F-SECURE INTEGRITETSRAPPORT. svenska internetanvändares kunskaper om övervakning och integritet

F-SECURE INTEGRITETSRAPPORT svenska internetanvändares kunskaper om övervakning och integritet

integriteten är under attack En undersökning av internetanvändares och konsumenters kunskap om övervakning och integritet. 1 Sammanfattning F-Secure presenterar i denna rapport en undersökning som visar att många människor både tror och oroas över hur deras surfbeteende kartläggs. Även om diskussionen tidigare främst har handlat om statlig övervakning och mer än en tredjedel oroas av denna, så oroar den kommersiella övervakningen i långt större utsträckning. I undersökningen uppger var fjärde svarande att man gjort något på internet som skulle göra att man känner obehag eller olust om det blev känt för andra. Bland ungdomar svarade varannan så. Nästan tre av fyra tror att Facebook, Google, Twitter och Instagram har möjlighet att kartlägga surfbeteendet också på andra sajter än deras egna. Totalt oroas sex av tio i större eller mindre utsträckning av detta. Misstron mot annonsörer är än större. Tre av fyra oroas av kommersiell kartläggning. Lika många tror att det faktiskt sker. Trots känslan av att surfvanor kartläggs, så uppvisar många ett osäkert beteende på nätet. Mindre än hälften loggar alltid eller ofta ut från sociala nätverk eller gmail sedan man använt tjänsten. Bara drygt var 20:e person använder fria eller kommersiella tjänster på alla enheter för att blockera övervakningsförsök. Två tredjedelar använder ingen sådan tjänst, varav flertalet inte visste att sådana tjänster fanns. Människors oro blir som allra störst då annonsnätverk har möjlighet att koppla ihop vardagliga aktiviteter utanför nätet med nätaktiviteter, t.ex. genom kundkort. Nästan varannan svarande känner stor oro om butiker, biografer, restauranger etc där man har kundkort delar med sig om personinformation och köpbeteende till andra aktörer. Totalt känner mer än åtta av tio oro för detta. Lika många anser att den information som butiker och andra lämnar om hur de använder personuppgifter är otillräcklig. I den kartläggning rapporten gör av möjligheten att spåra användarbeteende på nätet, både i teorin och vad som faktiskt görs, står det också klart att det finns fog för den oro många känner. Övervakningsmöjligheterna på nätet är nästan obegränsade och för många tekniker är det svårt att skydda sig, även om man försöker göra medvetna val. För att öka den personliga integriteten vill vi se ökad medvetenhet hos användarna, större ansvarstagande från marknadens aktörer och bättre lagstiftning om hur användarspårning får ske och användas och vilken information som måste lämnas. 2014 F-Secure Corporation All rights reserved 2

Innehållsförteckning 1 Sammanfattning 2 2 Värdet av integritet 4 3 Privatiseringen av övervakningssamhället 4 3.1 Används verkligen övervakningsteknikerna? 5 3.2 Annonsnätverken kartlägger surfbeteende 5 3.3 Kartläggning via sociala medier och sökmotorer 6 3.4 Mobilkartläggning 8 3.5 Enhetsoberoende annonsering 8 3.6 Initiativ för att begränsa övervakningen respekteras inte 9 3.7 Är Evercookies industrins motdrag när cookien dör? 9 3.8 Fallet Verizon: Operatörsbaserad övervakning 10 3.9 Bortom cookies du lämnar fingeravtryck överallt 11 3.10 Sakernas Internet integritetens död? 12 4 Övervakningen har gått för långt i Sverige 13 4.1 Många har något att dölja. Och mest gäller det ungdomar. 13 4.2 Övervakning från sociala nätverk 14 4.2.1 Insikten ger upphov till oro 15 4.2.2 Men oron återspeglas inte i ett säkrare beteende på sociala nätverk 16 4.3 Övervakning från annonsörer 17 4.3.1 Större oro för annonsörer än för sociala nätverk 17 4.3.1.1 Få försöker aktivt förhindra övervakning 19 4.3.2 Störst är oron när online och offline sammanfaller. 20 4.4 Många kopplar upp sig utan att tänka på säkerheten 22 4.5 Statlig övervakning oroar var tredje 22 4.5.1 Men beteendeförändringen har varit större än oron indikerar 23 4.6 Analys 24 5 Hur kan skyddet för den personliga integriteten stärkas? 25 5.1 På individnivå behöver vi en säkerhetskultur 26 5.2 Marknadens aktörer måste ta större ansvar 27 5.3 Staten måste ta regleringsuppdraget på allvar 27 6 Konkreta tips för säkrare surfning 28 2014 F-Secure Corporation All rights reserved 3

2 Värdet av integritet Integritet handlar om att själv få välja hur stor den privata sfären ska vara. Lika väl som dem som förordar mer övervakning, både statlig och privat, säger att den som inte har något att dölja, har inget att vara rädd för, kan man säga att om jag inte har gjort något fel, varför ska du då övervaka mig? Kardinal Richelieu sägs en gång ha yttrat Om någon gav mig sex rader skrivna av den mest hedervärda man, så skulle jag finna något i dem som kunde få honom hängd. Det sammanfattar väl problemet med övervakning. Data kan missbrukas som helhet eller som utbrutna delar. Missförstånd eller avsiktliga feltolkningar kan få de flesta människor att framstå som suspekta i olika sammanhang. Fullt mänskliga aktiviteter, som att gå på toaletten eller ha sex, orsakar skamkänslor om de görs offentliga. Inte för att det är fel, utan därför att de är privata. Integritet är en grundläggande mänsklig rättighet, erkänt i FN:s deklaration om mänskliga rättigheter, FN:s konvention om medborgerliga och politiska rättigheter, Europeiska konventionen om mänskliga rättigheter och ett otal ytterligare internationella överenskommelser. Det är något som Sverige, liksom varje annat civiliserat land, förbundit sig att respektera. Bevisbördan ligger inte hos den som värnar integriteten, utan hos den, som till varje pris, söker efter ursäkter för att underminera den. Det alltför vanliga argumentet om att vi måste offra vår integritet för ökad trygghet, mot terrorism, mot fientliga makter, mot miljöförstöring, mot organiserad brottslighet eller något annat skäl, är inget annat än ett svepskäl. Integritetsskyddet handlar inte om brottslingars rätt att slippa övervakning; det finns många förbehåll i de nämnda dokumenten som ger stater rätt till långtgående ingripanden ifråga om personlig och fysisk integritet för att stävja brott. Det handlar om vanliga medborgares rätt att slippa oproportionerligt stora intrång i den personliga sfären. Integritet handlar om medborgarens rätt gentemot makten. Ger vi upp den rätten, ger vi också upp idén om att staten är till för medborgarnas skull, snarare än tvärtom. Det är ett ansvar som vilar på oss var och en, på våra folkvalda, på företagen och på oss medborgare. 3 Privatiseringen av övervakningssamhället Debatten om övervakningssamhället har främst handlat om staters övervakning av sina egna och andras medborgare. Edward Snowdens avslöjanden om NSA:s ambitioner att övervaka hela Internet har gett en skrämmande inblick i vad som är tekniskt möjligt och faktiskt görs, till synes ofta därför att möjligheten finns, utan att myndigheter alltid vet vad de ska använda all data till. Det är en nödvändig och viktig debatt. Frihet från övervakning och kränkningar av den personliga integriteten är en grundval i ett fritt och öppet samhälle. Samtidigt är en viss övervakning för att upprätthålla lagar och efterforska brott nödvändig. Den statliga övervakningen är inte heller det största hotet mot den personliga integriteten. I ärlighetens namn är de flesta personer förhållandevis ointressanta för statliga övervakningstjänster, även om det finns problem förknippade med övervakning som sådan. 2014 F-Secure Corporation All rights reserved 4

Däremot är personuppgifter hårdvaluta för företag som tävlar om vår uppmärksamhet och våra pengar på nätet genom annonsering och riktade erbjudanden. I många avseenden är det en övervakning, som i sin tillämpning, går långt bortom vad de flesta av oss skulle acceptera i statlig regi. Motivet för kartläggningen av användare brukar vara att användare vill ha tillgång till tjänster till låg eller ingen kostnad och att man byter sina personuppgifter mot tillgång till tjänster man vill ha. I princip är det ett riktigt argument. Problemet är att ytterst få användare är medvetna om vidden av denna kartläggning och vad annonsörer och sociala nätverk faktiskt vet om sina användare. Aningslöshet hos användare, bristande förståelse hos beslutsfattare och starka ekonomiska incitament för marknadens aktörer har lett till en privatisering av övervakningssamhället. 3.1 Används verkligen övervakningsteknikerna? När man beskriver den teknik som möjliggör övervakning av användare är ett vanligt motargument att tekniken inte används för att kartlägga individer eller att individer är ointressanta för annonsörer. Även om man skulle godta dessa förklaringar, så är naturligtvis bara möjligheten i sig oroväckande, då annonsörer som inte följer etiska riktlinjer eller organisationer som vill samla in data i andra syften än marknadsföring mycket väl kan använda teknikerna för att identifiera användare och koppla samman dem med en fysisk person. Det är lätt att inse lockelsen i att göra så, inte minst därför att den möjliggör ett personligt bemötande på en helt annan nivå. Det är inte otänkbart att bilförsäljaren i framtiden, så snart han/hon får information om dig som går att identifiera (som ditt körkort då du provkör en bil) kan få fram uppgifter om vilka andra bilmärken du har sökt på nätet, vilka övriga intressen du har och på så sätt kan effektivisera sitt säljande. Ett exempel på drivkraften finns i tidskriften Adweeks novembernummer 2014: Programmatic (automatiserade annonser, vår anmärkning) has expanded from mostly real-time exchanges to a private marketplace model. Advances in data are enabling cross-device advertising, giving marketers the ability to target an individual on his or her smartphone, tablet or desktop. Tydligare kan det inte sägas och om man förenar detta med insikten att de sofistikerade spårningstekniker som vi beskriver nedan utvecklats av ett skäl, så är det uppenbart att spårning av användare på individnivå sannolikt sker i väsentligt större utveckling än marknadens aktörer vill medge. 3.2 Annonsnätverken kartlägger surfbeteende För annonsörer är kunskap om vem som ser annonsen och hur de reagerar på den oerhört värdefull. Ju bättre kunskap de har om målgruppen, desto bättre kan de rikta annonserna och i sin tur ta mer betalt av annonsörerna. Nyckeln till denna ökade kunskap är användningen av s.k. tredjepartscookies. 2014 F-Secure Corporation All rights reserved 5

Enligt lag måste en sajt informera om att den använder cookies. Ofta görs detta via en banner då man kommer in på sidan, något som de flesta klickar bort utan att tänka vidare på det. Men i den policy som finns för cookies anges ofta också att man genom att använda sajten godkänner inte bara deras egna cookies, utan också dem från tredje part, i praktiken annonsnätverk eller sociala medier. För att skydda användares integritet kan cookies, i princip, bara läsas av den sajt som lämnat den på användarens dator. Men i och med att annonsnätverkets cookie faktiskt sätts av annonsnätverket själv, så kommer nätverket att kunna komma åt denna cookie på alla sajter där annonsen finns 1. När en sida hämtar en annons från ett annonsnätverk, så lämnar den också ifrån sig information om vilken sida som annonsen visas på. Annonsnätverket kan med den informationen bygga ett mönster av hur användaren (eller snarare den specifika datorn) surfar på många olika sajter. I princip är denna information anonym, vilket ofta framhålls då övervakningen från dessa nätverk försvaras. Men det räcker i princip med att man vid något enstaka tillfälle exponerar en mailadress eller ett telefonnummer, t.ex. genom att fylla i ett formulär, för att all denna data också ska gå att koppla till en fysisk person och öppna för nya möjligheter att samköra nätverkets data med t.ex. fastighets- och fordonsregister, inkomstuppgifter från Skatteverket eller betalningsanmärkningar från UC. Anrop: visa annons innehåller http referrer som talar om vilken sida som visas Annonsnätverk Mediesajt 1 Mediesajt 2 Cookie Vid besöket på Mediesajt 1 visas en annons från ett annonsnätverk. Denna visas genom ett anrop från Mediesajt 1 (osynligt för användaren). Detta visar också vilken sida som visas (via http_referrer). Annonsnätverket skickar tillbaka annonsen och sätter samtidigt en cookie på användarens dator. När användaren sedan går i på Mediesajt 2 som är anslutet till annonsnätverket, så skickar Mediesajt 2 ett anrop för att visa annonsen. Annonsnätverket sätter då en cookie, men får samtidigt information om att cookien redan finns och kan då koppla ihop de två besöken och surfhistoriken på olika sajter. Figur 1. Hur annonsnätverk kan spåra användare på flera sajter via tredjepartscookies 3.3 Kartläggning via sociala medier och sökmotorer De stora sociala nätverken har en guldgruva av information för att rikta annonsering specifikt mot användare. I och med att man ansluter sig till Facebook eller Google accepterar man också användarvillkoren och deras policies för dataanvändning. Några exempel från Facebooks villkor är: - Information man skriver in när man registrerar sig (namn, e-post, födelsedag och kön är obligatoriska). - Innehållet i alla delningar, inklusive foton. Det gäller också andra aktiviteter, som att lägga till en vän eller gilla en sida. 1 http://www.pts.se/cookies 2014 F-Secure Corporation All rights reserved 6

- Information som andra delar om användaren, t.ex. genom att tagga i ett foto eller en statusuppdatering. - Platsdata från mobila enheter (behöver inte vara via gps, utan kan vara närmaste basstation i ett mobilnät) och från uppladdade bilder. - Data från samarbetspartners eller annonsörer. Insamlad data kan användas för Facebooks egna tjänster (föreslå sidor eller vänner), men också för att mäta och utvärdera annonsering och att tillhandahålla information till annonsörer. Framförallt i USA samkörs denna data med uppgifter från samarbetspartners, vilket kan användas för att skapa en mycket precis bild av användaren. Bland dessa märks ett antal företag som kan beskrivas som datamäklare, däribland Axciom och Datalogix, som samlar in information om människor via t.ex. kundkort, maillistor, annonscookies och offentliga uppgifter. Detta kan sedan användas för att styra annonseringen på Facebook 2. Kartläggningen av användare sker inte bara på de sociala sajternas egna sidor, utan också via alla sidor som integrerar deras tjänster. Alla sidor som har en gilla -knapp från Facebook, en sökruta eller en +1 -knapp från Google är tillgängliga för nätverken om du är inloggad på tjänsten. Även om du är utloggad kan de ofta kartlägga surfbeteende via tredjepartscookies. 2 http://lifehacker.com/5994380/how-facebook-uses-your-data-to-target-ads-even-offline Figur 2. Möjligheterna att styra annonsering i Facebook (USA) 2014 F-Secure Corporation All rights reserved 7

3.4 Mobilkartläggning Mobiltelefoner, där en stor del av användningen och därmed trafiken sker i appar (86 % av användningen i en smartphone sker i appar enligt analys- och annonsföretaget Flurry), är en utmaning för annonsnätverk. I princip beter sig varje app som en unik enhet och annonsnätverken skulle därmed ha svårt att koppla samman användningen av olika appar. I praktiken finns det dock goda möjligheter att gå runt denna begränsning. Särskilt i androidtelefoner finns flera uppgifter som identifierar en specifik enhet. Några uppgifter som används är IMEI (International Mobile Equipment Identity) som hårdvarumässigt identifierar en telefon som har simkort, Android_ID, som skapas i alla androidenheter då de först startas, MAC-adress, som finns i alla enheter med wifi-kapacitet, och adressträng för Bluetooth 3. För annonsörer är de mer användbara än cookies, då telefonen lämnar ifrån sig dem utan möjlighet till blockering och de dessutom, till skillnad från cookies, inte går att radera. Apple har gjort några seriösa försök att begränsa annonseringsnätverkens möjligheter att kartlägga enheter. Tidigare stöd för identifiering av enheter, UDID, drogs tillbaka av Apple, då det visade sig att den användes för annonsering. Istället har man introducerat en särskilt identifierare för annonsörer, IFA eller IDFA), som ger användaren möjlighet att radera och begränsa användningen. Trots Apples begränsningar, finns etablerade tekniker för att koppla ihop olika appar för annonsörer, särskilt vid de tillfällen då en användare klickar på en annons och därmed (oavsiktligt) delar med sig av information som gör att nätverket kan koppla ihop t.ex. en app med en surfsession 4. 3.5 Enhetsoberoende annonsering I och med att de flesta konsumenter idag finns på många olika plattformar (exempelvis laptop hemma, stationär dator på jobbet, surfplatta och mobiltelefon) är det en utmaning för annonsörer eller andra som övervakar internetanvändning att koppla samman användare mellan olika enheter. Förutsättningen för att det ska vara svårt är givetvis att användaren inte själv delar med sig av unikt identifierbara information (namn, telefonnummer, e-post eller annan unik data) som gör kopplingen lätt. Samtidigt är det lätt att se hur attraktivt det vore för en annonsör att kunna koppla samman olika enheter för att studera det samlade användningsmönstret eller för att t.ex. kunna se hur användningen ser ut vid olika tidpunkter under dygnet eller för att rikta specifik annonsering beroende på om användaren finns på en mobil eller stationär enhet. En tänkbar lösning är givetvis att använda sig av Googles eller Facebooks annonseringslösningar, då dessa ofta används på alla användarens enheter. En annan är att genom statistiska metoder jämföra användarmönster som man funnit på olika enheter och då få tillräcklig sannolikhet för att kunna säga att det är en och samma användare (även om man sällan kopplar det till en fysisk person) 5. 3 http://technet.weblineindia.com/mobile/getting-unique-device-id-of-an-android-smartphone/ 4 http://www.truste.com/developer/?p=86 5 https://www.admonsters.com/blog/id-key-unlocking-mobile-tracking-cross-device-measurement-part-i 2014 F-Secure Corporation All rights reserved 8

3.6 Initiativ för att begränsa övervakningen respekteras inte Som en följd av kritik mot spårning av användare har det tagits flera initiativ. Ett exempel är EU:s cookie-lag, som kräver att sajter informerar om att de använder cookies på ett sätt som kräver att användaren godkänner användningen. Normalt görs detta via en banner på sidan, med en länk till information om hur cookies används och hur man gör för att blockera dem. I praktiken är lagstiftningen dock verkningslös, då den förutsätter att användaren ger ett informerat samtycke, vilket alltför ofta kräver att man läser en lång och svårbegriplig policy för cookies och hur data från dessa används. Exempelvis krävs det att användaren inser betydelsen av att sajten tillåter samarbetsföretag att sätta tredjepartscookies. Ett annat initiativ är den föreslagna http-headern (information som webbläsaren eller en app sänder till en server när man begär information, som en webbsida) do-not-track (DNT), som ska tala om huruvida användaren accepterar cookies som spårar användarbeteende eller ej. Det är en frivillig del av http-standarden och det finns inga sanktioner för att inte respektera den. Det finns dock ett visst tryck då amerikanska Federal Trade Commission (FTC), som har konsumentskydd som huvuduppgift, uppmanat företag att implementera ett sådant system. Det finns därmed ett latent hot om lagstiftning. En studie utförd vid Stanford University visade 2011 att 33 av 64 medlemmar i Network Advertising Initiative (NAI), ett samarbete mellan marknadsförings- och analysföretag i USA, fortsatte att lämna cookies för spårning även sedan NAI antagit en policy om att respektera DNT. Endast åtta medlemmar lämnade ett explicit löfte att inte spåra användare. En orsak till detta är att policyn är svag i så måtto att den inte förbjuder spårning, bara att man sänder riktade annonser 6. 3.7 Är Evercookies industrins motdrag när cookien dör? Trots att cookies varit mest uppmärksammade i diskussionen om övervakning från annonsnätverk, så är det inte den enda modellen. Affärsmodeller som Apples och Facebooks bygger inte främst på användning av cookies, utan på att de delar med sig av egen data till annonsörer. Det innebär inte att de är oproblematiska ur integritetssynpunkt, men väl att de inte är beroende av cookies. De senaste åren har också allmänhetens uppmärksamhet på cookies ökat och lagstiftares intresse tilltagit. Det har gått så långt som till att en del debattörer förutspått tredjepartscookiens död. Även om det inte är omedelbart förestående, så innebär övergången till alltmer mobila enheter och nya användarbeteenden, där man t.ex. regelbundet raderar cookies, att de om några år inte kommer att vara lika användbara 7. Dessvärre, ur användares synvinkel, så finns flera alternativ tillgängliga för den som vill spåra användarbeteende. Sedan många år finns en funktion i Adobes flashspelare, Local Shared Object, vardagligt kallade flash cookies, som tillåter sajter att sätta information på användarens dator. 6 http://www.itworld.com/article/2739465/it-management/study--ad-networks-not-honoring-do-not-track-promises.html 7 http://www.businessinsider.com/death-of-cookies-2013-4?op=1 2014 F-Secure Corporation All rights reserved 9

Enligt Wired 2009 använde mer än hälften av de 100 största sajterna i USA flash cookies. I de flesta webbläsare rensas inte dessa då användaren raderar cookies och många sajter använder dem för att återställa vanliga cookies efter att de raderats av användaren. Flash cookies är dock bara ett av många alternativ som företag har för att lagra beständiga uppgifter på användarens dator 8. Andra möjligheter är att lagra beständig information i en bild som är osynlig för användaren, men som ligger kvar i webbläsarens cacheminne och kan läsas av på flera sajter. Man kan lagra information i olika HTML5-objekt på nyare webbläsare eller i identifieringssträngar i http-protokollet. Figur 3. Evercookie lämnar identifierare med ett tiotal olika tekniker Evercookie är ett program i javascript som förenar ett tiotal av dessa tekniker för att placera unikt identifierbar information på användarens dator. Det innebär också att uppgifterna blir svåra, eller nästintill omöjliga, att radera, då ett lämnat spår kan användas för att återställa de övriga spåren 9. 3.8 Fallet Verizon: Operatörsbaserad övervakning Nyligen avslöjades i media att den amerikanska operatören Verizon möjliggjort för annonsörer som deltar i företagets annonseringssamarbete att spåra alla företagets mobilkunder genom att förändra den header som skickas varje gång mobiltelefonens webbläsare (och många andra appar) begär information från nätet. Genom att lägga till en egen header, som är kopplad till abonnemanget hos Verizon och därmed inte förändras, har man i praktiken skapat vad som beskrivs som en supercookie som inte går att radera 10. Tekniskt sett är det inte alls en cookie, då inget lagras på enheten, utan en förändring just av http-headern. Men effekten är densamma, med den viktiga skillnaden att abonnenten inte har någon möjlighet att radera eller stänga av denna unika identifiering. Den enda möjligheten att skydda sig mot detta är att använda sig av säker http-anslutning (https), vilket inte alla sajter stödjer, eller att använda sig av en tjänst som anonymiserar IP-adressen (som TOR eller en kommersiell vpn-tjänst). Motsvarande teknik finns hos konkurrenten AT&T, men förefaller ännu inte har rullats ut i stor skala. Användningen av dessa supercookies har fått hård kritik och det har ifrågasatts om det överhuvudtaget är lagligt att använda dem, då användaren inte kan blockera dem. 8 http://www.wired.com/2009/08/you-deleted-your-cookies-think-again/ 9 https://en.wikipedia.org/wiki/evercookie 10 http://www.extremetech.com/extreme/193625-verizons-latest-privacy-wrecking-ploy-an-unblockable-supercookie-that-lets-anyone-trackyou-on-the-internet 2014 F-Secure Corporation All rights reserved 10

3.9 Bortom cookies du lämnar fingeravtryck överallt Även om de flesta användare fortfarande accepterar cookies och är förhållandevis omedvetna om andra spårningstekniker, som Flash cookies, så har medvetenheten ökat och allt fler raderar regelbundet cookies i sin dator. Det är sannolikt också endast en tidsfråga innan olika verktyg för att gömma spår på en dator, som Ad Block (som blockerar annonser och därmed spårningskod), utvecklas för att upptäcka också evercookies eller andra former av spårningskod. Att använda webbläsaren i anonymt läge är också en förhållandevis väl fungerande metod att begränsa spårning (även om man inte, vilket många tycks tro, är anonym i förhållande till t.ex. arbetsgivare eller internetleverantör). Då det ligger oerhört stora värden i att kunna spåra användare och rikta annonser så precist som möjligt är det ingen överraskning att det utvecklats teknik för spårning som är oberoende av möjligheten att lämna spårningsdata på datorn. Nyckeln till detta ligger i att webbläsare lämnar ifrån sig mycket information, som exakt versionsnummer, datorns operativsystem, skärmupplösning, installerade typsnitt, version av Adobe Flash och mycket mer. Sammantaget kan dessa användas för att skapa ett fingeravtryck av den webbläsare man använder 11. Enligt Electronic Frontier Foundations forskningsprojekt Panopticlick 12, som låter användaren testa om den läsare man använder har ett unikt fingeravtryck, så lämnar 84 % av alla webbläsare unikt identifierbar information (94 % för läsare som stödjer Flash eller Java). För användare är det svårt, för att inte säga i praktiken omöjligt, att skydda sig mot denna form av kartläggning av webbläsare. Även om det finns motdrag, som att dölja vissa http-headers eller att installera tillägg som skickar falsk information, så finns det goda möjligheter för den som verkligen vill identifiera en läsare att genomskåda dessa tekniker. 11 http://spectrum.ieee.org/computing/software/browser-fingerprinting-and-the-onlinetracking-arms-race 12 https://panopticlick.eff.org/ 2014 F-Secure Corporation All rights reserved 11

3.10 Sakernas Internet integritetens död? Sakernas internet, fenomenet att allt fler apparater självständigt är uppkopplade och kommunicerar via internet, betraktas av många som nästa internetrevolution. Det kan handla om klockor som övervakar vårt hälsotillstånd och våra sömnvanor och i sin tur kommunicerar med badrumsvågen för att ge en mer heltäckande bild. Eller om Google Glasses, som använder sig av platsinformation (och delar med sig av denna) för att själv kommunicera med webbplatser och presentera information för användaren. Det kan vara smarta tvättmaskiner, som startar då elpriset är lågt, och mycket mer. Samtidigt som sakernas internet har en revolutionerande potential, kan de också sudda ut gränserna mellan den fysiska och den digitala världen, också ifråga om övervakning. Tillverkare av larm-, temperatur- och övervakningssystem har appar som också genererar data som kan användas. Apple har ingått partnerskap med exempelvis Honeywell, som bland mycket annat tillverkar termostater, inom ramen för sin standard för automatisering av hemmet HomeKit 13. Egentligen sätter bara fantasin gränserna för vad som kan automatiseras och samordnas, redan med dagens teknik. Men frågetecknen kring integritet är långtifrån utredda och lagstiftningen har inte på långa vägar förutsett en utveckling där våra hem, bilar och personliga prylar genererar otroliga mängder personlig data som kan användas för att i detalj kartlägga våra liv. 13 http://appleinsider.com/articles/14/06/11/apple-homekit-partner-honeywell-takes-on-googles-nest-with-lyric-smart-thermostat 2014 F-Secure Corporation All rights reserved 12

4 Övervakningen har gått för långt i Sverige Novus har, på uppdrag av F-Secure, gjort en undersökning av människors kunskap om och attityd till olika former av övervakning. Genom en webbenkät genomfördes undersökningen i ett riksrepresentativt urval av män och kvinnor 18-79 år från Novus slumpmässigt rekryterade Sverigepanel. Undersökningen omfattar 1013 intervjuer med en deltagarfrekvens på 60 % och genomfördes under peridoen 16/10-21/10 2014. 4.1 Många har något att dölja. Och mest gäller det ungdomar. 24% 73% 2% 0% 10% 20% 30% 40% 50% 60% 70% 80% 90% 100% Ja Nej Figur 4. Har du någon gång gjort något på internet som skulle göra att du kände olust eller obehag om det blev känt för andra? Bas: samtliga (1013) Totalt uppger var fjärde deltagare i undersökningen att de har gjort något på internet som skulle göra att de kände olust eller obehag om det blev känt för andra. Bland de yngsta svarande var andelen signifikant högre och varannan i åldern 18-29 år svarade ja på frågan. Även andelen som inte ville svara, 5 %, var väsentligt högre än i övriga grupper. Var fjärde tillfrågad (24 %) säger att de någon gång har gjort något på internet som skulle göra att de kände olust eller obehag om det blev känt för andra. Även en signifikant högre andel män (32 %) svarade jakande. Resultatet pekar i samma riktning som flera omdebatterade fenomen på senare år, som alla handlar om att ungdomar använder nät och mobila enheter på ett annat sätt än de som var unga för bara 10-15 år sedan, där det digitala rummet är en förlängning av det fysiska och där man också gör högst privata saker på nätet. Ett exempel är fenomenet sexting, att skicka sexuellt innehåll i text eller bild via mobilen. 60% 50% 40% 30% 20% 10% Vill ej svara Ja 0% 18-29 år 30-49 år Alla 50-64 år 65-79 år Figur 5. Andel per åldersgrupp som svarat ja eller vill ej svara på frågan om man gjort något på internet som skulle vara obehagligt om det blev känt för andra 2014 F-Secure Corporation All rights reserved 13

Svaren på frågan visar att integritet har väldigt lite att göra med rent mjöl i påsen, som ibland används som argument för att tillåta övervakning. För stora grupper av befolkningen är internet en del av den privata sfären, där man själv vill ha kontroll över vilken information som andra får tillgång till. 4.2 Övervakning från sociala nätverk 71% 5% 25% 0% 10% 20% 30% 40% 50% 60% 70% 80% 90% 100% Ja Nej Vet ej Figur 6. Tror du att Facebook, Google, Twitter och Instagram har möjlighet att kartlägga ditt surfbeteende på andra webbplatser än deras egna? Bas: samtliga (1013) Drygt sju av tio (71 %) uppger att de tror att sociala tjänster, som Facebook, Google, Twitter och Instagram har möjlighet att kartlägga surfbeteendet också på andra sajter. Bland svarande upp till 49 år uppger åtta av tio (78 %) att de tror så. Bland dem i åldern 50-79 är andelen jakande svar något lägre (61 %). Det är dock ytterligt få (5 %) som tror att dessa tjänster inte har möjlighet att övervaka surfbeteendet, oavsett ålder. Skillnaden mellan de yngre och äldre åldersgrupperna är istället andelen som uppger vet ej (17 respektive 34 procent). 100% 90% 80% 70% 60% 17% 34% 50% 40% 30% 20% 10% 0% 78% 61% 5% 5% 18-49 år 50-79 år Vill ej svara Ja Vet ej Figur 7 Svar på frågan tror du att Facebook, Google, Twitter och Instagram har möjlighet att kartlägga ditt surfbeteende även på andra webbplatser än deras egna? 2014 F-Secure Corporation All rights reserved 14

4.2.1 Insikten ger upphov till oro 18% 45% 31% 7% 0% 10% 20% 30% 40% 50% 60% 70% 80% 90% 100% Ja, stor oro Ja, liten oro Nej, ingen oro Vet ej Figur 8. Oro för att Facebook, Google, Twitter och Instagram har möjlighet att koppla samman surfbeteende på andra webbplatser än deras egna 14 Ser man till de svarande totalt, är det inte uppseendeväckande skillnader mellan olika åldersgrupper. Den äldsta gruppen (65-79 år) avviker genom en lägre total andel som känner oro (58 %). En intressant iakttagelse är dock att i den yngsta gruppen är det en större andel som uppger att de känner stor oro (20 % bland dem Andel som känner oro 65 64 64 63 62 62 61 60 59 58 58 57 56 55 54 Nej / Vet ej Ja Alla Svar på frågan om man tror att sociala nätverk har möjlighet att kartlägga surfbeteende Figur 9. Andel som uppger att de känner oro (liten/stor) fördelat på grupper beroende på hur de svarat på frågan ovan om de tror sociala nätverk kan övervaka. Bas: 1013 (alla), 715 (ja), 298 (nej/vet ej) som tror att övervakningen är möjlig) jämfört med övriga svarande (14 %). Det förstärker bilden i den inledande frågan om man har gjort saker på internet som skulle kunna orsaka obehag om de blev kända, och indikerar även att obehaget inte bara har att göra med huruvida dessa aktiviteter blev allmänt kända, utan också är något som man inte nödvändigtvis vill delge annonsörer via sociala nätverk. Drygt sex av tio svarande (62 %) uppger att de känner oro om sociala nätverk har möjlighet att övervaka deras beteende på andra webbplatser än deras egna. Svaren mellan dem som tror/respektive inte tror att detta sker skiljer sig åt något. 64 % av dem som tror att det sker känner oro, jämfört med 58 % av dem som inte vet om eller inte tror att det sker. 14 Figuren återger de sammanlagda svaren på två frågor, något olika ställda beroende på svaret på fråga n om man tror att de har den möjligheten. Frågorna lyder Skulle du känna oro om Facebook, Google, Twitter och Intagram hade möjlighet att koppla samman ditt surfbeteende på andra webbplatser än deras egna? respektive Känner du oro för att Facebook, Google, Twitter och Instagram har möjlighet att koppla samman ditt surfbeteende på andra webbplatser än deras egna?. Bas: samtliga (1013) 2014 F-Secure Corporation All rights reserved 15

Ser man till de svarande totalt, är det inte uppseendeväckande skillnader mellan olika åldersgrupper. Den äldsta gruppen (65-79 år) avviker genom en lägre total andel som känner oro (58 %). En intressant iakttagelse är dock att i den yngsta gruppen är det en större andel som uppger att de känner stor oro (20 % bland dem som tror att övervakningen är möjlig) jämfört med övriga svarande (14 %). Det förstärker bilden i den inledande frågan om man har gjort saker på internet som skulle kunna orsaka obehag om de blev kända, och indikerar även att obehaget inte bara har att göra med huruvida dessa aktiviteter blev allmänt kända, utan också är något som man inte nödvändigtvis vill delge annonsörer via sociala nätverk. 4.2.2 men oron återspeglas inte i ett säkrare beteende på sociala nätverk 29% 15% 32% 10% 13% 1% 0% 10% 20% 30% 40% 50% 60% 70% 80% 90% 100% Ja, alltid Ja, ofta Nej, oftast inte Nej, aldrig Använder ingen dylik tjänst Vet ej Figur 10. När du har använt tjänster som Facebook, Gmail, Instagram och Twitter på en dator, surfplatta eller mobiltelefon, brukar du logga ut från dem när du är färdig med ditt besök? Bas: samtliga (1013) Även om skyddet inte är fullständigt vid en utloggning, då många nätverk även använder sig av tredjepartscookies ( i Facebooks och Googles fall exempelvis via gilla- eller +1-knappar ), så minskar åtminstone möjligheten till spårning. Då många användare dessutom inte är medvetna om att spårningen sker även då man är utloggad, borde det finnas anledning att anta att användare som är oroliga för övervakning i större utsträckning skulle logga ut efter varje session. Undersökningen visar dock att oron inte återspeglas i ett medvetet säkrare beteende. Totalt loggar varannan användare ut efter att ha använt tjänster som Facebook, Google, Twitter och Instagram. Skillnaderna mellan olika åldersgrupper är dock stor och bland de yngsta, de som faktiskt visar större oro och som dessutom har en större andel som gjort saker på internet som man inte vill ska bli kända, så är andelen som loggar ut bara en knapp tredjedel. 100% 90% 80% 70% 60% 50% 40% 30% 20% 10% 0% 49% 51% 69% 31% 53% 47% 41% 59% 23% 77% Alla 18-29 är 30-49 är 50-64 är 65-79 är Vill ej svara Figur 11. Andel som loggar ut efter att ha använt tjänster som Facebook, Google, Twitter och Instagram (bas: användare av tjänsten som svarat ja eller nej) Ja 2014 F-Secure Corporation All rights reserved 16

4.3 Övervakning från annonsörer 75% 6% 19% 0% 10% 20% 30% 40% 50% 60% 70% 80% 90% 100% Ja Nej Vet ej Figur 12. Tror du att det finns annonsörer på nätet som har möjlighet att koppla samman ditt surfbeteende med dina personuppgifter? Bas: Samtliga (1013) Vetskapen om att annonsnätverk kan övervaka surfbeteende och även har möjlighet att koppla samman surfbeteende med personuppgifter är likartad den för sociala nätverk. Totalt uppger tre av fyra att de tror att detta kan ske, medan andelen som inte tror det endast uppgår till 6 %. En intressant iakttagelse är att det är fler (75 %) som svarar ja på frågan om annonsörer har denna möjlighet än vad som svarar ja på frågan om sociala nätverk kan göra det (71 %), trots att det i praktiken är väsentligt lättare för de sociala nätverken att koppla surfbeteende till personuppgifter. Även om man ska vara försiktig med att tolka svar ligger det nära till hands att anta att resultaten återspeglar en större misstro mot annonsörer och deras intentioner än mot de sociala nätverken. Till skillnad från övertygelsen om att de sociala nätverken övervakar surfbeteende, så är andelen (12 %) bland de yngre användarna, 18-29 år, som inte tror att övervakning sker betydligt större än för resterande grupp (4 %) bland de svarande då det kommer till annonsering. Om det återspeglar en större acceptans för målgruppsanpassade annonser eller något annat går inte att utläsa ur undersökningen. Tidskriften AdWeek hade i oktober 2014 en intressant artikel just kring frågan hur annonsörer och varumärken når ut till denna grupp (Generation Y eller millennials ), som antyder just att för mottagaren relevant och underhållande annonsering kan fungera 15. 4.3.1 större oro för annonsörer än för sociala nätverk 30% 47% 17% 7% 0% 10% 20% 30% 40% 50% 60% 70% 80% 90% 100% Ja Ja, liten oro Nej, ingen oro Figur 13. Oro för att annonsörer har möjlighet att koppla samman ditt surfbeteende med personuppgifter 16 15 http://www.adweek.com/news/advertising-branding/attention-brands-how-you-get-millennials-you-160575 16 Figuren anger de sammanlagda svaren på två frågor, något olika formulerade, beroende på vad respondenten svarat på frågan om man tror att annonsörer har den möjligheten. Frågorna lyder Skulle dku känna oro om du visste att det finns annonsörer på nätet som hade möjlighet att koppla samman ditt surfbeteende med dina personuppgifter? respektive Känner du oro för att det finns annonsörer på nätet som i vissa fall kan ha möjlighet att koppla samman ditt surfbeteende med dina personuppgifter? Bas: samtliga (1013) 2014 F-Secure Corporation All rights reserved 17

Tre av fyra (77 %) känner oro för annonsörers möjlighet att koppla samman surfbeteende med personuppgifter. Det är något fler än vad som uttrycker oro för sociala mediers och andra tjänsteleverantörers möjligheter att övervaka surfbeteendet. En markant skillnad är dock att andelen som uttrycker stor oro respektive ingen oro skiljer sig rejält och att balansen mellan dem som känner stor oro och ingen oro därför blir mycket större. Om man jämför dem som känner stor oro med dem som inte känner oro, så visar det sig att förtroendet för annonsörer på nätet är väsentligt lägre än för de sociala nätverken. Överlag är det fler som inte känner oro än vad som känner stor oro för övervakning i sociala medier. Det innebär inte att människor inte är oroliga (som visats ovan, så finns en stor grupp som känner viss oro ). För annonsörer är situationen dock den omvända. Väsentligt fler personer känner stor oro än ingen oro. 40% 30% 20% 10% 31 17 0% -10% -20% -30% -40% 18 Sociala medier Annonsörer -30 Stor oro Ingen oro Balans Figur 14. Balansmått (skillnaden mellan stor oro och ingen oro) för samtliga svarande avseende sociala mediers och annonsörers möjligheter att övervaka surfbeteende. Positivt är större förtroende. (Bas 1013, sammanlagda svar på två frågor i båda fallen) 2014 F-Secure Corporation All rights reserved 18

4.3.1.1 Få försöker aktivt förhindra övervakning 6% 10% 2% 42% 24% 15% 0% 10% 20% 30% 40% 50% 60% 70% 80% 90% 100% Ja, på alla mina enheter Ja, men bara på mina mobila enheter Nej, anser inte att en sådan tjänst behövs Ja, men bara på min dator Nej, visste inte att sådana tjänster fanns Vet ej Figur 15. Använder du någon form av kommersiell eller fri tjänst för att blockera övervakningsförsök på internet? Bas: samtliga (1013) Totalt var femte tillfrågad (18 %) uppger att de använder en kommersiell eller fri tjänst för att blockera övervakningsförsök. Av dessa är det drygt hälften (10 % av de tillfrågade) som bara använder det på en stationär dator. Just denna fråga finns dock anledning att vara försiktig i tolkningen, då den grupp som uppger sig använda sådana verktyg i störst utsträckning är den äldsta gruppen, 65-79 år. Givet frågans art kan man misstänka att ett antal respondenter förväxlat övervakningsskydd med virusskydd. Intressant är också att en tredjedel (35 %) av den yngsta gruppen 18-29 år, uppger att de inte använder sådana skydd, därför att de inte anser att de behövs, vilket kan jämföras med alla respondenters andel på 24 %. Frågan om tjänster för att blockera övervakningsförsök är en av få frågor med tydliga skillnader i svar beroende på kön. Användningen av sådana tjänster på alla enheter är tre gånger större hos män (10 %) än hos kvinnor (3 %). Totalt användningen skiljer sig mer än två gånger, där drygt var fjärde man (27 %), men endast var tionde kvinna (10 %) nyttjar sådana tjänster. Uppdelningen på kön blottar också en kunskapslucka, där mer än hälften (52 %) av de svarande kvinnorna uppger sig inte känna till sådana tjänster, jämfört med en tredjedel (33 %) av svarande män. Samtidigt är det en väsentligt lägre andel (17 %) kvinnor än män (30 %) som inte tycker att en sådan tjänst behövs. 2014 F-Secure Corporation All rights reserved 19

100% 90% 80% 70% 60% 50% 40% 30% 20% 10% 10% 3% 15% 6% 2% 1% 33% 52% 30% 17% 27% 20% 11% 11% 69% 62% Ja, på alla mina enheter Ja, men bara på min dator Ja, men bara på mina mobila enheter Nej, visste inte att sådana tjänster fanns Nej, anset inte att en sådan tjänst behövs Figur 16. Användning av tjänster för att blockera övervakningsförsök på internet, uppdelat på kön Vet ej Ja Nej Kvinnor Män 4.3.2 Störst är oron när online och offline sammanfaller 46% 37% 14% 4% 0% 10% 20% 30% 40% 50% 60% 70% 80% 90% 100% Ja, stor oro Ja, liten oro Nej, ingen oro Vet ej Figur 17. Skulle du känna oro om de butiker, biografer, restauranger el dyl där du har kundkort delade med sig av din personinformation och ditt köpbeteende till utomstående aktörer? Bas: samtliga (1013) Jämfört med oron för såväl sociala nätverks som annonsörers spårning är oron för att fysiska verksamheter läcker kunddata väsentligt högre. Närmare hälften av respondenterna (46 %) uppger att de känner stor oro inför detta. Jämför man balansmåtten (differensen mellan ingen oro och stor oro ), blir skillnaden markant. Användningen av kundkortsdata visar också tydligare skillnader mellan könen än synen på spårning av beteende på internet. Totalt uppger nästan nio av tio kvinnor (86 %) att de skulle känna oro om så var fallet. Endast var tionde (11 %) uppger att de inte känner någon oro. Att det finns fog för oron framgår av många villkor för kundkort/lojalitetsklubbar och liknande. Personuppgiftslagen förbjuder spridning av sådana uppgifter, med mindre än att kunden har samtyckt, men att 2014 F-Secure Corporation All rights reserved 20