Etter den første bølga med generative KI-verktøy som kunne gjere mykje artig, var 2024 året for integrerte KI-verktøy i systema vi allereie brukar. Slik som Microsofts M365 Copilot. Vi blir lokka med ein enklare og meir effektiv arbeidskvardag. Men det har også ein pris. Ikkje berre i kroner og øre.

Grundig kalkyle frå NTNU

Kva den prisen blir, er eit komplekst reknestykke. Så kva er vel betre enn at ein tung og truverdig aktør som NTNU tok på seg oppgåva med å rekne seg fram til eit svar. I god akademisk ånd gjekk dei grundig til verks. Og dei involverte oss i Datatilsynet ved å bli med i vår regulatoriske sandkasse. Det er eit veiledningtilbud, der vi kan gå djupare i materien – og ja, på ein måte vere meir løysningsorienterte – enn rammene tillet oss i tradisjonelle veiledningsformer.

Vi merka at mange «der ute» venta i spenning på vurderingane og erfaringane frå prosjektet. I slutten av november lanserte vi rapporten som ser på korleis ein stor offentleg aktør som NTNU eventuelt kan ta i bruk M365 Copilot.

Sjå rapporten «Copilot med personvernbriller på».

Før det hadde NTNU også laga ein rapport med viktige funn utover det reint personvernmessige, der dei tar for seg både forvaltning, opplæring, økonomiske kostnader og korleis eit slikt verktøy kan påverke organisasjonen og arbeidsmiljøet.

Sjå NTNUs funnrapport.

Forsiktig med den røde knappen

Hovedbudskapet er at verksemder bør vere varsame med å berre trykke på den røde knappen og ta i bruk dette eller liknande integrerte KI-verktøy utan å gjere grundige vurderingar i forkant, i tillegg til å sikre kontrollmekanismar og god opplæring av brukarane. For dette er kraftfulle saker.

Begge rapportane er pedagogisk oppbygd og delt inn i 8-9 funn eller hovedpunkt. Det er verdt å lese dei begge, men som ein appetittvekker, skal du få fem sentrale punkt her:  

1. Start med ein strategi.

Definer tydeleg kva verksemda ønsker å oppnå, kva områder som er aktuelle for KI-bruk og kva områder ein bør halde utanfor. Som hovedregel er generativ KI best når du allereie kan det du vil at den skal hjelpe deg med, du har kapasitet til å kvalitetssikre arbeidet, og er villig til å ta det heile og fulle ansvaret for feil i det den leverer.

2. Sørg for orden i eige hus.

Dette er superviktig. Copilot finn (og behandlar) all informasjon du har tilgang til. Det er godt muleg at du har tilgang til mykje meir informasjon enn du er klar over. Det kjem an på om verksemda di har stålkontroll, eller ikkje, på tilgangsstyring og alt som fins av personopplysningar i systema som blir brukt. Sjølv om lova krev at verksemder har stålkontroll – om enn i meir juridiske formuleringar – ville det vere naivt av Datatilsynet å ta for gitt – slik leverandøren av Copilot gjer – at absolutt alle faktisk har det.

Ei utfordring med Copilot er at svakheter i «den digitale grunnmuren» blir synlege og kraftig forsterka med eit verktøy som har tilgang til alt du har tilgang til – og veit å utnytte seg av det.

Eller for å ta den positive tilnærminga: premien til dei som har skikkeleg orden i eige hus, er at dei har ein langt kortare veg til å kunne ta i bruk integrert KI, som for eksempel Copilot.

3. Tenk grundig (og kreativt) gjennom kva som kan gå galt?

Brukarar vil dele alle typar data med, og bruke, generativ kunstig intelligens til det dei kan. Sånn er det berre. Er det muleg, vil det bli gjort. Det er viktig å ta med seg inn når ein skal gjere vurderingar av kva personvernkonsekvensar det vil få å ta i bruk eit slikt verktøy. Ein kan ikkje ta for gitt at folk berre brukar verktøyet slik sjefane har tenkt.

Og apropos sjefane: dette verktøyet kan brukast som bossware. «Kan» her som i teknologisk – ikkje juridisk – mulighet. La meg sitere frå NTNUs funn:

«arbeidsgivere kan vurdere ansattes prestasjoner og adferd basert på skriftlig innhold de har tilgang til, som filer, dokumenter, Teams-chatter, e-postkorrespondanse, Teams-innhold, følelsesreaksjoner (emojis), transkripsjoner fra møter med automatisk opptak, osv. Ansatte har ingen mulighet til å finne ut om en slik vurdering av dem selv har skjedd.»

NTNU oppdaga at det er lett å få verktøyet til å seie noko om humør og sinnsstemning til andre tilsette. Og:

«Når Copilot har for lite informasjon å jobbe med, kan det oppstå utfordringer med løgn og hallusinasjoner. Det er sannsynlig at Copilot kan «finne på» følelser for de ansatte, noe som gjør denne problemstillingen enda mer utfordrende.»

Ein kanskje litt kontroversiell tanke i NTNU-rapporten er å vurdere om for eksempel leiarar med personalansvar ikkje skal få tilgang til Copilot, mens tilsette «på gølvet» kan få det?

På toppen av det heile er dette eit verktøy i stadig endring – på godt og vondt. Feil blir fortløpande retta, verktøyet blir stadig justert, men nye funksjonar blir også stadig lagt til. Det gjer det utfordrande å forvalte. Det krev ei vaken IT-avdeling. Det krev masse opplæring. Og det krev disiplinerte brukarar.

Så sett frå eit personvernperspektiv; det er mykje som kan gå galt og mange ledd det kan svikte i. Og det er verksemda sitt ansvar å ha tenkt grundig gjennom alt.

4. Vurder alternative løysingar.

Viss nokon av blomstrane i bedet ser litt tørste ut, set du ikkje heile hagen under vatn. Då er vi tilbake til strategien. Kanskje held det med eit par meir spissa KI-verktøy, som gjer akkurat dei arbeidsoppgåvene det er (mest) behov for, i staden for dei integrerte som skal slurpe i seg det som fins av data i organisasjonen?

Det er definitivt verd å ta med i kalkuleringane, når arbeidet i organisasjonen skal effektiviserast, at det kan vere langt meir ressurskrevande å forvalte eit stort og komplekst verktøy, enn eit par små.

Og – kanskje litt pussig, men eit siste punkt:

5.  Ikkje hopp på KI-toget utan ein exit-strategi.

Ha ein klar plan for korleis verktøyet kan bli skrudd av, om nødvendig, før du slår det på.

Nederland har nyleg fraråda statlege verksemder å ta i bruk Copilot. Nokon vil kanskje påstå at vi i praksis gjer det samme. Men nei, teknologien har mykje bra i seg, og det handlar om å finne gode og praktiske tilnærmingar for å ta den i bruk på ein forsvarleg måte. Vår oppfordring er å gjere det i små og kontrollerte steg.

Men – dersom både dei som bygger KI-toget og passasjerane som kastar seg på er drevet av frykt for å ikkje vere fremst i toget, er det nok oppskrifta på ein ganske forutsigbar 💥 🙈

Lovforslaget bygger i stor grad på det såkalte Lysne II-utvalgets utredning som Datatilsynet sa et klart nei til i 2017, se bloggen «Nei til digitalt grenseforsvar». Også Norges nasjonale institusjon for menneskerettigheter konkluderte med at forslaget trolig var grunnlovsstridig: Høringsuttalelse til Forsvarsdepartementet om Lysne II-utvalgets utredning «Digitalt grenseforsvar». 

Det er en meget grundig utredning som ligger til grunn for lovforslaget, og vi vil svare med den samme grundighet i vårt høringssvar som vil foreligger før høringsfristen går ut 12. februar 2019. Allerede nå er det imidlertid grunn til å påpeke følgende: I Jeløya-plattformen gikk regjeringen inn for å oppnevne en Personvernkommisjon som blant annet skal «se på personvernet i justissektoren». Det er svært gledelig at en slik kommisjon ser dagens lys, ettersom det aldri er foretatt en slik gjennomgang når det gjelder justissektoren. I vårt innspill til mandat understreket vi imidlertid at det vil være svært uheldig å gå videre med forslaget om digitalt grenseforsvar før personvernkommisjonen har sluttført sitt arbeid.

I vår høring understreket vi at det vil være svært uheldig å gå videre med forslaget om digitalt grenseforsvar før personvernkommisjonen har sluttført sitt arbeid.

Nå er det nettopp det som er i ferd med å skje. Forslag til digitalt grenseforsvar er sendt på høring, men Personvernkommisjonen er fortsatt ikke nedsatt. For at en slik kommisjon skal ha noe for seg, må den både gi en beskrivelse av nå-tilstanden for overvåkningen i Norge, og ta stilling til hva det betyr for den enkelte borgers personvern dersom digitalt grenseforsvar innføres. Sentrale spørsmål er blant annet om det vil medføre en nedkjølingseffekt blant vanlige folk og om vi vil se at opplysningen som samles inn brukes til nye formål. Det er også viktig at kommisjonen løfter blikket og legger grunnlaget for en debatt om hva slags samfunn vi ønsker, og hvor langt det er riktig å gå når det gjelder å begrense innbyggernes frihet. Dersom digitalt grenseforsvar vedtas før kommisjonen har sagt sitt til forslaget, blir en slik debatt uten særlig betydning.

Det er viktig at personvernkommisjonen løfter blikket og legger grunnlaget for en debatt om hva slags samfunn vi ønsker, og hvor langt det er riktig å gå når det gjelder å begrense innbyggernes frihet.

Forsvarsminister Frank Bakke-Jensen uttalte til NRK tidligere i dag at digitalt grenseforsvar vil føre til bedre personvern fordi det vil forhindre alvorlig kriminalitet. En slik uttalelse viser to ting; at forsvarsministeren ikke forstår hva personvern er, og at han setter en standard på debatten som bringer oss rett ned i skyttergravene for debatten om datalagringsdirektivet. Også der forsøkte tilhengerne å omdefinere hva som er godt personvern til å gjelde kriminalitetsbekjempelse. For det første er dette et argument uten en logisk grense, for det er uendelig mye som kan føre til mindre kriminalitet, for eksempel massiv overvåkning av befolkningen. Vet man hvor alle til enhver tid er og hva de holder på med vil det utvilsomt føre til mindre kriminalitet, men det vil undergrave folks personvern. Personvern handler om retten til selvbestemmelse, retten til å kommunisere mest mulig fritt og uhindret og retten til å ha private rom der man kan utfolde seg fritt uten å måtte kikke seg over skulderen, for å nevne noe. Det forsvarsministeren i realiteten sier, satt litt på spissen, er at det er godt personvern å tillate overvåkning av alle norske borgeres grensekryssende kommunikasjon, og å lagre det i 18 måneder. Det er et veldig dårlig utgangspunkt for en god debatt.

Kina har vokst frem som et gigantisk laboratorium for eksperimentell databruk. Tre av de ti største internettselskapene i verden er nå kinesiske: Baidu, Alibaba og Tencent, populært kalt BAT. På enkelte områder, for eksempel innen finansiell teknologi og mobile betalingsløsninger, er Kina i førersetet for utvikling av nye og innovative løsninger. Tiden da Kina kun var en etteraper som laget billige kopier av produkter fra vesten, er definitivt over.

Nå vil Kina bli supermakt på kunstig intelligens. Kinesiske myndigheter investerer hundretalls milliarder kroner i utviklingen av kunstig intelligens og målet er å bli verdensledende på dette området innen 2030. Med seg på laget har de BAT-selskapene.

For å utvikle kunstig intelligens er man avhengig tilgang til mye data. Data, som i mange tilfeller er personopplysninger, er drivstoffet som gjør at systemer kan lære og blir intelligente. Her har Kina en stor fordel i kappløpet om å utvikle verdens beste kunstige intelligens.

Med sine 1,4 milliarder innbyggere og omfattende dataregistre, har Kina tilgang til enorme datamengder. I tillegg har landet den fordelen at det er få restriksjoner knyttet til hvordan data kan utnyttes. Myndigheter og kommersielle virksomheter kan derfor utvikle kunstig intelligens uten de samme begrensningene som personvernlovgivningen setter i Europa.

I Europa kan for eksempel myndigheter og selskaper ikke uten videre kan bruke data de har samlet inn fra oss til andre og nye formål vi ikke kjenner til. De må også begrense innsamlingen av opplysninger til det som er strengt nødvendig. Disse prinsippene skal gi oss kontroll over våre egne opplysninger og utviklingen av kunstig intelligens må finne sted innenfor disse rammene.

Takket være enorme databaser med bilder av befolkningen, er Kina verdensledende på utvikling av ansiktsgjenkjenningsteknologi. Kina har installert det mest omfattende kameraovervåkningssystemet i verden. 150 millioner kameraer er utplassert og innen fire år skal 400 millioner nye kameraer monteres opp. I byen Guiyang har kameraovervåkningssystemet samlet inn bilder av alle byens 3,4 millioner innbyggere og koblet dem til den enkeltes ID-nummer, ifølge BBC.

Ansiktsgjenkjenning brukes allerede av banker, restauranter og til og med på offentlige toaletter i Kina for å fastslå folks identitet. Det er likevel politi- og sikkerhetsmyndighetene som er mest ivrige etter å ta i bruk teknologien. Det nasjonale kameraovervåkningssystemet er utrustet med ansiktsgjenkjenningsteknologi, og kan i tillegg fastslå kjønn, alder og etnisitet. BBC-journalist John Sudworth fikk tillatelse til å teste ut systemet i Guiyang. Basert på et bilde av ham som han sendte til politiet i forkant av et besøk i byen, tok det kun syv minutter fra Sudworth gitt ut på gaten i Guiyang, til ansiktsgjenkjenningssystemet hadde lokalisert ham og politiet kunne «anholde» ham. Siste nytt er at politiet har utvidet sitt overvåkningsarsenal med briller med ansiktsgjenkjenningsteknologi. Med disse brillene på kan politiet pågripe suspekte individer enda mer effektivt.

Den kunstig intelligente fremtiden er ikke bare dystopisk. Teknologien vil også løse mange viktige samfunnsoppgaver fremover. Det er derfor avgjørende at Norge og Europa for øvrig ikke blir sinker på dette området. Utviklingen vi ser i Kina berører oss derfor, både som utviklere og brukere av teknologien.

Kunstig intelligens kan selges som programvare på det globale markedet. Google og IBM tilbyr sine kunstig intelligens-løsninger til private og offentlige aktører over hele verden. Om noen år kan den beste kunstige intelligensen i verden være utviklet av et kinesisk selskap. Når denne programvaren tilbys på verdensmarkedet, vil det da være OK for et norsk sykehus eller bank å velge denne? Spørsmålet er om vi fremover må stille etiske krav til den kunstige intelligensen vi tilbys på samme måte som vi stiller etiske krav til hvordan andre forbruksvarer er fremstilt og produsert, som for eksempel matvarer og klær.

For å holde tritt med utviklingen av kunstig intelligens i Kina, kan det bli fristende for europeiske virksomheter å flytte produksjonsmiljøene som jobber med kunstig intelligens dit. Vi har allerede sett de første eksemplene på dette. Det britiske teknologiselskapet Medopad flyttet utviklingen av sin kunstig intelligens-baserte helseapplikasjon til Kina. I Storbritannia hadde de ikke tilgang til store nok datamengder for å kunne trene opp algoritmene sine. Ved å samarbeide med Tencent, Kinas ledende sosiale nettsamfunn, fikk selskapet tilgang til brukerdata i en helt annen målestokk enn hjemme i Storbritannia. Nylig opprettet også Google en kunstig intelligens-avdeling i Kina.

Samtidig som kinesiske myndigheter utvikler og bruker kunstig intelligens på autoritære måter, er det tegn som tyder på at de kinesiske teknologigigantene ser nødvendigheten av å sette personvern på dagsordenen. Teknologiselskapene ønsker å ekspandere vestover på jakt etter mer brukerdata som de kan bruke i utviklingen av kunstig intelligens. Skal de levere tjenester som har tillit i de vestlige markedene, må de bygge løsninger som ivaretar grunnleggende personvernhensyn. Det er imidlertid mer tvilsomt om kinesiske myndigheter vil ta slike hensyn i sitt arbeid med å realisere ambisjonen om å bli verdensledende innen kunstig intelligens.

25. mai 2018 trer personvernforordningen i kraft. Det er en milepæl i personvernets historie, tvunget fram av det teknologiskiftet vi har sett de siste tiårene.

Derfor har personvern også sin naturlige plass på Arendalsuka. Med nær 700 ulike arrangementer er det vanskelig å velge riktig. Sagt med andre ord: hvordan få med seg de viktigste personverndebattene? Personvern har selvsagt en sentral plass i mange flere enn de debattene som er nevnt her. Digitalisering? Smarte byer? Delingsøkononomi? Personvern er viktig, selv om det ikke er angitt som tema! Men her har jeg laget en oversikt over det vi mener er de meste sentrale personverndebattene under Arendalsuka.

 Persontilpasset medisin

En nyttig lærdom for meg var at ca 30 % av oss ikke responderer særlig godt på Paralgin Forte, fordi vi har en gen-sammensetning som reduserer virkningen. Vi vet også at to personer med akkurat samme kreftdiagnose responderer ulikt på akkurat samme medisin. Persontilpasset medisin vil endre alt, men samtidig må man kanskje vite alt? Det er tema i denne viktige debatten.

http://www.arendalsuka.no/event/user-view/4142

 Deit med Datatilsynet

Datatilsynet har selvsagt også egne arrangementer på Arendalsuka. Onsdag ettermiddagen er det mulig å få en egen deit på tomannshånd med Datatilsynets eksperter, vi stiller med både en teknologer, en jurister og samfunnsvitere. De første har allerede bestilt time, så slå til nå!

http://www.arendalsuka.no/event/user-view/5295

 Masseovervåkning til samfunnets beste

Vi har vært så heldig å få tidligere generalløytnant Kjell Grandhagen til å stille opp for å gi sitt syn på digitalt grenseforsvar. Det er Datatilsynet selv som arrangerer også dette møtet.

http://www.arendalsuka.no/event/user-view/4418

 Usikkerhet og sikkerhet – hvem skrudde av serveren

I dette arrangementet, som Tekna står bak, stilles et viktig spørsmål: Er vi rigget for å håndtere datatrafikk, utvikling, drift og forvaltning av kritisk digital infrastruktur og har vi oversikt over de sårbarheter som foreligger?

http://www.arendalsuka.no/event/user-view/4386

 Grov netthets mot arbeidstakere øker – hva gjør vi

Grov hets i arbeidslivet er et økende problem. Særlig utsatt er ansatte i barnevernet og de som jobber i NAV. Hvordan kan vi bedre beskytte arbeidstakerne?

http://www.arendalsuka.no/event/user-view/4417

 Er det mulig å beskytte personvernet i det digitale samfunn

I denne debatten stiller ti tusen kroners spørsmålet: Kan personvernet beskyttes i møte med overvåkningsøkonomien, eller betyr dette at retten til privatliv , slik vi kjenner det, er over?

http://www.arendalsuka.no/event/user-view/5297

 Nye personvernregler – hva betyr det når kundene og brukerne dine har rett til å bli glemt?

BI og Telenor deler ansvar for dette viktige arrangementet, som enda ikke står i programmet, men går av stabelen tirsdag kl 0930. Jeg vil i hvert fall ha svar på et spørsmål: Hvordan skal Norges største selskaper legge til rette for dataportabilitet?

https://www.arendalsuka.no/event/user-view/5535

**

Takk for invitasjonen. Det er et svært viktig tema vi skal diskutere, nemlig personvernets går i dag.

Det er flere symbolske tidsskiller i denne diskusjonen:

• 11. september 2001: New York og Washington ble rammet av terrorangrep
• 22. juli 2011: Terrorangrep mot regjeringskvartalet og Utøya.
• 7. juni 2013: Edward Snowdens avsløringer ble presentert for første gang
• 8. april 2014: Datalagringsdirektivet (DLD) ble kjent ugyldig
• 8. juni 2016: Dataavlesing vedtas i Norge
• 6. september 2016: Forslaget om å innføre digitalt grenseforsvar legges fram
• 21. desember 2016: Datalagringsdirektiv-dom II – Sverige og UKs implementering av direktivet blir kjent ugyldig av EU-domstolen

Men det startet 11. september 2001, og senere terroraksjoner i London og Madrid. I kjølvannet av disse forferdelige hendelsene ble Patriot act innført i USA, og Europa fulgte etter ved å vedta DLD i 2006. Dette direktivet er et ektefødt barn av de nevnte terrorhandlinger. I tillegg fikk vi flere ulike anti-terrorpakker i 2002 og 2005 her hjemme.

DLD innvarslet noe helt nytt. Det har alltid vært slik at data som allerede var samlet inn til andre formål, kunne brukes i politietterforskning. Men nå gikk vi over til storstilt før-var-innsamling av data om alle norske borgere. Det var altså snakk om data om oss alle, det var snakk om hvem vi ringte, hvem vi tekstet med, hvem vi sendte eposter til og når vi gjorde det. Selv om ikke innhold skulle lagres, vil hvem vi har hatt kontakt med avsløre innholdet i kommunikasjonen. En telefon til Støttesenteret mot Incest etterfulgt av en telefon til politiet er svært avslørende.

DLD ble årets debatt i 2011, og vedtatt med minimalt flertall i Stortinget, 89 mot 80 stemmer. Det ble holdt 105 innlegg og debatten varte i 9 ½ time.

Så kom 22. juli 2011. Delvis i kjølvannet av dette ble det innført en endring i reglene for det straffbare forsøk, ved at tidspunktet for det straffbare ble flyttet til et tidligere tidspunkt i gjerningsprosessen, til et tidspunkt da ytre tegn peker mot gjennomføringen. Det var altså et langt stykke fra Andenæs’ postulat: Planleggingens tid er forbi, nå skrider han til verket. Begrunnelsen var dessuten oppsiktsvekkende. Det var ikke å straffe, men straffbarheten skulle åpne for bruk av tvangsmidler på et tidligere tidspunkt. Dette innvarslet noe helt nytt i norsk rett

7. juni 2013 var jeg i USA for å drive research til en bok jeg skrev om Den amerikanske presidents norske datter. Samme dag hadde Washington Post sitt først oppslag om Edward Snowdens avsløringer. Personverndebatten tok en ny retning, særlig etter at det kom fram at Angela Merkels telefon hadde blitt avlyttet. USAs forhold til flere land, herunder Tyskland, ble skadet, og fortsatt sliter man med sår som ikke har grodd og manglende tillitt.

Det interessante for dagens tema er midlertid dette: Det kom en helt ny dynamikk inn i personverndebatten. Og i april 2014 etter kom altså EU-domstolens avgjørelse om at DLD var ugyldig.

Hvorfor ble direktivet kjent ugyldig? Det kan oppsummeres slik:

• Det griper inn i borgernes rett til respekt for sitt privatliv
• Lagring kan føre til at folk får en følelse av å være under konstant overvåking
• Alle typer trafikkdata ( epost, IP-adresser, mobildata, sms osv) behandles likt, uten å differensiere hvor stor betydning de ulike datatypene har for å bekjempe kriminalitet
• Det er for uklare kriterier for straffbarheten, for hva er egentlig alvorlig kriminalitet?
• MEN: Domstolen anerkjenner at det er legitimt å registrere trafikkdata for å bekjempe kriminalitet

Det direkte resultat av dette her i Norge var at loven som implementerte DLD aldri trådt i kraft. Og vi skulle kanskje tro at appetitten på data ble noe svekket etter dette. Men nei, allerede i slutten av august samme år foreslo PSTs sjef Benedicte Bjørnland å «samle inn og bruke stordata». I begrunnelsen var hun forbilledlig åpen på hva dette ville bety:

• PST ville «samle en større mengde informasjon over tid», og de var helt åpne på at mange som ikke har gjort noe galt ville bli registrert
• Kilder i stordataanalyse skulle være all vår nettaktivitet og alle våre dagligdagse aktiviteter
• Terroristalgoritmer ville bli brukt til å flagge mistenkelige personer
• Forslaget ville fravike prinsippet om formålsbestemthet, nødvendighet og relevans

Kl 13:28 samme dag som forslaget ble lagt fram, meldte NRK at forslaget [var] nedstemt før det er foreslått. Samtlige partier sa nei. Dermed kunne vi jo, igjen, håpe at det ble tatt en pause i iveren etter å innføre nye tiltak.

Men igjen ble grensene flyttet, og denne gangen i form av forslag om å innføre dataavlesing, som ble vedtatt sommeren 2016.

Datatilsynet var kritisk til dette forslaget. Dette skyldes blant annet at det ikke er, og må aldri bli, forbudt å tenke ondsindige eller farlige tanker. Vi må heller ikke frata mennesket dets rett til å gjennomføre gode etiske valg, til å følge sitt moralske kompass, om for eksempel å tenke på å gjennomføre en kriminell handling, men når tiden nærmer seg beslutte å ikke gå videre med planene.

Å tillate dataavlesing er et stykke på vei en kriminalisering av tanken

Å tillate dataavlesing er et stykke på vei en kriminalisering av tanken. Et slikt virkemiddel krever en meget god begrunnelse og dokumentasjon for at dette tiltaket faktisk vil ha en så stor effekt på kriminalitetsbekjempelsen at det veier tynge enn inngrepet i personvernet til borgerne. Vi uttrykte i vår høring overraskelse over at slik dokumentasjon ikke ble framlagt, og ble ikke beroliget av at dette heller ikke har latt seg gjøre i våre naboland.

Men vi forsøkte å komme regjeringen i møte, og foreslo at det etter to år måte gjennomføres en evaluering av hvorvidt tiltaket har hatt noen effekt for kriminalitetsbekjempelsen, sett opp mot rettsikkerhets- og personvernmessige konsekvenser.

For å sikre at evalueringen faktisk blir gjennomført, foreslo vi at reglene ble vedtatt som en såkalt solnedgangslov. Dersom det ikke fremlegges solid dokumentasjon på at dataavlesing er et proporsjonalt tiltak, gikk reglene automatisk ut på dato.

Dette ble dessverre ikke vedtatt.

Jeg vil også her komme innom årsmeldingen fra Norges Nasjonale Institusjon for Menneskerettigheter og deres glimrende temarapporten om Grunnlovens § 102 og dataavlesing. Her konkluderes det, riktignok forsiktig, med at deler av reglene om innføring av dataavlesing er i strid med Grunnlovens § 102. Særlig reglene som hjemler bruk av dataavlesing i avvergende og forebyggende øyemed kan være grunnlovsstridig. Dessuten påpekes det at dataavlesing er svært løst definert, og kan innebære en lang rekke tiltak, fra mobiler til printere og treningsarmbånd, som kan gi tilgang til svært ulike type, og i varierende grad relevant, informasjon.

Siste tilskudd på overvåkningsstammen er forslaget om å innføre et digitalt grenseforsvar ( DGF) i Norge, kanskje det største angrepet på personvernet noen gang.

Etter vår mening er utvalgets forslag i strid med Den Europeiske Menneskerettighetskonvensjonens art 8 og Grunnlovens § 102.

Dette skyldes særlig DLD-dom II fra 21. desember i fjor mot bl.a. Sverige, og som gjaldt den svenske implementeringen av DLD. Denne dommen slo fast at masselagring av personlig informasjon om oss er uforenlig med menneskerettighetene.

Begrunnelsen er svært interessant. Domstolen peker først, slik den også gjorde i den første DLD-dommen, på at slike tiltak vil føre til at befolkningen vil få en følelse av å være under kontinuerlig overvåkning. Domstolen sier videre at det må være en sammenheng mellom de dataene som lagres og den konkrete trusselen som tiltaket har til hensikt å avverge.

Videre uttaler domstolen at det er et krav at lagringen må være avgrenset med hensyn til tid, sted og ikke minst personkrets. Denne dommen er usedvanlig klar: den stenger helt enkelt døra for generell masselagring av borgernes data.

Digitalt grenseforsvar vil innebære overvåkning av kommunikasjonen til de fleste innbyggerne i Norge, uten hensyn til om de som blir overvåket har vært involvert i en straffbar handling eller ikke.

DGF vil innebære overvåkning av kommunikasjonen til de fleste innbyggerne i Norge, uten hensyn til om de som blir overvåket har vært involvert i en straffbar handling eller ikke. Og formålene er svært omfattende: Tjenestens lovbestemte oppgaver og årlige politisk fastsatte etterretningsbehov.

Ytterligere merkverdig blir det når vi ser på debatten om såkalt formålsutglidning, nemlig at de innsamlede dataene bruker til nye formål og av andre organer er opprinnelig vedtatt. Her fremmet utvalget tre forslag som skal forhindre slik bruk:

• Informasjon fra DGF som er overskuddsinformasjon for E-tjenesten, kan ikke leveres videre (og skal slettes).
• PST, NSM, Tolletaten og andre myndigheter skal ikke selv kunne søke, og heller ikke kunne bestille informasjon fra DGF – ikke til eget formål i hvert fall, og som en selvstendig begrunnelse.
• Data fra DGF skal ikke brukes som bevis i konkrete straffesaker.

Dette er forståelig at andre organer ønsker tilgang til dataene. Som utvalget skriver: I praksis vil dette si at dersom E-tjenesten – mot formodning og uten hensikt – skulle komme over informasjon om at en person har begått et drap, seksuelle overgrep mot barn eller deltatt i annen alvorlig kriminalitet som ikke er av relevans for E-tjenestens ansvarsområde, vil slik informasjon bli slettet uten videre oppfølging.

Utvalget er imidlertid krystallklare på at slik utvidet bruk rett og slett vil gjøre kretsen av personer som får tilgang til denne type data for omfattende, og de slår ned en grensepåle.

Debatten etter framleggelsen har vist at andre organer meget sterkt argumenterer for å få tilgang.

Riksadvokaten skriver for eksempel at det bør være mulig for E-tjenesten å dele slik informasjon fremkommer i DGF med andre offentlige myndigheter. De skriver at «[Det er] viktig at loven åpner for at overskuddsinformasjon om begått eller pågående alvorlig kriminalitet mot en person liv [], kan deles med politi og påtalemyndighet». Kripos mener at opplysninger fremkommet ved DGF i noen tilfelle må deles med andre og benyttes.

Hva sier utvalget selv om dette? For å oppnå et rettslig forsvarbart DGF, er det etter utvalgets oppfatning ikke mulig å fravike dette oppsettet i stor grad, og selv små svekkelser i kontrollmekanismene kan føre til at menneskerettigheter og personvernhensyn vil bli ansett som brutt.

****

Oppsummert: Hvordan er personvernets kår i dag?

Med visse unntak – ting har beveget seg i feil retning over mange år. Summen av de tiltak jeg her har gått gjennom har ført til en svekkelse av folks personvern.

Samtidig må vi erkjenne at personvern ikke eksisterer i et vakuum. Politiet må ha gode virkemidler til å forebygge og oppklare kriminelle handlinger. Når politiet stadig møter kryptert kommunikasjon, må vi ha en åpen debatt om det er behov for nye virkemidler. Men dessverre tas det ofte for lett på å dokumentere behovet. Hans Petter Graver og Henning Harborg konkluderte slik i sin rapport til Samferdselsdepartement og Justis- og beredskapsdepartementet om datalagring og menneskerettigheter:

For det første antar vi at domstolene vil stille strenge krav til dokumentasjonen av nødvendigheten av å lagre kommunikasjonsdata til etterforskingsøyemed eller for å avverge straffbare handlinger. I det materialet som er lagt frem hittil finnes ikke en slik dokumentasjon ut over generelle påstander og anekdoter.

I forslaget til dataavlesning ble det ikke engang forsøkt å dokumentere den konkrete betydningen, og Stortinget sa til og med nei til vårt forslag om å grundig dokumentere bruken, og ikke minst innføre dette som en solnedgangslov.

I forslaget til DGF er argumentasjonen for å innføre en form for nettpatruljering knyttet til cybertrusler ganske god, og den er forståelig, men adskillig dårligere når det gjelder terror og annen alvorlig kriminalitet. Det kan også stilles store spørsmål med om de tekniske løsningene som er valgt vil filtrere bort det som skal filtreres bort. Det er også all grunn til å reise tvil om DGF faktisk vil bli et nyttig instrument i en verden der f eks kryptering og dark web gir god mulighet for å skjule alle spor.

Vi går på de små skritts vei. Norge er et fritt, demokratisk land. Men vi trenger en personvernkommisjon på justissektoren. Den må vurdere hvor vi står i dag, hvilken vei vi skal gå videre når det gjelder overvåkning av befolkningen og hva slags vurderinger som må gjøres før slike tiltak iverksettes. Dessuten må en kommisjon undersøke om vi ser tendenser til en nedkjølingseffekt i samfunnet vårt. Begynner noen grupper av befolkningen å bli redde for hva de sier, og hvem de sier det til? Det er kanskje greit for oss som sitter i denne salen. Men vi hører til samfunnets mest taleføre og ressurssterke borgere. Hva med de som lever i randsonen i samfunnet? Raringene, særingene, de med en annen politisk oppfatning eller religiøs oppfatning. Hva med varslere, kilder og klientene til advokater, psykologer og leger?

Eller hva med Yassine, som var informant i en masteroppgave i kriminologi om nedkjølingseffekt som nettopp ble levert? Hun uttrykker det slik:

Jeg har tenkt over det sjæl, når jeg er på telefonen og prater om Islam, så tenker jeg «oi shit, det burde jeg kanskje ikke ha sagt … Tenk om noen hører det og tror jeg kanskje skal bombe noen» eller no ikke sant, det er helt sykt. Du blir jo paranoid.

Jeg er særlig bekymret for Yassine!

Dokumentene avslørte at etterretningsmyndighetene hadde tatt i bruk mer vidtrekkende og inngripende virkemidler enn de fleste hadde kunnet forestille seg, og at programmene var verdensomspennende. Glenn Greenwald, tidligere advokat, en av Snowdens betrodde medhjelpere og nå journalist i Washington Post, skriver:

«Det dokumentarkivet som Edward Snowden hadde samlet, var forbløffende både i størrelse og i rekkevidde. Selv om jeg hadde skrevet om farene ved USAs hemmelige overvåkning i årevis, opplevde jeg de rene og skjære dimensjonene til overvåkningssystemet som genuint rystende, ikke minst fordi det åpenbart var blitt innført så å si uten demokratisk kontroll, åpenhet eller begrensninger».

Fra «Overvåket – Edward Snowden, NSA og overvåkningsstaten», Cappelen Damm 2014

Avsløringene fikk også rettslige konsekvenser. En av de viktigste kom i fjor, med EU-domstolens avgjørelse i Safe Harbour-saken. Saken gjaldt Facebooks behandling av personopplysninger om tjenestens brukere i Europa. Alle Facebook-brukere som bor i Europa har nemlig på papiret inngått en brukeravtale med Facebook Irland. Til tross for dette, viste det seg at all informasjon generert av europeiske Facebook-brukere har blitt overført til Facebook Inc.s servere i USA. Overføring av personopplysninger til land utenfor EU og EØS er bare tillatt under gitte, strenge vilkår, fordi det rettsvernet som personopplysningene våre nyter godt av i Europa, forsvinner når dataene havner et annet sted.

Ikke bare kom EU-domstolen til at disse dataoverføringene var ulovlige, men den underkjente likegodt hele den rettslige beslutningen som i sin tid innførte Safe Harbour-prinsippene. Dermed forsvant det viktigste rettslige grunnlaget for overføring av personopplysninger til USA, og med ett ble en mengde dataoverføringer ulovlige over natten.

Det var personvernaktivisten Maximillian Schrems som initierte saken. Han ville ha en slutt på at Facebook Irland sendte hans personopplysninger til USA, hvor han mente at verken lovgivning eller eksisterende praksis ga noe tilfredsstillende vern om hans personlige informasjon. Schrems henviste i den forbindelse til Snowdens avsløringer om de amerikanske etterretningstjenesters aktiviteter, og det samme gjør generaladvokat Yves Bot i sin innstilling til domstolen.

EU-domstolens konklusjoner var med andre ord en direkte konsekvens av Snowdens avsløringer, og Schrems’ initiativer via europeiske rettslige kanaler. Avgjørelsen er svært viktig, fordi Safe Harbour-beslutningen hadde vært det mest brukte rettslige grunnlaget for overføring av personlige opplysninger fra Europa til USA i over femten år. Nå er både private virksomheter og offentlige myndigheter i villrede med tanke på hva som vil skje videre. En delegasjon av EU-byråkrater er for tiden i USA for å forhandle videre om Privacy Shield, som skal være Safe Harbour-beslutningens arvtager, etter at EUs ekspertorgan i personvernspørsmål, Artikkel 29-gruppen, tidligere i vår ga en klar anbefaling til EU-kommisjonen om at det avtaleutkastet som det hadde fått til vurdering, ikke holdt mål i lys av våre grunnleggende individuelle rettigheter.

Men dommen er også svært viktig fordi den slår fast at grunnleggende individuelle rettigheter i europeisk rettstradisjon står i veien for masseovervåkning av europeiske borgere. Artikkel 29-arbeidsgruppen har analysert denne rettsavgjørelsen, og andre europeiske rettsavgjørelser om individets fundamentale rettigheter, og utledet fire garantier:

• Garanti A: et hvert inngrep i personvernet må baseres på klare, presise og tilgjengelige lovregler
• Garanti B: det er nødvendig å påvise at databehandlingen er nødvendig og proporsjonal
• Garanti C: det må finnes en uavhengig kontrollmekanisme
• Garanti D: individet skal kunne prøve lovligheten av inngrepet i sine rettigheter rettslig

At opplysninger om oss skal vernes, regnes som en grunnleggende menneskerettighet i EU. Artikkel 29-gruppen fremhever at disse garantiene må være oppfylt for at inngrep i vårt personvern skal kunne betraktes  som legitime. Dette gjelder uansett hva formålet med inngrepet er. Før vi kan gjenvinne tilliten til at våre personopplysninger blir behandlet på en forsvarlig måte i USA, er det nødvendig at amerikanske myndigheter sørger for å ivareta disse garantiene, mener arbeidsgruppen.

Disse garantiene er imidlertid ikke bare myntet på myndighetene i andre stater. Dette er allmenne prinsipper, og alle europeiske myndigheter som vurderer å innføre overvåkningstiltak mot befolkningen, må vurdere tiltakene opp mot disse garantiene. Den 8. juni skal Stortinget behandle et lovforslag fra Regjeringen om å innføre nye, skjulte tvangsmidler til kriminalitetsbekjempelsesformål (Prop. 68 L). Her finner man blant annet et forslag om å innføre dataavlesing som virkemiddel for politiet og PST. Vi forventer at Stortinget tar alle disse fire garantiene med i betraktningen når det nå skal stemme over dette lovforslaget.

Rammene for intervjuet var at han ikke skulle intervjues om personlige forhold, for eksempel hvordan han hadde det i Moskva. Den dyktige journalisten Per Anders Johansen i Aftenposten stilte imidlertid flere spørsmål om dette, og Snowden svarte villig vekk. Blant annet sa han at han levde et ganske normalt liv. Han ville heller levd i USA, men dypest sett levde han livet sitt på internett – og det kunne han gjøre fra Moskva. Amerikanske myndigheter kunne heller ikke nekte ham å undervise på Princeton og Harvard. Men samtidig var livet vanskelig, han hadde forlat «paradiset Hawaii», forlatt kjæresten sin og det var vanskelig å treffe familien.

Mest interessant var imidlertid Snowdens politiske budskap. Det store skillet var, ifølge Snowden, at man ikke lenger trengte fysisk tilstedeværelse for å overvåke noe, og at det ikke var noen teknologiske begrensninger i hva som var mulig å iverksette av overvåkningstiltak i terrorbekjempelsens navn. Og som hans sa: Hva annet kan de bruke dataene til? Mellom linjene sagt; absolutt alt.

Snowden snakket også om metadata og understreket hvor ekstremt avslørende slike data er. Han mente det var viktig å utvikle ny teknologi og nye standarder for å sikre beskyttelse av personvernet. Han understreket også betydningen av kryptering er for å sikre trygg kommunikasjon.

 

For Edvard Snowden var dette det aller viktigste: Sannheten kom fram og det ble avslørt at myndighetene ikke hadde tillit til sin egen befolkning.

Et spørsmål mange lurte på var om Snowden angret på det han hadde gjort. Han svarte et klare nei på det, og det var åpenbart at han mente han hadde gjort en forskjell. Han trakk bl.a. fram at flere av de overvåkingsprogrammene han hadde avslørt var avsluttet. Han nevnte viktige vedtak i kongressen og senatet (uten å være spesifikk på hvilke) og viktige domstolsavgjørelser, blant annet EU-domstolens avgjørelse om at datalagringsdirektivet var ugyldig. Han mente også at hans avsløringer hadde bidratt til å vise at massiv overvåking av befolkningen faktisk ikke hadde noen effekt for å avdekke og forebygge terror og alvorlig kriminalitet. Som han sa: «De visste hvem terroristen var, men klarte ikke å stoppe ham».

Edvard Snowden mottar Bjørson-prisen

For Snowden handler personvern dypest sett om demokrati og ytringsfrihet. Han fryktet en utvikling der folk unnlot å gjøre ting dersom de følte seg overvåket. «Hvilken bok vil du ikke tørre å lese» spurte han retorisk.

Folks likegyldighet var hans siste tema. Mange sier de ikke er opptatt av personvern fordi de ikke har noe å skjule. Snowdens elegante resonnement er at det er som å si at man ikke er opptatt av ytringsfrihet fordi man ikke har noe å si. Han mente alle kunne gjøre en forskjell og at alle hadde en ansvar for å engasjere seg. Han snakket ned sin egen betydning og mente han var en vanlig fyr. Han innså imidlertid at han hadde gjort en viktig jobb. Og for Edvard Snowden var dette det aller viktigste: Sannheten kom fram og det ble avslørt at myndighetene ikke hadde tillit til sin egen befolkning.

Vi har over tid blitt vant til at de nettsidene vi besøker, slipper til internettaktører som sanker inn informasjon om vår nettaktivitet for å tjene penger på den. Internettet er under omfattende kontroll av disse internasjonale aktørene som har sluppet inn på nettsidene til avisene, butikkjedene, statlige etater og kommuner.

Disse aktørene ønsker også å vite hva vi holder på med der ute i lokalbutikken, på kjøpesenteret, på flyplassen eller andre steder. Et sentralt verktøy er å vite nøyaktig hvor du er til enhver tid. Lokalisering kan gjøres med mobilen via GPS, men ulempen med denne løsningen er at den virker best utendørs og ikke inne i butikker. Wifi benyttes for enda bedre å kunne lokalisere oss innendørs, men også dette er for unøyaktig. Nesten like unøyaktig er avlesing av din mobils Bluetooth-identitet. Problemet med disse løsningene ligger også i at avlesing av våre mobiler krever mye «dyrt» og aktivt utstyr, og at slik avlesing krever forhåndstillatelse fra den enkelte av oss.

Det er her man nå har funnet en ny løsning ved å plassere ut små sendere tett i tett hvor folk beveger seg. Disse senderne kalles beacons eller nettvarder. De er billige og fungerer med å sende ut sin egen identitet. De store mobil- og operativsystemleverandørene har lagt til rette for at våre mobiler leser av signaler fra slike beacons.

Du laster nå ned apper som leser av beacons som er plassert ut i butikken. Nøyaktig kunnskap om hvor du er og hvilke varer du ser på kan gi grunnlag for å gi deg kjøpsanbefalinger og nyttig informasjon. Andre ser for seg at man kan bli geleidet rundt på togstasjoner, flyplasser og kjøpesentre etter å ha lastet ned togstasjon-app, flyplass-app eller kjøpesenter-app. Dermed snakker vi om en meget tett utplassering av slike beacons, og tettere utplassering vil gi mer nøyaktig posisjon.

Slike isolerte løsninger, hvor togstasjon-appen bare leser av togstasjonens beacons og ingen andres, var slik man så for seg bruk av beacons i utgangspunktet. Dessverre ser vi nå at det ryddige utgangspunktet for bruk av beacons er i ferd med å forsvinne allerede før teknologien er tatt i bruk. Vi ser at beaconaktørene legger til rette for en bredere bruk enn bare for én butikk eller én togstasjon.

Det er allerede etablert beacons-registre for allmenn bruk, som gir informasjon om de enkelte beacons.

Vi ser at app-leverandører ikke begrenser seg til å lese av kun egne beacons, men også andres. Apper du allerede benytter på mobilen endres til å ta i bruk beacons.

Mobilleverandører og leverandører av mobilens operativsystem etablerer beaconavlesing og innrapportering av beacons med lokasjon som standard løsning.

Vi ser dermed allerede nå at vi er kommet i en situasjon, med beacons, som er den samme som vi opplevde med ordinært internett. Med dette vil det fremover være umulig å bevege seg med sin mobil utenfor hjemmet, uten at man selv rapporterer lokasjon og sine interesser til ulike aktører. Din aktivitet og dine interesser vil, uten at du aner det, bli underlagt budgivning og kjøpslåing mellom store aktører som vil by på hvilken mulighet du har for å bruke penger og foreta et kjøp av akkurat deres produkt.

Vi ser at beaconløsningen kan bli pushet frem av gode allmennyttige formål. Dessverre er det ikke ofte betalingsvilje for slike formål. Det er først når reklamen og de store betalingsvillige aktørene kommer inn og får tilgang til personopplysningene dine, at det blir fart på sakene. Vi har lenge hørt at uten reklame og «cookies» på internett ville internett være dyrt eller dødt. Vi vil nok høre dette om beacons også, at denne teknologien vil være nødvendig for å overleve i konkurransen med internetthandelen. Dette er en side av saken og er påstander som blir holdt frem av sterke interessenter innen reklameindustri og av store internettaktører. Det blir alltid litt puslete å vaie personvernflagget overfor disse aktørene.

Vil det da være mulig å innføre den nye teknologien med beacons uten personvernulemper? Det finnes allerede mulighet til å beskytte de enkelte beacons slik at de bare kan avleses og brukes av den aktøren som har plassert dem ut og isolert sett bare kan leses av denne aktørens mobilapp. Det er viktig at det tenkes innebygd personvern og at brukeren selv har kontroll. Dessverre koster slike sikre løsninger mer enn løsninger uten sikkerhet.

Betalingsmiddelet som er i spill er våre personopplysninger. Å gi fra seg personopplysninger er åpenbart ikke like synlig som å gi fra seg kontanter. Vi vil nok se at store reklameaktører får benytte offentlige steder som gater, torg og undergrunnsstasjoner til moderne markedsføring. Det offentlige rom har fra før ikke vært blottet for reklame. Det spesielle nå er dessverre at bruk av beacons vil bringe oss til et helt nytt og langt mer utfordrende nivå.

Det er gått halvannet år siden Edward Snowden avslørte at NSA drev massiv overvåkning av vanlige borgere. Dette ga personverndebatten en ny omdreining og gjorde folk flest mer opptatt av personvern. Grunnen var trolig at avsløringene avdekket muligheten for overvåkning av de verktøyene vi bruker til daglig, som epost, telefon og vanlig surfing på internett, og at nærmest alle typer overvåkning er mulig dersom man har vilje og ressurser.

Jeg vil peke på tre hovedutfordringer for personvernet i året vi har foran oss:

– Forslag til nye overvåkningstiltak

– Ny personvernforordning fra EU

– Kommersiell bruk av personopplysninger

Regjeringen har varslet en ny «pakke» med terrorbekjempende tiltak. Det vil sannsynligvis bli fremmet forslag om at PST skal få drive såkalt dataavlesning, for eksempel ved å overvåke folks tastaturer. Det er allerede foreslått at politiet skal få adgang til å bruke catchere, av samme typen som Aftenposten nylig avslørte at er utplassert i Oslo sentrum.

Trolig kommer det også forslag om at politiet skal få større tilgang til offentlige registre. I august ba PST-sjefen om hjemmel til å bruke stordata for å drive analyse på folks nettbruk, ved å «samle inn større mengde informasjon over tid». Hun innrømmet at innhentingen av store mengder data vil «inneholde opplysninger om personer, som i utgangspunktet ikke oppfyller de krav til formålsbestemthet, nødvendighet og relevans for behandling av opplysninger som i dag gjelder for sikkerhetstjenesten».

Dette er et ytterliggående og farlig forslag. Heldigvis sa samtlige politiske partier nei til forslaget samme dag det ble fremsatt.

Det er all grunn til å være svært skeptisk til slike forslag. Siden terroraksjonen 11. september 2001 er det vedtatt en rekke lover som skritt for skritt har gitt politiet adgang til mer overvåkning og kontroll av befolkningen.

Det er en sentral oppgave for politikerne å tørre å stå imot og i ethvert tilfelle foreta grundige avveininger av personverninteressene opp mot andre interesser.

Politiet skal selvsagt ha gode virkemidler for å bekjempe alvorlig kriminalitet, men borgernes frihet må ikke ofres på veien. Flere av de forslagene som nå trolig kommer vil bidra til nettopp det.

Det er en sentral oppgave for politikerne å tørre å stå imot og i ethvert tilfelle foreta grundige avveininger av personverninteressene opp mot andre interesser. Det er derfor å håpe at regjeringen i året som kommer viser at de er opptatt av personvern i praktisk politikk, ikke bare på papiret.

Personvern berøres selvsagt langt ut over kriminalitetsbekjempelse. Neste år vil EU etter alt å dømme vedta en ny personvernforordning. Borgernes rettigheter styrkes, blant annet retten til å bli glemt. Alle som lagrer og bruker data vil bli pålagt større forpliktelser til å ha en skikkelig internkontroll og gode interne rutiner for behandling av data. Datatilsynet vil bli gitt mandat til å gi bøter i millionklassen.

Norske virksomheter og offentlige etater har en stor jobb foran seg. Vår tilsynsvirksomhet avdekker jevnlig store mangler i de interne rutinene for behandling av personopplysninger. Mange vet ikke hvilke opplysninger de har lagret internt, de mangler rutiner for innsyn og for sletting.

Personvern vil flyttes fra datarommene inn i styrerommene, til etatslederne og inn på ordførerens kontor.

For å etterleve det nye regelverket må det en helt annen systematikk inn i personvernarbeidet, og det må forankres på et mye høyere nivå enn i dag. Personvern vil flyttes fra datarommene inn i styrerommene, til etatslederne og inn på ordførerens kontor.

At personopplysningene våre brukes til å skreddersy reklame er ikke noe nytt, men 2015 vil bli året da dette virkelig tar av. I dag selges personprofiler på børser nærmest som om det skulle være råolje. Man kan selge eller kjøpe profilen til ti tusen tredveåringer med bilinteresse som også spiser sushi og jobber i offentlig sektor.

Schibsted, og nå senest flyselskapet SAS, har som mål å utnytte kundenes personopplysninger i mye større grad enn i dag til blant annet målrettet reklame. Dette utfordrer personvernet på flere områder og vil bli en av Datatilsynets hovedsatsinger neste år.

Særlig utfordrende er det at «noen» vil vite svært mye om oss. Ikke bare hva vi liker å gjøre, men gjennom vår nettadferd (som surfing og søk) avslører vi hva vi er engstelig for, hvilke politiske preferanser vi har, og vår seksuelle legning.

Ofte blir anonymisering pekt på som en løsning, men sammenstilling av i og for seg uskyldige og anonyme data kan entydig identifisere en person.

Det finnes for eksempel bare en person i verden som er 50 år, bor i Oslo, eier en gammel Fiat og har en Maine Coon katt. Og har man knekket den koden, er det enkelt å vite hva Bjørn Erik Thon er redd for, hvem han omgås og hvilket politisk parti han sympatiserer med.

Den typen generelle råd til foresatte som barnepsykolog Mørch kommer med er i beste fall svært uheldig, og noe aktørene i Du Bestemmer-prosjektet tar sterkt avstand fra. Å følge med på ungdommenes åpne profiler er ikke problemet her, det er når de foresatte gjør som Brekke at det blir svært problematisk – å sjekke ungdommenes lukkede Facebook-profil i skjul. Slike fremgangsmåter vil fort føre til at ungdommene finner andre arenaer å kommunisere på, samtidig som tilliten til foreldrene blir ødelagt. Spesielle tilfeller vil selvsagt kunne forsvare et slikt inngrep, men det må i så fall være helt klart at det er unntaket og ikke hovedregelen.

Rett til privatliv
FNs barnekonvensjon sier at barn og unge har rett til respekt for sitt privatliv og familieliv, sitt hjem og sin korrespondanse. Det betyr at barn og unges meninger om eget personvern er viktige. Hvis ungdommene for eksempel ikke ønsker at deres foresatte skal være “venn” med dem eller se deres kommunikasjon med andre på sosiale nettsteder, bør de foresatte respektere det.

Behovet for å ha et rom for seg selv som andre respekterer og ikke bryter seg inn i, varierer fra person til person. Noen synes det er greit å dele mye, mens andre er mer tilbakeholdne. Vi har likevel alle noe vi ikke ønsker å dele med alle andre. Det kan være følelser, tanker eller meninger om helse, seksualitet, religion eller politikk, eller rett og slett bare at man vil ha privatliv.

Det handler om frihet.

Hvor bør grensene gå?
Alle skal kunne føle seg trygge på at ingen får vite alt om dem, eller ser absolutt alt de foretar seg. Foresatte har selvsagt rett til å vite ganske mye om sine barn, men det er dermed ikke greit at de tar i bruk alle midler og sniker seg til å overvåke den lukkede Facebook-kommumikasjonen til ungene sine bare for å “følge med”. Slik snoking er som å lese dagboken til ungene, og vil oppleves som svært krenkende.

Dersom foreldrene vil følge med på hva ungene foretar seg eller hvem de kommuniserer med, må det som utgangspunkt baseres på åpenhet og dialog. Alle, også ungdommer, bør i så stor grad som mulig selv kunne bestemme hvilke opplysninger om seg selv de vil dele, og med hvem. Hvilket forbilde er foreldrene når de lurer seg til å lese hva ungdommene har skrevet til hverandre i private og lukkede Facebook-chatter etter at de har glemt å logge seg ut? Hvilket tillitsforhold er dette med på å skape? Ved å gå inn i ungdommenes Facebook-profil vil de voksne også kunne få innblikk i strengt private samtaler mellom nære venner, samtaler som ikke handler om noe ulovlig, men om ungdommenes innerste tanker og holdninger.

Det er klart at foresatte må følge med på hva ungdommene holder på med, det er jo deres ansvar, men det må ikke baseres på skjult overvåking.

Spionering på andres barn
Dette handler dessuten også om tredjepersoner. Ved å være inne på kontoen til egne barn (med eller uten deres samtykke) vil man som Brekke beskriver, få mye informasjon om andre ungdommer også. – Informasjon som ikke var ment for den voksne, samtaler som ikke ville være skrevet slik dersom ungdommene visste at voksne spionerte på dem. Slike bruddstykker av ungdommenes kommunikasjon kan også ofte fremstå som noe annet enn det er tenkt som, og en fjær kan fort bli til minst fem høns.

Brekke har ikke bare gått inn og snoket på sine egne barns Facebook-profil og deres lukkede kommunikasjon når de har glemt å logge seg av (uten egentlig å se ut til å mistenke at hans egne barn har gjort noe galt). Han skriver også at han har lagret masse av dette, og velger å skrive en kronikk om dette der barna sine venners utsvevende liv henges ut. Er det greit? Vi mener helt klart at målet ikke alltid helliger middelet, og at det her blir tråkket over opptil flere grenser. Det å mistenke utsvevende oppførsel blant ungdommene, og så svare med å gjøre noe så krenkende, er ikke god grobunn for kommunikasjon med egne (eller andres) barn.

Personvern er en grunnleggende beskyttelse av ditt privatliv
Visst er vi enige i at foreldre må engasjere seg i sine barns liv, og at de må vise interesse for hva som skjer på nett, som utenfor. Visst er vi enige i at foresatte må bry seg og snakke sammen, utveksle erfaringer og informasjon. Men, til syvende og sist handler det om å skape og vedlikeholde gode og trygge relasjoner, basert på tillit og gjensidig respekt. Utgangspunktet må være dialog og kommunikasjon, ikke overvåking og kontroll.

Kommentaren er skrevet i samarbeid med Karoline Tømte i Senter for IKT i utdanningen, prosjektleder for undervisningsopplegget Du Bestemmer. Du bestemmer er et samarbeidsprosjekt mellom Senter for IKT i utdanningen, Teknologirådet og Datatilsynet.