Det var i strid med reglerne, at TDC i årevis loggede, hvilke mobilmaster de tre millioner danske mobilkunder var tilknyttet. Dermed kortlagde TDC i praksis danskernes færden i det fysiske rum.
Den totalovervågning får selskabet nu stærk kritik for. Efter tre år som kastebold mellem ministerier, tilsyn og styrelser har internetaktivisten Christian Panton mandag fået en kopi af Datatilsynets afgørelse af hans klage over overvågning, som han selv har sammenlignet med at placere en GPS-chip i nakken på danskerne.
I afgørelsen udtaler Datatilsynet »alvorlig kritik« af TDC's logning af mastepositioner, som Christian Panton og alle øvrige kunder var udsat for i en årrække.
Først i efteråret, da TDC havde opgivet at få Datatilsynet til at droppe sagen, holdt selskabet op med at gemme data om mastepositioner, og dermed hvor kunderne befinder sig.
Logget 22.219 gange for 20 mms'er
Nøjagtigt tre år er gået, siden Christian Panton på baggrund af sin første registerindsigt klagede til Erhvervsstyrelsen.
Styrelsen overvåger, at teleselskaberne overholder den såkaldte Udbudsbekendtgørelse, som er grundlaget for, at deres tilladelser til virke på det danske marked.
Christian Pantons registerindsigt viste, at hans position over en periode på ti måneder var logget 11.366 gange.
TDC har hele tiden forsvaret logningen ved at henvise til Logningsbekendtgørelsen. Den skal sikre, at politiet har adgang til teleselskabernes data i et år, og de er et vigtigt redskab i efterforskningen.
Logningsbekendtgørelsen kræver, at teleselskaberne skal kunne oplyse, hvor kunderne befinder sig, når de ringer, sms'er og mms'er. Det sidste har ifølge TDC været et problem, fordi en mms sendes som data, der ikke adskiller sig fra den øvrige datatrafik.
TDC har derfor logget lokaliseringsdata med jævne mellemrum, når kundernes telefoner benytter mobildata. Disse data er så senere blevet kombineret med tidspunktet for afsendelse eller modtagelse af en mms.
I Christian Pantons tilfælde havde han imidlertid kun sendt eller modtaget 185 mms-beskeder i den periode, hvor TDC havde foretaget de over 11.000 positionslogninger. En senere registerindsigt, der dækker over perioden fra juni 2018 til juni 2018, viser, at internetaktivisten fik logget sin position 22.219 gange, mens han kun kommunikerede med mms 20 gange.
TDC stoppede logningen, da Datatilsynet stod fast
Erhvervsstyrelsen afviste dog sagen. Bl.a. mente styrelsen ikke, at Christian Panton var klageberettiget part i sagen.
Derefter havnede den hos Datatilsynet. TDC forsøgte i en lang periode at så tvivl om, hvorvidt tilsynet overhovedet var berettiget til at behandle sagen. Da tilsynet i efteråret afviste de indvendinger, gik det stærkt.
Først besluttede TDC selv at droppe logningen, også selv om konsekvensen er, at selskabet ikke længere kan leve op til Logningsbekendtgørelsen.
Derefter fulgte de øvrige teleselskaber trop, så deres totalovervågning af danskerne i dag er stoppet.
Tilbage er dog den overvågning, som it-giganterne med Google i spidsen udfører, og som forbrugerråd i bl.a. de nordiske lande er gået sammen om at klage over.
For at være helt sikker på, at tilsynet ikke fortolker reglerne anderledes end Justitsministeriet, har tilsynet spurgt, om ministeriet nu også vil kræve logningen opretholdt for at kunne stedfæste mms'er. Det er dog ikke tilfældet.
Datatilsynet finder først og fremmest, at masselogningen er i strid med reglerne i databeskyttelsesforordningen GDPR om at minimere indsamlingen af data.
Afgørelsen kan gøre det svært at strikke ny logning sammen
Det faktisk i sådan grad, at det ifølge Datatilsynet ikke engang kan lade sig gøre at gemme data i en kortere periode, f.eks. et døgn, for så at sammenkøre lokationen med de afsendte mms'er og derefter slette lokationsdata.
»En løbende samkøring af lokaliseringsdata for mobildatatrafik og trafikdata for MMS ikke vil være en tilstrækkelig foranstaltning med henblik på at overholde det grundlæggende princip om dataminimering,« skriver Datatilsynet således i en passage i afgørelsen, som Christian Panton selv fremhæver.
»Det går videre, end hvad jeg havde klaget over, for det har alvorlige konsekvenser for, hvordan Danmark kan indrette den fremtidige logning,« siger han.
Regeringen er nu efter mange fejlslagne forsøg ved at strikke en ny Logningsbekendtgørelse sammen.
Kritik - men ingen bøde
Markant er det også, at tilsynet trods muligheden for med GDPR endelig at kunne udstede bøder i en størrelse, som kan gøre ondt på selv et selskab som TDC, ikke idømmer nogen sanktion. Sagen slutter med den alvorlige kritik og intet andet.
Det har Christian Panton det lidt dobbelt med.
»Det var aldrig mit mål med sagen, at nogen skulle straffes, men at TDC skulle stoppe med hele tide at logge, hvor jeg er her. Jeg ville gerne have, at det kom på skrift, at det må de ikke, så de ikke bare gør det igen eller finder på noget andet og tilsvarende,« siger han.
Den mission lykkedes.
»På den anden side var vi i forbindelse med GDPR blevet lovet skærpede sanktioner, og i forhold til det er en alvorlig kritik let.«
Lokationsdata er lette at få udleveret
Desuden er internetaktivisten skuffet over, at der er gået hele tre år med at behandle klagen.
»Hvis ikke jeg selv havde været så aktiv og larmende, var sagen nok end i en skuffe,« konstaterer han.
Politiet skal have en retskendelse for at få udleveret lister over, hvem mistænkte har talt i telefon og sms'et med. Det kræver, at der er mistanke om en alvorlig forbrydelse.
Lokationsdata er imidlertid omfattet af mere lempelige bestemmelser, som gør det muligt at få dem udleveret under en hvilken som helst efterforskning. Der findes ingen opgørelse over, hvor politiet og efterretningstjenesterne benytter den slags data.
Version2 har forsøgt at få en kommentar fra TDC, men det lykkedes ikke umiddelbart.
Datatilsynets alvorlige kri... by on Scribd
...men det er dyrt at lave god journalistik. Derfor beder vi dig overveje at tegne abonnement på Version2.
Digitaliseringen buldrer derudaf, og it-folkene tegner fremtidens Danmark. Derfor er det vigtigere end nogensinde med et kvalificeret bud på, hvordan it bedst kan være med til at udvikle det danske samfund og erhvervsliv.
Og der har aldrig været mere akut brug for en kritisk vagthund, der råber op, når der tages forkerte it-beslutninger.
Den rolle har Version2 indtaget siden 2006 - og det bliver vi ved med.
