X-Git-Url: http://pere.pagekite.me/gitweb/homepage.git/blobdiff_plain/004634752854baf4ae880b35fd697a31d4c5d0e5..a8c94673f3e4f51c47ece03204e624e68beafc38:/blog/archive/2016/12/12.rss

diff --git a/blog/archive/2016/12/12.rss b/blog/archive/2016/12/12.rss
index 9eaf76aa7a..2d35d62087 100644
--- a/blog/archive/2016/12/12.rss
+++ b/blog/archive/2016/12/12.rss
@@ -6,6 +6,359 @@
                 <link>http://people.skolelinux.org/pere/blog/</link>
 
 	
+	<item>
+		<title>Er lover brutt når personvernpolicy ikke stemmer med praksis?</title>
+		<link>http://people.skolelinux.org/pere/blog/Er_lover_brutt_n_r_personvernpolicy_ikke_stemmer_med_praksis_.html</link>        
+		<guid isPermaLink="true">http://people.skolelinux.org/pere/blog/Er_lover_brutt_n_r_personvernpolicy_ikke_stemmer_med_praksis_.html</guid>
+                <pubDate>Fri, 9 Dec 2016 14:20:00 +0100</pubDate>
+		<description>&lt;p&gt;NÃ¥r jeg bruker &lt;a href=&quot;https://www.ghostery.com/&quot;&gt;Ghostery&lt;/a&gt;,
+&lt;a href=&quot;https://www.ublock.org/&quot;&gt;uBlock&lt;/a&gt;,
+&lt;a href=&quot;https://github.com/gorhill/uMatrix&quot;&gt;uMatrix&lt;/a&gt;,
+&lt;a href=&quot;https://github.com/andryou/scriptsafe&quot;&gt;ScriptSafe&lt;/a&gt; og andre
+nettleserverktøy (de passer på hverandre) for å holde styr på hvordan
+nettsteder sprer informasjon om hvilke nettsider jeg leser blir det
+veldig synlig hvilke nettsteder som er satt opp til å utveksle
+informasjon med utlandet og tredjeparter.  For en stund siden la jeg
+merke til at det virker å være avvik mellom personvernpolicy og
+praksis endel steder, og tok tak i et par konkrete eksempler og sendte
+spørsmål til Datatilsynets kontaktpunkt for veiledning:&lt;/p&gt;
+
+&lt;blockquote&gt;
+
+&lt;p&gt;«Jeg har et spørsmål når det gjelder bruken av Google Analytics og
+personvernpolicy.  Er det lovlig for et nettsted å si en ting i
+personvernpolicy og gjøre noe annet i virkeligheten?  Spesifikt lurer
+jeg på hvilket lov som er brutt hvis nettstedet i HTML-koden til
+nettsidene ber lesernes nettleser om å kontakte Google Analytics og
+slik overleverer sitt IP-nummer til Google, samtidig som
+personvernpolicien hevder at Google Analytics kun får anonymiserte
+data.  Google får jo i slike tilfeller alltid overført fullt
+IP-nummer, og nettstedet kan i URL-en som brukes be Google om å ikke
+lagre deler av IP-adressen (omtalt som anonymisering av Google
+Analytics)&lt;/p&gt;
+
+&lt;p&gt;Et eksempel er Nettavisen digi.no.
+&lt;a href=&quot;http://www.digi.no/artikler/personvernpolicy/208772&quot;&gt;Deres
+personvernpolicy&lt;/a&gt; sier følgende:&lt;/p&gt;
+
+&lt;blockquote&gt;
+  «Tredjeparter (som Google Analytics, Cxense, TNS Gallup) får kun
+  anonymiserte data.»
+&lt;/blockquote&gt;
+
+&lt;p&gt;Men når en leser artikler der så blir maskiner i Norge, USA,
+Tyskland, Danmark, Storbritannia, Irland og Nederland varslet om
+besøket og får dermed overlevert full IP-adresse, som datatilsynet har
+uttalt er en personopplysning.  Nettsidene er satt opp til be
+nettleseren å kontakte 29 ulike maskiner rundt om i verden.  Fire av
+dem er er under DNS-domenene digi.no og tek.no som tilhører samme
+eier.  I tillegg ber nettsidene ikke
+&lt;a href=&quot;https://support.google.com/analytics/answer/2763052?hl=no&quot;&gt;Google
+Analytics om å fjerne siste oktett i IP-adressen ved lagring&lt;/a&gt;,
+dvs. flagget «aip=1» er ikke satt i URL-en som brukes for å kontakte
+Google Analytics.&lt;/p&gt;
+
+&lt;p&gt;Tilsvarende er også tilfelle for andre nettsteder, så digi.no er
+ikke spesiell i så måte (dagbladet.no er et annet eksempel, det
+gjelder flere).»&lt;/p&gt;
+
+&lt;/blockquote&gt;
+
+&lt;p&gt;Etter noen dager kunne juridisk rådgiver Elisabeth Krauss Amundsen
+hos Datatilsynet fortelle det følgende:&lt;/p&gt;
+
+&lt;blockquote&gt;
+«Hei, og takk for din e-post.&lt;/p&gt;
+
+&lt;p&gt;Vår svartjeneste gir deg kortfattet rådgivning. Vi vil derfor ikke konkludere
+i saken din, men gi deg råd og veiledning.&lt;/p&gt;
+
+&lt;p&gt;Ut ifra det du skriver er det antakelig flere bestemmelser i
+personopplysingsloven som brytes dersom virksomhetens personvernpolicy
+sier noe annet om behandlingen av personopplysninger enn det som
+faktisk skjer.  Antakelig vil det være et brudd på informasjonsplikten
+i personopplysingsloven §§ 18 og
+19&amp;lt;&lt;a href=&quot;https://lovdata.no/dokument/NL/lov/2000-04-14-31/KAPITTEL_2#§18&quot;&gt;https://lovdata.no/dokument/NL/lov/2000-04-14-31/KAPITTEL_2#§18&lt;/a&gt;&amp;gt;
+dersom det gis feilinformasjon om at opplysningene utleveres. Det kan
+også stilles spørsmål om grunnkravene for behandling av
+personopplysninger vil være oppfylt ved en utlevering av
+personopplysninger til en tredjepart, dersom dette ikke er inkludert
+behandlingsgrunnlaget og formålet med behandlingen, se
+personopplysingsloven § 11, jf.
+8.&amp;lt;&lt;a href=&quot;https://lovdata.no/dokument/NL/lov/2000-04-14-31/KAPITTEL_2#§11&quot;&gt;https://lovdata.no/dokument/NL/lov/2000-04-14-31/KAPITTEL_2#§11&lt;/a&gt;&amp;gt;»
+&lt;/blockquote&gt;
+
+&lt;!-- Her er full URL som digi ba nettleserne bruke for å melde fra til
+Google Analytics:
+https://www.google-analytics.com/r/collect?v=1&amp;_v=j47&amp;a=666919305&amp;t=pageview&amp;_s=1&amp;dl=http%3A%2F%2Fwww.digi.no%2F&amp;ul=nb-no&amp;de=UTF-8&amp;dt=Digi.no%20-%20IT-bransjens%20nettavis&amp;sd=32-bit&amp;sr=1024x768&amp;vp=400x300&amp;je=0&amp;_u=AEAAAMQAK~&amp;jid=592247632&amp;cid=1641512195.1480086725&amp;tid=UA-54426-28&amp;_r=1&amp;z=328520576
+--&gt;
+
+&lt;p&gt;Oppdatert med kunnskap om lover og regler tok jeg så kontakt med
+Dagbladet på epostadressen de annonserer på sine
+personvernpolicysider:&lt;p&gt;
+
+&lt;blockquote&gt;
+
+&lt;p&gt;«Jeg lurte litt i forbindelse med en bloggpost jeg skriver på, og lurer
+på om dere hjelpe meg med å finne ut av følgende.  Først litt
+bakgrunnsinformasjon.
+&lt;a href=&quot;http://www.dagbladet.no/2009/08/18/nyheter/avtale/brukeravtale/plikter/7706966/&quot;&gt;Dagbladets
+personvernpolicy&lt;/a&gt; forteller følgende:&lt;/p&gt;
+
+&lt;blockquote&gt;
+  &lt;p&gt;«3. Automatisk innhentet informasjon&lt;/p&gt;
+
+  &lt;p&gt;For eksempel IP-adressen din (ikke synlig for andre) samt
+  statistisk, automatisk produsert informasjon, som når du sist var
+  innlogget på tjenesten. Dette er informasjon vi samler for å gjøre
+  tjenesten best mulig.»&lt;/p&gt;
+
+&lt;/blockquote&gt;
+
+
+&lt;p&gt;Men når en besøker nettsidene til Dagbladet,
+f.eks. &lt;a href=&quot;http://dagbladet.no/&quot;&gt;forsiden&lt;/a&gt;, så er nettsidene
+satt opp til å kontakte mange tredjeparter som slik får tilgang til
+både fullt IP-nummer og i de fleste tilfeller nøyaktig hvilken
+artikkel en leser hos Dagbladet ved at Referer-feltet fylles og legges
+ved.  Dette gjelder Google Analytics, Cxense, INS Gallup, Doubleclick
+med flere.  Totalt ber forsiden nettleseren om å koble seg opp til 60
+nettsteder med 149 separate oppkoblinger.  I hver av disse
+oppkoblingene oversendes IP-adressen til leseren, og i følge
+Datatilsynet er
+«&lt;a href=&quot;https://www.datatilsynet.no/Teknologi/Internett/Webanalyse/&quot;&gt;en
+IP-adresse definert som en personopplysning fordi den kan spores
+tilbake til en bestemt maskinvare og dermed til en enkeltperson&lt;/a&gt;».&lt;/p&gt;
+
+&lt;p&gt;Datatilsynet har fortalt meg at i følge personopplysingsloven §§ 18
+og 19 skal informasjonen som gis om bruk og utlevering av
+personopplysninger være korrekt.  De forteller videre at det er endel
+grunnkrav som må være oppfylt ved utlevering av personopplysninger til
+tredjeparter, nærmere forklart i personopplysingsloven § 11 som
+henviser til § 8.&lt;/p&gt;
+
+&lt;p&gt;Mitt spørsmål er dermed som følger:&lt;/p&gt;
+
+  &lt;blockquote&gt;
+
+  &lt;p&gt;Hva mener dere i personpolicyen når dere skriver at IP-adressen ikke
+  er synlig for andre?»&lt;/p&gt;
+  
+  &lt;/blockquote&gt;
+
+&lt;/blockquote&gt;
+
+&lt;p&gt;Etter en uke har jeg fortsatt ikke fått svar fra Dagbladet på mitt
+spørsmål, så neste steg er antagelig å høre om Datatilsynet er
+interessert i å se på saken.&lt;/p&gt;
+
+&lt;p&gt;Men Dagbladet er ikke det eneste nettstedet som forteller at de
+ikke deler personopplysninger med andre mens observerbar praksis
+dokumenterer noe annet.  Jeg sendte derfor også et spørsmål til
+kontaktadressen til nettavisen Digi.no, og der var responsen mye
+bedre:&lt;/p&gt;
+
+&lt;blockquote&gt;
+
+&lt;p&gt;«Jeg lurte på en ting i forbindelse med en bloggpost jeg skriver på,
+og lurer på om dere hjelpe meg.  Først litt bakgrunnsinformasjon.
+&lt;a href=&quot;http://www.digi.no/artikler/personvernpolicy/208772&quot;&gt;Digi.nos
+personvernpolicy&lt;/a&gt; forteller følgende:&lt;/p&gt;
+
+&lt;blockquote&gt;
+  «All personlig informasjon blir lagret i våre systemer, disse er ikke
+  tilgjengelig for tredjeparter, og blir ikke lagret i
+  informasjonskapsler.  Tredjeparter (som Google Analytics, Cxense,
+  TNS Gallup) får kun anonymiserte data.»
+&lt;/blockquote&gt;
+
+&lt;p&gt;Men når en besøker nettsidene til nettavisen, f.eks.
+&lt;a href=&quot;http://www.digi.no/&quot;&gt;forsiden&lt;/a&gt;, så er nettsidene satt opp
+til å kontakte mange tredjeparter som slik får tilgang til både fullt
+IP-nummer og i de fleste tilfeller nøyaktig hvilken artikkel en leser
+hos Digi.no ved at Referer-feltet fylles og legges ved.  Dette gjelder
+både Google Analytics, Cxense blant og INS Gallum.  Totalt ber
+forsiden nettleseren om å koble seg opp til 29 nettsteder med 44
+separate oppkoblinger.  I hver av disse oppkoblingene sendes
+IP-adressen til leseren over, og i følge Datatilsynet er
+«&lt;a href=&quot;https://www.datatilsynet.no/Teknologi/Internett/Webanalyse/&quot;&gt;en
+IP-adresse definert som en personopplysning fordi den kan spores
+tilbake til en bestemt maskinvare og dermed til en enkeltperson&lt;/a&gt;».
+Det jeg ser virker ikke å være i tråd med personvernpolicyen.&lt;/p&gt;
+
+&lt;p&gt;Når en besøker Digi.nos nettsider gjøres det to oppkoblinger til
+Google Analytics, en for å hente ned programkoden som samler
+informasjon fra nettleseren og sender over til Google (analytics.js),
+og en for å overføre det som ble samlet inn.  I den siste oppkoblingen
+er det mulig å be Google om å ikke ta vare på hele IP-adressen, men i
+stedet fjerne siste oktett i IP-adressen.  Dette omtales ofte litt
+misvisende for «anonymisert» bruk av Google Analytics, i og med at
+fullt IP-nummer blir sendt til Google og det er opp til Google om de
+vil bry seg om ønsket fra de som har laget nettsiden.  Ut fra det som
+står i personvernpolicyen ville jeg tro at Digi.no ba google om å ikke
+ta vare på hele IP-nummeret, men når en ser på den andre oppkoblingen
+kan en se at flagget «aio=1» ikke er satt, og at Digi.no ikke ber
+Google om å la være å lagre hele IP-adressen.  Dette virker heller
+ikke å være i tråd med personvernpolicyen.&lt;/p&gt;
+
+&lt;p&gt;Datatilsynet har fortalt meg at i følge personopplysingsloven §§ 18
+og 19 skal informasjonen som gis om bruk og utlevering av
+personopplysninger være korrekt.  De forteller videre at det er endel
+grunnkrav som må være oppfylt ved utlevering av personopplysninger til
+tredjeparter, nærmere forklart i personopplysingsloven § 11 som
+henviser til § 8.  Det er uklart for meg om disse kravene er oppfylt
+når IP-adresse og informasjon om hvilke websider som besøkes til
+tredjeparter.&lt;/p&gt;
+
+&lt;p&gt;Mitt spørsmål er dermed som følger:&lt;/p&gt;
+
+&lt;blockquote&gt;
+
+  &lt;p&gt;Hva mener dere i personpolicyen når dere skriver at «Tredjeparter
+  får kun anonymiserte data»?»&lt;/p&gt;
+  
+&lt;/blockquote&gt;
+
+&lt;/blockquote&gt;
+
+&lt;p&gt;Redaksjonssjef Kurt Lekanger svarte samme dag og forklarte at han
+måtte komme tilbake til meg når han hadde med utviklingsavdelingen.
+Seks dager senere lurte jeg på hva han fant ut, og etter noen timer
+fikk jeg så følgende svar fra direktøren for teknologi og
+forretningsutvikling Øystein W. Høie i Teknisk Ukeblad Media:&lt;/p&gt;
+
+&lt;blockquote&gt;
+
+&lt;p&gt;«Takk for godt tips! Det er helt riktig at IP og referrer-adresse
+potensielt kan leses ut av tredjepart.&lt;/p&gt;
+
+&lt;p&gt;Retningslinjene våre har vært uklare på dette tidspunktet, og vi
+oppdaterer nå disse så dette kommer tydeligere frem. Ny tekst blir som
+følger:&lt;/p&gt;
+
+&lt;hr&gt;
+&lt;p&gt;3. Dette bruker vi ikke informasjonen til Informasjon du oppgir til
+oss blir lagret i våre systemer, er ikke tilgjengelig for
+tredjeparter, og blir ikke lagret i informasjonskapsler.
+Informasjonen vil kun benyttes til å gi deg som bruker mer relevant
+informasjon og bedre tjenester.&lt;/p&gt;
+
+&lt;p&gt;Tredjeparter (som Google Analytics, Cxense, TNS Gallup) vil kunne
+hente ut IP-adresse og data basert på dine surfemønstre. TU Media AS
+er pliktig å påse at disse tredjepartene behandler data i tråd med
+norsk regelverk.&lt;/p&gt;
+&lt;hr&gt;
+
+&lt;p&gt;Ellers har vi nå aktivert anonymisering i Google Analytics
+(aip=1). Kan også nevne at Tek.no-brukere som har kjøpt Tek Ekstra har
+mulighet til å skru av all tracking i kontrollpanelet sitt. Dette er
+noe vi vurderer å rulle ut på alle sidene i vårt nettverk.»&lt;/p&gt;
+
+&lt;/blockquote&gt;
+
+&lt;p&gt;Det var nyttig å vite at vi er enige om at formuleringen i
+personvernpolicyen er misvisende.  Derimot var det nedslående at i
+stedet for å endre praksis for å følge det personvernpolicyen sier om
+å ikke dele personinformasjon med tredjeparter, så velger Digi.no å
+fortsette praksis og i stedet endre personvernpolicyen slik at den å
+dokumentere dagens praksis med spredning av personopplysninger.&lt;/p&gt;
+
+&lt;p&gt;Med bakgrunn i at Digi.no ikke har fulgt sin egen personvernpolicy
+spurte jeg hvordan Digi.no kom til å håndtere endringen:&lt;/p&gt;
+
+&lt;blockquote&gt;
+
+&lt;p&gt;«Tusen takk for beskjed om endring av personvernpolicy for digi.no.
+Gjelder endringen også andre nettsteder?&lt;/p&gt;
+
+&lt;p&gt;Vil tidligere håndteringen av IP-adresser og lesemønster i strid
+med dokumentert personvernpolicy bli varslet til Datatilsynet i tråd
+med
+&lt;a href=&quot;https://lovdata.no/forskrift/2000-12-15-1265/§2-6&quot;&gt;personopplysningsforskriften
+§ 2-6&lt;/a&gt;?  Vil leserne bli varslet på en prominent og synlig måte om
+at lesernes IP-adresser og lesemønster har vært utlevert til
+tredjeparter i stid med tidligere formulering om at tredjeparter kun
+får anonymiserte data, og at utleveringen fortsetter etter at
+personvernpolicy er endret for å dokumentere praksis?&lt;/p&gt;
+
+&lt;p&gt;Appropos ekstra tilbud til betalende lesere, tilbyr dere en
+mulighet for å betale for å lese som ikke innebærer at en må gjøre det
+mulig å la sine lesevaner blir registeret av tek.no?  Betaler gjerne
+for å lese nyheter, men ikke med en bit av privatlivet mitt. :)»&lt;/p&gt;
+&lt;/blockquote&gt;
+
+&lt;p&gt;Jeg fikk raskt svar tilbake fra direktøren Høie:&lt;/p&gt;
+
+&lt;blockquote&gt;
+&lt;p&gt;«Tydeliggjøringen i personvernpolicy gjelder alle våre nettsteder.&lt;/p&gt;
+
+&lt;p&gt;Vi kommer til å ta en runde og gå over vår policy i forbindelse med
+dette, og vil i de tilfeller det er påkrevd selvsagt være tydelig
+overfor brukere og tilsyn. Vil samtidig understreke at vår bruk av
+tredjeparts analyseverktøy og annonsetracking er helt på linje med det
+som er normalt for norske kommersielle nettsteder.&lt;/p&gt;
+
+&lt;p&gt;Angående spørsmålet ditt: 
+&lt;br&gt;Du vil fortsatt vise i våre interne systemer om du blir Ekstra-bruker,
+vi skrur bare av tredjeparts tracking.»&lt;/p&gt;
+&lt;/blockquote&gt;
+
+&lt;p&gt;Det høres jo ikke bra ut at det er normalt for norske kommersielle
+nettsteder å utlevere lesernes personopplysninger til utlandet.  Men
+som en kan lese fra &lt;a href=&quot;https://www.nrk.no/norge/kommunen-deler-informasjon-om-deg-med-facebook-og-google-1.13248945&quot;&gt;gårdagens oppslag fra NRK&lt;/a&gt; gjelder
+det også norske kommuner og andre offentlige aktører, og
+&lt;a href=&quot;http://people.skolelinux.org/pere/blog/Snurpenot_overv_kning_av_sensitiv_personinformasjon.html&quot;&gt;jeg
+skrev om omfanget av problemet i fjor&lt;/a&gt;.  Det er uansett ikke en
+praksis jeg tror er i tråd med kravene i personopplysningsloven, og
+heller ikke en praksis jeg som leser synes er greit.  Jeg manglet dog
+fortsatt svar på om Digi.no kom til å varsle lesere og Datatilsynet om
+avviket mellom praksis og policy, så jeg forsøkte meg med en ny epost
+i går kveld:&lt;/p&gt;
+
+&lt;blockquote&gt;
+
+&lt;p&gt;«Kan du fortelle meg om dere anser det å være påkrevd å varsle
+tilsyn og brukere nå, når dere har oppdaget at praksis ikke har vært i
+tråd med personvernpolicy?»&lt;/p&gt;
+       
+&lt;/blockquote&gt;
+
+&lt;p&gt;Det spørsmålet vet jeg så langt ikke svaret på, men antagelig kan
+Datatilsynet svare på om det er påkrevd å varsle tilsyn og lesere om
+dette.  Jeg planlegger å oppdatere denne bloggposten med svaret når
+det kommer.&lt;/p&gt;
+
+&lt;p&gt;Jeg synes jo det er spesielt ille når barn får sine
+personopplysninger spredt til utlandet, noe jeg
+&lt;a href=&quot;https://www.mimesbronn.no/request/opplysninger_samlet_inn_av_mobil&quot;&gt;tok
+opp med NRK i fjor&lt;/a&gt;.  De to eksemplene jeg nevner er som dere
+forstår ikke unike, men jeg har ikke full oversikt over hvor mange
+nettsteder dette gjelder.  Jeg har ikke kapasitet til eller glede av å
+lese alle personvernpolicyer i landet.  Kanskje mine lesere kan sende
+meg tips på epost om andre nettsteder med avvik mellom policy og
+praksis?  Hvis vi alle går sammen og kontakter de ansvarlige, kanskje
+noen til slutt endrer praksis og slutter å dele lesernes
+personopplysninger med tredjeparter?&lt;/p&gt;
+
+&lt;p&gt;Apropos bruken av Google Analytics kan jeg forresten nevne at
+Universitetet i Oslo også har tatt i bruk Google Analytics, men der
+lagres programkoden som overføres til nettleserne lokalt og deler av
+IP-adressen fjernes lokalt på universitetet via en mellomtjener/proxy
+(&lt;a href=&quot;https://github.com/unioslo/ipproxy&quot;&gt;tilgjengelig via
+github&lt;/a&gt;) før informasjon sendes over til Google Analytics.  Dermed
+er det mulig for ansvarlige for nettstedet å &lt;em&gt;vite&lt;/em&gt; at Google
+ikke har tilgang til komplett IP-adresse.  Årsaken til at denne
+metoden brukes er at juristene ved universitetet har konkludert med at
+det er eneste måten en kunne vurdere å bruke Google Analytics uten å
+bryte loven.  Risikoen for gjenidentifisering og
+&lt;a href=&quot;https://panopticlick.eff.org/&quot;&gt;identifisering ved hjelp av
+nettleserinformasjon&lt;/a&gt; er fortsatt tilstede, så det er ingen optimal
+løsning, men det er bedre enn å håpe at f.eks. Google og alle som
+lytter på veien skal prioritere norsk lov over sin lokale
+lovgivning.&lt;/p&gt;
+</description>
+	</item>
+	
 	<item>
 		<title>Fri programvare-tilbakeblikk for 2015 og 2016</title>
 		<link>http://people.skolelinux.org/pere/blog/Fri_programvare_tilbakeblikk_for_2015_og_2016.html</link>