Takk for Datatilsynet

Nylig (feb.2013) leste jeg følgende meldinger på sosiale media (om Datatilsynet):

(Alt fra samme bruker):

  Januar i fjor satte de foten ned for Google Apps. En fantastisk løsning som kunne spart oss for enorme skattepengebeløp https://www.datatilsynet.no/Nyheter/2012/Nei-til-bruk-av-Google-apps/

  I september snudde de vedr. Google Apps. Selvfølgelig. http://www.idg.no/computerworld/article255072.ece

  I august var det liksom forbudt å bruke det enestående webanalyseverktøyet Google Analytcs. Et must for webeiere!  https://www.datatilsynet.no/Teknologi/Webanalyse/

*) I oktober fant Datatilsynet en ny måte å hindre politiets arbeid på, denne gang i forsvinningssaker. Gjelder ofte barn. https://www.datatilsynet.no/Teknologi/Webanalyse/

  Elektronisk mobbing kunne de hjulpet til med, men sier @Slettmegno ikke er en del av "deres virksomhet"http://www.tv2.no/nyheter/innenriks/kripos-kritisk-til-at-nettsuksess-kan-bli-lagt-ned-3622171.htm l

  Er alvorlig kritisk til deres virksomhet i en tid hvor elektronisk trakassering øker eksplosivt. Rammer særlig unge. Kanskje ikke så viktig.

  Ferdig. Til neste sak fra #datatilsynet kommer. Til stor glede for kriminelle.


anklaget? @Datatilsynet har selv involvert seg i digital mobbing. Kunne med fordel vært mer.
 

*) Jeg antar meldingen sikter til dette http://www.ba.no/nyheter/irix/article6290025.ece, (dvs. at det ble vedlagt feil link)


De aller fleste forstår at Datatilsynet ikke er ansvarlig for at barn mobbes på nett - og forstår også at Datatilsynet ikke finner opp metoder for å hindre politiets arbeid eller hjelper kriminelle.

Tilsynelatende ser det ut som hetsing av Datatilsynet er omvendt proporsjonalt med forståelse av teknologi, samt at kombinasjonen teknologi og personvern er enda vanskeligere å forstå. 

Noen korte betraktninger relatert utsagnene som er kvotert ovenfor:


Slettmeg.no (link)

Lavtelskertilbudet Slettmeg.no har rot i at Kripos ville kriminalisere ungdommer som oppsøkte nettsteder hvor seksualiserte fotoer av dem selv var (mot deres vilje) lagt på nett.  

Fra Høringsuttalelse (12.03.2007)- Rapport om forebygging av Internettrelaterte overgrep mot barn 
(Kripos ønsker kriminalisering men vil ikke ta konsekvensene)

(Datatilsynets forslag til tiltak)
Kripos må tillegges ansvar for å bistå barn og unge med å fjerne publiserte bilder/filmer av seg selv.
Begrunnelsen for dette, er at man med filterteknologien mot barneporno og straffebestemmelser (straffeloven § 204a) har opprettet et monopol for politiet til bl.a å søke etter bilder. Årsaken til dette er at det er straffbart for andre å søke etter barnepornografi selv om man har til formål å avdekke brudd på straffeloven. Dette gjør at man blir avhengig av politiets bistand for å søke etter og fjerne filmer/bilder. I tillegg kan det fremstå som vanskelig å tolke hva politiet vil betrakte som barnepornografi noe som igjen skaper en usikkerhet både hos Datatilsynet og andre som kan ha en berettiget interesse i å lete opp bilder for å forsøke å få de fjernet nettopp fordi man risikerer straffeforfølgelse.

Slettmeg.no fikk enorm suksess - og er kjent langt utenfor landets grenser (og da av årsaker omvendt proporsjonalt med (manglende suksessen for) Kripos' "barnepornofilteret")

Slettmeg.no har inspirert EU til å tenke "the right to be forgotten" (men som er et komplisert konsept å innføre i lovs form, da internasjonale selskaper selger persondata de (u)rettmessig har akkumulert. Dette er heller ikke temaet her.)

FAD (Fornyings, Administrasjons og Kirkedepartementet) besluttet at Slettmeg.no ikke var Datatilsynets eller myndighetenes ansvarsområde, og ønsket å avvikle tjenesten. (NorSIS tilbydde husly og tok over driften fra 2012.)


Google Apps - Gmail

Angående utsagnene relatert Googles tjenester, så er disse i tråd med den generelle mangel på kunnskap om teknologi kombinert med tilsvarende uvitenhet om personvern og sikkerhet.
Dette er såpass kontroversielt at jeg har lurt på hvordan det har seg at offentlige tjenester kan nytte dette. Om Narvik kommune og Gmail har jeg skrevet om tidligere.
(Angående kostnadsbesparelser så kan en spare millioner på lisensutgifter ved å nytte annen programvære enn hva det offentlige gjør, men Microsoft er ikke tema her).


Google Analytics

"Analytics" er fasinerende område jeg også har jobbet en del med - om enn med andre formål enn å akkumulere persondata for å karakterisere mennesker (diverse "intelligence" og "performance characterization").
Debatten rundt Datatilsynet og (spesielt) Google Analytics skriver jeg mere om her.

 

Jeg leste også en eldre artikkel fra Stat & Styring, november 2011 vedrørende at "Datatilsynets rolle bør tas opp i forvaltningen".

Det er svært bekymringsfullt at det offentlige Norge har så lav digital kompetanse og forstår så farlig lite om digitalt personvern og digital økonomi.
Et kompromittert personvern vil svekke den digitale økonomien - blant annet fordi brukernes tillit til nettbaserte løsninger svekkes.


En kan også få inntrykk av at der er krefter som ønsker å redusere Datatilsynet til et personvernorgan som hjelper bedrifter og offentlig sektor med å etterse sine mest kritiske oppgaver.
Dette er en lite fremtidsrettet modell fra papiralderen, pre-1990.

Videre følger et forkortet utdrag fra noe jeg skrev et drøyt år tilbake:

El Ducko har laget satiren ovenfor. Kontakt ham om du trenger en god grafisk designer!

Oktober 2011 kunne en lese fra FAD (Fornyings, Administrasjons og Kirkedepartementet), som har ansvar for

• fornyingsarbeidet i offentlig sektor, 
• forvaltningspolitikk, 
• konkurransepolitikk, 
• IKT-politikk, 
• kirkesaker, 
• statlig arbeidsgiverpolitikk 
• spørsmål knyttet til samer og nasjonale minoriteter  

....hadde tanker om Datatilsynet.

Ministeren skrev følgende i pressemelding, 10.10.2011

Dyktige, faglig kompetente og - enkelte ganger - kanskje i overkant uavhengige.
Gjennomgående får Datatilsynet gode skussmål for faglig dyktighet og gode vurderinger. Det finnes likevel utfordringer. Difi slår fast at Datatilsynet med fordel kan se nærmere på hvordan de bruker sine ressurser. Blant annet bør det vurderes om økt samarbeid med andre offentlige etater med oppgaver på tilgrensende områder kan bidra til bedre utnyttelse av ressursene.
Datatilsynet er et faglig uavhengig forvaltningsorgan med stor bevissthet om denne uavhengigheten. Difi påpeker at uavhengigheten til tider kan synes å trekkes noe langt. Datatilsynet er dessuten tillagt både tilsyns- og ombudsoppgaver, og det fremstår i enkelte sammenhenger som litt uklart når tilsynet opptrer i de ulike rollene, og hvor grensene for de ulike rollene går. Rapporten advarer Datatilsynet mot å ende opp som interesseorgan for personvern eller som politisk aktør, fordi dette kan svekke tilliten til det som fagmyndighet.
- Jeg mener at at rammene for hvordan tilsynet skal utøve sin uavhengige stilling kan være uklare. Det er viktig både for FAD som overordnet departement, og for brukere av Datatilsynets tjenester, at disse rammene blir klarere. Jeg har derfor tatt initiativ til å få gjennomført en grundig juridisk utredning av dette temaet, sier Aasrud.
– Rent prinsipielt kan det være problematisk å være ombud og tilsynsorgan samtidig, sier statsråden, men understreker at det er for tidlig å ta stilling til om Datatilsynet bør deles
.......

Datatilsynet hadde gått mot innføring av DLD (som samtlige andre Datatilsyn i Europa. Men i Norge gjør en kanskje ikke slikt ustraffet?)

✷

Jeg leste derfor rapport fra Difi (FAD) som det ble henvist til.
Den er et studie i dårlig kamuflert politisk agenda som anbefales lest i sin helhet. 

Kort oppsummert beskriver den mandatet og en del "intervjuer" og "observasjoner" som skal kartlegge terrenget. For så, tilslutt, å oppsummere et kart som ikke stemmer med terrenget.

Rapporten forsøker iherdig å underbygge Difi's konkluderende anbefalinger relatert Datatilsynet, og hvor "informantene" er anonyme.
Enkelte henvisninger/sitater er så vage at det vites ikke om det er Difi selv, om der er én eller om det er flere som har gitt informasjonen. (Andre ganger er det mere klart).

✷

"enkelte eksterne informanter ... mener at Datatilsynet for ensidig vektlegger personvernhensyn også i saker der personvern skal avveies mot andre viktige verdier og samfunnshensyn.

Om "eksterne informanter" er ekstern til Datatilsynet eller ekstern til Difi vites ikke. Der foreligger heller ingen forklaring hva "andre viktige verdier" kan være.
Det er lett å få assosiasjoner til den nytale hvor "personvern" (vern om den private sfære) blir forsøkt omdefinert til "samfunnsvern".
Metoden er også beskrevet bl.a. i en rapport fra Transportøkonomisk institutt (TØI)
Personvern og ITS-baserte trafikksikkerhetstiltak (om detaljovervåking av bilister) hvor der henvises til potensielle teoretiske metoder og bruk av retorisk hjernevask for å lure borgerne til å gi opp sitt personvern:

TØI: "4.2..... VBN-teorien (Value Belief Norm) poengterer at for at folk skal handle altruistisk .....selv om det innebærer omkostninger for den enkelte – må man .... 

Slik kan en forsøke å gi begreper nye, og motsatte, betydninger enn hva begrepet faktisk betyr - slik det også er beskrevet av Orwell.
Tanken (VBN-teorien) er at om myndighetene gjentar mange nok ganger at personvern = samfunnsvern, så kanskje borgerne er dumme nok til å tro på dette.

Det ligger en stor porsjon hån mot menneskets intellekt og en grov underkjennelse av individets rettigheter bak denne type semantiske bedrag.
Metoden er ellers mest kjent fra markedsføring ("Happy Meal").

✷

"Noen eksterne informanter mener at Datatilsynet bruker ombudsrollen i for stor grad, at de ikke skiller klart nok mellom rollene og at de til tider fremstår mer som politisk aktør enn som forvaltningsorgan."
...
"......Datatilsynet går aktivt ut og forfekter andre synspunkter enn regjeringen. En slik krevende situasjon oppsto da Datalagringsdirektivet ble diskutert i ulike fora."

Mener en virkelig at Datatilsynet skulle ridd bølgen av nytale, gått aktivt inn for å bedra borgerne - eller er en så snever og autoritær i sin tankegang at en mener seg rett til å ignorere integritet og diktere munnkurv....

✷

En spesielt interessant sak som rapporten bringer i lyset, er denne:
De "informanter"som har kjennskap til Datatilsynets tilsynsvirksomhet gir inntrykk av at Datatilsynet er ryddige og systematiske, med bred kompetanse på tilsynsbesøk.
Men:
Det oppgis at finansnæringen har opplevd tilfeller av lang saksbehandlingstiden for gjennomføring og vedtak om konsesjonsvilkår og at kapasitetsmangel enkelte ganger kan gi unødig lang behandlingstid.
En skjønner at FAD/Difi har gått grundig tilverks for å finne ankepunkter mot Datatilsynet når en finner kilden til hvorfor finans/forsikring (FNF og Sparebankforeningen) nevnes.

I retrospekt av denne industriens egengenererte kriser er ikke dette en næring som kan påberope seg stor respekt. Industrien setter seg tvert mot lovregulert personvern, og er en versting angående deres forhold til sine kunders persondata. Her deles persondata fritt på tvers av bedrifter og landegrenser og disse ønsker kun å forholde seg til finansdepartementets regler.
Næringen topper også lobbyen mot EUs ePrivacy direktiv som pålegger dem et minimum av respekt for, og ansvar for, kundenes data.

✷

Difi's rapport forteller at etterspørselen etter foredragsholdere fra Datatilsynet er høy, mediedekningen bred og informativ, fagkunnskapen og profesjonalitet er høy.
Men en får en aldri så liten besk smak i munnen ved inntrykket av at Datatilsynets profesjonalitet og respekt i befolkningen vurderes via jantelovens briller.

Hele rapporten har en tråd hvor det letes etter hvorvidt "tilsynsrolle og ombudsrolle kan kombineres" og det eneste en kan komme med er

"Dersom Datatilsynet trekker ombudsrollen for langt i politisk retning, kan det svekke tilliten til etaten som fagmyndighet og føre til at personvernfeltet ikke får den plass det fortjener på den politiske dagsorden.
Vårt inntrykk er at Datatilsynet har høy integritet...Imidlertid kan det sterke engasjementet for personvern bidra til at bevisstheten om at Datatilsynet er et forvaltningsorgan blir noe svakere."

✷

Som Computerworlds skriver (etter at de deltok i Difi's prosjekt som "informant") :

"spørsmålet om splitting [av Datatilsynet] stod høyt på agendaen hos spørsmålsstillerne.[Difi]. Det gjør det nærliggende å anta at Datatilsynets organisering har vært et tema i forvaltningen lenge. Og, at undersøkelsen er initiert for å prøve å begrunne en eventuell vingeklipping av tilsynet."

Fra Omdømme-undersøkelsen 2010:

Vi har aldri trengt Datatilsynet mere enn nå

✍
Honnør til Datatilsynet

Links: 

Lobbyen mot personvern og datasikkerhet er massiv

Analytics - BigData II
Adware og Spyware - BigData I

Digital Agenda, e-Government og Privacy by Design

Kort historikk

Den digitale agendaen som EU-kommisjonen har skissert, omfatter områder som spenner hele spekteret av en borgers interaksjon med offentlige myndighet og generelle offentlige, skattebetalte tjenester.

Den viktigste grunnsteinen i denne planen som går under navnet "Digital Agenda", er at alle borgere skal ha en unik elektronisk identifikasjon (eID). Via eID kan enhver person identifiseres i alle samfunnets sammenhenger hvor en nytter elektroniske tjeneste - alt fra bankkort og finansielle transaksjoner, helsetjenester med elektroniske journaler, resepter og medisinsk forskning, DNA og helsehistorikk, offentlig posttjeneste, teletjenester, elektroniske billetter, flyreiser, sosiale tjenester, elektroniske fakturater, elektroniske lønnsslipper, elektronisk CV-databaser, elektronisk strømmåling, elektronisk trafikkmålinger, e-Call, bruk av sensorer i tettbygde strøk, eID i pass og nasjonale eID-kort, et utall av integrerbare registre og databaser, osv. - til der fantasien stopper.
På kryss av landegrensene.

En annen hjørnestein er utbygging av høyhastighetsnett og satellitt kommunikasjon.

Ideelt sett skal dette kutte (dypt) byråkratiet og tilrettelegge for forenkling av den offentlige administrasjonen og sikkerhetsmyndigheter (politi) som da kan, ved et tastetrykk (eller to), monitorere alt som er elektronisk tilgjengelig om en person.

Ved å nytte biometrisk eID tenker en at en også skal få kontroll med (u)lovlig imigrasjon og bedre grensekontroller.

Tilsvarende for "samfunnsikkerhet", hvor DLD er en bit av dette, men en svært viktig del da DLD tilrettelegger for full kontroll over personers bevegelser, om ønskelig.
eID kan også integreres både i simkort og modem...

EU's forskningprogram, FP7, har i hovedsak vært konsentrert rundt bruk av teknologi hvor hensyn til rettsprinsipper, personvern og fundamentale menneskerettigheter har vært påfallende fraværende.

Underveis har en erfart at borgernes motstand og mistillit er proporsjonalt voksende med stigende bevissthet og kunnskapsnivå om de alarmerende farene dette bringer.

Det er også skrevet om hvordan en kan, langsomt, over mange år, introdusere eID, ved eksempelvis å velge tjenester som borgerne har tillit til, som bank og post (MinID og Digipost er typiske eksempler), og fortrinnsvis kombinasjoner av offentlig og private tjenester, for å få borgerne til å gi fra seg personlige data uten stor motstand.
(MinID, eID og Digipost må jeg ta separat - disse er verdt å forstå nærmere)

I utgangspunktet eier ikke staten verken personlige telekommunikasjondata, helsedata, biologisk data, CV'er, m.m. - så en konstruerer salgbare markedsføringsargumenter og tjenester som borgere (kanskje) vil akseptere - over tid.
I denne prosessen har det blitt tatt i bruk mye nytale og mange PRbyråer...

Spesielt har forsøk på introduksjon av biometriske ID-kort og pass, samt DLD (ikke minst) bidratt til en stigende mistillit til de statlige myndigheter.


Der foreligger en rekke rapporter om de ovenfor nevnte temaer, og noen er mere avslørende enn andre, eksempelvis dette (bare et lite utdrag):

October 2007 the Future Group was presented with a "Concept" paper from the EU Council Presidency:

"The digital tsunami and its consequences for public security organisations".
As more and more "people, machines and environments are connected" this vastly increases the amount of:

“potential information for use in the day-to-day operations of public security organisations.
One obvious illustration is the ability to track the location of any active mobile phone (and to know where it was last switched off and last switched on). This is just the beginning. In the next few years billions of items in the physical world will be connected, using technologies such as radio-frequency identification (RFID), broadband wireless (WiFi, WiMAX), satellite and wireless (Bluetooth, wireless USB, ZigBee). This means it will be possible to trace more and more objects in real-time and to analyse their movement and activity retrospectively.... In the near future most objects will generate streams of digital data about their location and use - revealing patterns and social behaviours which public security professionals can use to prevent or investigate incidents.”

The “objects” referred to also include people who could be tracked through their car, mobile phone or the clothes they are wearing.

The paper goes on to look at digital transactions, use of biometrics and online behaviour:

“All credit or debit-related purchases already generate monitorable and searchable real-time information; but more and more transactions will be of this kind as we move towards a cashless society...
These trends will be reinforced as biometric measurements are used to enhance security at more and more locations - whether public places such as town halls or train stations; private locations such as amusement venues; or places of work.”

This assumes the widespread use of peoples' biometrics (fingerprints, facial scans or iris scans) in everyday life once they have been collected by national EU states for passports and ID cards.

“Most large cities have already seen a significant increase in the use of closed circuit television (CCTV), and usage (by public and private sector organisations) is likely to increase further and to shift from the current analogue technologies to more easily storable and searchable digital technologies.

Further accelerating the tsunami of data is online behaviour. Social networks such as My Space, FaceBook and Second Life - and indeed all forms of online activity - generate huge amounts of information that can be of use to public security organisations."

Kilde

Teknologi og etikk

Når en forstår de tekniske implikasjonene dette har for både maktfordeling og personvernet (må ikke forveksles med nytalens "samfunnsvern") så vil en stille spørsmål med de etiske og menneskerettslige prinsippene.

Oppgavene den digitale agendaen er ment å løse i henhold til administrativ effektivisering og utvikling av tjenester er mulig å implementere uten å kompromittere personvernet.
Det er neppe vrangvilje bak de valg myndigheter tar ved implementering av usikrede og kompromitterende løsninger. Snarere mangler bevisstheten om implikasjoner og/eller kunnskap om bedre alternativer.

Det er like feil å tro at dette er sort-hvitt; enten en løsning eller personvern - som det er feil å tro at jussen fikser teknologien.


Teknologiske løsninger: The Gold Standard - Privacy by Design

Der er mange dilemmaer... Men de kan løses.

Jeg anbefaler FAD (og IKT Norge?) å invitere Dr. Ann Cavoukian for et seminar eller møte - jeg tror det vil være vel verdt å lytte til hennes erfaringer og kunnskap - god kunnskap å ta med seg når en planlegger en Digital Agenda.

Myten om at personvern må ofres grunnet samfunnsikkerhet (eller innovasjon) er ikke bare feil, det er direkte misledende.

www.PrivacyByDesign.ca  
Privacy=Freedom

Viktig eksempel: Har en tenkt noe om SmartGrid?
Privacy Impacts of Cyber Security Vulnerabilities in Smart Grid  (2011)

Datatilsynet har aldri vært viktigere enn nå og i tiden fremover...

EU direktiv om personvern må innføres.

Linker:

Norge kan avslå EUs personverndiktat. Norge kan bruke reservasjonsretten, sier Justisdepartementet.

EU vil diktere personvernet

Statlig spyware - "DataAvlesing" som trojansk PeST

Oppdatert 6.12.2011: 
Tidligere har en beskyttet seg mot kriminelle.
Nå må en også beskytte seg mot de som formodentlig skal håndheve loven:
PST vil ha full tilgang til datamaskiner

Kort, historisk:
2002:
Riksadvokaten går sterkt imot (daværende) justisministers forslag til nye lovbestemmelser mot terrorisme. (ref. Aftenposten)


2005:
Politiet (PF) krever hemmelig avlytting i private hjem. Dette fordi kommunikasjons avlytting ikke var nyttig i "det endrede kriminalitetsbildet": De kriminelle var forlengst oppmerksom på politiets metoder, og hadde gått over til å kommunisere ansikt til ansikt i private boliger. (Ot.prp. nr. 60 (2004-2005))


2009:
"Romavlytting av private hjem er i strid med grunnloven, fastslår regjeringsutnevnt utvalg", kunne en lese i Aftenposte 29.06.09
Daværende justisminister Dørum fikk sterk kritikk da han la frem lovforslaget om romavlytting. Han ville i utgangspunktet tillate romavlytting uten at det ble krevd såkalt «skjellig grunn til mistanke» (sannsynlighetsovervekt på minst 50 prosent) om at noe galt kunne skje. Det holdt at PST «ønsket å undersøke om noen forberedte» alvorlig kriminalitet, som det het.


2009:
Metodekontrollutvalget leverer sin NOU 2009:15 “Skjult informasjon - åpen kontroll”. (se spesielt 23. Dataavlesing)
I denne utredningen kan vi lese

"at PST ikke har anledning til å foreta ransaking av noens private hjem etter politiloven § 17d, ble begrunnet med at departementet ikke ønsket å «trå Grunnloven for nær», jf. Ot.prp. nr. 60 (2004–2005) side 132".

En interessant observasjon med tanke på at metodene det argumenteres for, er ytterst intrusive i den mest private sfære.
Og her argumenteres det, som i 2005, om "det endrede kriminalitetsbildet", men da omvendt, altså at nå er de kriminelle gått tilbake til metoder som de i 2005 argumenterte mot.

Det har forøvrig ingen hensikt å lete etter logikk i politisk bullshit:

.... er opptatt av de rettspolitiske dilemmaene som nye politimetoder skaper. Vektingen mellom enkeltmenneskes krav til personvern og samfunnets behov for beskyttelse er viktig. Ved å ta i bruk nye metoder i forebyggende arbeid, innenfor strenge rammer, kan personvernet styrkes i forhold til dagens situasjon...

En tankevekker til politisk bullshit; det har blitt fremmed teori om at nivået i nettdebatter er farget av respektløs bullshit fra politikere og byråkrater. Eller med andre ord: Skal en heve nivået må en stoppe denne bullshittingen og vinne tilbake respekt...


Hvorfor "Dataavlesing"?

Det er blitt vanskelig(ere) å overvåke innholdet av hva borgerne formidler, både innenfor familien, venneketsen og via det offentlige nettet.
I tillegg bruker ordinære borgere krypterte tjenester. Derfor må Staten skaffe "verktøy" for at statlige organer skal bryte seg inn i den private sfære for å overvåke kommunikasjonen, før den blir kryptert.

Om "Dataavlesing" for bruk ved mistanke, se 32.4 I kommunikasjonskontroll­forskriften, "Kommunikasjonskontrollforskriften ny § 7a skal lyde..."



Hva er "Dataavlesing"?

Kort oppsummert så er dette spionprogrammer (spyware og malware) som installeres på private maskiner (PC, servere) hjemme hos folk, og uten at eierne vet om dette. For å installere den ondsinnede programvaren kan politiet bryter seg inn i boligen for å få fysisk aksess til PC'en, eller - mest realistisk, innstallerer sine trojaner via nettet; hacking for datainnbrudd i private hjem.

Sitater under er fra  23.3.5 Gjennomføringen av dataavlesingen “Skjult informasjon - åpen kontroll”
(må ikke forveksles med The lunatic asylum hackers guide to the dysfunctional universe)  :

...I utgangspunktet kan man imidlertid se for seg to hovedgjennomføringsmåter:

politiet utnytter et sikkerhetshull i datasystemet eller sender en e-post som inneholder et skjult vedlegg med det aktuelle programmet, at politiet installerer programmet i forbindelse med en hemmelig ransaking eller etter å ha utført innbrudd i datasystemet.
...
For eksempel kan utstyr som leser av tastetrykkene monteres i tastaturet (key-logging)
...
headsett eller mikrofon ...
...
Det er neppe til å unngå at gjennomføringen av dataavlesingen vil kunne fange opp opplysninger som ikke var ment kommunisert eller lagret, og som dermed ikke ville blitt fanget opp ved tradisjonell kommunikasjonsavlytting eller hemmelig ransaking og beslag.
...
Utvalget presiserer derfor at dataavlesingen må innrettes slik at det ikke fanges opp opplysninger ut over det som er nødvendig for å kunne gjennomføre en kommunikasjonsavlytting eller en hemmelig ransaking og beslag.
...
dataene skal komme politiet i hende, må programvaren enten lagre dataene på datautstyret, eller sende dem ut via Internettet eller annet tilgjengelig eller installert nettverk/radioutstyr som politiet råder over.
...
Etter at dataavlesingen er gjennomført bør programvaren avinstalleres. Dette kan gjøres på samme måte som installeringen, eller ved at for eksempel et softwareprogram tilintetgjør seg selv
...
dataavlesingen må innebære så liten sikkerhetsrisiko for mistenktes datasystemer som mulig.
  ...
Ved politiets installasjon av programvare for å muliggjøre dataavlesing kan slike svakheter utnyttes. Det innebærer at også andre kan utnytte de samme svakhetene. I tillegg vil politiets programvare kunne inneholde svakheter som kan utnyttes av andre.
...
 Det er for utvalget opplyst at selv kriminelle som foretar innbrudd i datasystem regelmessig tetter de sikkerhetshull som er utnyttet, for å verne om det datasystemet de har skaffet seg kontroll over. Det samme vil selvsagt også politiet kunne gjøre. [skal en le eller gråte]
...
 gjennomføringsmåten må tilpasses den enkelte sak, og metodebruken vil utvikle seg i takt med den teknologiske utviklingen, er det ikke mulig generelt å gi føringer på denne forholdsmessighetsvurderingen. Påtalemyndigheten må foreta en vurdering av dette spørsmålet i forbindelse med begjæringen til retten om tillatelse til å bruke metoden,
...
Det vil til slutt være opp til retten å vurdere om sikkerhetsrisikoen i den enkelte sak er akseptabel.

Wow, am I impressed!

Hva ble skrevet om "Dataavlesing" tidligere,  i NOU 2003: 18 ?

.....såkalte trojanske hester, ormer, sniffere mv.
Dette er dataprogrammer som kan installeres hemmelig i dataanlegg og som kan ha forskjellige funksjoner. For eksempel kan programmene legge «vertsmaskinen» åpen for «innbrudd» utenfra, eller de kan lagre og/eller sende informasjon som ligger på maskinen.
Programmene kan også overvåke de enkelte inntastingene underveis, og sende denne informasjonen til politiet før den krypteres.
Bruk av slike programmer reiser en rekke tekniske og rettslige spørsmål.
Det må legges til grunn at i mange tilfeller vil det være nødvendig med hjemmel utover de som er gitt i gjeldende lovgivning. For å besvare hjemmelsspørsmålet sikkert kreves imidlertid en avklaring av hvilke programfunksjoner som kan være aktuelle, i hvilken grad programmene kan skade vertsmaskinen, om programmene kan forstyrre eller forsinke vertsmaskinens funksjoner, hvor stor plass slike programmer kan oppta på vertsmaskinens harddisk, om programmene kan installeres uten at det medfører datainnbrudd osv.
Også andre IKT-relaterte metoder kan visstnok tenkes anvendelige i etterforskingsøyemed, for eksempel avlytting av elektromagnetiske felt.

2011 - her er vi nå:

Men tankene er frie?

Datalagringsdirektivet (DLD) måtte innføres for å legalisere den overvåkingen som allerede ble utført - slik at disse data kunne brukes som bevismateriale i en rettssal.

Slik er det også med spion-overvåkingen som politiet nå ber om å få bruke, og denne gangen også uten at der foreligger mistanke. Også omtalt som  "Lovendring for soloterrorister"

Det er ikke bare politiet som skal ha dette "verktøyet", men også  LexACTA. (Les fra "ACTA deg; forslag til ny åndsverklov ").


Galskap satt i system:

Når de etterforskende myndigheter møtes til konferanse for å lære om "Intelligence Support Systems" så er der en lang rekke aktører som ønsker å markedsføre sine intrusive produkter.
En av disse er "hacking teamet", som markedsfører programvare for "Remote Control System":
"A Stealth, Spyware-Based System for Attacking, Infecting and Monitoring Computers and Smartphones 
(Windows, Windows Mobile, Mac, iPhone, Symbian and BlackBerry). Full intelligence on target users even for encrypted communications (Skype, PGP, secure web mail, encrypted disks, etc.)"

Programvaren installeres ved fjern-infisering (remote infection), og er usynlig for PC-eieren:
Spionen som snoker, monitorerer alt; web-aksess, personlig mail, dokumenter som skrives og leses, tastetrykk-logging (keystroke), dokumenter som printes, VoIP (internet telefoni), avlytting via systemets mikrofon og PC-tilknyttet kamera, osv. - og logger alt til en fjernliggende kontrollsystemet.
Også kaldt "evidence collection".


Statlig spionprogrammer som "remote rettsmedisinsk software" (nytale)

Tyske Der Chaos Computer Club (CCC) har over flere år advart om at statsorgan nytter spyware og malware for i hemmelighet å bryte seg inn på borgeres datamaskiner - og med de problemer dette medfører.
I går publiserte CCC at de har utført en grundig analyse av regjeringens spionprogrammer.
Rapporten foreligger med tekniske detaljer.

Regjerinens spiontrojaner åpner for overvåking av de mest intime detaljer, inklusive å ta kontroll over kamera og mikrofon (for å se og lytte hva som foregår i hjemmet).
Spionprogrammene har grove implementasjonsfeil, og gir en rekke sikkerhetshuller i systemene det spioners på. Disse kan også nyttes av tredjepart.

Tyskland, som Norge, har introdusert nytale når en skal omtale statlig mangel på etikk og moral, for ikke å si brudd på menneskerettigheter... Dette heter "kilde-avskjæring" ("source telekommunikasjon surveillance" eller "dataavlesing" på norsk) og skal utelukkende brukes for oppfanging av "internet-telefoni" ved "lovlig avlytting".

CCC har nå publisert myndighetenes ondsinnede programvare (malware) i form av kildekoden sammen med en detaljert rapport om funksjonaliteten og teknisk vurdering.

 Myndighetenes programvare "light" er en kamuflert trojan som går langt ut over den tillate "avskjæringen av kommunikasjonen". Programvaren laster selv ned (via nettet) flere trojaner, og som gir myndighetene fjernkontroll (remote control) for å kjøre programmer.
En fullt funksjonerende statlig trojan har kontroll over nettsurfing, lesing, skjermbilder, skriving, manipulering av filer, tilgang til mikrofon og kamera, samt tastatur (keystroke).

Dette viser at de (tyske) etterforskende myndigheter aldri reflekterer over å respekterer loven eller rettstaten, og anser seg uavhengig hva de folkevalgte regjerende myndigheter måtte bestemme om dette. Dette vises også i de metoder og "løsninger" som presenteres på konferanser (se ovenfor).

Programvaren er også både teknisk råtten og åpner sikkerhetshull for tredjepart, samt gir infisering av annet ondsinnet programvare og produksjon av falske data.

Kontrollsenteret, hvor dataene sendes til, ligger på en leid server i USA.

 CCC krever at hemmelighetene rundt infiltrasjon av systemer for informasjonsteknologi, iverksatt av statlige myndigheter - stoppes.
Samtidig oppfordrer de alle hackere og de som er interessert i teknologi å gjøre mere for å analysere data...


Oppdatering 10.10.2011 (takk til @extev)

Da Frankfurter Allgemeine Zeitung (FAZ) ikke er en hvilken som helst blekke, har saken fått mye oppmerksomhet og både den tyske innenministeren og justisministeren (som er DLD motstander) har lovet full etterforskning og oppklaring, også etter krav fra de ditto komiteene i Bundestag.

Innenriksministeren og politiet i Bayern har innrømmet at de har brukt det omtalte programmet i etterforskningen av en sak, og bl.a. endte opp med  > 60.000 ulovlige screenshots fra PCen de overvåket. Programmet var konfigurert til å ta screenshot hvert 30. sekund.

Tyske media går ut i fra at også politiet i andre delstater har brukt og bruker det omtalte programmet.

På riksplanet benekter alle ansvarlige noen som helst befatning med saken, og sier at de ikke tillater ulovligheter.


En gode kilde om temaet:

Chaos Computer Club analyzes government malware by Chaos Computer Club

Analysis State Trojans: Germany exports “spyware with a badge”

av Jon Wessel-Aas:
Om å la politimyndigheter avgjøre rettsstatens grenser – ny forskning
Vil PST egentlig ha innført straff for “soloplanlegging” av terror – og det forventingspress det skaper?
Misforstått spørsmål om “de edleste motiver”

EU cybercrime strategy backs law enforcement Trojan (2008)

German Gov't Inadvertently Reveals Police Monitor Gmail, Skype, Facebook & Use Snooping Malware (2012)

Anonymitet på internet - en borgerrettighet?

Enhver skal kunne uttrykke seg fritt i den form personen selv ønsker, uten å gi fra seg mere personlig informasjon enn strengt nødvendig.

Hvordan definerer en "anonymitet"?

I samfunnsdebatt om anonymitet tas det ofte utgangspunkt i at internet er ekvivalent med tradisjonell media en kjenner fra TV, radio og aviser, og hvor der er en ansvarlig redaktør.
Det er da redaktørens ansvar og rettighet å bestemme hva som skal publiseres eller refuseres. Det er også redaktørens rett til å avgjøre i hvilken form ytringer publiseres, anonyme eller ikke-anonyme.

Men internet rommer veldig mye mere enn dette bildet ovenfor.
Som i den fysiske verden, så "snakker" folk sammen, formelt og/eller uformelt, og i lukkede rom såvel som i åpne rom.


Før kommersialiseringen av internet ble nettets regler, Netiquette, gjerne fulgt. (De første som brøt disse reglene var tradisjonelle media som kunne tjene penger på akkumulering av persondata - samt spammere. Og nå også regjeringer...) 

Rule 1: Remember the Human

Rule 2: Adhere to the same standards of behavior online that you follow in real life

Rule 3: Know where you are in cyberspace

Rule 4: Respect other people's time and bandwidth

Rule 5: Make yourself look good online

Rule 6: Share expert knowledge

Rule 7: Help keep flame wars under control

Rule 8: Respect other people's privacy

Rule 9: Don't abuse your power

Rule 10: Be forgiving of other people's mistakes

Internet standard (RFC 1855)

"Netiquette Guidelines; If a user is using a nickname alias or pseudonym, respect that user's desire for anonymity. Even if you and that person are close friends, it is more courteous to use his nickname"
    

Hvorfor skal ikke en bruker kunne uttrykke seg anonymt? Via et nickname?
Om jeg signerer med ForeverYours eller med Anne eller Hansen så bør det være uvesentlig. Hvem kjenner Anne eller Hansen? Eventuelt hvem av de mange titusener med dette navnet gjemmer seg bak de skrevne ordene? Og hva med den bloggeren som ikke deler sitt navn med tusener av andre, slik at navnet skiller seg unikt ut og hele livshistorien kan googles?
Skal Anne eller Hansen signere med personnummer og bostedsadresse? Slik at de som ikke liker hva Anne eller Hansen skriver kan henvende seg direkte til dem? Eller at store aktører skal kunne true dem som skriver om deres merkevarer? (ref. "DVD-Jon" m.fl.)

Tidligere NewsGroups (nntp news) hadde en del karakteristikk som dagens media-løsninger ikke har: De ble slettet etter en viss tidsperiode. Typisk ble det lagret lenge om det hadde faglig verdi, mens generelt "snakk" ble slettet etter 4 uker. (dvs. det ble ikke lengre propagert i nettet, og ble derved borte). Innleggene ble signert med brukerens mail-adresse, eventuelt et "alias".

Hvor anonyme er det mulig så være?
Det er helt opp til den som leverer en tjeneste å definere sine vilkår, spesifisert i en brukeravtale.  Og det er opp til brukeren å overholde avtalen.
Dersom tjenesteyter tillater bruk av pseudonym (eksempelvis "ForeverYours") så er ikke brukeren implisitt anonym for den som eier tjenesten. Om ønskelig vil tjenesteyter vite hvordan kontakte personen bak pseudonymet. Samt at tjenesteyter kan stenge ute en bruker som bryter kontrakten.
Og det kan kreves publisering under fullt navn (med dertil sjekk at navnet faktisk er reelt). Valgene er redaktørens rett.
Olav Tovrud har skrevet et svært godt og omfattende innlegg om anonymitet på nett  - anbefales lest.
Tilsvarende for Jon Wessel-Aas (se ref. under).


Anonyme bloggere?
Jeg leser i Dagens Ledelse  om Anonymitet og ytringsfrihet:

"Jeg har tatt til orde for at samfunnet må ha lovregler som sikrer at retten til å opptre anonymt når personvern krenkes, hatefull propaganda spres eller det publiseres annet innhold som rammes av straffeloven.

.....

Det jeg har tatt til orde for er at det ikke skal være tillatt å etablere en blogg eller et nettsted der ingen kjenner identitene til den som står bak. Den som publiserer personvernkrenkeleser eller ulovlige hatefulle ytringer, må kunne tvinges ut av anonymitetens mørke.  Slett meg/Datatilsynet som bør hete Peersonverntilsynet må få rett til å innsyn i hvem som skjuler seg bak anonymitet som ikke er beskyttet av en redaktør. Hovedregelen bør være den at det skal være mulig å få kontakt med den som er ansvarliog for en blogg eller nettsted.  Det medfører bot å drive et nettsted/blogg der publikum ikke kan få vite hvem som er ansvarlig..."

Det vil alltid være noen som kjenner identiteten til an anonym blogger - dersom noe kriminelt foreligger (som rammes av straffeloven), så muligheten for kontakt foreligger allerede.

Kravet om at publikum skal vite enhver bloggers identitet er noe drøyt. Internet fungerer ikke som tradisjonell media, og ens identitet spikret på nett åpner opp for en flom av identitets tyveri og ytterlig mere akkumulering av persondata, profiling og datamining (som media utfører...)
 

Skal en regulere bruk av anonymitet?
Innen en foreslår reguleringer, så bør en definere klart og entydig hva problemet er. 
Deretter må en se på hva som kan være løsninger, og om sådanne finnes. Yttringer på nett er allerede regulert av lover.


Så hva er problemet?
Dårlige nettdebatter med hatefulle ytringer? Dette løses ikke ved å blokkere for bloggeres anonymitet.


Nettet er globalt

It is obvious that technological progress has come at clashes with the copyright monopoly.

My observation is that lawyers and middlemen react to this by saying that since the law (on the copyright monopoly) is not in sync with technological progress, the technology is broken and must be fixed with the help of the law.          -- Falkvinge--
   

Internet er globalt i ordets reelle betydning. Tross dette har vi mange politiske globalister som ønsker å nasjonalisere nettet.
Lokale, nasjonale eller regionale regler, påbud og forbud både i form av lovgivning og av inngrep i internets infrastruktur som kan være teknologisk skadelig og kontraproduktivt for videre inovasjon.

Internets infrastruktur er et transportsystem for aksess til, og reise i, cyberspace. Som transportsystemet i vår fysiske verden, så må dette ivaretas og vedlikeholdes. Dette er vår viktigste transportsystem, økonomisk såvel som sosialt - og vårt viktigste demokratiske transportsystem i en global verden.

Nettet gir infrastruktur for adskillig mere, og for langt flere, enn bare tradisjonell media. Sistnevnte er en minoritet, mens en kan få inntrykk av at tradisjonell media har eierskap over nettet når en leser følgende:

"På nettet er det fritt fram for å opptre anonymt, både i kommentarfeltet til en rekke nettsteder og man kan drive en egen blogg uten at noen vet hvem en er

... For å ivareta personvernet og andre samfunnsinteresse, bør det derfor stilles krav om at det på blogger og andre ikke-redigerte medier skal fremgå hvem en skal kontakte dersom personvernkrenkelser skjer eller innholdet er i grenselandet for hva som er lovlig, tilsvarende som etter straffelovens § 429.

Poenget er at publikum skal vite hvem en skal kontakte dersom en vil komme i kontakt med de ansvarlige. Ingen skal kunne opptre anonymt i offentligheten med mindre en er gitt vern av en annen som påtar seg det redaksjonelle ansvar og som det lett kan oppnås kontakt med..."

Ukeavisen Ledelse  (om Anonymitet og ytringsfrihet)
        

Nettet har forskjellige domener
Norge kan kun lovregulere bruken av sitt eget domene, mens noen regler er overliggende samtlige topp-domener. De overliggende reglene er relatert (teknologisk) stabilitet og sikkerhet, dvs. at internet's standarder overholdes og på en slik måte at det ikke skaper problemer andre steder i nettet.   
(Blokking av IPnummer og/eller domene-navn bryter med teknologiske regler og skaper flere problemer enn de løser. Dette kan gi store negative følger langt utenfor hva som opprinnelig var tilsiktet. 
For mere teknisk om blokking, anbefales Blocking access with DNS is not effective av Patrik Fältström)

Norid (eller "Registry for .no") har autoritet til å definere egne regler for hvordan norske domenenavn registreres, og spesifisere hva registranten må overholde.
Hvert domenenavn registreres i en database ("whois"), med registrantens kontaktinformasjon (navn og kontaktadresse, juridisk og teknisk ansvarlig, m.m.). Standarden og reglene rundt "whois" er overliggende reglelverk som samtlige topp-domener må overholde.

Dette betyr at om jeg registrerer mitt eget domenenavn 1and1are2.no, så vil min identitet lagres i whois-databasen tilhørende .no
Tilsvarende om jeg nytter en eksisterende tjeneste fra (eksempelvis) blogspot.com som tilbyr blogg-tjenester til 3je.part. Via registreringen, som er en kontrakt mellom tjenesteyter og meg, blir mine data lagret (hos tjenesteyter, ikke i "whois").
En blogger er, m.a.o. ikke fullstendig anonym, og ved en handling eller ytring som er lovstridig, så er kontaktinformasjon tilgjengelig.


Frankrike hadde slike idéer på 90'tallet, som ovenfor foreslås fra Ukeavisen Ledelse.
Samtlige hjemmesider under domenet .fr skulle registreres med kontaktadresse i et offentlig register hos datatilsynet (CNIL).
Voilà! Over natta ble samtliges eiere av hjemme-sider spammet fra alle verdenshjørner. (Det enkleste og rent administrativt overkommelige var da å avslutte sitt abonnement og nytte annen tjenesteyter.)


Internettets whois-database er på tilsvarende uheldige måte nyttet for en rekke utilsiktede innsamlinger av kontaktinformasjon. Med den følge at deler av informasjonen eksempelvis ikke kan leses fra en søkemotor, at mailadresse går via en proxy og/eller er sydd inn i et bilde (som da er tekst lesbart med menneskets øyne, men ikke via en computer) osv.
Over flere år har det vært engasjement rundt å beskytte dataene i denne databasen, grunnet misbruk. Dette arbeidet er fortsatt pågående...


Godt nettvett
For å ferdes trygt i cyberspace er der en god del forholdsregler en kan, og bør, ta. De første er å etterleve Nettiquette som best en evner. De neste er å helst kryptere sin personlige kommunikasjon samt å ferdes mest mulig anonymt.
Gi aldri fra deg din reelle identitet, men om du absolutt må (eller ønsker), krev en kvalifisert begrunnelse og dokumentasjon for hvordan dine personlige data vil bli (mis)brukt.
(Det stadig ekspanderende kravet om bruk av MinID og oppkonstruerte behov for nasjonale eID er eksempler på særdeles dårlig nettvett.)

Der er svært mange grunner til at en nett-bruker bør beskytte sin identitet.
7 billioner mennesker kunne potensielt ønske kontaktdata,
og med varierende motiver ... 

Gode kilder om anonymitet på nett:

Anonym og ekstrem — kan de to forenes? av Sven Egil Omdal
Anonyme nettdebatter Av Olav Torvund
Anonymitet på nett – kort og enkelt av Jon Wessel-Aas
Ugyldig retorikk fra dem som vil begrense kommunikasjonsfriheten av Jon Wessel-Aas

Retten til anonymitet av Maria Gjerpe MariasMetode
“Real Names” Policies Are an Abuse of Power av Danah Boyd apophenia

 On Pseudonymity, Privacy and Responsibility on Google+  av Kee Hinckley
Protections for anonymous speech are vital to democratic discourse. Allowing dissenters to shield their identities frees them to express critical, minority views . . . Anonymity is a shield from the tyranny of the majority. . . . It thus exemplifies the purpose behind the Bill of Rights, and of the First Amendment in particular: to protect unpopular individuals from retaliation . . . at the hand of an intolerant society.
———— 1995 Supreme Court ruling in McIntyre v. Ohio Elections Commission

Vi trenger en helt annen form for debatt av Eirik Rossen
En moralsk plikt av Jacob  McHangama, jurist og direktør, Center for Politiske Studie, Danmark

Alle ideer må diskuteres i det åpne rom (om debatt på nett) intervju med  Knut Olav Åmås


UN Special Rapporteur Frank La Rue from Guatemala called for governments of the world to protect citizens’ access to the internet as a key tool for enabling their human rights.

Dette er Datalagrings direktivet

Datatilsynet har laget denne videoen:

Potential Future of The Internet

Internet Society hadde nylig en forespørsel ang. forutsetningene for internet’s videre utvikling og innovasjon, og potensielle hinder (sen implementasjon av IPv6, sikkerhet, snoking i den private sfære, osv. ble nevnt): Den aller største faren anses å være regjeringenes forsøk på styring og overstyrende reguleringer av teknologien. Illustrert med følgende, korte videoklipp: