Såg precis en artikel i DN om att Datainspektionen ska granska övervakning via mobilen. Att spåra människor och beteenden i t.ex. köpcentrum är inget nytt, men när leverantören Bumbee Labs hävdar att det aktuella systemet kallat IOPS ”inte hanterar några personuppgifter utan att signalerna är helt avidentifierade” så blir jag lite nyfiken. Hur avidentifieras signalerna, frågar sig vän av ordning.

Det fina är att det tydligen finns en förening med namn DFRI som tidigare haft lite invändningar mot anonymiteten i IOPS, och att Bumbee Labs faktiskt svarat ganska utförligt på dessa invändningar.

Utdrag ur Bumbee Labs förklaring av anonymiteten i IOPS:

”Så fort en MAC adress dyker upp i IOPS Wi-Fi nätverket så krypteras den om till en så kallad HASH kod. Efter detta raderas den ursprungliga MAC adressen. Denna nya HASH kod kan aldrig återskapa den ursprungliga MAC adressen. Detta innebär att vi endast räknar passager av HASH koder och ingen kan någonsin återskapa den ursprungliga MAC adressen i våra system. Inte ens Polisen.”

Samt:

”Summan blir då att IOPS helt avidentifierat och anonymt räknar besök av HASH koder och dessa är helt tekniskt omöjligt FÖR OSS att koppla ihop med en fysisk person, något telefonnummer eller liknande. Vi får då helt anonym statistik, vilket också är syftet med IOPS.”

Jag har markerat en del med rött för jag tycker det är en lämplig färg. Argumentationen för anonymiteten i systemet bygger på användningen av en envägsfunktion och att MAC-adresser inte lagras i systemet, men detta håller inte. MAC-adressen är lätt att återskapa från hash-koden som lagras. Eftersom det finns en begränsad mängd möjliga MAC-adresser så är det inga större problem att gå igenom alla dessa om man är ute efter att härleda en specifik MAC-adress. Detta tar antagligen endast några sekunder med rätt utrustning.

(Exempel: Det finns i teorin 2^48 möjliga MAC-adresser, det är rätt många, närmare bestämt 281.474.976.710.656 stycken. Få av dessa är dock i bruk. Dagsnoteringen är att 20272 st 24-bitars OUI:s är officiellt registrerade⁹, vilket ger 2^24*20272=340.107.722.752 möjliga MAC-adresser i användning, motsvarande 0,12 % av det totala utrymmet. Endast en bråkdel används av mobiltillverkare, men samtidigt används även ej registrerade adresser i praktiken, så låt oss ändå för enkelhetens skull anta att just 340.107.722.752 st är i bruk (faktiskt antal spelar egentligen ingen större roll). Säg att vi är intresserade av en specifik hash-kod som lagrats i systemet, hur lång tid skulle det ta att räkna ut den MAC-adress som den hör till? Låt säga att någon (t.ex. Polisen som omnämns ovan) har tillgång till ett kraftfullt men helt normalt datorsystem (ex PC4 från http://hashcat.net/oclhashcat/) för knäckning av hash-koder, och säg att IOPS har använt en SHA1-hash. Då tar det som längst 11,34 sekunder och i snitt bara hälften av denna tid att räkna ut tillhörande MAC-adress. IOPS kan ha använt en långsammare hash-funktion och möjligen tillfört andra fix och trix (salt är dock inte användbart) som slöar ner beräkningarna, men det är irrelevant. MAC-adressen går att återskapa utan större besvär.)

Jag hoppas att Datainspektionen inte väljer se denna hash som en anonym identifierare på det sätt som Bumbee Labs hävdar, för det är den alltså inte. MAC-adresser lagras i praktiken i systemet även om de är förvrängda. Hur vida en MAC adress kan vara en personuppgift är dock en annan fråga, och det är detta som DI behöver fundera på. En parameter som kanske kan påverka denna bedömning är att MAC-adresser ingår som en komponent av IPv6-adresser, och att IP-adresser kan vara personuppgifter har Datainspektionen redan slagit fast. När användningen av IPv6 ökar och NAT minskar så kommer anonymiteten att radikalt försämras.

Hittade ett relaterat dokument om WiFi-åtkomstpunkter, ”Yttrande 13/2011 om geografiska lokaliseringstjänster på smarta mobila anordningar” från Arbetsgruppen för skydd av personuppgifter inom EU, med en del intressanta skrivningar:

”Smarta mobila anordningar är oskiljaktigt knutna till fysiska personer. Det finns normalt både direkt och indirekt identifierbarhet.” (s. 10)

”Alla smarta mobila anordningar har minst en unik identifierare, dvs. MAC-adressen. […] Det är möjligt att identifiera anordningens ägare, särskilt med upprepade iakttagelser.”  (s. 10)

”Enligt arbetsgruppens yttrande 4/2007 (WP 136) om begreppet personuppgifter bör mot ovanstående bakgrund även begreppet unik identifierare noteras, vilket gör det möjligt att spåra en användare av en specifik anordning och följaktligen kunna ”särskilja” användaren även om hans/hennes riktiga namn inte är känt.” (s. 10)

”EU:s rättsliga ram för användningen av geografiska lokaliseringsuppgifter från smarta mobila anordningar är främst direktivet om skydd av personuppgifter. Lokaliseringsuppgifter från smarta mobila anordningar är personuppgifter.” (s. 20)

”Balansen mellan den registeransvariges rättigheter och den registrerades rättigheter kräver att den registeransvarige erbjuder användarna rätten att enkelt och permanent välja bort att vara med i databasen (opt-out), utan krav på ytterligare personuppgifter.” (s.21)

”Om operativsystemets utvecklare och/eller den registeransvarige för infrastrukturer för geografisk lokalisering behandlar ett unikt nummer, som en MAC-adress eller en UDID i samband med lokaliseringsuppgifter, får det unika identifieringsnumret endast lagras i högst 24 timmar, för operativa ändamål.” (s. 21-22)

Skulle kännas mycket märkligt om inte DI också landar i att MAC-adresser kan vara personuppgifter, och det blir intressant att se vad konsekvensen blir av detta!

Tillagt 2015-01-28: Artikel om detta hos IDG. Bra kommentarer av Markus Bylund, SICS.