GDPR vs moderne hjemmesider: Holdninger, jura og gråzoner

1. IP adresser logges konstant massivt. Og det er nødvendigt.

Alle digitale services tilgåes via en IP adresse, som kunden sender med sin forespørgsel, for at servicens svar kan finde vej hjem til kunden. Derfor behandler alle services IP adresser på alle der benytter servicen.

Om man logger eller delvist anonymiserer IP adressen i logs er valgfrit.

Af hensyn til at dæmme op mod de massive mængder bots og misbrug vil de fleste services logge IP adresser på alle forespørgsler.

Af andre hensyn kan IP adressen med andre vektorer benyttes til profilering og efterfølgende marketing, efterretning osv.

Din IP adresse logges når du tilgår en webside, når et website benytter en font fra en tredieparts service, når en webside har en Vimeo-video etc.

2. IP adresser er svære at personhenføre. Medmindre.

Har man ingen database med øvrig info er det ufatteligt svært at henføre en IP til en person eller husstand.

Jo mere øvrig data man har per IP, des lettere er det at henføre.

Den service som tager imod et login med en email adresse, vil automatisk vide at denne IP blandt andet af og til kan henføre til denne email adresse. Og den service kan sælge den info hvis de synes.

Den service-familie der bliver brugt flest mulig steder, kan etablere de mest præcise og profitable marketingprofiler samt mest præcis henførbarhed. GA, fonte, videoer, Facebookpixels etc. kommer meget vidt omkring. Dette er tracking på tværs af domæner.

Der er allerede etableret et hav af købbare databaser, som knytter persondata eller marketingprofil til IPadresser kombineret med øvrige vektorer.

3. Risiko og gevinst

Gevinsten bliver forhåbentlig at man kan besøge et produkt på et apotek uden senere at blive profileret på den baggrund, bare fordi apoteket benyttede en særlig font, videoservice eller et statistikværktøj. Og den gevinst er uvurderlig. Lad os få stoppet tracking på tværs af domæner.

Risikoen er at butiksejere ikke må vide om deres egne kunder kan finde vej fra en webforside til et produkt. Eller at ingen services uden for EU må benyttes på et website, fordi de behandler IP adressen.

Ligesom der findes økologiske producenter, som lover at undlade at skade miljø og mennesker på udvalgte punkter, så skal vi have etableret et økosystem af leverandører, som inkluderer een og samme tillæg til deres DBA og privatlivspolitik, noget a la:

"Ingen data herunder IP adresser, aggregeret data, fingerprints eller pseudonymiseret data deles med tredieparter nogensinde. Ingen data benyttes til andet end at levere servicen XYZ."

Tag et kig på Plausible og deres kildekode. Det lader til at være vejen frem for services, som tager de fornødne foranstaltninger for at levere en webstatistik og samtidig respektere privatliv.

4. Og så er der efterretningstjenester og ikke-EU stater.

Selvom ikke-EU-virksomheder lover ikke at dele data, så kan de blive pålagt at dele uden at måtte fortælle det.

Og den er svær.

Hvis de der DataMinere mener data er så værdifulde...

Burde de så ikke betale ejerne af data (dem de indsamler data om) for det?

Fidusen er jo at det er tyveri ved højlys dag (de hugger vores data bag vores ryg - normale mennesker kan ikke sætte sig ind i sammenhængene og værdierne i det).

I princippet er det nemt nok: loven skal formuleres at data ejes af dataenes subjekt (ie. den som dataene omhandler) og denne ejendomsret er ikke overførbar til andre. Straffen for overtrædelse er xx år

2 yderliger synsvinkler.

Nu ved jeg ikke om dine synsvinkler er udvalgt, men jeg kan komme på et par yderligere problematikker med dataindsamling:

Det er jo fint at der længe har været lovgivning, som har foreskrevet begrænsninger på indsamling af oplysninger om folks færden på nettet.

Men specielt med det fravær af håndhævelse, vi ser her tillands, så er det faktisk at betragte som bedrag. Når hjemmesideejerne "ser tiden an", så er det selvfølgelig fordi at chance for en straf er mindre, end at vinde i Lotto. Og skulle man endelig blive ramt, så er straffen mindre end man bruger på at trykke sælgernes visitkort.

Så er der en åbenheds og konkurrencemæssig problematik. Hvad er prisen for den vare man køber? Jeg kan godt se prisen på hjemmesiden, men det er jo ikke den reelle pris. Der er en pris, som er skjult, i form af at data bliver indsamlet og solgt. Den slags bliver i andre sammenhænge kaldet falsk markedsføring. Det jo også her, at man har en af de alvorlige konkurrencemæssige udfordringer, som små spillere har i forhold til feks. Amazon. Amazon kan udnytte data bedre (øge den skjulte pris), uden at det ses på prisskiltet.

Jeg synes det kunne være rigtig spændende også at inddrage lidt om Privacy Shield 2.0, nu hvor Von der Leyen lige har annonceret den:

1. Er EUCs vurdering af sagen og at de har fundet "principiel enighed", overhovedet noget værd, hvis ikke EUCJ er med ind over?
2. Hvordan går Privacy Shield 2.0 hånd i hånd med DMA, som begge angiveligvis er blevet fundet enighed omkring? DMA i sin essens føles meget mere at være på siden af privacy-aktivisterne end ervhervs-fortalere. Privacy Shield 2.0 ser dog meget mere ud som om det er pro-handel og mod regulering. Er der ikke noget clash of ideologies and priorities?
3. Hvorfor er der pludselig mulighed for at indgå denne aftale, hvis der fra mange blev henvist til at det er svært at løse noget, uden at US-lovgivningen ændres? Er det pga det, som Peter Swire og Kenneth Propp et al. henviser til i fx denne artikel: https://europeanlawblog.eu/2022/01/31/eu-us-adequacy-negotiations-and-the-redress-challenge-whether-a-new-u-s-statute-is-necessary-to-produce-an-essentially-equivalent-solution/ ?
4. Hvor længe kunne der reelt gå fra at den endelige tekst i Privacy Shield 2.0 udgives, til Schrems/NOYB eller en anden gruppe står foran EUCJ igen, og EUCJ afsiger dom? Altså: skal man indstille sig på at det hele ikke er løst, når "løsningen" bliver officiel?

Jeg må desværre indrømme, at selv om Jesper Løffler Nielsens blogindlæg om GDPR og cookies er sympatiske og interessante og vigtige, og jeg ser frem til kloge svar på de gode spørgsmål, så kan jeg ikke frigøre mig fra en fornemmelse af, at de i sidste ende er endnu et forsøg fra tech-branchen på at "forhandle" borgernes ret til privatliv væk. Den fundamentale respekt for denne ret forekommer mig simpelthen ikke at være der - den opfattes som noget, der er til forhandling: "Hvor stor må risikoen være, for at det er i orden at stjæle jeres data?" "Hvordan skal erhvervslivets og tech-branchens behov afvejes ift. individets ret til privatliv?" osv. osv. Jeg tænker, at Jesper Løffler Nielsen selv oplever det som et forsøg på en udstrakt hånd - en mægling mellem parterne. Men for mig opleves det altså, hvis jeg må stille det skarpt op, som en udstrakt hånd i retning af "Kan vi ikke forhandle lidt om, hvad I kan nøjes med, for at vi kan få lov at voldtage jer." Lidt lissom når Ukraine opfordres til at forhandle om, hvor meget Rusland må få lov at besætte og annektere Ukraine, så vi allesammen kan få fred igen. Det er og bliver i mine øjne en form for voldtægt og magtmisbrug, hvor techgiganterne - ganske som Zuboff så glimrende beskriver - forsøger med et snuptag og diverse juridiske fiksfakserier og røgslør bid for bid at gøre privatlivet til fælles ejendom, som på en eller anden måde skal deles mellem borgerne og giganterne. Som om giganterne har en eller anden ret i den sammenhæng.

DET HAR DE IKKE! Det er sagen i en nøddeskal. De har ikke noget at forhandle med, ganske som en indbrudstyv ikke kan begynde at forhandle om, hvor meget af rovet han skal have lov at beholde.

Bare ved at disse spørgsmål stilles, kommer jeg til at opleve det som om, skribenten i sidste ende er på giganternes side, netop fordi det for mig at se lægges op som en forhandling.

Hvor almindeligt er det, at der opsættes tjenester på hjemmesider, webshops, SaaS-løsninger mv, som registrerer IP-adresser og/eller brugeres adfærd?

Siden de første WWW-servere har man haft en server-log, som registrerer mindst

• Tidspunkt
• IP-adresse
• URL: Hvilken ressource (side/billede/javascript/video etc) på serveren, der blev hentet. Ofte også query parameters, f.x. søgestrenge
• Referer: Hvilken side kom brugeren fra
• User agent: Browserversion

Jeg tror ikke, at der findes mange hjemmesider, som ikke har sådan en log. Men den er kun tilgængelig for hjemmesideejeren.

I gamle dage brugte nogle denne log til at danne sig et vist indblik i brugernes adfærd på et site.

Senere kom tjenester som Google Analytics til, som bruger JavaScript på siden til at opsamle mere detaljerede oplysninger og sende dem til en logtjeneste (f.x. Google).

Udbredelsen af denne slags tjenester kan nærmest 1:1 aflæses af udbredelsen af cookie-bokse: Det er som regel brugen af sådanne værktøjer, der kræver cookie-accept.

Hvor let er det i dag at finde frem til brugeren bag en IP-adresse, selv hvis man ikke kan få oplysningerne udleveret fra internetudbyderen? Og hvad med "device fingerprinting" og andre lignende tracking teknologier?

Det kommer an på, hvad du mener med at finde frem til brugeren. Der er mange typer identitet. Navn/adresse/CPR-nummer er bare en blandt mange og er ikke nødvendigvis mere korrekt end Facebook-profil, GitHub-handle eller Google-brugernavn.

Som Simon skriver, så er det ikke nødvendigt at kende din CPR-identitet for at kunne målrette annoncer. Du skal bare kunne fastslå en identitet.

Med IP-adresse og fingerprinting kan du ret sikkert fastslå en identitet på en bruger. Test selv med EFF's Cover Your Tracks

Hvis du så går ind på en hjemmeside, der både bruger Facebook og bruger Google Analytics, så kan Google koble din Google- og din Facebook-identitet sammen. Hvis du logger ind på en offentlig hjemmeside, der bruger GA, så kan Google potentielt koble din Google-identitet sammen med din CPR-identitet.

For almindelige mennesker er det ikke nødvendigvis nemt at finde frem til en CPR-identitet ud fra IP-adresse. Men Google ved, hvem du er.

Står den store fokus på cookies og IP-adresser mål med risikoen, også sammenholdt med det høje sikkerhedsniveau der typisk er på tjenester såsom Google Analytics?

Sikkerhedsniveauet er ikke nok. Det er selvfølgelig rart, hvis Google passer på ikke selv at blive hacket. Men anken er primært, at de kan bruge oplysningerne selv, sælge dem direkte eller indirekte, og udlevere dem til myndigheder.

Og er der i øvrigt nogen der kan sige noget om, hvorvidt Googles nye ændringer til GA rent faktisk medfører en substantiel forbedring af privatlivsbeskyttelsen?

Deres "nye ændringer" er bare, at de udfaser nogle ældre versioner af Google Analytics. Og beder folk om at bruge GA4.

Jeg kan se i afgørelsen fra Østrig, at der beskrives, at i hvert fald den ene indklagede ikke har brugt seneste version (GA4). Det ser diog ikke ud til at have været afgørende for udfaldet. Men jeg vil tro, at Google har grebet fat i det strå og håber, at de kan købe tid ved at udfase nogle gamle versioner, som de alligevel gerne ville af med.

Hvor almindeligt er det, at der opsættes tjenester på hjemmesider, webshops, SaaS-løsninger mv, som registrerer IP-adresser og/eller brugeres adfærd?

Jeg er ikke den bedste at spørge om det, men jeg har dog lavet en smule arbejde på webshops. Mit umiddelbare indtryk er at webshop-ejere ønsker al tracking de kan komme i nærheden af og ser GDPR som en ligegyldighed. Hvis ikke de både kører Pixel, GA, og knytter det hele til målrettede reklamer, så kan de ikke køre en virksomhed (selvom virksomheder har eksisteret længe før internettet og Big Data var en ting). IP-adresser kan du så ikke undgå at registrere, de er en essentiel del i at sende indholdet til den rigtige person, men også i forbindelse med sikkerhed. Hvis du ikke registrerer IP-adresser og har systemer til at tjekke skadelig adfærd (mange login-forsøg, forsøg på at tilgå /config.php.old, osv.) så vil du risikere at blive udsat for et hacker-angreb uden du ved noget af det før det er for sent. Med hensyn til brugeres adfærd så bliver det oftest serviceret igennem Pixel eller GA, så webshop-ejere har ikke nødvendigvis det store overblik over hvad der bliver tracket. Men hvis du har 2-3 forskellige ankre til at knytte data op mod, en IP-adresse, User Agent, måske også en cookie, så kan du opnå et meget nøjagtigt billede af den enkelte bruger. Dette er ikke teoretisk da jeg, meget mod min vilje, har siddet med implementeringer hertil (heldigvis er min kode ikke i drift mere, så det hjælper lidt på samvittigheden). Hvad så med når brugere benytter forskellige enheder? Det er lige præcis der hvor du finder måder der kan lokke folk til at registrere en bruger. Så snart de logger ind på en enhed så kan du koble al adfærd, både fremadrettet men også hvad brugeren har foretaget sig indtil nu, på brugerens identitet og krydsreferere med deres øvrige adfærd. Det er et beskidt trick, men det bruges desværre oftere end man skulle tro.

Hvor let er det i dag at finde frem til brugeren bag en IP-adresse, selv hvis man ikke kan få oplysningerne udleveret fra internetudbyderen? Og hvad med "device fingerprinting" og andre lignende tracking teknologier?

Jeg tror det mange glemmer er, at man ikke nødvendigvis behøver at vide hvem en person er før man kan misbruge deres data. Jeg nævnte i dit sidste indlæg hvordan internetbrugeres data blev misbrugt til at få gennemført Brexit. Det er ganske vist ikke noget der er direkte skadeligt for individet i dette tilfælde, men det er skadeligt for samfundet og demokratiet at man kan påvirke adfærd uden man behøver at kende personen. Lidt mere nede på jorden kan vi snakke om at påvirke adfærd til at få et salg som køberen reelt set ikke var interesseret i. Så hvor let er det at finde frem til brugeren bag en IP-adresse er ikke det relevante spørgsmål; det er nemlig ikke i en data-virksomheds interesse at kende den fysiske identitet på personer. Når du ved at jeg hedder Simon og og kender mit CPR-nr., så lærer du reelt set ikke noget nyttigt om mig, men du får trosalt et meget solidt anker som du kan knytte fremtidig data til. Hvis du derimod ved at jeg sætter pris på fred, så har du en information du kan bruge til noget; du kan sælge dit budskab så det harmonerer med min adfærd og mine værdier. "Indvandrerne vil jo skabe problemer og bliver de fremtidige terrorister! Beskyt din fred!". Om du så bruger min CPR-nr. til at skabe en profil om mig eller om du bruger en IP-adresse og skaber en profil bag den er lige meget. Selv hvis jeg har en dynamisk IP og derfor deler den med mange andre danskere så er IP-adressen ikke det eneste anker du kan bruge (og des flere ankre du bruger, des tættere kommer vi på device fingerprinting). Hvad mit fulde navn og mit CPR-nr. er påvirker jo ikke min adfærd nu hvor det allerede er kendt at jeg sætter pris fred. Måske bortset fra at mit CPR-nr. afslører min alder som rent faktisk kan have en hvis betydning for adfærden, men en estimering af at jeg ofte søger på et givent universitet, kilder til forskellig undervisningsmateriale og lavprisrejser vil nok give et meget godt billede af min alder i sig selv. Så det handler ikke om hvorvidt du kan finde den reelle identitet på brugeren ud fra et data-punkt, men hvad du kan bruge den information til. Hvis jeg var ude og vandre og stod overfor en bjørn ville jeg heller ikke forsøge at finde ud af om det var bjørnen der var i nyhederne den anden dag, hvor en hiker blev angrebet, men kigge på dens adfærd; er den truende, gør sig stor, brøler den eller passer den bare sig selv som om jeg ikke eksisterede? Det er netop den type af data-punkter jeg kan udnytte for at få bjørnen til at agere som jeg ønsker. Så er jeg reelt set ligeglad om den hedder Bo eller Ib.

Står den store fokus på cookies og IP-adresser mål med risikoen, også sammenholdt med det høje sikkerhedsniveau der typisk er på tjenester såsom Google Analytics? Og er der i øvrigt nogen der kan sige noget om, hvorvidt Googles nye ændringer til GA rent faktisk medfører en substantiel forbedring af privatlivsbeskyttelsen?

For mig set er det ikke personoplysinger der er problemet, men adfærden. Lad os antage at cookies og IP-adresser er personoplysninger. Du kan, som jeg nævnte, ikke bruge oplysningen at "det her, det er Simon" til noget i sig selv, det er adfærden som fortæller hvem jeg er og hvordan jeg agerer, som med lidt psykologi kan udnyttes. Det der er problemet med personoplysninger er, at de er super effektive ankre til at knytte data sammen så man har et helhedsbillede af en bruger og ikke et par tusind fragmenterede datapunkter. Nogle gange behøves du kun ét anker til at fæstne data på en person og dermed skabe en god profil, men des flere ankre du har at gøre med, des mere kan du samle puslespillet af fragmenterede datapunkter og dermed opnå en profil der giver dig et indblik i hvilke ting der vækker hvilke følelser i en given person. En person der ellers er ganske anonym da du ikke har et navn eller CPR-nr.

Så står det store fokus på med med risikoen? For mig set, nej, der er ikke nok fokus. Problemet er at det er svært at komme ind til kernen af problemet som netop er identificeringen af adfærd og den bagvedliggende fæstning af datapunkterne op mod forskellige ankre som vi ikke kan undgå at sende til hjemmesider da de er en essentiel del af internet-protokollerne. Det handler ikke om at Google nok skal passe godt på mine data, for det tror jeg såsandelig de vil; data er værdifuldt og det vil koste dem deres monopol at andre for hold i dem. Men hvad har denne sikkerhed af mine data af reel effekt når det er selvsamme virksomhed der indsamler dataene, behandler dataene, og målretter budskaber baseret på dataene? Google behøves ikke, og det vil også ødelægge deres forretning, at give andre indblik i dataene; tredjeparter har heller ikke brug for meget mere end at kunne målrette deres budskaber efter "20-30 årige mænd med interesse for fred og er aktive i politiske kredse der ønsker en skarpere linje mod indvandring". Jeg kan dog ikke sige noget om hvorvidt Google's ændringer forbedrer noget, det har jeg ikke lige fulgt op på, men så længe der profileres brugeradfærd til brug i målrettede budskaber, så har vi et problem, ikke blot som person, men også som samfund og demokrati.