Human Rights, Europe - on Privacy (and more)

The Commissioner for human rights, Council of Europe, writes in its yearly report, dated January 2018

From the Foreword

In the introduction to last year’s annual report, I claimed that 2016 would be remembered as a turning point for human rights protection in Europe. In a positive scenario, 2016 would be remembered as the year we hit bottom and began to bounce back. In a darker scenario, it would mark the beginning of the end of the post-war human rights system. Needless to say, there were few signs of an upturn in 2017.

On Counter-terrorism and human rights protection

The  Commissioner  reiterated  these  concerns  in  a  series  of  statements.
On  the  occasion  of  the  Data Protection Day and the anniversary of Convention 108 on Personal Data Protection which took place on 27  January,  the  Commissioner  published  a  statement  stressing  that
mass  surveillance  is  a  threat  to individual rights to privacy and data protection.
He insisted on the need for safeguards against abuse to prevent counter-terrorism measures from undermining democracy under the guise of defending it. 

On 15 September,   the   Commissioner   participated   and   made   the   concluding   observations   in   the   Third Conference  of  the  Independent  Police  Complaint  Authorities’  Network  (IPCAN)  in  Strasbourg.   

The Commissioner  expressed  his  concern  that  one  of  the  major  reactions  by  states  to  terrorist  attacks  has been  to  adopt  laws  on  surveillance  which  raise  serious  issues  of  compatibility  with  human  rights standards. 
The Commissioner was also worried by the tendency in certain states to normalise emergency measures  by  embedding  them  in  ordinary  legislation.

He  underlined  that  all  instances  of  misconduct  by police   forces   are   corrosive   of   the   public   trust   and   stressed   that   independent   police   complaint mechanisms,  like  the  members  of  IPCAN,  can  play  a  vital  role  in  upholding  the  rule  of  law  and  human rights standards.
The Commissioner stated that in this age of terrorism such safeguards are necessary to
prevent deterioration in the quality of democracies while fighting terrorism.

..... and lots more related to human rights issues and abuses cross Europe.

Recommended reading:
The Annual activity report 2017 from the Council of Europe Commissioner for Human Rights is available from Coe website

Maktkampen om Internet - Militarisering og nedbygging av liberale rettigheter

Regjeringen la frem "Forslag til endringer i lov 20. mars 1998 nr. 10 om forebyggende sikkerhetstjeneste (sikkerhetsloven)"(1)
 
Forslaget er omfattende men kort oppsummert går det ut på

• Hasteinnføre endringer i norsk lov, som vil tilrettelegge for digital totalovervåking av alt og alle som benytter internet.
• Hva og hvordan slik overvåking skal skje foreslås løst med forskrift, fortrinnsvis etter selvbetjeningmetoden (blankofullmakt for datainnsamling).
• Utredning av lovens konsekvenser er ikke foretatt.
• Datalagringen omfatter alle offentlige datasystemer og all kritisk infrastruktur (også innen privat næring).
• Myndighetene ønsker å kunne pålegge privat næring å underlegges overvåking ved å implementere sensorer (datainnsamling) fra sikkerhetsmyndighetene.
• Data som ekstraheres lagres hos myndighetene i 5 år.
• Sikkerhetsmyndighetene foreslår fagområdet cybersikkerhet overført (fra privat næring) til staten, som da skal ta ledelsen over dette.
• Staten skal også utvikle programvare og yte sikkerhetstjenester.

Dette er lovgivning en forventer i noe mindre demokratiske stater, for å si det litt forsiktig....


Parallelt med dette (dvs. kontinuerlig) behandles nye EU direktiver og forordninger i EØS-komiteen, hvorav noen foreslås innlemmet i EØS-avtalen.
Som med forskrifter så unngår en offentlig debatt når lovendringer løses ved slike metoder.

Men hvorfor haster det så mye å gjøre dette nå umiddelbart, uten å forstå hva som skal løses?
Hvordan kan en foreslå løsninger uten å ha analysert problemene? Eller uten å vente på utredning (NOU) som kommer 2016?

 “...regjeringen besluttet å dele opp arbeidet med revisjon av loven i to faser. Dette for å kunne gjennomføre enkelte av endringene raskt, uten å måtte vente på de grundige analysene som er nødvendig for å løse de ovennevnte temaene”

Ved å innføre endringene i sikkerhetsloven nå, så klargjøres norsk lovverk for at borgerne kan - uspesifisert i loven - overvåkes, dvs. ubegrensede og inngripende kontrolltiltak i borgernes private sfære lovfestes.

Strategisk nytter en andre betegnelser, som å beskytte nasjonale interesser, etc. ved å overvåke "kritisk infrastruktur".

"Sikkerhetsmessig overvåking av IKT-systemer har klare grenseflater mot enkeltindividers personvern. Denne type tiltak bør derfor ha en klar hjemmel i lov....
Samtidig blir bestemmelsene om overvåking lettere tilgjengelige og synlige både for de virksomhetene som pålegges plikter i henhold til bestemmelsene og for de som ellers berøres av dem.
Ethvert kontrolltiltak som virker inngripende overfor den enkelte må ha rettslig grunnlag."

Når (om) EUs NIS direktiv (omtales under her) vedtas - og EØS-komiteen innlemmer dette i EØS (det er ikke EØS-relevant om ikke eksplisitt regjeringen innlemmer dette), så - vips - så har en full uttelling via policylaundring (hvitvasking av politikk en ellers ikke vil få innført i eget land via demokratiske prosesser). (I tillegg vil en gjøre bruk av "Varslingssystem for digital infrastruktur (VDI)" lovlig, noe det ikke er i dag, om det nyttes på offentlig nett.)

EUs NIS direktiv er eksplisitt omtalt i fersk rapport fra European Parliament’s Policy Department for Citizens’ Rights and Constitutional Affairs, initiert fra LIBE (7).

Ikke noe i denne rapporten tilsier at direktivet kan sikre borgerne, deres data, eller deres tillit til internet. Tvert imot så har rapporten mange advarsler:

...calling for a strict separation of powers between law enforcement and security agencies responsible for preventing and investigating cybercrime and national security and intelligence agencies with offensive cyber-capabilities. Digital rights advocates argue that the new arrangements for breach reporting will strengthen the hand of national agencies tasked with cyber-espionage, and in so doing exacerbate the ‘militarisation of cyberspace’

Da direktivet ble foreslått i januar 2013 (pre-Snowden) ble det regelrett slaktet av fagekspertisen innen informatikk såvel som fra juridisk ekspertise. Modellen er sentrert rundt US/NSA og UK/GCHQ og er forsøk på å militarisere datasikkerhet - og til en svært høy kost, både økonomisk, demokratisk, personvernmessing og angående rettssikkerhet.

Det er også dokumentert at brysomme journalister overvåkes der mulighetene er tilrettelagt for sådanne statlige overgrep.

Sikkerhetsguru og professor Ross Anderson skrev (om NIS direktivet), 16.jan. 2013(2)

......Finally, it is extremely difficult to see how such a provision could be squared with
Article 8 of the European Convention of Human Rights.

Med erfaringer fra Datalagringsdirektivet så forsøker en nå å forflytte overvåking til militær sone, utenfor rekkevidden og innsyn fra det sivile samfunnet.
Uten debatt og uten tanke på hvilken problematikk dette reiser.
Ønsker en et samfunn hvor borgerne er under militær overvåking via BigData hos nasjonale sikkerhetsmyndigheter?

bildet er fra political-humor.org

Statsråd Vidar Helgesen  sier (3)
(Og dette bør en lese to ganger, la det synke inn at overvåking av borgerne er en norsk (samt europeisk) verdi, som er hva denne mannen faktisk sier)

... en enhetlig internasjonal cyberpolitikk i EU og å fremme EUs kjerneverdier. Dette er i tråd også med norske prioriteringer ... (hhv. melding om menneskerettigheter og om globale sikkerhetsutfordringer). ... både for å fremme cybersikkerhet men også for å fremme kjerneverdier som ytringsfrihet, tilgang til informasjon og andre universelle menneskerettigheter, samt en riktig balanse i spørsmålet om hvor grensen skal gå mellom sikkerhet og frihet, jamfør diskusjonen om digital overvåkning.

Dette er som å lese tekst fra EU's Future Group (2008), en uformell gruppe som levde i skyggen av EU, og som kom med samme nytale om "EUs verdier". Mye av teksten i statsrådens tale er å finne innen EUs militariserte lobby.

Dette har ikke noe å gjøre med datasikkerhet eller sikkerhet for datanettverk -  og slettes ikke fremmer det fundamentale rettigheter.
Dette er keiserens nye klær - den psykopatiske keiseren ønsker mere makt i form av totalitær overvåking (ikke tilsiktet statsråden personlig).

The national and European states require unfettered powers to access and gather masses of personal data on the everyday life of everyone so that we can all be safe and secure from perceived “threats”.

But how are we to be safe from the state itself, from its uses and abuses of the data they hold on us? The outrageous proposal that the EU should tie itself in with the USA across the whole justice and home affairs field will place our privacy and civil liberties in great danger. If we do not have an open and meaningful debate now we never will, because by then it will be too late.

I Norge må denne debatten starte/fortsette nå - og langt inn i Stortinget!

Litt historikk fra EU relatert militarisering av det sivile samfunnet

Den uformelle gruppen, The Future Group, skjult for omverdenen (Informal High Level Advisory Group on the  Future of European Home Affairs Policy) skrev i 2008

In order to achieve a sufficient level of protection, “privacy-enhancing technologies” are absolutely essential to guarantee civil and political rights in the age of cyberspace

men anbefaler i neste punkt

Public security organisations will have access to almost limitless amounts of potentially useful information This is a challenge as well as an opportunity – public security organisations will need to transform the way they work if they are to master this data tsunami and turn it into intelligence that produces safe, open and resilient communities.
The key to effectiveness will be using technology to connect the capabilities of a multitude of stakeholders and ensure the right information gets to the right person in the form they are best able to use

De hevdet videre at grensene mellom militære, politi og sivile organisasjoner har noen sammenfallende eller overlappende oppgaver,  med begrunnelse av at "både militære, sivile og politi har (hatt) utenlandsoppdrag utenfor EU (Midtøsten, bl.a.)".
Oppsummert tolket jeg dem til at, i realiteten er det grensekryssende utveksling av sensitive data og utvidet samarbeide mellom landene, politi og paramilitære organisasjoner som er juridisk problematisk og følgelig bør en få mere "synergi" mellom militært, etterretning og politi - og - private aktører.

Videre mener denne gruppen at teknologiutvikling kan ikke styres fra medlemslandene eller fra industrien selv, men må kontrolleres av EU.
Det anbefales intensivert bruk av EUs forskningsmidler til dette bruket (militært og overvåknings formål, politisamarbeide over grensene, o.l.)


Tankesettet "Homeland Security State par excellenc" som ble utformes i disse årene er fra Israel - mens strategien en ser nå fra/for "Cyberforsvaret" har adoptert terminologien fra amerikansk militære doktrinen "Full Spectrum Dominance",en eufemisme for kontroll over samtlige av "krigssonens" eiendeler på land, luft, sjø og rombaserte - og nå også det sivile internet (sic).
(Rapporten NeoConOpticon - The EU Security-Industrial Complex(5) dokumenterer også dette.)

EUs Security Research and Innovation Forum (fra 2003 og til gjennomførelsen av FP7 forskningsprogrammet) har hatt 9 av 660 medlemmer (eller 1.4%) fra det sivile samfunnet, men ingen representanter eller organisasjoner relatert sivile rettigheter
Forskningsområdet (med €1.4 billion fra EUs totale forskningsmidler) har blitt formet deretter, basert på militære spesialinteresser og deres lobby - ikke for objektiv forskning for borgernes liberale rettigheter (som tenkt).

This is not just a question of failing to ‘balance’ rights and liberties with security. For Corporate Europe Observatory and others in civil society, the appointment of industry-dominated stakeholder groups to develop EU policy represents an unlawful act of maladministration

Senere, i 2010, kom rapporten med evaluering av denne delen av forskningen i EUs PF7 program.
Igjen konkluderes det med at det hele er drevet av og for "homeland security" og det militære, som har forbigått sivilsamfunnet og kun dyrket egne særinteresser (skriver evalueringsrapporten).

Neste (nåværende) forskningsprogram "HORIZON 2020", hvorav 1.6 billioner Euro er for "Secure societies - Protecting freedom and security of its citizens" lider i stor grad samme skjebne da gigantiske summer går til militarisering og relaterte industrier.
Krefter i EU (eller med aksess til EU) ønsker

"Promotion of civil-military cooperation and synergies with wider EU cyber policies, relevant EU institutions and agencies as well as with the private sector" (6)

At all kriminalitet som krysser grenser blir definert som militært anliggende, er noe bizarr....



Nå (oktober 2015) kom følgende rapport;
 The law enforcement challenges of cybercrime: are we really playing catch-up? (7)

Raporten er høyst aktuell (bl.a.) med tanke på regjeringens foreslåtte endring av sikkerhetsloven og NIS direktivet.
Noen korte utdrag følger:

Much of the EU’s policy to fight cybercrime is based on non-legislative measures, including operational cooperation and ad hoc public-private partnerships.

Furthermore, important distinctions and restrictions designed to ensure a ‘separation of powers’ between state agencies concerned with law enforcement (cyber-policing), civil protection (cybersecurity), national security (cyber- espionage) and military force (offensive cyber capabilities) ...

... the distinction between the investigation of cybercriminal activities, on the one hand, and online intelligence gathering and surveillance, on the other, has not yet been sufficiently established

... challenges in cybercrime law enforcement do not change the obligation to ensure the safeguarding of EU fundamental rights in any operating framework of internal or transnational cooperation in law enforcement and criminal justice

Any legislation and operational measures in the field of cybercrime must respect the EU Charter of Fundamental Rights and other international human rights instruments.

As the Commission wrote in its 2013 Communication on a Cybersecurity Strategy of the European Union: ‘ Increased global connectivity should not be accompanied by censorship or mass surveillance’.

These tensions are exacerbated by the fact that many cyber-infrastructures are privately owned and that the policing of cyberspace is, to a significant extent, both operationally unprecedented and legally unsettled, for example with respect to automated cyber-surveillance systems.

The concern is that the ‘cyber’ prefix may be providing cover for new surveillance and investigative techniques that are only linked to cybercrime in the sense that the investigations concern the use of computers or internet traffic related to suspects in ‘ordinary’ investigations

En bør også merke seg dette fra rapporten 

Data security is also at stake with regard to the issue of national governments or public authorities having a key or master key to encryption

(Dette har jeg skrevet om tidligere ang. bl.a. BankID og tilsvarende (e)ID-løsninger)



Regjeringens forslag om endring i Sikkerhetsloven
hører hjemme her:

Fotoet er fra en restaurant i Shanghai 2015

Referanser
1) "Forslag til endringer i lov 20. mars 1998 nr. 10 om forebyggende sikkerhetstjeneste (sikkerhetsloven) 19.mai 2015

Nasjonal strategi for cybersikkerhet Forebygging og håndtering av IKT-hendelser med store samfunnsmessige skadefølger 21.desember 2009

Nei til snik-datalagring Leder Bergens Tidende 27.aug.2015

3) Innlegg på Sikkertnok-konferansen, Høgskolen på Gjøvik, Statsråd Vidar Helgesen 29. oktober 2015

Network and Information Security (NIS) Directive (EUs versjon 16/03/2015 )
og realiteten pr. nå EU: Parliament's version of NIS Directive 'makes no sense' (krever medlemskap)

2) Question on the (draft) Directiv on Cyber Security (NIS direktivet) 16.januar 2013,

4) The Shape of Things to Come (2008)

5) NeoConOpticon - The EU Security-Industrial Complex (2009)

6) EU Cyber Defence Policy Framework 18.nov.2014

7) The law enforcement challenges of cybercrime: are we really playing catch-up? (Oktober 2015)

Riksrevisjonen refser norsk IKT-sikkerhet 21.oktober 2015
Riksrevisjonen påpeker alvorlige svakheter ved sikkerheten i informasjonssystemene i en rekke etater og trekker spesielt fram politi-og lensmannsetaten.

Datatilsynet advarer mot cybersenter

Datatilsynet mener regjeringen vil gi sikkerhetsmyndighetene en blankofullmakt for overvåking 26.aug. 2015

Electronic gates and/or doors with wireless services

Someone tried to sell me a wireless service for my home.
Here was my answer and the video I made:

The security threat is high. 

It reveals when your home is likely to be empty  

and 

is the most possible intrusive solution 

for you private life and your habits.

The same threats applies when you use services from your electricity-net provider, BTW.

Take responsibility for your security and your privacy: Don't use it!

Twitter DM and Privacy

Twitters privacy policy:

"When using any of our Services you consent to the collection, transfer, manipulation, storage, disclosure and other uses of your information as described in this Privacy Policy. Irrespective of which country you reside in or supply information from, you authorize Twitter to use your information in the United States and any other country where Twitter operates... ... We may share [with 3rd.parties] or disclose .... comply with a law, regulation or legal request.... ." Etc.

As a summary, anything Twitter can collect about you, is collected, used and distributed.



What about direct messages (DM)?

"Definition: A direct message (DM) is a private message sent via Twitter to one of your followers."

But how private does Twitter consider a "private message"?

Twitter implemented the "t.co link wrapper".
They announced this was a service for "link shortener" and done "to detect, intercept(!!), and prevent the spread of malware, phishing, and other dangers".
Of course giftwrappet with all the common bullshit claiming "better user experience and increased safety". 



Test:
I sent this DM message to @userA

@userA I left a very private message for you here:
www.my-web-server.com/private4UserA

Seconds later this was logged to my-web-server's accesslog:

199.59.149.166 - - [day/month/year:21:54:23 +0200] "GET /my-web-server/private4UserA HTTP/1.1" 200 151284 "-" "Twitterbot/1.0"

Surprised? A DM is not "a private message sent via Twitter to one of your followers" but content Twitter read and copy - also if content is located external to Twitter.

I look closer at the  DM.
My eyes read this:
"@userA I left a very private message for you here: www.my-web-server.com/private4UserA"

But the html-code behind the visible display is:

<a data-original-title="http://www.my-web-server.com/private4UserA" href="http://t.co/xyz123" rel="nofollow" dir="ltr" data-expanded-url="http://www.my-web-server.com/private4UserA" class="twitter-timeline-link" target="_blank"

This is the same method used for phising. I.e. the URL (web-adress) you read on the display is different than the actual URL you will be (re)directed to.


Twitter has a notis about this:

"Please note: t.co links, even those shared via DM, are neither private nor public. Anyone with the link will be able to view the content. "

I doubt many users read this, and if they do, they might not understand the privacy intrusion represented by this. At least I didn't - for how can a message be both "a private message" and "neither private nor public"? Nor did my link need "shortening" and there are no warnings either.


When the Twitter-user (@userA in this example) reads the DM, a new record is logged with the webserver (www.my-web-server.com):

11.22.33.255 - - [day/month/year:22:31:38 +0100] "GET /private4UserA HTTP/1.1" 200 747 "http://t.co/xyz123" "Mozilla/5.0 (iPad; CPU OS 5_1_1 like Mac OS X) AppleWebKit/534.46 (KHTML, like Gecko) Mobile/9B206 Twitter for iPhone"

This means Twitter is recording when and what the user reads, including from private massages.

Unfortunately Twitter is gradually closing its garden with proprietary and increasingly more privacy invasive methods.
Like it or not, but you should understand that your private DMs are not as private as you might have thought. And also understand that Twitter is no better than anyone else when it comes to privacy.

Samhandling: Én borger – én journal... & the bullshit bingo

Samhandling

Bullshit Bingo

Takk for Datatilsynet

Nylig (feb.2013) leste jeg følgende meldinger på sosiale media (om Datatilsynet):

(Alt fra samme bruker):

  Januar i fjor satte de foten ned for Google Apps. En fantastisk løsning som kunne spart oss for enorme skattepengebeløp https://www.datatilsynet.no/Nyheter/2012/Nei-til-bruk-av-Google-apps/

  I september snudde de vedr. Google Apps. Selvfølgelig. http://www.idg.no/computerworld/article255072.ece

  I august var det liksom forbudt å bruke det enestående webanalyseverktøyet Google Analytcs. Et must for webeiere!  https://www.datatilsynet.no/Teknologi/Webanalyse/

*) I oktober fant Datatilsynet en ny måte å hindre politiets arbeid på, denne gang i forsvinningssaker. Gjelder ofte barn. https://www.datatilsynet.no/Teknologi/Webanalyse/

  Elektronisk mobbing kunne de hjulpet til med, men sier @Slettmegno ikke er en del av "deres virksomhet"http://www.tv2.no/nyheter/innenriks/kripos-kritisk-til-at-nettsuksess-kan-bli-lagt-ned-3622171.htm l

  Er alvorlig kritisk til deres virksomhet i en tid hvor elektronisk trakassering øker eksplosivt. Rammer særlig unge. Kanskje ikke så viktig.

  Ferdig. Til neste sak fra #datatilsynet kommer. Til stor glede for kriminelle.


anklaget? @Datatilsynet har selv involvert seg i digital mobbing. Kunne med fordel vært mer.
 

*) Jeg antar meldingen sikter til dette http://www.ba.no/nyheter/irix/article6290025.ece, (dvs. at det ble vedlagt feil link)


De aller fleste forstår at Datatilsynet ikke er ansvarlig for at barn mobbes på nett - og forstår også at Datatilsynet ikke finner opp metoder for å hindre politiets arbeid eller hjelper kriminelle.

Tilsynelatende ser det ut som hetsing av Datatilsynet er omvendt proporsjonalt med forståelse av teknologi, samt at kombinasjonen teknologi og personvern er enda vanskeligere å forstå. 

Noen korte betraktninger relatert utsagnene som er kvotert ovenfor:


Slettmeg.no (link)

Lavtelskertilbudet Slettmeg.no har rot i at Kripos ville kriminalisere ungdommer som oppsøkte nettsteder hvor seksualiserte fotoer av dem selv var (mot deres vilje) lagt på nett.  

Fra Høringsuttalelse (12.03.2007)- Rapport om forebygging av Internettrelaterte overgrep mot barn 
(Kripos ønsker kriminalisering men vil ikke ta konsekvensene)

(Datatilsynets forslag til tiltak)
Kripos må tillegges ansvar for å bistå barn og unge med å fjerne publiserte bilder/filmer av seg selv.
Begrunnelsen for dette, er at man med filterteknologien mot barneporno og straffebestemmelser (straffeloven § 204a) har opprettet et monopol for politiet til bl.a å søke etter bilder. Årsaken til dette er at det er straffbart for andre å søke etter barnepornografi selv om man har til formål å avdekke brudd på straffeloven. Dette gjør at man blir avhengig av politiets bistand for å søke etter og fjerne filmer/bilder. I tillegg kan det fremstå som vanskelig å tolke hva politiet vil betrakte som barnepornografi noe som igjen skaper en usikkerhet både hos Datatilsynet og andre som kan ha en berettiget interesse i å lete opp bilder for å forsøke å få de fjernet nettopp fordi man risikerer straffeforfølgelse.

Slettmeg.no fikk enorm suksess - og er kjent langt utenfor landets grenser (og da av årsaker omvendt proporsjonalt med (manglende suksessen for) Kripos' "barnepornofilteret")

Slettmeg.no har inspirert EU til å tenke "the right to be forgotten" (men som er et komplisert konsept å innføre i lovs form, da internasjonale selskaper selger persondata de (u)rettmessig har akkumulert. Dette er heller ikke temaet her.)

FAD (Fornyings, Administrasjons og Kirkedepartementet) besluttet at Slettmeg.no ikke var Datatilsynets eller myndighetenes ansvarsområde, og ønsket å avvikle tjenesten. (NorSIS tilbydde husly og tok over driften fra 2012.)


Google Apps - Gmail

Angående utsagnene relatert Googles tjenester, så er disse i tråd med den generelle mangel på kunnskap om teknologi kombinert med tilsvarende uvitenhet om personvern og sikkerhet.
Dette er såpass kontroversielt at jeg har lurt på hvordan det har seg at offentlige tjenester kan nytte dette. Om Narvik kommune og Gmail har jeg skrevet om tidligere.
(Angående kostnadsbesparelser så kan en spare millioner på lisensutgifter ved å nytte annen programvære enn hva det offentlige gjør, men Microsoft er ikke tema her).


Google Analytics

"Analytics" er fasinerende område jeg også har jobbet en del med - om enn med andre formål enn å akkumulere persondata for å karakterisere mennesker (diverse "intelligence" og "performance characterization").
Debatten rundt Datatilsynet og (spesielt) Google Analytics skriver jeg mere om her.

 

Jeg leste også en eldre artikkel fra Stat & Styring, november 2011 vedrørende at "Datatilsynets rolle bør tas opp i forvaltningen".

Det er svært bekymringsfullt at det offentlige Norge har så lav digital kompetanse og forstår så farlig lite om digitalt personvern og digital økonomi.
Et kompromittert personvern vil svekke den digitale økonomien - blant annet fordi brukernes tillit til nettbaserte løsninger svekkes.


En kan også få inntrykk av at der er krefter som ønsker å redusere Datatilsynet til et personvernorgan som hjelper bedrifter og offentlig sektor med å etterse sine mest kritiske oppgaver.
Dette er en lite fremtidsrettet modell fra papiralderen, pre-1990.

Videre følger et forkortet utdrag fra noe jeg skrev et drøyt år tilbake:

El Ducko har laget satiren ovenfor. Kontakt ham om du trenger en god grafisk designer!

Oktober 2011 kunne en lese fra FAD (Fornyings, Administrasjons og Kirkedepartementet), som har ansvar for

• fornyingsarbeidet i offentlig sektor, 
• forvaltningspolitikk, 
• konkurransepolitikk, 
• IKT-politikk, 
• kirkesaker, 
• statlig arbeidsgiverpolitikk 
• spørsmål knyttet til samer og nasjonale minoriteter  

....hadde tanker om Datatilsynet.

Ministeren skrev følgende i pressemelding, 10.10.2011

Dyktige, faglig kompetente og - enkelte ganger - kanskje i overkant uavhengige.
Gjennomgående får Datatilsynet gode skussmål for faglig dyktighet og gode vurderinger. Det finnes likevel utfordringer. Difi slår fast at Datatilsynet med fordel kan se nærmere på hvordan de bruker sine ressurser. Blant annet bør det vurderes om økt samarbeid med andre offentlige etater med oppgaver på tilgrensende områder kan bidra til bedre utnyttelse av ressursene.
Datatilsynet er et faglig uavhengig forvaltningsorgan med stor bevissthet om denne uavhengigheten. Difi påpeker at uavhengigheten til tider kan synes å trekkes noe langt. Datatilsynet er dessuten tillagt både tilsyns- og ombudsoppgaver, og det fremstår i enkelte sammenhenger som litt uklart når tilsynet opptrer i de ulike rollene, og hvor grensene for de ulike rollene går. Rapporten advarer Datatilsynet mot å ende opp som interesseorgan for personvern eller som politisk aktør, fordi dette kan svekke tilliten til det som fagmyndighet.
- Jeg mener at at rammene for hvordan tilsynet skal utøve sin uavhengige stilling kan være uklare. Det er viktig både for FAD som overordnet departement, og for brukere av Datatilsynets tjenester, at disse rammene blir klarere. Jeg har derfor tatt initiativ til å få gjennomført en grundig juridisk utredning av dette temaet, sier Aasrud.
– Rent prinsipielt kan det være problematisk å være ombud og tilsynsorgan samtidig, sier statsråden, men understreker at det er for tidlig å ta stilling til om Datatilsynet bør deles
.......

Datatilsynet hadde gått mot innføring av DLD (som samtlige andre Datatilsyn i Europa. Men i Norge gjør en kanskje ikke slikt ustraffet?)

✷

Jeg leste derfor rapport fra Difi (FAD) som det ble henvist til.
Den er et studie i dårlig kamuflert politisk agenda som anbefales lest i sin helhet. 

Kort oppsummert beskriver den mandatet og en del "intervjuer" og "observasjoner" som skal kartlegge terrenget. For så, tilslutt, å oppsummere et kart som ikke stemmer med terrenget.

Rapporten forsøker iherdig å underbygge Difi's konkluderende anbefalinger relatert Datatilsynet, og hvor "informantene" er anonyme.
Enkelte henvisninger/sitater er så vage at det vites ikke om det er Difi selv, om der er én eller om det er flere som har gitt informasjonen. (Andre ganger er det mere klart).

✷

"enkelte eksterne informanter ... mener at Datatilsynet for ensidig vektlegger personvernhensyn også i saker der personvern skal avveies mot andre viktige verdier og samfunnshensyn.

Om "eksterne informanter" er ekstern til Datatilsynet eller ekstern til Difi vites ikke. Der foreligger heller ingen forklaring hva "andre viktige verdier" kan være.
Det er lett å få assosiasjoner til den nytale hvor "personvern" (vern om den private sfære) blir forsøkt omdefinert til "samfunnsvern".
Metoden er også beskrevet bl.a. i en rapport fra Transportøkonomisk institutt (TØI)
Personvern og ITS-baserte trafikksikkerhetstiltak (om detaljovervåking av bilister) hvor der henvises til potensielle teoretiske metoder og bruk av retorisk hjernevask for å lure borgerne til å gi opp sitt personvern:

TØI: "4.2..... VBN-teorien (Value Belief Norm) poengterer at for at folk skal handle altruistisk .....selv om det innebærer omkostninger for den enkelte – må man .... 

Slik kan en forsøke å gi begreper nye, og motsatte, betydninger enn hva begrepet faktisk betyr - slik det også er beskrevet av Orwell.
Tanken (VBN-teorien) er at om myndighetene gjentar mange nok ganger at personvern = samfunnsvern, så kanskje borgerne er dumme nok til å tro på dette.

Det ligger en stor porsjon hån mot menneskets intellekt og en grov underkjennelse av individets rettigheter bak denne type semantiske bedrag.
Metoden er ellers mest kjent fra markedsføring ("Happy Meal").

✷

"Noen eksterne informanter mener at Datatilsynet bruker ombudsrollen i for stor grad, at de ikke skiller klart nok mellom rollene og at de til tider fremstår mer som politisk aktør enn som forvaltningsorgan."
...
"......Datatilsynet går aktivt ut og forfekter andre synspunkter enn regjeringen. En slik krevende situasjon oppsto da Datalagringsdirektivet ble diskutert i ulike fora."

Mener en virkelig at Datatilsynet skulle ridd bølgen av nytale, gått aktivt inn for å bedra borgerne - eller er en så snever og autoritær i sin tankegang at en mener seg rett til å ignorere integritet og diktere munnkurv....

✷

En spesielt interessant sak som rapporten bringer i lyset, er denne:
De "informanter"som har kjennskap til Datatilsynets tilsynsvirksomhet gir inntrykk av at Datatilsynet er ryddige og systematiske, med bred kompetanse på tilsynsbesøk.
Men:
Det oppgis at finansnæringen har opplevd tilfeller av lang saksbehandlingstiden for gjennomføring og vedtak om konsesjonsvilkår og at kapasitetsmangel enkelte ganger kan gi unødig lang behandlingstid.
En skjønner at FAD/Difi har gått grundig tilverks for å finne ankepunkter mot Datatilsynet når en finner kilden til hvorfor finans/forsikring (FNF og Sparebankforeningen) nevnes.

I retrospekt av denne industriens egengenererte kriser er ikke dette en næring som kan påberope seg stor respekt. Industrien setter seg tvert mot lovregulert personvern, og er en versting angående deres forhold til sine kunders persondata. Her deles persondata fritt på tvers av bedrifter og landegrenser og disse ønsker kun å forholde seg til finansdepartementets regler.
Næringen topper også lobbyen mot EUs ePrivacy direktiv som pålegger dem et minimum av respekt for, og ansvar for, kundenes data.

✷

Difi's rapport forteller at etterspørselen etter foredragsholdere fra Datatilsynet er høy, mediedekningen bred og informativ, fagkunnskapen og profesjonalitet er høy.
Men en får en aldri så liten besk smak i munnen ved inntrykket av at Datatilsynets profesjonalitet og respekt i befolkningen vurderes via jantelovens briller.

Hele rapporten har en tråd hvor det letes etter hvorvidt "tilsynsrolle og ombudsrolle kan kombineres" og det eneste en kan komme med er

"Dersom Datatilsynet trekker ombudsrollen for langt i politisk retning, kan det svekke tilliten til etaten som fagmyndighet og føre til at personvernfeltet ikke får den plass det fortjener på den politiske dagsorden.
Vårt inntrykk er at Datatilsynet har høy integritet...Imidlertid kan det sterke engasjementet for personvern bidra til at bevisstheten om at Datatilsynet er et forvaltningsorgan blir noe svakere."

✷

Som Computerworlds skriver (etter at de deltok i Difi's prosjekt som "informant") :

"spørsmålet om splitting [av Datatilsynet] stod høyt på agendaen hos spørsmålsstillerne.[Difi]. Det gjør det nærliggende å anta at Datatilsynets organisering har vært et tema i forvaltningen lenge. Og, at undersøkelsen er initiert for å prøve å begrunne en eventuell vingeklipping av tilsynet."

Fra Omdømme-undersøkelsen 2010:

Vi har aldri trengt Datatilsynet mere enn nå

✍
Honnør til Datatilsynet

Links: 

Lobbyen mot personvern og datasikkerhet er massiv

Analytics - BigData II
Adware og Spyware - BigData I

Analytics - BigData II

Verktøy for webanalyse

En bør velge analyseverktøy i henhold til sitt spesifikke formål.
Tjenester som kan relateres til mere eller mindre sensitive tjenester bør nytte verktøy tjenesteyter selv har kontroll over - ikke minst av personvernmessige årsaker. Eksempelvis bør ikke offentlige myndigheter dele sine kunders (dvs. borgernes) data med Google eller tilsvarende aktører, ei heller om dataene ikke antas sensitive i seg selv.

Google Analytics gir langt mere data om brukeren til Google, enn hva verktøyet gir til den som nytter tjenesten.

For myndigheter ville jeg valgt et eget analyseverktøy som kunne gitt nyttig informasjon relatert driften og bruken av offentlige nettsteder - og på tvers av disse. Denne muligheten mister en ved å nytte eksempelvis Google Analytics.


Kontroversielt

Det har vært noe debatt i media, relatert Datatilsynets skeptisk til Google Analytics.
Datatilsynet påpekte at alle studenter må via Lånekassen.no, og alle borgere må via Skatteetatens tilsvarende nettsider. Dermed sendes alle borgerne via Google, uten muligheter til egne valg.
Et lite utdrag fra Lånekassens nettsider (tilsvarende er for Skatteetaten):

"....Google vil ikke sammenstille din IP adresse med andre opplysninger Google måtte ha i sin besittelse .... for å yte andre tjenester i tilknytning til aktiviteten på nettstedet og bruken av internett.... Ved å bruke nettstedet godtar du at Google behandler opplysninger om deg ...
Mottatte opplysninger er underlagt Google sine retningslinjer for personvern..."

Waterhouse/(IKT Norge) peker til en "anonymisering" av IP-adresse i Google Analytics, og mener at derved er saken løst hva personvernet angår.
Han legger riktignok til at hans interesse i denne saken er relatert at det sannsynligvis påvirker også andre tjenester. (Kilde)

"Bruk av Google Analytics bør være forbudt" ifølge Lervik (cXense), og han gir Datatilsynet full støtte

Datatilsynet har også lagt ut informasjon vedrørende bruk av (Google) Analytics.

Innen EU er Googles mangelfulle personvern en pågående, ikke avsluttet, sak.
Samtlige land er sammen om dette, og siste oppdatering fra16.oktober 2012 ligger på nettet:  Google's new privacy policy : incomplete information and uncontrolled combination of data across services

Adware og Spyware

Kort oppsummert nytter (bl.a.) Google Analytics programkode som er innebygget (embedded) i nettsider bruker leser.
Denne programkoden har tre hovedmål:

• Identifisere brukeren og alt hva denne foretar seg på tvers av internet
• Lese alt som er mulig å få aksess til (via http og nettlesers , fra brukerens PC
• Sende disse dataene "hjem" (til Google) for akkumulering og analyse. 

Adware og spyware er to sider av samme sak.


Cookies

De fleste brukerne har hørt om cookies. Mange nettsteder (som har en side om sitt personvern) skriver gjerne noe om at brukeren kan endre innstillingene i nettleser for å sperre at cookies lagres.  Dette høres betryggende ut, men realiteten en helt annen, samt at der finnes mange varianter av "cookies" som ikke kan styres fra en nettleser.

Cookies er bare et strå i denne sammenhengen - og det er forsåvidt IP-adresse også. Av ulike årsaker:
Cookies gir begrenset informasjon - og brukeren kan "slå av" disse.
IP-adresser kan være dynamiske og/eller lovmessig regulert. IP-adresse gir heller ikke mere finmasket informasjon da mange brukere kan (tilsynelatende) ha samme IP-adresse.
Derfor nyttes andre, langt mere sofistikerte metoder for å tracke brukeren. Metodene som nyttes er verdt en egen artikkel, og ligger utenfor hva en vanlig brukers kan styre via nettleser.

Det er derfor villedende å fokusere kun på cookies og/eller IP-adresser.
De som akkumulerer persondata har gjort seg uavhengig både av http-cookies og IP-adresser.


Anonymisering av IP-adresse

Debatten har blitt sentrert rundt IP-adresser, som tjener både Google og "andre tjenester" (som såvidt ble nevnt ovenfor).

IKT Norge v/Waterhouse sier følgende: "Etter anonymiseringsprosessen ender vi opp med data som ikke kan identifisere hvem som har har vært inne på nettstedet". 
Jeg betviler ikke at dette kan sies i god tro og uten bedre vitende, men dette er dog ikke riktig.

Anonymiseringsprosessen det henvises til er IP Anonymization in Google Analytics
hvor funksjonen _anonymizeIp() "Tells Google Analytics to anonymize the information sent by the tracker objects by removing the last octet of the IP address prior to its storage."
Som Google selv skriver "This feature is designed to help site owners comply with their own privacy policies or, in some countries, recommendations from local data protection authorities, which may prevent the storage of full IP address information."
 

Brukeren anonymiseres ikke

Å fjerne siste del av IP-adresse anonymiserer ikke brukeren og er heller ikke hinder for tracking av brukeren på tvers av internet.

Google akkumulerer data fra - bl.a.  :
Ad Views
Browser Information
Cookie Data
Date/Time
Demographic Data
Hardware/Software Type
Interaction Data
Page Views
Serving Domains
IP Address
Search History
Location Based Data
Device ID
Phone Number
...  m.m.  (legg gjerne til at Google er eier av Doubleclink)

Geografisk lokasjon, mobil eller PC's ID, telefonnummer, osv. - er alle data som hver for seg kan identifiserer brukeren, indirekte, direkte eller samlet.
Informasjon fra nettleser kan også være tilstrekkelig for unik identifisering.
Mens informasjon om nettleser høres tilforlatelig ut, er dette i realiteten brukerens tilnærmet unike fingeravtrykk.

Som illustrasjon; I skrivende stund tester jeg nettleseren jeg bruker:

Your browser fingerprint appears to be unique among the 2,733,849 tested so far.

(Detaljert informasjon om dette her og test deg selv her)

Om ikke alt dette er nok i seg selv, så nytter en flere typer data, som eventuelt ved hjelp av sofistikerte algoritmer, tilsammen identifiserer brukeren (ikke så ulikt triangulering i trådløse nett).

Hvorvidt en så (i tillegg) lagrer IP-nummer helt eller bare delvis, er uvesentlig.

Begrepet "anonym" har en annen betydning for en computer enn hvordan ordet gjerne nyttes i den fysiske verdenen vi beveger oss i.

Fotoet under er fra Google Analytics, som viser at Datatilsynet har lest et bestemt blogginnlegg her på et gitt tidspunkt. Uten at IP-adresse er registrert kommer det frem at dette er Datatilsynet. (Klikk på fotoet for større bilde.) 

EU's e-privacy direktiv

Dette direktivet tar (bl.a.) høyde for at det skal informeres og innhentes eksplisitt tillatelse fra brukeren innen sporing og akkumulering av brukerens data kan foregå.
Deadline for implementasjonen var senest 25. mai 2011.

De som eksepsjonelt aktivt forsøker å svekke, utvanne eller helst fjerne personvernlovgivningen - er blant annet disse "andre tjenester" som Waterhouse/IKT Norge nevnte (se ovenfor "interesse i denne saken er relatert at det sannsynligvis påvirker også andre tjenester").

Du er ikke anonym for BigData Analytic

Det sier seg selv at du ikke er anonym når data akkumuleres om deg. Alternativt ville det ikke være mulig å akkumulere data om deg.
Og heller ikke mulig for Google Analytics å fortelle hvor mange "unike" brukere som har besøkt et nettstedet.

Hva Google (og andre, som TNS) gjør, er å gi deg et pseudonym. Et pseudonym er det samme som en unik ID.

Et pseudonym er ikke ekvivalent med å være anonym.

Det er ikke noe i veien for at din reelle identitet kan knyttes mot pseudonymet. Dette trengs kun å gjøres én eneste gang i løpet av ens livstid - og vil identifisere samtlige akkumulerte data, såvel retroaktivt som inn i fremtiden.


Kanskje ble du identifisert da du tastet inn mobilnummeret ditt, eller da du brukte mobilen for å logge inn på en tjeneste, eller da du registrerte en ny programvareoppdatering med navnet ditt - eller nær sagt hva som helst du ikke er bevisst.
Det kan også være så enkle at du mottok reklame som brevpost:

Jeg har fått flere av disse via postverket levert til min bostedsadresse, påtrykket mitt navn og et tilfeldig nummer.
Om jeg skulle bruke dem, vil jeg umiddelbart få min identitet og postadresse knyttet mot akkumulert pseudonym data.

Google eier flere patenter relatert å knytte bruker mot data. De tekniske mulighetene går langt lengre enn de fleste kan strekke sin fantasi.


Det er begrenset hvor mange ganger personvernet kan "mistes" da ens ID mistet kun én gang.

Det er mange aspekter som den lovgivende forsamling må ta inn over seg. 

Nå! 

Links:

Adware og Spyware - BigData I

Google's privacy policy: one step forward a coordinated repressive action by the European data protection authorities 18 February 2013
 
Google declares open war on Europe’s privacy rights 

Adware og Spyware - BigData I

Spyware

I prinsippet er det to hovedmetoder for implementering av spyware: "serverside" og "clientside". 
Den siste gruppen (clientside) installeres oftest på PC'en via eksempelvis ondsinnet virus, trojaner, osv. men er ikke tema her.

"Serverside" spyware er i prinsippet programkode innebygget (embedded) i nettsider brukeren besøker/leser. Denne programkoden har tre hovedmål:

• Identifisere brukeren og hva denne foretar seg (på tvers av internet).
• Lese alt som er mulig å få aksess til (via http og plugins) fra brukerens PC.
• Sende dataene "hjem" for akkumulering og analyse. 

Dette skjer uten at brukeren blir informert om dette og uten brukerens aksept.


Adware

Adware og spyware er gjerne to sider av samme sak (i denne konteksten).
Analyse av akkumulerte persondata og "profiling" nyttes bl.a. for å rette reklame dedikert en spesiell bruker/brukergruppe ("targeted marketing") og/eller for å rette maksimalt antall (forskjellig) reklame mot en bruker ("internet marketing").

Spissformulert kan en si at du vil du få rosa innhold om du er hunkjønn og blått innhold om du er hankjønn, men algoritmene er langt mere sofistikerte enn kjønnsstereotyper når det leveres "personalized" innhold.
Det er, mildt sagt, en høyst uheldig og udemokratisk utvikling ved at innhold filtreres, og denne korte videoen fra TED Talk illustrer "det personligjorte innholdet" - filterbobblen:



EU's ePrivacy direktiv kan forhindre dette ved at brukeren gis kontroll over egne data.
Men lobbyvirksomheten for å forhindre implementeringen av direktivet er så enormt at det overgår alt tidligere erfart.


WaporWare

I 2010 publiserte Samferdselsdep. Høring om endring i lov om elektronisk kommunikasjon med forskrifter med blant annet følgende forslag til endring i eKomforskriften

FORSLAG: § 7-3 Opplysninger i brukers kommunikasjonsutstyr
Lagring av opplysninger i brukers kommunikasjonsutstyr eller å skaffe seg adgang til slike opplysninger er ikke tillatt. Slik lagring eller adgang kan likevel skje dersom bruker har blitt informert av den behandlingsansvarlige i henhold til personopplysningsloven og har gitt sitt samtykke. Første punktum er likevel ikke til hinder for teknisk lagring eller adgang til opplysninger:
1. utelukkende for det formål å overføre eller lette overføringen av kommunikasjonen i et elektronisk kommunikasjonsnett
2. som er nødvendig for å levere en informasjonssamfunnstjeneste etter brukerens uutrykkelige forespørsel

Denne paragrafen resulterte i en del snodige artikler i media. Interesseorganisasjonen for interaktiv markedsføring (INMA) påsto
Ny norsk lov kan lamme internett En ny forskrift fra regjeringen truer livsgrunnlaget til norske nettmedier. - Hvis dette blir vedtatt, vil det sende internett tilbake til steinalderen, sier ekspert.
Jeg tror ikke de har tenkt på det, men hvis dette blir vedtatt, vil det sende internett tilbake til steinalderen, sier Inma-sjefen til E24.
Han tror manglende kunnskap om informasjonskapsler er årsaken til forslaget, som han mener vil slå bena under inntjeningen til norske nettmedier.
- Problemet er at de som har laget dette ikke vet nok om hvordan internett fungerer, sier Willstedt (24.01.2011).

Og i 25.05.2011 publiserte han at EU-forbud knebler norske nettbedrifter hvor han forteller at:

.....25. mai, deadline for de europeiske landene å implementere EU sitt upopulære ePrivacy-direktiv .... Lovforslaget regulerer «lesing og lagring i brukers kommunikasjonsutstyr» som er en av hovedpilarene i måten internett er bygget opp på. Uten slik lesing og lagring vil mange av tjenestene vi tar for gitt i dag ikke fungere, som nettbanker, selvangivelse på internett, e-handel, webmail og Facebook
.....
Den internasjonale standarden som definerer hvordan nettet skal fungere gjør det heller ikke mulig for en nettaktør å samle inn samtykke fra en annen, noe som gjør at den britiske tolkningen skaper et internett med fattigere tjenester og irriterte brukere.
Teknologien og standarden bak internett er utviklet med brukernes sikkerhet i fokus, og reguleringsivrerne i EU burde....

Men internet (med dets tusener standarder) fungerer ikke slik eller er "bygget opp" slik INMAs representant skriver.

Høringsbrevet deres (Høringsbrevet fra IMNA og Mediebedriftenes Landsforening) henviser riktignok til en (eksplisitt) standard for implementerting av cookie ("Http State Management") hvor de skriver at "cookies må ikke sammenblandes med spyware".
Dette er riktig. Det er de metoder som nyttes (av bl.a. INMA) som utgjør spyware (og ikke cookies i seg selv).



Loven er heller ikke ny men er å finne i den eldre ekonforskriftene.
(Jeg har forlengst merket med at (heller ikke) INMA overholder eksisterende lov.)

eKomloven fra 2004 (lovdata) "§ 7-3. Behandling av informasjonskapsler mv.
Elektronisk kommunikasjonsnett kan ikke benyttes til lagring av opplysninger i brukers kommunikasjonsutstyr eller for å skaffe seg adgang til slike, uten at bruker er gitt informasjon av den behandlingsansvarlige i henhold til personopplysningsloven, herunder om behandlingsformålet og er gitt anledning til å motsette seg behandlingen. Dette er likevel ikke til hinder for teknisk lagring eller adgang til opplysninger:

1.	utelukkende for det formål å overføre eller lette overføringen av kommunikasjon i et elektronisk kommunikasjonsnett

2.	som er nødvendig for å levere en informasjonssamfunnstjeneste etter brukerens uttrykkelige forespørsel...... "

Forskjellen er at nytt lovforslag presiserer at brukeren skal både informeres av databehandlingsansvarlige og gi eksplisitt tillatelse på forhånd.

Høringsbrevet  bruker TNS Gallup som eksempel for å illustrere hvordan hver bruker tildeles en unik ID (via cookie), for å spore brukerne på tvers av internet. Dette er nettopp hva ePrivacy direktiver skal hindre at skjer uten brukers eksplisitte samtykke. (se  Analytics - BigData II om unik ID)
(En kan takke bl.a. TNS og imrwordwide.com for at blokkeringsprogrammer for spyware og adware ble tidlig kommersialisert).


LobbyWare
 

Ad-industrien gikk sammen om å utarbeide selvregulering for bruk av ”cookies”.  Med i arbeidsgruppen var også IKT Norge. Sammen skulle de lage "en god selvreguleringsordning".


Denne skulle også "verne brukeren" mot at brukerens selvbestemmelse, og fremmes av følgende paradoks:
  1) Det er et dilemmaet at når brukeren selv får bestemme, vil under 10% akseptere å bli tracket.
  2) 9 av 10 brukere blir "frustrerte over at nettstedene ikke fungerte når de avviste cookies".

Hva en forteller her er at det ikke er cookies, men metodene en nytter, som denne industrien ønsker å hegne om. Om brukeren blir informert (slik de skal) angående hvordan deres persondata nyttes for å akkumulere detaljert intelligens om brukerens private sfære så vil brukeren si tvert NEI.

For å illustrere sitt latterlige paradoks om at ePrivacy direktivet skader brukerne har de laget et stykke LobbyWare som skal illustrere (for kunnskapsløse beslutningstagere) hvordan nettet vil ødelegges om brukerens selvbestemmelse og personvern blir tatt alvorlig.
Dette kalles gjerne FUD (Fear, uncertainty and doubt) og er velkjendt.


Industrien som lever av å stjele, dele og/eller selge andres persondata har også lobbyer aktivt W3C (World Wide Web Consortium, Tracking Protection Working Group -TPWG) i arbeidet med å utvikle robuste løsninger for at nettbrukeren skal ha bedre verktøy og selv regulere hvorvidt de tillater akkumulert sporing på tvers av hele verdens millioner av web-steder. (bl.a. omtalt her Ad Industry's Assault on "Do Not Track" Continues at the W3C).
 Ad-industrien lobbyer tilsvarende mot EU for å få vannet ned e-Privacy direktivet. Aldri har noen sak vært utsatt for sterkere lobbyvirksomhet rapporteres fra EU.
Dette er en industri som snylter på brukeren. Det koster brukeren også en del å holde borte dette svineriet som Spyware & Adware representerer. Tidkrevende vedlikehold av programmer, unødig oppgradering av datamaskinens hardware-kapasitet (for både CPUcycler og memory) og - ergrelser.  Det er også store sikkerhetsrisikoer relatert denne type piratvirksomhet som Ad-industrien representerer.


Du er ikke anonym for BigData Adware

Det sier seg selv at du ikke er anonym når data akkumuleres om deg. Alternativt ville det ikke være mulig å akkumulere data om nettopp deg.
Og heller ikke mulig for eksempelvis TNS å fortelle hvor mange "unike" brukere som har besøkt et gitt nettstedet.


Personvernet 

Det er begrenset hvor mange ganger personvernet kan "mistes" da ens ID mistet kun én gang.

Bør vi reformulere loven slik at ePrivacy direktivet sammenfaller med åndsverkbeskyttet ©MineData?

 Det er mange aspekter som den lovgivende forsamling må ta inn over seg. Nå!

Links:

Adware og Spyware - BigData II

En menneskerett: Pasientens data er ikke Statens eiendom

Vi husker all nytale fra DLD-debatten, hvor statlig overvåking for datalagring av borgernes private kommunikasjon ble nytalt som personverntiltak.
Helseministerens siste newspeak er at sentralisert pasientdata akkumulert i en database under statlig kontroll = pasientsikkerhet.


Der er svært mange som ønsker våre høyst private helserelaterte data;
Forskere ønsker aksess

Legemiddelindustrien ønsker aksess (teste nye medikamenter, forskning, selge produkter). 

Bioteknologi tilsvarende.

Apotekene ønsker aksess.
Fastlegen med hele legekontoret, samarbeidspartnere og sekretærer har aksess. 

Bl.a. Microsoft har lenge lobbyet intenst for sine konsepter, det ene verre enn det andre.
Demente skal GPS-tagges
Eldreomsorgen skal betjenes via SMS
og/eller Roboter med "varme hender"
De som er totalt hjelpesløse skal få sensorer som kan detektere om de faller, om de ikke kommer seg til/fra toalettet, om kroppstemperaturen faller, osv.
Nye boliger skal være rustet for totalovervåking av beboerne. 
Implanterte multisensorer kan bidra til ny innovasjon.
Tele-monitorering av medikamentbruk, nanoteknologi i implantater har biomarkører som sender (trådløst) informasjon om pasientens tilstand.
(Ingen vil nevne farene, men planlegger for trådløs både i, på og ved menneskekroppen...)
Om konseptet skal fungere må all pasientdata akkumuleres og sentraliseres - fra de første blodprøver fra de nyfødtes "nyfødtscreening" fram til den døendes siste urinprøve.

Politikere tror de kan delfinansiere helsebudsjettet ved å "leie ut" borgernes helsedata samtidig som byråkratene kan, bokstavelig talt,  monitorere og datamine statlig helse...

Dette er noe spissformulert, men er dog litt av hva som planlegges... (se også NOU 2011:11 og Digital Agenda om e-helse).

Sensitive pasientdata lagres i "cattle class" (nettskyen).

Elektroniske pasientjournaler og biologisk data flyter nærmest fritt i Cyberspace, og selges nå på det åpne markedet. En kan t.o.m. bestille data - de kommer i grupper av tusener...
Bare fra siste uke: Har fått tilgang til pasientinformasjon om flere hundre tusen mennesker 
- og "Mangelfull tilgangsstyring til elektronisk pasientjournal truer taushetsplikten" har Helsetilsynet tidligere skrevet.

Når statlig sentraliserte helseregistre og pasientjournaler nytales som "pasientsikkerhet", burde kanskje noen hviske Helseministeren i øret at han ikke er så smart som han tilsynelatende tror.

Ikke så ulikt den arroganse en har vist relatert menneskerettigheter generelt:
Norge kan miste talerett og bli degradert til observatør i FNs menneskerettighetsorganer.
FN har degradert Norges nasjonale institusjon for menneskerettigheter fra A- til B-status.

Fra Privacy International:

Surveillance Monitor 2011: Assessment of surveillance across Europe

(the project was funded with the support of the Fundamental Rights and Citizenship Program of the European Commission.) 


Key findings :
The Good ...  The Heroic ... The Awkward ... The Bad ...
and - finally -

The Ugly :

• Direct access to information held by third parties without warrants or oversight, conducted by unaccountable bodies. (e.g. Bulgaria, Croatia, ) 
• Inability to audit and review the actions of security services. (e.g. Lithuania, Croatia, Estonia, Hungary, Sweden) 
• Medical databases are emerging with centralised registries. (e.g. Croatia, Czech Republic, Denmark, Sweden, Norway, UK). 

Digitalt innhold presentert som papirløsning.... med innebygget tracking?

Eksempelet jeg bruker her er fra Twitter 20.november:

Denne "tweet'en" er generert via den integrerte grafikken som en nettavis nytter for å dele/publisere linker til innhold via sosiale media.

Vi ser at denne nettavisen (og ikke Twitter) legger til en kode etter linken:
http://www.aftenposten.no/kultur/Rune-Slagstad-sier-opp-i-protest-7049868.html#.UKy2Tj8DKp4.twitter


Twitter

Twitter koder alle linker.
I dette tilfellet er linken ovenfor representert ved http://t.co/KHtuDAEp. Dette betyr at den som klikker på lenken i tweet'en vil bli sent til domenet t.co som eies av Twitter.
Der vil lenken bli de-kodet ("pakket ut") og videresendt til den linken vi ser når vi leser tweeten.
(i dette tilfellet http://www.aftenposten.no/kultur/.....).
På denne måten kan Twitter akkumulere informasjon om hvem som leser hva...

For teknisk interesserte: Dette kan en verifisere ved å lese koden fra tweet'en ovenfor:

<a href="http://t.co/KHtuDAEp" class="twitter-timeline-link" target="_blank" data-expanded-url="http://www.aftenposten.no/kultur/Rune-Slagstad-sier-opp-i-protest-7049868.html#.UKun2WItVYM.twitter" title="http://www.aftenposten.no/kultur/Rune-Slagstad-sier-opp-i-protest-7049868.html#.UKun2WItVYM.twitter" dir="ltr"><span class="invisible">http://www.</span><span class="js-display-url">aftenposten.no/kultur/Rune-Sl</span><span class="invisible">agstad-sier-opp-i-protest-7049868.html#.UKun2WItVYM.twitter</span><span class="tco-ellipsis"><span class="invisible">&nbsp;</span>…</span></a>

Hva skjer med den "kodede" linken

Twitter sender deretter bruker til nettavisen (altså fra t.co/... til http://www.aftenposten.no/kultur/Rune-Slagstad-sier-opp-i-protest-7049868.html#.UKy2Tj8DKp4.twitter)
Her blir (bl.a.) linken "behandlet", og brukeren vil se dette:

Denne linken er ikke reell, og om en forsøker å "reloade" siden vil en få feilmelding.
Tilsvarende om en "bookmark'er" nettsiden for senere bruk:

En kan altså ikke bookmark'e (for senere gjenbruk) en slik link...


Tilsiktet?

Uvisst om dette er en liten "bug" (programmeringsfeil) eller om en virkelig forsøker å gjenskape papirlignende løsninger pre '90-tallet.
Selger Papir-på-nett?  Proprietært, lukket nett, hyperlinker som ikke fungerer?

Imidlertid, en får logget hvem leserne er og hva de leser når og hvordan - på tvers av forskjellige media ...


Tracking av lesere

Media (samtlige nettaviser) akkumulerer data om brukerne. Det er kun tilgjengelighet som  begrenser...
Men en kan gjøre litt for å beskytte seg mot noe av dette - uten at det trengs spesiell teknisk kunnskap. En rekke tools (programvare) er tilgjengelig for å blokkere uønsket tracking.

Eksempler som blokkerer tracking: (Klikk på bildet for større utgave)
Begge eksemplene er for den aktuelle linken som er brukt i dette eksempelet.
(Det er ikke rent lite hva en enkelt nettside har utrustet seg med for å akkumulere data om leseren...)

 

Do Not Track Plus kan en lese om her , og Ghostery er her.
Begge disse er nyttige for å hindre at for eksempel Facebook følger med i alt en leser (også om en ikke har Facebook-konto eller er pålogget. Eller at Google... osv.

En annen, svært nyttig tool, er Adblock Plus. Denne er tilgjengelig for de fleste nettlesere og anbefales på det sterkeste.

Mere om tracking av brukere og medias bruk av BigData følger senere...