Femte juli

Nätet till folket!

biometrisk information

Rörigt när EU inför åldersgräns för sociala media

av

I juni skall EU:s ministerråd enligt uppgift diskutera åldersgränser för sociala media. Just nu är frågan en enda röra.

I väntan på EU:s »digitala plånbok« har EU-kommissionen upphandlat en speciell »mini-plånbok« för åldersverifiering, som kan användas av de mest pådrivande länderna. Dessa är: Frankrike, Italien, Spanien, Grekland, Belgien och Tyskland.

Det är dock oklart vilka av dessa länder som kommer att använda den nya »mini-plånboken«. De som redan försökt på egen hand har mött juridiska, tekniska och praktiska problem. Man kan även notera att de aktuella länderna går fram med olika åldersgränser.

Det pågår även en diskussion om åldersverifiering skall ske på operativ/enhets- eller applikations-nivå. En alternativ möjlighet är en åldersgräns för vissa appar i Apples och Googles app-shops.

EU:s ministerråd tycks luta åt verifiering på enhetsnivå, vilket i så fall sammanfaller med den teknik för granskning av innehåll i användarnas elektroniska meddelanden (client-side-scanning) som tidigare föreslagits vad gäller Chat Control 2.

En annan fråga gäller om man skall använda ID-uppgifter som verifierats med något slags ID-handling – eller om man skall använda sig av AI och biometri för att bedöma en användares ålder.

Här finns problem såväl vad gäller tillförlitlighet, säkerhet, användarvänlighet som kostnader.

Att lagra ID-uppgifter skapar – oavsett om det sker på app-nivå, system-nivå eller via någon tredjepartstjänst – risk för läckor, profilering, övervakning och andra former av missbruk. Att lagra biometrisk data likaså.

Dagens AI-drivna algoritmer för att uppskatta ålder har en felmarginal på ±2,5 år vid optimala förhållanden, en siffra som ökar till ±4,8 år i varierande etniska grupper. Vilket är på tok för bred felmarginal om man talar om barn. Detta blir varken praktiskt fungerande, rättvist eller rättssäkert.

Ena stunden rekommenderar EU åldersgränser i sin Digital Services Act, för att skydda barnen. I nästa ögonblick förbjuder EU:s nya AI Act biometrisk identifiering i realtid och etiketterar biometrisk kategorisering som ett användningsområde med hög risk.

En faktor i sammanhanget är att internet är gränslöst. Även om EU kräver att olika plattformar världen över skall rätta sig efter unionens regler, så är sanktionsmöjligheterna i många fall begränsade.

I ett principiellt perspektiv kan åldersverifikation påverka yttrandefriheten och rätten till anonymitet. Även om reglerna är inriktade mot unga kommer de att drabba alla. I Sverige skyddas dessa rättigheter av tryckfrihetsförordningen och yttrandefrihetsgrundlagen.

EU:s dataskyddsmyndighet framhäver att åldersverifieringssystem måste tillåta anonym åtkomst för myndiga användare. Traditionella metoder som kräver inloggning eller cookies kan skapa detaljerade användarprofiler, vilket strider mot artikel 25 i GDPR om dataskydd genom design.

Enligt den omhuldade barnkonventionen (som gjorts till svensk lag) har även barn rätt till privatliv och skydd mot intrång, vilket måste beaktas vid implementering av verifieringssystem.

Detta är en röra som drivits fram av ett antal EU-länders politiker som inte begriper vad de sysslar med och som inte vill vänta tills införandet av EU:s nya digitala plånbok nästa är.

Vi ger sista ordet till EFF:

»Age verification laws do far more than ‘protect children online’—they require the creation of a system that collects vast amounts of personal information from everyone. Instead of making the internet safer for children, these laws force all users—regardless of age—to verify their identity just to access basic content or products. This isn’t a mistake; it’s a deliberate strategy.«

• EU inför ID-krav på nätplattformar »
• EU rullar ut app för åldersverifikation »
• EDRi: Showing your ID to get online might become a reality – a closer look at the EU’s new age verification app »
• EFF: First Porn, Now Skin Cream? ‘Age Verification’ Bills Are Out of Control »
• Digital Identities and the Future of Age Verification in Europe »

Se även: ChatGPT » | Perplexity »

CC0

EU-UK i nytt samarbete om biometrisk data

av

I det nya avtalet mellan EU och Storbritannien återupptar man utbytet av biometrisk data för automatiserad ansiktsigenkänning. Med mera.

»53. The European Commission and the United Kingdom will explore ways to reinforce mutual and reciprocal exchanges of data on fingerprints, DNA, and criminal records of third country nationals, in the light of technical developments; and acknowledge the requirement in the Trade and Cooperation Agreement to set up automated searching of vehicle registration data. They will also explore extending the exchange of data to facial images for the prevention, detection and investigation of criminal offences.«

Här kan man notera att automatiserad ansiktsigenkänning visat sig komma med stora problem för brittisk polis – såväl praktiskt som vad gäller rättssäkerhet.

I EU har unionens nya AI Act öppnat dörrarna för denna teknik för rättsvårdande myndigheter. Den svenska regeringen vill gå så långt detta regelverk tillåter.

• A renewed agenda for European Union – United Kingdom cooperation Common Understanding »

CC0

Mer information och sämre säkerhet i EU:s nya superregister

av

Det franska EU-ordförandeskapet vill utvidga lagringen av DNA, biometrisk data och persondata – automatisera den och samköra allt med AI-baserade övervakningssystem.

Statewatch rapporterar:

»The French Presidency of the Council is seeking EU-wide comparisons of every DNA profile held by police forces against all those held by other national police forces, as well as EU policing agency Europol, as part of plans to upgrade the ‘Prüm’ network of police databases. It also hopes to automate the police exchange of facial images by eliminating requirements for human review.«

»The proposals come in an amended version of a proposal originally published by the European Commission in December 2021, which will upgrade the Prüm network of DNA, fingerprint and vehicle registration databases to include facial images and “police records”, as well as driving licence data, if the Council has its way.«

Man vill alltså se registrering av fler personuppgifter och underlätta för medlemsstaterna att göra automatiska sökningar i registren, utan mänsklig kontroll.

Vilket innebär att även myndigheter i länder som Rumänien kommer att få automatisk tillgång till flera av den svenska polisens databaser. Länder med dålig IT-säkerhet. Länder som redan har problem med korruption. Länder som misstänks läcka information till kriminella nätverk och främmande makt.

Med Europols nya mandat godkänns även dess tidigare olagliga lagring av data om personer som inte är misstänkta för brott. Man får också direkt tillgång till data hos bland andra Google och Microsoft. Allt det ovanstående kan nu knytas samman i ett nätverk, tillgängligt för myndigheterna i alla 27 EU-länder plus Storbritannien.

Det skall också noteras att Frankrike driver på för mer automatiserad och AI-baserad övervakning i realtid, kopplad till just sådana register som här diskuteras.

Riskerna för informationsläckage och missbruk är uppenbara.

• EU: Policing: France proposes massive EU-wide DNA sweep, automated exchange of facial images »

Biometriskt ID-register kan ha fallit i talibanernas händer

av

Vi brukar varna för att övervakningsverktyg och databaser kan komma att användas av andra än de som införde dem. Detta är ett problem som just håller på att bli påtagligt i Afghanistan.

Under sin militära insats i Afghanistan började USA använda HIDE (Handheld Interagency Identity Detection Equipment), som är ett verktyg kopplat till en databas för att identifiera individer. Systemet använder sig av biometrisk data som iris-skanning, fingeravtryck och andra biometriska data.

Syftet var att registrera och kunna identifiera rebellkrigare. Av något slags effektivitetsskäl utökades användningen av HIDE till att även verifiera identiteten hos personer som arbetade för den västliga militära alliansen.

Nu fruktar man att HIDE har fallit i talibanernas händer, hos vilka det kan användas för att identifiera personer som samarbetat med USA och andra västländer. Med uppenbart potentiellt katastrofala konsekvenser för den enskilde.

Detta är egentligen ingen nyhet. Enligt uppgift skall HIDE ha använts av talibaner som stoppat bussar för att kontrollera passagerare redan 2016 och 2017. Så de kan ha haft HIDE-enheter redan för fem år sedan.

Inspirerade av det amerikanska systemet har även afghanska myndigheter introducerat ett nationellt ID-kort med biometriska data. Bland de registrerade finns studerande på universitet, soldater, samt innehavare av pass och körkort.

Fenomenet är inte unikt. Redan på 1930-talet registrerade man människors religion i Nederländerna, i syfte att fördela skattepengar till de olika samfunden. Detta register föll sedan i den tyska ockupationsmaktens händer – och kunde korsrefereras med medborgarnas ID-kort. På så sätt fick de ett effektivt sätt att skilja ut judar att sända till dödslägren. Den 27 mars 1943 genomförde motståndsrörelsen en attack för att förstöra registret. Tyvärr lyckades man bara förstöra ungefär 15% av registerkorten.

Vi kan lära något av detta. Förr eller senare kan vårt land komma att ledas eller kontrolleras av en regering med auktoritära tendenser, odemokratiska eller kriminella element inom förvaltningen eller rent av främmande makt. Då kommer olika register och former av biometrisk information att kunna användas emot oss. Därför bör man vara försiktig med att rulla ut sådana.

• The Conversation: The Taliban may have access to the biometric data of civilians who helped the U.S. military »

Uppladdningsfilter, datalagring, statligt godkända nätgranskare, av-kryptering och granskning av meddelanden och e-post på höstens politiska dagordning

av

Sommarlovet är över och det är dags att se över vilka nät-, yttrandefrihets- och övervakningsfrågor som finns på den politiska dagordningen i höst.

Sverige

  • Redan i somras skulle EU:s nya upphovsrättsdirektiv ha varit svensk lag. Någon remiss eller proposition har dock inte synts till. Delvis kan det bero på att EU-kommissionen dragit benen efter sig i den kontroversiella frågan om uppladdningsfilter. En annan sak att hålla ögonen på är hur direktivets absurda länkskatt är tänkt att implementeras i svensk lag.
  • Efter att EU-domstolen meddelat att den svenska lagen om datalagring måste skrivas om har regeringen tillsatt en utredning. Visserligen skall utredningen presenteras först våren 2023, men det är viktigt att hålla frågan levande – och då inte minst det faktum att den svenska datalagringen fortfarande kolliderar med domstolens nej till svepande lagring av data om alla medborgares alla tele- och datakommunikationer utan misstanke om brott.

EU

  • EU:s nya Digital Services Act (DSA) föreslår så kallade Trusted Flaggers – som är tänkta att vara organisationer som är statligt godkända nätgranskare, med direktlinje till sociala medias abuse-avdelningar.
  • Det finns krafter i både Europaparlamentet och ministerrådet som vill att DSA också skall innehålla allmänna uppladdningsfilter.
  • EU:s ministerråd vill i ett inspel kopplat till DSA att inte bara olagligt material skall plockas bort på nätet. Man vill även att icke olagligt hat och hot skall bort, vilket i så fall innebär att yttrandefrihetens gränser inte längre sätts av lag.
  • Under hösten väntas dom i EU-domstolen, där Polen överklagat artikel 17 i det nya upphovsrättsdirektivet, som kommer att leda till automatiska uppladdningsfilter. Domstolens generaladvokat ger (med vissa förbehåll) grönt ljus till artikel 17, men det händer emellanåt att domstolen går på en annan linje än dennes rekommendationer.
  • ChatControl 2.0 är uppföljningen till beslutet att ge meddelande- och e-post-tjänster möjlighet att av-kryptera och granska användarnas kommunikationer i jakt på sexuellt utnyttjande av barn. Under vintern kommer nästa steg, som förvänts göra detta obligatoriskt.
  • Kopplat till detta har EU presenterat ett diskussionspapper där man överväger att använda den metod som Apple valt (i vart fall i USA) för att komma åt bilder och sexuella övergrepp på barn. Det vill säga att kringgå kryptering genom att med något slags spionprogram granska bilder och meddelanden redan på användarens telefon. Vilket är ett av flera olika förslag man skissar på.
  • EU-kommissionen och ministerrådet överväger hur de skall kunna komma runt EU-domstolens nej till urskiljningslös datalagring utan misstanke om brott.
  • EU-kommissionen har föreslagit European Digital Identity Wallets, som är tänkta att användas för ID, pass, licenser, körkort, kollektivtrafikkort, sjukvårdsinformation, recept, inloggning på nätplttformar, betalningmedel med mera. Vilket kan öppna för ett omfattande övervakningssamhälle i vilket vi får blippa oss fram.
  • Europaparlamentets utskott för medborgerliga fri- och rättigheter samt rättsliga och inrikes frågor (LIBE) har sagt nej till till AI och biometrisk analys för massövervakning. Delar av minsterrådet och då speciellt Frankrike vill gå åt andra hållet och använda dessa verktyg.
  • I EU-kommissionens Code of Practice on Disinformation vill man att nätplattformarna i högre utsträckning skall av-monetarisera oönskat innehåll.
  • EU-kommissionen vill förbjuda anonyma betalningar med kryptovalutor och kontantbetalningar på över 10.000 euro.
  • Det pågår en diskussion (framförallt i ministerrådet) om att utöka registreringen av våra flygresor (PNR) till att även gälla tågresor, båtresor, bilhyra och hotellövernattningar.

Detta är bara ett urval av sådant som är på gång i svensk och europeisk politik under hösten. Det händer också att nya frågor dyker upp väldigt plötsligt.

Vi bevakar dessa och fler frågor. Du följer utvecklingen här på bloggen.

EU upprättar en gigantisk persondatabas och inför obligatoriska ID-kort

av

EU är på väg att upprätta en av världens största persondatabaser med biometrisk information – som dessutom kommer att samköras med andra register. Dessutom är ett nytt, obligatoriskt EU-ID-kort med biometrisk data på väg. Vad kan möjligen gå fel?

ZDnet skriver…

The European Parliament voted last week to interconnect a series of border-control, migration, and law enforcement systems into a gigantic, biometrics-tracking, searchable database of EU and non-EU citizens.

This new database will be known as the Common Identity Repository (CIR) and is set to unify records on over 350 million people.

Samtidigt förbereds en informell överenskommelse mellan EU:s medlemsstater i ministerrådet om ett nytt, obligatoriskt EU-ID-kort med biometrisk information. (Genom att göra en informell uppgörelse medlemsstaterna emellan kan detta införas utan att de folkvalda i Europaparlamentet behöver tillfrågas.)

SecureIDnews skriver…

Each card will have two fingerprints of the cardholder stored digitally on a contactless chip, the European Council said, with each card having the country code of the issuing country inside the EU flag. Cards will be good for at least five years but expire after no more than 10 years, though EU member states can issue cards with longer lifespans for citizens who are at least 70 years old. The council said that “identity cards will have to be produced in a uniform, credit card format (ID-1), include a machine-readable zone, and follow the minimum-security standards set out by ICAO (International Civil Aviation Organization).” (…)

This discussion about biometric ID cards for EU citizens does not address or provide the “legal basis” for the creation of national or regional biometric databases, according to the European Council. Such databases are instead “a matter of national legislation that needs to be in full compliance with data protection rules.”

Märkte du vad de just gjorde? Dels inför man obligatoriska biometriska ID-kort i EU bakvägen. Dels fattas ett helt annat beslut – den formella vägen – om en gigantisk »Storebrors-databas« som också innehåller biometrisk information och som är tänkt att samköras med andra register.

Och plötsligt har man ett verktyg som – om man så önskar – kan användas för i stort sett vilka syften som helst. Det vore t.ex. en möjlig bas för att upprätta något som liknar Kinas kontroversiella system för »social scoring«. Allt som krävs är ett klubbslag, när den dagen kommer.

Samtidigt pågår en ändamålsglidning som i små steg expanderar registrering av våra flygresor (PNR) till andra färdmedel som t.ex. tåg och hyrbilar och även av hotellövernattningar. Och under radarn diskuteras i EU ett ID-krav för uppkoppling till internet. Lägg till detta EU:s Indect-projekt som bland annat innehåller realtidsövervakning med ansiktsigenkänning och samkörning av register.

Ingen lär väl bli förvånad över att Sverige befinner sig i denna utvecklings framkant.

Länkar:
• EU votes to create gigantic biometrics database »
• Say Cheese! The EU Is Set to Create One of Earth’s Biggest Biometric Databases »
• Statewatch (PDF): Interoperability morphs into the creation of a Big Brother centralised EU state database including all existing and future Justice and Home Affairs databases »
• Mandatory biometric ID cards for EU citizens move closer to reality »
• EU:s ministerråd: Better security for ID documents: Council Presidency and European Parliament reach provisional agreement »
• ID-krav för nätuppkoppling och resor? »