En app som bruker GPS til å spore befolkningens bevegelser i kombinasjon med blåtann for å kartlegge kontakter, er en alvorlig krenkelse av personvernet, skriver Bjørn Erik Thon.Foto: Antonio Guillem, Istock
- Sviktende kritikk mot Datatilsynets vedtak
Datatilsynets direktør Bjørn Erik Thon svarer i dette innlegget på kritikken fra Rune Opdahl om håndteringen av den første smittevernappen.
I et intervju i Advokatbladets julespalte fyrer advokat Rune Opdahl av en bredside mot personvernet, Datatilsynet og høylytte personvernforkjempere, og avslutter med denne kraftsalven: Liv kan gå tapt i personvernets tjeneste.
Bjørn Erik Thon er direktør i Datatilsynet.
Her stiller Opdahl seg sammen med en liten gjeng som til stadighet mener personvernet tar liv og at de som jobber for et sterkt personvern er forbryternes beste venn.
Hans hovedkritikk er at Datatilsynet la ned forbud mot appen Smittestopp på sviktende grunnlag.
Å være uenig i en avgjørelse fra Datatilsynet er selvsagt helt legitimt og noe vi også ønsker velkommen. Men ser vi på vår begrunnelse, og ikke minst hvilke reaksjoner Smittstopp også vakte både i teknologimiljøer, i politiske miljøer og internasjonalt, er det nok hans kritikk, og ikke vårt vedtak, som er sviktende.
- Alvorlig krenkelse av personvernet
Å lansere en app der myndighetene bruker GPS til å spore befolkningens bevegelser i kombinasjon med blåtann for å kartlegge kontakter, er en alvorlig krenkelse av personvernet, hvor «frivillig» nedlastningen enn måtte være.
Enigheten om inngrepets alvor er unison, og omfatter også FHI og Simula (som utviklet appen). Ikke i sin villeste fantasi ville noen foreslått en slik sporingsløsning uten at vi sto overfor en pandemi, kanskje med unntak av den gjengen Opdahl nå har søkt om opptak i.
Tross dette utgangspunkt, sa vi fra første gang vi hørte om digital smittesporing, at digitale løsninger må spille en viktig rolle i bekjempelse av pandemien. Dette er helt i tråd med uttalelser fra det europeiske Personvernrådet, der alle EU og EØS-land er medlemmer.
- I strid med sentrale prinsipper i GDPR
Da Smittestopp så dagens lys, var løsningene - både juridisk og teknisk - i strid med helt sentrale prinsipper i personvernforordningen (GDPR) og konkret veiledning som kom fra sentrale personvernmyndigheter. Hovedpunktene i vårt vedtak var disse:
Sentral lagring der myndighetene har tilgang.
Appen var i strid med formålsprinsipper, ettersom man takket ja til tre formål i ett, uten valgmulighet.
Appen var i strid med dataminimaliseringsprinsippet, ettersom den brukte GPS til sporing av nærkontakter.
Valgfriheten var begrenset, ettersom man, etter å ha lastet ned appen, ikke kunne trekke tilbake sin tillatelse til at FHI brukte dataene til for eksempel forskning, og en utvidelse av formålet kunne vært gjort ved forskriftsendring.
Det var svært krevende for den enkelte å overskue konsekvensen av hva hen sa ja til.
Det var ikke foretatt tilstrekkelige risikovurderinger.
Manglende funksjonalitet, ettersom appen samlet inn store mengder data som ikke kunne brukes til noe som helst.
- Ingen positiv effekt
I en proporsjonalitetsvurdering, der alvoret i personverninngrepet legges i den ene vektskålen og hva man kan oppnå i den andre, har selvsagt smittespredningen betydning. I en situasjon med lav smittespredning, som situasjonen var i juni, lanseres i realitet en app som sporer befolkningen uten at det har noen positiv effekt.
FHI klarte ikke å legge frem dokumentasjon på den potensielle effekten, noe Datatilsynet la vekt på i vedtaket. Å legge til grunn at det potensielt, i framtiden, kunne bli større smittespredning, ville ikke vært korrekt. Effekt av et tiltak må vurderes på vedtakstidspunktet, ikke på et hypotetisk tidspunkt en gang i fremtiden.
Ekspertgruppe frarådet utrulling
Personvern handler i dag om juss og teknologi. Jeg antar at Opdahl blant de «høylytte personvernforkjemperne» inkluderer den teknologiske ekspertgruppen IKT Norge nedsatte på vegne av FHI for å få en ekstern vurdering av appen?
Eller oppropet der norske eksperter innen IT og personvern, advokater, akademikere, utviklere og bedriftsledere ropte varsko fordi appen samlet inn store mengder data om brukerne?
Politisk høylytt var også Amnesty International. Etter min oppfatning kom alle med vektige innlegg i debatten. Ekspertgruppen frarådet videre utrulling av appen, og Amnesty rangerte den norske appen som en internasjonal versting.
Vi la ikke vekt på noen av disse vurderingene i vår saksbehandling, men når Opdahls kritikk er at appen ble stoppet på sviktende grunnlag, er det høyst relevant å trekke fram. Det er det også at Stortinget vedtok at versjon 2 av appen skulle ha to ulike formål med hvert sitt samtykke; smittesporing og modellering av smitte. Og at den norske appen var den eneste i Europa som brukte GPS i sporing av nærkontakter.
Ny app lansert før jul
Vi vet alle hvordan fortellingen om Smittestopp endte. Appen ble trukket tilbake og alle data slettet, faktisk før vi fattet vårt endelige vedtak. Rett før jul ble en ny app lansert, der personvernet ser ut til å være ivaretatt i tilstrekkelig grad.
Teknologimiljøet har gitt tommel opp, og i det politiske miljøet er det så vidt vi har registrert ingen kritiske røster. Etterpåklokskap har som regel lite for seg, men vi kan ikke unngå å lure på dette: Ville vi hatt en app på plass når smittebølge 2 rammet oss dersom FHI i april hadde fulgt rådene fra Datatilsynet, Personvernrådet og sin egen ekspertgruppe? Svaret på det er ganske sikkert ja.
Og apropos gjeng. Vår gjeng er ganske kul, faktisk. Vi har stor takhøyde, har ulikt syn på så mangt, men har til felles at vi er opptatt av menneskerettigheter også i krisesituasjoner, elsker en god debatt, den består av teknologer, samfunnsvitere og mange svært dyktige jurister, og når vi møtes er diskusjonen frisk, og inspirerende.
Rune er en flink advokat og er velkommen tilbake i gjengen dersom han gir oss følgende omertà: Jeg skal aldri mer urettmessig beskylde et gjengmedlem for å ta livet av andre.
