Når danske psykologer arbejder, er der retningslinjer for vores måde at forvalte vores profession på. Vi har for eksempel tavshedspligt. Vi skal følge de fællesnordiske etiske retningslinjer for psykologer. Men vi har ikke nogen retningslinjer for elektroniske systemer, der behandler klienters elektroniske oplysninger.
Hvad sker der for eksempel, når vi deler optagelser af klientsamtaler på Dropbox med klienten eller optager samtaler med vores smartphone? Eller når vi køber en dyr hjemmeside, som kan kobles på (en) faktura og bruges til at kommunikere med klienten? Som lovgivningen er nu, er det os, der som professionelle har ansvaret for at sikre persondataoplysninger. Og derfor er IT-sikkerhed et stigende problem for faggrupper med tavshedspligt. I USA har man taget højde for problemet, da man indførte retningslinjerne HIPAA (Health Insurance Portability and Accountability Act). Det betyder, at hvis en anden aktør – altså en hjemmesideudbyder, Dropbox, Skype eller lignende – skal håndtere helbredsdata, så skal de godkendes og opfylde en række krav. Dette sikrer, at faggrupper som læger og psykologer kan nøjes med at benytte redskaber med HIPAA-certificering og ikke skal bekymre sig om datalæk, eller om andre har adgang til følsomme data. Sådan ser det desværre ikke ud i Danmark. Her er vi på egen hånd.
Tag fx Dropbox. Problemet opstår, når man nærlæser de regler, man har sagt ja til, da man installerede redskabet. I Dropbox’ terms and conditions står der fx: “Employees may access file metadata (e.g., file names and locations) when they have a legitimate reason, like providing technical support.”
Medarbejdere hos Dropbox kan altså få adgang til såkaldte metadata som filnavne eller lokationer. Metadata er i sig selv ikke problematisk, men over tid og i sammenhæng med andre filer, kan der tegne sig et problematisk billede. Hvis du altid uploader en tekstfil til Dropbox, når en specifik klients telefon er i nærheden, så er det ikke svært at regne ud, at den tekstfil omhandler netop den klient. Videre står der i betingelserne, man siger ja til hos Dropbox: “Like most online services, we have a small number of employees who must be able to access user data for the reasons stated in our privacy policy (e.g., when legally required to do so). But that’s the rare exception, not the rule.” Problemet her er, at hvis firmaet bag Dropbox har adgang til dine data, når de bliver bedt om det, så har de adgang til dine data på et vilkårligt tidspunkt fastsat udefra og altså uden for brugerens kontrol.
En tredje sætning lyder: “Law & Order. We may disclose your information to third parties if we determine that such disclosure is reasonably necessary to (a) comply with the law; (b) protect any person from death or serious bodily injury; (c) prevent fraud or abuse of Dropbox or our users; or (d) protect Dropbox’s property rights.”
Det interessante her er ikke, at Dropbox kan videregive information for at beskytte mennesker, men at de har adgang til informationer, de kan videregive til tredjeparter – tredjeparterkan være alt fra myndigheder til andre virksomheder, som Dropbox samarbejder med, fx i markedsføringsøjemed. Data er guld. Jo mere data, en virksomhed kan indsamle, desto mere målrettet kan virksomheden eller dens samarbejdspartnere, som køber eller får data af den, arbejde med markedsføring af produkter.
Tilsvarende Terms and Conditions for Apple er på knap 13.000 ord, og Facebooks er cirka 11.000 – og det er stort set umuligt for en lægmand at gennemskue, hvad man faktisk giver lov til i begge meget lange, juridiske og svært læsbare tekster.
At dine personlige oplysninger ender hos en virksomhed, der ikke er reguleret og dermed faktisk kan gøre, hvad den vil, er i øjeblikket måske kun problematisk i begrænset omfang. Du eller din klient får måske nogle reklamer på nettet eller prisen på de varer, I vil købe på nettet, justeres i forhold til jeres personprofil, så en flyrejse eller et par sko stiger eller falder i pris.
Hvis du til gengæld har en klient, der er krigsveteran eller politisk flygtning, kan det naturligvis være interessant for nogle myndigheder at vide, hvad klienten foretager sig, hvad der tales om og med hvem, og så er det en smal sag at købe sig til disse oplysninger gennem de tjenester, man har givet adgang til sine data. For eksempel samler Facebook data om dine sms’er og kontakter, hvis du har installeret den på din smartphone. Mens Google ved, hvor du er.
Men hvor stort et problem er det? Er det store fokus på datasikkerhed ikke blot udtryk for paranoia og overdrevne skrækscenarier? Ikke hvis man har fulgt med i medierne de seneste år og fx har fulgt debatten om det amerikanske The National Security Agency (NSA) og dets overvågningsaktiviteter. NSA har – blandt meget andet – angiveligt ikke blot haft adgang til metadata, emails, chatbeskeder, browserhistorik og lignende hos førende internettjenester som Google, Facebook og Apple i USA, men har også overvåget europæere, herunder i Danmark til klimatopmødet i 2009. Det er i hvert fald hvad whistleblowers som den tidligere NSA-ansatte Edward Snowden og en række toneangivende medier hævder at kunne dokumentere.
Set fra en psykologfaglig vinkel er problemet også til at få øje på. Et af de argumenter, der er blevet brugt i Danmark og andre steder af regeringer for at indføre mere overvågning af data og digitale tjenester i den nationale sikkerheds tjeneste, er, at hvis du ikke har noget at skjule, har du heller ikke noget at frygte. Men ifølge en af de skarpeste datasikkerhedseksperter, den britiske journalist Glen Greenwald, der sammen med Edward Snowden afslørede NSA-skandalen, fordrer denne argumentation samtidig, at 1) hvis du insisterer på retten til privatliv, har du noget at frygte, og 2) kun hvis du er tilstrækkelig gennemsigtig og harmløs, kan du vide dig sikker på ikke at blive overvåget.
Det er bekymrende. For det leder tankerne i retning af selvcensur. Og værker som Michel Foucaults Overvågning og straf eller Jeremy Benthams Panopticon. Vores arbejde som psykologer, læger og andre med tavshedspligt, er jo betinget af deinformationer, vi får fra vores klienter, og vores arbejde hviler på, at de kan føle sig trygge ved, at deres oplysninger aldrig kommer videre.
“Hvis du har en klient, der er krigsveteran eller politisk flygtning, kan det naturligvis være interessant for nogle myndigheder at vide, hvad klienten foretager sig, hvad der tales om og med hvem, og så er det en smal sag at købe sig til disse oplysninger gennem de tjenester, man har givet adgang til sine data.”
At bruge forskellige digitale tjenester, hvor du ikke kan beskytte dine klienters personlige oplysninger, er derfor stærkt problematisk. Og faktisk er nogle af tjenesterne ulovlige i Danmark. I 2011 undersøgte Datatilsynet Dropbox og konkluderede, at det ikke var lovligt at bruge Dropbox til personfølsom data. Det er ikke lovligt at overføre personfølsom data til lande uden for EU, eller til lande, der ikke er betegnet som “safe harbour”.
Problemet her er, at data sendt til Dropbox ikke bevæger sig direkte fra brugerens computer til en server på grund af internettets grundlægende arkitektur, hvor en masse mellemstationer kan ligge hvor som helst, heriblandt i lande uden for EU – lande, der ikke betegnes som “safe harbor”.
Denne bevægelighed af data skal man også være opmærksom på, hvis man sender en mail. Her kan mailen ligge på en mailserver i flere år, og hvis ikke den er krypteret fra afsenders side, kan indholdet tilgås på mailserveren.
Et andet udbredt problem er brugen af USB-nøgler. USB-nøgler er en af de største kilder til læk af data, fordi de nemt går tabt. Hvis man gemmer data om klienter på USB-nøgler, bør man ikke alene opbevare dem sikkert, man bør også kryptere de data, der er derpå, så de ikke kan læses af andre, hvis USB-nøglen forsvinder. Samt sørge for, at data bliver destrueret efter en årrække, efter at man er pensioneret eller har skiftet job. Men der er en måde at sikre sig selv og klienten på. Kryptering er svaret på mange af udfordringerne. Kryptering gør data ulæseligt, med mindre man har en nøgle til at afkode indholdet.
Den simpleste form for kryptering kaldes chifferskrift. Her erstattes alle elementerne i en besked eller lignende med et andet element, som gør beskeden ulæselig. Et eksempel: Ordet “IBM” kan eksempelvis krypteres og skrives “HAL”. I det her tilfælde skifter man bare alle bogstaver i beskeden ud med det næste i alfabetet, så H bliver til I, A bliver til B, og L bliver til M. Dette udgør dekrypteringsnøglen, som er nødvendig for at kunne læse den oprindelige besked.
Når man køber et dyrt IT-system eller en hjemmeside, reklameres der ofte med, at der bruges sikre forbindelser, og termer som SSL (secure socket layer) bliver flittigt brugt. SSL er en god løsning til at sikre data, mens det transporteres, men det dækker kun transport af data. Det er dog ikke altid, at hjemmesideudbyderen eller den tjeneste, man bruger, opbevarer data sikkert. Ofte er det også tilfældet, at udbydere opbevarer data på en måde, så de kan tilgå den selv. En måde at løse dette problem på er at bruge såkaldt end-to-end kryptering (E2EE). Her bliver data krypteret på din enhed og først dekrypteret, når beskeden når sin destination. Det forhindrer ikke andre i at få fat på dine data, men det gør dataen næsten ubrugelig. Via programmer som Axcrypt og 7zip kan man på sin egen computer kryptere en fil og sikre den med et password. På den måde er det kun dem, der har dette password, som har adgang til din data, også selvom den ligger hos Dropbox eller andre.
“Som lovgivningen er nu, er det os, der som professionelle har ansvaret for at sikre persondataoplysninger.”
Man bør også være påpasselig med at installere alskens apps. Hvis man installerer en app på sin android telefon, bør man give sig god tid til at læse, hvilke ting app’en har adgang til på telefonen. Google maps har fx adgang til mikrofonen, så man kan styre GPS’en med sin stemme, men der findes mange andre programmer, som også har adgang til mikrofonen og mediafiler.
Skaberne af disse apps udbyder dem ofte gratis, men har en forretningsmodel, hvor indtjeningen er videresalg af informationer. Når sådan en app har adgang til mikrofonen, betyder det, at den kan optage lyd og sende det til firmaet bag. Det samme gør sig gældende for optagelser, man har liggende på sin telefon, hvilket man har givet firmaet lov til, da man trykkede ok og installerede app’en – men det har klienten ikke. Derfor er det vigtigt at spørge sig selv, om et lommelygteprogram bør have adgang til mediafiler, mikrofon, GPS-koordinater og så videre, inden man installerer app’en. Det gælder også på iPhone.
Apps som Facebook Messenger og andre beder om adgang til indholdet af dine sms’er og kontakter, også selv om du ikkebruger programmet til at kommunikere, men blot har det installeret. Dette er væsentligt at holde øje med, hvis man har kontakt med en klient via sms.
Det enorme udbud af digitale tjenester, vi bruger som både borgere og professionelle, har skabt nye udfordringer. Udfordringer, der berører tusinder, som har mennesker og fortrolig data i deres hænder, og som er omfattet af en tavshedspligt, men som myndighederne endnu ikke har taget højde for.
Beskyttelsen af persondata har hjemmel i persondatalovningen og i EU-direktiver – begge er længe blevet kritiseret for at være blevet overhalet indenom af den digitale virkelighed. Det ville være ønskeligt at få skabt et sæt retningslinjer for dataudbydere og app-udviklere, der sikrer forsvarlig opbevaring af data og forhindrer indsamling og videresalg deraf.
En løsning kunne være et kvalitetsstempel, der gør det muligt for faggrupper som psykologer og læger, der ikke umiddelbart har en teknisk fundering, at benytte tjenester, som sikrer klientens fortrolige oplysninger. Man behøver ikke kigge langt efter lignende modeller. I USA kan professionelle som nævnt købe adgang til sms-tjenester, e-mail-services og videokonference-software, der er HIPAA certificeret og dermed sikrer, at klientens data forbliver fortrolig.
Får vi ikke en løsning, risikerer vi et virtuelt panoptikon, hvor klienter ikke tør være åbne og ærlige af frygt for, hvem der lytter med.