Digital overvaking

Christiane Jordheim Larsen

christiane@dagogtid.no

Er du ein av dei som har kjøpt ny skjorte eller vaskemaskin på nett, for så å verte forfølgd av reklame for det same eller eit liknande produkt same kva for nettside du går vidare til?

Aktiviteten din har då vorte registrert av eit sporingsverktøy i nettbutikken, og informasjonen er send vidare til ein automatisert annonsebørs, som gjev reklameplassen på nettsida di til annonsøren som byr mest.

Etter kvart har teknologigigantar som Google og Meta samla så mykje informasjon om deg at robotane kan velje ut kva for annonsar som treffer deg best. Du har fått ein digital profil som kan seie ganske mykje om deg.

Kanskje overraskar det ikkje lenger at kommersielle aktørar som lever av å selje varer, overvaker forbrukarar så godt dei kan.

Meir overraskande er det kanskje at sporing av nettbrukarar er svært utbreidd også på offentlege nettstader, og at mange av dei deler persondata med teknologigigantane.

Vi vert spora

Rett før jul offentleggjorde Teknologirådet ei undersøking som seier litt om situasjonen. Teknologirådet har kartlagt sporingsverktøya på 156 nettstader i stat og kommune i perioden september–oktober i fjor, og her er dei overordna funna:

? Over halvparten av dei undersøkte nettstadene bruker sporingsverktøy.

? 4 av 10 offentlege nettstader bruker sporingsverktøyet Google Analytics, som deler data med Google.

?17,9 prosent deler data med Googles annonsebørs Doubleclick.

?14,7 prosent bruker Google-funksjonen Remarketing Audiences, utvikla for å kunne målrette annonsar.

?9 av dei 156 nettstadene bruker sporingsverktøyet frå Facebook, Meta Pixel, som deler data med Facebook.

?19 av dei 156 nettstadene bruker verktøy for tastelogging som lagrar alt som vert skrive, både det som vert sendt inn, og det som vert sletta.

Googles analysesystem er mykje brukt på offentlege nettstader.

Foto: Richard Drew / AP / NTB

Kvifor vert vi overvakte?

– Kvifor skal vi verte overvakte også når vi er på offentlege nettstader som ikkje skal selje oss noko?

Eg spør Hanne Sofie Lindahl i Teknologirådet.

– Ja, kvifor sporar offentlege verksemder oss i det heile teke? Det er jo eigentleg eit godt spørsmål, seier ho og held fram:

– Det er vel eit resultat av korleis internett fungerer i dag. Det finst ein del gode grunnar til å spore nettbrukarar, som å gjere tenester betre og informasjon lettare tilgjengeleg. Ein kartlegg til dømes kvar i landet folk er frå, kva dei ser på og lastar ned. Eit større spørsmål er om ein treng å nytte alle dei verktøya ei nyttar. Og om ein har sikra at informasjonen om kvifor ein nyttar dei, også når brukaren.

– Kva er mest problematisk ved funna slik de ser det?

– Det er at data vert delt med teknologigigantar. Det er til dømes vanskeleg å forstå kvifor éin av fem i undersøkinga bruker Googles annonsebørs Doubleclick. Kvifor er det nødvendig? Og kvifor vert det ikkje informert om i personvernerklæringa?

Ho oppsummerer sjølv:

– Det er eit problem at ein vert utsett for omfattande sporing, at data vert delt med teknologigigantar, og at ein ikkje får informasjon om kva sporingsverktøya gjer, og på kva måte dei vert nytta.

Hanne Sofie Lindahl er prosjektleiar i Teknologirådet. Ho er uroa over omfanget av sporing på offentlege nettstader.

Foto: Teknologirådet

Sensitive data på offentlege sider

Undersøkinga frå Teknologirådet seier oss berre så mykje. Vi ser kva verktøy som har vore aktiverte, men ikkje kva opplysningar som er samla inn og delte. Det som skjer dersom identifiserbare data går frå offentlege nettstader til Google eller Meta, er at opplysningane går inn i folks digitale profilar, som igjen styrer kva for annonsar dei får sjå.

I så fall vil ikkje dei digitale profilane lenger berre innehalde informasjon om kva ein har kjøpt, sett på eller lese på kommersielle nettstader, men også kva informasjon ein søkt opp og lese om på offentlege nettsider. Anten det er informasjon om seksualitet eller psykiske, familiære, arbeidsrelaterte eller økonomiske problem.

Klarer offentlege nettstader å halde privat informasjon unna kommersielle interesser?

Problem med datadeling på ung.no

Funn i rapporten viser at dette kan vere vanskeleg. Eit eksempel på det er nettstaden ung.no, der unge til dømes kan stille fagpersonar spørsmål om kropp, helse, seksualitet, skule, vald og overgrep. Det viste seg at den var knytt til Googles annonsebørs.

Nettstaden ligg under Barne-, ungdoms- og familiedirektoratet (Bufdir), og seniorrådgjevar i ung.no Frode Løbersli forklarer saka med tekniske utfordringar:

«Bakgrunnen for at problemet oppstår er fordi ung.no inntil nå har brukt Youtube som innebygd videospiller, og det er Youtube som setter disse informasjonskapslene. Bufdir har derfor siden før sommeren 2023 gjennomført en offentlig anskaffelse av en ny tjeneste for videostrømming. Denne anskaffelsen er nå ferdigstilt, og vi arbeider nå med teknisk implementering og migrering av våre videoer fra Youtube. Ny løsning for videostrømming vil bli tatt i bruk i løpet av inneværende kvartal og da vil ikke disse informasjonskapslene bli satt», skriv han på e-post til Dag og Tid.

Helsetilsynet visste ikkje om innstilling

Eit anna funn var at Helsetilsynet – ein nettstad der ein til dømes kan varsle om alvorlege hendingar i helsevesenet – hadde aktivert både Googles annonsebørs og verktøy for målretta reklame. Kvifor hadde dei det?

«Vi har ikke vært klar over at Remarketing Audience og Doubleklick har vært på», skriv kommunikasjonsdirektør Nina Vedholm på e-post.

«Vi tok umiddelbart kontakt med leverandøren vår før jul for å få deaktivert disse. Vi har fått bekreftet fra leverandøren vår at dataene ikke ble eksportert eller brukt i noe ads-verktøy.»

Helsetilsynet og ung.no er berre to døme på offentlege nettstader som har vore knytte til Google-funksjonar som Remarketing Audiences eller Doubleclick. Politiets tryggingsteneste (PST), Arkivverket og Kunst i det offentlege rom (KORO) er andre, i lag med nettstadene til ei lang rekkje kommunar og enkelte fylkeskommunar.

«Det er eit problem at ein vert utsett for omfattande sporing»

Hanne Sofie Lindahl, Teknologirådet

Datatilsynet uroa over offentleg datadeling

Det er ikkje første gong Teknologirådet undersøkjer sporing i offentleg sektor. Også i 2021 rapporterte dei om slik sporing – den gongen delte 38 av 41 undersøkte verksemder data med kommersielle teknologiselskap.

I Datatilsynet har dei i lengre tid vore klare over at offentlege nettstader deler data om brukarane, ifølgje seksjonssjef Tobias Judin.

– Å føre tilsyn med offentlege nettstader er eit punkt som har stått på blokka ei tid, og eit punkt som vi har vore særleg uroa for, seier han.

I tida som kjem, vil Datatilsynet føre tilsyn for å granske sporing og datadeling både frå private og offentlege nettstader. Rydd opp, var bodskapen frå direktør Line Coll rett før jul.

Tilsyna vart kunngjorde i NRK etter fleire avsløringar frå Rikskringkastinga i fjor haust.

Éi avsløring viste at nettapoteket Farmasiet delte kjøpsinformasjon med Facebook-eigaren Meta. Ei anna viste at hjelpelinja Kirkens SOS, som lover anonymitet, delte e-postadressene til brukarane med Facebook. I Kirkens SOS var dei ikkje klar over at delinga skjedde.

Lett å gjere feil

Det er openbert mange feller å gå i om ein bruker kommersielle verktøy som er utvikla av teknologigigantane. Så kvifor analyserer så mange som fire av ti av dei undersøkte nettstadene trafikken ved hjelp av Google Analytics – eit verktøy som deler data med eit selskap som tener pengar på målretta marknadsføring?

Sjølv om Googles analysereiskap kan strammast til slik at Google berre får anonymisert informasjon, ser det ut til å vere fallgruver. Som når Helsetilsynet ved ein feil har aktivert annonsebørsen Doubleclick.

Blant svara Teknologirådet har fått, er at Google Analytics er det beste og vanlegaste verktøyet, at dei ansvarlege ikkje veit kor mykje data som vert samla inn, og at det er lite kjennskap til alternativa.

Her bør det kanskje leggjast til at standardutgåva av Google Analytics er gratis.

Vanskeleg å skjule seg for Google

Men er det mogleg å bruke Google Analytics på ein måte som vernar godt nok om personvernet til brukarane? Kan vi vere anonyme overfor Google?

Svaret er tja, seier Judin.

– Det kjem an på korleis ein nettstad har sett opp Google Analytics, og på innstillingane hos den enkelte brukaren. Mange av oss er pålogga e-postkontoen vår når vi surfar på nettet. Om du til dømes har ein gmail-konto og er logga inn på den, vil nettlesaren hugse det. Då er du også logga inn på alle nettstader som bruker Google-kode. Ved visse innstillingar kan Google faktisk kople det du har sett på nettsider, med Google-kontoen din. Så vi kan ikkje seie eit klart ja eller nei, men vi kan seie at det er kontroversielt.

Manglar kontroll

Det er likevel ikkje bruken av Google Analytics som uroar Judin mest. Bruk av meir inngripande verktøy, utvikla for å persontilpasse annonsar, uroar han meir.

– Helsetilsynet, til dømes, opplyser at dei ikkje var klar over at verktøya Doubleclick og Remarketing Audiences var aktiverte. Har offentlege nettstader kontroll over personvernet?

– Svaret er eit rungande nei. Enkelte er flinke og gjer ting ordentleg, men rapporten frå Teknologirådet viser at mange ikkje har tilstrekkeleg kunnskap. Slik skal det ikkje vere, og dei ansvarlege kan ikkje peike på underleverandørar. Ingen sporingsverktøy skal brukast før dei er fullt ut risikovurderte, før det offentlege forstår kva dei inneber, og er sikre på at dei kan brukast på ein lovleg måte.

– Det som kjem fram i rapporten, er urovekkjande. Det er nedslåande at ein i 2024 er så lite medviten om kva krav som ligg i lova, seier Judin, som på same tid understrekar at han ikkje kan førehandsdømme nokon.

Datatilsynet skal undersøkje datadeling på offentlege og private nettstader, ifølgje Tobias Judin.

Foto: Ilja Hendel

Tillit

Tilsyna Datatilsynet skal i gang med, vil kunne seie oss litt meir om korleis det står til med personvernet på offentlege nettstader. Judin er klar på at offentlege organ i utgangspunktet ikkje skal dele personopplysningar med kommersielle aktørar.

– Når offentlege organ samlar inn personopplysningar, skal det vere for å utføre lovpålagde oppgåver, som å drive helsetenester eller tenester mot barn eller eldre.

Kjem opplysningar om helseproblem eller liknande på ville vegar, kan det føre til at dei vert brukte til målretta reklame som kan skade dei det gjeld.

Det verst tenkjelege scenarioet er, slik Judin ser det, om enkeltpersonar mistar tilliten til det offentlege.

– I verste fall kan folk verte redde for å oppsøkje offentlege nettstader med viktig informasjon. Folk har jo også informasjonsfridom – ein rett til å kunne skaffe seg informasjon frå det offentlege. Om det offentlege deler det du har sett på med andre, set det grenser for informasjonsfridommen din.

Svakt medvit

Lindahl i Teknologirådet seier offentlege nettstader i Noreg sporar mykje meir enn det som er tilfellet i Sverige og Danmark. Det kan tyde på at medvitet om korleis sporingsverktøy fungerer, er svakare i Noreg enn i nabolanda. På same tid registrerer ho at mange av dei som i 2021-undersøkinga brukte Google Analytics, no har slutta med det.

– Korleis har det oppstått ein situasjon der offentlege etatar finn det naturleg å dele data med teknologigigantar?

– Eg trur det er først dei siste fem åra at det har vorte meir medvit om korleis overvakingsøkonomien fungerer. Vi bruker sosiale medium gratis mot at vi gjev frå oss ein del data om oss sjølve. Slik er forretningsmodellen til teknologigigantane bygd opp. Slike digitale tenester og offentlege nettstader fungerer jo i den same verda. Men der ein før kanskje tenkte at Google Analytics er gratis og utelukkande eit gode, er det kanskje eit større medvit om kva ein må gje frå seg for å bruke tenestene gratis.

Bodskapen frå Teknologirådet er klart: Betal heller med pengar enn med personopplysningar eller data om norske innbyggjarar.

Rådet er å minimere datainnsamlinga og finne personvernvennlege løysingar.

– Vi håper på ein større debatt, og kanskje ei opprydding i offentleg sektor.

Regjeringa kommenterer sporinga i offentleg sektor her: Ny personstrategi på veg

Les også: Er sosiale medium den nye nikotinen?

Les også: Privatliv til sals