Protokol Om alt det internettet og teknologien gør ved vores samfund

Retten til digitalt privatliv

Scanpix

Retten til privatliv og databeskyttelse har fyldt meget i den offentlige debat det seneste år, internationalt såvel som i Danmark. Rikke Frank Jørgensen skriver om udfordringerne ved at fusionere de menneskeretlige standarder for ret til privatliv med en voksende digitalisering af alle vores data.

På internationalt plan har Edward Snowdens afsløringer af efterretningstjenesternes dataindsamling og udveksling medført den første FN-resolution om Retten til Privatliv i en Digital Tidsalder, vedtaget på FNs Generalforsamling i december 2013. Resolutionen understreger blandt andet, at den stigende brug af IT – informationsteknologi – forøger staters mulighed for at indsamle personoplysninger og overvåge borgere på måder, der krænker den enkeltes ret til privatliv. Stater opfordres derfor til at sikre, at lovgivning, der vedrører indsamling og brug af personoplysninger, respekterer de menneskeretlige standarder for ret til privatliv. Samtidig understreges betydningen af et effektivt, uafhængigt tilsyn på nationalt plan. Som opfølgning på resolutionen har FNs højkommissær for menneskettigheder indsamlet data om nationale forhold og fremlagde i juni 2014 en rapport, der forholder sig meget kritisk til den praksis der eksisterer i  mange lande. Rapporten fremhæver blandt andet manglende transparens og retssikkerhed knyttet til statslig dataindsamling og potentiel overvågning.

Rapporten konkluderer, at statslig overvågning i stigende grad er normen snarere end undtagelsen og at der ofte er svage retsgarantier for den enkelte borger samt utilstrækkeligt tilsyn med myndigheders behandling af personoplysninger. Der peges også på, at private virksomheder i flere tilfælde medvirker til overvågning ved at give stater adgang til deres brugeres data uden at disse informeres eller samtykker. Højkommissæren understreger, at indgreb i retten til privatliv altid skal have hjemmel i lov samt udgøre en nødvendig og proportional foranstaltning; at indgreb i retten til privatliv ikke kan retfærdiggøres alene med henvisning til brugeres frivillige samtykke ved brug af internettjenester; at generel overvågning og logning er særligt problematiske; og at efterretningstjenesternes vide adgang til at opsamle data fordrer effektive retssikkerhedsmæssige garantier og tilsyn.

Dansk databeskyttelse

Herhjemme kom databeskyttelse for alvor på den politiske dagsorden med Se & Hør- og Nets-sagen i april 2014. Derudover har året blandt andet budt på en række sager om lækage af personoplysninger hos offentlige institutioner og private virksomheder, herunder læk af CPR-numre, læk af personoplysninger om el-kunder, hacking af kørekortregisteret, fejlagtige udleveringer af sundhedsoplysninger, fejlagtig offentliggørelse af personoplysninger fra flere kommuner og så videre.

Som opfølgning på de mange sager, hvor personoplysninger er blevet kompromitteret, nedsatte Folketinget i juni 2014 en parlamentarisk arbejdsgruppe, der skal undersøge mulighederne for en bedre beskyttelse af personoplysninger og et mere effektivt tilsyn med disse. Arbejdsgruppen har fået et meget bredt mandat, og har valgt i første omgang at fokusere på offentlige myndigheders behandling af personoplysninger, tekniske krav og standarder til fremme af datasikkerhed samt tilsynet med databeskyttelse i offentlige myndigheder og private virksomheder.

Den 22. oktober afholdte arbejdsgruppen den første offentlige høring i Retsudvalget. Her var blandt andet Rigsrevisionen og Datatilsynet indbudt til at tage temperaturen på databeskyttelse og IT-sikkerhed i den offentlige sektor. Rigsrevisionen konkluderede, at mange statslige virksomheder har et mangelfuldt niveau af informationssikkerhed og ikke har etableret de fornødne tekniske og organisatoriske tiltag for at beskytte fortrolige data. Vurderingen var blandt andet baseret på Rigsrevisionens såkaldte hackerberetning fra 2013 samt deres revisioner vedrørende persondata i perioden 2011 til 2013. Datatilsynet konkluderede ligeledes, at deres inspektioner viser en ringe efterlevelse af persondataloven og den tilhørende sikkerhedsbekendtgørelse i mange af de offentlige institutioner.

Høringens konklusioner sammenholdt med de mange eksempler på brud på datasikkerhed de senere år illustrerer behovet for mere grundlæggende at forbedre sikkerheden ved behandling af personoplysninger i den offentlige sektor såvel som i private virksomheder. Et gennemdigitaliseret samfund som det danske fordrer et tilsvarende højt niveau af databeskyttelse på såvel retligt, teknologisk som organisatorisk niveau. Alternativt kan resultatet blive en stadig stigning i sikkerhedsbrud, identitetstyverier, lækager af personoplysninger, kommerciel udnyttelse af personoplysninger, og mangelfuld beskyttelse af den enkelte borgers retssikkerhed.

Et af de nuværende problemer er, at databeskyttelse og IT-sikkerhed behandles som enten juridiske eller tekniske emner frakoblet hinanden. Hvis informationssikkerhed skal gennemsyre praksis i institutioner og virksomheder, kræver det et tæt samspil mellem retlige standarder, organisation og teknologisk løsning. Danmark mangler en stærk tværfaglig instans som kan rådgive, monitorere og tilse det brede område som IT-sikkerhed og databeskyttelse dækker over i både offentlige institutioner og private virksomheder. 

Privatliv i teknologien

Det er essentielt, at man i højere grad tænker privatlivsbeskyttelse og tekniske løsninger sammen. For eksempel at man laver privacy konsekvensanalyse (PIA) i forbindelse med opstart af alle nye offentlige IT-projekter og lovforslag, der behandler persondata. Privacy konsekvensanalyser er ikke obligatoriske i Danmark, mens de har været fast praksis i lande som Canada i flere år. Udgangspunktet er her, at man laver risikovurdering med udgangspunktet i borgerens krav på beskyttelse. Det indebærer, at borgeren ikke skal identificeres med mindre det er strengt nødvendigt i den konkrete situation. Privacy konsekvensanalyser kan for eksempel indarbejdes som fast obligatorisk praksis i tilknytning til de ISO standarder og den projektskabelon, som offentlige IT-projekter skal følge.

Ligeledes skal privacy som en naturlig og obligatorisk komponent tænkes ind i forbindelse med design af nye IT-systemer (såkaldt ”privacy by design”). Offentlige IT-projekter skal i langt højere grad gøre brug af privatlivsfremmende teknologier, både ved nye IT-løsninger men også når man skal gentænke for eksempel CPR-løsning eller Nem-ID.

Sidst men ikke mindst bør der udarbejdes en samlet strategi for sikkerhed og databeskyttelse i den offentlige forvaltning med pilotforsøg på centrale områder.

Danmark er i et internationalt perspektiv nået langt med digitalisering, mens niveauet for IT-sikkerhed og databeskyttelse ikke lever op til de standarder for digitalt privatliv, som vi selv hylder. Som led i regeringens ambitiøse digitaliseringsmål er det afgørende, at der sættes tilsvarende ambitiøse mål for IT sikkerhed og databeskyttelse, som en helt grundlæggende forudsætning for digital vækst i Danmark. 

Om denne blog

Teknologi, viden, internet - og om det, det gør ved vores verden

I redaktionen:

Lars Højholt

Didde Elnif

Jens Christoffersen

Simone Sefland

Send bidrag, forslag til artikler eller lignende til web@information.dk.

Anbefalinger

  • Reda Ammari
  • John Foley
  • Thomas Rasmussen
  • Kurt Nielsen
  • Lise Lotte Rahbek
  • Christel Petersson
Reda Ammari, John Foley, Thomas Rasmussen, Kurt Nielsen, Lise Lotte Rahbek og Christel Petersson anbefalede denne artikel

Kommentarer

Christel Petersson

Retten til privatliv og databeskyttelse er en yderst vigtig nødvendighed at tage en debat om, det burde fylde mere i flimmerkassens nyheder og være en endeløs debat.

Søren Kristensen

Vi bliver nok nødt til at vende os til at tingene (interesserne) bliver blandet endnu mere sammen. Fx. når de lokale posthus sælger kontoret og flytter ind i et vinduesløst hjørne hos Kiwi eller Fakta, fordi statstilskuddet er røget fordi vi har stemt på nogle bundlinjepartier. Internettet tager dog prisen og er det ikke bare deprimerende, på sådan en regnvejrsdag, at tænke på hvor hurtigt ens computer ville være hvis ikke det var for alt det cookiebasseret spam og anden markedsføring den skal tygge igennem, før der bliver plads til at servicere dig? Men det er jo en gammel sang og det bliver sikkert kun endnu værre.

Anne-Marie Krogsbøll

Vi befinder os midt i et jordskred af tendenser i totalitær retning i dette spørgsmål – det er næsten umuligt at følge med.

For en uges tid siden udtalte direktøren for ”Danske Patienter” sig om, at danske patienter vældig gerne vil registreres, da det ellers vil gå ud over forskningen. Såfremt den hidtidige praksis i DAMD med registrering af revl og krat i almen praksis skulle vise sig at være ulovlig, så må loven, ifølge direktøren, laves om, så der kan registreres og videregives noget mere. Og det er ikke smart, synes direktøren, at patienterne skal spørges, for det vil bare medføre færre data (!) Sundhedsministeren blev vældigt glad for denne klare udmeldingfra danske patienter.

Jeg håber ikke, at sundhedsministeren forveksler ”Danske Patienter” med danske patienter! ”Danske Patienter” er en paraplyorganisation for en mængde patientorganisationer, som i varierende grad modtager støtte fra medicinalindustrien. Medicinalindustrien vil vældigt gerne have fingrene i disse data. ”Danske Patienter” er derfor ikke en uvildig stemme for patienterne, og jeg vil gerne have mig frabedt at skulle repræsenteres af Danske Patienter i denne sag.

Er danske patienter – altså den store uorganiserede masse - blevet spurgt om deres holdning til dette? Jeg husker ikke at være blevet spurgt. Og herhjemme i privaten har vi hidtil været medlemmer af flere patientforeninger – vi er sandelig ikke blevet spurgt det mindste af disse patientforeninger om vores holdning til, om vi vil registreres og have vores følsomme oplysninger videregivet til højest betalende. Så hvad giver ”Danske Patienter”s direktør ret til at udtale sig på vegne af danske patienter i et så alvorligt og afgørende spørgsmål? Og hvordan kan en direktør, der mener at repræsentere danske patienter, have den holdning, at det vil være uheldigt, hvis patienterne skal spørges om tilsagn til videregivelse, fordi det kan betyde færre data? Det siger vist alt om denne direktørs respekt for dem, han mener at repræsentere.

Udviklingen i opsamling og videregivelse af dybt følsomme persondata, uden at borgerne har mulighed for at sige fra, er løbet løbsk. Indtil der er sikkerhed for, at disse data kun bruges til det, de er tiltænkt (dvs. ikke-kommercielt), og kun med tilstrækkelig sikring af tilsagn, datasikkerhed og anonymisering (dvs. ikke pseudoanonymisering, som blot indebærer sletning af navn og cpr.nummer), bør man sætte hælene i. Når først disse data er "sluppet ud" af sækken, er der jo ingen måde at kalde dem tilbage på. ”You can’t unring a bell.”

Ydermere er det kun gruppe 1-sygesikrede, der bliver kodet og registreret via disse tvungne dataopsamlinger hos egen læge. Gruppe 2-sikrede betaler sig fra det. Det vil sige, at den rigeste del af befolkningen kan betale sig fra at blive registreret. Hvad er begrundelsen for dette? – Sundhedsministeriet vil ikke svare. Hvilken sygesikringsgruppe tilhører samfundets spidser, politikere og topledere i sygehusvæsnet (og f.eks. i Danske Patienter)? Er det mon således, at de ansvarlige for denne udvikling, og de fremmeste fortalere for den, ikke selv bliver registreret?

Den største trussel mod patientsikkerheden er ikke effektive regler mod misbrug af data og uhæmmet registrering, sådan som direktøren for ”Danske Patienter” prøver at bilde os ind, men derimod sjusk og ansvarsløshed inden for offentlig omgang med persondata og datasikkerhed, i samspil med medicinalindustriens infiltrering af det offentlige sundhedsvæsen. En infiltrering som ødelægger (eller burde ødelægge) tilliden til, at beslutninger tages til patienternes bedste – på alle niveauer af sundhedsvæsnet.

Jeg vil kraftigt overveje at melde mig ud af vores patientforeninger på baggrund af direktørens udmelding. Og selv om jeg tidligere har deltaget i befolkningsundersøgelser for at støtte forskningen, så siger jeg fremover nej tak, indtil der er styr på sikkerheden, og beder de pågældende befolkningsundersøgelser om at slette mine data. Og jeg vil opfordre andre til at gøre det samme, indtil man kan føle sig tryg ved, hvad der sker med ens oplysninger.

Den seneste tids sager med manglende datasikkerhed og retssikkerhed vedr. personfølsomme data viser nemlig med al tydelighed, at de ansvarshavende politikere og ledere ikke for alvor tager ansvar for dette område, før de bliver tvunget til det via pres fra befolkningen og medierne. Det var dybt chokerende tilstande af kaos og sjusk på området ”beskyttelse af personfølsomme data”, der blev afsløret under den omtalte høring i Folketingets arbejdsgruppe vedr. dette spørgsmål forleden. Jeg var rystet.

Der er, ud fra oplysningerne ved denne høring, absolut ingen som helst grund til at have tillid til datasikkerheden indenfor det offentlige, men der er desværre så mange penge på spil, at man er parat til at ofre principper, man for få år siden ville opfatte som hellige – herunder fortroligheden hos egen læge og afvisningen af at sælge data kommercielt. Bare det faktum, at man har påbegyndt denne omfattende registrering af alt muligt uden at sikre sig, at det var lovligt (”under radaren”), og uden at der er en pind styr på datasikkerheden indenfor det offentlige, det siger jo alt om, hvor meget tillid man kan have til de ansvarshavende på dette område.

Lad os som sagt ikke håbe, at sundhedsministeren nu mener at have hørt danske patienters stemme via ”Danske Patienter”s direktør – for så ser det ilde ud for alle os, der gerne selv vil have noget at skulle have sagt i forhold til anvendelsen af vores følsomme og fortrolige data.

Reda Ammari, René R. Odgaard og Lise Lotte Rahbek anbefalede denne kommentar

Jeg er hamrende ligeglad med efterretningstjenester på dette punkt ...de er ikke og bør ikke være nemme at få noget ud af alligevel - næh, det er de frie markedskræfters varegørelse af alt, der er problemet her. Den almene interesse er altid analog i.e. kan ikke defineres sandfærdigt ad digital, statistisk vej. Kun justeres til en given særinteresses fortælling.

Glimrende artikel. Saglig og professionel behandling af dette vigtige emne. Og Helt enig i Rikke Frank Jørgensens anbefaling: "Danmark mangler en stærk tværfaglig instans som kan rådgive, monitorere og tilse det brede område som IT-sikkerhed og databeskyttelse dækker over i både offentlige institutioner og private virksomheder" og videre: " Sidst men ikke mindst bør der udarbejdes en samlet strategi for sikkerhed og databeskyttelse i den offentlige forvaltning med pilotforsøg på centrale områder".
Kunne forfatteren uddybe sin anbefaling og blive lidt mere konkret, f.eks hvilken instans eller myndighed, der skulle kunne gennemføre de nævnte tiltag ville det forøge artiklens gennemslagskraft.
Bemærk i øvrigt at Rigsrevisonen for blot et par dage siden igen har været ude og stærkt kritisereret de offentlige myndigeheders mangelfulde it-sikkerhed og lemfældige omgang med befolkningens personfølsomme oplysninger og fortrolige metadata.