Tenk om et norsk sykehus delte informasjon om hva som blir lest og hvem som leser på sykehusets nettsted, med noen som samarbeider med et fremmed lands etterretningsvesen, og at flere andre fremmede lands etterretningstjenester kan snappe opp informasjonen.
Tenk om flere sykehus, kommuner, helsestasjoner, universitet, høyskoler, grunnskoler, Stortinget, det meste av offentlig forvaltning, medier, adopsjonstjenester og krisesenter gjør det samme?
Tenk om de som lytter kan holde oversikt over norske borgeres interesser, sykdommer, rusmisbruk, adopsjon, abort, barnehager, politiske interesser og sympatier samt hvilke argumenter som har best effekt på beslutningstagere og måter de kan påvirkes. Ville det gitt grunn til bekymring?
Høres det ut som noe tatt ut fra fantasien til George Orwell, forfatteren av dystopien 1984? Det er virkeligheten i Norge i dag, takket være bruken av statistikktjenester som Google Analytics.
Du kan beskytte deg
Men borgerne har et forsvar mot dette angrepet på privatsfæren. Dagens nettlesere har utvidelser som støtter å blokkere slik utlevering av informasjon. Personlig bruker jeg Privacy Badger, Ghostery, NoScript og AdBlock, og anbefaler alle å gjøre noe tilsvarende. Merk at noen av verktøyene lekker informasjon, i tillegg til å gjøre en nyttig jobb, så det er lurt å bruke flere sammen. I tillegg bør hver og en av oss sende inn protest til organisasjonene bak nettsteder som bidrar til dette inngrepet i privatsfæren.
Hvem bidrar til overvåkningen?
Takket være Ghostery la jeg merke til at flere og flere norske nettsteder begynte å la Google Analytics overvåke brukerne. Jeg ble nysgjerrig på hvor mange det gjaldt, og gikk igjennom ca. 2700 norske nettsteder, hovedsakelig offentlig forvaltning. Jeg laget et system for å koble seg opp automatisk og sjekke hvor nettstedene spredte informasjon om besøket. Jeg ble overrasket både over omfanget og hva slags nettsteder som rapporterer besøksinformasjon ut av landet. Omtrent 70 prosent av de 2700 sender informasjon til Google Analytics. Noen tilfeldige eksempler er Akershus Universitetssykehus, Sykehuset Østfold, Lommelegen, Oslo krisesenter, Stortinget, den norske regjering, de fleste politiske partier på Stortinget, NAV, Altinn, NRK, TV2, Helse Førde, Helse Stavanger, Oslo kommune, Nasjonalbiblioteket, Pasientombudet, Kongehuset, Politiet, Teknologirådet, Tollvesenet, Norsk romsenter, Forsvarsbygg og Sivilforsvaret. Og det er mange flere.
Hvordan kan det offentlige Norge omfavne en slik praksis? Det er gode hensikter bak. Google har laget en god tjeneste for nettstedseiere, der de uten å betale med noe annet enn en bit av de besøkenes privatsfære får tilgang til nyttig og presis statistikk over nettstedets bruk ved å besøke netttjenesten hos Google. De færreste merker ulempene angrepet på privatsfæren som nettstedene og Google utgjør.
Hvordan foregår det?
I nettsider kan nettsteder legge inn lenker til programkode som skal kjøres av brukerens nettleser. De som tar i bruk Google Analytics legger typisk inn lenke til et javascript-program hos Google som ber nettleseren ta kontakt med Google og dele IP-adresse, side besøkt, aktuelle cookies og endel informasjon om nettleseren med Google Analytics. Programmet trenger ikke være det samme for alle som henter det fra Google. Det finnes et Google Analytics-tilvalg kalt «anonymisering» som nettstedeier kan ta i bruk. Dette instruerer det omtalte programmet om å be Google slette deler av den oversendte IP-adressen. Full IP-adresse sendes likevel over og er tilgjengelig for alle som snapper opp informasjonen underveis.
Takket være varsleren Edward Snowden, som bidro til uvurderlig dokumentasjon på snurpenot-overvåkningen som nordmenn blir utsatt for, vet vi at Google samarbeider med USAs etteretning som avlytter trafikk sendt til Google Analytics.
Men allerede før Snowden var det bekreftet at både britiske GCHQ og USAs NSA avlytter og lagrer blant annet Internett-trafikk som er innom et av landene, i tillegg til at FRA i Sverige avlytter og lagrer trafikk som passerte grensa til Sverige.
Og som Datatilsynet sa til Dagens Næringsliv i 2013 kunne de vanskelig nekte bruk av skytjenester som Google Analytics når Norge var bundet av EUs «Safe Harbour»-avtale med USA. De måtte derfor se bort fra f.eks. FISAAA-loven (som lar NSA avlytte Internett-trafikk) i sine vurderinger. Når nå EUs «Safe Harbour»-avtale er underkjent, og det foreslås å bruke individuell avtalerett mellom selskaper som juridisk grunnlag for å sende personopplysninger til USA, er det greit å huske på at FISAA-loven og andre som brukes av USA som grunnlag for masseovervåkning overstyrer slike avtaler.
For øvrig burde varsleren Edward Snowden få politisk asyl i Norge.