Nätet till folket!
Rätten till privatliv är en grundläggande mänsklig rättighet, vilket bland annat slås fast i Europakonventionen för de mänskliga rättigheterna samt i EU:s stadga. Här publicerar vi nyheter om hur myndigheter, företag och andra aktörer vill skaffa sig tillgång till vår privata information.
Som vi tidigare rapporterat diskuterar det finska EU-ordförandeskapet att utöka registreringen av våra resor (PNR) från flyg till att även omfatta tåg- och båtresor. Tidigare i sommar verkade det som att man först tänkte invänta utslaget i ett rättsfall om PNR. Nu vill man göra frågan prioriterad.
Statewatch: EU Council Presidency proposes follow-up on extending PNR to sea and rail traffic »
Vi närmar oss en punkt där anonymt resande blir omöjligt.
Forbes avslöjade häromdagen att WhatsApp planerar en bakdörr för att göra tjänstens end-to-end-krypterade meddelanden tillgängliga:
In Facebook’s vision, the actual end-to-end encryption client itself such as WhatsApp will include embedded content moderation and blacklist filtering algorithms. These algorithms will be continually updated from a central cloud service, but will run locally on the user’s device, scanning each cleartext message before it is sent and each encrypted message after it is decrypted.
The company even noted that when it detects violations it will need to quietly stream a copy of the formerly encrypted content back to its central servers to analyze further, even if the user objects, acting as true wiretapping service.
Detta får kanske ses som en lösning för att komma åt meddelanden utan att ge myndigheterna en bakdörr. Men det är ändå ett intrång i användarnas privata kommunikation.
Man kan även anta att om ett sådant system sjösätts, då kommer myndigheterna ändå att vilja ha direkt tillgång till alla flaggade meddelanden. Bruce Schneier kommenterar:
Once this is in place, it’s easy for the government to demand that Facebook add another filter — one that searches for communications that they care about — and alert them when it gets triggered.
Of course alternatives like Signal will exist for those who don’t want to be subject to Facebook’s content moderation, but what happens when this filtering technology is built into operating systems?
Idag kommer så en dementi från WhatsApp. Forbes:
On July 25th, WhatsApp’s parent company Facebook did not dispute the characterization posed to it that it planned to ”moderat[e] end to end encrypted conversations such as WhatsApp by using on device algorithms,” with the spokesperson pointing to Zuckerberg’s own blog post calling for precisely such filtering. This afternoon, Vice President of WhatsApp Will Cathcart contradicted this, offering “we have not done this, have zero plans to do so, and if we ever did it would be quite obvious and detectable that we had done it. We understand the serious concerns this type of approach would raise which is why we are opposed to it.”
Motstridiga uppgifter, således. Möjligen kan det vara uppmärksamheten som fått WhatsApp att backa. Eller så finns det delade meningar mellan WhatsApp och dess ägare Facebook.
Intressant nog sker detta samtidigt som de så kallade Five Eyes-nationerna efterlyser en bakdörr till WhatsApp och andra krypterade meddelandetjänster. The Guardian:
British, American and other intelligence agencies from English-speaking countries have concluded a two-day meeting in London amid calls for spies and police officers to be given special, backdoor access to WhatsApp and other encrypted communications.
Myndigheternas krav på tillgång till krypterade meddelanden i de vanligaste apparna avsedda för konsumenter är något av en följetong. Och de verkar aldrig ge sig.
Samtidigt finns det andra metoder – som end-to-end-krypterad e-post – att ta till för den som verkligen vill dölja innehållet i sin kommunikation med andra. Vilket i praktiken aldrig går att knäcka eller förbjuda.
Det långsiktiga hotet mot vår rätt till privat kommunikation kan dock – som Bruce Schneier påpekar ovan – komma från att bakdörrar byggs in redan i datorernas och våra smarta enheters operativsystem. Och från statliga spionprogram som kan komma åt allt på våra enheter och läsa våra krypterade meddelanden innan de krypterats eller efter att de avkrypterats.
Länkar:
• Forbes: The Encryption Debate Is Over – Dead At The Hands Of Facebook »
• Bruce Schneier: Facebook Plans on Backdooring WhatsApp »
• The Guardian: Calls for backdoor access to WhatsApp as Five Eyes nations meet »
I årtionden har det rasat en strid där myndigheter i olika länder antingen vill förbjuda kryptering eller ha »bakdörrar« till krypterade meddelandetjänster. Nu senast är det US Attorney General William Barr som givit sig in i debatten:
While speaking today in New York, Barr demanded eavesdropping mechanisms be added to consumer-level software and devices, mechanisms that can be used by investigators to forcibly decrypt and pry into strongly end-to-end encrypted chats, emails, files, and calls. No ifs, no buts.
Men inte heller Barr kan förklara hur man skall kunna knäcka krypterade meddelanden utan att skapa säkerhetsluckor som kan utnyttjas av till exempel kriminella, terrorister eller främmande makt. Och vi vet ju att myndigheternas olika övervakningsverktyg förr eller senare läcker ut till obehöriga.
Dessutom håller ordningsmakt och säkerhetstjänster i ett antal länder på att lansera »stats-trojaner«, det vill säga spionprogram som låter myndigheterna övervaka misstänktas datorer och smarta enheter – för att bland annat kunna fånga upp data innan den krypteras och efter att den blivit avkrypterad. Även detta är ett otrevligt och integritetskränkande verktyg som lätt kan hamna i orätta händer och missbrukas. Men det inriktas i vart fall (lämpligen) mot människor som faktiskt är misstänkta för något brottsligt, inte mot hela befolkningen. Så myndigheterna har faktiskt redan ett slags bakdörr. (I Sverige är en lag om »hemlig dataavläsning« på väg till riksdagen.)
Samtidigt finns det ingen politiker i världen som (på ett rimligt sätt) kan förbjuda kryptering som sådan eller kräva bakdörrar till exempelvis privat, end-to-end-krypterad e-post. Den som verkligen vill kunna sända och ta emot krypterade meddelanden som myndigheterna inte kan läsa kommer alltid att kunna göra det. Det går liksom inte att »av-uppfinna« krypteringen.
Länkar:
• Tech firms “can and must” put backdoors in encryption, AG Barr says »
• Low Barr: Don’t give me that crap about security, just put the backdoors in the encryption, roars US Attorney General »
• EFF: Don’t Let Encrypted Messaging Become a Hollow Promise »
Facebook har fått böta fem miljarder dollar i USA, för sin roll i Cambridge Analytica-affären. Men vad innebär det i praktiken? För den vanlige nätanvändaren är det knappast någon garanti mot framtida missbruk av persondata.
Cambridge Analytica-affären har blivit ett politiskt slagträ, som används för att ifrågasätta valet av Donald Trump till president i USA och resultatet av Brexit-omröstningen i Storbritannien. Detta har kommit att överskugga historiens kärna: Att Facebook gav CA tillgång till persondata för 50 miljoner användare – och att CA fortsatte använda denna även efter att Facebook insett sitt misstag och återkallat företagets rätt att använda nämnda data.
Att Facebook kapitaliserar på sina användares persondata är inget unikt. Det är deras affärsidé.
Skillnaden är att denna gång användes det i politiska syften istället för att marknadsföra konsumentprodukter. Men i grunden är kärnfrågan densamma oavsett om persondatan används för att sälja Trump eller schampo: Manipulation av enskilda individer med hjälp av stora mängder personlig data.
Det är alltså inte reklam eller marknadsföring som sådan som väckt uppmärksamhet. Det råder en rätt allmänt utbredd insikt om att persondata är priset man får betala för tillgång till tjänster som Facebook, Google, Twitter & Co. Och då kommer det alltid att finnas en moralisk gråzon för i vilka syften denna data används.
De flesta lär vara överens om att det är i sin ordning för politiska partier att använda sociala media och annonsering i dessa för att nå potentiella väljare. (En av CA:s medarbetare kom från Obamas allmänt hyllade sociala medie-satsning.) Och redan med ett fåtal datapunkter är det möjligt att göra sådan marknadsföring synnerligen effektiv. Vilket även riktar moralens strålkastare mot de politiska partierna. Hur djupt borrar till exempel de svenska partierna i persondata under sina kampanjer?
Genom åren har Socialdemokraterna varit mästare på något liknande – fast analogt. Med hjälp av röstlängder, opinionssiffror, valdeltagande, tidigare valresultat samt så mycket demografisk data de kan få fram lyckas de välja ut områden där partiets valmaskineri kan nå bäst resultat. Detta är knappast något man kan eller vill förbjuda. Men det ligger i stor sett inom samma verksamhetsfält som vad CA sysslar med.
Oaktat Facebook och CA eller vad vi tycker om saken – så är detta den verklighet som gäller.
I fallet med CA var datakällan från Facebook gigantisk. Och även om den dörren nu kanske är stängd för politiska spindoctors under överskådlig framtid – så är Facebook långt ifrån den enda källan till användbar persondata. Och CA är (var) inte det enda bolag som sysslar med att samla in och djupanalysera persondata. Enda skillnaden är att dessa aktörer är mer eller mindre okända för allmänheten och media.
Dessutom finns ett sidospår i debatten som få tycks ägna någon uppmärksamhet: Vilken data och vilken dataanalys har staten tillgång till – och i vilket syfte? Detta är en gigantisk godispåse för myndigheter och politiker – som kan användas för allt från att effektivisera kollektivtrafiken till att kartlägga personer med avvikande åsikter eller beteende.
Frågan om Facebook & Cambridge Analyticas roll i den amerikanska presidentvalskampanjen och Brexit-kampanjen är i sig intressant. Men bakom den debatten döljer sig ett stort, känsligt och i stora delar outforskat frågekomplex – som reser frågor om de politiska partiernas förhållande till folket och statens förhållande till medborgaren.
Länkar:
• Nu är det klart: Facebook får böta 47 miljarder för dataskandalen »
• Facebook to pay $5bn fine as regulator settles Cambridge Analytica complaint »
• Wikipedia: Facebook–Cambridge Analytica data scandal »
• Trots dataskandaler och rekordböter – Facebook går bättre än väntat »
• 9 reasons the Facebook FTC settlement is a joke »
• Netflix släpper dokumentär om Cambridge Analytica »
• Netflix documentary explores Facebook-Cambridge Analytica data scandal »
• EU privacy ruling against Facebook to come by end 2019 »
EU:s ministerråd vill gärna se ett nytt datalagringsdirektiv, efter det som ogiltigförklarats av EU-domstolen. Den avgående EU-kommissionen har inte velat röra datalagringen. Så nu är frågan vad den nya EU-kommissionen kommer att göra.
I väntan på besked skriver 30 europeiska organisationer för nätfrihet och digitala rättigheter brev till EU-kommissionen. Ur innehållet…
While the concept of blanket data retention appeals to law enforcement agencies, it has never been shown that the indiscriminate retention of traffic and location data of over 500 million Europeans was necessary, proportionate or even effective.
Blanket data retention is an invasive surveillance measure of the entire population. This can entail the collection of sensitive information about social contacts (including business contacts), movements and private lives (e.g. contacts with physicians, lawyers, workers councils, psychologists, helplines, etc.) of hundreds of millions of Europeans, in the absence of any suspicion. Telecommunications data retention undermines professional confidentiality and deters citizens from making confidential communications via electronic communication networks. The retained data is also of high interest for criminal organisations and unauthorized state actors from all over the world. Several successful data breaches have been documented. Blanket data retention also undermines the protection of journalistic sources and thus compromises the freedom of the press. Overall, it damages preconditions of open and democratic societies.
Brevet mynnar sedan ut i ett önskemål om en grundlig utvärdering av datalagringen – inte minst ur ett medborgarrättsligt perspektiv – innan man går vidare.
Läs hela brevet här: Civil society calls for a proper assessment of data retention »
I veckan har EU-ländernas dataskyddsmyndigheter träffats i Bryssel. Bland annat har man diskuterat att kräva samtycke för automatiserad ansiktigenkänning.
Politico rapporterar:
In particular, the watchdogs are looking to reclassify facial recognition data as ”biometric data,” which under the GDPR is considered ”sensitive data” and requires explicit consent from the person whose data is being collected as well as other stricter privacy protections. Without these, collection of the data is forbidden.
Räkna med att detta kommer att möta motstånd bland EU:s justitie- och inrikesministrar – som ju i princip aldrig missar en chans till utökad övervakning och kontroll av medborgarna.
Politico: Europe eyes stricter rules on facial recognition »
Allt fler skyddar sig mot trackers och cookies online. Men det finns ett annat sätt att spåra och identifiera nätanvändare – fingerprinting. Det går ut på att kombinera information om faktorer som skärmupplösning, processor m.m. för att skapa en unik, identifierbar profil.
Brian X. Chen förklarar saken i New York Times:
What is it exactly? Fingerprinting involves looking at the many characteristics of your mobile device or computer, like the screen resolution, operating system and model, and triangulating this information to pinpoint and follow you as you browse the web and use apps. Once enough device characteristics are known, the theory goes, the data can be assembled into a profile that helps identify you the way a fingerprint would.
“Get enough of those attributes together and it creates essentially a bar code,” said Peter Dolanjski, a product lead for Mozilla’s Firefox web browser, who is studying fingerprinting. “That bar code is absolutely uniquely identifiable.”
Än så länge används fingerprinting rätt sparsamt, men tycks samtidigt bli vanligare. Skälet till att denna teknik utvecklas är förmodligen just det faktum att allt fler användare och browsers blockerar de gamla sätten att identifiera användare.
Så vad kan man göra? Apples Safari sägs ha skydd mot fingerprinting. Och det finns även i nyare versioner av Mozillas Firefox, även om det där måste aktiveras av de enskilda användarna. Vad gäller appar på mobila enheter verkar det dock svårare att skydda sig.
Läs mer: ‘Fingerprinting’ to Track Us Online Is on the Rise. Here’s What to Do. »
Under rubriken »vad var det vi sa«: Det finska EU-ordförandeskapet vill gå vidare med registrering av våra resor till att även omfatta tåg och båt.
EU har redan ett kritiserat system för registrering av upp till 60 datapunkter kring våra flygresor, PNR.
Nu har det finska EU-ordförandeskapet lyft frågan om att utöka registreringen till internationella resor med tåg och båt. Övriga EU-länder sägs vara i stort sett positiva till förslaget, även om man avvaktar ett rättsfall om PNR. Förmodligen kommer ett skarpt förslag under våren nästa år.
Som tongångarna är i EU kan man även förvänta sig att hyrbilar och hotellövernattningar kommer att registreras i nästa steg.
Länk: Finnland treibt Komplettüberwachung aller Reisebewegungen in der EU voran »
Under tisdagen (9 juli) kommer EU-domstolen att hålla en viktig utfrågning om överföring av persondata från EU till USA.
Bakgrunden är en anmälan från den österrikiske nätaktivisten Max Scherms. Han har redan en gång fått ett avtal om dataöverföring mellan EU och USA ogiltigförklarat. Och nu är det kanske dags igen.
Politico skriver:
On Tuesday, the European Court of Justice in Luxembourg will hear arguments in another case brought by Schrems over claims that the U.S. government does not sufficiently protect Europeans’ data when it is shipped across the Atlantic.
”There is fundamentally a clash between surveillance laws in the U.S. and privacy rules in Europe,” he said. ”We’re in a debate about who governs the internet. Europe governs privacy, but the U.S. governs surveillance.” (…)
Schrems and his lawyers are expected to argue this data-transfer mechanism runs against EU privacy rules because it allows U.S. national security agencies extensive access to Europeans’ digital information. Others, including the European Commission and industry groups, will says these agreements provide sufficient guarantees for EU citizens.
Problemet är att även de nya reglerna lämnar mycket att önska. Bland annat handlar det om den amerikanska säkerhetsbyråkratins tillgång till den data som överförs.
Om det existerande avtalet upphävs kan det få stora konsekvenser såväl för de amerikanska nätjättarna som för näringslivet i övrigt. Och det finns en oro för att detta även kan få negativa konsekvenser vad gäller dataskydd – då det nu gällande regelpaketet i vissa delar erbjuder ett rimligt skydd för europeisk persondata, men i andra delar inte.
Detta är komplex materia. Men i grunden handlar det om att gällande avtal mellan EU och USA är allt för vaga, vilket bland annat påpekats flera gånger av Europaparlamentet.
Politico: Top court hearing puts EU data transfers in jeopardy »
Det har blivit allt vanligare att polisen runt om i världen använder kroppskameror. Syftet med dessa är att dokumentera vad som verkligen sker vid ett ingripande – vilket även anses minska risken för övergrepp från polisens sida. Vilket är en bra sak.
Men tekniken går ständigt framåt. Och nu har det blivit möjligt att koppla polisens kroppskameror till ansiktsigenkänning – som syftar till att identifiera de människor vars ansikten kommer i kamerornas väg.
Vilket innebär att ett verktyg som var tänkt att öka rättssäkerheten plötsligt också håller på att bli ett verktyg för övervakning av allmänheten.
Detta oroar inte bara medborgarrättsaktivister. Även de företag som tillverkar kroppsburna kameror är avvaktande till utvecklingen. Till exempel har ett av dem, Axon, pausat sin utveckling av kameror med ansiktsigenkänning. Företaget skriver:
Technology is moving much faster than legislative bodies and courts can respond. Hence, we believe it is critical for technology leaders to work hard to understand the ethical, legal, and community implications for new technologies that are too new to be effectively covered by existing law.
Kritik kommer även från akademiker och en del politiker. Till exempel menar the California Assembly att kroppskameror med ansiktsigenkänning leder till att medborgarna tvingas välja mellan att undvika att att interagera och samarbeta med ordningsmakten – eller få bilder av sitt ansikte registrerade, analyserade och lagrade som potentiellt misstänkta brottslingar.
EFF:
• A Major Police Body Camera Maker Hits Pause on Face Surveillance »
• California: Stop Face Surveillance on Police Body-Worn Cameras »