Så källkritiska är svenskarna

I en ny rapport hittar du siffror och fakta om svenskarnas källkritiska förmåga. Hur många delar nyheter utan att ha läst dem först och när är det som svårast att vara källkritisk?

https://svenskarnaochinternet.se

https://svenskarnaochinternet.se/utvalt/kallkritik-i-sverige/

Läs rapporten om källkritik

 

 

 

 

 

 

Så avgör sökalgoritmer vilka sökresultat du får på Google

https://internetkunskap.se/artiklar/kallkritik/den-som-soker-finner-men-vad-exakt-ar-det-vi-hittar/

Du och en vän söker efter precis samma sak på nätet med samma sökfraser. Men ni får olika sökresultat. Hur är det egentligen möjligt? 

Att fundera över internets storlek är ungefär som att fundera på hur stort universum är. Och varje sekund fylls internet med mer material. På sajten worldwidewebsize.com   som mäter hur stor den indexerade webben är kan man få en uppfattning om hur ofantligt många webbsidor den består av.

På något sätt måste vi kunna hitta det vi söker i den här stora massan av information.

https://youtu.be/kWlODAwmUV8

Sökmotorns algoritm avgör hur sökresultat rangordnas

Det är där sökmotorn och algoritmens funktion kommer in. En algoritms uppgift är att hantera stora mängder information efter på förhand inprogrammerade instruktioner. När du använder en sökmotor är det just algoritmen som bestämmer hur dina sökträffar ska rangordnas. 

Den första sökmotorn Archie, kom 1990, och när internet slog igenom på allvar i mitten på 1990-talet fanns flera olika sökmotorer, bland de mest populära var Altavista och Yahoo. 

I dag dominerar en aktör fullständigt marknaden för sök. 1998 startades Google från ett garage i Kalifornien och hos webbanalysföretaget Statcounter  kan man se hur pass stora de är globalt idag. Sverige är inget undantag. Företaget har till och med gett upphov till ett eget verb, googla, som finns med i Svenska Akademiens ordlista. 

Så vad var det som gjorde att Google fick världsherravälde på sök?

Enligt Olof Sundin, professor i biblioteks- och informationsvetenskap vid Lunds universitet, revolutionerade företaget marknaden för sök genom sin page rank-algoritm som innebar att du och jag helt enkelt i högre utsträckning blev nöjda med våra sökningar på Google jämfört med andra sökmotorer.

 

 

– Den var väldigt effektiv. Den byggde på att man viktade sökresultat mot vilka sidor som blivit länkade till. Det var en slags demokratisk princip, grundsynen blir att det många människor anser vara viktigt blir viktigt, säger han. 

Men när du söker på Google söker du egentligen bara på de sidor av internet som Google själv har hittat. Med hjälp av så kallade webbspindlar, datorprogram som först söker upp ett par webbsidor och sen systematiskt följer de länkar det hittar på alla sidor, sammanställs ett index över internet. Det är just i det indexet som dina sökningar sker. De webbsidor som spindlarna inte hittar ingår alltså inte i Googles index.

Sökordsoptimering avgörande för att synas

Att vi skulle missa viktig information som aldrig blir indexerat tror inte Olof Sundin är den största utmaningen. I stället pekar han på betydelsen att komma högt upp i sökresultatet. 

Problemet är att de flesta av oss sällan tar del av annat än de allra översta länkarna.

 

 

– Googles index är ju väldigt omfattande och inkluderar väldigt mycket. Problemet är snarare att de flesta av oss sällan tar del av annat än de allra översta länkarna. Så det är ju naturligtvis oerhört viktigt för företag eller andra att komma överst, säger han. 

Resultatet blir alltså att den som bäst behärskar sökordsoptimering, det vill säga hur bra du är på att få din webbsida att rankas högt av Google, blir mest läst.

https://youtu.be/tFLC17806s0

Din geografiska plats viktig för vilka resultat sökmotorn visar

Förutom länkar tar sökalgoritmerna hänsyn till en rad olika faktorer för att rangordna dina sökträffar. 

Till exempel vilka sökningar du har gjort tidigare, var du befinner dig geografiskt och vika sidor du har besökt. Använder du något av Googles alla andra program, till exempel Google Mail, Google Maps, Google Calender eller om du brukar kolla på videoklipp på Youtube, som ägs av Google, kan information därifrån också användas. 

Olof Sundin menar att det är främst din geografiska plats som är betydande för ditt sökresultat, men exakt hur algoritmerna för sökningar jobbar vet bara Google. 

– I övrigt finns en viss personalisering av sökresultaten men den är inte alls lika stor som i sociala medier. Exakt hur stor den är är svårt att säga och det är också svårt att säga hur stor den är i morgon. Personaliseringen har större betydelse i dag för skräddarsydd reklam. Men det är klart att det finns stora möjligheter att skruva på rattarna och öka den där personaliseringen, säger han.

 

Neutral algoritm – en omöjlighet

Olof Sundin tror inte att Google skulle öka personalisering för mycket – då frångår företaget nämligen en viktigt faktor vid sök. Nämligen den att ju fler sök som görs på något desto högre ska det rankas. 

– Vid en fullständig personalisering av sökresultaten så minskar ju den här popularitetsaspekten i relevansbedömningen, säger han. 

Sök måste bygga på vissa premisser.

 

 

Tanken om att en sökmotor borde vara helt neutral eller objektiv går emot hela syftet med en sökmotor enligt Olof Sundin.

– Algoritmer går inte att undvika och det finns ingen neutral algoritm. Även om Google försöker att framställa det så. Idén om att det skulle finnas är feltänkt från början. Sök måste bygga på vissa premisser, säger han. 

Utan en viss personalisering och framför allt utan en algoritm som tar fram de svar som bäst överensstämmer med det som sökmotorn bedömer vara relevant för dig, skulle du alltså ägna timmar varje dag åt att tröska igenom länkar för att få svar på en enkel fråga. Lättillgängligheten som kännetecknar internet skulle försvinna. De resultat vi får genom en till viss grad personaliserad sökning behövs alltså för att vi ska ha möjlighet att hitta på internet. 

Skulle däremot personaliseringen av sökresultat öka inom sökmotorer och algoritmen ger oss sökresultat som enbart baseras på vårt beteende på internet, exempelvis vad vi läser, vilka vi följer i sociala medier, vad vi kommenterar, så kan en följd bli att vi inte tar del av åsikter eller information som ifrågasätter den egna synen utan att vi mest läser det som bekräftar den. Alltså det som en del medieforskare kallar för filterbubbla. 

Samtidigt använder inte Google information om dig bara för att förbättra din sökupplevelse – utan också för att tjäna pengar. Googles moderbolag Alphabet inc. har länge varit ett av världens absolut största företag sett till börsvärde. Märkligt kanske kan tyckas för ett företag som är känt för alla sina gratisprodukter. Eller inte. Den informationen om dig själv som du ger Google genom att använda företagets gratisprogram används för att sälja annonser. 

– Det är den stora inkomstkällan. Och i någon mån också att man säljer data till andra, säger Olof Sundin. 

Att vara medveten om allt detta, hur sökmotorer fungerar och hur de tjänar pengar, är en viktig del i det som kallas sökkritik.

 

 

 

Gör affär av beteendedata 

Gör du en sökning på en särskild produkt eller en resa så kommer det alltid länkar märkta med annons överst i rankingen av sökresultaten. Här spelar personaliseringen i dag den största rollen.

– Sen får man ju hoppas att den enskilda användaren kan skilja mellan det man kallar för organiskt sökresultat, det vill säga sånt som inte är betalat, och reklamfinansierat sökresultat. Men där tror jag det finns en svårighet hos många, säger Olof Sundin. 

Jan Nolin, professor och internetforskare vid högskolan i Borås, utvecklar hur Google tjänar pengar på uppgifterna om oss: 

– En aktör som Google är intresserad av beteendedata. Av den här beteendedatan så skapar de olika algoritmiska identiteter om alla sina olika användare. Det är väldigt precisa algoritmiska identiteter, helt enkelt bilder av vilka vi är. När ett företag sen undrar "vilka är de lämpliga kunderna för oss?", så kan Google berätta det, säger han. 

Den 25 maj 2018 trädde EU:s dataskyddsförordning, GDPR, i kraft med syftet att öka skyddet för hur våra personuppgifter hanteras. Förordningen innebär bland annat att alla har rätt att se vilken data ett företag har samlat in om en. Företagen måste få ett medgivande från besökaren för att hantera dennes personuppgifter och dessutom innehåller förordningen rätten att "bli glömd". Det innebär att en person kan begära att få sitt namn raderat från ett företags register eller från ett sökresultat på Google. När det gäller att få ett sökresultat raderat är det dock inte säkert att en person får sin begäran godkänd, det måste nämligen vara klarlagt att länken innehåller falsk eller felaktig information. 

 

 

 

Kostsamt att bryta mot GDPR

Bryter ett företag mot GDPR så kan det tvingas betala fyra procent av sin årsomsättning i böter. Google tillsammans med Facebook har redan anmälts för att ha brutit mot förordningen. Förutom risken för böter kan dataförordningen också innebära att fler besökare inte ger sitt medgivande till behandlingen av personuppgifter. 

Det finns stora anledningar att, om inte vara rädd, så åtminstone vara misstänksam och ställa krav på Google att agera och öka transparensen.

 

 

Vill man inte använda Google för sök så finns många andra alternativ. Bing, Yahoo och Duckduckgo är några av dem. Den sistnämnda har som affärsidé att skydda din personliga integritet och lagrar därför ingen information om dig. Olof Sundin menar att det är just informationslagringen som många kan tycka är obehaglig med Google, men det är samtidigt den som gör tjänsten så effektiv. 

– Duck duck go kan inte anpassa sig till dig som individ på samma sätt. För min del så förser Google mig med bättre sökresultat även om jag stöder den grundläggande idén om att inte spåra min data. Men här har du det här om vad du är beredd att offra i form av din personliga integritet, säger han. 

Olof Sundin menar dock att vi måste vara vaksamma på vilken information vi lämnar ut om oss själva. Att företag kan kartlägga oss och har uppgifter om vad vi gör på nätet, vilka vi är och till och med vad vi funderar på ibland kan aldrig bara vara bra. Särskilt inte när insynen och informationen om hur våra uppgifter hanteras är så bristfällig. Med den information som Google har om dig och vad du gör i företagets olika program och produkter kanske uttrycket "storebror ser dig" borde döpas om till "Google ser dig".

– Det finns stora anledningar att om inte vara rädd så åtminstone vara misstänksam och ställa krav på Google att agera och öka transparensen, säger Olof Sundin.

Så här gör du din sökning mer effektiv

Har du ibland svårt att hitta det du söker på nätet? Här är några konkreta tips på hur du blir mer effektiv i din sökning. 

• Använd enkla och specifika ord i din sökning. Använd alltså inte fullständiga meningar, utan i stället nyckelord för det du söker.
• Använd inga slang- eller dialektala uttryck, utan det språk som man kan förvänta sig finns på den sida där informationen du söker finns.
• Sök på exakt fras genom att sätta citationstecken runt din sökning. Till exempel, "Så gör du din sökning mer effektiv". Då får du upp webbsidor med samma fras och orden i samma ordning.
• Om du är intresserad av vad just en speciell sajt har skrivit om ett visst ämne så skriver du site: framför din sökning. Till exempel, site:aftonbladet.se kungahuset. Då får du alltså upp alla dokument som innehåller ordet kungahuset på Aftonbladets sajt.
• Är du ute efter en viss filtyp? Då skriver du bara filetype: efter dina sökord och lägger till antingen PPT, DOC, PDF eller XLS, beroende på om det är powerpoint, worddokument, pdf eller excel du letar efter. Alltså så här om du letar efter en pdf-fil, filetype:pdf.
• Uteslut ord i din sökning genom att skriva ett minustecken framför det ord du inte vill ska förekomma i sökresultatet. Till exempel, pajrecept -spenat. Då får du upp recept på paj som inte innehåller spenat.
• Letar du efter en webbsajt som liknar en annan webbsajt? Då skriver du bara related: följt av den webbadress du vill dina sökresultat ska påminna om.
• Om du är osäker på en fras eller ett fullständigt ordspråk, då kan du använda asterisktecknet *. Då vet sökmotorn att det är ett ord som du inte känner till och hjälper dig hitta det. Använd tillsammans med exakt fras för bästa resultat.
• Hittar du fortfarande inte det du letar efter? Tänk då på att Google kan ha rankat ditt sökresultat annorlunda mot vad du förväntat dig. Ofta kan det du är ute efter ha hamnat längre ned bland sökträffarna eller på en annan resultatsida. Många har dessutom sökinställningen på "allt". Genom att förfina din sökning utifrån vilka träffar du är ute efter så blir sökningen effektivare. Du kan till exempel filtrera fram dina sökresultat efter tid eller datum eller om du vet att det du söker finns på en blogg. 

Fler söktips finns på Googles webbplats 

 

 

 

 

 

 

https://youtu.be/PFTfwnk-xOw

 

 

Ta kontroll och bli medveten om vilka spår du lämnar

Känns det obehagligt att nätjättarna vet vad du gör på nätet? Då kanske det är dags att bli mer medveten om vilka spår du lämnar efter dig på nätet och hur du gör för att de ska få veta mindre om dig. Det finns inget självklart svar på hur man bäst förhåller sig till tredjepartskakor, Google och Facebook.

Hur just du vill balansera integritet och användarupplevelse mot varandra vet bara du, men det kan vara bra att vara medveten om för- och nackdelar. 

Expertens 4 tips för en data detox

Åke Nygren är projektledare på Stockholms stads digitala bibliotek, med fokus på digitalt självförsvar. Här ger han fyra tips till dig som vill göra en data detox och ta kontroll över din egen data.

Upptäck dina digitala fotspår 

Genom tjänsten Firefox lightbeam kan du se vilka kakor från sajter du besökt som finns lagrade på din dator. Du kan också ladda ner och upptäcka din samlade data från Facebook och Google.

Rensa bort din historik och radera appar du inte använder 

Rensa din sök, besöks- och platshistorik och radera appar du inte använder. Avsluta tillhörande konton. Rensa i din data genom att slänga onödiga bilder, avtagga dig från uppdateringar.

Lås in och sätt gränser för behörigheter

Gå igenom kontoinställningarna och begränsa behörigheter, till exempel åtkomst till kontakter, bilder eller platshistorik. Blockera tredjepartskakor, de används av företag för att följa vilka sidor du besöker på nätet. Installera också ett webbläsartillägg som skyddar dig från spårare, det vill säga företag och andra kommersiella aktörer som vill kartlägga hur du surfar, ett exempel på webbläsartillägg är Private badger. Du kan också välja en webbläsare som motverkar spårning, till exempel Firefox eller TOR. Det finns risk att din användarupplevelse påverkas vid någon av åtgärderna men då kan du lätt häva blockeringen.

Starta om ditt digitala jag

Ha koll på mobilens grundinställningar, stäng av wifi, bluetooth och platstjänster när du inte behöver använda tjänsterna. Då kan de inte samla in data om dig. Upptäck också alternativ till Googles tjänster. Välj krypterade appar som inte överför din data till någon annan och vars innehåll ingen annan kan ta del av.

Lär dig mer.

Nyttiga länkar för dig som vill veta mer:

Myshadow.org  . Här får du också konkreta tips och guidning i hur du tar kontroll över din data.

Datadetox.se  . Drivs av Stockholms stads digitala bibliotek. Där kan du också ladda ner ett eget Data detox kit. 

Dataskydd.net  . En svensk organisation som verkar för ett ökat skydd för den personliga integriteten på nätet. Här kan du läsa om vilka rättigheter du har till din egen data och vilka lagar alla måste följa. 

https://internetkunskap.se/artiklar/kallkritik/sa-styr-algoritmerna-dig/

Så styr algoritmerna vad som visas på sociala medier

 

 

 

 

 

 

Beredskap för företag

https://www.msb.se/sv/amnesomraden/krisberedskap--civilt-forsvar/beredskap-for-foretag/

Med förberedda företag blir Sveriges beredskap starkare. För att samhället ska fungera vid fredstida kriser, höjd beredskap eller krig är företagens förmåga att bedriva sin verksamhet, eller ställa om den till produktion av varor och tjänster som efterfrågas, av yttersta vikt.

Cybersäkerhetskollen 2024 lanserad

 

https://www.msb.se/sv/aktuellt/nyheter/2024/april/cybersakerhetskollen-2024-lanserad/

 

si vis pacem, para iustitiam

interrobangit

☼

 

 

 

 

 

 

 

 

 

http://interrobangit.bloggplatsen.se/presentation

 

http://interrobangit.bloggplatsen.se/2024/04/27/11817408/

http://interrobangit.bloggplatsen.se/2024/04/21/11817099/

http://interrobangit.bloggplatsen.se/2024/04/20/11817030/

http://interrobangit.bloggplatsen.se/2024/04/14/11816691/

http://interrobangit.bloggplatsen.se/2024/04/13/11816630/

http://interrobangit.bloggplatsen.se/2024/04/07/11816298/

http://interrobangit.bloggplatsen.se/2024/04/06/11816229/

http://interrobangit.bloggplatsen.se/2024/03/31/11815835/

 

http://interrobangit.bloggplatsen.se/2024/03/30/11815777/

http://interrobangit.bloggplatsen.se/2024/03/24/11815431/

http://interrobangit.bloggplatsen.se/2024/03/23/11815377/

http://interrobangit.bloggplatsen.se/2024/03/17/11815023/

http://interrobangit.bloggplatsen.se/2024/03/16/11814964/

http://interrobangit.bloggplatsen.se/2024/03/10/11814616/

http://interrobangit.bloggplatsen.se/2024/03/09/11814550/

http://interrobangit.bloggplatsen.se/2024/03/03/11814215/

 

http://interrobangit.bloggplatsen.se/2024/03/02/11812481/

http://interrobangit.bloggplatsen.se/2024/02/25/11812482/

http://interrobangit.bloggplatsen.se/2024/02/24/11812483/

http://interrobangit.bloggplatsen.se/2024/02/18/11812484/

http://interrobangit.bloggplatsen.se/2024/02/17/11812485/

http://interrobangit.bloggplatsen.se/2024/02/11/11812486/

http://interrobangit.bloggplatsen.se/2024/02/10/11812487/

http://interrobangit.bloggplatsen.se/2024/02/04/11812488/

 

http://interrobangit.bloggplatsen.se/2024/02/03/11812471/

http://interrobangit.bloggplatsen.se/2024/01/28/11812472/

http://interrobangit.bloggplatsen.se/2024/01/27/11812473/

http://interrobangit.bloggplatsen.se/2024/01/21/11812474/

http://interrobangit.bloggplatsen.se/2024/01/20/11812475/

http://interrobangit.bloggplatsen.se/2024/01/14/11812476/

http://interrobangit.bloggplatsen.se/2024/01/13/11812477/

http://interrobangit.bloggplatsen.se/2024/01/07/11809673/

 

http://interrobangit.bloggplatsen.se/2023/12/31/11809080/

http://interrobangit.bloggplatsen.se/2023/12/24/11808436/

http://interrobangit.bloggplatsen.se/2023/12/17/11807843/

http://interrobangit.bloggplatsen.se/2023/12/10/11807032/

http://interrobangit.bloggplatsen.se/2023/12/03/11806437/

http://interrobangit.bloggplatsen.se/2023/11/26/11805948/

http://interrobangit.bloggplatsen.se/2023/11/19/11805462/

http://interrobangit.bloggplatsen.se/2023/11/12/11804748/

 

http://interrobangit.bloggplatsen.se/2023/11/05/11803843/

http://interrobangit.bloggplatsen.se/2023/10/29/11802910/

http://interrobangit.bloggplatsen.se/2023/10/22/11801623/

http://interrobangit.bloggplatsen.se/2023/10/15/11800702/

http://interrobangit.bloggplatsen.se/2023/10/08/11799349/

http://interrobangit.bloggplatsen.se/2023/10/01/11797103/

http://interrobangit.bloggplatsen.se/2023/09/24/11795905/

http://interrobangit.bloggplatsen.se/2023/09/17/11795095/

 

http://interrobangit.bloggplatsen.se/2023/09/10/11794600/

http://interrobangit.bloggplatsen.se/2023/09/03/11794088/

http://interrobangit.bloggplatsen.se/2023/08/27/11793398/ 

http://interrobangit.bloggplatsen.se/2023/08/20/11792985/

http://interrobangit.bloggplatsen.se/2023/08/13/11792494/

http://interrobangit.bloggplatsen.se/2023/08/06/11791981/

http://interrobangit.bloggplatsen.se/2023/07/30/11791456/

http://interrobangit.bloggplatsen.se/2023/07/23/11790886/

 

http://interrobangit.bloggplatsen.se/2023/07/16/11790435/

http://interrobangit.bloggplatsen.se/2023/07/09/11789982/

http://interrobangit.bloggplatsen.se/2023/07/02/11789494/

http://interrobangit.bloggplatsen.se/2023/06/25/11788958/

http://interrobangit.bloggplatsen.se/2023/06/18/11788358/

http://interrobangit.bloggplatsen.se/2023/06/11/11787767/

http://interrobangit.bloggplatsen.se/2023/06/04/11787315/

http://interrobangit.bloggplatsen.se/2023/05/28/11786823/

 

http://interrobangit.bloggplatsen.se/2023/05/21/11786357/

http://interrobangit.bloggplatsen.se/2023/05/14/11785856/

http://interrobangit.bloggplatsen.se/2023/05/07/11785348/

http://interrobangit.bloggplatsen.se/2023/04/30/11784837/

http://interrobangit.bloggplatsen.se/2023/04/23/11783864/

http://interrobangit.bloggplatsen.se/2023/04/16/11782994/

http://interrobangit.bloggplatsen.se/2023/04/09/11782445/

http://interrobangit.bloggplatsen.se/2023/04/02/11810271/

 

http://interrobangit.bloggplatsen.se/2023/03/26/11811111/

http://interrobangit.bloggplatsen.se/2023/03/19/11811112/

http://interrobangit.bloggplatsen.se/2023/03/12/11811113/

http://interrobangit.bloggplatsen.se/2023/03/05/11811114/

http://interrobangit.bloggplatsen.se/2023/02/26/11811115/

http://interrobangit.bloggplatsen.se/2023/02/19/11811116/

http://interrobangit.bloggplatsen.se/2023/02/12/11811117/

http://interrobangit.bloggplatsen.se/2023/02/05/11811118/

Nasjonalt cyberkrimsenter (NC3)

https://www.politiet.no/om-politiet/organisasjonen/sarorganene/kripos/kripos-hovedarbeidsomrader/nasjonalt-cyberkrimsenter/

NC3 er det nasjonale senteret for forebygging, avdekking og bekjempelse av trusler og kriminalitet i det digitale rom. Senteret utvikler metoder og gir bistand til politidistriktene samt etterforsker egne saker innen cyberkriminalitet.

 

 

 

 

 

https://www.ncsc.se/aktuellt/incidentkoordinering-rad-och-rekommendationer/

 

Incidentkoordinering, råd och rekommendationer

Nationellt cybersäkerhetscenter är en plattform för samverkan mellan myndigheter, privata och offentliga aktörer på cybersäkerhetsområdet. De senaste dagarnas händelser aktualiserar frågan kring ett av dessa samverkansområden, nämligen incidentkoordinering.

 

Natten mellan 19–20 januari skedde en uppmärksammad it-säkerhetsincident hos en it-leverantör. När en stor leverantör drabbas av den här typen av angrepp kan effekten bli stor då många verksamheter drabbas på samma gång. Det blir ett avbrott i den leverantörskedja som många är beroende av.

Vid den här typen av händelse är NCSC:s roll att samordna arbete mellan centermyndigheterna samt andra berörda aktörer. Inom ramen för centret finns särskilda arbetsgrupper och informationsrutiner upprättade som syftar till att skyndsamt besvara informationsbehov, koordinera kontakter samt ge råd och stöd till drabbade organisationer. Så har också skett med anledning av den senaste tidens händelser.

Vid ett cyberangrepp väljer angriparna metod utifrån motiv och drivkrafter. En av dessa metoder är utpressningsangrepp.

 

https://www.cert.se/tema/ransomware/

Råd och rekommendationer

• Arbeta systematiskt med cybersäkerhet. Det är viktigt att ständigt bevaka och regelbundet uppdatera sina system. Ju bättre man känner sin egen it-miljö, desto lättare kan man upptäcka avvikelser, som kan vara tecken på skadlig aktivitet.
• Uppdatera system. Det är viktigt att laga de säkerhetsbrister och sårbarheter som rapporteras av olika leverantörer. Genomför säkerhetsuppdateringar och undersöka era system efter indikationer på intrång. Detta gäller såväl nya som äldre sårbarheter, då även de kan vara föremål för utnyttjande. 
• Kontinuitetsplanering och plan B. Det gäller också att ha planering för vad man gör i en situation när system ligger nere, oavsett bakomliggande orsak.
• Kontaktvägar till leverantörer. En annan viktig förberedande åtgärd är att se till att ha aktuella kontaktvägar till de leverantörer som kan behöva involveras i en incidenthantering. Gärna också till verksamheter i den digitala leveranskedjan för att underlätta informationsflödet om ett avbrott inträffar.

 

 

 

 

 

Läs mer om rekommenderade säkerhetsåtgärder

• NCSC, Nationellt cybersäkerhetscenter: 11 rekommenderade säkerhetsåtgärder.
• CERT-SE, Sveriges nationella funktion för förebyggande och hantering av it-incidenter, publicerar löpande om kritiska sårbarheter på cert.se. CERT-SE finns även tillgängliga dygnet runt vid inträffad it-incident på telefonnummer 010-240 40 40.
• MSB, Myndigheten för samhällsskydd och beredskap: Systematiskt informationssäkerhetsarbete.
• MSB Rådgivningstjänst kring systematiskt säkerhetsarbete. 
• Läs mer om vad myndigheterna inom NCSC övergripande arbetar med inom cybersäkerhetsområdet.

 

 

 

 

 

 

https://www.ncsc.se/aktuellt/ncsc-cyberkonferens-om-incidenthantering-2023/

Filmat material från NCSC konferens om incidenthantering 2023

Den 5 december samlades ca 400 personer i centrala Stockholm för att prata incidenthantering utifrån ett helhetsperspektiv. Nu finns möjlighet att återuppleva flera av föredragen igen här på NCSC webbplats.

 

Ambitionen med 2023 års konferens var att samla flera perspektiv på incidenthantering i ett och samma program för att öka den allmänna medvetenheten om riskerna och vad vi kan göra för att ska minimera skadorna av en attack.

Bland deltagarna fanns bland annat representanter från regeringskansliet, myndigheter, kommuner, regioner, IT-konsultbolag, finans-, energi- och telekomsektorn.

Det fanns också gott om tid till erfarenhetsutbyte och nätverkande. Inte minst med centrets ingående myndigheter som fanns med som utställare under konferensen, vilket var mycket uppskattat. Stort tack till alla som var med och bidrog till en bra dag!

 

 

 

 

 

 

Från cybersäkerhet till business resiliens – hur samhällsviktiga funktioner kan stärka sin motståndskraft mot cyberattacker

Den ständigt växande attackytan gör oss mer utsatta och istället för att endast bygga fler, tjockare och högre murar behöver vi investera i en bredd av åtgärder. SEB, Handelsbanken och Swedbank berättar om hur man kan öka sin motståndskraft mot cyberhot genom att förstärka förmågor över hela säkerhets- och resiliens området. Den tekniska utvecklingen erbjuder många effektiva lösningar men vi måste också fokusera på människan som är den viktigaste pusselbiten i ett starkt cyberförsvar.

Talare: Sam Graflund Wallentin, Swedbank; Christine Dovander, SEB; Fredrik Malmström, Handelsbanken

https://www.ncsc.se/aktuellt/ncsc-cyberkonferens-om-incidenthantering-2023/

 

 

 

 

 

 

Cyber Pearl Harbor, digital bombs & binary bullets - myt vs. empirisk verklighet

Det finns många sätt att försöka översätta internets komplexitet till lättbegriplig information. Detta har inte minst gällt kommunikation om cyberkrigföring. Men hur väl stämmer dessa beskrivningar med den empiriska verkligheten? Och vad kan konsekvenserna bli av att vår situationsförståelse formas av metaforer? Detta är frågor som kommer att tas upp i denna föreläsning.

Talare: Dr. Sarah Backman, Försvarshögskolan

https://www.ncsc.se/aktuellt/ncsc-cyberkonferens-om-incidenthantering-2023/

 

 

 

 

 

 

När cyberattacken kom - insikter och lärdomar från ett allvarligt dataintrång

I slutet av november 2022 drabbades Norrköpings kommun av en allvarlig cyberattack som hotade kommunens hela IT-miljö. Två professionella hacker-grupperingar tog sig in, kommunen gick upp i stabsläge och vidtog drastiska åtgärder för att ta sig ur krisen. Niklas Ohrmér berättar hur kommunen lyckades avvärja hotet genom modiga beslut, agilt krisarbete, en kultur och ett ledarskap som höll i en krissituation. Ta del av vad kommunen lärt sig och vilket åtgärdspaket som togs fram för att ytterligare förstärka skydd, reaktionsförmåga och resiliens.

Talare: Niklas Ohrmér, Norrköpings kommun

https://www.ncsc.se/aktuellt/ncsc-cyberkonferens-om-incidenthantering-2023/

 

 

 

 

 

 

Cyber Defense Reinvented: Ukraine’s Battle-Proven Framework for Resilient Cybersecurity

In a world beset by daily adversaries and ruthless cyberattacks, organizations often

lack the resources and expertise to respond effectively. Join Yegor Aushev and Ole Dubnov, architects of Ukraine’s Cyber Defence, as they unveils Ukraine’s battle-tested incident response framework which aims to rapidly enhance cyber resilience for all organizations, regardless of their resources. Discover the power of true cyber resilience through effective interoperability, engaging the entire organization in the incident response process.

Talare: Yegor Aushev (remotely from Kyiv) and Ole Dubnov, Cyber Unit Technologies

https://www.ncsc.se/aktuellt/ncsc-cyberkonferens-om-incidenthantering-2023/

 

 

 

 

 

 

https://www.ncsc.se/aktuellt/fran-kartlaggning-till-angrepp/

Från kartläggning till angrepp

Hur går det till när en hotaktör planerar och genomför ett angrepp i cyberdomänen? Vilka metoder används och vilka typer av hotaktörer finns? Det är några av de frågor som diskuteras i NCSC senaste studioprogram där vi bland annat tittar närmare på det som brukar kallas Cyber Kill Chain - en modell för att just beskriva hur ett cyberangrepp går till.

 

Kill chain är från början ett militärt begrepp som stegvis beskriver strukturen i en attack. Modellen utvecklades sedan av företaget Lockheed Martin till att också innefatta cyberområdet.

Fredrik Börjesson från Must berättar också mer om cyberhoten, aktörerna och om några av de metoder som används vid ett cyberangrepp.

Läs mer om sårbarheter, hotaktörer och rekommenderade säkerhetsåtgärder i NCSC rapporter.

Läs mer om Lockheed Martins Cyber Kill Chain på deras webbsida.

 

 

 

 

 

 

https://www.ncsc.se/om-centret/cybersakerhet-inom-ncsc/

Cybersäkerhet ur olika infallsvinklar

Nationellt cybersäkerhetscenter är en plattform för samverkan mellan myndigheter på cybersäkerhetsområdet. Syftet är att stärka befintlig samverkan för effektivare resultat. Nationellt cybersäkerhetscenter är också en plattform för samverkan och informationsutbyte mellan privata och offentliga aktörer inom cybersäkerhetsområdet.

 

Försvarsmakten, Försvarets radioanstalt, Myndigheten för Samhällsskydd och beredskap och Säkerhetspolisen har fått i uppdrag av regeringen att fördjupa samverkan inom cybersäkerhetsområdet genom NCSC. Myndigheterna ska ha nära samverkan med Försvarets materielverk, Polismyndigheten och Post- och telestyrelsen som ska ges möjlighet att medverka i cybercentrets verksamhet.

 

De myndigheter som utgör NCSC arbetar med cybersäkerhet med delvis olika metoder, infallsvinklar och målgrupper. Här nedan hittar du kort information och länkar till en del av det som respektive myndighet bidrar med inom ramen för NCSC.

 

 

 

 

 

 

Försvarsmakten

Försvarsmaktens cyberförsvar är en integrerad del i det militära försvaret och utgör en militärstrategisk resurs som dimensioneras för att möta angrepp från de mest kvalificerade aktörerna.

Cyberförsvaret har förmåga att genomföra offensiva och defensiva cyberoperationer samt att upptäcka, identifiera och avvärja hot mot digitala informationssystem och elektroniska kommunikationstjänster.

Försvarsmakten har en ledande roll i Sveriges cyberförsvar och ansvarar för Sveriges offensiva cyberförsvarsförmåga. Samarbetet med andra myndigheter, internationella samverkanspartner och civila aktörer är väsentligt för att kunna hantera den komplexa operationsmiljön och dess höga grad av uppkoppling.

Läs mer om Försvarsmaktens cyberförsvar

 

 

 

 

 

 

Försvarets radioanstalt (FRA)

FRA arbetar med signalspaning och cyberförsvar. FRA är en civil myndighet under Försvarsdepartementet.

FRA bidrar till att skydda Sverige och svenska intressen. Det sker genom att ge uppdragsgivare underrättelser om utländska förhållanden av betydelse för svensk utrikes-, säkerhets- och försvarspolitik. Det sker också genom arbete med Sveriges cyberförsvar och genom skydd av de mest samhällsviktiga informationssystemen.

Läs mer om FRA:s arbete med cyberförsvar

Läs mer om FRA:s verksamhetsområden och uppdragsgivare

Myndigheten för samhällsskydd och beredskap (MSB)

MSB:s uppdrag inom området cyber- och informationssäkerhet är att analysera och bedöma omvärldsutvecklingen, vara regelgivande inom området, lämna råd och stöd i förebyggande arbete till andra statliga myndigheter, kommuner, regioner, företag och organisationer.

Inom myndigheten finns Sveriges nationella CSIRT – som omvärldsbevakar, sprider råd och fakta om sårbarheter i IT-system – och servar IT-funkioner i samhället att förebygga och hantera IT-incidenter i ett allriskperspektiv. MSB tar emot, sammanställer och analyserar inrapporterade IT-incidenter och utvecklar tjänster till samhället.

Läs mer om MSBs arbete med informations- och cybersäkerhet.

Läs mer om CERT-SE.

 

 

 

 

 

 

Säkerhetspolisen

Cyberförmåga och möjlighet att verka i den digitala miljön är avgörande inom Säkerhetspolisens samtliga verksamhetsområden. Effekterna av ett cyberangrepp kan få stora konsekvenser för samhällsviktiga funktioner och kritiska it-system, och de direkta och indirekta kostnaderna för cyberangrepp beräknas till miljardbelopp.

För Säkerhetspolisen handlar det om att upprätthålla en hög cyberförmåga för att möta dagens hotaktörer. Detta gör vi internt, och i nära samverkan med en rad andra myndigheter, inte minst inom ramen för NCSC.

Säkerhetspolisen arbetar även med frågor kopplade till informationssäkerhet inom ramen för säkerhetsskyddslagstiftningen. Informationssäkerhet ska förebygga att säkerhetsskyddsklassificerade uppgifter obehörigen röjs, ändras, görs otillgängliga eller förstörs. Informationssäkerhet ska också förebygga annan skadlig inverkan på uppgifter och informationssystem som gäller säkerhetskänslig verksamhet. Kopplat till säkerhetsskyddslagstiftningen ger Säkerhetspolisen ut vägledningar till verksamhetsutövare, bland annat om informationssäkerhet.

https://sakerhetspolisen.se/verksamheten/cybersakerhet.html

https://sakerhetspolisen.se/verksamheten/sakerhetsskydd/sakerhetsskyddsatgarder/informationssakerhet.html

https://sakerhetspolisen.se/verksamheten/sakerhetsskydd/vagledningar-sakerhetsskydd.html

 

 

 

 

 

 

The National Cyber Security Centre

https://www.ncsc.gov.uk/

NATO

(Cognitive Warfare)

https://www.act.nato.int/activities/cognitive-warfare/

Designed to modify perceptions of reality, whole-of-society manipulation has become a new norm, with human cognition shaping to be a critical realm of warfare.

 

Cognitive Warfare focuses on attacking and degrading rationality, which can lead to exploitation of vulnerabilities and systemic weakening. However, this becomes increasingly complex as non-military targets are involved. An example: Russian social media and public information operations targeted much of the international community in an attempt to label Ukraine as being at fault. Through a combination of communication technologies, fake news stories, and perceptions manipulation, Russia aims to influence public opinion, as well as decay public trust towards open information sources. These narratives have extensive reach, and often involve both offensive and defensive posturing.

China, as a strategic competitor for NATO, describes Cognitive Warfare as the use of public opinion, psychological operations, and legal influence to achieve victory. Combat psychology has significant impact on the warfighter’s ability to function; Intelligent Psychological Monitoring System, a recent smart sensor bracelets developed by China, focuses on recording facial information, emotional changes, and psychological states of soldiers to determine their combat status. Outside of the battlefield, influence can also affect law, rule-of-order, and civil constructs. This inclusion of “Lawfare” and the targeting of broader community sentiment has significant impact, since so many civilians and non-combatants are potentially exposed.

Allied Command Transformation manages the Cognitive Warfare Exploratory Concept, which is part of the larger Warfare Development Agenda. Synchronization of adversarial effects against emotional and subconscious domains are increasing; understanding frameworks, definitions, impacts, and risks enables better political decision making, military capability development, and overall Alliance-wide security. Allied Command Transformation educates, collaborates, protects, and shapes NATO forces on the topic of Cognitive Warfare, providing guidance on awareness, civil-military cooperation, societal resilience, and data sharing for the Alliance’s current and future security considerations.

Cognitive Warfare: Strengthening and Defending the Mind

https://www.act.nato.int/article/cognitive-warfare-strengthening-and-defending-the-mind/

What does Cognitive Warfare really mean?

 

Cognitive, deriving from cognition, is the mental action or process of understanding, encompassing all aspects of intellectual function, including the sub-conscious and emotional aspects that drive a majority of human decision-making. Warfare, as the “experience” of war, originally referred to common activities and characteristics of armed conflict between states, governments, or entities. In the modern landscape, there is less clarity on stakeholders, as varying degrees of organizational, cultural, and social involvement are becoming more commonplace, as well as proxy extension of national interest.

Together, these two words paint a definition of Cognitive Warfare: the activities conducted in synchronization with other instruments of power, to affect attitudes and behaviours by influencing, protecting, and/or disrupting individual and group cognitions to gain an advantage. These activities vary greatly, and may encompass supporting or conflicting cultural or personalized components – social psychology, Game Theory, and ethics are all contributing factors. However, activities of modern warfare do not necessarily carry a kinetic component or directly tangible outcomes, such as territorial or resource acquisition – as with other hybrid threats, our adversaries conduct Cognitive Warfare throughout the continuum of conflict, and aim to stay in the ‘Gray Zone’ below the threshold of armed conflict.

An ongoing example: Russia launched a kinetic, military invasion of Ukraine, reinforced with non-kinetic activities such as targeted propaganda, disinformation campaigns, and support from its partners. Some of these non-kinetic, Cognitive Warfare activities are obvious and direct: receivers of Russian aligned disinformation experience deterioration in their ability to identify fact from fiction, decaying their mental resilience, and with potential long-term impact, such as loss of trust in media.

Other instances are not as clear: China leverages official and party-aligned influence to manipulate and control their domestic information environment, which results in cognitive biases development. A secondary effect presents: other nation’s citizens also develop cognitive biases towards Chinese mainland citizens and their collective disconnect with external information, which produces two fundamentally opposed perceptions of reality. This form of “us vs. them” polarization can lead to increasing marginalization and exclusion of populations, as well as emotional exploitation, which contributes to China’s Cognitive Warfare strategy.

Cognitive Warfare integrates cyber, information, psychological, and social engineering capabilities. These activities, conducted in synchronization with other Instruments of Power, can affect attitudes and behaviour by influencing, protecting, or disrupting individual and group cognition to gain advantage over an adversary. Multidisciplinary experts at Allied Command Transformation are developing concepts aimed at protecting the Alliance against the threat of Cognitive Warfare – NATO will Educate, Collaborate, Protect, and Shape to equip nations to protect their core democratic values.

kognitiv krigføring

https://www.ffi.no/aktuelt/nyheter/kjemiske-stoffer-og-kognitiv-krigforing

https://www.ffi.no/aktuelt/podkaster/kort-forklart-hva-er-kognitiv-krigforing

https://www.ffi.no/aktuelt/nyheter/ny-ffi-rapport-avdekker-falske-nettaviser

https://www.ffi.no/aktuelt/kronikker/gjor-neppe-norge-mer-robust-mot-pavirkningsoperasjoner

NATO releases first ever quantum strategy

https://www.nato.int/cps/en/natohq/news_221601.htm?selectedLocale=en

Quantum technologies are getting closer to revolutionizing the world of innovation and can be game-changers for security, including modern warfare. Ensuring that the Alliance is ''quantum-ready'' is the aim of NATO’s first-ever quantum strategy that was approved by NATO Foreign Ministers on 28 November. On Wednesday (17 January 2024), NATO released a summary of the strategy.

Värt att veta om Nato

Sverige är nu med i Nato. Det är den största förändringen av Sveriges säkerhets- och försvarspolitik på 200 år – inte konstigt att många har frågor. Just därför har vi skapat den här sidan.

Här får du mer information om vad Nato är, vad medlemskapet innebär för Sverige och vad det innebär för dig.

Allt som är värt att veta om Nato.

https://www.msb.se/sv/vart-att-veta-om-nato/

Vad innebär Nato för mig?

https://nsm.no/aktuelt/risiko-2024-nasjonal-sikkerhet-er-et-felles-ansvar

Risiko 2024: Nasjonal sikkerhet er et felles ansvar

Norsk næringsliv spiller nå en større rolle for nasjonal sikkerhet. Slik verden er nå må norske virksomheter tenke sikkerhet i alt de gjør, fra ansettelser og anskaffelser til eierskifte, oppfordrer NSM i årets risikovurdering. 

Når truslene endrer seg, må vår forståelse av hvilke verdier som er viktige for oss og hvordan de skal beskyttes også gjøre det.

- Vi ser nå at bedrifter og personer som tidligere sjeldent har vært involvert i arbeidet med nasjonal sikkerhet blir sentrale, forteller NSM-direktør Lars Christian Aamodt, og nevner blant annet virksomheter innenfor petroleum- og kraftsektoren, elektronisk kommunikasjon og marinteknologi, datasenterbransjen, og forskning og utdanning.

Utviklingen viser at mindre bedrifter og virksomheter som er leverandører til større virksomheter blir mål. Spionasje, cyberoperasjoner, sikkerhetstruende oppkjøp, rekruttering av innsidere og påvirkningsoperasjoner er noen av virkemidlene som benyttes mot norske virksomheter, og som må forhindres, avdekkes og håndteres.

- Vi må forebygge før krisene oppstår. Vi bør bruke tiden fremover til å forberede oss enda bedre. Vi må være i stand til å takle det som måtte komme. Det krever bevissthet, prioritering av ressurser og fokus, understreker Aamodt.

Konsentrasjonsrisiko

Den samlede, nasjonale avhengigheten til land som utgjør en sikkerhetstrussel mot Norge, er en betydelig sårbarhet for nasjonale sikkerhetsinteresser. Norges avhengighetsforhold til Kina er en sårbarhet som kan utnyttes av kinesiske styresmakter, advarer NSM.

Både utenlandske oppkjøp og investeringer i norske selskap må i større grad ses i sammenheng med nasjonal sikkerhet. Det finnes en rekke eksempler på kinesiske oppkjøp og investeringer i utenlandske selskaper med kompetanse og teknologi som er av relevans for Kinas forsvarsmodernisering.

- Vi må ha større fokus på sikkerhetstruende økonomisk virkemiddelbruk. I noen tilfeller er det enklere å kjøpe seg inn i norske virksomheter fremfor å bryte seg inn, sier Aamodt.

Innsidere

Cybersikkerheten i Norge er inne i en god utvikling. Det gjelder særlig i de største virksomhetene. Systematisk og forebyggende sikkerhetsarbeid lønner seg, men ikke la dette bli en sovepute, oppfordrer Aamodt.

- Når en dør lukkes, forsøker trusselaktører å finne en annen. Verdien av en innsider øker. Det ble avslørt en rekke innsidere i flere vestlige land i 2022 og 2023. Det vil være naivt å tro at det ikke finnes innsidere i betrodde stillinger også her i Norge, sier Aamodt.

Den årlige risikovurderingen «Risiko» fra NSM skal gi norske virksomheter bedre forutsetninger til å se eget sikkerhetsarbeid i en større sammenheng. For 2024 anbefaler NSM norske virksomheter blant annet å beskytte seg bedre digitalt, og å tenke sikkerhet i ansettelser, anskaffelser og ved eierskapsskifter. I Risiko 2024 deler NSM konkrete råd og tiltak.

    Last ned rapporten: Risiko 2024

https://nsm.no/aktuelt/sikkerhetskonferansen-2024

Sikkerhetskonferansen 2024

 

https://www.personvernbloggen.no/2024/02/01/personverndagen-2024-oppsummert-kunstig-intelligens-moter-personvern/

 

Nylig gikk den 12. markeringen av den internasjonale personverndagen av stabelen i regi av Teknologirådet og Datatilsynet. Etter både fysisk og digitalt oppmøte å dømme, er årets tema brennhett.

2023 har vært et sammenhengende gjennombrudd for generativ kunstig intelligens, og «KI-generert» er årets nyord. Verktøyene er både artige og nyttige, men utfordrer også personvernet. Vi markerte dagen med et arrangement om tematikken, og løfter her frem noen høydepunkter fra dagen.

 

Hva skjedde i 2023?

Med Open AI ble generativ KI allemannseie og representerer denne generasjonens viktigste teknologigjennombrudd. Mange mener at hemmeligheten bak suksessen ligger i at modellen oppleves menneskelig når du bruker den. Det ligger dessuten stor variasjon av muligheter i store språkmodeller, fra å lage chatbots og programmeringskode til å skape kunst og oversette tekster, for å nevne noe.

Denne kraftige teknologien har også noen skyggesider knyttet til de enorme datamengdene modellen er trent på, slik som manglende åpenhet og potensial for misbruk av ondsinnede aktører. Som konsekvens krevde 1000 eksperter et midlertidig forbud, og idet italienske datatilsynet påla OpenAI om å stanse all behandling av data fra italienske brukere, kunne direktør i Datatilsynet, Line Coll, fortelle.

Av andre saker med stor betydning i 2023 trakk Line frem følgende:

• EU-U.S Data Privacy Framework: Et nytt avtaleverk som gjør det mulig å overføre personopplysning mellom EU og USA.   
• Meta-saken: Datatilsynet fattet et vedtak om at Metas behandling av personopplysninger for adferdsbasert markedsføring var ulovlig på Facebook og Instagram.
• Barns personvern neglisjeres: Amazon fikk bot for å lagre taledata gjennom Alexa og klokker som primært brukes av barn. TikTok fikk bot for ikke å ha godt nok personvern for mindreårige. I Norge har strømming av barneidrett vært en het potet.

 

Trender i 2024

Direktør i Teknologirådet, Tore Tennøe, gikk gjennom noen trender og forsøkte å se inn i personvernets umiddelbare fremtid. Det knyttes blant annet stor interesse til bruken av ansiktsgjenkjenningsteknologi i tiden fremover, som for eksempel under OL i Paris. Skal man kunne gjenkjenne ansikter, eller bare posisjoner og mistenkelige objekter? Diskusjonen aktualiserer etterretningsbehov mot retten til privatliv.

AI Act er nylig vedtatt, og blir et avgjørende rammeverk for utviklingen av KI fremover, også med hensyn til bruken av biometri, som i ansikts- og følelsesgjenkjenningsteknologi.

2024 markerer antakeligvis begynnelsen på slutten på den opprinnelige overvåkingsteknologien – informasjonskapselen. Google vil kutte det ut i sin nettleser Chrome i løpet av 2024.

Nysgjerrig på å se dypere inn i spåkula? Se opptaket! (link nederst i dette blogginnlegget).

 

Kan man trene språkmodeller med data fra nettet?

I utviklingen av Open AI ble det brukt enorme mengder data fra en stor variasjon av kilder. Selskapet er sparsomme med å fortelle hvor de har hentet data fra. Tore viste imidlertid en analyse av et snapshot som viste kilder som sosiale medier, nettsider, elektroniske bøker, et valgregister og personlige blogger. Både Google og Open AI har fått søksmål mot seg grunnet denne typen praksis.

Det sentrale i en personvernsammenheng er at man må ha et lovlig behandlingsgrunnlag for å kunne behandle personopplysninger. Vi diskuterte behandlingsgrunnlaget «berettiget interesse», og i hvilken grad dette kan brukes til å innhente data. Det er flere saker knyttet til dette i Europa nå.

Behandlingsgrunnlag er altså nøkkelen, også til andre modeller innen ulike domener som for eksempel finans, utdanning og helse. Dataene får stadig nye formål, og utfordrer eksempelvis både pasientenes og de ansattes rett til personvern. Her er det noen utfordringer. Skal man spørre om samtykke igjen? Hva gjør man med de som sier nei? Bør man heller anonymisere eller bruke syntetiske data?

 

Kunstig intelligens og personvern i den virkelige verden

Eivind Arntsen er advokat og leder av Juridisk ABC, en tjeneste basert på generativ KI som skal gjøre det enklere for arbeidsgivere å manøvrere riktig innenfor arbeidsrett. De ønsker å tilpasse tjenesten med å gi den tilgang til dommer og lovtekst, noe som utgjør deres primære utfordring. Juridisk ABC er for øvrig ett av fire prosjekter i Datatilsynets regulatoriske sandkasse våren 2024.

Umair M. Imam er sjef for data og KI i Ruter, og har erfaring med å bruke KI i et titalls prosjekter i Ruter. De bruker for eksempel generativ KI for å analysere klager. Brukere deler ofte data om seg selv i disse klagene, noe Ruter løser ved hjelp av en algoritme som «gjemmer» persondataene.

Julie Lødrup er førstesekretær i LO, og benyttet anledningen til å løfte frem prinsippet om arbeidstakeres rett til medbestemmelse. Den fungerer stort sett godt på alle felt i det norske arbeidslivet, unntatt ett: digitalisering. Hun mener dette skyldes at både arbeidsgivere og arbeidstakere anser teknologi generelt, og kanskje KI spesielt, som noe vanskelig og som kun angår teknologene. De som skal bruke teknologien bør involveres. Hun fremhevet også utfordringen med at teknologien som anskaffes ofte er laget i land med andre arbeidsmodeller som ikke er like opptatt av arbeideres rettigheter. Om programvaren har funksjonalitet som gjør det mulig å overvåke de ansatte, kan det være lett for arbeidsgiver å la seg friste.

 

Er politikken tilpasset terrenget?

På fjorårets personverndag ble en nasjonal personvernpolitikk diskutert, og i år fulgte vi opp med siste status i politikken. I løpet av sommeren 2024 skal en ny digitaliseringsstrategi og en ny personvernstrategi være ferdig, og de to skal henge tett sammen, fortalte statssekretær Gunn Karin Gjul (Ap). For å unngå at denne politikken ender opp med kun strategier og lite handling, ønsker Grunde Almeland (V) en mer demokratisk forankret stortingsmelding på temaet.   

En annen stor sak er KI-forordningen (AI Act), som vil treffe stortinget gjennom lovgivning. Gjul orienterte om at dette er EØS-relevant, og at myndighetene er i gang med dette arbeidet allerede. Det er ikke bestemt hvordan dette skal organiseres, og Digitaliserings- og forvaltningsdepartementet har gitt DFØ i oppdrag å utrede mulige organisatoriske systemer som algoritmetilsyn, overordnet tilsyn og rapporteringsordninger.

Avslutningsvis spurte Tore, på vegne av en venn, om det er greit å ha en KI-kjæreste. Panelet var enige om at det måtte være opp til den enkelte, men med ett premiss: at leverandøren av KI-kjæresten opererer innenfor loven. Og det skal vi hjelpe dem med, rundet Line av med. 

Se opptak av hele arrangementet på Datatilsynets nettsider.

 

 

 

 

 

 

https://nsm.no/aktuelt/oppdatering-av-stotteverktoy-for-ikt-sikkerhet

Oppdatering av støtteverktøy for IKT-sikkerhet

Ny nasjonal digitaliseringsstrategi

https://www.regjeringen.no/no/tema/statlig-forvaltning/it-politikk/ny-nasjonal-digitaliseringsstrategi/id2982892/

Regjeringa har starta arbeidet med ein ny nasjonal digitaliseringsstrategi. Strategien skal mellom anna stake ut kursen for vidare digitalisering av offentleg sektor, legge betre til rette for næringsretta digitalisering og ta opp viktige samfunnsspørsmål. Målet er sterkare samordning og utvikling av ein heilskapleg politikk som går på tvers av offentleg og privat sektor. Strategien skal etter planen vere klar i 2024.

Et dypdykk i juridiske spørsmål

Sammendrag:

 

Et tema av høy aktualitet, men som er viet beskjeden oppmerksomhet er eierskap til data, herunder hva dette eierskapet omfatter juridisk og når et eierskap inntreffer eller opphører. Tematikken spenner over flere rettsområder, og inneholder flere komplekse og til dels uløste problemstillinger. Samtidig er det viktig å understreke at rettskildebildet er i rask endring, grunnet en enda raskere teknologisk og politisk utvikling. Artikkelen er et forsøk på å samle de ulike trådene for å kunne gi en helhetlig fremstilling av hvordan eierskap i dag er regulert av en rekke ulike horisontale- og vertikale regelverk, samt gjennom avtale.

 

Nøkkelord: EU/EØS-rett, GDPR, data, eierskap, immaterialrett, avtaler

 

1. Innledning

Dataøkonomien i Norge i dag er beregnet å være verdt 150 milliarder kroner. Det er ventet at denne vil kunne dobles inn mot 2030, til 300 milliarder kroner.(1) Disse økonomiske gevinstene er ventet realisert gjennom økt innovasjon, samt bedre produkter og tjenester for alle borgere i EU. De forventede verdiene som dataøkonomien er ventet å ha, har gjort spørsmålet om eierskap til data et prioritert punkt på dagsordenen for EU, den enkelte stat, næringsdrivende og ikke minst forbrukere. Dette er noe av bakgrunnen for at EU lanserte en datastrategi i 2020 hvor det legges opp til en langt mer omfattende regulering av datadeling enn det som er tilfelle i dag. Målsettingen med denne datastrategien som består av en rekke reguleringer og tiltak er å gjøre det mulig for data å bevege seg fritt innen EU/EØS-­området, på tvers av sektorer.(2)

Artikkelen er et forsøk på å samle de ulike trådene for å kunne gi en helhetlig fremstilling av hvordan eierskap i dag er regulert av en rekke ulike horisontale- og vertikale regelverk, samt gjennom avtale.

I denne artikkelen vil jeg gi en kortfattet redegjørelse for de mest relevante europeiske og nasjonale reglene som regulerer eierskap til data i dag. I forlengelsen av dette vil jeg gå nærmere inn på de rettslige utgangspunktene knyttet til eierskap til data, hva dette eierskapet omfatter og når et eierskap inntreffer eller opphører. Tematikken spenner over flere rettsområder, og inneholder flere komplekse og til dels uløste problemstillinger. Samtidig er det viktig å understreke at rettskildebildet er i rask endring, grunnet en enda raskere teknologisk og politisk utvikling. Det avgrenses med andre ord mot reguleringer fra EU som ikke har tredd i kraft enda og utgjør en del av EUs datadelingsstrategi.

 

2. Eierskap til data gjennom lov

2.1 Rettskildebildet

Det eksisterer ingen allmenngyldig legaldefinisjon av uttrykket «data». Regjeringen har i en stortingsmelding definert data som «enhver fysisk representasjon av opplysninger, viten, meninger og lignende, og kan være både ustrukturerte og strukturerte. Data danner grunnlag for informasjon. Det er ikke alltid et tydelig skille mellom data og informasjon».(3) Denne vide forståelsen av uttrykket «data» bidrar til å gjøre rettskildebildet uoversiktlig, særlig i lys av at det ikke eksisterer en særskilt lov som regulerer rettighetene til data. Data kan likevel ha beskyttelse ved at det inngår i noe som har beskyttelse etter annen lovgivning. Dette er blant annet tilfelle i immaterialretten hvor data nyter vern etter åndsverkloven dersom det kommer til uttrykk i en tekst, et bilde eller en database, eller patentloven dersom det er en del av et patent eller forretningshemmelighetsloven dersom det inngår i en forretningshemmelighet. Person­opp­lysningsloven (GDPR), konkurranseloven og sikkerhetsloven regulerer også hvordan data kan brukes og deles, og evt. hvilke rettigheter man har i egenskap av å være eier av dataene.(4)

Et eierskap til data kan best beskrives som en rett til å besitte, bruke, kopiere, endre, og dele data med andre, med enkelte unntak og begrensninger. Eieren har som regel en eksklusiv rett til å gi eller nekte andre tilgang til dataene. Avhengig av hvorvidt eierskapet bygger på lov eller avtale vil det imidlertid kunne eksistere visse rettslige skranker for hvordan eieren kan forvalte dataene. Råderetten til en eier vil dermed bero på det konkrete rettslige grunnlaget for eierskapet.

 

2.2 Opphavsretten – eierskap til data

Det er flere regler i immaterialretten som gir rettigheter til data, samlinger av data eller oppfinnelser som bygger på data. Flere av disse reglene som gir rettigheter til data eller datasamlinger er nedfelt i åndsverkloven (åvl.), og kan få betydning for bruk og deling av data.(5)

Etter åndsverklovens bestemmelser er det i utgangspunktet opphaveren av frembringelsen som får vern. Åndsverkloven bruker ikke uttrykket «eier», men ettersom opphaveren i utgangspunktet råder som en eier, må det være nærliggende å kunne likestille disse begrepene. Dette utgangspunktet gjelder likevel ikke for mange av de frembringelsene som blir til i regi av arbeidsforhold, hvor det er avtalt at rettighetene tilfaller arbeidsgiver. Arbeidstakere som overdrar rettigheter, vil likevel ha enkelte rettigheter i behold etter lov om arbeidstakeroppfinnelser.(6) Arbeidstakere vil også være pålagt begrensninger knyttet til å dele informasjonen eller dataene, der dette kan forringe mulighetene for patentering eller utnyttelse av oppfinnelsen, jf. arbeidstakeroppfinnelsesloven § 6 annet ledd.

Data eller samlinger av data kan få opphavsrettslig vern etter åvl. § 2 annet ledd, forutsatt at innsamlingen og struktureringen av dataene eller databasen er uttrykk for en individuell, skapende innsats. Vernet innebærer at opphaveren gis enerett til å framstille eksemplarer av verket og gjøre det tilgjengelig for allmennheten. I praksis oppfyller de færreste datasett eller databaser kravet til verkshøyde i åvl. § 2. Mer vanlig er nok at data som fremstiller en tekst eller lydfil oppfyller kravet til verkshøyde i åvl. § 2, og at man snakker om eierskap i forlengelsen av dette.(7) Det aller vanligste er nok imidlertid eierskap og vern av databaser.

 

2.3 Eierskap til databaser

I likhet med vern etter åvl. § 2 må en opphavers vern for databaser etter åvl. § 24, som gjennomfører EUs databasedirektiv kunne likestilles med eierskap.(8) I databasedirektivets artikkel 1 defineres en database som «en samling av selvstendige verk, data eller annet materiale som er strukturert systematisk eller metodisk, og som er tilgjengelig individuelt ved bruk av elektroniske eller andre midler». En samling av industridata eller persondata vil således kunne utgjøre en database. Mens rettigheter i åndsverksloven normalt etableres ved at et selvstendig verk oppfyller kravet til verkshøyde, er databasevernet forbeholdt samlinger av data. Databasevernet gir med andre ord ikke vern for enkeltdata eller rådata som inngår i databasen, men databasen som en helhet.

I likhet med vern etter åvl. § 2 må en opphavers vern for databaser etter åvl. § 24, som gjennomfører EUs databasedirektiv kunne likestilles med eierskap.

Dersom vilkårene i åvl. § 24 første ledd er oppfylt, har opphaveren «enerett til å råde over hele eller vesentlige deler av databasens innhold ved uttrekk fra eller gjenbruk av databasen». Eneretten innebærer en rett til å forby andre å kopiere eller gjøre databasen, eller vesentlige deler av den, tilgjengelig for allmennheten. Lovens vilkår er at innsamling, kontroll eller presentasjon av innholdet i databasen innebærer en «vesentlig investering». Eneretten er ikke ubegrenset; opphaveren må akseptere en viss form for bruk av databasen, jf. åvl. §§ 41 fjerde ledd og 24 første og annet ledd. Eneretten berører ikke rettighetshavere til materiale i databasen, og får heller ikke betydning for regler som for eksempel regulerer behandlingen av persondata eller skjermingsverdig informasjon etter sikkerhetsloven. I den foreslåtte datastyringsforordningen, fremgår det at databasevernet ikke gjelder data som er frembrakt ved bruk av et produkt eller en relatert tjeneste, jf. Artikkel 35. Det er ikke avklart hvorvidt forordningen vil gjennomføres i norsk rett, men undertegnede antar dette som overveiende sannsynlig.

Eneretten etter åvl. § 24 omfatter også «gjentatt og systematisk uttrekk eller gjenbruk av uvesentlige deler» av databasen, dersom dette utgjør «handlinger som skader den normale bruken av databasen eller urimelig tilsidesetter fremstillerens legitime interesser», jf. § 24 annet ledd. Annet ledd begrenser mulighetene for uttrekk fra databasen som ikke er vernet etter første ledd, hvor intensjonen er å gjenskape hele eller vesentlige deler av databasen.

Kravet til vesentlige investeringer oppstiller en høy terskel og det oppstår derfor ofte tvil om hvorvidt vilkåret er oppfylt. Formålet med databasevernet er å verne om investeringene til sammenstillingen, herunder utgifter til innsamlingen, kontrollen eller presentasjonen. Dette betyr at investeringer knyttet til produksjon av data for eksempel ikke er vernet etter databasevernet. Spørsmål om samlinger av industridata er vernet etter databasevernet, må ta utgangspunkt i hvor store investeringer som har gått inn i databasen og hva disse investeringene er brukt til. I praksis kan dette by på en rekke utfordringer, særlig der data­basen er skapt sammen med andre.

Databasevernet er forbeholdt den som gjør den vesentlige investeringen, normalt et selskap. Dersom flere selskaper samarbeider om å investere i frembringelsen av en database, kan rettighetene til databasen oppstå i sameie mellom dem. Åndsverkloven inneholder ingen reguleringer av hvordan rettighetene til en database kan utnyttes i sameie, og det vanlige er at dette reguleres i en avtale. Det er videre verdt å merke seg at, i likhet med data vernet etter åvl. § 2, kan en kun få et databasevern for en database som en selveier enten ved frembringelse eller avtale. Adgangen til å avtale seg til eierskap, gir anledning til å overdra eierskapet til data eller en database som nyter vern etter åndverkloven. Et alternativ til overdragelse som ofte benyttes i praksis, er tildeling av en bruksrett (lisens eller frivillighetserklæring) til dataene.

I den foreslåtte datastyringsforordningen, fremgår det at databasevernet ikke gjelder data som er frembrakt ved bruk av et produkt eller en relatert tjeneste, jf. Artikkel 35.

 

2.4 Lisenser og frivillighetserklæringer

Den ikke-fungible karakteren som data innehar, kombinert med ofte uoversiktlige verdikjeder, kan gi utfordringer knyttet til å identifisere hvilke forpliktelser som medfølger dataene. Disse utfordringene løses i praksis ofte ved bruk av lisenser som angir hvilke forpliktelser og rettigheter som gjelder ved bruk av de aktuelle dataene. Lisensen som knyttes til dataene, er en avtale mellom datatilbyderen, og datakonsummenten. Lisensen regulerer eventuelle vilkår for bruken av dataene, som for eksempel at de kun skal brukes til forskning, eller at den som har fremstilt datasettet, skal krediteres. En lisens benyttes ofte der dataene er undergitt rettslige delingsbegrensninger i lov, for eksempel åndsverkloven, eller dersom bruken av dataene er begrenset av avtaler eller samtykke. Hensikten med dette er at datakonsummenten skal få en oversikt over hvilke betingelser som gjelder ved bruk av det aktuelle datasettet ved å lese lisensen.

Lisensmodellen innebærer på mange måter et større ansvar for datakonsummenten som nå, til enhver tid, har tilgang på informasjon om hvilke rettigheter og forpliktelser som følger dataene. En fordel ved denne formen for datadeling er at lisensen vil følge dataene, noe som betyr at en tredjepart som får dataene overdratt til seg, med eller uten samtykke, vil kunne enkelt se hvilke rettigheter og plikter som gjelder knyttet til de aktuelle dataene. Noe som vil redusere risikoen for rettsmangler ved bruk eller ulovlig overdragelser, sammenlignet med alminnelige avtaler, hvor avtalens innhold ofte ikke er synlig for en godtroende tredjepart. Det forutsettes at en aktør som laster ned data merket med en lisens, aksepterer lisensvilkårene ved nedlastning, forutsatt at vilkårene er lovlige. En lisens er med andre ord en avtaletype som kan gjøres gjeldende ovenfor en tredjepart.

I enkelte tilfeller benyttes en lisens til å gi avkall på eventuelle rettigheter til dataene. Dette gjøres som regel for å tilrettelegge for utstrakt deling og bruk. Det er ikke anledning til å fravike eller begrense krav eller begrensninger som følger av lov i en lisens. Det samme gjelder tredjeparters rettigheter til dataene.

En av de mest benyttede lisensene ved deling av data er Creative Commons Attribution 4.0 International (CC BY 4.0) Denne lisensen gir datakonsummenten rett til å kopiere og videredistribuere data, samt bearbeide disse for ethvert kommersielt eller ikke kommersielt formål, så lenge ufravikelig lovgivning ikke sperrer for det. Det medfølger også en plikt til å kreditere opphaveren.

Lisensmodellen innebærer på mange måter et større ansvar for datakonsummenten som nå, til enhver tid, har tilgang på informasjon om hvilke rettigheter og forpliktelser som følger dataene.

Det er vanlig å også bruke uttrykket lisens om erklæringer uten bruksbegrensninger. I litteraturen omtaler vi slike erklæringer som frigivelseserklæringer, såkalt Dedication to Public Domain på engelsk. De mest brukte frigivelseserklæringene er Public Domain Mark (PDM) og Creative Commons 0 (CC0). PDM brukes for å dokumentere at det ikke er noen kjente rettigheter tilknyttet dataene, mens CC0 brukes for å formidle at datatilbyderen gir avkall på alle eventuelle opphavsrettigheter, med unntak av de som er preseptoriske. Det kan fremstå rart at en datatilbyder fraskriver seg eventuelle rettigheter ved bruk av en lisens. Dette er derimot helt vanlig, ettersom en datatilbyder ofte har en egeninteresse i at flest mulig tar i bruk dataene som deles.

Dersom dataene ikke er knyttet til en lisens, kan det foreligge usikkerhet rundt hvilke rettigheter og eventuelle begrensninger som gjelder for dataene som deles. Bruk av lisens kan med andre ord gi en avklaring av den rettslige statusen og risikoen til dataene som deles. Det er flere fallgruver ved mangel på lisens eller valg av feil lisens, blant dem er at delingen vil kunne begrenses unødvendig, lisensen kan hindre kommersialisering eller videredistribusjon og at det foreligger uklarhet rundt eierskap.(9)

 

3. Eierskap til data gjennom avtale

3.1 Overordnet

Utenfor lovreglenes anvendelsesområde gjelder det alminnelig handle- og avtalefrihet. I dag er deling av data mellom private aktører langt mindre lovregulert enn deling av data fra det offentlige.(10) Det er enkelte regler som pålegger det private å dele data, slik som betalingstjenestedirektivet (PSD2), men dette tilhører unntakene.(11) Mellom private aktører er utgangspunktet avtalefrihet. Avtalefriheten omfatter som regel når data skal deles, på hvilke vilkår deling skal skje, eierskap til verdiskapning av dataene som deles og fordeling av eventuelt ansvar ved feil eller mangler ved de delte dataene. Avtaler som regulerer datadeling, kan med andre ord ha vidt forskjellige formål. Avtalefriheten begrenses av ufravikelig lovgivning og det er eksempelvis ikke adgang til å avtale seg vekk ifra reglene om behandling av personopplysninger, nasjonal sikkerhet eller konkurransereglene. På immaterialrettens område foreligger det et visst handlingsrom til å inngå avtaler som fraviker lovens utgangspunkt og overdra immaterielle rettigheter. Avtalelovens regler om ugyldighet gir rammene for hva som lovlig kan avtales.

Der to eller flere aktører inngår en avtale om deling av data, kan det være flere behov som ønskes regulert ved avtale. Enkelte aktører er opptatt av eiendomsretten til data som sådan, hvilket kan medføre utfordringer ved gjenbruk til nye eller endrede formål, mens andre er mer opptatt av tilgang til verdiskapning eller nye data som kommer som et resultat av delingen. Avtaleregulering av eierskap til data reiser flere rekke krevende juridiske spørsmål – særlig i verdikjeder hvor det er mange aktører og datakilder involvert. En datadelingsprosess består ofte av flere ledd som innsamling, sammenstilling, berikelse, lagring og analyser og trening av maskinlæringsalgoritmer basert på data. Det er dermed ikke uvanlig at det oppstår uenighet om eierskap til både de opprinnelige data, og de som skapes i en datadelingsprosess. De ulike eierinteressene, dersom de har blitt kommunisert til de øvrige avtalepartene, kan også være styrende for hvordan en eventuell avtale skal tolkes og forståes.

Den juridiske kompleksiteten ved avtaleregulering av datadeling antas å ha en avskrekkende effekt på aktører som ønsker å dele data. Uten avtale står imidlertid en datatilbyder uten mulighet til å beholde en viss grad av kontroll over dataene, og eventuelt gevinstene, ettersom verdien i de fleste tilfeller, først og fremst skapes hos mottakeren. Andre problemstillinger som kan aktualiseres, er forholdet til tredjeparter som ikke er bundet av en eventuell datadelingsavtale.

Dersom en aktør ønsker å tre inn i rollen som datatilbyder er vedkommende avhengig av å ha rettslig adgang til å dele dataene som ønskes delt. En slik adgang forutsetter at de aktuelle dataene ikke er underlagt noen negative avtalerettslige forpliktelser eller er omfattet av lovgivning som forbyr deling av selve dataene eller informasjonen som inngår i dem.

 

3.2 Eierskap gjennom besittelse

En av de mest brukte avtalene blant offentlige og private aktører i Norge på IT-feltet er Statens Standardavtaler (SSA). Grunnet det økte fokuset på data og verdiskapning knyttet til data, har DFØ som forvalter og vedlikeholder SSA inntatt bestemmelser i flere av de nyeste avtalene som regulerer data som kontraktsmessig gode. I SSA-L fra 2018 punkt 7.2 følger det at (forfatters understrekninger):

Ordlyden i punkt 7.2 første setning presiserer at dataene eies av kunden, uavhengig av hvorvidt de overføres eller tilgjengeliggjøres for avtaleparten. Mer interessant er nok kanskje andre setning som viser til at eiendomsretten omfatter også resultatet av Leverandørens behandling av dataene. Utgangspunktet i SSA-L er med andre ord at dataene og ethvert resultat av prosessering under avtalen vil tilfalle kunden. Avtalen inneholder ingen nærmere beskrivelse av hva et slikt «resultat» kan bestå i. Men en naturlig språklig forståelse tilsier en vid tolkning, hvor det også er naturlig å innfortolke data som er skapt ved kundens bruk av løsningen.

Det er viktig å merke seg at SSA og andre standardavtaler kan fravikes ved endringsbilag eller andre endringsmekanismer. Det er med andre ord anledning til å avtale seg vekk fra avtalenes utgangspunkt på dette området. Samtidig mener jeg at SSA-L avtalens ordlyd når det gjelder eierskap til data, gir uttrykk for et generelt avtalerettslig utgangspunkt når det gjelder eierskap til data. Dette utgangspunktet er at den som besitterdataene også er den som eier dataene, og at data som skapes basert på grunndataene, basert på eierens bruk skal tilfalle eieren. En slik tolkning harmonerer også med utgangspunktet i artikkel 35 i den foreslåtte datastyringsforordningen.(12)

I praksis kan det være utfordrende å anvende synspunktet om at besittelse tilsvarer eierskap overfor en tredjepart, med bakgrunn i at en avtale kun er bindende mellom avtalepartene. Særlig aktuelt er dette da data er en ikke-fungible ytelse, som mer eller mindre eksisterer i ubegrenset omfang, noe som betyr at det er ingen begrensninger som hindrer andre fra å skape eller innhente de samme dataene. Motsetningsvis, vil data hvor eierskap er ervervet ved lov, stå sterkere. Eksempelvis vil vernet data etter åndsverksloven innebære en enerettfor skaperen som begrenser andres adgang til å få vern for tilsvarende frembringelse.

Det kan også være andre aspekter ved dataene som legger begrensninger for råderetten og muligheten til å overdra dataene. Det skilles ofte mellom data om identifiserbare og ikke-identifiserbare personer («personopplysninger»), data beskyttet av immaterielle rettigheter eller andre eiendomsrettigheter, data underlagt hemmelighold eller taushetsplikt (forretningshemmeligheter, know-how, etc.) og for eksempel industri data. Hvordan dataene som ønskes delt kan kategoriseres vil også kunne være styrende for hvordan de aktuelle dataene kan forvaltes. Rekkevidden av eierens råderett vil med andre ord bero på hvilkedata som ønskes delt.

 

4. Regelverk som begrenser råderetten til eier

4.1 Data som inneholder personopplysninger

4.1.1 Innledning

EUs personvernforordning gir plikter til dem som behandler data som inneholder personopplysninger, samt rettigheter til de opplysningene angår.(13) Personvernforordningens artikkel 4 nr. 1 definerer personopplysninger som enhver opplysning som kan, direkte eller indirekte, knyttes til en fysisk person. Vernet av personopplysninger gitt i GDPR følger dataene dit de går, og ved overføring av personopplysninger utenfor EU/EØS-området må vernet av opplysninger være likt eller tilsvarende vernet de har innenfor EU/EØS.(14)

Når det gjelder deling og bruk av data, går det et viktig skille mellom data som inneholder personopplysninger, og data som ikke kan knyttes til enkeltpersoner. For datasett som inneholder både personopplysninger og andre opplysninger, vil GDPR kun gjelde for den delen som inneholder personopplysninger. Grensedragningen mellom personopplysninger og andre opplysninger er tidvis vanskelig. Vurderingen av hvorvidt opplysninger anses som personopplysninger beror på en konkret vurdering med bakgrunn i praksis fra EU-domstolen. Hvis personopplysningene og andre data er uløselig knyttet sammen, antar forfatteren at GDPR gjelder for hele datasettet. Dette må nok gjelde selv om personopplysningene kun utgjør en liten andel av datasettet. Noe annet ville innebåret en uthuling av den enkeltes rett til personvern.

Data som inneholder personopplysninger deles frivillig daglig. Medieaktører som Schibsted, NRK, plattformaktører og apper som Google, Facebook og Instagram, tilbyr gratis tjenester i bytte mot brukernes registrering og bruk av tjenestene. Samtidig innhenter nevnte aktører samtykke til bruk og deling av personopplysninger til formål som for eksempel markedsføring.

Dersom en datatilbyder ønsker å dele data som inneholder personopplysninger knyttet til borgere i EU-/EØS-området vil reglene i GDPR gi føringer for behandlingen av personopplysninger, herunder begrensninger knyttet til deling av data.(15)

 

4.1.2 Krav om behandlingsgrunnlag for å dele, motta og bruke personopplysninger

Dersom en eier skal kunne dele data som inneholder personopplysninger med en annen part, er det i utgangspunktet tre til fire krav som må være oppfylt etter personvernforordningen. For det første må den som behandler personopplysninger ha et lovlig «behandlingsgrunnlag», jf. GDPR artikkel 6 nr. 1. Et slikt behandlingsgrunnlag kan være et samtykke eller et rettslig grunnlag i nasjonal rett, jf. GDPR artikkel 6 nr. 1 bokstav a eller c. For det andre må det foreligge et ekstra behandlingsgrunnlag etter GDPR artikkel 9 nr. 2, dersom dataene som ønskes delt inneholder særlige kategorier av personopplysninger. For det tredje må datatilbyderen ha et behandlingsgrunnlag for å dele eller utlevere datasett som inneholder personopplysninger. Det fjerde og siste kravet er at mottakeren av et datasett ha et behandlingsgrunnlag til å motta data og behandle dem videre til et konkret, forhåndsangitt formål.

De store globale plattformene – Google, Facebook, Amazon – utvikler tjenester ved å samle inn data som inneholder personopplysninger om brukere, og ta de i bruk. Både lang fartstid og forretningsmodell, har resultert i at disse aktørene har akkumulert omfattende mengder data. Det eksisterer med andre ord ulikheter i behovet for å samle inn data fra andre aktører i datadelingsøkosystemet. De største aktørene trenger som oftest kun behandlingsgrunnlag for å ha/behandle dataene selv. Mens mindre aktører er mer avhengig av å dele data seg imellom, ettersom de ikke har tilgang på like omfattende datamengder. Dette konkurransefortrinnet for de store bidrar til å øke forskjellene ytterligere mellom store og små datadrevne virksomheter.

Det er i utgangspunktet ikke anledning til å gjøre unntak fra GDPR, bortsett fra på de områdene hvor forordningen selv spesifiserer dette. Dette betyr at det kan være andre bestemmelser i GDPR eller særlovgivning (med hjemmel i GDPR) som utvider eller innskrenker adgangen til å dele data. Et eksempel er artikkel 89 som gjør unntak fra kravet om behandlingsgrunnlag som oppstilles i artikkel 6 og 9.(16)

 

4.2 Begrensninger i konkurranselovens §§ 10 og 11

Konkurranseretten regulerer aktørenes opptreden i markedet for å sikre et velfungerende marked hvor forbrukerne får lavere priser, bedre utvalg og bedre produkter som følge av reell konkurranse mellom markedsaktørene. De mest aktuelle bestemmelsene i konkurranseloven knyttet til overføring av data, er forbudet mot konkurransebegrensende samarbeid i konkurranseloven § 10 og forbudet mot utilbørlig utnyttelse av dominerende markedsstilling i lovens § 11.(17)

Forbudet mot utilbørlig utnyttelse av dominerende markedsstilling har preget de europeiske diskusjonene om datadeling de siste årene. Bakgrunnen for dette er at et knippe større amerikanske aktører har fått tilgang på omfattende mengder data som gir store konkurransefortrinn. Disse dataene deles ikke med mindre aktører og har dermed en skadende effekt på konkurransen. Flere av de varslede reguleringene fra EU er en respons på denne utviklingen, og har som formål å stimulere til økt dataoverføring mellom selskaper og sikre økt tilgang til data særlig for små- og mellomstore virksomheter.

Ved overføring av data mellom virksomheter er det særlig grunn til å være oppmerksom på konkurranselovens § 10 om konkurransebegrensende samarbeid.

Ved overføring av data mellom virksomheter er det særlig grunn til å være oppmerksom på konkurranselovens § 10 om konkurransebegrensende samarbeid. Bestemmelsen inneholder et forbud mot enhver avtale eller beslutning mellom virksomheter som har til formål eller virkning å hindre, innskrenke eller vri konkurransen. Etter forbudet er det tilstrekkelig at virkningen av delingen av data skader konkurransen. Det er med andre ord ikke ansvarsbefriende, at virkningen ikke var en planlagt eller uttalt målsetning. Samtidig må det understrekes at mange former for datadeling er gunstig for konkurransen i markedet. Markedsaktører må dermed foreta konkrete vurderinger ved spørsmål om en eiers rett til deling begrenses av forbudet i lovens § 10.

EU-kommisjonens rapport «Competition Policy In The Digital Era» identifiserer særlig fire områder hvor deling av data kan få negative konkurransemessige konsekvenser. Det første område er sammenslutninger hvor data deles internt.(18) Slike samarbeid kan virke ekskluderende og heve terskelen for innpass i markedet for aktører som ikke er en del av sammenslutningen. Dersom et samarbeid fører til at andre aktører nektes tilgang til markedet, er det problematisk sett opp mot konkurranselovens § 10.

Det andre området som identifiseres som særlig utfordrende er deling av markedssensitive opplysninger, som prisinformasjon eller produksjonskapasitet. Deling av slike data mellom foretak, kan medføre pristilpasning eller annen samordning av opptreden som er skadelig for konkurransen og som rammes av konkurranselovens § 10.

Det tredje området som identifiseres som problematisk, er deling av data som kan resultere i at det er mindre attraktivt for tredjeparter å utvikle egne data og bruke disse. En slik utvikling vil kunne medføre at enkelte selskaper blir avhengige av data fra andre selskaper, og får svekket konkurranseevne over tid. Avtalevilkår som pålegger et selskap å lisensiere data fra et annet selskap eller sperrer for muligheter til å utvikle egne data og bruke disse, vil kunne komme konflikt med både konkurranselovens §§ 10 og 11.

Det fjerde og siste området som er utfordrende er hvordan sikre tilgang til data på en rettferdig, rimelig og ikke-diskriminerende måte. En datatilbyder risikerer å komme i konflikt med konkurranselovens §§ 10 eller 11, dersom de ikke er oppmerksom på kravet til likebehandling ved spørsmål om tilgang på data.

Konkurranselovens § 10 speiler et tilsvarende forbud i EØS-avtalens artikkel 53 og TEUV artikkel 101, mens § 11 speiler EØS-avtalens artikkel 54. Reglene gjelder med andre ord all overføring av data i EU-/EØS-området. I praksis innebærer reglene at markedsaktører som ønsker å dele data, må foreta en vurdering av hvorvidt den konkrete delingen rammes av konkurranseloven, for eksempel §§ 10 og 11. Dersom en overføring rammes av forbudet og det ikke foreligger et unntak som kommer til anvendelse, vil aktørene være nødt til å avstå fra å dele de aktuelle dataene, eller i enkelte tilfeller være pålagt å gjennomføre overføringen der dette er nødvendig for å overholde forbudet.

Konkurranseretten utgjør et vesentlig element i vurderingen av om data kan, og ikke minst bør deles. De fleste overføringer kan tilpasses slik at de ikke rammes av konkurranselovens forbud, men i enkelte tilfeller vil slike tilpassinger kunne medføre at overføringen også resulterer i en eller flere uønskede konsekvenser.

 

4.3 Data av nasjonal interesse etter sikkerhetsloven

Sikkerhetsloven har som formål å sikre nasjonale sikkerhetsinteresser og forebygge sikkerhetstruende virksomhet, jf. sikkerhetsloven § 1–1.(19) Loven gjelder for statlige, fylkeskommunale og kommunale organer, jf. § 1–2. Nasjonale sikkerhetsinteresser omfatter overordnede sikkerhetspolitiske interesser knyttet til blant annet de øverste statsorganers virksomhet, forsvar, sikkerhet og beredskap, forholdet til andre stater, økonomisk stabilitet, samfunnets grunnleggende funksjonalitet og befolkningens grunnleggende sikkerhet, jf. § 1–5. I forbindelse med deling av data kan det aktualiseres spørsmål om dataene som ønskes delt er beskyttet etter sikkerhetsloven. Dersom dette er tilfellet, kan bestemmelsene i sikkerhetsloven gi begrensninger for deling og bruk av dataene.

Etter sikkerhetsloven § 5–1 kan informasjon anses som skjermingsverdig «dersom det kan skade nasjonale sikkerhetsinteresser at informasjonen blir kjent for uvedkommende, går tapt, blir endret eller blir utilgjengelig». Begrepet «informasjon» skal forståes vidt i henhold til forarbeidene til sikkerhetsloven, og det er av underordnet betydning hvordan informasjonen er tilvirket og hvilken form informasjonen har.(20) Det er lite tvilsomt at data er omfattet av begrepet informasjon i sikkerhetsloven § 5–1.

Dette betyr at dersom det kan få skadefølger for nasjonale sikkerhetsinteresser at data eller informasjonen i dataene blir kjent for uvedkommende, må informasjonens konfidensialitet, integritet og tilgjengelighet beskyttes. Dette kan blant annet innebære at informasjonen skal sikkerhetsgraderes og at adgang til dataene vil kunne forutsette tilstrekkelig sikkerhetsklarering. Sikkerhetsloven kan med andre ord begrense en eiers adgang til å selge eller overføre data.

 

5. Avsluttende betraktninger

Kombinasjonen av horisontale- og vertikale regelverk, ufravikelige- og fravikelige regler og ulik praksis knyttet til hvordan data kan og bør reguleres i en avtale, gjør spørsmålet om eierskap til data utfordrende. De faktiske forholdene: verdikjeder med flere aktører, datakilder, algoritmer og ikke minst interesser bidrar til å øke denne kompleksiteten.

Basert på gjennomgangen i denne artikkelen, kan følgende tilnærming til spørsmål om datadeling oppstilles. For det første vil en eiers råderett til data bero på hvilke rettigheter og begrensninger som kan utledes fra gjeldende lovgivning. Den kan både være tale om horisontal lovgivning som gjelder på tvers av sektor og rettsområde, eller vertikal lovgivning som regulerer bestemte kategorier data, for eksempel helsedata. Begge typer lovgivning kan oppstille rettigheter og begrensninger knyttet til de aktuelle dataene. Utover begrensningene i eventuell lovgivning, vil partene stå fri til å avtale vilkår og betingelser for delingen og bruk av av de aktuelle dataene, såfremt disse er innenfor avtalerettens rammer.

Fokuset i denne artikkelen har vært å redegjøre for når et eierskap til data inntreffer eller opphører, og hva et slikt eierskap innebærer. Den fragmenterte rettstilstanden innebærer at svaret på disse spørsmålene vil bero på hvorvidt de aktuelle dataene er regulert i lovgivning og/eller avtale. Det er imidlertid viktig å understreke at selve kompleksiteten knyttet til datadeling, materialiserer seg først når data skal avtalereguleres. Det er særlige tre utfordringer som ofte oversees på kontraktsstadiet og som kan gjøre nevneverdig skade når de materialiserer seg.

For det første vil en datadelingsavtale kun oppstille rettigheter og plikter for avtalepartene. En datatilbyder vil dermed ikke kunne gjøre en datadelingsavtale gjeldende ovenfor tredjeparter. I praksis betyr det at en datatilbyder står uten mulighet til å kreve erstatning eller gjøre gjeldende andre misligholdsbeføyelser av en tredjepart som på uberettiget grunnlag, får tilgang til dataene eller misbruker dataene. Dette forutsetter naturligvis at datatilbyder ikke har rettigheter etter øvrige regelverk; åndsverkloven, lov om forretningshemmeligheter mv. Dette betyr at en datatilbyder bør sørge for å ha en mekanisme på plass, utenom datadelingsavtalen, som vil kunne beskytte dataene fra utnyttelse av en tredjepart. I praksis vil ofte kryptering kombinert med tilgangsnøkler benyttes der det er tale om viktige data.

For det andre kan fraværet av en rettslig legaldefinisjon medføre tolkningstvil, egne vidtrekkende tolkninger eller uenighet. Eksempelvis vil avtalepartene kunne ha vidt forskjellige definisjoner av uttrykkene «data» eller «eierskap». Noe som vil kunne resultere i en rekke uforutsette utfordringer eller utilsiktede konsekvenser. Datadelingsavtaler krever med andre ord presise angivelser av de forholdene som avtalen tar sikte på å regulere, i mangel av legaldefinisjoner og etablerte bransjedefinisjoner.

For det tredje må det utvises varsomhet knyttet til bruk av forbud eller restriktive klausuler i en datadelingsavtale, ettersom disse vil kunne etter sitt innhold utgjøre en begrensning på avtalens oppfyllelse.

Deling og bruk av data er ikke et fenomen begrenset til bestemte land, næringer eller sektorer. Videre kan det være vidt forskjellige behov og interesser som skal ivaretas og store forskjeller mellom de ulike verdikjedene, både når det gjelder datakilder og aktører. Det er derfor vanskelig å kommunisere gode juridiske råd som kan anvendes på tvers av næring eller sektor. Denne artikkelen er et ydmykt forsøk i den retning, men det må understrekes at det er stor bredde i hva som defineres som data, og det er dermed mange rettsregler som kan få betydning for både eierskap, deling og bruk av data. Reglenes fragmenterte karakter gir uklare kontaktflater og en grobunn for vanskelige og sammensatte rettsspørsmål. Dette kombinert med at det skal navigeres i EU-lovgivning, nasjonal lovgivning og kontrakter, bidrar til å øke den juridiske usikkerhet for den enkelte som skal vurdere hva de kan og ikke kan gjøre med data. I tillegg til denne usikkerheten, foreligger det en risiko for at en aktør deler data på en slik måte at de havner i ansvar – enten ved at delingen skjer på ulovlig vis eller ved at dataene inkriminerer datatilbyderen i et eller flere lovbrudd. Disse to forholdene i sum – juridisk usikkerhet og risiko – innebærer at det bør utvises en viss form for varsomhet ved deling av data og at slik deling ikke bør skje ukritisk.

 

https://lod.lovdata.no/article/2023/12/Et%20dypdykk%20i%20juridiske%20spørsmål