  • Tidsperioden
  • Utlevering av kontoopplysninger der kontrollobjektet er kun eier eller har flere roller

Viktig:

• Politiet må bilateralt avtale med finansinstitusjonene hvilke testobjekter (PartyID) som skal brukes i test-Utleveringspåleggene.
• Verdiene i grønt kan endres. For “partyID” og “caseID” må verdiene harmoniseres med den i forespørselen, så langt de er verdier som sendes i forespørselen.
• Verdiene i rødt viser hva som vil utløse feilen.

Se gyldige forespørsler i forhold til utleveringspålegget for Politi-Utlevering.

Change Log