Hvem har tilgang til opplysningene mine? Hvem «eier» testresultatene? Hvordan sletter jeg dataene mine? Lagres opplysninger om meg i nettskyen? Dette er noen av spørsmålene vi stilte, og som vi i skuffende liten grad fant svar på da vi testet seks ulike hjemmetestprodukter koblet opp mot mobiltelefonen. Vi tok utgangspunkt i en vanlig norsk forbruker da vi bestilte utstyret, og lette etter relevant informasjon hva som skjer med målingene og andre opplysninger om oss.

For dårlig informasjon til brukeren

Vi testet utstyr som kan deles i tre kategorier: Blodtrykk, blodsukker (typisk brukt av diabetikere) og såkalte oksymeter/pulsoksymeter, det vil si måling av oksygenmetning i blodet og puls (aktuelt for kolspasienter). Denne typen hjelpemidler kan gjøre livene våre lettere og potensielt være til stor hjelp for pasienter med kroniske sykdommer.

Vi så kun på seks produkter i vår kartlegging, og kan derfor ikke generalisere at resultatene gjelder alle hjemmetestprodukter. Vår lille sjekk gir imidlertid et godt innblikk i problematikken for den personvernbevisste forbruker ved bruk av denne type utstyr.

Fem av seks produkter får stryk fordi de ikke på en tilfredsstillende måte forklarer hvordan personopplysningene blir samlet inn, brukt og delt. Ingen av produktene forklarer brukeren hvordan kan slette egne opplysninger. Ingen av de seks vi testet gir tilfredsstillende informasjon om hvordan opplysningene sikres og lagres.

Testresultatene for de ulike produktene

En klar beskjed til bransjen – og en oppfordring til deg som forbruker

Vi er fra Datatilsynet sin side både overrasket og skuffet over hva vi fant og da særlig med tanke på at dette er utsyr som samler inn data som gir indikasjoner på din helsetilstand. Nå er ikke leverandørene i vår test norske, men jeg vil likevel å gå ut med en klar oppfordring til produkt- og app-utviklere om å bygge inn godt personvern i produktet:

• ikke samle inn mer informasjon enn nødvendig,
• gjør det enkelt for brukeren å slette egne data, og
• sørg for god datasikkerhet slik at potensielt sensitive opplysninger ikke kommer på avveier.

Dette er tre viktige personvernfremmende tiltak. Les mer om innebygd personvern på våre nettsider.

I tillegg oppfordrer jeg sterkt alle virksomheter til å lage en personvernerklæring. Retten til å vite hvordan opplysninger om meg blir brukt er grunnsteinen i personvernet. Det å samle all relevant informasjon om hvordan personvernet er ivaretatt på ett sted, i form en personvernerklæring, er et veldig egnet og praktisk virkemiddel for å informere brukeren. Vi har laget en egen veileder om hvordan du kan lage en god personvernerklæring.

Forbrukere som kjøper slikt utstyr og som ønsker å ha en viss kontroll på egne personopplysninger har en utfordring. Det er vanskelig å finne relevant og dekkende informasjon om håndteringen av personopplysninger. Vi oppfordrer derfor deg som forbruker å velge produkter som har en personvernerklæring, eller som på andre måter har godt tilgjengelig informasjon om hvordan ditt personvern vil bli respektert. Du bør se etter en beskrivelse av hvordan opplysningene dine blir samlet, behandlet, delt og lagret. Sjekk også om du gis mulighet til å slette data og om det står noe om hvordan dine personopplysninger blir sikret.

Helsehjelp fra tingenes internett – en aktuell debatt

Utviklingen av selvtester koblet mot mobiltelefon går raskt, og tilbudet av måleinstrumenter og tester til hjemmebruk øker stadig. Se Teknologirådets oversikt over tilgjengelig selvtestutstyr her.

Mennesker med kroniske sykdommer som for eksempel diabetes eller epilepsi kan finne stor hjelp i denne typen hjemmetestutstyr som vi har sett på. I fremtiden kan vi se for oss at målinger fra selvtestutstyr kan sendes løpende til legen slik at denne kan vurdere om medisinbruk og behandling skal justeres.

E-helsedirektoratet har akkurat gjennomført en høring der de foreslår en selvdeklareringsordning for mobile helseapplikasjoner. Siden det per i dag ikke finnes noen godkjenningsordning eller kvalitetsgaranti virker dette å være en god ide. Men hvis denne typen utstyr skal brukes opp mot helsevesenet i stor skala bør produktene kvalitetssikres i større grad. En slik kvalitetssikring bør da selvsagt også inkludere en vurdering av hvordan personopplysningene ivaretas. Da er det blant annet viktig å vite at dataene lagres og overføres på en sikker måte, og at rettighetene til bruk av dataene er avklart i forkant. Du kan lese Datatilsynets høringsinnspill her.

Vårt sveip er del av et internasjonalt prosjekt

Den lille utsjekken vi har gjort av seks produkter er Datatilsynets bidrag til årets såkalte GPEN-sveip. GPEN (Global Privacy Enforcement Network) er et nettverk av personvernmyndigheter verden over. Det er fjerde året Datatilsynet deltar i GPEN-sveipet. Årets tema er tingenes internett, gjerne forkortet til IoT (Internet of Things). Vi valgte å konsentrere oss om testutstyr for helse. Noen personvernmyndigheter valgte det samme som oss, mens andre valgte for eksempel smart-TVer, smarte biler og leketøy. Totalt 25 personvernmyndigheter verden rundt deltok og så på til sammen 314 objekter.

Les mer om sveipet og last ned rapporten her.

I en pressemelding kommer det frem at det franske datatilsynet  at Google skal følge fransk personvernlovgivning og dette innen tre måneder.

I oktober 2012 sendte de europeiske personvernmyndighetene et brev til direktør Page i Google med et krav om at selskapet skulle implementere en rekke krav for å tilfredsstille det europeiske personverndirektivet 95/46/EC.

Enkelt og overordnet forklart var det tre krav som ble fremsatt:

1. At Google skulle gi tilstrekkelig informasjon til sine brukere om hva som er formålet med behandlingen av personopplysninger og hvilke typer data som behandles.
2. At Google skulle klargjøre hva som var formålet og virkemidler  i forbindelse med kobling av data mellom selskapets tjenester.
3. At Google skulle gi informasjon om hvor lenge de lagret personopplysninger for de ulike tjenestene.

Google fikk fire måneder på å oppfylle kravene, noe de ikke har gjort.

En egen arbeidsgruppe, ledet av det franske datatilsynet, ble satt ned for å se på hvordan man skal kunne tvinge Google til å foreta seg nødvendige endringer. Gruppen besto også av personvernmyndighetene i Tyskland, Italia, Nederland, Spania og Storbritannia.

Gruppen har fastslått at Google bryter fransk og andre respektive lands lovgivning, og at Google innen tre måneder må gjennomføre tiltak slik at selskapet faktisk etterlever personvernlovgivningen.

Det franske datatilsynet truer med sanksjoner dersom ikke Google følger advarselen. Resten av landene i gruppen iverksetter også tiltak overfor Google.

Vi i det norske Datatilsynet følger spent med på hvordan Google nå vil forhold seg til disse kravene. Vi har gode erfaringer med å samarbeide med de europeiske datatilsynsmyndighetene. Samarbeidet gjør at vi står sterkere sammen for å fremme personvernet.

Her kan du lese mer om saken:

• Pressemeldingen fra det franske Datatilsynet.
• CNIL orders Google to comply with the French Data Protection Act, within three months
  20 June 2013
• Google privacy policy: six European data protection authorities to launch coordinated and simultaneous enforcement actions
  02 April 2013
• Google’s privacy policy : G29 ready for coordinated enforcement actions
  28 February 2013
• Google’s new privacy policy : incomplete information and uncontrolled combination of data across services
  16 October 2012
• This letter is individually signed by 27 European Data protection authorities for the first time and it is a significant step forward in the mobilization of European authorities.
  16 October 2012
• CNIL sends an additionnal questionnaire on Google’s new privacy policy due to insufficient answers
  23 May 2012
• GOOGLE’s new privacy policy: CNIL sends a detailed questionnaire to Google
  19 March 2012
• Google’s new privacy policy raises deep concerns about data protection and the respect of the European law
  28 February 2012

I dag sitter ni ansatte i Datatilsynet limt foran skjermene i et improvisert hovedkvarter i lokalene våre. Vi er i gang med å sveipe nettsidene til 200 virksomheter. Vi skal finne ut om de informerer om hvordan de behandler personopplysninger.

Folk har rett til å vite hvordan deres personopplysninger samles inn og brukes, og virksomheter skal informere om dette. Ved å gjøre det på sine nettsider, gjør de det lettere for folk å ha oversikt over hvordan opplysningene deres håndteres. Vi har sett en trend de siste årene til at folk er mer opptatt av personvern og personverninnstillinger, spesielt i forbindelse med bruk av Facebook. Vi tror at folk forventer godt personvern i tjenestene de bruker, og at det bør være i virksomhetens interesse å informere om hva de gjør.

Nettsidene som sveipes er et utvalg av de mest brukte nettsidene i Norge, og de største norske virksomhetene i privat sektor. Vi ser etter om de har en personvernerklæring og hvor tilgjengelig den er. Vi sjekker også om den innholder det som bør være med i en slik erklæring. Den bør blant annet gi oversikt over hvilke personopplysninger som samles inn, og om virksomheten deler personopplysninger med andre.  

Datatilsynet er med i et internasjonalt prosjekt kalt ”Internet Sweep Day” der 14 land deltar for å kartlegge bruken av personvernerklæringer. Prosjektet gjennomføres i regi av Global Privacy Enforcement Network og resultatene fra sveipet offentliggjøres i september.

Vi oppfordrer alle virksomheter til å sjekke tilstanden til personvernerklæring på egne nettsider. Samtidig minner vi nettbrukerne om at de kan etterspørre informasjon fra en virksomhet – både når det gjelder hvordan virksomheten behandler personopplysninger generelt, og at de kan be om innsyn i egne opplysninger.

Direktorat for forvaltning og IKT (Difi) arrangerer nå en konkurranse om å lage apper basert på åpne offentlige data (apps4norge). Vi ble invitert til et utviklermøte for å fortelle hvorfor og hvordan utviklere kan lage apper med godt personvern. Reaksjonen fra deltakerne var at de var overrasket over hvor lite som skulle til.

Godt personvern i apper er verken dyrt eller vanskelig så lenge du følger grunnleggende personvernprinsipper:

Fortell hva du gjør
Lag en forståelig personvernerklæring som:

• er enkelt tilgjengelig i appen
• forteller hvem som er ansvarlig for appen
• forteller hvilke opplysninger som samles inn og hva de brukes til
• forteller hvorvidt opplysningene deles med andre (for eksempel analyseselskap og markedsførere)

Trenger du alt?
Noen viktige huskeregler:

• Krev bare tilgang til de opplysningene som faktisk er nødvendige.
• Slett data når du har oppnådd formålet med innsamlingen.
• Anonymiser innsamlede data hvis de skal benyttes til analyse – da unngår du å håndtere personopplysninger, og får samtidig de dataene du trenger.