Når jeg bruker Ghostery,
uBlock,
uMatrix,
ScriptSafe og andre
nettleserverktøy (de passer på hverandre) for å holde styr på hvordan
nettsteder sprer informasjon om hvilke nettsider jeg leser blir det
veldig synlig hvilke nettsteder som er satt opp til å utveksle
informasjon med utlandet og tredjeparter. For en stund siden la jeg
merke til at det virker å være avvik mellom personvernpolicy og
praksis endel steder, og tok tak i et par konkrete eksempler og sendte
spørsmål til Datatilsynets kontaktpunkt for veiledning:
«Jeg har et spørsmål når det gjelder bruken av Google Analytics og
personvernpolicy. Er det lovlig for et nettsted å si en ting i
personvernpolicy og gjøre noe annet i virkeligheten? Spesifikt lurer
jeg på hvilket lov som er brutt hvis nettstedet i HTML-koden til
nettsidene ber lesernes nettleser om å kontakte Google Analytics og
slik overleverer sitt IP-nummer til Google, samtidig som
personvernpolicien hevder at Google Analytics kun får anonymiserte
data. Google får jo i slike tilfeller alltid overført fullt
IP-nummer, og nettstedet kan i URL-en som brukes be Google om å ikke
lagre deler av IP-adressen (omtalt som anonymisering av Google
Analytics)
Et eksempel er Nettavisen digi.no.
Deres
personvernpolicy sier følgende:
«Tredjeparter (som Google Analytics, Cxense, TNS Gallup) får kun
anonymiserte data.»
Men når en leser artikler der så blir maskiner i Norge, USA,
Tyskland, Danmark, Storbritannia, Irland og Nederland varslet om
besøket og får dermed overlevert full IP-adresse, som datatilsynet har
uttalt er en personopplysning. Nettsidene er satt opp til be
nettleseren å kontakte 29 ulike maskiner rundt om i verden. Fire av
dem er er under DNS-domenene digi.no og tek.no som tilhører samme
eier. I tillegg ber nettsidene ikke
Google
Analytics om å fjerne siste oktett i IP-adressen ved lagring,
dvs. flagget «aip=1» er ikke satt i URL-en som brukes for å kontakte
Google Analytics.
Tilsvarende er også tilfelle for andre nettsteder, så digi.no er
ikke spesiell i så måte (dagbladet.no er et annet eksempel, det
gjelder flere).»
Etter noen dager kunne juridisk rådgiver Elisabeth Krauss Amundsen
hos Datatilsynet fortelle det følgende:
«Hei, og takk for din e-post.
Vår svartjeneste gir deg kortfattet rådgivning. Vi vil derfor ikke konkludere
i saken din, men gi deg råd og veiledning.
Ut ifra det du skriver er det antakelig flere bestemmelser i
personopplysingsloven som brytes dersom virksomhetens personvernpolicy
sier noe annet om behandlingen av personopplysninger enn det som
faktisk skjer. Antakelig vil det være et brudd på informasjonsplikten
i personopplysingsloven §§ 18 og
19<https://lovdata.no/dokument/NL/lov/2000-04-14-31/KAPITTEL_2#§18>
dersom det gis feilinformasjon om at opplysningene utleveres. Det kan
også stilles spørsmål om grunnkravene for behandling av
personopplysninger vil være oppfylt ved en utlevering av
personopplysninger til en tredjepart, dersom dette ikke er inkludert
behandlingsgrunnlaget og formålet med behandlingen, se
personopplysingsloven § 11, jf.
8.<https://lovdata.no/dokument/NL/lov/2000-04-14-31/KAPITTEL_2#§11>»
Oppdatert med kunnskap om lover og regler tok jeg så kontakt med
Dagbladet på epostadressen de annonserer på sine
personvernpolicysider:
«Jeg lurte litt i forbindelse med en bloggpost jeg skriver på, og lurer
på om dere hjelpe meg med å finne ut av følgende. Først litt
bakgrunnsinformasjon.
Dagbladets
personvernpolicy forteller følgende:
«3. Automatisk innhentet informasjon
For eksempel IP-adressen din (ikke synlig for andre) samt
statistisk, automatisk produsert informasjon, som når du sist var
innlogget på tjenesten. Dette er informasjon vi samler for å gjøre
tjenesten best mulig.»
Men når en besøker nettsidene til Dagbladet,
f.eks. forsiden, så er nettsidene
satt opp til å kontakte mange tredjeparter som slik får tilgang til
både fullt IP-nummer og i de fleste tilfeller nøyaktig hvilken
artikkel en leser hos Dagbladet ved at Referer-feltet fylles og legges
ved. Dette gjelder Google Analytics, Cxense, INS Gallup, Doubleclick
med flere. Totalt ber forsiden nettleseren om å koble seg opp til 60
nettsteder med 149 separate oppkoblinger. I hver av disse
oppkoblingene oversendes IP-adressen til leseren, og i følge
Datatilsynet er
«en
IP-adresse definert som en personopplysning fordi den kan spores
tilbake til en bestemt maskinvare og dermed til en enkeltperson».
Datatilsynet har fortalt meg at i følge personopplysingsloven §§ 18
og 19 skal informasjonen som gis om bruk og utlevering av
personopplysninger være korrekt. De forteller videre at det er endel
grunnkrav som må være oppfylt ved utlevering av personopplysninger til
tredjeparter, nærmere forklart i personopplysingsloven § 11 som
henviser til § 8.
Mitt spørsmål er dermed som følger:
Hva mener dere i personpolicyen når dere skriver at IP-adressen ikke
er synlig for andre?»
Etter en uke har jeg fortsatt ikke fått svar fra Dagbladet på mitt
spørsmål, så neste steg er antagelig å høre om Datatilsynet er
interessert i å se på saken.
Men Dagbladet er ikke det eneste nettstedet som forteller at de
ikke deler personopplysninger med andre mens observerbar praksis
dokumenterer noe annet. Jeg sendte derfor også et spørsmål til
kontaktadressen til nettavisen Digi.no, og der var responsen mye
bedre:
«Jeg lurte på en ting i forbindelse med en bloggpost jeg skriver på,
og lurer på om dere hjelpe meg. Først litt bakgrunnsinformasjon.
Digi.nos
personvernpolicy forteller følgende:
«All personlig informasjon blir lagret i våre systemer, disse er ikke
tilgjengelig for tredjeparter, og blir ikke lagret i
informasjonskapsler. Tredjeparter (som Google Analytics, Cxense,
TNS Gallup) får kun anonymiserte data.»
Men når en besøker nettsidene til nettavisen, f.eks.
forsiden, så er nettsidene satt opp
til å kontakte mange tredjeparter som slik får tilgang til både fullt
IP-nummer og i de fleste tilfeller nøyaktig hvilken artikkel en leser
hos Digi.no ved at Referer-feltet fylles og legges ved. Dette gjelder
både Google Analytics, Cxense blant og INS Gallum. Totalt ber
forsiden nettleseren om å koble seg opp til 29 nettsteder med 44
separate oppkoblinger. I hver av disse oppkoblingene sendes
IP-adressen til leseren over, og i følge Datatilsynet er
«en
IP-adresse definert som en personopplysning fordi den kan spores
tilbake til en bestemt maskinvare og dermed til en enkeltperson».
Det jeg ser virker ikke å være i tråd med personvernpolicyen.
Når en besøker Digi.nos nettsider gjøres det to oppkoblinger til
Google Analytics, en for å hente ned programkoden som samler
informasjon fra nettleseren og sender over til Google (analytics.js),
og en for å overføre det som ble samlet inn. I den siste oppkoblingen
er det mulig å be Google om å ikke ta vare på hele IP-adressen, men i
stedet fjerne siste oktett i IP-adressen. Dette omtales ofte litt
misvisende for «anonymisert» bruk av Google Analytics, i og med at
fullt IP-nummer blir sendt til Google og det er opp til Google om de
vil bry seg om ønsket fra de som har laget nettsiden. Ut fra det som
står i personvernpolicyen ville jeg tro at Digi.no ba google om å ikke
ta vare på hele IP-nummeret, men når en ser på den andre oppkoblingen
kan en se at flagget «aio=1» ikke er satt, og at Digi.no ikke ber
Google om å la være å lagre hele IP-adressen. Dette virker heller
ikke å være i tråd med personvernpolicyen.
Datatilsynet har fortalt meg at i følge personopplysingsloven §§ 18
og 19 skal informasjonen som gis om bruk og utlevering av
personopplysninger være korrekt. De forteller videre at det er endel
grunnkrav som må være oppfylt ved utlevering av personopplysninger til
tredjeparter, nærmere forklart i personopplysingsloven § 11 som
henviser til § 8. Det er uklart for meg om disse kravene er oppfylt
når IP-adresse og informasjon om hvilke websider som besøkes til
tredjeparter.
Mitt spørsmål er dermed som følger:
Hva mener dere i personpolicyen når dere skriver at «Tredjeparter
får kun anonymiserte data»?»
Redaksjonssjef Kurt Lekanger svarte samme dag og forklarte at han
måtte komme tilbake til meg når han hadde med utviklingsavdelingen.
Seks dager senere lurte jeg på hva han fant ut, og etter noen timer
fikk jeg så følgende svar fra direktøren for teknologi og
forretningsutvikling Øystein W. Høie i Teknisk Ukeblad Media:
«Takk for godt tips! Det er helt riktig at IP og referrer-adresse
potensielt kan leses ut av tredjepart.
Retningslinjene våre har vært uklare på dette tidspunktet, og vi
oppdaterer nå disse så dette kommer tydeligere frem. Ny tekst blir som
følger:
3. Dette bruker vi ikke informasjonen til Informasjon du oppgir til
oss blir lagret i våre systemer, er ikke tilgjengelig for
tredjeparter, og blir ikke lagret i informasjonskapsler.
Informasjonen vil kun benyttes til å gi deg som bruker mer relevant
informasjon og bedre tjenester.
Tredjeparter (som Google Analytics, Cxense, TNS Gallup) vil kunne
hente ut IP-adresse og data basert på dine surfemønstre. TU Media AS
er pliktig å påse at disse tredjepartene behandler data i tråd med
norsk regelverk.
Ellers har vi nå aktivert anonymisering i Google Analytics
(aip=1). Kan også nevne at Tek.no-brukere som har kjøpt Tek Ekstra har
mulighet til å skru av all tracking i kontrollpanelet sitt. Dette er
noe vi vurderer å rulle ut på alle sidene i vårt nettverk.»
Det var nyttig å vite at vi er enige om at formuleringen i
personvernpolicyen er misvisende. Derimot var det nedslående at i
stedet for å endre praksis for å følge det personvernpolicyen sier om
å ikke dele personinformasjon med tredjeparter, så velger Digi.no å
fortsette praksis og i stedet endre personvernpolicyen slik at den å
dokumentere dagens praksis med spredning av personopplysninger.
Med bakgrunn i at Digi.no ikke har fulgt sin egen personvernpolicy
spurte jeg hvordan Digi.no kom til å håndtere endringen:
«Tusen takk for beskjed om endring av personvernpolicy for digi.no.
Gjelder endringen også andre nettsteder?
Vil tidligere håndteringen av IP-adresser og lesemønster i strid
med dokumentert personvernpolicy bli varslet til Datatilsynet i tråd
med
personopplysningsforskriften
§ 2-6? Vil leserne bli varslet på en prominent og synlig måte om
at lesernes IP-adresser og lesemønster har vært utlevert til
tredjeparter i stid med tidligere formulering om at tredjeparter kun
får anonymiserte data, og at utleveringen fortsetter etter at
personvernpolicy er endret for å dokumentere praksis?
Appropos ekstra tilbud til betalende lesere, tilbyr dere en
mulighet for å betale for å lese som ikke innebærer at en må gjøre det
mulig å la sine lesevaner blir registeret av tek.no? Betaler gjerne
for å lese nyheter, men ikke med en bit av privatlivet mitt. :)»
Jeg fikk raskt svar tilbake fra direktøren Høie:
«Tydeliggjøringen i personvernpolicy gjelder alle våre nettsteder.
Vi kommer til å ta en runde og gå over vår policy i forbindelse med
dette, og vil i de tilfeller det er påkrevd selvsagt være tydelig
overfor brukere og tilsyn. Vil samtidig understreke at vår bruk av
tredjeparts analyseverktøy og annonsetracking er helt på linje med det
som er normalt for norske kommersielle nettsteder.
Angående spørsmålet ditt:
Du vil fortsatt vises i våre interne systemer om du blir Ekstra-bruker,
vi skrur bare av tredjeparts tracking.»
Det høres jo ikke bra ut at det er normalt for norske kommersielle
nettsteder å utlevere lesernes personopplysninger til utlandet. Men
som en kan lese fra gårdagens oppslag fra NRK gjelder
det også norske kommuner og andre offentlige aktører, og
jeg
skrev om omfanget av problemet i fjor. Det er uansett ikke en
praksis jeg tror er i tråd med kravene i personopplysningsloven, og
heller ikke en praksis jeg som leser synes er greit. Jeg manglet dog
fortsatt svar på om Digi.no kom til å varsle lesere og Datatilsynet om
avviket mellom praksis og policy, så jeg forsøkte meg med en ny epost
i går kveld:
«Kan du fortelle meg om dere anser det å være påkrevd å varsle
tilsyn og brukere nå, når dere har oppdaget at praksis ikke har vært i
tråd med personvernpolicy?»
Det spørsmålet vet jeg så langt ikke svaret på, men antagelig kan
Datatilsynet svare på om det er påkrevd å varsle tilsyn og lesere om
dette. Jeg planlegger å oppdatere denne bloggposten med svaret når
det kommer.
Jeg synes jo det er spesielt ille når barn får sine
personopplysninger spredt til utlandet, noe jeg
tok
opp med NRK i fjor. De to eksemplene jeg nevner er som dere
forstår ikke unike, men jeg har ikke full oversikt over hvor mange
nettsteder dette gjelder. Jeg har ikke kapasitet til eller glede av å
lese alle personvernpolicyer i landet. Kanskje mine lesere kan sende
meg tips på epost om andre nettsteder med avvik mellom policy og
praksis? Hvis vi alle går sammen og kontakter de ansvarlige, kanskje
noen til slutt endrer praksis og slutter å dele lesernes
personopplysninger med tredjeparter?
Apropos bruken av Google Analytics kan jeg forresten nevne at
Universitetet i Oslo også har tatt i bruk Google Analytics, men der
lagres programkoden som overføres til nettleserne lokalt og deler av
IP-adressen fjernes lokalt på universitetet via en mellomtjener/proxy
(tilgjengelig via
github) før informasjon sendes over til Google Analytics. Dermed
er det mulig for ansvarlige for nettstedet å vite at Google
ikke har tilgang til komplett IP-adresse. Årsaken til at denne
metoden brukes er at juristene ved universitetet har konkludert med at
det er eneste måten en kunne vurdere å bruke Google Analytics uten å
bryte loven. Risikoen for gjenidentifisering og
identifisering ved hjelp av
nettleserinformasjon er fortsatt tilstede, så det er ingen optimal
løsning, men det er bedre enn å håpe at f.eks. Google og alle som
lytter på veien skal prioritere norsk lov over sin lokale
lovgivning.
Oppdatering 2016-12-09: Fikk svar fra direktøren Høie på mitt
spørsmål litt etter at jeg hadde publisert denne artikkelen:
Vi kommer til å annonsere en oppdatert policy, og skal undersøke om
vi er pliktig å varsle Datatilsynet.
Det vi uansett ønsker å gjøre først, er å gå gjennom hele policy
sammen med utviklerne og advokat, så vi er sikre på at vi går frem
riktig og at det ikke er flere tvetydigheter som skjuler seg i
teksten.
Har du andre idéer eller konkrete innspill til hva som kan gjøre
policy tydeligere, tar vi gjerne imot det. Dette er et felt vi ønsker
å være ryddige på.
Vi får se om de liker mine innspill, som i grunnen er å ikke pusse
på personvernpolicyen men i stedet slutte å spre lesernes
personopplysninger til eksterne aktører.
