Norsk datatilsyn til smartwatch-producent: Stop al persondatabehandling nu

Datatilsynet i Norge har pålagt smartwatch-producenten Gator AS at standse al behandling af persondata, fordi selskabet sjusker med datasikkerheden.

Det fortæller tilsynet selv på deres hjemmeside.

Beslutningen kommer blot en måned efter, at det norske forbrugerråd sammen med sikkerhedsselskabet Mnemonic i en undersøgelse afslørede, at smartwatches rettet mod børn har ekstremt ringe privacy-beskyttelse.

I testen (se billede til højre) dumper Gator AS på samtlige parametre, hvilket altså nu har ledt til beslutningen fra Datatilsynet om at forbyde selskabet at behandle persondata.

Behandlingen skal stoppe senest 8. januar, oplyser tilsynet.

To andre selskaber, PepCall AS og Smartprodukt AS, har fået indtil torsdag til at komme med bemærkninger til Datatilsynets varsel, før de rammes af samme påbud.

Særligt alvorligt

Datatilsynets direktør, Bjørn Erik Thon, kalder privacy-sjuskeriet særlig alvorligt, fordi brugerne er børn.

»Smartwatches samler blandt andet data ind om, hvem barnet har haft kontakt med, og hvor det har været,« udtaler han.

»Nu er der ad to omgange blevet afsløret særligt alvorlige sikkerhedshuller og sårbarheder i disse ure. Det er særligt alvorligt, at dette er produkter, som selskabet påstår skal give børn større tryghed,« fortsætter Bjørn Erik Thon.

Ifølge Datatilsynet giver producenter ikke god nok information, når smartwatch-appen bliver downloadet. Man får som bruger ikke indsigt i, hvilken data indsamles, og hvad den bruges til.

Skal have styr på hele datastrømmen

Af Datatilsynets skrivelse til Gator AS fremgår det, at selskabet har udført risikovurderinger og indgået aftale med et revisionsfirma, som kan teste sikkerheden.

Arbejdet er dog kun udført på foranledning af test fra blandt andet Mnemonic, og Gator har ikke vurderet risikoen, inden systemet er blevet sat i søen.

»Som [data]behandlingsansvarlig skal Gator AS være på forkant og iværksætte planlagte og systemisk tiltag for at varetage informationssikkerheden. Det er ikke tilstrækkeligt at lukke anomalier, når de bliver opdaget af andre,« skriver Datatilsynet i afgørelsen.

Gator bør desuden have styr på datasikkerheden i hele den serie af tjenester, der skal til, for at et smartwatch fungerer. Det gælder hardwareproducenter, app-udviklere, SMS-tjenester, korttjenester, servertjenester med mere.

»Gator har efter vores mening ikke kontrol med, hvilke oplysninger der samles ind, og hvem der bruger dem, eller hvilke andre selskaber har adgang til oplysningerne. Blandt andet lægger vi til grund, at data overføres til Kina, uden forbrugerne bliver informeret om det,« udtaler Bjørn Erik Thon.