Erhvervsstyrelsen: System til trafikovervågning ikke omfattet af cookie-reglerne

Nordjyske Blip Systems' system til trafikovervågning via MAC-adresser er ikke omfattet af cookie-reglerne, konkluderer Erhvervsstyrelsen.

Det strider ikke mod det, der populært kaldes cookie-bekendtgørelsen, når den nordjyske virksomhed Blip Systems med systemet Bliptracks indsamler MAC-adresser fra blandt andet mobiltelefoner for at kunne lave trafikovervågning.

Det konkluderer myndigheden på området, Erhvervsstyrelsen, nu, efter at have set nærmere på sagen, som oprindeligt blev rejst her på Version2. Dengang var meldingen fra styrelsen iøvrigt, at indsamling af MAC-adresser i udgangspunktet forudsætter brugernes accept. Men det gælder altså ikke i Blip Systems' tilfælde, lyder det nu.

Læs også: Udbredt system til trafikovervågning er ulovligt

Trafikovervågningssystemet er blandt andet brugt i flere kommuner. Det fungerer ved at måle antallet af bilister på en given vej ud fra antallet af MAC-adresser og rejsetid ved at se på, hvor lang tid en mobiltelefon er om at bevæge sig fra a til b baseret på registreringen af dennes MAC-adresse.

Sagens omdrejningspunkt har været, at der i det, der populært kaldes cookiebekendtgørelsen, er et krav om, at der skal gives information og indhentes samtykke ved lagring eller adgang til oplysninger i slutbrugerens terminaludstyr. Terminaludstyr er eksempelvis en mobiltelefon.

Men Blip Systems' trafikovervågnings-system indhenter ikke tilladelse fra brugerne, når de læser MAC-adresser fra mobiltelefoners wifi og Bluetooth-forbindelser, der suser forbi i bilerne på vejene.

Og det behøver Blip Systems heller ikke, slår Erhvervsstyrelsen altså nu fast. I sin afgørelse lægger styrelsen vægt på måden, hvorpå Blip Systems behandler MAC-adresserne på. Selve adresserne bliver nemlig ikke lagret. De bliver ved indsamling omgående kørt gennem en hash-algoritme, som generer en værdi, der ikke kan føres tilbage til den oprindelige adresse.

»Algoritmen, hvormed systemet hasher MAC-adresserne, udskiftes desuden tilfældigt efter 24 timer, hvorefter det ikke længere vil være muligt at overvåge den anonymiserede MAC-adresse, idet hashværdien af MAC-adressen ikke længere er den samme,« skriver Erhvervsstyrelsen i begrundelsen for afgørelsen.

Læs også: Nytolkning af cookie-direktiv er bombe under dansk succesforretning med trafikovervågning

I den forbindelse har Erhvervsstyrelsen været inde at tolke på cookie-reglerne og fundet frem til følgende:

»I tilfælde hvor systemer ikke kan anvendes til at identificere og overvåge den enkelte slutbrugers færden, vil der ikke være grundlag for at anvende direktivets bestemmelse om information og indhentelse af samtykke på dette forhold, idet der ikke længere er et beskyttelseshensyn i forhold til lagring eller indsamling af information på terminalenheden,« står der i begrundelsen fra Erhvervsstyrelsen, som fortsætter:

»Dette medfører, at privatlivsbeskyttelsen, som direktivets regler skal varetage, allerede fra starten er indbygget i selve løsningen, og den konkrete løsning falder derfor udenfor direktivets anvendelsesområde.«

Desuden hæfter styrelsen sig ved, at det ikke er praktisk muligt for Blip Systems at indhente brugertilladelse - altså som med cookie-popup-bokse - ved indsamlingen af MAC-adresser.

»Erhvervsstyrelsen har ved vurderingen lagt vægt på, at Bliptrack ikke har mulighed for at kommunikere direkte med brugerne, hvilket i praksis gør det umuligt at informere brugerne og indhente deres samtykke.«

Det var Blip Systems selv, der 26. januar 2015 rettede henvendelse til Erhvervsstyrelsen for at få dem til at vurdere, hvorvidt virksomhedens løsning for trafikmåling er omfattet af cookie-reglerne eller ej.

Læs hele Erhvervsstyrelsens gennemgang af sagen her (PDF)

Tips og korrekturforslag til denne historie sendes til tip@version2.dk
Følg forløbet
Kommentarer (10)
sortSortér kommentarer
  • Ældste først
  • Nyeste først
  • Bedste først
Benjamin Krogh

Tip med hatten til BLIP Systems for selv at tage initiativ til at få lys på sagen.

"Selve adresserne bliver nemlig ikke lagret. De bliver ved indsamling omgående kørt gennem en hash-algoritme, som generer en værdi, der ikke kan føres tilbage til den oprindelige adresse." - Og det har Erhvervsstyrelsen bevist? Det er ikke min opfattelse at kryptografi er erhvervsstyrelsens spids-kompetence.
BLIP systems har ikke fremlagt den konkrete algoritme, men jeg kan nemt forestille mig store svagheder i deres implementation. Eksempelvis at input keyspace ikke er specielt stort da der er kun et begrænset antal MAC addresser i omløb på de danske veje.
De bruger nok en form for salt der gør det sværere. Den salt skal desværre distribueres på tværs af systemet for at systemet kan have den ønskede funktionalitet. Der er derfor en relativt stor flade der kan lække dagens salt. Og hvem siger BLIP ikke selv gemmer salt?

Dette er selvfølgelig kun gætværk, som BLIP systems godt kunne feje af bordet ved at beskrive hvad deres algoritme konkret gør.

"Desuden hæfter styrelsen sig ved, at det ikke er praktisk muligt for Blip Systems at indhente brugertilladelse..." - Eh, hvad? Fordi det ikke er muligt at gøre det lovligt, er det lovligt?

  • 18
  • 1
Ebbe Hansen

Imho er forklaringen nok, at Erhvervsstyrelsen kvier sig for at lægge sig ud med de store, der bruger nogenlunde samme metoder (korttjenester mv).
Disse tjenester går ovenikøbet tættere på privatlivet.

  • 6
  • 1
Henrik Biering Blogger

"Desuden hæfter styrelsen sig ved, at det ikke er praktisk muligt for Blip Systems at indhente brugertilladelse..." - Eh, hvad? Fordi det ikke er muligt at gøre det lovligt, er det lovligt?

Nej, hvorfor skulle man dog bruge et system svarende til det, der netop beskrives i en anden nyhed, der kan laves som en ren softwareløsning, med bruger-accept og som virker overalt på vejnettet, hvis man i stedet kan lave en langt mere ufleksibel løsning, der kræver distribution og vedligehold af hardware overalt, hvor det skal fungere, kun fungerer for personer, der har valgt at let kunne spores af enhver trediemand og hvor det yderligere ikke er praktisk muligt at indhente brugertilladelse.

  • 2
  • 0
Benjamin Krogh

...der kan laves som en ren softwareløsning...


Ikke korrekt. Der er meget hardware der er distribueret rundt i vognmændenes taxier. (Full disclosure: jeg er tilknyttet det omtalte projekt)

En fordel ved BLIP Systems' løsning eller nummerpladegenkendelse, er at de måler på en stor procentdel af trafikken. Med GPS kan man måle på en meget mindre procentdel. Det er derfor svært at udtale sig hårdnakket omkring rejsetiden på en strækning på et bestemt tidspunkt (eks. 12:15-12:30, fredag den 13 februar, 2015). Dette kan BLIP Systems (eller systemer med nummerpladegenkendelse).

  • 2
  • 0
Hans Henrik Jakobsen

uden min tilladelse.

Jeg tror simpelthen ikke på, at det er lavet så sikkert, at man ikke kan gå tilbage og finde ud af om jeg har været der på pågældende tidspunkt.

Det eneste de har fået ud af det er, at jeg ikke vil have wifi tændt når jeg bevæger mig rundt (det er nu ikke BLIPs skyld, det er slukket alligevel).

Jeg er simpelthen så træt af at skulle skjule mig hele tiden for ikke at blive misbrugt.

Forleden hjalp en ven sin mor med at finde Feminas hjemmeside og få lave et abonnement.
Det eneste han gjorde var at gå ind på hjemmesiden og give sin mor besked om adressen.

2 dage efter ligger der spam fra Femina i han mailbox uden han har opgivet navn, email eller købt noget som helst.

Han er nu også gået over til at bruge VPN, Ghostery, ABP etc.

Det kan godt være at reklamer betaler en del af de såkaldte gratis services, men hvis reklamer betyder at jeg sælger min sjæl, da vil jeg gerne være mig fri.

På en eller anden måde skal de opsamlede MAC adresser nok finde vej til min email.
Og den eneste grund er at BILPs ejer skal købe en ny og endnu større bil.

Så stop den forbandede overvågning og lad os almindelige mennesker være i fred!!!

  • 6
  • 2
Jørgen L. Sørensen

eg tror simpelthen ikke på, at det er lavet så sikkert, at man ikke kan gå tilbage og finde ud af om jeg har været der på pågældende tidspunkt.

Hvis de skifter nøgle en gang i døgnet og samme MAC-adresse dermed giver en ny hashværdi, burde det vel give ret god sikkerhed mod overvågning?

Hvis nøglen ikke gemmes kan man vel ikke på et senere tidspunkt tage en MAC-adresse og hashe den igen og slå op i kartoteket for at se hvor den har været?

  • 2
  • 2
Bjarne Nielsen

Hvis de skifter nøgle en gang i døgnet og samme MAC-adresse dermed giver en ny hashværdi, burde det vel give ret god sikkerhed mod overvågning?

Næh.

For det første, så forudsætter det, at de husker at skifte nøglen, gør det på en måde som ikke kan forudses, og at nøglen holdes hemmelig for alle med adgang til data. Og husk på, at nøglen skal distribueres og være kendt overalt i byen på en given dag, for at det virker, så særligt hemmelig er den ikke.

For det andet, så forudsætter det, at man ikke ud fra andre omstændigheder kan lave et kvalificeret gæt på den "anonyme id". Der skal næsten ingenting til, før antallet af mulige "anonyme id'er" er meget lille. Og har man først dagens "id" for en person, så er den person præcist overvåget overalt hele den dag.

  • 4
  • 0
Ole Tange Blogger

Antag jeg har 4 hashværdier: hash(MAC1,salt1), hash(MAC1,salt2), hash(MAC2,salt1), hash(MAC2,salt2)

Hvis jeg kender saltet, så kan jeg blot søge igennem alle værdier for MAC1 og MAC2.

WIFI MAC adresser er 6 bytes. https://svn.nmap.org/nmap/nmap-mac-prefixes indikerer, at der er ca 20.000 muligheder for de første 3 bytes (med mindre man har lavet sin egen random adresse - og hvis man er så dygtig, så kan man sikkert også skifte mac adresse hvert minut). Så at søge alle MAC adresser igennem kræver 20.000*2^24 = 33 mia søgninger. Det er absolut inden for det overkommelige.

http://www.cryptopp.com/benchmarks.html siger 16 cycles per byte for SHA256, så 33 mia * 6 * 16 cycles = under en halv time på en almindelig CPU. Og så er hele rummet i øvrigt søgt igennem, så jeg får både MAC1 og MAC2.

Af det kommer jeg frem til, at hvis saltet er kendt, så er hashingen i praksis værdiløs - selv hvis der kommer en ny salt-værdi hurtigere end hver 24 timer.

Har jeg regnet galt?

  • 1
  • 0
Log ind eller Opret konto for at kommentere