Datainspektionens tidning nr 4/2011 Universitet forskade på barn utan föräldrarnas samtycke Sajt hänger ut killar på Stockholms t-bana Stölden som skakade Israel Så spreds detaljerade personuppgifter om alla israeler. Och så fick man fast de skyldiga. Efter SD-läckan: nu granskas samtliga riksdagspartier
omvärlden Integritet i fokus produceras av Data inspektionen Box 8114, 104 20 Stockholm Tfn 08-657 61 00 (växel) www.datainspektionen.se Ansvarig utgivare Göran Gräslund Redaktör Per Lövgren Formgivning Fredrik Karlsson Tryck Tryckt hos Ineko AB i Årsta på Arctic Volume White papper. Miljömärkt trycksak 341142. ISSN 2000-5857. Kontakta redaktionen Har du synpunkter, tips på artiklar eller frågor om tidningen? Mejla till redaktionen@datainspektionen.se. Gratis prenumeration En prenumeration på Integritet i fokus är gratis. Lättast anmäler du dig på vår webbplats. Integritet i fokus kan även laddas ner i pdf-format från vår webbplats. Tidningen kommer ut fyra gånger per år. Besök www.datainspektionen.se På vår webbplats kan du läsa mer om integritetsfrågor. Passa även på att prenumerera på vårt nyhetsbrev så får du pressmeddelanden och annat aktuellt från Datainspektionen. Franska fildelare stängs av från nätet I början av 2010 trädde en lag i kraft i Frankrike som innebär att den som fildelar och blivit varnad två gånger riskerar att bli av med sitt Internetabonnemang. Hadopi, som är den franska myndighet som hanterar utredningarna av misstänkt fildelning, meddelade nyligen att den under de första 18 månaderna delat ut 650 000 förstagångsvarningar. Därefter har en andra varning sänts till 44 000 personer. Nu ska myndigheten handlägga runt 60 ärenden som rör användare som fortsatt att fildela trots två varningar. Dessa fall kan komma att lämnas över till åklagare och respektive person riskerar böter på 1 500 euro och att sitt Internetabonnemang stängs av. Streckgubbe ersätter nakenbild på flygplatser På flygplatser i flera europeiska länder används så kallade nakenkameror eller kroppsskannrar som passagerarna måste passera vid säkerhetskontrollen. Det är en form av röntgenmaskin som producerar bilder av passagerarna som om de vore nakna. På så sätt ska säkerhetspersonalen kunna upptäcka föremål som döljs under kläderna. Enligt nyhetsbyrån TT har Nederländerna och Storbritannien infört denna typ av kamera som en del av sitt säkerhetssystem och tekniken testas även i bland annat Finland, Tyskland, Frankrike och Italien. I EU har man nu beslutat att det inte ska bli tvingande för flygplatser att införa nakenkameror. Och för de flygplatser som använder kamerorna ska samma regler gälla oavsett EU-land. I stället för en relativt tydlig röntgenbild ska det på bildskärmen visas en mer streckgubbe-liknande bild. Bildskärmen måste dessutom stå i ett separat rum så att den som tittar på bildskärmen inte kan se personen som skannas. Inga bilder får sparas och dessutom ska passageraren ha rätt att kräva att en annan metod används, som exempelvis visitering. Finland blockerar Pirate Bay En finsk domstol har beslutat att den stora finska Internetoperatören Elisa tillfälligt måste blockera tillgången till fildelningssajten Pirate Bay. Annars riskerar företaget 100 000 euro i böter. Enligt uppgift i ett nyhetsbrev från European Digital Rights ska Elisa överklaga domen. Salman Rushdie vinner över Facebook Författaren Salman Rushdie har kommit i bråk med Facebook. Och har gått segrande ur striden. Det hela började med att Facebook stängde av Rushdies konto eftersom han använder sitt mellannamn Salman och inte sitt förstanamn Ahmed (Facebook kräver att man använder sitt riktiga förstanamn och efternamn). Facebook omaktiverade författarens konto men då under namnet Ahmed Rushdie. Efter att ha twittrat om debaclet till de 133 000 personer som följer honom på Twitter, så gav Facebook honom rätt. Seger! En identitetskris i min ålder känns inte bra, twittrade han efter upprättelsen. 2 Integritet i fokus nr 4-2011 Datainspektionen
sverige Sajt hänger ut killar på Stockholms t-bana I ett tidigare nummer av Integritet i fokus skrev vi om den engelska sajten Tubecrush.net som uppmanar resenärerna i Londons tunnelbana att smygfotografera snygga killar och skicka in bilderna till sajten, där besökarna kan rösta på och kommentera killarna på bilderna. Nu har en motsvarande sajt dykt upp för tunnelbanan i Stockholm. Motivet bakom Stalkholmed, som sajten kallas, är bland annat att väcka diskussion kring varför det tycks vara accepterat att se kvinnor som passiva sexobjekt men inte män. Bedragare köpte varor i annans namn Två bedragare har dömts till fängelse för att ha utgett sig för att vara andra personer. Det hela började med att de två bedragarna råkade hitta ett borttappat körkort som tillhörde en person vid namn Tobias Karlsson. Under några månader beställde de två bedragarna varor via Internet genom att uppge personuppgifter för 44 olika män runt om i landet som samtliga hette Tobias Karlsson. Sammantaget gjordes ett 60- tal köp till ett värde av över 300 000 kronor. När varorna skulle hämtas ut, visade bedragarna upp det upphittade körkortet. Till slut åkte bedragarna fast och har nu dömts till fängelse för grovt bedrägeri i ett år och sex månader. Säpo vill spana mer på Internet Säpo och Rikskriminalpolisen vill skaffa nya verktyg i jakten på terrorister, uppger Dagens Nyheter. Enligt tidningen diskuteras bland annat att använda Internet på nya sätt och där arbeta med spaning under falska identiteter och infiltration av diskussionsgrupper. Efter Anders Behring Breiviks och Taimour Abdulwahabs terrordåd måste vi ställa frågan om den virtuella världen kan trigga människor att begå fasansfulla brott. Om det är så måste vi in i den. Vi måste patrullera på nätet, säger Säpochefen Anders Danielsson till DN. Advokat lämnar ut skyddade uppgifter En advokat i Skellefteå prickas av Advokatsamfundet efter att ha lämnat ut skyddade personuppgifter och därmed brutit mot god advokatsed, rapporterar Västerbottens Folkblad. Advokaten var förrättare i en bodelning och i samband med att fakturan för uppdraget skickades, lämnades även skyddade personuppgifter ut till en obehörig person. Hackerattack skakar bloggosfären En hackerattack har skakat om den svenska bloggosfären. Aftonbladet rapporterar att det hela började i augusti då en person via Twitter publicerar inloggningsuppgifter för närmare 90 000 användare, uppgifter som hackats från 57 svenska sajter. I september publiceras via samma Twitterkonto inloggningsuppgifter till sajten Bloggtoppens totalt över 93 000 användare. I slutet av oktober sker något märkligt. Via en avhoppad sverigedemokrats Twitterkonto avslöjas flera mejladresser och lösenord till journalister på Aftonbladet och Expressen. Båda tidningarna polisanmäler misstänkt dataintrång. Sverigedemokraten ifråga känns inte vid inlägget från sitt Twitterkonto utan sannolikt har någon kidnappat hans konto genom att använda inloggningsuppgifter som stals från hackerattackerna. Elektronisk fotboja ska hindra stalkning Den 1 oktober i år trädde ny lagstiftning i kraft som gör stalkning, det vill säga olaga förföljelse, till ett brott. Den som begår olaga förföljelse kan dömas att bära en särskild typ av fotboja med inbyggd gps. Skulle bäraren gå in i en förbjuden zon larmas polisen som kan se var personen befinner sig. Enligt Sydsvenska Dagbladet kommer polisen dock inte att få tillgång till den elektroniska fotbojan förrän under våren 2012. I februari 2009 yttrade sig Datainspektionen över betänkandet Stalkning ett allvarligt brott och flaggade då för att tekniken inte var tillräckligt utvecklad och att ytterligare försöksverksamhet krävdes. Integritet i fokus nr 4-2011 Datainspektionen 3
Databasstölden som skakade Israel Yoram Hacohen, chef för Ilita som är den israeliska motsvarigheten till Datainspektionen. För fem år sedan skedde det som inte fick ske. En myndighetsdatabas med detaljerade uppgifter om alla israeliska medborgare stals och började spridas på nätet. Läs den spännande historien om hur Israels datainspektion efter år av utredning till slut spårade upp och grep alla inblandade. Det här är en historia som har allt: stöld, besatthet, dumhet, girighet, list, envishet, uppfinningsrikedom, ja allt. Det hela har sin början för fem år sedan. Då ringer en journalist till inrikesdepartementet och ställer frågan: Vet ni att det stora befolkningsregistret finns tillgängligt att ladda ner på Internet? Panik utbryter på departementet. Det stora befolkningsregistret är inte vilket register som helst. Det är the mother of all databases, som Yoram Hacohen uttrycker det. Han är chef för Ilita som är den israeliska motsvarigheten till Datainspektionen. Yoram Hacohen överdriver inte. Registret innehåller detaljerade uppgifter om alla israeliska medborgare. Totalt innehåller registret Det stora befolkningsregistret är inte vilket register som helst. Det är the mother of all databases. information om 9,2 miljoner personer. Israels befolkning uppgår i nuläget till runt sju miljoner invånare men registret innehåller information även om avlidna och personer som flyttat från Israel till andra länder. För varje person i registret finns ett stort antal uppgifter som namn, bostadsadress, telefonnummer, kön, födelsedatum, födelseort med mera. Det finns dessutom uppgifter om släktband, vilka ens föräldrar är och vilka barn man har. Uppgifter i registret används även för identifiering när användare loggar in på myndigheters, bankers och försäkringsbolags e-tjänster. Stora sökmöjligheter Den databas som läckt ut på nätet hade dessutom programmerats om och försetts med ett sofistikerat användargränssnitt som gör det mycket lätt att söka reda på personer och att följa släktband i databasen. Via sökfunktionen går det till exempel enkelt att lista alla frånskilda kvinnor som har två barn och som bor i Tel Aviv. I registret finns uppgifter om alla israeliska medborgare, inklusive premiärministern, chefen för underrättelsetjänsten och högt uppsatta militärer. För två år sedan lönnmördades chefen för utredning av organiserad brottslighet i Israel, och Yoram Hacohen håller det inte för omöjligt att information från den läckta databasen användes för att kartlägga offret före mordet. Att databasen läckte ut på nätet gav upphov till enorma skador i form av id-stölder, bedrägerier och liknande. Stölden ledde till en massiv våg av kritik riktad mot inrikesdepartementet som var ansvarigt för registret, berättar Yoram Hacohen. Databasen har funnits i många år och redan 1993 utkontrakterades driften av den till HP. Bakom webbplatsen som 2006 gjorde databa- 4 Integritet i fokus nr 4-2011 Datainspektionen
sen tillgänglig för nedladdning står den mystiske personen Ari som även publicerade ett långt manifest tillsammans med databasen. Den israeliska polisen inledde en utredning som dock lades ned på grund av att det inte gick att hitta några ledtrådar eller bevis på vad som hänt och vilka de skyldiga var. Med rätt att utreda brott Till skillnad från svenska Datainspektionen har motsvarande myndighet i Israel polisiära befogenheter att utreda brott. 2008 inrättades en ny avdelning på den israeliska datainspektionen, specialiserad på IT-forensiska utredningar. Året efter, 2009, påbörjade avdelningen jakten på de skyldiga bakom databasstölden 2006. Utredarna började med att försöka ta reda på varifrån databasen stals. Även om grunddatabasen finns på inrikesministeriet så är det flera andra myndigheter som har egna kopior av databasen. Man kartlade flödet av data, vilka myndigheter som har kopior, hur kopiorna överförs och liknande. Genom att analysera databasen som gjorts tillgänglig på Internet och undersöka förändringar i den kunde man fastställa ett ungefärligt datum för stölden. Det första genombrottet i utredningen kommer dock via ett anonymt tips. Tipset pekar ut en mycket speciell person. En person som är besatt av personuppgifter och som tvångsmässigt samlar sådana uppgifter så fort han har möjlighet. Personen ifråga är IT-tekniker och överallt när han är ute hos kunder så passar han på att stjäla databaser med personuppgifter. Utredarna från Ilita gör en husrannsakan hos personen och hittar mängder med personregister i hårddiskar och datorer. Från ledtrådar som påträffades vid husrannsakan nystas sedan stora delar av historien bakom stölden upp. Det visar sig att det är en annan IT-konsult som stulit databasen när han arbetat på den israeliska motsvarigheten till Socialstyrelsen. Av okänd anledning har han tagit en kopia av databasen och lagt på en dvd-skiva. En bekant till konsulten får en kopia och gör i sin tur egna kopior som han ger till vänner och bekanta. En person i bekantskapskretsen inser att personuppgifterna i databasen är värdefulla och börjar leta efter en villig köpare. För runt 800 dollar säljer han databasen vidare till den tvångsmässige samlaren. Den av personuppgifter besatte ITkonsulten har i sin tur en vän, en ortodox rabbi som dessutom är en skicklig programmerare. Det är rabbin som förädlar databasen och bygger till användargränssnittet med avancerade sökfunktioner. I förhör säger rabbin att hans egen del i brottet bara var oskyldig experimentlusta: Jag lekte fotboll på gårdsplanen men råkade sparka bollen över staketet där den rullade iväg utanför min kontroll. Databasen sprids på nätet Det är denna omprogrammerade version av databasen som kommer i händerna på Ari. Ari lägger först upp databasen på sin egen, anonyma webbplats men de israeliska myndigheterna lyckas få webbhotellet att ta bort länkarna. Ari uppmanar då sina besökare att själva lägga upp databasen för nedladdning på sina egna hemsidor. Mejla mig om du vill ha en kopia, skriver han på sin egen webbplats. Databasen som publicerades var skickligt omprogrammerad så att alla personuppgifter var hyperlänkade och sökbara. Integritet i fokus nr 4-2011 Datainspektionen 5
Så här gick stölden till En bekant får en kopia av databasen och ger den till en annan bekant. Israeliska Socialstyrelsen En IT-konsult stjäl databasen och lägger den på en dvd-skiva. Denna person säljer databasen vidare för 800 dollar. Som ett sista steg gör han databasen tillgänglig via emule som är ett fildelningsprogram. När han gjorde det blev spridningen av databasen omöjlig att begränsa. Nu är spridningen utom all kontroll, berättar Yoram Hacohen. I det här skedet av utredningen har Ilita lokaliserat alla inblandade utom Ari, personen som är ansvarig för den breda spridningen av databasen. Många av de övriga inblandade insåg inte vidden och konsekvenserna av vad de gjorde. Ari är fullt medveten om det. Han vet att informationen i databasen är stulen och har i Jag lekte fotboll på gårdsplanen men råkade sparka bollen över staketet där den rullade iväg utanför min kontroll. flera år spridit databasen trots att han vet att det är olagligt. Ari arbetar ensam och är mycket IT-kunnig. Han använder så kallade proxyservrar för att ansluta till sina mejlkonton vilket gör att det ser ut som om han ansluter från andra länder, som exempelvis Kanada. Det i sin tur gör att Ilita inte kan begära ut information om vilken IP-adress som öppnar mejlen. Ofta när han ansluter till Internet så gör han det via öppna trådlösa nätverk. Vid ett skede i utredningen gjorde vi ett tillslag hos en familj som visade sig vara oskyldig men som hade ett oskyddat trådlöst nätverk som Ari hade använt. Bilden avslöjade Ari Det avgörande genombrottet i jakten på Ari kommer när han på sin webbplats publicerar en bild av Yoram Hacohen. Ilitas utredare börjar intressera sig för bilden. Varför just den bilden? Var kommer den ifrån? Bilden visar sig vara tagen från en TVintervju där Yoram uttalar sig om stölden av databasen. Personen som skapat bilden måste ha tagit en skärmbild på sin dator när han såg på intervjun. Den person som skapat bilden måste vara ägare till bilden. Och eftersom bilden bara är publicerad på Aris webbplats så måste det också vara Ari som skapat bilden. Ilita har fått upp en konkret ledtråd på Ari! Det visar sig att bilden är uppladdad till 6 Integritet i fokus nr 4-2011 Datainspektionen
Via e-post Denna person är ortodox rabbi och duktig programmerare. Han förser databasen med ett gränssnitt med avancerade sökfunktioner. Via sin webbplats Via fildelningsprogrammet emule Köparen är en person besatt av att samla personuppgifter. Han ger en kopia av databasen till en bekant. Ari kommer över en kopia av den förädlade databasen och börjar sprida den. Spridningen av databasen är nu omöjlig att begränsa för israeliska myndigheter. ImageShack som är en webbsajt där man kan dela med sig av bilder. Ilitas utredare kontaktar ImageShack som dock meddelar att bilden är uppladdad anonymt. Utredarna ger sig inte utan fortsätter kontakten med webbsajten. Det visar sig att ImageShacks servrar använder Linux och att det i servrarna finns detaljerade loggfiler. Teknikerna lyckas ta reda på exakt när bilden laddades upp till ImageShack och genom att jämföra den tidpunkten med samma tidpunkt i loggfilen så hittar man en IP-adress som hör hemma i Israel. Nu är jakten inne i ett kritiskt skede! IP-adressen leder till ett litet utskrifts- och kopieringsföretag i Jerusalem. I företaget arbetar två IT-tekniker varav den ena snabbt misstänks vara den eftersökte Ari. Under hemlig täckmantel ordnar utredare från Ilita ett möte med teknikern där man låtsas efterfråga hans tjänster, detta för att senare kunna bevisa att han har djup IT-kompetens. När Ilita är säkra på att teknikern är den eftersökte Ari genomförs husrannsakan på fyra platser, däribland i hans hem, i hans studentrum och på kopieringsföretaget. Stora mängder IT-utrustning beslagtas och analyseras. Totalt under utredningen har Ilitas ITforensiska personal gått igenom 25 mobiltelefoner, 25 persondatorer, 13 bärbara datorer, 111 usb-hårddiskar och över 3 200 cd- och dvd-skivor. Sammanlagt har 65 terabyte data analyserats efter ledtrådar och bevis, en datamängd som motsvarar innehållet i alla böcker i USA:s Library of Congress sex gånger om! Vi har kränkt den personliga integriteten för flera personer för att kunna skydda den personliga integriteten för ännu fler personer. Det har varit en svår balansgång, sammanfattar Yoram Hacohen. Fleråriga straff Den IT-konsult som arbetade på den israeliska motsvarigheten till Socialstyrelsen och som var ansvarig till den faktiska stölden av databasen riskerar nu upp till sju års fängelse. Övriga inblandade riskerar upp till fem års fängelse. Men, slutligen, vem är då denne Ari? Jag tänker inte uppge hans riktiga namn men: han är 25 26 år gammal, har inga barn och bor i Jerusalem. Du kan alltid slå upp vem han är i databasen som han själv har spridit. Integritet i fokus nr 4-2011 Datainspektionen 7
En bättre verklighet eller hot mot integriteten? För den som vill se mer än verkligheten är augmented reality, förstärkt verklighet, en löftesrik teknik som lovar att göra vardagen enklare genom att slå samman dator och verklighet. Fast det saknas inte integritetsinvändningar mot tjänster som håller reda på exakt var du befinner dig och har potential att känna igen folks ansikten. Sportsändningarna i tv kännetecknas av en allt mer raffinerad blandning av direktsända bilder och datorinformation för resultatredovisning och analyser. Och det är inte säkert att reklamskyltarna runt om i arenan finns i verkligheten. Reklamen kan vara gjord i en dator. Tekniken kallas augmented reality (AR) och är inte så ny som vi kanske kan tro. Amerikanskt och brittiskt flygvapen har i många år använt det som till svenska ofta översätts med förstärkt verklighet för att visa mål- och navigationsinformation på stridspiloternas hjälmvisir. Det nya är att den datorförstärkta verkligheten håller på att lämna science-fictionstadiet för att börja sprida sig till oss vanliga konsumenter. Datorprogram och appar till mobiltelefoner kombinerar verklig och virtu- 8 Integritet i fokus nr 4-2011 Datainspektionen
ell värld genom att i realtid foga datorlagrad information till bilder från din och min omgivning. Några speciella glasögon behövs inte längre. Den som turistar eller rör sig i okända kvarter uppskattar garanterat de nya möjligheter som bjuds. Det räcker med att ta upp mobiltelefonen ur fickan, aktivera kameran och rikta linsen mot exempelvis torget framför dig för att få veta mer. På bildskärmen dyker information upp om husens historia, kvarterets restauranger och tidtabellen för bussen som stannar vid hörnet. Vill du veta vilka lägenheter i området som är ute till försäljning? Inget problem, det heller. Hittills har vi bara skrapat på ytan av vad som är möjligt, säger Pär Ström som är integritetsombudsman vid tankesmedjan Den Nya Välfärden och som ordnat en välbesökt konferens om förstärkt verklighet. Känna igen personer Nästa utvecklingssteg är att byta ut gpsbaserad augmented reality mot avläsning och igenkänning av verkliga föremål och personer. Mobilen kommer alltså att kunna hjälpa dig att känna igen bordsgrannar vid middagen och medresenärer på tåget. Där är vi inte än, men i framtiden kan den som är dålig på att komma ihåg namn slippa pinsamma situationer genom att få hjälp på traven. Pär Ström ser inga större integritetsproblem med dagens AR-applikationer. Man får välja sina integritetsstrider, menar han: Annat blir det förstås den dag då ansiktsigenkänning fungerar i befintligt ljus och utanför kontrollerade miljöer. Baksidor med tekniken Även om Datainspektionens chefsjurist Hans-Olof Lindblom ser nyttor med augmented reality vill han påminna om baksidorna. Tekniken kan missbrukas: Genom att använda dessa tjänster lämnar du ut en hel del uppgifter om dig själv. Hit hör bland annat din aktuella position. Att i AR-applikationer och sociala nätverkstjänster som Facebook Places tala om för sina vänner exakt var man befinner sig kan kännas harmlöst. Glöm bara inte att det finns risk för att obehöriga kommer över platsuppgifterna. Per Eriksson Med Tweepsaround kan du hålla upp din mobil och se vilka twittrare som finns i närheten. Du kan läsa deras tweets, se en bild på personen och få reda på hur nära han eller hon befinner sig. Så här fungerar förstärkt verklighet Augmented reality baseras idag till stor bredband till det företag som erbjuder del på mobiltelefonens inbyggda gps. den aktuella tjänsten. Samma server Kompassen kompletterar positionen skickar tillbaka det informationslager med uppgifter om åt vilket håll kameran riktas. Gyrometern vet i vilken riktden från mobi- som läggs över bilning telefonen vrids medan accelerometern rapporterar dina rörelser. Många mobilens kamera. Alla dessa uppgifter sänds via mobilt la AR-appar byg- fakta ger på Layar. Detta holländska gratisprogram fungerar i Android-mobiler, Iphone samt vissa Nokia-telefoner med Symbian. Läs mer på www.layar.com. Användaren väljer själv vilket informationslager som ska visas ovanpå kamerabilden. Det finns både regionala och lokala lager att välja mellan. Integritet i fokus nr 4-2011 Datainspektionen 9
ig dat nästa stora orosmoln Big data, enorma datamängder som analyseras på nya sätt, spås bli nästa problemområde för dataskyddsmyndigheter som Datainspektionen. Samtidigt finns det hopp: åtminstone på webben tycks data inte alls finnas kvar för alltid. Tvärtom. Varje år hålls en stor internationell konferens som samlar representanter från de flesta dataskyddsmyndigheter i världen. Konferensen är ett bra sätt att se vilka trenderna är när det gäller skyddet av den personliga integriteten. Vilka nya tekniker är på gång? Vilka frågor vållar problem för de olika ländernas dataskyddsmyndigheter? På årets konferens, som hölls i Mexiko City, var big data en av de heta nya trenderna. Det finns ingen exakt definition av vad big data är. Kenneth Cukier, som höll ett föredrag om ämnet på konferensen och som till vardags är journalist på The Economist, beskriver big data så här: Big data handlar om saker som man kan göra i stor skala men som man inte kan göra i en mindre, att vinna nya insikter eller skapa nya former av ekonomiskt värde, på ett sätt som ändrar marknader, organisationer, förhållandet mellan medborgare och regeringar, med mera. I korthet handlar big data om att analysera enorma datamängder för att få nya insikter. Influensastatistik Ett exempel på big data är Google Flu Trends. Sökjättens forskare har upptäckt att vissa termer som folk söker på är en bra indikator på hur pass utbredd en influensaepidemi för tillfället är. Flu Trends samlar ihop Googles sökdata och gör uppskattningar av influensaaktiviteten. Big data är egentligen inte något nytt. Det nya är mängden data som samlas in exempelvis via mobiltelefoner och sociala nätverk, säger David Vladeck från amerikanska Federal Trade Commission. Vi har blivit sensorer som samlar in data, inflikar Kenneth Cukier. Tidigare har det funnits tekniska och framför allt ekonomiska begränsningar för hur mycket data som kan lagras, vilket faktiskt har fungerat som ett sorts skydd för den personliga integriteten. Nu finns inte det skyddet längre eftersom alla data kan lagras, säger Peter Schaar som är chef för den tyska motsvarigheten till Datainspektionen. Peter Schaar menar att det därför är viktigt för företag och organisationer att använda privacy by design vilket innebär att man i nya IT-system redan från början bygger in mekanismer för att begränsa och skydda mängden personuppgifter som hanteras. Mängderna data som samlas in har gjort det svårare att bestämma vad som egentligen är en personuppgift. Dagens definition av personuppgift är ansträngd. Det är inte längre binärt Den mörkblå linjen visar att det nu (november) görs få influensarelaterade sökningar i Sverige. Den ljusblå visar att sökintresset (och sannolikt utbredningen) av influensa i Sverige var mycket stort samma period för två år sedan. 10 Integritet i fokus nr 4-2011 Datainspektionen
a om något är en personuppgift eller inte. Det är en glidande skala, säger Emma Butler på Storbritanniens motsvarighet till Datainspektionen. Numera talar man om tre olika sorters personuppgifter. 1) Identifierade personuppgifter, det vill säga uppgifter som man direkt kan knyta till en viss person. 2) Identifierbara Det kan finnas sammanhang då man uppnår stora vinster med att återidentifiera personuppgifter. Man måste väga fördelarna med återidentifieringen mot nackdelarna. Inte för evigt Det råder inget tvivel om att mängden digitala data exploderat. Att all information finns kvar för evigt på Internet är dock en helt annan fråga. På konferensen presenterades forskning som tvärtom visar att information försvinner förvånansvärt fort från webben. Forskare i Portugal har studerat hur länge information 2000 analoga videoband film 18,86 miljarder gigabyte minneskort 2007 2,62 miljarder gigabyte 1993 ljudkassetter ANALOGA DATA usb-diskar 1986 böcker och papper vinylskivor DIGITALA DATA 0,02 miljarder gigabyte Diagrammet visar fördelningen mellan analog och digital lagring. 1993 var mängden digitala data försumbar jämfört med mängden analoga data. År 2007 var över 93 procent av all information på jorden digital. hårddiskar uppgifter, som är personuppgifter där det krävs en åtgärd för att knyta dem till en viss person. 3) Icke-identifierbara uppgifter, vilket är personuppgifter som aldrig kan kopplas till en viss person. Studier visar att identifierbara personuppgifter relativt lätt kan återidentifieras och kopplas till en viss person. Ändå är det bättre att företag och organisationer lagrar den typen av personuppgifter än direkt identifierade personuppgifter, säger Omer Tene som är professor i juridik vid ett universitet i Israel. Omer Tene menar att det inte är självklart att avidentifierade personuppgifter aldrig ska få återidentifieras. finns kvar på nätet. Resultatet är förvånande. Länkar på webben, så kallade url:er, har en halveringstid på bara 60 dagar. Alltså, efter två månader fungerar bara hälften av de länkar som fungerade vid ett visst mättillfälle. Orsaken till url-döden är typiskt att länkarna bytts ut eller att hela sajter försvunnit. Även själva innehållet på webben tycks ha kort livslängd. Portugisernas forskning visar att 33 dagar efter en mätning så fanns bara 34 procent av innehållet kvar i oförändrat skick. Endast en liten del av innehållet på webben, 10-15 procent, finns kvar efter ett år. dvd-skivor cd-skivor 276,12 miljarder gigabyte 2007 Integritet i fokus nr 4-2011 Datainspektionen 11
nytt från datainspektionen Stor granskning av forskningsprojekt Datainspektionen genomför nu en bred granskning av forskningsprojekt som hanterar känsliga personuppgifter, som exempelvis uppgifter om deltagarnas hälsa. Myndigheten ska undersöka projekt hos ett 20-tal universitet, högskolor och myndigheter som bedriver forskning, däribland Uppsala universitet, Folkhälsoinstitutet och Umeå universitet. Det som ska kontrolleras är bland annat hur man informerar deltagarna i forskningsprojektet om hur deras personuppgifter kommer att hanteras och hur man får deltagarnas samtycke att registrera dessa uppgifter. Vi har indikationer på att det finns stora brister i hur man informerar dem som deltar i forskningsprojekt, säger Erik Janzon som leder det team på Datainspektionen som arbetar med vård och forskning. Kritik mot forskning på barn Datainspektionen har tagit emot ett klagomål från en förälder i Linköping som uppger att hans 11-åriga dotter har deltagit i en forskningsstudie utan att han som förälder har gett sitt samtycke. Enligt klagomålet ska både personuppgifter i enkäter och hårstrån från barnet ha samlats in. Studien ifråga är en uppföljning av en tidigare studie av totalt 17 000 barn. Bakom studien står Linköpings universitet. I sin granskning ger Datainspektionen föräldern rätt och riktar skarp kritik mot universitet. Forskningsstudien har brustit i att informera barn och föräldrar om hur personuppgifterna som samlas in ska användas. I arbetet med studien har universitetet även brustit i sättet att inhämta samtycke. Breda forskningsstudier kan ge stora positiva effekter för människors hälsa men insamlingen av uppgifter om personers, i det här fallet barns, hälsa måste göras på ett korrekt sätt, inte minst för att allmänheten ska ha fortsatt förtroende för den här typen av studier, säger Maria Bergdahl som lett Datainspektionens granskning. Kommuner under luppen Datainspektionen har under hösten dragit igång två projekt som sätter kommuners hantering av personuppgifter under luppen. Det ena projektet är en bred granskning av kommuners webbpublicering av framför allt diarier, protokoll och andra möteshandlingar som kan innehålla personuppgifter. Totalt ska ett 50-tal kommuner granskas inom ramen för projektet. Det finns en risk att dokumenten som publiceras på Internet innehåller onödigt mycket personuppgifter. Det har vi sett exempel på vid tidigare granskningar, säger Ingela Alverfors som leder projektet. Det andra projektet är en granskning av hur skyddade personuppgifter om framför allt skolelever hanteras inom utbildningsförvaltningen i kommuner. Även detta projekt är en bred kontroll och totalt ska 24 kommuner granskas. Målet är att klargöra hur kommunerna hanterar skyddade personuppgifter i det dagliga arbetet, de anställdas tillgång till skyddade personuppgifter, interna regler och riktlinjer för hantering av skyddade personuppgifter samt hur dessa uppgifter skyddas från obehörig åtkomst. Det är viktigt att kommunerna har tänkt igenom hur skyddade personuppgifter ska hanteras. Det gäller att begränsa vilka som får ta del av sådana uppgifter, att ha riktlinjer som beskriver hur uppgifterna ska hanteras och att ha kontrollmekanismer för att upptäcka om någon obehörig försöker komma åt uppgifterna, säger Ulrika Harnesk som leder projektet. Fel att hota med konkurs Datainspektionen har granskat Norrköpingsföretaget Likviditetskontroll och kräver att företaget upphör med att hota gäldenärer med att ansöka om konkurs utan att först ha försökt få betalt på annat sätt. Om företaget inte förändrar sina rutiner kan Datainspektionen dra in företagets tillstånd att bedriva inkassoverksamhet. Kreditupplysningsföretag följer inte lagen Enligt kreditupplysningslagen måste en kopia av en gjord kreditupplysning alltid sändas till den person som upplysningen gäller. Detta för att personen i fråga ska få en chans att upptäcka och rätta eventuella felaktigheter. Flera kreditupplysningsföretag, däribland Soliditet och Dun & Bradstreet, har i många fall slutat att skicka en papperskopia hem till den omfrågade. I stället får personen ifråga via sms eller e-post reda på att någon tagit en kreditupplysning och hänvisas att logga in på en webbplats som kreditupplysningsföretaget tillhandahåller för att se vad som lämnats ut i kreditupplysningen. Det finns en ovillkorlig rätt att få kreditupplysningskopian sänd till sig. 12 Integritet i fokus nr 4-2011 Datainspektionen
Detta innebär i praktiken att en kreditupplysningskopia ska sändas till en plats som är, eller kan jämställas med, den omfrågades adress. Och dit räknas inte en webbplats som drivs av kreditupplysningsföretaget, säger Hans Kärnlöf som är jurist på Datainspektionen. Bankers mobilappar under granskning Vilka personuppgifter hanteras i bankernas mobilappar? Skyddas uppgifterna på ett tillräckligt sätt? Och informeras kunderna om hur deras uppgifter kommer att användas? Det är några av frågorna som ska besvaras i ett projekt som Datainspektionen inlett. Projektet ska granska mobilappar för Android och Iphone (ios) från bankerna Handelsbanken, Nordea och Danske Bank. Användningen av mobilappar ökar explosionsartat och med det här projektet undersöker vi vilka risker som appar kan medföra för skyddet av den personliga integriteten. Målet är att tydliggöra hur appar bör vara utformade för att uppfylla reglerna i personuppgiftslagen, säger IT-säkerhetsspecialist Adolf Slama som leder projektet. Ännu en sexbrottssajt polisanmäls Datainspektionen har tagit emot klagomål som rör en webbplats som publicerar uppgifter om personer som dömts för sexualbrott mot barn. På sajten publiceras uppgifter som namn, personnummer, adress, telefonnummer, brottsbeskrivning, utdömt straff och målnummer. Det finns en sökfunktion för att söka fram sexbrottslingar i ett visst område eller på ett visst namn. Det finns också en översikt indelad efter geografiska områden. Efter att ha granskat webbplatsen och konstaterat att publiceringen bryter mot personuppgiftslagen polisanmäler myndigheten nu sajten. Under 2010 polisanmälde Datainspektionen flera andra, liknande webbplatser. Boka plats på Datainspektionens kurser i vår På Datainspektionens webbplats går det nu att boka plats på de kurser som myndigheten håller under våren 2012. Den som bokar tidigt är säker på att få plats, under 2011 var i princip samtliga kurser fullbokade med väntelista. Kurserna hålls i Stockholm. 16/2 Kurs i personuppgiftslagen med fokus på informationssäkerhet En utbildning som går igenom kraven på säkerhetsåtgärder som personuppgiftslagen ställer på IT-system då personuppgifter hanteras. Riktas till bland annat systemutvecklare, systemleverantörer, IT-chefer och informations- och kommunikationsansvariga. 20/3 samt 8/5 Grundkurs i personuppgiftslagen En kurs som i föreläsningsform går igenom personuppgiftslagens grunder och tillämpning. Kursen riktas till alla som behöver veta mer om hanteringen av personuppgifter i sin verksamhet eller på andra områden. 20 21/3 samt 8 9/5 Kurs för personuppgiftsombud Tvådagars kurs där du får lära dig grunderna i personuppgiftslagen och vad det innebär att vara personuppgiftsombud. Den andra kursdagen delas deltagarna in i två grupper beroende på om man arbetar som personuppgiftsombud i offentlig eller privat verksamhet. www.datainspektionen.se/utbildning Integritet i fokus nr 4-2011 Datainspektionen 13
hallå där... Hallå där, Jonas Agnvall......jurist på Datainspektionen. Varför ska Datainspektionen granska riksdagspartierna? Upprinnelsen till granskningen är händelsen i september 2010 då ett register med närmare 6 000 namn på personer som visat intresse för Sverigedemokraterna publicerades på Internet. Registret var fullt sökbart och innehöll uppgifter som namn, adress, telefonnummer och e-postadress. En sådan registerläcka kan vara en katastrof för dem som finns med i registret. Ytterst är det ett hot mot demokratin. Är det något speciellt med hur politiska partier hanterar personuppgifter? Enligt personuppgiftslagen är vissa personuppgifter mer känsliga än andra. Till sådana uppgifter hör vilken sexuell läggning en person har men även politisk åskådning. Lagen ställer strängare krav på hur sådana uppgifter ska skyddas. Eftersom de uppgifter som registreras av de politiska partierna är att betrakta som känsliga och också berör många människor finns det anledning för oss att undersöka på vilket sätt dessa uppgifter hanteras och hur de skyddas. Vad är det ni ska undersöka? Vi har avgränsat vår kontroll till att enbart gälla hur de åtta riksdagspartierna hanterar personuppgifter om medlemmar och andra personer som kontaktat partierna för information. Vi kommer inte att titta på hur partierna hanterar personuppgifter i övrigt. Hur går kontrollen till? Först skickar vi ett antal frågor till partierna. När frågorna har besvarats genomför vi inspektioner på plats hos respektive parti. Beroende på om vi upptäcker brister, och vilka dessa i så fall är, kan vi därefter bestämma att genomföra ytterligare åtgärder, som exempelvis uppföljande kontroller. Hur många är ni som deltar i granskningen och vilken är din roll? Vi är tre stycken som deltar i projektet. Det är jag och ytterligare en jurist samt en av myndighetens IT-säkerhetsspecialister. Vid våra inspektioner har vi i princip alltid med en IT-säkerhetsspecialist eftersom exempelvis frågan om hur personuppgifter skyddas ofta handlar om rätt avancerad IT-teknik. Det är jag som leder projektet och som löpande rapporterar hur det framskrider till min närmaste chef och till Datainspektionens generaldirektör. Handlar det bara om att se om riksdagspartierna sköter sig? Nej, Datainspektionen får många frågor från föreningar och organisationer om vad som gäller när man ska behandla personuppgifter om medlemmar. Så även om det primära målet för projektet är att granska partierna är vår förhoppning att resultatet från granskningarna även blir vägledande för andra organisationer som hanterar känsliga personuppgifter. Att leda det här projektet är ju inte din enda arbetsuppgift. Vad gör du i övrigt på myndigheten? Jag tillhör det team som arbetar med näringslivsfrågor. Dit hör ärenden som rör inkasso, kreditupplysningar, bank och försäkringsbolag, kronofogdens register, kund- och medlemsregister och liknande. Jag arbetar både med tillsyn, alltså kontroller, och med att skriva yttranden då Datainspektionen lämnar Roligast är kontakten med allmänheten och att kunna hjälpa till med ett problem, säger Jonas Agnvall. synpunkter på lagförslag. Dessutom är jag samordningsansvarig för Internetrelaterade frågor, som rör exempelvis kränkningar på Internet. Vad är roligast med ditt jobb? Det är variationen. Ena dagen kan jag hålla en föreläsning för ett hundratal blivande personuppgiftsombud, dagen efter träffa Facebooks representanter på Irland och dagen efter det föredra ett ärende för vår generaldirektör. Allra roligast är kontakten med allmänheten och att faktiskt kunna hjälpa någon med ett problem. Och vad är tråkigast? Det är när vi på grund av brister i lagstiftningen inte kan hjälpa en person som till exempel känner sig kränkt och utsatt på Internet. fakta Jonas Agnvall Yrke: jurist Bor: Tyresö Favoritmat: hamburgare Fritid: World of Warcraft 14 Integritet i fokus nr 4-2011 Datainspektionen
frågor & svar???! Får min arbetsgivare registrera kontaktuppgifter till mina anhöriga? Ja. Arbetsgivaren har ofta ett starkt intresse av att kunna kontakta anhöriga, till exempel om en anställd råkar ut för en olycka eller blir sjuk. Arbetsgivarens intresse av att samla in och registrera namn och kontaktuppgifter till de anställdas anhöriga väger normalt tyngre än de anhörigas intresse av att uppgifterna inte registreras. Därför behöver arbetsgivaren inte få de anhörigas medgivande. Enligt personuppgiftslagens grundläggande krav måste personuppgifter som behandlas vara riktiga och aktuella. Därför behöver arbetsgivaren rutiner för att uppdatera uppgifterna, det kan ske genom att helt enkelt fråga de anställda om uppgifterna är aktuella. Om den anställde själv kan ändra sin kontaktinformation kan denne uppdatera uppgifterna vid ändrade förhållanden. Arbetsgivaren behöver också ha en rutin för att informera de anhöriga, till exempel genom att den anställde får en informationslapp att ta hem. Arbetsgivaren behöver även begränsa åtkomsten till uppgifterna så att den bara omfattar befattningshavare som har till uppgift att kontakta anhöriga. Får min arbetsgivare gå in och läsa min e-post på jobbet? Arbetsgivaren har normalt sett inte rätt att läsa arbetstagarens privata e- post eller privata filer. Men det finns undantag, till exempel när den anställde använder e-posten på ett sätt som strider med arbetsgivarens regler eller om man allvarligt misstänker att den anställde håller på att begå ett brott. Får företag spela in telefonsamtal med kunder? Om inspelningarna görs digitalt och är kopplade till ett kundregister eller ett personalsystem är det tillåtet om kunden har lämnat sitt samtycke till inspelningen. En kund måste också ha fått information om vad inspelningen ska användas till och hur länge den kommer att sparas. I undantagsfall kan inspelningen vara tillåten utan ett samtycke men då måste man ha stöd av en så kallad intresseavvägning, till exempel om det rör hotfulla samtal mot anställda. Om inspelningarna inte ska sparas i ett register, där man till exempel lätt kan söka efter och sammanställa uppgifter om olika personer, är det tillåtet så länge den inte innebär en kränkning av kundens eller den anställdes integritet. Hur vet man då vad som är kränkande? Ja, det måste avgöras från fall till fall. Man får titta på exempelvis behovet av inspelningen, hur känsliga de uppgifter som spelas in är och vem som har tillgång till inspelningarna. Lättare att söka på Datainspektionens webbplats På Datainspektionens webbplats finns en stor mängd information om integritetsfrågor. Här kan du som har frågor om till exempel kameraövervakning, patientregister och kreditupplysningar få svar och vägledning. Har du svårt att hitta det du söker, kan du prova att använda webbplatsens söktjänst. För att det ska bli ännu lättare att hitta det man letar efter så har vi nu förbättrat söktjänsten. Presentationen av sökresultat har blivit mer överskådlig. Det går att välja att se alla sökträffar, enbart träffar i pdf-dokument eller enbart träffar på webbsidor. Det går även att välja att enbart se träffar från en viss kategori av sidor, som exempelvis pressmeddelanden eller frågor och svar. Söktjänsten har också blivit bättre på att hantera felstavningar och föreslår alternativa sökord om du stavat fel. Samtidigt som du skriver in en sökfråga, listas förslag på sökningar. Besök www.datainspektionen.se och pröva vår nya söktjänst. Vem vet, du kanske hittar något du inte trodde fanns där. 15 Integritet i fokus nr 4-2011 Datainspektionen
sista ordet... Dags att ompröva Datainspektionens roll Helt nyligen överlämnade jag en begäran om att se över Datainspektionens roll till Justitiedepartementet. Datainspektionen är med sina nästan 40 år den äldsta dataskyddsmyndigheten i världen. Det område som myndigheten har i uppdrag att övervaka har haft en extrem utvecklingstakt. Det är svårt att tänka sig någon annan statlig myndighet som i så hög grad fått göra nya prioriteringar och ompröva sina metoder och arbetssätt som vi har gjort under de senaste 10-15 åren på grund av förändringar i omvärlden. Det har gått tio år sedan Datainspektionen blev föremål för en översyn av en utomstående utredare. Sedan dess har det lagts fram en del förslag angående myndighetens roll och uppdrag av Integritetsskyddskommittén, andra statliga utredningar och företrädare för de politiska riksdagspartierna. Det finns starka skäl att nu ta ett samlat grepp och ompröva myndighetens roll i ett brett perspektiv. En sådan översyn bör svara på frågor som: Hur har omvärlden och därmed vårt uppdrag förändrats? Har myndigheten de verktyg som krävs för att fullgöra sitt uppdrag? Får medborgaren det Ska Datainspektionen själv kunna utdöma böter för vissa brott mot personuppgiftslagen? stöd som kan förväntas när det gäller intrång i den personliga integriteten? Hur pass bra fungerar gränsdragningen mellan Datainspektionen och myndigheter som PTS, Säkerhets- och integritetsskyddsnämnden och Finansinspektionen? Det finns flera tänkbara förändringar. Datainspektionen skulle i principiellt viktiga fall kunna väcka talan inför domstol och uppträda som ombud för en person. Myndigheten skulle kunna ersättas med en myndighet som har ett bredare uppdrag att värna den personliga integriteten och ha en mer uttrycklig ombudsmannaroll. Vissa myndigheter kan besluta om administrativ straffavgift, det vill säga böter. Med ett sådant verktyg skulle Datainspektionen själv kunna utdöma böter för vissa brott mot personuppgiftslagen. Vilken roll tycker du att Datainspektionen ska ha i framtiden? Skicka ett mejl med dina synpunkter till redaktionen@datainspektionen.se. Göran Gräslund Generaldirektör Datainspektionen Datainspektionen, Box 8114, 104 20 Stockholm Nästa nummer kommer i mars