Metronet

Det eksisterer nemlig en rapport i Google Analytics som viser nettleverandørene til de som har vært innom nettstedet. De såkalte tjenesteleverandørene (se bildet nedenfor – klikk på bildet for større versjon).

Som man ser av bildet, domineres denne rapporten av internettleverandører som Telenor og Get. De gangene bedrifter med statiske IP-adresser besøker nettstedet, kan man identifisere besøk som kommer fra denne bedriften dersom de har gitt nettverket sitt et navn vi kan gjenkjenne. Som i bildet over, hvor det i denne utvalgte perioden har kommet 162 besøk fra Metronet sitt nett, til vår nettside www.metronet.no. Dersom en bedrift

1. har statisk IP eller statisk IP-range fra sin leverandør
2. og har gitt nettverket et forklarende navn
3. OG KUN HAR ÉN ANSATT I BEDRIFTEN

kan vi identifisere den besøkende sin identitet. Vi må da i tillegg være 100 % sikre på at ingen andre har brukt datamaskinen(e) hos denne bedriften eller at andre datamaskiner har tilgang til bedriftens trådløse nett.

Tyskland vs. Google Analytics

Angela Merkel og andre tyske politikere har altså bestemt seg for å forsøke og forby Google Analytics. IP-adresser regnes som personlige opplysninger og kan ikke samles inn uten «eiers» samtykke. Også Datatilsynet i Norge snuser på problematikken og diskuterer tiltak som kan løse dette problemet. Jeg vil komme med tre påstander om denne problemstillingen.

Påstand 1: IP-adresse er ikke sensitiv persondata

Jeg tok en telefon til Datatilsynet for å få klarhet i definisjonen av persondata, da jeg fant det noe merkelig at IP-adresser behandles slik. Og jeg ble litt klokere på hvorfor. Definisjonen på persondata er relativt vid og lyder noe slikt som: «All informasjon som kan brukes til å oppspore en bestemt person». Så er det (heldigvis) unntak i loven som gjør at venner og kollegaer har lov til å oppgi mitt navn og/eller telefonnummer til andre. Men la oss se litt nærmere på hvor sensitivt IP-adresser egentlig er.

Senest idag hørte jeg, på radioen, en kritiker klage på politiet som i jakten på to bloggere lastet ned informasjon om over 1.000 bloggere som brukte den aktuelle plattformen. Ingen fikk komme til orde på hvorfor det hadde skjedd (var det den tekniske løsningen som tvang dem til å laste ned alt, for så senere å filtrere vekk det de ikke var ute etter kanskje?). Han sammenlignet det med at politiet konfiskerer alt innhold i tusen bankbokser, selv om de vet hvilke to bankbokser de egentlig skulle åpne. En noe søkt sammenligning, men kritikere er ofte glade i å sammenligne brudd på personvernlover på Internett med brudd som skjer offline. Så jeg gjør det samme i mitt eksempel. Jeg sammenligner personnummer med IP-adresser, da man regner personnummeret som noe av det mest sensitive persondata som er å oppdrive.

Om personnummer hadde fungert på samme måte som IP-adresser:

• Ville i praksis alle personer i samme husstand hatt samme personnummer (det er mulig å sette opp datamaskiner i en husstand slik at de har egne, unike, offentlige IP-adresser, men det er ekstremt uvanlig).
• Ville jeg hatt ett ekstra personnummer pr internettforbindelse jeg bruker, enten det er på jobb, på cafe, på toget eller hos en kamerat. Jeg jobber forøvrig i et selskap med fler enn én ansatt, og det vil føre til at kl 08.00 på hverdagner bytter jeg personnummer til det samme som mine 18 kollegaer, alle de ansatte i Cito Media, som deler kontor med oss, og eventuelle kunder eller leverandører som er på besøk og benytter vårt trådløse nettverk.
• Ville jeg byttet personnummer hver gang jeg flyttet eller byttet internettleverandør.
• Ville jeg, som de aller fleste privatpersoner som får IP-adresser allokert fra en dynamisk IP-pool hos sine internettleverandører, få nytt personnummer med jevne mellomrom også herifra.

Jeg har dermed vanskeligheter med å se på IP-adresser som særlig personsensitive i generell forstand.

Påstand 2: Google klarer ikke å få tak i brukerne av den aktuelle IP-adressen

En samlet internasjonal filmbransje, med Hollywood i spissen, har i mange år forsøkt å få nettleverandører til å utlevere sine kunder. De sitter på IP-adresser som har lastet ned filmer ulovlig men får ikke tak i hvilke privatpersoner som har kommet fra denne IP-adressen når de har lastet ned kopibeskyttet materiale. Jeg ser det som veldig usannsynlig at Google noensinne vil kunne komme med et tilsvarende krav mot nettleverandørene, og vinne frem.

Man er altså i prinsippet avhengig av at et av tre scenarioer:

• Google selger IP-adressene og hvilke sider de har besøkt til noen som har hacket internettleverandørene og sitter på informasjon om hvem som har hatt hvilken IP-adresse til hvilket tidspunkt.
• Google kjøper personnavnlister av noen som har hacket internettleverandørene for å kunne matche IP-adressene de har lagret med personene som har brukt IP-adressen på det aktuelle tidspunktet.
• Både Google og internettleverandørene blir hacket, og hackerne matcher IP-adressene de har stjålet med personlistene de har stjålet. Dermed kan de se hvem som har surfet på hva, og når.

Antall internettleverandører i verden er ganske høyt. For å være helt ærlig, ser jeg det som langt mer sannsynlig at Altinn blir hacket.

Påstand 3: Loven blir 100 % umulig å praktisere

Det er en enkel sak å forby alle nettsteder som hostes i Tyskland å bruke Google Analytics. Det tyske nettsider da kan gjøre, er å emigrere nettstedet sitt til et land der slike regler ikke finnes. Aner vi et marked for internettparadiser å slå seg opp som webhost-land? Det er kanskje ikke den største økonomiske vinningen idag, men dersom Nauru til slutt er eneste land som tillater sporingsverktøy på internett kan det jo tenkes det blir riktig så lukurativt.

Tilbake til Tyskland. For en ting er problemet med å stanse tyske nettsider hostet i Tyskland eller fra utlandet. Hva tenke de gjøre med tyskspråklige nettsteder som ikke direkte kan knyttes til tyske selskaper? Det er garantert tyske statsborgere som besøker slike nettsteder. For eksempel www.hihostels.no. Skal dette norske nettstedet bli straffet fordi den tyskspråklige versjonen av nettstedet får besøk fra tyskere?

Hvordan skal man forholde seg til utenlandske, ikke-tyskspråklige, nettsteder som besøkes av tyske brukere? Skal Angela Merkel benytte sin diplomatiske kløkt til å få Barack Obama  til å fjerne Google Analytics fra www.whitehouse.gov fordi tyske statsborgere gir fra seg persondata uten samtykke når de besøker dette nettstedet? Hvem skal eventuelt straffes i dette tilfellet?

Og avslutningsvis, for å sette problematikken på den ytterste spiss; hva med tyske statsborgere som bor i utlandet? Tyske myndigheter må føre en rimelig storstilt overvåking av tyske studenter som studerer ved NTNU, for å kunne overvåke at de ikke blir utsatt for brudd på personvernloven når de besøker nettsteder med Google Analytics. Et lite paradoks, egentlig.

En liten digresjon over til Facebook

Jeg har tidligere presisert utfordringen med å matche IP-adresser med unike personer. For å sitere vår utviklingssjef:

Sammenlignet med Facebook er Google Analytics litt tamt. Facebook kan tracke nøyaktig alle sidene man besøker gitt at du:

A) er pålogget Facebook (opp med hånda den som ikke er pålogget facebook når de leser dette)

B) nettsiden du besøker har en Facebook-like knapp

Dette kan Facebook gjøre fordi når du besøker en nettside som for eksempel  www.metronet.no, så sjekker en kode på nettstedet om du er pålogget Facebook, og ber Facebook om å sende Like-knappen tilpasset deg. Dette må til for at de skal kunne si at den og den personen du kjenner har likt denne knappen etc. Så mens Google sitter med sine IP-adresser, så sporer Facebook din bruk på internett så sant punktene over er oppfylt.

«What are the differences between Mark Zuckerberg and me? Let’s take a look. I give YOU private information on corporations for free, and I’m a villain. Mark Zuckerberg gives YOUR private information to corporations for money, and he’s man of the year!»

(Saturday Night Live skuespiller Bill Hader i rollen som Julian Assange)

Internett må være sporbart

Internett hadde ikke fungert om ikke bruken hadde gått an å spore. Hvis man ikke kunne spore, kunne man ikke sendt pakker med informasjon til hverandre, som er måten internett fungerer på. Det som er skummelt på Internett er egentlig ikke at informasjon spores. Ufordringen ligger egentlig i hva slags informasjon som lagres, og av hvem. I tilfellet Google og Google Analytics mener jeg bestemt at man ikke har noe som helst å frykte. Det går fint an for nettsteder å lagre samme informasjon som Google får uten å bruke verktøy som Google Analytics. For mer informasjon og eksempler på dette, se for eksempel http://browserspy.dk eller http://www.irongeek.com/browserinfo.php.

Om du lurer på om en nettside har installert Google Analytics, anbefaler jeg deg å installere vår Analytics Helper for Chrome. Vår eminente webutvikler-avdeling har laget denne mest for internt bruk, men vi ser jo en viss almenn nytte av en slik extension.

I retningslinjene til Google Analytics står det faktisk at enhver nettside som har installert Google Analytics plikter til å informere om dette på nettstedet sitt. Det er en ting som de aller fleste nettsteder med letthet kunne overholdt, Evt. kan du bare installere overnevnte Chrome Extension, så vet du det selv om nettstedet ikke opplyser om det.