nrk.no

Disse knappene kan avsløre om du søker psykisk helsehjelp

Kategori: Samfunn

Skjermbilde fra Kristiansand kommune. Innsirklet er de omtalte deleknappene. Skjermbilde: Kristiansand kommune


Kommune-Norge lekker informasjon om dine mest personlige nettbesøk, viser en undersøkelse gjort på vegne av NRKbeta. Det hele skyldes en «uskyldig plugin».

Rask psykisk helsehjelp (RPH) er et tilbud til personer over 16 år med symptomer på angst og depresjon av lett til moderat grad, skriver Kristiansand kommune på sine nettsider. Kommunen tilbyr også informasjon om hva du kan gjøre i barnevernssaker, om du sliter med rus, eller søker informasjon om hjemmehjelp til et familiemedlem.

At du besøker disse informasjonssidene deler Kristiansand kommune med det amerikanske IT-selskapet Oracle, noe de ikke opplyser om på sine personvernsider.

I 2016 kjøpte Oracle opp AddThis, et selskap som leverer noen knapper som gjør det enklere å dele en nettside med venner på Facebook, Twitter, og epost. Det er også mulig å trykke på utskriftsikonet som tar deg til en utskriftsmeny.

– AddThis tjener sine penger på å selge dataene de får av å overvåke nettbrukeres ferd på tvers av nettsider som bruker pluginen, sier Daniel Johannsen, som er sjef for Cybot. Selskapet leverer tjenester innen personvern.

9. april analyserte Cybot nettsidene til norske kommuner på vegne av NRKbeta. Det viste at 70 av 422 kommuner lot AddThis hente ut data om deres brukere på minst en underside. I tillegg til Kristiansand avslørte stikkprøver at også kommuner som Fredrikstad, Nittedal, og Hamar tillater Oracle å spore sine innbyggere på svært personlige informasjonssider.

En av verdens største dataforhandlere

Oracle har med sine oppkjøp av Datalogix, BlueKai, og AddThis blitt en av verdens største dataforhandlere, ifølge en rapport av den østerriske personvernforskeren Wolfie Christl.

I 2016 oppga Oracle selv at AddThis sporet 900 millioner brukere på 15 millioner domener.

Conzentio, en annen tjenestetilbyder innen personvernorienterte løsninger, undersøkte AddThis august 2018. Der fant de at Oracle, i sitt eget informasjonsmateriell, oppgir å ha 4,4 millioner unike ID-er i Norge fordelt på 48.100 annonsegrupper.

Til venstre kan du se antall brukerprofiler og segmenter Oracle oppgir å ha i Norge. Skjermbilde: Dokumentert av Conzentio i august 2018.

– De som bruker dette i sine nettsteder blir lurt av AddThis. Det er ikke tydelig for dem at den brukes til å stjele brukernes data, sier teknisk sjef Anders Willstedt i Conzentio.

Anders Willstedt i Conzentio. Foto: Conzentio

Egne tester gjennomført av NRKbeta viser at AddThis kan hente ut IP-adresse, et estimat for lokasjon, informasjon om nettleseren, og nettadressen brukeren surfer på.

Trykker man på en av knappene laget av AddThis vil brukeren også få en unik ID. Den vil følge brukeren på alle nettsider med en AddThis-plugin.

Oracle bruker data høstet fra AddThis til å lage unike brukerprofiler som man kan rette annonser mot. Etter at nye personvernlover ble innført i Europa har Oracle i det stille sluttet å tilby brukersegmentering basert på data fra AddThis, ifølge Ad Exchanger.

Oracle oppgir til NRKbeta at de ikke ønsker å stille til intervju om AddThis. I Oracles personvernsretningslinjer for AddThis står det at selskapet kan samle inn informasjon som indirekte kan identifisere brukere og at informasjonen kan brukes til målrettet reklame.

Datatilsynet

Juridisk seniorrådgiver i Datatilsynet, Tobias Judin, mener det kan være et «svært alvorlig lovbrudd» om beskyttelsesverdig informasjon har lekket til «uvedkommende».

Seniorrådgiver Tobias Judin i Datatilsynet. Foto: Martin Gundersen

I 2018 innlemmet Norge et nytt lovverk for personvern (GDPR) som inneholder regler for når og hvordan personopplysninger kan behandles. Enkelte informasjonskategorier, såkalte «særlige kategorier av personopplysninger» har strengere krav til beskyttelse. Dette gjelder informasjon om blant annet helse, religiøs overbevisning, og politisk oppfatning.

– Hvis mine surfevaner belyser noen trolige sammenhenger om disse punktene kan det regnes under «særlige kategorier av personopplysninger», og det er veldig strengt å behandle dem, sier Judin, som mener det er «ekstra graverende» om en kommune har latt denne typen informasjon komme på avveie.

Judin beskriver det som et demokratisk problem om innbyggere ikke kan få informasjon om kommunale tjenester uten å overvåkes av kommersielle aktører.

– Om jeg har nedsatt funksjonsevne må jeg kunne lese om å få hjelp i hjemmet uten at det går videre til noen andre.

– Uheldig situasjon

Da NRK kontaktet Kristiansand kommune om deres bruk av AddThis ble pluginen fjernet umiddelbart.

– For oss er dette en uheldig situasjon. De som har vært inne på våre nettsider har lagt igjen informasjon om seg selv som de ikke har vært klar over at de har lagt igjen, sier kommunens IT-sjef, Ingunn Kvivik.

IT-sjef Ingunn Kvivik ved Kristiansand kommune. Foto: Frans Kjetså / NRK

Hun sier det er særlig alvorlig for personer som har vært inne på sider med sensitiv informasjon.

Har dere vurdert lovligheten av det?

– Vi har ikke vurdert lovligheten av dette internt i kommunen. Vi har stolt på leverandøren vår i denne saken, påpeker hun.

Leverandøren er IT-selskapet Prokom. De har nå gått ut med en anbefaling til alle kommuner som benytter deres løsning om å fjerne AddThis-komponenten fra sine hjemmesider. Det bekrefter administrerende direktør i Prokom, Halvor Jordbakke.

AddThis fjernes fra flere kommuner

– Uten å gå detaljrikt inn på teknologien, synes det rett å fjerne løsningen, da en offentlig nettside ikke bør ha slike relasjoner til kommersielle tredjeparter, sier digitaliseringssjef Ketil Johansen i Fredrikstad kommune.

Kommunikasjonssjef i Nittedal kommune, Kristian Westgård, forteller at de ikke har grunnlag for å «konkludere med at plugin AddThis er lovstridig», men at de for sikkerhetsskyld har fjernet den fra nettsidene. Marianne Bjønness opplyser at Hamar kommune ikke har vurdert lovligheten av pluginen, men at den nå er fjernet.

Oppdatering: Etter at artikkelen ble publisert har en rekke kommuner tatt kontakt for å informere om at de har fjernet elementer på deres nettsider som legger igjen cookies fra AddThis.

Kommuner hvor AddThis har vært registrert
Andøy Hol Rygge
Askim Hurdal Rømskog
Aurskog-Høland Hurum Sandefjord
Bamble Jevnaker Sarpsborg
Drangedal Klepp Selbu
Dyrøy Kragerø Skiptvet
Eidsvoll Kristiansand Skjervøy
Fet Kristiansund Snillfjord
Fjell Kvalsund Søgne
Flå Lenvik Søndre-Land
Fredrikstad Løten Songdalen
Gamvik Lunner Stange
Gildeskal Lyngdal Stavanger
Gjerdrum Malvik Tana
Gjøvik Nannestad Tinn
Gol Nes (Akershus) Trogstad
Nes (Buskerud) Tromsø
Halden Nittedal Ullensaker
Hamar Nord-Fron Ulvik
Hammerfest Nord-Odal Vefsn
Hattfjelldal Nordreisa Vikna
Hemne Oppdal Ål
Hemsedal Oslo Ålesund
Hobøl

*Kommunenes nettsider ble undersøkt 9. april. Det holder at AddThis har lagt igjen en cookie på minst en underside for at en kommune er ført opp på listen.

20 kommentarer

  1. Olav Guttorm

    NRK.no bruker derimot brukersporingsystemer fra Google, Linkpulse, Chartbeat, Scorecard Research, samt Kantar TNS. Det er ikke engang snakk om å bruke et enkelt system, men hele 5 separate.

    Svar på denne kommentaren

    • Hei Olav,

      du har helt rett. NRK og NRKbeta bruker en rekke målemetoder. De fleste er utelukkende for «analytics», altså å finne ut hvor mange som leser og bruker oss.

      Kantar TNS tror jeg skyldes en målemetode på tvers av norske medier (men er ikke helt sikker). Chartbeat brukes internt til å se lesetid og klikk på artikler. Google Analytics brukes til å se antall klikk.

      Vi har en side om personvern du kan lese om du er interessert.

    • Alexander (svar til Olav Guttorm)

      Jeg syns faktisk at dette er litt ugreit. De fôrer google og co med informasjon om oss hver gang vi leser og klikker oss gjennom artikler. Hvor vanskelig kan det være for NRK å sette opp en egen intern platform for akkurat dette formålet?

    • Olav Guttorm (svar til Olav Guttorm)

      Det er riktig som du skriver Martin Gundersen, brukersporingen som er lagt inn er såkalte «Analytics» systemer. Eller det er ihvertfall det NRK får utav bruken. Men vet vi egentlig hva disse utenlandske foretakene som driver disse tjenestene bruker de innsamlede dataene til? Og er det virkelig nødvendig med så mange ulike systemer? Det eksponerer bare brukerdataene til ekstra mange firmaer som ikke er underlagt norsk personvernlovgivning og Datatilsynet.

    • Det er litt vanskelig for meg å svare på avtalene NRK har med ulike aktører, men hovedregelen er at NRK selv sitter på dataene og at de anonymiseres eller pseudoanonymiseres.

      Det er mulig jeg kommer til å skrive mer om dette, men det blir ikke denne lørdagen 🙂

    • NRK burde bytte til Piwik eller lignende løsninger som kan deployes lokalt hos NRK.Da ungår man at data havner hos utenlandske fimaer som Google som lever at reklame og å bygge profiler om alle verden brukere. Jeg har ikke noe problem med at firmaer lever av reklameinntekter, men det kan ikke være en forutsettning at brukere gir avkall på alle former for privatliv på nettet.

      Etter min mening så har ikke tjenester som ikke kan leve av å snoke i folks privatliv og vaner, livets rett.

  2. AddThis stoppes av plugin/utvidelsen Ghostery. Det gjør også de 5 som nevnes av Olav Guttorm. Ghostery finnes for Edge, Chrome og Firefox, kanskje andre nettlesere også.

    Svar på denne kommentaren

    • Johansen (svar til Jul Delp)

      Ghostery som vil at du skal registrere deg som bruker, slik at de kan samle informasjon om brukerne sine? Ghostery som sendte en epost til sine brukere som inneholdt alle brukernes adresser i «til»-feltet?

      uBlock Origin og Privacy Badger er nettlesertillegene du bør bruke.

    • Roy Bassa (svar til Jul Delp)

      Bruker uBlock Origin plugin til chrome. Har brukt slike plugins i en hel årrekke. Om man ikke vet noe om slike plugins, så er man heller ikke så nøye med hvem som får tilgang på din sensitive informasjon. Man må da forvente et minstemål av hvermansen. Vi kan ikke forvente at alle har gode hensikter i verden. Noe kunnskap må man sette seg inn i hvis man legger ut sensitiv informasjon på nettet. Hallo! Knock knock, sunn fornuft!

  3. Ole Brustad

    Egentlig burde det være forbudt for alle offentlige organer å ha tredjepart sporere og analyseverktøy. Om de ønsker analyse må de ha kompetanse til å sette opp eget lokalt analyseverktøy som ikke forer Google, Oracle, Facebook, Microsoft, Amason m.fl. med data.
    (personlig kjører jeg ghostery).

    Det har vært kampanjer for å få alle nettsider over på https (ssl), men budskapet om at det gir bedre «personvern».
    Men det er jo mest bare å narre folk så lenge man har disse tredjeparts sporere og analyseverktøyene aktivert.
    (vet at http med ssl har flere andre sikkerhetsmessige fordeler).

    Svar på denne kommentaren

    • Audun Wangen (svar til Ole Brustad)

      Det er nok ikke noen god idé å forby all form for sporing. Kommunene bruker dataene til å forbedre nettsidene sine og gjøre dem mer brukervennlige også, så man vil få veldig mye dårligere nettsteder fra kommunene dersom man forbyr det.

  4. Frustrert utvikler

    Veldig bra dere setter søkelys på problematikken rundt sporing til tredjeparter. Jobber selv som webutvikler, og opplever at særlig Google Tag Manager har gjort at mange kunder nå deler ut tilgang til å sette opp sporing på nettsidene sine i hytt og pine.

    Vi prøver å bevisstgjøre kundene på dette, men opplever at det er vanskelig å formidle til kundene hvor mye tilgang en aktør som får satt opp et javascript inne på et nettsted faktisk har. Et eller annet kommunikasjonsbyrå blir involvert, og anbefaler kundene å installere stadig mer sporing.

    Svar på denne kommentaren

    • Hvilke kommunikasjonsbyrå er det som overtaler kundene til å bruke mest mulig sporing? Gjør alle byråene og kan du navngi noen spesielle? Og hvordan begrunner de anbefalingen? Jeg spør som journalist.

  5. Det er helt klart at behandlingsansvarlig, dvs. NAV,Kommunen osv. er den som sitter med ansvaret, bare se på datatilsyntes veiled fro innebygd personvern. Eiern av siten er ansvarlig for hvilken kode som legges inn, og er ansvarlig for å beskrive det i personvern erklæringen.Ggjør de ikke det, men laster ned litt «kul» kode uten å vurdere personvernkonsekvensen kan de neppe påberope seg innebygd eprsonvern

    Svar på denne kommentaren

  6. Syns det er ille at f.eks. nhi.no og legehandboka.no forlanger at du godkjenner at de deler data til annonsenettverk. En blir presentert med en ‘Jeg forstår’-knapp, og må navigere seg videre inn til for å fine en liten bortgjemt lenke hvor en kan ‘Withraw your consent’.

    Og jeg som trodde at dette var hva GDPR skulle gi oss: at vi aktivt måtte velge å la oss spore *før* vi blir sporet. Ikke at vi kun blir fortalt at ‘du blir sporet’ også måtte lete siden rundt etter informasjon om hvordan en kan unngå det… :-/

    Svar på denne kommentaren

Legg igjen en kommentar

Din e-postadresse vil ikke bli publisert. Obligatoriske felt er merket med *. Les vår personvernserklæring for informasjon om hvilke data vi lagrer om deg som kommenterer.