Datagiganter har fri leg i Danmark, mens Datatilsynet jager de 'små' syndere
Mens Datatilsynet holder skarpt øje med danske forskere, så fortsætter store amerikanske datagiganter som Facebook, Apple og Google deres massive dataindsamling uden for (vor) lands lov og ret.
Datatilsynet er den statslige myndighed, der fører tilsyn med persondataloven.Datatilsynet
Datatilsynet består af et råd - Datarådet - og et sekretariat.
Sekretariatet beskæftiger omkring 35 medarbejdere (jurister, it-sikkerhedskonsulenter, kontorpersonale og studenter), der varetager Datatilsynets daglige drift under ledelse af en direktør.
Og det medfører altså, at de store it-giganter lagrer vores private billeder, kalenderaftaler og sms’er fra mobilen.
Desuden kan de snage i, hvad du søger efter på nettet, hvor du færdes, hvilke venner du har i telefonbogen og meget mere.
Den omfattende viden om vores interesser, søgeord og netsurfing bruges til at målrette reklamer til os.
De fleste kender til det med at modtage reklamer for en cykel, lige efter at man har søgt efter en ny på nettet.
Reklamerne på de Facebook-sider, vi besøger, matcher vores interesser overraskende godt. Der diskuteres endog, om Facebook ligefrem lytter til nøgleord i vores talestrøm og målretter reklamer herudfra.
Præcis hvor meget viden der indsamlers er uvist, ligesom det for menigmand er uvist, hvad selskaberne helt konkret bruger oplysningerne til.
Imens kigger Datatilsynet efter, om danske forskere har orden i papirerne. Det er - hårdt optrukket, javist - indtrykket, der står tilbage efter at en forsker på Dansk BørneAstma Center i sidste uge fik en ’meget kritisabel’ anmærkning af Datatilsynet.
Han havde ikke en klar aftale med de firmaer, hvor sundhedsdata blev hostet og desuden havde forsømt sig mod nogle tekniske vilkår om bl.a. passwordbeskyttelse af servere.
I alt har seks andre forskere eller forskningsvirksomheder fået en påtale fra Datatilsynet for ikke at leve op til reglerne.
Sagen er ikke den første af sin art, hvor forskere der arbejder med sundhedsdata kommer på kant med persondatalovgivningen. Eksempelvis sagen med to CD'er med sundhedsdata og personnumre på i alt 5.282.616 danskere - alt sammen i ukrypteret form – blev sendt fra Statens Serum Institut (SSI), men blev afleveret hos et kinesisk firma i stedet for hos Danmarks Statistik.
Der er grobund for alvorlige datalæk i Danmark. Fordi vi er blandt de mest gennemregistrerede samfund i verden – eksempelvis med vores CPR-nummersystem, som er temmelig unikt. Flere lande har ID-numre til deres borgere, men det er de færreste lande, som har ét unikt nummer pr. borger, som følger os hele vores liv.
Vores entydige borger-ID-system, CPR, som blev etableret i 1968, har givet forskere enestående muligheder for at følge befolkningsgrupper gennem livet og forske i sammenhæng mellem sundhed og boligform, sundhed og arbejde og livsstil i det hele taget.
Men data udgør også en risiko for vores personlige integritet. Både hvis hackere får fat i dem, eller hvis myndighederne misbruger dem. Og i lande som Storbritannien og i Tyskland ville befolkningen opfatte det som et statsovergreb på den personlige frihed, hvis man skulle udstyres med et sådant nummer.
Men herhjemme har befolkningen accepteret fx store forskningsundersøgelser med personhenførbare data, fordi der grundlæggende er en stor tillid til staten blandt borgerne – og også til at forskere behandler følsomme sundhedsdata med yderste fortrolighed.
Adgang til data i fokus
For at vedligeholde den tillid er det klogt af Datatilsynet at etablere en razzia, der sætter spot på hvordan sundhedsforskere håndterer data. Selvfølgelig skal forskere kigges efter i kortene. Selvfølgelig skal forskere have tjek på, om hostingselskaberne lever op til basale regler for håndtering af sundhedsdata. Og selvfølgelig skal forskellige tekniske beskyttelsestiltag være i orden.
Den senere tids udvikling har vist, at der ikke bare er fokus på beskyttelsen, men også selve adgang og brug af data. For den har det med at stige af sig selv, når muligheden foreligger. Politikerne har øje for, at de stadigt større mængder sundhedsdata er guf i forskningsøjemed. Og til myndighedsbrug.
Folketinget har for ganske nylig besluttet en vision, som fastslår, at brugen af personhenførbare data skal begrænses i størst muligt omfang. Med andre ord skal forskerne så ofte som muligt arbejde med anonymiserede eller pseudonymiserede data.
På myndighedsniveau måtte Sundhedsdatastyrelsen i sommer downsize ambitionsniveauet på etableringen af en database, der samler sundhedsdata fra de 70 regionale kliniske databaser med oplysninger om behandling af kræft og psykiske lidelser hos danskerne. Styrelsen lagde i første omgang op til at gemme identificerbare data, men måtte senere reducere det til pseudonymiserede.
Bag sager og politiske diskussioner mangler der en dog en bredere grundlæggende diskussion med befolkningen, hvad den synes om brug af deres data.
For spørgsmålet er om borgerne vægter deres anonymitet højest. Eller om det er vigtigere for dem at holde hånden under og videreudvikle måske verdens mest forfinede sundhedsforskning.
Eller - som en tredje udvej - at forskerne bliver mere dus med at forske med pseudonymiserede data, som stadig gør det muligt at kunne koble oplysninger med andre oplysninger om personen, f.eks. opfølgningsdata eller oplysninger fra nationale registre i forbindelse med forskning.
Valget er altså ikke nødvendigvis et enten-eller.
For forskning af den art er værd at værne om: bl.a har den været med til at påvise risiko for blodpropper ved brug af p-piller. Og den har skabt viden om gravides risiko for at få kejsersnit og dermed føde børn med alvorlig iltmangel.
Symbolik?
Når det gælder tilsyn er spørgsmålet, om forskerne er blevet symbol for et tilsyn, der skal vise handlekraft med razziaer og håndhævelse af lovgivning. Uanset at også forskere selvfølgelig skal leve op til basale beskyttelseskrav.
Tilsyn og medieeksponering giver mulighed for stigende badwill i befolkning i forhold til sundhedsforskning med data - og/eller at vi som individer vil kræve at acceptere databrug inden hver enkelt forskning. Det vil betyde at rigtig meget forskning med data vil falde på gulvet med et brag. For det vil blive meget bøvlet overhoved at komme i gang.
Og nøgtent set, så er det næppe på forskningsinstitutionerne, at datalækkene er flest. I hvert fald har der ikke været nyheder ude om datalæk fra universitetsforskere. Det til trods for at flere forskere ofte har adgang til samme data, og at alle forskningsenheder er præget af midlertidige ansættelser, og et stort flow af personer.
Derimod har der været flere større sager med datalæk hos f.eks. postvæsnet, CPR-nummerkontoret og Nets. Alle veletablerede organisationer, der i årtier har håndteret store mængder følsomme persondata. Men som alligevel har fremvist nogle af de mest uhyrlige datalæk.
Spørgsmålet er altså, om der er et tilstrækkeligt fokus på de store i dataverdenen?
For imens Datatilsynet netop har haft fokus på forskerne, så fortsætter bl.a. Facebook, Apple, Google og Amazon med at indsamle uhyrlige mængder følsomme persondata om bl.a. vores indkøb, færden, holdninger, vennekreds og livs- og boligforhold.
Ikke uden fokus fra Datatilsyn og politikere – men så vidt vides uden nogen indgriben. Og hvor er razziaerne hos finansielle institutioner og sundhedsorganisationer?
Hvor er tilsynet når det gælder Justitsministeriet, der tvinger teleselskaberne til at gennemføre udifferentieret masseovervågning – en overvågning som ifølge en EU-dom fra kort før jul efter alt at dømme er ulovlig.
Og hvor er de, når hackere angriber et teleselskab og får adgang til dybt fortrolige data som CPR-numre.
Hvis det går som hos SKAT, som efterlader et indtryk af at lade store syndere løbe mens man jagter de små, så kan befolkningens opbakning og tillid til myndighederne hurtigt blegne.
...men det er dyrt at lave god journalistik. Derfor beder vi dig overveje at tegne abonnement på Version2.
Digitaliseringen buldrer derudaf, og it-folkene tegner fremtidens Danmark. Derfor er det vigtigere end nogensinde med et kvalificeret bud på, hvordan it bedst kan være med til at udvikle det danske samfund og erhvervsliv.
Og der har aldrig været mere akut brug for en kritisk vagthund, der råber op, når der tages forkerte it-beslutninger.
Den rolle har Version2 indtaget siden 2006 - og det bliver vi ved med.
