May Day - For Health And Freedom

2 days ago

Version 2

"LAD OS FØRST MINDE OM, AT DE DATA, SOM SAGEN OMHANDLER, ER INDSAMLET ULOVLIGT."

Det er umuligt at overdrive omfanget af den skandale om brugen af teledata, som i øjeblikket hærger de danske domstole, politiet og Justitsministeriet. Mistænkte forbrydere bliver løsladt, andre mistænkte må forblive varetægtsfængslet i månedsvis pga. udsatte retssager, mens mindst 10.000 og sandsynligvis langt flere sager, hvori der er fældet dom, skal gennemgås for at finde ud af, om der kan være tale om justitsmord.

I mands minde har vi – gudskelov – ikke haft sådanne tilstande i kernen af vores retssamfund. Det hele bygger på en komplet mangel på forståelse for, hvad indsamlede data kan bruges til, parret med en usædvanlig mangel på rettighed omhu.

Lad os først minde om, at de data, som sagen omhandler, er indsamlet ulovligt. Det strider mod EU-chartrets ret til privatliv at overvåge borgerne på det niveau, som teleselskaberne er forpligtet til, og som gør det muligt for politi og efterretningstjenester at få udleveret data om, hvor vi befinder os, og hvem vi kommunikerer med. Det har EU-Domstolen fastslået for snart tre år siden, men alligevel har skiftende danske justits­ministre opretholdt reglerne.

Det er en skandale i sig selv, ligesom det er stærkt kritisabelt, at der end ikke findes en statistik over, hvor ofte politiet stikker snablen i de enorme databaser. Vi ved kun, at selve politiet (og altså ikke efterretningstjenesten) fik dommerkendelser til at se, hvem godt 3.000 mistænkte kommunikerede med sidste år. Men i hvor mange sager der er udleveret positionsdata, aner ingen, for de data udleveres i enhver straffesag, helt ned til cykeltyverier, i det omfang, de bliver efterforsket.

Den nye teleskandale handler imidlertid ikke om indsamlingen af data, men om omfanget af, hvor meget politiet har klokket rundt i de selvsamme data. Den har været gal med den software, som politiet bruger for at skabe sig overblik over de lange regneark, som teleselskaberne udleverer. Softwaren har ganske enkelt smidt nogle data helt væk, så ikke alle opkald og sms’er er blevet præsenteret for forsvarere, dommere og politiets egne efterforskere. Desuden har softwaren placeret nogle af masterne forkert og dermed indført en fejl i, hvor de mistænkte har befundet sig.

I sig selv nærmest utilgiveligt dumt, men så kunne Rigspolitiet have erkendt fejlen på stedet, igangsat en undersøgelse og suspenderet brugen af den fejlbehæftede software. Sådan gik det langtfra. De første advarsler om fejl kom fra menige efterforskere allerede sidste år. I marts indså Rigspolitiet, at noget var galt, men vi skulle på den anden side af et folketingsvalg, inden ministeriet blev orienteret. Derefter nedsatte en forståeligt bestyrtet justitsminister en undersøgelseskommis­sion til at finde rundt i den retspolitiske del af skandalen. Imidlertid nåede politiet først frem til, at det nok er en god idé at analysere selve softwarefejlen, i sidste uge, altså næsten et halvt år efter, at fejlen blev kendt.

Som om den sendrægtighed ikke var tilstrækkeligt, har politiet i de seneste uger i stadigt stigende omfang forsøgt at henvise til, at der også er fejl i de data, som teleselskaberne leverer, vel at mærke før de bliver kørt igennem politiets egen, fejlramte software. Et par mindre eksempler med udenlandske telefoner har politiet fremhævet, men det forbliver et mysterium, hvorfor hverken selskaber eller politiet har opdaget, hvis der var tale om systematiske, og ikke enkelte eller menneskelige, fejl.

Mest af alt virker det derfor, som om politiet ganske usmageligt forsøger at tørre en del af en historisk møgsag af på dem, der nu er mulighed for. Næsten værre er, at det selv i de seneste orienteringer lader til, at politiet og Justitsministeriet mangler en helt grundlæggende forståelse af, hvad data er, og med hvilke forbehold de bør behandles. F.eks. giver de formuleringer, som politiet senest har udsendt, grund til at spørge, om ordensmagten er klar over, at man kan sende en sms fra en telefon, uden at man behøver at sidde med den i hånden.

Dommerne og forsvarerne har også forsøgt at fralægge sig ethvert ansvar. Repræsentanter for begge har f.eks. udtalt, at de aldrig var blevet informeret eller advaret om de usikkerheder, der er, når teledata bliver brugt som bevismateriale. Det vidner om et behov for, at også de forholder sig langt mere skeptisk til databeviser og f.eks. spørger, hvor repræsentative, pålidelige og sikre data er. Ellers har politiet for let spil, og teleskandalen viser, at det ikke er en retsstat værdigt.

/mbr

www.version2.dk/artikel/leder-ufattelig-naiv-tilgang-data-hos-baade-politi-retsvaesen-1088876 ... See MoreSee Less

May Day - For Health And Freedom

2 weeks ago

ALLIGEVEL ER DET OFTE BORGERNE SELV DER BLIVER NØDT TIL AT OPDAGE UBERETTIGEDE ABONNEMENTER PÅ DERES PERSON OPLYSNINGER.

Det er virksomheder og myndigheders ansvar at sørge for, at de ikke overtræder loven, når de abonnerer på danske borgeres personoplysninger.

Og der er muligvis tale om en lovovertrædelse, hvis eksempelvis en kommune, en bank eller et marketingfirma vælger at abonnere på en borgers CPR-oplysninger, uden at de har en god og saglig grund til dette. Det fortæller fuldmægtig hos Datatilsynet Viktor Herskind.

»Formålet med Databeskyttelsesreglerne er i høj grad at beskrive den dataansvarliges forpligtelser, i dette tilfælde typisk abonnenten. Den dataansvarlige er for eksempel forpligtet til ikke at indsamle oplysninger uden sagligt formål og ikke at indsamle flere oplysninger end nødvendigt,« siger Viktor Herskind.

Og abonnerer de dataansvarlige myndigheder og virksomheder uden det nødvendige saglige formål, kan der altså være tale om lovbrud, har advokat Catrine Søndergaard Byrne tidligere udtalt til Version2.

Samme konklusion faldt også, da Datatilsynet sidste år udtalte kritik af Københavns Kommune for at abonnere på en fraflyttet borgers oplysninger.

Det er efter Version2's kendskab den eneste sag, hvor der har været en konsekvens af misbrug af et CPR-abonnement.

Borgerne må selv udføre arbejdet
Men selvom det er bankens, kommunens, forsikringens og analysefirmaets ansvar at overholde loven, er det ofte borgeren selv, der må træde i karakter, hvis fejl og lovovertrædelser skal opdages.

»Datatilsynets erfaring viser, at der kommer til at ske fejl, og at de fejl ofte bliver opdaget af nogen uden for den dataansvarlige, herunder den registrerede selv,« siger Viktor Herskind fra Datatilsynet.

Også hos CPR-kontoret under Social- og Indenrigsministeriet, der står for at godkende virksomheders og myndigheders abonnementer på CPR-oplysninger, gennemsyner man ikke samtlige godkendte abonnementer, og man holder sig ikke løbende opdateret med, om det saglige formål er til stede eller ej.

I stedet er man afhængig af, at borgerne selv opdager, hvis nogen abonnerer på vedkommendes personoplysninger uden det nødvendige saglige formål eller samtykke.

Læs mere på linket:
www.version2.dk/artikel/datatilsynet-ikke-borgerens-ansvar-at-kontrollere-cpr-abonnementer-lovlig... ... See MoreSee Less

May Day - For Health And Freedom

3 weeks ago

Tirsdag d. 28. jan. 2020 - kl. 06:49

SÅDAN BLEV CPR-SJUSK MØRKELAGT

Region Syddanmark vidste, at kæmpe databrud kunne ramme patienter - alligevel blev det holdt skjult for de 500.000 berørte
Region Syddanmark gik stille med dørene, da man opdagede en kritisk fejl i et it-system, som betød, at alle regionens ansatte havde frie hænder til ubemærket at downloade dybt personfølsomme oplysninger på en halv million patienter.

Selvom regionen fra begyndelsen fastslog, at identitetstyveri var blandt de 'sandsynlige konsekvenser' i anmeldelsen til Datatilsynet, så har det aldrig ligget i kortene, at de berørte skulle have nys om sagen. Det fremgår af dokumenter mellem Region Syddanmark og Datatilsynet, som Ekstra Bladet har fået aktindsigt i. Det ville ifølge regionen være for svært.

’Det vil være umuligt eller uforholdsmæssigt vanskeligt at underrette de berørte personer,’ angiver regionen i anmeldelsen til Datatilsynet.

Sundhedsdata går som varmt brød på nettet
Selvom det kan virke verdensfjernt, så er det langtfra utænkeligt, at stjålne sundhedsoplysninger kan bruges til at fastsætte prisen på en forsikring. Det mener Jens Heyn Roed Andersen, selvstændig cybersikkerhedskonsulent med indsigt i sundhedsindustrien.

- Datahandlere lever af at bygge profiler op af personer og sælge den viden til alle mulige. Hvis det kommer ud på det mørke net, så bliver de stjålne data lavet om til hvide informationer, der sælges, og så kan det ende hos forsikringsselskaber via en datahandler, som tror, de har købt lovlige oplysninger, selvom det er indhentet ulovligt, lyder det fra Jens Heyn Roed Andersen, da han forholder sig til risikoen for, at data på 504.596 patienter i Region Syddanmark kan være havnet i de forkerte hænder efter it-brøleren, som Ekstra Bladet har beskrevet de seneste dage.

Sikkerhedsbristen i Region Syddanmark, som har stået på mellem 2013 og 2018, indeholder navne cpr-numre og hjerteoplysninger, såkaldt EKG, på den halve million patienter.

Via EKG-oplysninger kan man lave en prognose over, hvor sandsynligt det er, at en kunde får hjertestop eller blodprop, og det er den type følsomme oplysninger, forsikringsselskaber kan have interesse i.

Ingen sandsynlighed
I Region Syddanmark blev det besluttet, at de mange berørte patienter ikke skulle orienteres om sagen på trods af, at regionen ikke levet op til Datatilsynets krav om overvågning på it-systemet og dermed ikke kan se, om oplysninger er blevet downloadet af de 26.000 ansatte samt et ukendt antal eksterne samarbejdspartnere, der har haft adgang.

Argumentet fra lægelig direktør på Sygehus Lillebælt, Mads Koch Hansen, som har stået i spidsen for sikkerhedsvurderingen, har lydt på, at dem, der har haft adgang, har tavshedspligt og i øvrigt skal have handlet i ond tro for at misbruge oplysningerne. Derfor er det ikke særlig sandsynligt ifølge den lægefaglige direktør.

Ikke styr på data
Men det er en stor risiko at tage, påpeger Jens Heyn Roed Andersen.

- Mads Koch Hansen har ikke nogen sandsynlighed for at kunne konstatere, at de her 26.000 ansatte og eksterne samarbejdspartnere ikke har været involveret i noget, der ikke kunne bringe oplysningerne videre, siger Jens Heyn Roed Andersen, som understreger, at det ikke nok at sige, at regionen stoler på, at personerne har haft onde hensigter. Regionen skal også have styr på, hvor data kan være hentet fra.

- Han kan umuligt bevise, at det ikke er blevet handlet. For det kræver, at man er sikker på, at 26.000 ansatte og eksterne samarbejdspartnere har brugt sikre computere, smartphones eller iPads, hvor data ikke kan komme videre, fastslår Jens Heyn Roed Andersen.

Læs mere på linket:

ekstrabladet.dk/kup/elektronik/teknologi/saadan-blev-cpr-sjusk-moerkelagt/7977709 ... See MoreSee Less