Femte juli

Nätet till folket!

Privatliv

Rätten till privatliv är en grundläggande mänsklig rättighet, vilket bland annat slås fast i Europakonventionen för de mänskliga rättigheterna samt i EU:s stadga. Här publicerar vi nyheter om hur myndigheter, företag och andra aktörer vill skaffa sig tillgång till vår privata information.

Schweiz: Massiv kritik mot utökad datalagring

av

Kritiken mot den schweiziska regeringens förslag om utökad datalagring har väckt en proteststorm. Bland annat hotar den integritetsinriktade tjänsten Proton (mail & VPN) att lämna landet.

Nyligen avslutades remissrundan för Schweiz reviderade förordning om datalagring, VÜPF. Sedan dess har en kritikstorm brutit ut samtidigt som landets regering bereder frågan.

Enkelt uttryckt innebär förslaget att telekom- och internetleverantörer, VPN-tjänster, VoIP, e-post-tjänster, meddelandeappar och sociala nätverk m.fl. måste lagra och lämna ut användardata och innehåll till myndigheterna. Man vill även införa ID-krav för användare.

Detta går bortom vad som redan förklarats olagligt i EU, när EU-domstolen upphävde unionens datalagringsdirektiv. (Schweiz är dock inte med i EU.) Kritikerna menar att lagförslaget snarare påminner om hur det är i Ryssland.

Den högprofilerade och privacy-inriktade mail- och VPN-tjänsten Proton hotar att lämna Schweiz om lagen blir verklighet. Idag loggar Proton VPN inte sina användares nätuppkopplingar, vilket den nya lagen kan komma att tvinga dem att göra.

Även aktörer som NymVPN och meddelandetjänsten Threema påverkas av och protesterar mot förslaget – som skulle kullkasta Schweiz rykte som en bastion för säker elektronisk kommunikation.

Enda ljuspunkten är att totalsträckskrypterade (E2EE) meddelanden mellan slutanvändare inte omfattas av kravet på att innehåll skall överlämnas till myndigheterna i läsbar (av-krypterad) form. (Vilket däremot den föreslagna nya svenska datalagringen gör.) Dock kommer metadata att lämnas ut även vid E2EE.

Kritiken mot förslaget är hård från de flesta politiska partier, kantonerna, medborgarrättsorganisationer, näringslivet m.fl. Mycket talar för att förslaget kommer att omarbetas. Det har även rests krav på att frågan inte skall regleras av en förordning, utan måste upp till en öppen demokratisk process i form av ett lagförslag. Det har även rests krav på en folkomröstning.

• Techradar: ”We would be less confidential than Google” – Proton threatens to quit Switzerland over new surveillance law »

AI med djuplänkar och resurser: Grok » | ChatGPT » | Perplexity »

CC0

Rörigt när EU inför åldersgräns för sociala media

av

I juni skall EU:s ministerråd enligt uppgift diskutera åldersgränser för sociala media. Just nu är frågan en enda röra.

I väntan på EU:s »digitala plånbok« har EU-kommissionen upphandlat en speciell »mini-plånbok« för åldersverifiering, som kan användas av de mest pådrivande länderna. Dessa är: Frankrike, Italien, Spanien, Grekland, Belgien och Tyskland.

Det är dock oklart vilka av dessa länder som kommer att använda den nya »mini-plånboken«. De som redan försökt på egen hand har mött juridiska, tekniska och praktiska problem. Man kan även notera att de aktuella länderna går fram med olika åldersgränser.

Det pågår även en diskussion om åldersverifiering skall ske på operativ/enhets- eller applikations-nivå. En alternativ möjlighet är en åldersgräns för vissa appar i Apples och Googles app-shops.

EU:s ministerråd tycks luta åt verifiering på enhetsnivå, vilket i så fall sammanfaller med den teknik för granskning av innehåll i användarnas elektroniska meddelanden (client-side-scanning) som tidigare föreslagits vad gäller Chat Control 2.

En annan fråga gäller om man skall använda ID-uppgifter som verifierats med något slags ID-handling – eller om man skall använda sig av AI och biometri för att bedöma en användares ålder.

Här finns problem såväl vad gäller tillförlitlighet, säkerhet, användarvänlighet som kostnader.

Att lagra ID-uppgifter skapar – oavsett om det sker på app-nivå, system-nivå eller via någon tredjepartstjänst – risk för läckor, profilering, övervakning och andra former av missbruk. Att lagra biometrisk data likaså.

Dagens AI-drivna algoritmer för att uppskatta ålder har en felmarginal på ±2,5 år vid optimala förhållanden, en siffra som ökar till ±4,8 år i varierande etniska grupper. Vilket är på tok för bred felmarginal om man talar om barn. Detta blir varken praktiskt fungerande, rättvist eller rättssäkert.

Ena stunden rekommenderar EU åldersgränser i sin Digital Services Act, för att skydda barnen. I nästa ögonblick förbjuder EU:s nya AI Act biometrisk identifiering i realtid och etiketterar biometrisk kategorisering som ett användningsområde med hög risk.

En faktor i sammanhanget är att internet är gränslöst. Även om EU kräver att olika plattformar världen över skall rätta sig efter unionens regler, så är sanktionsmöjligheterna i många fall begränsade.

I ett principiellt perspektiv kan åldersverifikation påverka yttrandefriheten och rätten till anonymitet. Även om reglerna är inriktade mot unga kommer de att drabba alla. I Sverige skyddas dessa rättigheter av tryckfrihetsförordningen och yttrandefrihetsgrundlagen.

EU:s dataskyddsmyndighet framhäver att åldersverifieringssystem måste tillåta anonym åtkomst för myndiga användare. Traditionella metoder som kräver inloggning eller cookies kan skapa detaljerade användarprofiler, vilket strider mot artikel 25 i GDPR om dataskydd genom design.

Enligt den omhuldade barnkonventionen (som gjorts till svensk lag) har även barn rätt till privatliv och skydd mot intrång, vilket måste beaktas vid implementering av verifieringssystem.

Detta är en röra som drivits fram av ett antal EU-länders politiker som inte begriper vad de sysslar med och som inte vill vänta tills införandet av EU:s nya digitala plånbok nästa är.

Vi ger sista ordet till EFF:

»Age verification laws do far more than ‘protect children online’—they require the creation of a system that collects vast amounts of personal information from everyone. Instead of making the internet safer for children, these laws force all users—regardless of age—to verify their identity just to access basic content or products. This isn’t a mistake; it’s a deliberate strategy.«

• EU inför ID-krav på nätplattformar »
• EU rullar ut app för åldersverifikation »
• EDRi: Showing your ID to get online might become a reality – a closer look at the EU’s new age verification app »
• EFF: First Porn, Now Skin Cream? ‘Age Verification’ Bills Are Out of Control »
• Digital Identities and the Future of Age Verification in Europe »

Se även: ChatGPT » | Perplexity »

CC0

EU-UK i nytt samarbete om biometrisk data

av

I det nya avtalet mellan EU och Storbritannien återupptar man utbytet av biometrisk data för automatiserad ansiktsigenkänning. Med mera.

»53. The European Commission and the United Kingdom will explore ways to reinforce mutual and reciprocal exchanges of data on fingerprints, DNA, and criminal records of third country nationals, in the light of technical developments; and acknowledge the requirement in the Trade and Cooperation Agreement to set up automated searching of vehicle registration data. They will also explore extending the exchange of data to facial images for the prevention, detection and investigation of criminal offences.«

Här kan man notera att automatiserad ansiktsigenkänning visat sig komma med stora problem för brittisk polis – såväl praktiskt som vad gäller rättssäkerhet.

I EU har unionens nya AI Act öppnat dörrarna för denna teknik för rättsvårdande myndigheter. Den svenska regeringen vill gå så långt detta regelverk tillåter.

• A renewed agenda for European Union – United Kingdom cooperation Common Understanding »

CC0

EU inför ID-krav på nätplattformar

av

EU är på väg att kräva åldersverifikation på nätplattformar. Vilket innebär att alla måste identifiera sig och registreras.

I en konsultation om guidelines föreslår EU-kommissionen bland annat att plattformar skall:

»Implement age assurance measures that reduce the risks of children being exposed to pornography or other age-inappropriate content.«

Vilket kan låta snällt. Tänk på barnen! Tills man tänker efter vad det betyder i verkligheten.

Olämpligt innehåll kan dyka upp på i stort sett vilken plattform som helst. Så man kan räkna med att de flesta sociala media måste införa något slags ID-krav för att kontrollera användarnas ålder. Vilket även lär omfatta många andra som tillhandahåller innehåll online.

Till att börja med kan man tycka att det börjar bli väl många olika register med våra persondata där ute. Vilka alla kan missbrukas eller läcka. Dessutom är ID-kontrollen tänkt att utföras av de datajättar som redan vet allt för mycket om oss.

Hur användbar kan inte en porrsidas databas med persondata vara? Så att man kan hålla koll på folks små egenheter.

Människor måste ha rätt att vara anonyma online. Det håller Europaparlamentet med om i sitt ställningstagande om Chat Control 2. FN och Europadomstolen är inne på samma linje. Men inte kommissionen.

Det kan ju vara bra att ha folks identitet fastställd, ifall de skulle börja tycka fel.

Nej, man skall ha rätt att säga sin mening utan att andra behöver veta vem man är. För att slippa repressalier om man är obekväm. Och för den kreativa friheten.

Visselblåsare och människor med skyddad identitet är exempel på grupper som inte vill skylta med sina namn. Att söka hjälp i supportgrupper kan vara lättare under pseudonym. Och så vidare.

Sedan kan man undra om detta är tänkt att bara gälla i EU eller om det skall rullas ut globalt, eftersom plattformarna är globala och internet gränslöst.

I det senare fallet är det inte svårt att tänka sig förtjusningen hos allehanda skurkstater som förtrycker sina folk.

Detta är ytterligare en sådan där sak som vid första påseende kan låta fin och snäll – men som får orimliga konsekvenser om den omsätts i verkligheten.

Konsultationen tar även upp andra saker. Som att man vill ha något slags politiskt inflytande över hur sociala media utformar sina algoritmer. Vad kan möjligen gå fel?

Den goda nyheten är att du är välkommen att säga vad du tycker om det här. EU-kommissionen skriver:

»The draft guidelines are open for final public feedback until 10 June 2025. The Commission is seeking contributions of all stakeholders, including children, parents and guardians, national authorities, online platform providers, and experts. The publication of the guidelines is expected by the summer of 2025.«

Under tiden rullar EU ut sin nya app för åldersverifikation.

• Commission seeks feedback on the guidelines on protection of minors online under the Digital Services Act »

CC0

Mänskliga rättigheter online

av

Demokratins paradox är att den kan avskaffa sig själv. I god demokratisk ordning. Genom majoritetsbeslut.

Det behöver inte ske i form av något stort teatraliskt maktskifte. Istället begränsas våra fri- och rättigheter steg för steg. Inte minst online.

Det behöver inte vara av ondska. Missriktad välvilja är orsaken till mycket mänskligt lidande.

Hannah Arendt påpekade att övergrepp mot människans rättigheter alltid sker i namn av vad som anses vara kollektivets bästa.

Rätten till privatliv och yttrandefriheten är grundläggande mänskliga rättigheter. De är till för att en majoritet / staten inte skall kunna förtrycka en minoritet / individen.

Med massövervakning av våra elektroniska kommunikationer och ett allt mindre fönster för vad folk får säga är saker på väg åt fel håll.

Med risk för att tjata, här är vad Europakonventionen om de mänskliga rättigheterna har att säga om rätten till privatliv – och privat korrespondens.

»Var och en har rätt till skydd för sitt privat- och familjeliv, sitt hem och sin korrespondens.«

På detta område har vi EU:s Chat Control 2 som vill granska innehållet i folks elektroniska meddelanden. Och den svenska regeringens idé om bakdörrar till totalsträckskrypterad kommunikation.

Och så yttrandefriheten…

»Var och en har rätt till yttrandefrihet. Denna rätt innefattar åsiktsfrihet samt frihet att ta emot och sprida uppgifter och tankar utan offentlig myndighets inblandning och oberoende av territoriella gränser.«

Vilket gör sådant som EU:s Digital Services Act problematiskt. Man vill lägga sig i vad folk får säga. Men man får egentligen inte.

De grundläggande mänskliga fri- och rättigheterna är under ständigt angrepp och måste därför ständigt försvaras. Såväl offline som online. Alternativet är dystopiskt.

CC0

Chat Control 2 – fortsatt låst läge i ministerrådet

av

En överenskommelse om Chat Control 2 i EU:s ministerråd sägs vara mer avlägsen än på länge. Det nu aktuella förhandlingsläget beskrivs som »ett slöseri med tid, pengar och energi«.

Just när det såg ut som om det förra förslaget om Chat Control 2 (client-side-scanning, det vill säga spionprogram på applikations- eller systemnivå i alla telefoner och datorer) var på väg att få tillräckligt stöd i EU:s ministerråd – då presenterade det tillträdande polska ordförandeskapet ett helt nytt upplägg i början av året.

Enkelt uttryckt går det ut på att meddelandetjänster kan fortsätta att frivilligt söka efter sexuella övergrepp mot barn i användarnas meddelanden, precis som idag (Chat Control 1).

Men det blir inget krav på att detta skall göras obligatoriskt eller omfatta totalsträckskrypterade (E2EE) meddelanden.

Vilket de medlemsstater som sagt ja till Chat Control 2 i sin tidigare form (client-side-scanning) inte vill acceptera. De menar att förslaget inte går tillräckligt långt.

När detta diskuterades på tjänstemannanivå i ministerrådet förra veckan kom man inte fram till något av betydelse. Ett omdöme är att det nuvarande upplägget är »ett slöseri med tid, pengar och energi«.

Därmed är det inte troligt att något av substans kommer att hända i frågan på justitie- och inrikesministrarnas formella rådsmöte den 12-13 juni.

Vid halvårsskiftet (1/7) går ordförandeskapet i rådet över till Danmark – som är mer positivt inställt till Chat Control 2 än Polen. Då kan vi vänta oss ännu ett nytt förslag (eller möjligen en återgång till det förra förslaget om client-side-scanning).

Vad gäller de övriga EU-institutionernas inställning vill EU-kommissionen fortfarande ha obligatorisk AI-analys av innehållet i alla användares elektroniska meddelanden. Medan Europaparlamentet vill att spaning bara skall inriktas mot personer som misstänks för brott – och att man skall respektera medborgarnas rätt till totalsträckskrypterad kommunikation.

Läs mer:
• Einigung bei Chatkontrolle so weit entfernt wie nie »
• Början till slutet för Chat Control 2? »
• Chat Control 2 i långbänk »
• Chatcontrol.se »
• Chatcontrol: Kompromiss i Europaparlamentet »

CC0

EU rullar ut app för åldersverifikation

av

EU vill kunna kontrollera användarnas ålder på vissa webplatser. Detta skall ske med en app som ansvariga själva medger har säkerhetsbrister.

Trots att EU:s nya digitala ID – European digital identity (EUDI) wallet – är tänkt att rullas ut nästa år tänker man redan i sommar lansera en app i vissa medlemsstater – EU mini wallet – för att verifiera besökarnas ålder på websidor.

Åldersverifikation innebär inte bara att minderåriga måste identifiera sig – utan att alla måste göra det. Vilket innebär att du inte kommer att kunna vara anonym på de aktuella websidorna.

Vilket i sin tur innebär att till exempel användares sexuella preferenser kan komma att registreras vid besök på porrsiter. Detta är något som kan missbrukas av så väl stater med moralpanik som kriminella.

Dessutom verkar den nya appen inte helt säker. Det ställs visserligen upp en del säkerhetskrav, men de flesta verkar vara frivilliga. EDRi skriver:

»At a public event earlier this year, a lead official for the ‘mini wallet’ (age verification app) project stated that because the wallet is only a temporary solution, it does not need to have such high levels of privacy and security. This is an absurd presumption.«

Sedan kan man ju fundera över hur meningsfullt det är med åldersverifikation på ett gränslöst internet där bara vissa delar faller under EU:s lagstiftning (DSA m.m.).

• EDRi: Showing your ID to get online might become a reality – a closer look at the EU’s new age verification app »

CC0

Övervakningsstaten i de kriminellas händer?

av

Vilka blir konsekvenserna när kriminella nätverk infiltrerar de myndigheter som har tillgång till hemliga tvångsmedel för övervakning och känslig persondata?

Polis, åklagare, våra domstolar och kriminalvården är exempel på rättsvårdande myndigheter som infiltrerats av kriminella nätverk. De är myndigheter som har tillgång till en mängd verktyg för övervakning och till känslig persondata.

Samma problem finns i andra, civila myndigheter som hanterar känslig information om medborgarna. Detta speciellt som man nu monterar ner många av de sekretesshinder som tidigare satts upp för att skydda individens rätt till privatliv.

Vi brukar varna för att övervakningsstatens verktyg kan komma att missbrukas av framtida makthavare med auktoritära ambitioner. Eller på grund av missriktad välvilja, överdriven nit eller inkompetens.

Till detta måste vi idag lägga kriminella nätverk som bevisligen har infiltrerat våra myndigheter, såväl rättsvårdande som andra.

Några exempel: En anställd vid Attunda tingsrätt misstänktes 2023 för att ha varnat ett kriminellt nätverk om förestående avlyssning. En åklagare har visat sig ha nära släktband till och kontakter med ledaren för ett välkänt kriminellt nätverk. Mellan 2018 och 2023 gjordes 514 anmälningar om misstänkta informationsläckor inom Polismyndigheten. Antalet misstänkta infiltrationsfall inom Kriminalvården ökade från 50 till 144 mellan 2020 och 2023. I till exempel Södertälje kommun har organiserad brottslighet påverkat kommunens verksamheter och därmed också kunnat få tillgång till känslig persondata (som kan användas för till exempel välfärdsbrottslighet).

Problemet har två sidor. Dels kan personer som är misstänkta för brott få kännedom om att och hur de övervakas och utreds. Dels kan insamlad information och persondata komma att användas av kriminella för att till exempel kartlägga offer och tysta vittnen.

Konsekvensen blir en förtroendekris. Kan vi lita på att de rättsvårdande myndigheterna och offentlig verksamhet inte låter andra missbruka dess verktyg och information?

Alla system måste utgå från att olika former av korruption och infiltration förekommer. Och skydda sig.

CC0

Regeringen bygger ut kontrollstaten

av

Regeringen river nu sekretessen mellan olika myndigheter – och ingen tycks bry sig om riskerna.

Jag är tillräckligt gammal för att komma ihåg debatten om samkörning av dataregister. Man oroades över att staten skulle få veta allt för mycket om den enskilde medborgaren och dennes privata förhållanden.

1975 sa dåvarande moderatledaren Gösta Bohman följande i ett av sina långa, ideologiskt präglade tal:

»|L]äggs kontroll till kontroll, registrering till registrering, blir vi själva så småningom slavar under kontrollsystem, fångar i ett genomreglerat samhälle, där den enskildes möjligheter att hävda sig gentemot den allt starkare överheten blir allt mindre.«

Det var då. I sak är argumentet fortfarande lika giltigt.

Men förra veckan såg vi landets nuvarande moderat-ledda regering riva sekretesshindren mellan olika myndigheter. Ur regeringens pressmeddelande:

»För att motverka olika former av fusk, överträdelser och brottslig verksamhet är det avgörande att myndigheter kan dela information med varandra på ett effektivt och enkelt sätt. Regeringen har därför beslutat om en lagrådsremiss med förslag som innebär förenklade möjligheter för alla myndigheter att samverka och dela information med varandra.«

Det skäl man anger är alltså den förändrade brottsligheten i landet, som förvisso är ett högst påtagligt problem. Och väljarna är förmodligen med på detta.

Det kusliga är att det sker utan debatt, utan kritisk granskning – och till synes utan en konsekvensanalys av hur detta kan komma att missbrukas på sikt.

Notera att när detta verktyg finns på plats är det inte bara gängkriminella som kan komma att granskas i sömmarna. Det kommer även att användas för att hålla koll på vanligt folk.

Det är som när datalagringen (lagring av metadata om folks telefonsamtal, SMS, e-post, uppkopplingar m.m.) infördes. Politikerna lovade att den bara skulle användas för att bekämpa verkligt allvarlig brottslighet. Men det visade sig snabbt att det huvudsakliga användningsområdet blev att jaga fildelare och för Skatteverket för att snoka i folks privatliv.

(EU:s datalagringsdirektiv upphävdes senare av EU-domstolen, då det strider mot vad de grundläggande mänskliga rättigheterna har att säga om rätten till privatliv och privat korrespondens.)

Länkar:
• Rivna sekretesshinder för effektivare informationsutbyte mellan myndigheter »
• Presentationsbilder från presskonferensen »
• Lagrådsremiss »

CC0

Kryptering: Rikspolischefen kräver det omöjliga

av

Inte heller rikspolischefen förstår riskerna med bakdörrar till end-to-end-krypterad kommunikation.

Rikspolischef Petra Lundh stämmer nu in i kören med regeringen, EU och Europol – och kräver att myndigheterna skall få tillgång till innehållet i totalsträckskrypterade (E2EE) elektroniska meddelanden.

Vi får dock inte veta hur.

Hur har hon tänkt sig att skapa bakdörrar som inte kan utnyttjas av kriminella och främmande makt?

Hur har hon tänkt bereda sig tillgång till E2E-krypterad kommunikation utan att riskera alla användares säkerhet? I hela världen!

Hur har hon tänkt sig lösa situationen för alla meddelande-apparnas användare i skurkstater – vars frihet, säkerhet och liv hänger på säker kommunikation?

Hur har hon tänkt tvinga meddelandetjänster utanför Sverige/EU att bryta sina kunders kryptering?

Polisen har redan tillgång till andra verktyg (hemlig dataavläsning) för att spana på folk som är misstänkta för brott. (Spionprogram på telefonen / datorn som noterar allt som sker.) Detta gäller även om misstanken om brott inte är konkret, i vissa fall.

Men om man bryter den grundläggande mänskliga rätten till privatliv och privat korrespondens, då kan den vara borta för alltid.

I samma inslag (TV4) verkar det dock som att problemet med att kringgå säker kommunikation kan ha sjunkit in hos justitieminister Gunnar Strömmer (M):

»[Krypterade meddelanden] har skapat väldigt stora problem för brottsbekämpningen. Å andra sidan finns det frågor om informationssäkerhet när det gäller den här typen av kanaler som också måste lösas. Vi arbetar med de frågorna nu, jag får återkomma om hur vi ser på vägen framåt, säger Strömmer.«

Det skall bli oerhört intressant att se hur sådana lösningar är tänkta att se ut. Det mesta talar för att detta är ett olösligt problem. Om man inte är beredd att offra säkerheten för användare av totalsträckskrypterade appar i hela världen, vill säga.

Politikens krypskytte mot krypterad kommunikation har pågått i årtionden. Väldigt lite nytt har tillförts i debatten under den tiden. Positionerna är till synes låsta.

Läs mer:
• Polisen vill få tillgång till kriminellas krypterade chattar
• Så vill EU och regeringen få tillgång till innehållet i dina meddelanden
• Joint Letter on Swedish Data Storage and Access to Electronic Information Legislation »
• ProtectEU – övervakning, datalagring och bakdörrar till krypterade meddelanden »
• Chat Control 2 – en uppdatering »
• Stoppa regeringens bakdörrs-lag! »
• Regeringens kryptoproblem »
• Försvarsmakten värnar rätten till totalsträckskrypterad kommunikation »
• Striden om kryptering tar ny fart »

CC0