Når du logger på med NemID, kan du blive sporet af Google

Hvis noget er gratis, er det dig, der er produktet.

Sådan lyder tommelfingerreglen fra eksperter i datasikkerhed. Men mange offentlige myndigheder har valgt at bruge gratis tjenester fra amerikanske it-selskaber på deres hjemmesider. Omkostningen er, at data om brugernes ip-adresser, udstyr og adfærd på de offentlige hjemmesider bliver sendt videre til selskaberne.

62 procent af landets kommuner bruger eksempelvis den gratis tjeneste Google Analytics. Det viser en opgørelse, som analysefirmaet Cookie Information har lavet for Politiken.

Google Analytics (GA) bruges også på de statslige sider Skat.dk, Sundhed.dk, Cpr.dk, Jobnet.dk og Borger.dk’s ’Min side’. Det er et smart og gratis statistikværktøj, som kan give en myndighed et overblik over, hvor mange der besøger en hjemmeside, hvorfra de kommer, og hvad de klikker på. Men alle de data om borgernes adfærd på myndighedernes hjemmesider tilflyder også Google.

Selskabet skriver i brugerbetingelserne for tjenesten, at Google og dets datterselskaber er berettiget til at gemme og anvende oplysninger, der er indsamlet i forbindelse med kundens brug af tjenesten, i henhold til Googles privatlivspolitik. Og i privatlivspolitikken står der, at Google anvender de oplysninger, som selskabet indsamler fra »alle vore tjenester«, til blandt andet at »tilbyde dig skræddersyet indhold – for eksempel for at give dig mere relevante søgeresultater og annoncer«.

Sporing efter NemID-login

Politiken har præsenteret de vilkår, som offentlige myndigheder har underlagt sig, for Heidi Steen Jensen, som er it-advokat og ekspert i persondataret:

»Det følger af vilkårene, at når man bruger GA, overdrager man reelt ansvaret for de overførte data om brugernes adfærd på sin webside til Google. Det betyder, at Google kan bruge disse data til markedsføring; hvis man eksempelvis søger efter noget med sundhed, kunne man måske få en annonce om Aarstidernes måltidskasse. Vi ved ikke, om det foregår, men Google forbeholder sig retten til at gøre det«, siger Heidi Steen Jensen, partner i advokatfirmaet Horten.

NemID er adgangskoden til hjemmesider, som ligger inde med fortrolige og følsomme oplysninger om borgerne. Politiken har analyseret, hvad der sker på Sundhed.dk, Skat.dk og Borger.dk ’Min side’, efter at man er logget ind. Og også herinde, i det mest følsomme kammer, sender myndighederne data videre til GA.

»Problemet med GA er, at det er uklart, om de laver mere end bare webstatistik. Google får en masse informationer, som de kan bruge til at sammenkæde ting, de ved om dig. Jeg er bekymret; for hvordan hænger det lige sammen, at Google leverer en gratis tjeneste, når det ikke ligefrem er en velgørende forening at dømme ud fra årsregnskabet«, siger formanden for IT-Politisk Forening, Jesper Lund.

LÆS ARTIKEL

Politiken har spurgt de offentlige hjemmesider med NemID-login, hvilken kontrol de har med borgernes data, der sendes videre til den amerikanske it-gigant.

»Borgerens data tilflyder ikke Google, for så vidt angår personfølsomme oplysninger. Også med indlogning med NemID er der kun tale om adfærdsdata – ikke persondata«, udtaler Morten Elbæk Petersen, direktør for Sundhed.dk, der ikke oplyser brugerne af hjemmesiden om, at man bruger det gratis Google-redskab.

Skat skriver først til Politiken, at »vi anvender ikke GA på vores tast selv-løsninger«. Efter at Politiken fremviser dokumentation for, at GA sætter cookies også efter NemID-login, melder Skat tilbage:

»Skat bruger GA på skat.dk og for eksempel også i Motorregistret efter login. Men data er i anonymiseret form, og der registreres kun den samme type oplysninger før og efter login om antal besøg på siderne, hvor lang tid de besøgende er på siderne osv.«, skriver Skats kontorchef Anne Dorte Erstad Jørgensen i en e-mail.

Ulovligt i Tyskland

For tre et halvt år siden sendte Bornholm Regionskommune en forespørgsel til den ansvarlige myndighed, Datatilsynet, om, hvorvidt GA var et lovligt redskab at anvende. Datatilsynet har stadig ikke svaret.

I Norge og Tyskland har analyseværktøjet i en periode været forbudt. Nu er GA atter godkendt, men kun under skrappe betingelser: I Tyskland kræves det blandt andet, at alle ip-adresser gøres anonyme, at slutbrugeren får en nem mulighed for at fravælge Googles cookies, og at der indgås en såkaldt databehandleraftale, som indskærper, at Google ene og alene må behandle data efter kundens instruks.

»Set fra et brugersynspunkt var risikoen med GA, at man ville blive sporet og profileret af en allestedsnærværende tjeneste på langt de fleste hjemmesider. Loven kræver med rette, at der skal være en effektiv mulighed for at kontrollere det«, siger Ulrich Kühn, vicekommissær for datatilsynet i Hamburg. Han tilføjer, at det for tyske myndigheder slet ikke er lovligt »at have en ubetinget, vedvarende sporing af brugere på offentlige websteder«.

Købe webstatistik fra leverandører

Googles nordiske pr-chef, Farshad Shadloo, skriver i en udtalelse til Politiken, at myndigheder og firmaer selv kan kontrollere, hvad de sender videre til Google:

»GA indsamler anonymiserede oplysninger og leverer websidestatistik uden at knytte de enkelte brugeres id til Google. Hjemmesideejere, der bruger GA, har kontrol over, hvilke data de lader Google anvende. De kan bestemme, om de vil have Google til at bruge disse data eller ej, og der er adskillige andre sikkerhedsmekanismer såsom ip-anonymisering«.

Stadig flere offentlige hjemmesider er begyndt at købe webstatistik fra leverandører, der skriver under på ikke at bruge data til andre formål. Blandt andre er Erhvervsstyrelsen, tilsynsmyndighed for cookielovgivningen, gået over til danske Netminers.

»Ved valget blev der blandt andet lagt vægt på, at data behandles fortroligt, og at vi bevarer ejerskabet over data«, siger Anne Bech Broen, specialkonsulent i Erhvervsstyrelsen.

Politiken har ved en fejl skrevet Jobzonen.dk i artiklen som en statslig side, der bruger Google Analytics. Det beklager vi. Det rigtige er i stedet Jobnet.dk, og fejlen er nu rettet.