Datatilsynet ut mot myndighetenes smitteapp – varsler pålegg
Datatilsynet har varslet Folkehelseinstituttet (FHI) om vedtak om pålegg knyttet til appen Smittestopp. Appen er lastet ned av 1,5 millioner nordmenn. – Dette endres umiddelbart, svarer FHI.
Datatilsynet skriver i en pressemelding:
«I behandlingsprotokollen er formålet med Smittestopp angitt som "digital smittesporing". Dette mener Datatilsynet ikke er presist nok.»
– Appen har i realiteten flere formål slik som oppsporing og varsling om covid-19-smitte, overvåking av befolkningens bevegelser, analysearbeid og forskning. Dette skal fremgå av en protokoll, sier direktør Bjørn Erik Thon.
FHI vedgår at protokollen må justeres.
– Vi presiserer at appens to formål gjennomgående er kommunisert i all kommunikasjon rundt appen, både i personvernerklæringen, konsekvensvurderingen for personvern (DPIA), nyhetssaker og tekster på nett, i intervjuer og pressekonferanser. Appens to formål er også nedfelt i forskrift. Det at dette er formulert for overordnet i behandlingsprotokollen skal vi selvfølgelig endre umiddelbart, sier fungerende assisterende direktør Gun Peggy Knudsen ved FHI.
FHI trosset ekspertgruppen da de lanserte Smittestopp-appen
FHI har ikke sendt over alle dokumentene
Videre i pressemeldingen skriver Datatilsynet:
«Når det gjelder risiko- og sårbarhetsanalysen (ROS-analysen), mangler det vurderinger for sentrale deler av løsningen: befolkningsvarsling ved covid-19-smitte, anonymisering av personopplysninger og analysearbeid. Formålet med en slik analyse er å få frem risikoen ved en teknisk løsning, slik at man kan iverksette risikoreduserende tiltak. Først når risikoen er kjent, kan man ta stilling til om løsningen og en eventuell restrisiko er akseptabel.»
– Folkehelseinstituttet har ikke dokumentert at disse nødvendige vurderingene av sentrale deler av løsningen er gjort før Smittestopp ble anskaffet og gjort tilgjengelig for befolkningen, sier Bjørn Erik Thon.
Til dette svarer Folkehelseinstituttet:
– Risiko- og sårbarhetsanalyser for varslings- og sporingsdelen var på plass før valideringsperioden startet i de tre kommunene hvor appen har vært testet ut til smittesporing. Dokumentene har ikke vært oversendt Datatilsynet ennå fordi vi ønsket å ha et samlet dokument på plass etter at den trinnvise innføringen i kommunene var på plass, men vi oversender disse risiko- og sårbarhetsanalysene nå, og vil oversende endelig dokumentasjon som inkluderer analyse og anonymisering innen fristen, sier Gun Peggy Knudsen.
Bedyrer at personvern vektlegges
Både før og etter lanseringen av appen har flere kritisert den ut fra personvernhensyn. Til dette sier FHI:
– Vi har prioritert arbeidet med personvern og sikkerhet svært høyt under utviklingen og valideringen av appen som nå foregår i tre kommuner, og vil være svært nøye med å følge opp både pålegg, spørsmål og kommentarer fra Datatilsynet, sier fungerende assisterende direktør Gun Peggy Knudsen i Folkehelseinstituttet.
