Statens digitaliseringschef: Facebook – ikke NemID – er privacy-bekymringen

Tillid er godt – kontrol er bedre.

Sådan lyder et gammelt mundheld, og det kunne være overskriften for Digitaliseringsstyrelsens reaktion på de mange afsløringer det seneste års tid om hackerangreb mod CSC’s mainframes og en IBM-ansats misbrug af data om kendte og kongelige fra Nets-databaser.

Version2 besøgte i løbet af sommerens tour Digitaliseringsstyrelsen midt i København i juli og mødte direktør Lars Frelle-Petersen, som står med det overordnede ansvar for digitaliseringen af staten. Han er derfor en nøgleperson at spørge om en af de bekymringer, der fik nyt liv efter dataskandalerne – nemlig om private leverandører er de rette til at passe på borgernes data.

Hvordan vil I håndtere frygten for overvågning? Det er vel reelt nok som borger at være bekymret over for eksempel Digital Post, som ligger outsourcet hos en leverandør, og over NemID, der giver adgang til det hele og også drives af en privat leverandør?

»Det er bestemt en bekymring, vi skal tage alvorligt. Sager som CSC-hackersag og Se og Hør og Snowden-debatten har øget bevidstheden om sikkerheden. Ser vi på it-sikkerheden som sådan, altså, kan vi betryggende sikre, at data er opbevaret på en sikker og hensigtsmæssig måde? Det synes jeg, der er rimeligt gode svar på. Den anden del handler meget om privacy og opbevaring af persondata. Vil amerikanske virksomheder automatisk udlevere data til det amerikanske forsvar? Det er en svær debat, for den er også meget politisk. Det er en diskussion om Patriot Act (amerikansk lov, der giver myndighederne vidtrækkende adgang til data, red.), og hvordan den står i forhold til dansk lov. Vores oplevelse er, at vi i kontrakter med vores leverandører stiller krav om at overholde dansk lov. Forbryder de sig mod den, vil de blive retsforfulgt i Danmark. De private virksomheder har heller ikke interesse i at spille med. Det kan vi også se med den retssag, der kører nu med Microsoft, som nægter at udlevere data fra et datacenter i Irland.«

»Jeg er i dag ret tryg ved, at vi opbevarer data hos de private leverandører – vi har gode mekanismer til at føre tilsyn med, at data bliver opbevaret på en tryg måde. Der er ingen tvivl om, at vi kan have behov for at skærpe tilsynet. Der har måske været en blind tillid til, at leverandøren faktisk gør sådan, som man har aftalt. Staten skal i større omfang gøre brug af de værktøjer, man faktisk har til at føre tilsyn.«

Forsommeren bød også på en hed debat om cpr-numre, hvor aktivister regnede sig frem til ministres cpr-numre og offentliggjorde dem, hvilket er ulovligt, selvom cpr-numre på den anden side ikke må bruges som en hemmelig, fortrolig oplysning.

»Vi har set en diskussion om cpr-nummerets rolle, og vi skal passe på med at overgøre cpr-nummerets betydning. Jeg tror også, at vi i den offentlige sektor har en opgave i at fortælle mere om, hvad cpr-nummeret er for noget, og hvilke data vi egentlig har, og hvad vi mon bruger dem til, hvor meget vi kører data sammen. Jeg oplever også, at der meget hurtigt bliver tænkt meget konspiratorisk om, hvordan den offentlige sektor bruger disse data, og om vi samkører data. Det gør vi jo ikke. Vi overholder jo loven.«

En del af vores læsere er skuffede over, at man for eksempel med NemID har overladt så meget til et privat firma. Den overordnede diskussion her er, om man skal gå væk fra at overlade hvad som helst til et privat firma og fremover skal tænke i worst case hver gang og måske ikke engang bør stole på kommunens ansatte?

»Jeg deler ikke den indstilling, at man ikke kan stole på den offentlige sektor eller generelt skal være mistroisk over for firmaer, som har et navn med tre bogstaver. Vi har haft med private virksomheder at gøre i masser af år. Det er jo svært at forestille sig it uden brug af private firmaer. Der er nærmest ikke noget software, vi kan køre i dag, eller styresystemer, der er danske. Så der er en forudsætning, vi bliver nødt til at acceptere. Selvfølgelig skal man være meget opmærksom på det og være kritiske, men vi er underlagt EU’s udbudsregler, så hvis vi holdt op med at konkurrenceudsætte løsninger, ville vi få problemer.«

Det var heller ikke så meget valget af leverandør, men designet af løsningen.

»Vi stillede mange tekniske krav til leverandøren af NemID, så der var en afvejning omkring omkostningsniveau. Så var der en anden afvejning, for det at lade borgerne selv installere nøgler, som i den tidligere digitale signatur, gjorde rigtig mange af dem forvirrede og gav os store problemer. Det var ikke særlig brugervenligt, og det begrænsede mobiliteten, fordi du ikke kunne bruge det på tværs. Dengang, i 2007 og 2008 (da NemID blev designet, red.), var der en stor efterspørgsel på at få gjort det fleksibelt, uden at du skulle have separate nøgler til hver enhed.«

Kontrakten med Nets DanID om NemID udløber endegyldigt i november 2017, og Digitaliseringsstyrelsen er derfor gået i gang med at planlægge udviklingen af en afløser for NemID. I næste generation vil der være langt flere muligheder, siger Lars Frelle-Petersen.

»Nu kan vi kigge ind i en fremtid, hvor vi kan lave det mere differentieret, både i forhold til sikkerhedsniveau og de tekniske løsninger. Der er også kommet muligheder for at skabe konkurrence, hvor forskellige leverandører kan komme med deres løsning, i stedet for at overlade det til én leverandør.«

»Jeg tror, det har været en enorm fordel, at vi har skabt en universel NemID, der også virker i banker. Vi ville ikke kunne få borgerne til at anvende NemID i det omfang, vi ser i dag, alene. Det er særligt benyttelsen hos bankerne, der har drevet interaktion og penetrationsgrad. Det kan vi ikke selv drive, fordi vi har så lav frekvens for benyttelsen. Da den gamle digitale signatur blev udfaset, var der 1,3 million borgere, som havde den, men anvendelsen var meget lav.«

Ikke i centrale NemID-nøgler, man skal lægge sin privacy-bekymring

»Jeg anerkender bestemt, at der er forskellige ønsker og en stor differentiering i, hvad man bruger af udstyr. Særligt jeres læsere har nogle andre forudsætninger og interesser end gennemsnittet. Og vi skal i den næste løsning være i stand til at honorere flere ønsker, men ikke nødvendigvis alle.«

Da NemID blev udviklet, var det et krav fra Datatilsynet, at man også kunne vælge en løsning, hvor man selv havde kontrol over sin private nøgle. Men efterspørgslen har været meget lille for løsningen, der koster 350 kroner til hardwaren.

»I dag kan man købe NemID med decentral nøgle. Jeg vil sige, at det nok er dem, som har skrevet debatindlæg om det, som har købt den, og ikke så mange andre. Man skal betale penge for det, men der er ikke en stor efterspørgsel.«

»I forhold til it-sikkerhed og privacy er det ikke i det hjørne, jeg synes, man skal være bekymret. Der kan være mange andre dele. For eksempel Facebooks omgang med mine oplysninger – der burde man måske som privat forbruger være mere opmærksom i forhold til at gå op i, om nøglerne til NemID bliver opbevaret centralt.«

Spørgsmålet er også, om det er muligt at bruge den traditionelle tilgang med decentrale nøgler bundet til et smartcard eller en USB-token, hvis kravet også er, at næste generation digital signatur skal fungere på alverdens mobile platforme.

»I forhold til mobiltelefoner er spørgsmålet også, hvordan man vil opbevare nøgler på mange forskellige platforme. Det vil i sig selv også være en udfordring i forhold til at få decentrale nøgler.«

Starten på en ny mobil-æra

Netop mobile platforme har været det helt store problem med den nuværende NemID, som blev lanceret i 2010, netop som både tablets og smartphones begyndte at brede sig i befolkningen. Det har Nets og Digitaliseringsstyrelsen nu fået løst med en NemID-applet baseret på Javascript i stedet for Java, og det åbner et væld af nye døre for den offentlige sektor, som ikke ligesom bankerne kunne lave alternative varianter af NemID-login, der kunne køre på en telefon.

»Det er starten på en hel ny mobil-æra, og det kommer til at flytte rigtig meget for os. Det er sket i den private sektor, men er først ved at begynde for os nu. Næste trin er at gå 2.000 selvbetjeningsløsninger igennem på borger.dk. Vi har gjort borger.dk egnet til mindre skærme, men et er at gøre det muligt, noget andet er at tænke det i et mobilt univers. Der kan man roligt sige, at den offentlige sektor ikke er klar endnu til at udnytte den mobilitet, det kan give med adgang fra telefoner og tablets.«

Problemet er, at selve processen, som borgerne får digital adgang til, stadig er meget analog i tanke og handling.

»Når vi beskriver det, vi gør, er det stadig tænkt meget ud fra en papirverden. Det er en ansøgning, en blanket, et brev og et svar. I fremtiden kommer det til at se meget anderledes ud, og det er vi meget bevidste om. Det kommer til at ændre måden at planlægge på, og det kommer til at hænge bedre sammen. Det kan være med apps i stedet for blanketter.«

Lige nu er udfordringen dog også at få den nye Javascript-applet til NemID til at køre hurtigt nok, for især telefoner, der ikke er det nyeste skrig, skal bruge noget tid på at tygge sig igennem den obfuskerede Javascript-kode.

»Vi må erkende, at den er for langsom, fordi vi har bygget meget sikkerhed ind. Nogle af brugerne vil mene, at det går for langsomt og vil falde fra. Det skal maksimalt tage 5-10 sekunder, og vi er i øjeblikket oppe på 26 sekunder på nogle enheder,« siger Lars Frelle-Petersen.