Påbyr «innebygget» personvern

Her er regjeringens krav til IT-bransjen.

Slik, men ikke slik: I Oslo sikrer e-billettsystemet til Ruter at du kan reise anonymt. Bompengeløsningen til AutoPASS gir deg derimot valget mellom anonymitet og klagerett. I Personvernmeldingen skjerper Regjeringen kravene til IT-systemer som skal håndtere personopplysninger, og understreker prinsippet om dataminimalitet: Det skal ikke samle på flere opplysninger enn strengt tatt nødvendig. Bilde: (venstre) Per Ervland; (høyre) Charlotte Villanger Nielsen, Statens vegvesen

Del

Kommenter

Eirik Rossen

Sigvald Sveinbjørnsson

17. des. 2012 - 14:22

Stortingsmelding 11 (2012–2013) Personvern – utsikter og utfordringar som ble lagt fram fredag, inneholder et helt kapittel om IKT – utsikter og utfordringar. Kapitlet kan leses som regjeringens krav til IT-bransjen og til forvaltning av registre med personopplysninger, i påvente av EUs kommende forordning om personvern.

Hovedpunktene i kapitlet er som følger (sitat):

Det bør fastsetjast eit prinsipielt mål om innebygd personvern i alle sektorar.
Dei førehandsdefinerte standardinnstillingane på utstyr, i system og i program bør setjast til den mest personvernvenlege løysinga.
Det bør leggjast til rette for sikker og forutsigbar bruk av nettskytenester innanfor rammene av det norske regelverket, blant anna ved å utarbeide rettleiingar.
Der samtykke blir brukt som heimelsgrunnlag for behandling av personopplysningar, bør ein unngå tekniske løysingar for innhenting av samtykke som grensar mot implisitt samtykke eller ei form for reservasjonsrett.
Det skal setjast ned ei interdepartemental arbeidsgruppe som skal greie ut klientbasert logging og retten til innsyn i desse loggane i dei større offentlege og private registera.

Innebygget personvern
Det betyr, ifølge meldingen, at personvernhensyn «skal vere ein del av alle ledd i utviklinga og bruken av informasjonsteknologi». Personvern skal være «ein naturleg del av alle systema innbyggjarane møter i kvardagen». Det gjelder for alle sektorer, og det offentlige skal være i front.

Oppdragsgivarar må innarbeide personvern som ein grunnleggjande verdi i verksemda, og utviklarar må vere bevisste på å gjere spørsmål om personvern til ein integrert del av utviklinga og utforminga av produkta og systema sine.

IT-systemer skal i utgangspunktet være innstilt med tanke på maksimalt personvern, og de skal bidra til å formidle problematikken rundt personvern til brukeren. Blant eksemplene som nevnes i meldingen: Når en smartmobil leveres med lokaliseringstjeneste, skal tjenesten være avslått.

Regjeringen ser for seg standarder og bransjenormer som skal gjelde for teknologiutviklere uavhengig av hvor store aktørene er, og på tvers av landegrensene. I tillegg til bransjenormer og standarder ser regjeringen for seg offentlige sertifiseringsordninger, «der styremaktene ope går god for at ein aktør praktiserer ein tilfredsstillande grad av personvern i aktivitetane sine».

Noe av poenget med innebygget personvern, ifølge Regjeringen, er å redusere behovet for personvernfremmende teknologi («privacy-enhancing technologies» eller PETs). Disse skal fremme personvern i eksisterende systemer, for eksempel anonymiseringsverktøy ved spørringer mot store registre og verktøy for å slette historikk i nettlesere. Som eksempel på norsk bruk av personvernfremmende teknologi nevnes en funksjon i søkemotoren i Offentlig postjournal, der søkemotoren ikke får treff på navnesøk i dokumenter som har vært lagret i mer enn tolv måneder.

Et eksempel på internasjonalt samarbeid innen personvernfremmende teknologi i W3Cs arbeidsgruppen for «do not track»: Den skal lage et anbefalt utkast til standard for ikke-sporteknologi for nettlesere innen utgangen av april 2013. Initiativet støttes av EU, og IT-giganter som Apple, IBM og Microsoft tar del i arbeidet. I meldingen presiseres:

Dersom den endelege tilrådinga frå gruppa er tilfredsstillande, vil regjeringa leggje til rette for at «do not track»-standarden blir implementert og etterlevd på nettstadene til norske offentlege og private verksemder.

Bransjenormer for personvern
Bransjenormer for personvern er noe Datatilsynet har jobbet med lenge. For ett år siden presenterte tilsynet, sammen ned daværende samferdeselsminister Magnhild Meltveit Kleppa og kollektivtrafikkselskapet Ruter i Oslo-området en Bransjenorm for personvern og informasjonssikkerhet i elektronisk billettering (pdf, 22 sider) for å sikre anonyme reiser med e-billett. Meldingen beskriver også en annen form, for informasjonssikkerhet i helse- og omsorgssektoren.

Artikkelen fortsetter etter annonsen

annonse

Da euroen kom til Trondheim

Et felles trekk for disse bransjenormene vil bli et prinsipp som Regjeringen mener bør gjelde i all håndtering av personopplysninger: dataminimalitet. Det går ut på at man ikke skal håndtere flere personopplysninger enn det minimum man trenger for å få systemet til å fungere hensiktsmessig. Et system som utelukkende skal kontrollere at du har gyldig billett, trenger ikke vite hvem du er.

Bompengeløsningen AutoPASS kritiseres i meldingen fordi den i praksis krever at brukeren må velge mellom anonymitet og klagerett. Her varsles et interdepartementalt samarbeid om anonymitet ved passering av bomstasjoner.

Meldingen konstaterer at det «er lettare å oppretthalde god informasjonstryggleik i dei enkle informasjonssystema enn i dei kompliserte», og anbefaler utviklere av store systemer å organisere komponenter etter prinsippene i Trusted Computing Base (TCB).

Innsynslogging
Det vies et helt underkapittel til innsynslogging. Prinsippet er at i registre med personopplysninger, skal det logges hvem som slår opp hva og når, og denne loggen skal være tilgjengelig for den som registreres. Her står det:

Regjeringa meiner at plikta til å logge og retten til å få innsyn i eigne loggar skal vere eit berande prinsipp for alle større offentlege og private register.

Videre:

Etter personopplysningslova § 18 har kvar den som ber om det, rett til å få innsyn i behandlinga av personopplysningar om seg sjølv og omstenda rundt denne behandlinga. Dette bør òg gjelde for innsynsloggane i ulike register.

Blant dem som kritiseres i meldingen for ikke å etterkomme dette prinsippet i tilstrekkelig grad, er Nav, som «arbeider for tida med å møte desse utfordringane». Meldingen peker på at rett til innsyn i logg over elektroniske oppslag er en del av konsesjonsvilkårene for banker og finansinstitusjoner, og antyder at slik bør det også være for forsikringsbransjen. De nye konsesjonsvilkårene for bank og finans skal implementeres innen 31. mai 2013.

Da stortinget behandlet EUs datalagringsdirektiv i april i fjor, ble det vedtatt at personvernmeldingen skulle drøfte avgrensninger i loggplikten, samt kartlegge hvor logg og innsyn faktisk praktiseres. Meldingen inneholder ikke noe slikt. Denne oppgaven ble vurdert som så omfattende at den krever en egen arbeidsgruppe:

Derfor har regjeringa bestemt at det skal setjast ned ei arbeidsgruppe som skal kartleggje praktiseringa av logging og innsyn i loggar i dei store offentlege og private registera, særleg dei som inneheld sensitive personopplysningar.

Les også: