Personverneksperter uenige om ny smittevernsapp

Folkehelseinstituttet (FHI), har med assistanse fra Direktoratet for e-helse og Forskningsrådet bedt det norske teknologiselskapet Simula utvikle appen, som snart vil være klar for nedlastning. Appen skal være frivillig å bruke, - men for å fungere godt må den brukes av om lag 60 prosent av befolkningen.

En forskrift om digital smittesporing, og epidemikontroll i anledning koronautbruddet ble godkjent fredag. Appen skal samle informasjon om hvor en person befinner seg. Denne informasjonen skal så brukes til å oppdage hvem en smittet har hatt nærkontakt med.

Personvernekspert og Lund & Co-partner Jon Wessel-Aas er kritisk til det som er presentert om appen, og har flere innvendinger.

- At bruk skal baseres på frivillighet bidrar til at den nok er lovlig, men spørsmålet er om den bør tas i bruk av folk, som jo er forutsetningen for at den skal kunne bidra til smittesporing. Da er tillit essensielt, sier Wessel-Aas til Advokatbladet.

På Twitter advarte han tirsdag mot å bruke appen ut fra det som er presentert så langt.

- Et minstekrav til en slik app bør være at kildekoden er åpen. Det gir ingen garanti, men gir verden adgang til å se hvordan den fungerer og en transparens, med mulighet til å påpeke feil og sikkerhetshull. Dette er et normalt krav til slike apper. For appens anførte mål, smittevarsling, er det heller ikke nødvendig med en løsning der opplysningene om den enkelte lagres sentralt, hos myndighetene, sier Wessel-Aas.

Høyesterett tillot formålsutglidning

Han mener at det kan være fare for det jurister kaller formålsutglidning; at opplysningene appen samler inn vil kunne brukes til andre formål enn planlagt, og viser til en kjennelse i en farskapsak Høyesterett i fjor, med dissens 2-1, den såkalte DNA-kjennelsen.

Kjennelsen ga kvinnen rett til å få tilgang til politiets DNA-register for å få slått fast barnefarens identitet. Wessel-Aas har kommentert dommen i en artikkel, og viser til at dommer Arnfinn Bårdsen i sin dissens påpekte at det går klart frem av ordlyden i politiregisterloven at opplysninger fra politiets DNA-register kun skulle benyttes i strafferettspleien, og dette samtidig var en uttalt premiss fra lovgiver da DNA-registeret ble opprettet.

Høyesterett tillot altså at registeret ble brukt til noe helt annet enn det lovgiver hadde fastsatt.

- Denne kjennelsen fra Høyesteretts ankeutvalg i fjor, innebærer også at man ikke kan være sikker på at eventuelle formålsbegrensninger i forskriften vil bli respektert.

Advarer advokater mot å laste ned appen

Wessel-Aas mener dette er et ytterligere argument mot sentral lagring.

- Målet er jo at flest mulig skal ta appen i bruk. Slik den er nå, vil nok flere være skeptiske til å laste den ned, ikke minst yrkesgrupper som operer med kildevern, som journalister. Jeg vil forvente at mange av disse vil være skeptiske til å dele detaljerte opplysninger om hvor de til enhver tid befinner seg.

- Tilsvarende betenkeligheter reises for advokater, som ikke kan avsløre klientforhold, sier advokaten.

Han mener at saken burde ha vært ute på høring, slik at man kunne få innspill fra omverdenen.

- Da kunne man kanskje få en app som folk faktisk kunne og ville bruke, til alles beste. Det er ikke for sent, tilføyer han.

Les mer om hvordan appen skal fungere på Simulas nettsider

- God balanse

Wiersholm-partner og personvernekspert Rune Opdahl mener derimot at FHI har sitt på det tørre.

- Personvernet er en grunnleggende menneskerettighet som må ivaretas også i krisetider. Likevel følger det av GDPR at behandling av personopplysninger bør ha som formål å tjene menneskeheten, sier Opdahl til Advokatbladet.

- Dessuten følger det av GDPR at personvernet ikke er en absolutt rettighet, men at det må avveies mot andre samfunnsinteresser. Det er derfor tillatt å iverksette tiltak for smitteoppsporing og for å spare liv, så lenge måten det gjøres på er forholdsmessig. Jeg synes regjeringens forskrift om digital smittesporing og epidemikontroll i anledning utbrudd av Covid-19 har funnet en god balanse mellom personvernet og smittevernstiltak, utdyper Opdahl.

Han mener forskriften ivaretar personvernet på åtte måter:

1. Det skal være frivillig å bruke Folkehelseinstituttets app.
2. Det stilles krav til god og lett forståelig informasjon til brukere som ønsker å ta i bruk appen.
3. Det settes begrensninger for hvilke data som kan samles inn og for hvilke formål de kan brukes til.
4. Det skal ikke være tillatt å dele dataene uten brukerens samtykke.
5. Det stilles krav til sletting av dataene.
6. Det stilles krav til god datasikkerhet.
7. Overvåkning på befolkningsnivå skal kun skje med anonyme data.
8. Forskriften er tidsbegrenset til 1. desember 2020.
   
   - Spørsmålet er om en frivillig app har tilstrekkelig effekt. Kanskje regjeringen ikke går langt nok?, undrer Opdahl.

Datatilsynet har uttalt seg positivt om appen, så lenge den er frivilig å laste ned, og har nok åpenhet.

– Appen kan være et nyttig verktøy for å redde liv, men det er viktig at det er full åpenhet om hvilke data som samles inn og hva de brukes til, sier direktør i Datatilsynet, Bjørn Erik Thon til tilsynets nettsider. Han erkjenner at dette er inngripende tiltak.

Dagbladet advarer tirsdag på lederplass mot appen, og prosessen for å få den godkjent.