Når jeg bruker Ghostery, uBlock, uMatrix, ScriptSafe og andre nettleserverktøy (de passer på hverandre) for å holde styr på hvordan nettsteder sprer informasjon om hvilke nettsider jeg leser blir det veldig synlig hvilke nettsteder som er satt opp til å utveksle informasjon med utlandet og tredjeparter. For en stund siden la jeg merke til at det virker å være avvik mellom personvernpolicy og praksis endel steder, og tok tak i et par konkrete eksempler og sendte spørsmål til Datatilsynets kontaktpunkt for veiledning:
«Jeg har et spørsmål når det gjelder bruken av Google Analytics og personvernpolicy. Er det lovlig for et nettsted å si en ting i personvernpolicy og gjøre noe annet i virkeligheten? Spesifikt lurer jeg på hvilket lov som er brutt hvis nettstedet i HTML-koden til nettsidene ber lesernes nettleser om å kontakte Google Analytics og slik overleverer sitt IP-nummer til Google, samtidig som personvernpolicien hevder at Google Analytics kun får anonymiserte data. Google får jo i slike tilfeller alltid overført fullt IP-nummer, og nettstedet kan i URL-en som brukes be Google om å ikke lagre deler av IP-adressen (omtalt som anonymisering av Google Analytics)
Et eksempel er Nettavisen digi.no. Deres personvernpolicy sier følgende:
«Tredjeparter (som Google Analytics, Cxense, TNS Gallup) får kun anonymiserte data.»Men når en leser artikler der så blir maskiner i Norge, USA, Tyskland, Danmark, Storbritannia, Irland og Nederland varslet om besøket og får dermed overlevert full IP-adresse, som datatilsynet har uttalt er en personopplysning. Nettsidene er satt opp til be nettleseren å kontakte 29 ulike maskiner rundt om i verden. Fire av dem er er under DNS-domenene digi.no og tek.no som tilhører samme eier. I tillegg ber nettsidene ikke Google Analytics om å fjerne siste oktett i IP-adressen ved lagring, dvs. flagget «aip=1» er ikke satt i URL-en som brukes for å kontakte Google Analytics.
Tilsvarende er også tilfelle for andre nettsteder, så digi.no er ikke spesiell i så måte (dagbladet.no er et annet eksempel, det gjelder flere).»
Etter noen dager kunne juridisk rådgiver Elisabeth Krauss Amundsen hos Datatilsynet fortelle det følgende:
«Hei, og takk for din e-post.Vår svartjeneste gir deg kortfattet rådgivning. Vi vil derfor ikke konkludere i saken din, men gi deg råd og veiledning.
Ut ifra det du skriver er det antakelig flere bestemmelser i personopplysingsloven som brytes dersom virksomhetens personvernpolicy sier noe annet om behandlingen av personopplysninger enn det som faktisk skjer. Antakelig vil det være et brudd på informasjonsplikten i personopplysingsloven §§ 18 og 19<https://lovdata.no/dokument/NL/lov/2000-04-14-31/KAPITTEL_2#§18> dersom det gis feilinformasjon om at opplysningene utleveres. Det kan også stilles spørsmål om grunnkravene for behandling av personopplysninger vil være oppfylt ved en utlevering av personopplysninger til en tredjepart, dersom dette ikke er inkludert behandlingsgrunnlaget og formålet med behandlingen, se personopplysingsloven § 11, jf. 8.<https://lovdata.no/dokument/NL/lov/2000-04-14-31/KAPITTEL_2#§11>»
Oppdatert med kunnskap om lover og regler tok jeg så kontakt med Dagbladet på epostadressen de annonserer på sine personvernpolicysider:
«Jeg lurte litt i forbindelse med en bloggpost jeg skriver på, og lurer på om dere hjelpe meg med å finne ut av følgende. Først litt bakgrunnsinformasjon. Dagbladets personvernpolicy forteller følgende:
«3. Automatisk innhentet informasjon
For eksempel IP-adressen din (ikke synlig for andre) samt statistisk, automatisk produsert informasjon, som når du sist var innlogget på tjenesten. Dette er informasjon vi samler for å gjøre tjenesten best mulig.»
Men når en besøker nettsidene til Dagbladet, f.eks. forsiden, så er nettsidene satt opp til å kontakte mange tredjeparter som slik får tilgang til både fullt IP-nummer og i de fleste tilfeller nøyaktig hvilken artikkel en leser hos Dagbladet ved at Referer-feltet fylles og legges ved. Dette gjelder Google Analytics, Cxense, INS Gallup, Doubleclick med flere. Totalt ber forsiden nettleseren om å koble seg opp til 60 nettsteder med 149 separate oppkoblinger. I hver av disse oppkoblingene oversendes IP-adressen til leseren, og i følge Datatilsynet er «en IP-adresse definert som en personopplysning fordi den kan spores tilbake til en bestemt maskinvare og dermed til en enkeltperson».
Datatilsynet har fortalt meg at i følge personopplysingsloven §§ 18 og 19 skal informasjonen som gis om bruk og utlevering av personopplysninger være korrekt. De forteller videre at det er endel grunnkrav som må være oppfylt ved utlevering av personopplysninger til tredjeparter, nærmere forklart i personopplysingsloven § 11 som henviser til § 8.
Mitt spørsmål er dermed som følger:
Hva mener dere i personpolicyen når dere skriver at IP-adressen ikke er synlig for andre?»
Etter en uke har jeg fortsatt ikke fått svar fra Dagbladet på mitt spørsmål, så neste steg er antagelig å høre om Datatilsynet er interessert i å se på saken.
Men Dagbladet er ikke det eneste nettstedet som forteller at de ikke deler personopplysninger med andre mens observerbar praksis dokumenterer noe annet. Jeg sendte derfor også et spørsmål til kontaktadressen til nettavisen Digi.no, og der var responsen mye bedre:
«Jeg lurte på en ting i forbindelse med en bloggpost jeg skriver på, og lurer på om dere hjelpe meg. Først litt bakgrunnsinformasjon. Digi.nos personvernpolicy forteller følgende:
«All personlig informasjon blir lagret i våre systemer, disse er ikke tilgjengelig for tredjeparter, og blir ikke lagret i informasjonskapsler. Tredjeparter (som Google Analytics, Cxense, TNS Gallup) får kun anonymiserte data.»Men når en besøker nettsidene til nettavisen, f.eks. forsiden, så er nettsidene satt opp til å kontakte mange tredjeparter som slik får tilgang til både fullt IP-nummer og i de fleste tilfeller nøyaktig hvilken artikkel en leser hos Digi.no ved at Referer-feltet fylles og legges ved. Dette gjelder både Google Analytics, Cxense blant og INS Gallum. Totalt ber forsiden nettleseren om å koble seg opp til 29 nettsteder med 44 separate oppkoblinger. I hver av disse oppkoblingene sendes IP-adressen til leseren over, og i følge Datatilsynet er «en IP-adresse definert som en personopplysning fordi den kan spores tilbake til en bestemt maskinvare og dermed til en enkeltperson». Det jeg ser virker ikke å være i tråd med personvernpolicyen.
Når en besøker Digi.nos nettsider gjøres det to oppkoblinger til Google Analytics, en for å hente ned programkoden som samler informasjon fra nettleseren og sender over til Google (analytics.js), og en for å overføre det som ble samlet inn. I den siste oppkoblingen er det mulig å be Google om å ikke ta vare på hele IP-adressen, men i stedet fjerne siste oktett i IP-adressen. Dette omtales ofte litt misvisende for «anonymisert» bruk av Google Analytics, i og med at fullt IP-nummer blir sendt til Google og det er opp til Google om de vil bry seg om ønsket fra de som har laget nettsiden. Ut fra det som står i personvernpolicyen ville jeg tro at Digi.no ba google om å ikke ta vare på hele IP-nummeret, men når en ser på den andre oppkoblingen kan en se at flagget «aio=1» ikke er satt, og at Digi.no ikke ber Google om å la være å lagre hele IP-adressen. Dette virker heller ikke å være i tråd med personvernpolicyen.
Datatilsynet har fortalt meg at i følge personopplysingsloven §§ 18 og 19 skal informasjonen som gis om bruk og utlevering av personopplysninger være korrekt. De forteller videre at det er endel grunnkrav som må være oppfylt ved utlevering av personopplysninger til tredjeparter, nærmere forklart i personopplysingsloven § 11 som henviser til § 8. Det er uklart for meg om disse kravene er oppfylt når IP-adresse og informasjon om hvilke websider som besøkes til tredjeparter.
Mitt spørsmål er dermed som følger:
Hva mener dere i personpolicyen når dere skriver at «Tredjeparter får kun anonymiserte data»?»
Redaksjonssjef Kurt Lekanger svarte samme dag og forklarte at han måtte komme tilbake til meg når han hadde med utviklingsavdelingen. Seks dager senere lurte jeg på hva han fant ut, og etter noen timer fikk jeg så følgende svar fra direktøren for teknologi og forretningsutvikling Øystein W. Høie i Teknisk Ukeblad Media:
«Takk for godt tips! Det er helt riktig at IP og referrer-adresse potensielt kan leses ut av tredjepart.
Retningslinjene våre har vært uklare på dette tidspunktet, og vi oppdaterer nå disse så dette kommer tydeligere frem. Ny tekst blir som følger:
3. Dette bruker vi ikke informasjonen til Informasjon du oppgir til oss blir lagret i våre systemer, er ikke tilgjengelig for tredjeparter, og blir ikke lagret i informasjonskapsler. Informasjonen vil kun benyttes til å gi deg som bruker mer relevant informasjon og bedre tjenester.
Tredjeparter (som Google Analytics, Cxense, TNS Gallup) vil kunne hente ut IP-adresse og data basert på dine surfemønstre. TU Media AS er pliktig å påse at disse tredjepartene behandler data i tråd med norsk regelverk.
Ellers har vi nå aktivert anonymisering i Google Analytics (aip=1). Kan også nevne at Tek.no-brukere som har kjøpt Tek Ekstra har mulighet til å skru av all tracking i kontrollpanelet sitt. Dette er noe vi vurderer å rulle ut på alle sidene i vårt nettverk.»
Det var nyttig å vite at vi er enige om at formuleringen i personvernpolicyen er misvisende. Derimot var det nedslående at i stedet for å endre praksis for å følge det personvernpolicyen sier om å ikke dele personinformasjon med tredjeparter, så velger Digi.no å fortsette praksis og i stedet endre personvernpolicyen slik at den å dokumentere dagens praksis med spredning av personopplysninger.
Med bakgrunn i at Digi.no ikke har fulgt sin egen personvernpolicy spurte jeg hvordan Digi.no kom til å håndtere endringen:
«Tusen takk for beskjed om endring av personvernpolicy for digi.no. Gjelder endringen også andre nettsteder?
Vil tidligere håndteringen av IP-adresser og lesemønster i strid med dokumentert personvernpolicy bli varslet til Datatilsynet i tråd med personopplysningsforskriften § 2-6? Vil leserne bli varslet på en prominent og synlig måte om at lesernes IP-adresser og lesemønster har vært utlevert til tredjeparter i stid med tidligere formulering om at tredjeparter kun får anonymiserte data, og at utleveringen fortsetter etter at personvernpolicy er endret for å dokumentere praksis?
Appropos ekstra tilbud til betalende lesere, tilbyr dere en mulighet for å betale for å lese som ikke innebærer at en må gjøre det mulig å la sine lesevaner blir registeret av tek.no? Betaler gjerne for å lese nyheter, men ikke med en bit av privatlivet mitt. :)»
Jeg fikk raskt svar tilbake fra direktøren Høie:
«Tydeliggjøringen i personvernpolicy gjelder alle våre nettsteder.
Vi kommer til å ta en runde og gå over vår policy i forbindelse med dette, og vil i de tilfeller det er påkrevd selvsagt være tydelig overfor brukere og tilsyn. Vil samtidig understreke at vår bruk av tredjeparts analyseverktøy og annonsetracking er helt på linje med det som er normalt for norske kommersielle nettsteder.
Angående spørsmålet ditt:
Du vil fortsatt vises i våre interne systemer om du blir Ekstra-bruker, vi skrur bare av tredjeparts tracking.»
Det høres jo ikke bra ut at det er normalt for norske kommersielle nettsteder å utlevere lesernes personopplysninger til utlandet. Men som en kan lese fra gårdagens oppslag fra NRK gjelder det også norske kommuner og andre offentlige aktører, og jeg skrev om omfanget av problemet i fjor. Det er uansett ikke en praksis jeg tror er i tråd med kravene i personopplysningsloven, og heller ikke en praksis jeg som leser synes er greit. Jeg manglet dog fortsatt svar på om Digi.no kom til å varsle lesere og Datatilsynet om avviket mellom praksis og policy, så jeg forsøkte meg med en ny epost i går kveld:
«Kan du fortelle meg om dere anser det å være påkrevd å varsle tilsyn og brukere nå, når dere har oppdaget at praksis ikke har vært i tråd med personvernpolicy?»
Det spørsmålet vet jeg så langt ikke svaret på, men antagelig kan Datatilsynet svare på om det er påkrevd å varsle tilsyn og lesere om dette. Jeg planlegger å oppdatere denne bloggposten med svaret når det kommer.
Jeg synes jo det er spesielt ille når barn får sine personopplysninger spredt til utlandet, noe jeg tok opp med NRK i fjor. De to eksemplene jeg nevner er som dere forstår ikke unike, men jeg har ikke full oversikt over hvor mange nettsteder dette gjelder. Jeg har ikke kapasitet til eller glede av å lese alle personvernpolicyer i landet. Kanskje mine lesere kan sende meg tips på epost om andre nettsteder med avvik mellom policy og praksis? Hvis vi alle går sammen og kontakter de ansvarlige, kanskje noen til slutt endrer praksis og slutter å dele lesernes personopplysninger med tredjeparter?
Apropos bruken av Google Analytics kan jeg forresten nevne at Universitetet i Oslo også har tatt i bruk Google Analytics, men der lagres programkoden som overføres til nettleserne lokalt og deler av IP-adressen fjernes lokalt på universitetet via en mellomtjener/proxy (tilgjengelig via github) før informasjon sendes over til Google Analytics. Dermed er det mulig for ansvarlige for nettstedet å vite at Google ikke har tilgang til komplett IP-adresse. Årsaken til at denne metoden brukes er at juristene ved universitetet har konkludert med at det er eneste måten en kunne vurdere å bruke Google Analytics uten å bryte loven. Risikoen for gjenidentifisering og identifisering ved hjelp av nettleserinformasjon er fortsatt tilstede, så det er ingen optimal løsning, men det er bedre enn å håpe at f.eks. Google og alle som lytter på veien skal prioritere norsk lov over sin lokale lovgivning.
Oppdatering 2016-12-09: Fikk svar fra direktøren Høie på mitt spørsmål litt etter at jeg hadde publisert denne artikkelen:
Vi kommer til å annonsere en oppdatert policy, og skal undersøke om vi er pliktig å varsle Datatilsynet.
Det vi uansett ønsker å gjøre først, er å gå gjennom hele policy sammen med utviklerne og advokat, så vi er sikre på at vi går frem riktig og at det ikke er flere tvetydigheter som skjuler seg i teksten.
Har du andre idéer eller konkrete innspill til hva som kan gjøre policy tydeligere, tar vi gjerne imot det. Dette er et felt vi ønsker å være ryddige på.
Vi får se om de liker mine innspill, som i grunnen er å ikke pusse på personvernpolicyen men i stedet slutte å spre lesernes personopplysninger til eksterne aktører.