Datatilsynet griller Odense med 14 nye spørgsmål om Google Apps

Datatilsynet sender nu 14 nye, kritiske spørgsmål til Odense Kommune i sagen om brug af Google Apps som platform til skolers elevplaner. Spørgsmålene kommer bag på kommunen.

Datatilsynet har netop sendt en ny byge af kritiske spørgsmål af sted til Odense Kommune om kommunens planlagte brug af Googles cloud-baserede kontorpakke, Google Apps.

Sagen mellem Odense Kommune, der gerne vil bruge Google Apps til udveksling af elevplaner, og Datatilsynet, der er den skeptiske modpart, er af principiel karakter.

Det centrale spørgsmål er, om man kan stole på, at Google med sin cloud-baserede kontorpakke behandler følsomme personoplysninger med den ærefrygt og integritet, som kræves af Datatilsynet.

Det kan man ikke, sagde Datatilsynet i juni i en generel udtalelse, der slog fast, at Google Apps på flere punkter ikke overholder persondataloven.

**LÆS OGSÅ **Datatilsynet forbyder Google Apps i kommuner

Men det ville Odense Kommune ikke acceptere, og derfor valgte kommunen at gå forrest og tage kampen op mod Datatilsynet i et forsøg på at få Google Apps godkendt som en legitim cloud-løsning til de omtalte elevplaner.

**LÆS OGSÅ **Odense til Datatilsynets Apps-afvisning: Vi lægger os ikke ned i støvet

Datatilsynet sendte 25. juni 14 spørgsmål, som Odense Kommune besvarede 4. oktober med hjælp fra både IT- og Telestyrelsen og Google selv.

Spørgsmålene gik blandt andet på, hvordan kommunen ville sikre, at Google sletter personoplysninger efter endt behandling. Og om fortrolige personoplysninger behandles i krypteret form.

Men Datatilsynet var ikke tilfreds med kommunens svar og sendte derfor tirsdag i denne uge 14 nye, uddybende spørgsmål retur til kommunen, der efterhånden er ved at være lidt paf over Datatilsynets spørgeiver.

»Jeg synes, at vi har gjort os rigtig umage med at besvare deres spørgsmål. De første 14 spørgsmål trak tænder ud, og så får vi yderligere 14 nu. Det kommer lidt bag på mig,« siger lederen af Pædagogisk MedieCenter i Odense Kommune, Alan Sørensen, til Version2.

Han sidder lige nu med hænderne begravet i materialet i et forsøg på at komme op med svar på Datatilsynets 14 nye spørgsmål, som skal ligge på tilsynets skrivebord senest 15. november.

I den friske stak spørgsmål beder Datatilsynet blandt andet Odense Kommune om at svare på, om kommunen har gennemført en risikovurdering af Google Apps ud fra et black box-perspektiv, eller om kommunen rent faktisk har taget et nærmere kig på teknologierne bag Google Apps.

Datatilsynet for skeptisk

Samtidig sætter Datatilsynet spørgsmålstegn ved en revision af Googles egne kontrolpolitikker i 2008.

»Det er Datatilsynets indtryk, at dét, revisionsfirmaet Grant Thornton i juli 2008 grundlæggende har kontrolleret, er, at Google lever op til egne kontrolmål, kontrolpolitikker, kontrolprocesser og at kontrollerne er implementeret hos Google, således som Google selv har fastsat, at de skal være,« skriver tilsynet.

Selvom de nye spørgsmål kommer bag på Alan Sørensen, kan han godt forstå Datatilsynet et stykke hen ad vejen.

»Jeg synes overordnet, at Datatilsynet er for skeptisk, når de for eksempel problematiserer, om Grant Thornton gør sit arbejde ordentligt. Men på den anden side skal de jo også være grundige, når det er en slags prøvesag,« siger Alan Sørensen.

Han vurderer, at sagen kommer en tur forbi Datarådet, fordi den skaber præcedens.

Læs mere om forløbet i sagen på Odense Kommunes hjemmeside.

Tips og korrekturforslag til denne historie sendes til tip@version2.dk
Kommentarer (16)
sortSortér kommentarer
  • Ældste først
  • Nyeste først
  • Bedste først
#1 Michael Rasmussen

Jeg hilser selvfølgeligt Datatilsynets grundighed velkommen, og håber samtidigt, at Datatilsynet vil udvise samme nidkærhed overfor konkurrenterne til Google. Jeg frygter dog, at konkurrenter som nyder regeringens velsignelse, vil blive behandlet anderledes - erfaringen viser jo, at regeringen er skruppelløs, og er parat til at gå til kanten af loven, når egne eller samarbejdspartneres interesser skal fremmes.

  • 0
  • 0
#2 Anonym

som Datatstilsynet kan fortsætte med at ignorere problemet om at Google systematisk misbruger persondata som betaling for Google Apps.

1.5. Privacy Policies. Google will comply with the Privacy Policy and the Privacy Notice. Changes to the Privacy Policy and the Privacy Notice will be made as stated in the applicable policy. http://www.google.com/apps/intl/en/terms/premier_terms.html

Google Apps specific We do not sell, rent or otherwise share your personal information with any third parties except in the limited circumstances described in the Google Privacy Policy, such as when we believe we are required to do so by law. http://www.google.com/apps/intl/en/terms/privacy.html

Bemærk at der IKKE står at Google ikke misbruger persondata internt til at matche reklamer og dermed misbruger data til et andet formål end de vedrører.

Der står heller ikke at disse data ikke vil blive registersamkørt i en stadigt mere intim profilering af den enkelte bruger med henblik på at blive kontinuert bedre til at manipulere brugeradfærd - hvilket er Google forretningsmodel.

Der står derimod at Google vil udlevere disse data hvis f.eks. myndigheder kræver adgang til disse. Det betyder f.eks. at amerikanske myndigheder har direkte adgang til skolebørns opgaver om politiske forhold i f.eks. US.

De specifikke Privacy policy for Google Apps er blot en del af Google generelle smoke-screen og standard ansvarsfraskrivelse

Oplysningerne bruges til at give vores brugere værdifulde produkter og tjenester. http://www.google.com/privacy.html[quote]

[/quote]

Med andre ord - Google gør hvad Google har lyst til med persondata uden indskrænkninger eller interesse for samtykke. Det er jo i alle "brugeres" interesse at få målrettede reklamer baseret på intim profilering og misbrug af følsomme persondata.

Sikkerhedsforståelsen i Google Apps er meget simpel - der er ingen sikkerhed - systemerne lækker alle data bagom direkte til Googles kommercielle misbrugssystemer. De samme data kan beslaglægges af fremmede myndigheder, hackes af kriminelle og på alle måder bidrage til en stadig mere anti-demokratisk intimprofilering til alvorlig skade for den frie markedsdannelse.

Der er ikke mere at sige - Odense har IKKE ret til at sælge skolebørns følsomme data til kommerciel misbrug. Det er et endog meget groft overgreb.

Cloud kan med eksisterende viden end ikke teoretisk ikke sikres tilstrækkeligt, dvs. man kan ikke ligge persondata i cloud. Slet ikke hos en leverandør hvis hovedforretningsmodel er systematisk misbrug af persondata.

Udmeldingen er typisk Datatilsynet som kun interesserer sig for at minimere sikkerheden for persondata ved at kræve identifikation og overvågning og dermed genererer persondata overalt uden den mindste forståelse for at server databaser og systemer ikke kan sikres - slet ikke hvis data er tilgængelige i cloud.

  • 0
  • 0
#3 Jakob Holm Hansen

Jeg synes det er useriøst af datatilsynet at de pålægger Odense kommune at uddanne dem i revisionsstandarder. De ved simpelthen ikke hvad en SAS70 erklæring er, og hvordan man læser konklusionen.

Fair nok at man ikke lige er klar over det, men så finder man da ud af det i stedet for at afkræve kommunen en redegørelse for en standarderklæring.

  • 0
  • 0
#4 Anonym

Det ville klæde de (halv-ideologiske?) google fanboys at indse at Google ikke er en good guy bare fordi de ikke er Microsoft - og at Googles absolut ikke bør roses for deres misbrugspolitik.

Selvfølgelig gælder det ovenstående enhver implementering. Datatilsynet burde f.eks. også interessere sig tilsvarende for CBS som er ude i samme problem.

MS Azure eller Amazon er ikke bedre end Google. selvom de formentlig ikke er nær så dygtige til at misbruge persondata. Deres forretningsmodeller kommer fra forskellig baggrund, men de glider alle i retning af stadig mere misbrug af persondata.

Problemet er i det hele taget at tvinge personhenførbare data online - uanset om det er til kommerciel misbrug, statslig paranoia eller anden kriminel aktivitet.

Odense og Hedensted er ganske enkelt testcases om Danmark overhovedet er et retssamfund eller om bureaukrater kan slippe afsted med hvad som helst uanset overgrebets omfang.

Alt andet end en total afvisning af brugen af Google Apps på skoler vil formelt dokumentere at retsamfundet er historie.

Hivs man skal bruge cloud, så skal hver enkelt transaktion kunne isoleres fra alle andre transaktioner med den samme bruger. Det kan ikke ikke løses i cloud, men skal løses uden for cloud og Google Accounts gør det stik modsatte fordi funktionen har til formål at maksimere profileringsværdien.

  • 0
  • 0
#5 Torsten Holtse

Hvis det virkelig er tilfældet, at revisionen kun forholder sig til, at Google overholder regler som Google selv har lavet, så er det da netop seriøst arbejde af datatilsynet.

Ud fra de privacy policies Stephan Engberg beskriver så burde der vel slet ikke være behov for undersøgelser og spørgsmål. Uafhængigt af om det er Google, Microsoft, Amazon etc så må sådan privacy policies være i strid med persondataloven, ellers skal persondataloven laves om

  • 0
  • 0
#6 Jakob Holm Hansen

Hvis det virkelig er tilfældet, at revisionen kun forholder sig til, at Google overholder regler som Google selv har lavet, så er det da netop seriøst arbejde af datatilsynet.

Det er netop det der er det useriøse. Når der står at SAS70 ikke er en checkliste-revision, så betyder det at revisor IKKE har en facit-liste over kontroller til at starte med. Derimod, så tager revisor udgangspunkt i de kontroller Google har beskrevet, og så VURDERER om de er gode nok, om de er dækkende, og om Google har fulgt dem som beskrevet.

Igen må jeg gentage at det er useriøst af et tilsyn der skal kunne gennemskue privacyproblematikker og it-teknik.

  • 0
  • 0
#7 Torsten Holtse

Igen må jeg gentage at det er useriøst af et tilsyn der skal kunne gennemskue privacyproblematikker og it-teknik

Igen må jeg gentage at det netop er seriøst arbejde når de ikke bare godtager en subjektiv VURDERING af selvbestaltede regler. Odense Kommune skal overbevise Datatilsynet om at Google Apps overholder persondataloven. Der er ud fra beskrivelsen af revisionen intet til hinder for, at Google og deres revisionsfirma er blevet enige om, at det er i orden at sælge ud af folks data.

  • 0
  • 0
#8 Jakob Holm Hansen

Igen må jeg gentage at det netop er seriøst arbejde når de ikke bare godtager en subjektiv VURDERING af selvbestaltede regler. Odense Kommune skal overbevise Datatilsynet om at Google Apps overholder persondataloven. Der er ud fra beskrivelsen af revisionen intet til hinder for, at Google og deres revisionsfirma er blevet enige om, at det er i orden at sælge ud af folks data.

Ok, så er vi ude i at du ikke stoler på revisoren. Men hvis det er det der er tilfældet, så må datatilsynet jo skrive at de ikke stoler på revisor.

Det JEG er bekymret for er, at et så specialiseret tilsyn ikke kender til de gældende standarder på området.

  • 0
  • 0
#9 Carsten Olsen

Datatilsynet er nødt til at stille krav til at løsningen opbevarer data korrekt.

Datatilsynet er også nød til at stille krav til Googles (mis)brug af data.

Loven bør også ændres så data-adgang kun må bruges til opbevaring for brugeren f.eks back-up. (Dette vil medfører at Googles forretnings-model bliver ødelagt) Det er bare ærgerligt for Google. Men man kan dog stadig drive forretning på det grundlag. (fortjenesten kommer fra brugerbetaling f.eks. 200kr/elev/år betalt af kommunen)

En anden ting, er at sky-debatten ofte kører af sporet. Altså at bruge en sky tjeneste er en god ting!. Det er det fordi stor (auto)scalerbarhed giver en række fordele for brugerne (ikke mindst økonomisk). Men -- altså fordi noget er i skyen er det ikke umuligt at sikre det. Google kan f.eks. give garantier for at de kun gemmer data i et certificeret data center. (Google ved til en hver tid godt hvor deres data er) Jeg ved godt at dette kræver en ændring af loven. ("Danske data, på Dansk grund" ændres til "Danske data opbevares i et certificeret data center, hvor Datatilsynet kan lave (uanmeldt) kontrolbesøg)

  • 0
  • 0
#10 Anonym

Carsten

Serversikkerhed eroderes generelt hastigt. Cloud er så blot langt svagere fordi det er designet til at kunne flyttes og dermed indbygger en række svagheder som slet ikke kan sikres (det er f.eks. med til at sikre at nemid ikke KAN beskyttes mod en total eksport af alle private nøgler,hvilket de selv har bekræftet overfor Folketinget).

Din sondring om interne eller "private" clouds er spild af tid og ændrer intet på den problemstilling. Cloud teknologi giver skalerbarhed på bekostning af sikkerheden, dvs. ønsker man skalerbarheden i cloud, så skal man tilpasse sikkerhedsmodellen ved at flytte kontrollen udenfor cloud-systemet.

Problemet er at klient-sikkerheden også er svag.

Løsningen på disse problemer er IKKE at lægge sikkerheden online - hvor den garanteret bryder sammen. Løsningen er at distribuere, dvs. at logisk isolere så brud ikke kan skalere.

Det indebærer eksplicit a) at cloud-processer skal kontrolleres udenfor cloud (dvs. at den tekniske evne til logisk at koble 2 cloud-processer ikke må ligge i cloud selv),

b) at klient-sikkerheden skal styrkes voldsomt ved at nøglerne flyttes til dedikeres tamper-resistente devices (mobile og brugerkontrollerede)

c) at "svage" devices a la bærbare, routere, servere, RFID, bluetooth enheder etc. kontrolleres fra "stærke" nøgledevices.

Dvs. Datatilsynets krav er forældede fordi det lever under illusionen om at man kan sikre en serverdatabase (fejler når perimetersikkerheden fejler) og navnlig at det kan ske via identifikations-baseret adgangskontol som garanterer at alle processer genererer persondata og er åbne for identitetstyveri.

Datatilsynet i Danmark har for mig at se ikke gjort noget for at beskytte persondata de sidste 10 år - de har været en del af problemet og blot ageret mediestunt uden at ville erkende det. Datatilsynet laver spil for galleriet, men løser aldrig problemer - de giver altid efter fordi de ikke adresserer problemerne eller foreslår løsninger.

Datatilsynet har ikke en eneste gang de sidste 10 år sikret et systen i henhold til persondatalovgivningen. Loven tilsiger at man ikke må skabe personhenførbare data uden grund (og teknisk kan vi sagtens etablere services UDEN at bruge - for serveren - personhenførbare data), dvs. hovedpræmissen for al datasikkerhed er at undgå at skabe personhenførbarhed i første omgang.

Det gælder navnlig servere og specielt cloud-servere som ikke kan tiltros kontrol med persondata.

Man skal her passe på med de kommercielle interesse i at sælge cloud-services som ikke tager ansvar.

Man kan også komme hurtigere frem på motorvejen hvis man kører 250 km/t i nødsporet imod kørselsretningen uden sikkerhedssele - men det har konsekvenser. Hvis vi vil øge hastigheden fra de 110 km/t som man kører på motorvejen til de hastigheder man kan opnå ved at gå ud i stratosfæren, så må man tage hensyn til at der ikke er ilt og ikke basere teknologidesign på forudsætninger som ikke holder og aldrig kan holde.

  • 0
  • 0
#11 Jakob Damkjær

De små poder kan jo bare, som den kære hr. Schmidt siger, skifte navn når de bliver myndige og igen 10 år senere og igen 10 år senere.

Desuden så er der den lille hage at Google interne serversystemer som fx. Google Apps er dobbelt super hemlige, så er datatilsynets spørgsmål om de bagvedliggende procedure for dataopbevaring af personfølsom data er realt set et NEJ hold så op med at bryde datasikkerhedsloven.

Men google vil ikke dokumentere deres systemer for det offentlige fordi så vil de være dokumenterede og eventuelle lovbrud af lovene angående personfølsome data være helt åbentlyse...

Derfor er der for tiden kun et privat sky dokument håndtering/editerings system der er godkendt sin godt nok til følsomme data og det er microsoft office online (eller hvad det nu hedder)...

Sørgeligt at google er så hemmelige at de ikke vil forsøge at få godkendt deres apps til føderalt brug i USA det ville give dem væsentligt nemmere ved at få offentlige kunder der faktisk er underlagt datatilsynets tilladelse.

Interessant med berlingskes valg af Google Apps kan de faktisk tilbyde deres kilder fortrolighed ? hvis nu dem kilden afslørede var Mærsk eller et andet stort komglomerat... hvis nu de købte lidt "profiling" så er det ikke svært at gætte hvem der havde adgang til hvad og bingo væk er kildesikkerheden...

Eller hvis en lære på en skole i Odense mistænker at en elev bliver misbrugt i en eller anden grad... lige ind i google apps og ud i skyen og det ville da være en totalt god historie lige til en kioskbasker for EB elller BT...

Hvor er det filmen knækker for dig ?

Google Apps er fine til privatpersoner der ikke bekymre sig om deres profilering og personlige og fortrolige informationer. Men til offentlige institutioner der tar en beslutning på vegne af andre så er det bare ikke godt nok den "private" cloud som google tilbyder for tiden...

/Jakob

  • 0
  • 0
#12 Kristian Christensen

Da jeg i sin tid gik på teknisk skole (Det er dog kun ca 5 år siden) så jeg da i en periode at en kopi af protokollen hænge på døren til klasseværelset på grundforløb så de nye elever kunne se hvor de skulle være. De lærere der havde hængt dem ud underviste bl.a. i IT.. Behøver jeg nævne at en klasseprotokol indeholder navn, adresse og personnummer ??

Tro lige på at det dog kom hurtigt ned da jeg klagede til inspektøren.. Men de inkompetente lærere underviser der dog stadig..

  • 0
  • 0
#13 Andreas Olsen

Som Stefan også nævner: Hvorfor er det kun Odense kommune der skal vrides af datatilsynets spørgsmål?

CBS gik i sommers i luften med Live@edu som er MS svar på google apps til uddannelsesinstitutioner.

Alle godt 15.000 studerende har nu adgang til Web-Outlook, skydrive og office web apps, hvilket jo giver masser af plads til dokumenter mv.

Mail-delen bruges bl.a. til at sende dokumenter til vejledere på f.eks. bachelor-og kandidatopgaver og her kan der jo være følsomme oplysninger om de firmaer, hvor hos opgaven skrives.

CBS' eget argument er at MS opbevarer data inden for EU's grænser, hvilket Google ikke kunne dokumentere.

Men kan man være sikker på at MS har rent mel i posen?

  • 0
  • 0
#14 Anonym

Hej Andreas.

Der er mindst en væsentlig forskel. CBS studerende er myndige - det er skolebørnene i Odense og Hedensted ikke. Det er særligt gravende - Odense er også en slags testcase som den første af sin art.

Men jeg er helt enig. Jeg stod af IT- og Telestyrelsens Digitaliser.dk, da de lagde de fortrolige brugerdata i Amazon cloud - med den klare begrundelse at det var i protest mod den manglende sikkerhed.

  • 0
  • 0
Log ind eller Opret konto for at kommentere