I forrige uke ble det gjennom mediene skapt et inntrykk av at Datatilsynet nekter Forsvarets forskningsinstitutt (FFI) å forske på fremmedkrigere. Dette er ikke riktig! Tvert imot ser også Datatilsynet på slik forskning som svært viktig. Vi har derfor, så langt mulig, tolket regelverket slik at FFI kan gjennomføre sitt forskningsprosjekt.

FFI fikk den 30. april innvilget konsesjon fra Datatilsynet til å drive forskning på fremmedkrigere, og den kan leses her. Hovedregelen i forskningsprosjekter er at det kreves samtykke fra forskningsobjektet, i dette tilfelle den enkelte påståtte fremmedkriger. Siden samfunnets interesser i dette forskningsprosjektet også etter Datatilsynets vurdering overstiger den enkeltes rett til selvbestemmelse, aksepterte vi at forskningen kan skje uten samtykke. Men, for å kompensere for at forskningsobjektet fratas muligheten til å gi et forutgående samtykke til forskningen, satte vi som vilkår at de 50 personene det er snakk om får informasjon om at de forskes på. Dette er helt i tråd med regelverket, som oppstiller en klar hovedregel om at det skal gis informasjon til forskningsobjekter. Dette er en sentral personvernrettighet som bl.a. gjør det mulig for forskningsobjektene å benytte seg av sine rettigheter etter personopplysningsloven, for eksempel retten til innsyn. Dersom noen blir registrert som fremmedkrigere, med feilaktige opplysninger om dem og deres situasjon, så kan dette selvsagt få dramatiske konsekvenser for de det gjelder. Ved å bli informert om forskningsprosjektet vil den enkelte få mulighet til å rette opp misforståelser og feil.

FFI fikk den 30. april innvilget konsesjon fra Datatilsynet til å drive forskning på fremmedkrigere.

FFI hevder imidlertid at det ikke lar seg gjøre å oppfylle informasjonsplikten. De viser blant annet til at det er umulig å informere fremmedkrigeren før forskningen starter. Ifølge FFI vil dette umuliggjøre forskningen fordi de ikke vet hvem forskningsobjektene er før de har begynt innsamling av data. Videre hevder FFI at enkelte kan ha gått under jorda, eller er døde, og derfor ikke kan informeres. Dette tyder på at FFI ikke har lest vårt vedtak særlig grundig!

Datatilsynet har ikke stilt spesifikke krav om tidspunkt for når informasjonen skal gis, eller gjennom hvilke kanaler. Vi har imidlertid forholdt oss til at forskerne skal analysere innhold på sosiale medier. I den grad de gjør det, bør det også være mulig å informere gjennom de samme kanalene, i hvert fall forsøke. Dette betyr at informasjonsplikten ikke vil inntreffe før forskerne vet hvem forskningsobjektene faktisk er og har en mulighet til å informere disse. Døde personer trenger selvsagt ikke informeres, og hvis folk ikke er tilgjengelig via andre kanaler vil det være tilstrekkelig å sende et brev til siste kjente adresse. Da er informasjonsplikten ivaretatt. Og dersom ingen kontaktopplysninger om disse personene er å oppdrive er det heller ingen informasjonsplikt å oppfylle. Kort sagt: Dette kunne FFI fint ha klart, om de virkelig ønsket.

Justisminister Anundsen tok i debatten til orde for en gjennomgang av regelverket når det gjelder denne typen forskning. Jeg har ingen problemer med at personvernlovgivningen vurderes, men vil understreke at informasjonsplikten er helt grunnleggende i personvernretten. Jeg tror alle er enig i at en forsker ikke kan møte anonymt på møter i et politisk parti for å skrive en forskningsrapport basert på hva som sies av deltakerne der, eller anonymt kartlegge og forske på hvordan det har gått med mennesker som har stått fram som mobbeoffer i mediene. Spørsmålet er: Skal det gjelde andre rettigheter for mennesker som påstås å være fremmedkrigere enn for andre personer som blir gjort til gjenstand for forskning etter oppdrag fra myndighetene? Hvordan skal vi da forholde oss neste gang myndighetene vil forske på personer som har en adferd eller holdninger som ligger utenfor, eller i randsonen hva majoriteten av oss mener er akseptabelt når det gjelder religion, seksualitet, politiske oppfatninger eller helsemessig risikoatferd?

Jeg mener det må være mulig å finne en løsning som gjør at FFI kan gjennomføre forskningsprosjektet. Vi bistår gjerne FFI med veiledning om hvordan de kan oppfylle informasjonsplikten, og forklare hvilket handlingsrom som ligger i konsesjonsvilkårene. Jeg vil også følge opp justisministerens ønske om å se på personvernlovgivningen ved å be om et møte for å gjennomgå saken. Vi kan da også fortsette en dialog vi allerede har startet med departementet, om hvordan det kan utvikles nye retningslinjer og veiledning om internettforskning. Vi har gått inn i en ny forskningsvirkelighet ettersom enormt mye informasjon om enkeltmennesker ligger tilgjengelig på nett. Det kan sikkert være en fristende tanke at alt dette skal være fritt og nærmest ubegrenset tilgjengelig for forskning. Men likevel må vi holde fast på det som står i utkast til forskningsetiske retningslinjer fra Den nasjonale forskningsetiske komite om at en forsker plikter å respektere menneskers verdighet, trygghet og autonomi.

Talerlisten var lang, og det ble sagt mange flotte ord. Det var flere som påpekte at dette er første gang i Norge at man får til et så bredt samarbeid mellom private, offentlige og militære interesser. Her er det mange parter som går inn i et samarbeid, selv om de har ganske så ulike agendaer. Samtidig er det slik at alle partene har gått inn med midler eller støtte i en eller annen form, og derfor forventer de resultater.

CCIS skal levere kunnskap i form av forskning, kunnskapsforedling, -formidling, -utvikling og utdanning. Målet er å beskytte våre verdier fra trusler og angrep og forutse våre sårbarheter for å kunne avverge uønskede hendelser. Resultatene fra arbeidet skal deretter brukes for å avdekke sårbarheter i samfunnet vårt, slik at vi kan forutse og avdekke nye angrep, og øke samfunnets samlede kunnskap om digital sikkerhet og beskyttelse.

Balansegangen mellom personvern og sikkerhet er krevende, og særlig når den skal forvaltes av så mange aktører med hver sin agenda, men hvor ingen har en agenda der personvern står øverst på lista.

Flere av talerne nevnte personvern som et viktig element i CCIS sitt arbeid. Det er jeg svært glad for å høre. Likevel lurer jeg på i hvor stor grad personvern egentlig vil bli en del av CCIS sitt arbeid. Balansegangen mellom personvern og sikkerhet er krevende, og særlig når den skal forvaltes av så mange aktører med hver sin agenda, men hvor ingen har en agenda der personvern står øverst på lista. Dette var også mitt hovedbudskap i innlegget jeg holdt under åpningen, her kan du lese det:

Innlegg på åpning av CCIS-senteret på Gjøvik

Først av alt – tusen takk for invitasjonen.

Gratulerer med meget godt arbeid. Det er rett og slett imponerende å stable på beina et senter for informasjonssikkerhet av denne størrelsen, og på så kort tid.

 

Jeg er oppriktig glad for at dette har lyktes. Informasjonssikkerhet er viktigere enn noen gang (det er derfor vi er her alle sammen). Det kan også se ut til at Morten Irgens og hans hjelpere har fått til noe vi kanskje ikke er så flinke til i Norge, nemlig å få ulike aktører til å trekke sammen og samarbeide. Som et eksempel kan jeg nevne at Helse Sørøst har 3 500 datasystemer, og de færreste snakker sammen. Grunnen er at man i hvert fall ikke skulle ta i bruk samme dataløsninger som nabosykehuset eller nabokommunen. Derfor har vi havnet i den ulykkelige situasjonen vi er i i helsesektoren. Jeg er også glad fordi det i bunnen for dette prosjektet ligger en kraftig satsing på forskning og utvikling. For å være litt personlig: I min første jobb hadde jeg en mentor/fadder som fra første stund viste meg hvor viktig FoU var. Det gjaldt noe helt annet enn det vi snakker om i dag, nemlig gjeldsproblemer. Men den forskningen som ble gjort på dette området hadde en direkte følge. Det ble vedtatt en gjeldsordningslov som i årene som har fulgt har hjulpet titusenvis av norske familier ut av den fortvilte situasjonen det er å ikke kunne betale gjelda si, å kanskje ikke kunne la ungene delta på fritidsaktiviteter og gjøre andre ting vi som er så heldige å ikke ha slike problemer slipper å bekymre oss over.

 

Allikevel er dette en dag som for meg inneholder et lite MEN. Noen av dere var til stede på kick off-møtet i vinter og hørte innlegget mitt der. Da forsøkte jeg å få fram følgende budskap: Nemlig at et senter som til de grader er dominert av tunge næringslivsaktører, politiet (inkludert PST), den sivile sikkerhetsmyndigheten og forsvaret, veldig lett kan se bort fra de det sivile samfunn, borgerne, personvernet og i ytterste konsekvens menneskerettighetene. Jeg er helt sikker på at hvis jeg spør hver og en av dere om personvern er en viktig verdi, ville dere sagt ja. Og jeg ville trodd dere. OG, dere ville vært i takt med befolkningen. I en undersøkelse vi gjennomførte for under et år siden sa 46 prosent av befolkningen at de var mer opptatt av personvern enn tidligere, mens 87 prosent sa de var svært eller ganske opptatt av personvern. Kun 13 prosent sa de var lite opptatt av personvern, en nedgang på 10 prosent fra 2013.

 

Hvor ligger så spenningen mellom overvåkning og kontroll på den ene siden og personvern på den andre, og enda mer relevant i denne sammenhengen, hvor ligger spenningen mellom personvern og informasjonssikkerhet?

 

Først: hva er egentlig personvern?

• Størst mulig grad av selvbestemmelse og kontroll med egne personopplysninger
• Informasjon om hvilke opplysninger som er registrert
• Innsynsrett i de samme opplysningene
• Gode interne rutiner for håndtering av opplysninger, det vil si hva som skal lagres, når det skal slettes osv
• Og til slutt god informasjonssikkerhet

 

Langt på vei er det altså et sammenfall mellom personvern og informasjonssikkerhet. God informasjonssikkerhet er en forutsetning for godt personvern. Og her mener jeg informasjonssikkerhet i betydningen «data kommer ikke på avveie». Derfor er det egne informasjonssikkerhetsbestemmelser i personopplysningsloven, og i 80-90 prosent av alle tilsyn vi gjennomfører sjekker vi virksomhetens informasjonssikkerhet. Det hjelper ikke med selvbestemmelse, informasjon eller sletterutiner dersom man lett kan bryte seg inn å forsyne seg med sensitive, eller for den saks skyld ikke-sensitive, opplysninger.

 

Men god informasjonssikkerhet kan i seg selv aldri være godt personvern. Det er kun dersom de andre viktige vilkår er tilstede at vi kan snakke om god informasjonssikkerhet og godt personvern i sammen.

 

La meg ta en eksempel: God informasjonssikkerhet vil i mange tilfelle innebære en form for kontrollvirksomhet. Dersom det dreier seg om en ren skallsikring er det greit, men det kan dreie seg om å skanne innhold som kommer inn til en virksomhet for å forhindre skadelig programvare, malware, spyware eller lignende, eller det kan dreie seg om overvåkning av ansatte, skanning av epost eller kartlegging av deres surfemønster. Her er personvern og informasjonssikkerhet på kollisjonskurs – i utgangspunktet.

 

God informasjonssikkerhet kan også bli brukt som en unnskyldning for å ikke ivareta de andre viktige personvernhensynene. Dette så vi særlig godt i debatten om datalagringsdirektivet. Her ble våre argumenter om at direktivet var et for stort inngrep i den enkeltes frihet nærmest fnyst av, også av representanter for etater som er tilstede her i dag. Det ble blant annet brukt som motargument at disse dataene jo ville være svært godt sikret. Dette ble også den politiske løsningen, nemlig at man påla en del informasjonssikkerhetstiltak. Resultatet vet vi alle sammen: Direktivet ble kjent ugyldig av EU-domstolen fordi det stred mot helt grunnleggende borgerrettigheter, som retten til personvern og retten til et privatliv. Domstolen sa blant annet at direktivet kunne føre til at borgerne følte seg «kontinuerlig overvåket».

 

Og her er vi inne på noe helt vesentlig. Når vi ser på alle de overvåkningstiltak som er i samfunnet i dag, med nye terrorlover, Snowden-saken og så videre, er det viktig å stille spørsmålet: Påvirker dette oss negativt? Blir vi redde for å kommunisere? Og nøyaktig det samme spørsmålet kan vi stille oss når det gjelder informasjonssikkerhetstruslene. Blir vi redde for å kommunisere? Er vi redde for å sende en e-post til psykologen vår eller til gamlekjæresten eller til en litt sær politisk organisasjon eller til organisasjonen for de med den annerledes seksuelle holdningen. Den dagen vi sier JA på disse spørsmålene, har vi mistet en veldig vesentlig samfunnsverdi.

 

Det er derfor vi hele tiden må lete etter balansen mellom personvern og overvåking, og mellom personvern og informasjonssikkerhet. Vi må sikre samfunnsverdiene og trygge samfunnet vårt, men vi må ikke skape et samfunn som er så trygt at vi mister friheten. 13 prosent av befolkningen svarte at de som en følge av Snowden-avsløringene på en eller annen måte hadde lagt bånd på seg i sin kommunikasjon. Dette er et tall vi må følge meget nøye.

 

Hvem skal ivareta de sivile, borgerlige rettighetene i dette prosjektet? Hvem skal sørge for at personvernhensyn blir ivaretatt, hvem skal sørge for at vi ikke havner i en ny datalagringsdirektiv-situasjon, der situasjonen hauses opp og det skapes skremmebilder som gjør at det vedtas direktiver og lover som blir kjent ugyldig av domstolene. Slik jeg ser det i dag er det ingen av de sentrale aktørene og bidragsyterne som har en slik rolle. Jeg har tillit til politiet, til forsvaret og de store teleselskapene. Jeg forventer at de legger vekt på personvern i sitt arbeid, og det vet jeg også at de forsøker å gjøre. Men det er ikke politiets jobb, eller kompetanseområde, å snakke varmt for personverninteressene og de borgerlige rettighetene. Det er Datatilsynet jobb, det er juridisk fakultet sin jobb, det er andre FoU-miljøer som jobber med slike interesser som må gjøre den jobben. Og de er ikke representert i dette forskningssenteret. Jeg er imidlertid veldig glad for at Høyskolen i Lillehammer for to timer siden undertegnet en samarbeidsavtale med CCIS. Det er nettopp slike miljøer som kan sørge for at de verdiene jeg her snakker om blir ivaretatt.

 

Etter hvert forskningssenter er avhengig av tillit og legitimitet for å bli lyttet til. Min agenda er som følger: Jeg mener det som kommer ut fra dette senteret vil ha større legitimitet og større gjennomslagskraft dersom også våre interesser blir lyttet til. Derfor er det svært viktig at det også kommer på plass et institutt eller en avdeling eller personer som jobber med de sivile, borgerlige sidene, heri også medregnet personvernet.

 

Når det er sagt ønsker jeg igjen gratulerer med imponerende arbeid og lykke til!

Journalist Leif Martin Kirknes i Computerworld har forhåndsdømt googlebrillene til å bli en flopp, eller noe som ikke kommer til å slå an blant folk flest.  Vel, jeg er overbevist om at han vil ta like feil som mannen som i 1996 mente det samme om Internett.

Det kan godt være at første generasjons «databriller», enten  de kommer fra Google, eller andre aktører, ikke tar helt av i sin aller første versjon. Selve konseptet – wearable computing –kommer imidlertid til å bli stort, enten dingsene festes på nesa, i nakken, eller andre steder på kroppen. Og, fenomenet er allerede langt på vei en realitet:

• Små videokameraer («dashcams) monteres i frontruta på bilen, og tar opp alt som skjer under kjøreturen. For den saks skyld gjerne også når bilen står parkert.
• Syklister monterer actionkamera på hjelmen, gjerne pekende både fremover og bakover, for å dokumentere hvordan erkefiendene, bilistene, opptrer hensynløst overfor andre medtrafikanter.
• Hvorfor ikke henge et bittelite kamera utenpå jakken, eller i beltespenna, som hvert halve minutt tar et bilde, såkalt «Lifelogging».
• Og, etter som det mobile bredbåndet blir stadig bredere og billigere, så kan du like godt streame alt du ser opp på nettet, enten du bruker databriller, eller andre dingser.  Kanskje slike individuelle ‘overvåkingskameraer’ vil gjøre at voldsmenn må tenke seg om to ganger før de kaster seg over deg på vei hjem fra byen natt til søndag? Det hjelper ikke å rive av deg kameraet. Opptaket er jo allerede lastet opp til et trygt sted som pårørende og politi vil få tilgang til om noe skulle skje deg. Jeg øyner et stort marked her.

At skjerm, kamera, høyttaler og mikrofon plasseres i umiddelbar nærhet til øyne, ører og munn virker for meg å være en logisk plassering. Ja  – det burde rett og slett være iøynefallende….

Tre hovedgrunner til bekymring
Jeg har tenkt å være en av de første i Norge til å ta databrillene i bruk, selv om jeg gruer meg til de første turene på t-banen med brillene på. Det vil unektelig se nerdete ut – i begynnelsen.  Jeg kan imidlertid ikke være ansatt i Datatilsynet uten å se at det følger noen alvorlige personvernutfordringer med på kjøpet:

• Mange av oss vil ta opp bilder mer eller mindre kontinuerlig, og ofte uten at de som kommer på film eller lydopptak blir oppmerksomme på dette, langt mindre kan gjøre noe med det.
• Det vil oppstå sikkerhetsproblemer for brukerne, brillene kan hackes. Et råd allerede nå: Ta av deg databrillene når du slår passordet til nettbanken!
• Google, eller de andre store markedsaktørene vil, i enda større grad enn ved dagens mobiltelefoner, kunne høste inn lyd, bilde, posisjonsdata med videre. De store «big-data» aktørene får millioner av «agenter» – deg og meg – som gjør masseinnhøstingen av data  for seg – helt gratis. Tenk bare hvilket potensiale ansiktsgjenkjenningsteknologien vil gi i denne sammenhengen!

  «Åh, så, forutsigbart og typisk Datatilsynet!», ser jeg for meg at du nå tenker.

Her kommer de igjen med den tradisjonelle bekymringen, akkurat slik personvernmyndighetene reiste sine advarende pekefingre når de første kameramobilene kom på markedet for ti år siden.  I flere land ble det den gang tatt tatt til orde for at det burde bli påbudt med lyd- og lyssignal på mobilen når bilde ble tatt. I dag er det ingen som tenker slik lengre. Vi har tilpasset oss teknologien, og klarer greitt å leve med noen enkelttilfeller av uheldig bruk.

Skjulte opptak

Det nye skjellsordet?

Det som imidlertid gjør fotograferende briller forskjellig fra mobiltelefoner er at det nå blir nesten umulig å oppdage at man blir tatt lyd- eller billedopptak av. Man trenger ikke lengre å ta kameraet opp av lomma. Vi har det allerede iøyenhøyde – hele tiden.  Han på restaurantnabobordet, eller på bussen, lar han kamera gå når han kikker bort på meg? Eller tar kollegaen opp den fortrolige samtalen vi har om sjefen ved kaffeautomaten? For mange av oss vil den sosiale sperren mot å aktivere opptak forsvinne dersom vi er rimelig trygg på at vi ikke blir «fersket». Og som vi allerede har erfart; Veien fra opptak til publisering nettet er svært kort, bare innslaget er oppsiktsvekkende eller morsomt nok.

Kan vi gjøre noe med det?
Allerede lenge før databrillene er kommet på markedet har vi fått bekymrede meldinger fra folk som forventer at vi fra Datatilsynet er i forkant.  I en e-post heter det; «Jeg mener Google Glass representerer kanskje det mest dranoiske og orwellianske av teknologier som noen gang er rettet mot privatmarkedet, Få har tatt inn over seg rekkeviddene denne teknologien kan avstedkomme». En annen kommer med følgende sterke oppfordring til oss;  «Hva med allerede nå implementere personvernregler som retter seg mot slike produkter og slik funksjonalitet? Et absolutt minstekrav om realtime sladding av ansikter eller blurring av menneskefigurer burde defineres allerede FØR dette og lignende produkter er på markedet. Google Glass og de mulighetene som kommer her vil fjerne den aller siste rest av retten til et privatliv og representere et tyranni. Vær i forkant bare denne ene gangen!».

Men hva kan vi fra personvernmyndighetenes side gjøre?

• Bør vi ta til orde for nye lover og regler som regulerer bruken?
• Bør vi sørge for at  at det bygges inn teknologiske løsninger i produktene som begrenser mulighetene for feil bruk?
• Eller kan vi satse på at sosiale normer og spilleregler vil ordne opp i dette, slik vi tross alt har tilpasset oss bruken av mobiltelefonene?

Jeg tror ikke en generell rettslig regulering er det første vi bør ty til på et område hvor teknologiutviklingen går så fort, med så mange bruksområder og med så mange aktører. Det er ikke i første rekke nye lovregler vi trenger, men at vi benytter oss av de bestemmelsene vi allerede har i dag i åndsverkloven, straffeloven og personvernlovgivningen. Jeg tror imidlertid at det raskt vil aktualisere seg et spørsmål om informasjonsplikt når man gjør opptak, også privatpersoner i mellom. Mange vil nok også forby lyd- og billedopptak i bestemte situasjoner. En mer farbar vei tror jeg imidlertid vil være at vi som forbrukere – i et marked- etterspør at produsentene bygger inn tekniske løsninger som kan gi folk flest en større grad av forutberegnelighet og kontroll.

Innebygd personvern?
Kanskje vil det være lurt av produsentene av bygge inn et lite lys eller lydsignal som slås på hver gang databrillene, eller de andre enhetene, går i opptaksmodus? Eller enda bedre; en fysisk og godt synlig klaff som sperrer for kameralinsen når man går på steder der andre naturlig vil forbeholde seg retten til å være i fred for «glassarazzies»? En slik sikkerhetsmekanisme vil jo ikke kunne hackes på tilsvarende måte som et lyssignal kan deaktiveres ved å gjøre endringer i programvaren. Det vil jo virkelig være innebygd personvern i praksis.

Og selvsagt må vi som personvernmyndigheter «sitte på ryggen» til Google og de andre store aktørene. Vi må stille kritiske spørsmål og kontrollere hvordan de håndterer de enorme mengdene av informasjon som blir samlet inn via alle de ulike dingsene, som i rekordfart koples opp mot Internett.

Til uka skal vi i Datatilsynet møte våre nordiske kollegaer i København, på vårt årlige fellesseminar. Jeg er sikker på at Google Glasses kommer til å bli nevnt mer enn en gang i løpet av de to dagene. Om ikke annet av meg selv…

Kilder og lesverdige artikler:
Her er noen av de artiklene jeg har hentet inspirasjon fra – og anbefaler deg å lese:

Creativegood.com 28. februar 2013: «The google glass feature no one is talking about:   http://creativegood.com/blog/the-google-glass-feature-no-one-is-talking-about/

Computerworld 3. mai 2013: «Derfor vil Google Glass knuses»: http://www.idg.no/computerworld/article271557.ece

Nettavisen 20. april 2013: «Det viktigste som har skjedd siden Internett kom». http://www.side3.no/article3610114.ece

Policymic: «3 new Ways Google Glass Invades Your Privacy»: http://www.policymic.com/articles/29585/3-new-ways-google-glass-invades-your-privacy

Techradar: «Say goodbye to your privacy» http://www.techradar.com/news/mobile-computing/google-glass-say-goodbye-to-your-privacy-1134796

The Guardian: Google Glass: «Is it a threat to our privacy? http://www.guardian.co.uk/technology/2013/mar/06/google-glass-threat-to-our-privacy?INTCMP=SRCH

BBC: «How much ‘lifelogging’ could you tolerate?» http://www.bbc.co.uk/news/technology-22193299

Datatilsynet: «7 steg til innebygget personvern». http://www.datatilsynet.no/Teknologi/Innebygd-personvern/

I dag sitter ni ansatte i Datatilsynet limt foran skjermene i et improvisert hovedkvarter i lokalene våre. Vi er i gang med å sveipe nettsidene til 200 virksomheter. Vi skal finne ut om de informerer om hvordan de behandler personopplysninger.

Folk har rett til å vite hvordan deres personopplysninger samles inn og brukes, og virksomheter skal informere om dette. Ved å gjøre det på sine nettsider, gjør de det lettere for folk å ha oversikt over hvordan opplysningene deres håndteres. Vi har sett en trend de siste årene til at folk er mer opptatt av personvern og personverninnstillinger, spesielt i forbindelse med bruk av Facebook. Vi tror at folk forventer godt personvern i tjenestene de bruker, og at det bør være i virksomhetens interesse å informere om hva de gjør.

Nettsidene som sveipes er et utvalg av de mest brukte nettsidene i Norge, og de største norske virksomhetene i privat sektor. Vi ser etter om de har en personvernerklæring og hvor tilgjengelig den er. Vi sjekker også om den innholder det som bør være med i en slik erklæring. Den bør blant annet gi oversikt over hvilke personopplysninger som samles inn, og om virksomheten deler personopplysninger med andre.  

Datatilsynet er med i et internasjonalt prosjekt kalt ”Internet Sweep Day” der 14 land deltar for å kartlegge bruken av personvernerklæringer. Prosjektet gjennomføres i regi av Global Privacy Enforcement Network og resultatene fra sveipet offentliggjøres i september.

Vi oppfordrer alle virksomheter til å sjekke tilstanden til personvernerklæring på egne nettsider. Samtidig minner vi nettbrukerne om at de kan etterspørre informasjon fra en virksomhet – både når det gjelder hvordan virksomheten behandler personopplysninger generelt, og at de kan be om innsyn i egne opplysninger.

Senatorenes kontorer ligger i stilfulle bygninger i området rundt Capitol, eller the Hill som vi forstår at det kalles her.

Vårt møte var med et medlem av staben til Al Franken, en demokratisk senator fra Minnesota. Han er leder for en underkomite som bl.a. har ansvar for personvern, og i USA, som i Norge, er personvern en viktig del av samfunnsdebatten.

Det Al Franken særlig er opptatt av er cybersikkerhet og lokaliseringsteknologi og han jobber aktivt med lovgivning på disse områdene. Forslag om cyberangrep pålegger virksomheter med kritisk infrastruktur som utsettes for angrep en rapporteringsplikt til sikkerhetsmyndighetene. Dette er vel og bra, men innebærer samtidig at store mengder persondata utleveres til samme sted.

Apper som tilbyr overvåkning av ektefeller og barn markedsføres aktivt i USA. Frankens lovforslag handler i korthet om at det skal foreligge samtykke til registrering og utlevering fra den som overvåkes. I tillegg pålegges den som utvikler appen en informasjonsplikt.

Dette innebærer i praksis er forbudt mot slike apper, da det er vanskelig å tenke seg at noen vil samtykke til slikt. Verdt å merke seg er at forslaget også gjelder lokalisering som for eksempel Google gjør når de tilbyr sine tjenester og alle andre typer apper.

Dette er for øvrig bare en av flere initiativer til lovregulering av lokalisering og overvåkning på nettet. Senator Rockefeller jobber med en do-not-track lov og John Kerry har også fremme et lovforslag på områder, så får vi se hva som skjer med det nå som han har blitt utenriksminister.

Vi treff også Marc Rotenberg, juss-professor på Georgetown og leder av personvernorganisasjonen EPIC. Her jobber 10-12 engasjerte personvernere med lobbyvirksomhet og kampanjer.

EPIC kjører også rettsaker mot amerikanske myndigheter med jevne mellomrom. På lista står blant annet Federal Trade Commission, CIA og Departement of Homeland Security. En av EPICs suksesser er å få fjernet de utskjelte nakenscannerne på flyplassene.

Vi fikk bekreftet inntrykket av at personvernlovgivningen i relativt stor grad håndheves av privatpersoner og organisasjoner gjennom rettssaker. Dette er slående forskjellig fra de fleste europeiske land, der den konkrete håndhevelsen av regelverket skjer av personvernmyndighetene.

Et tema vi diskuterte begge steder var effekten av såkalt solnedgangslovgivning. Det vil si at lover datostemples og må fornyes etter for eksempel fem år. Overraskende nok er den notoriske Patriot Act en solnedgangslov.

I utgangspunktet høres en slik lovgivningsteknikk ut som en god idé, og man er sikret en evaluering av loven etter noen år. Særlig på personvernområdet kan det være effektivt, for etter vår erfaring er kulturen for å evaluere personvernkrenkende tiltak dårlig utviklet.

Samtidig har det noen bieffekter. Det er erfaringsmessig vanskelig å fjerne noe som allerede er etablert, og det er lett å se for seg at debatten handler om effektivisering fremfor opphevelse loven. Dessuten kan innvendingene mot loven være mindre når det «bare» er snakk om en midlertidig lov. Det kunne være interessant å få lesernes synspunkter på om dette er en vei å gå i Norge.

La oss avslutte med senatet.

The Hill er et stort område med betydelige avstander, og mange av kontorene ligger et stykke fra selve Capitol.

En underjordisk trikkelinje binder de ulike byggene sammen. Dette er trikken Obama (da han var senator), John Kerry og andre størrelser bruker når de skal forflytte seg mellom de ulike bygningene. Og det er ikke til å nekte for at man blir litt rett i ryggen av å kjøre denne trikken, og kanskje sitte på presidentens stamsete.

I morgen treffer vi Google og på fredag Facebook og Microsoft.

Vi mottar gjerne forslag til spørsmål og temaer.