Lene E: Spion-data skal slettes efter et år


Publiceret d. 14. december 2007 kl. 11.26 | Antal kommentarer (12)


Annonce:
 
ANNONCE:
 
Justitsminister Lene Espersen (K) gør nu klart, at de oplysninger, som danske tele- og internetleverandører samler ind på grund af logningsbekendtgørelsen, skal slettes efter et år.

Det sker i svar på et paragraf 20 spørgsmål, som Line Barfoed (EL) har stillet ministeren 4. december.

Spørgsmålet blev oprindeligt taget op af Enhedslisten før valget, fordi justitsministeren i et svar til Computerworlds læsere forklarede, at logningsbekendtgørelsen ikke forholder sig til om tele- og internetleverandørerne må opbevare de loggede data længere end i et år.

Med onsdagens svar kaster ministen imidlertid lys over de uklarheder som svarene til Computerworlds læsere i første omgang skabte.

Når det nu er helt klart, at danskernes loggede data skal slettes efter et år, skyldes det, at udbydere af data- og teletjenester ifølge bekendtgørelse om udbud af elektroniske kommunikationsnet- og tjenester skal sikre "at trafikdata vedrørende abonnenter eller brugere slettes eller anonymiseres, når de ikke længere er nødvendige for fremføringen af kommunikationen," skriver Lene Espersen i svaret.

Imidlertid er det ligesom før logningsbekendtgørelsen trådte i kraft 15. september i år langt fra alt indsamlet data, som slettes efter et år. De data, som tele- og internetselskaber indsamler for at kunne debitere kunderne, kan nemlig gemmes længere af hensyn til bogføringen.

Derfor er det kun den data, som selskaberne alene logger i kraft af logningsbekendtgørelsen, som skal slettes efter et år, forklarer ministeren i svaret på Line Barfods paragraf 20 spørgsmål.

Line Barfods spørgsmål til ministeren:
"Vil ministeren tage initiativ til at fastsætte regler om, at IT-udbydere skal slette loggede oplysninger efter det år, som logningsbekendtgørelsen pålægger dem at gemme oplysninger, jf. ministerens svar til Computerworld.dk 12. oktober 2007 om, at der ikke findes sådanne regler?"

Hele Lene Espersens svar på spørgsmålet:
"Jeg har til den i spørgsmålet nævnte artikel i Computerworld bl.a. oplyst, at logningsbekendtgørelsen pålægger teleudbydere at opbevare en række oplysninger i et år til brug for efterforskning og retsforfølgning af strafbare forhold.

Logningsbekendtgørelsen forholder sig derimod ikke til, om teleselskaberne kan opbevare oplysningerne i længere tid.

Det følger imidlertid af § 33 i bekendtgørelse nr. 1031 af 12. oktober 2006 om udbud af elektroniske kommunikationsnet- og tjenester, at udbydere af offentlige elektroniske kommunikationsnet- og tjenester skal sikre, at trafikdata vedrørende abonnenter eller brugere slettes eller anonymiseres, når de ikke længere er nødvendige for fremføringen af kommunikationen.

Det fremgår dog samtidig af bestemmelsen, at det er tilladt for en udbyder at opbevare trafikdata til visse nærmere angivne formål, herunder bl.a. til debitering af abonnenter samt til opfyldelsen af de forpligtelser, der påhviler dem i medfør af logningsbekendtgørelsen.

Oplysninger, som teleudbydere alene registrerer og opbevarer med det formål at opfylde logningsforpligtelsen, vil således ikke kunne opbevares i mere end 1 år, jf. den 1-årige opbevaringspligt i logningsbekendtgørelsen.

Jeg finder på den baggrund ikke grundlag for at tage initiativ til at fastsætte regler som foreslået i spørgsmålet."



Alle artikler om:
Overvågning, Jura, Samfund


Kommentarer - Debatoversigt


Opfordring
12 indlæg

Jeg har et mindre mailhosting foretagende, har tænkt mig at opsætte et cronjob der mailer logfilerne til blondinen ( jm@jm.dk ), gpg krypteret en gang om dagen. Så har hun dem. Hvis der er nogen terrorister (eller andre med med hensigter der er værd at snage i) der bruger www.evigmail.dk kan hun altid bede mig dekryptere dem.

Brian Simonsen skrev: Hvis der er nogen terrorister (eller andre med med hensigter der er værd at snage i) der bruger www.evigmail.dk kan hun altid bede mig dekryptere dem.


Øh - en terrorist som bruger Evigmail - hvorfor i alverden skulle vedkommende dog gøre det? Hvad er det for en sikkerhedsmekanisme som skulle give lovgivningen problemer med Evigmail? Brugen af GPG?

Det primære sikkerhedsproblem er personhenførbarheden - ikke indholdskryptering.

Brian Simonsen skrev:Jeg har et mindre mailhosting foretagende, har tænkt mig at opsætte et cronjob der mailer logfilerne til blondinen ( jm@jm.dk ), gpg krypteret en gang om dagen. Så har hun dem.


Med mindre du gør andet end at kryptere, så er det en overtrædelse af gældende lovgivning. Og iøvrigt også af Evigmails egen policy, som vist også generelt bør under en kynddig vurdering.


Hvem Taler om indholdskryptering? Hvis logfilerne (der indeholder oplysningerne til personhenførbarhed) til enhver tid skal kunne afleveres, kan hun jo lige så godt få dem, i krypteret form, med det samme, Så placeres omkostningerne til opbevarring af dem hos hende.


Stephan Engberg skrev:
Med mindre du gør andet end at kryptere, så er det en overtrædelse af gældende lovgivning. Og iøvrigt også af Evigmails egen policy, som vist også generelt bør under en kynddig vurdering.


PS: Holdningen på evigmail er MEGET klar, selvom teksten måske ikke er det. hvis du har lyst til at lave en kyndig vurdering er du meget velkommmen til at hjælpe mig med at formulere en slutbrugeraftale der understreger at beskyttelse af brugernes oplysninger er det vigtigste hos evigmail, jeg kan sgu' ikke selv holde mig vågen længe nok når jeg forsøger at formulere noget der minder om juristisk sprogbrug (hvis der er noget der hedder det).


Brian Simonsen skrev:
PS: Holdningen på evigmail er MEGET klar, selvom teksten måske ikke er det. hvis du har lyst til at lave en kyndig vurdering er du meget velkommmen til at hjælpe mig med at formulere en slutbrugeraftale der understreger at beskyttelse af brugernes oplysninger er det vigtigste hos evigmail, jeg kan sgu' ikke selv holde mig vågen længe nok når jeg forsøger at formulere noget der minder om juristisk sprogbrug (hvis der er noget der hedder det).


Nu er det ikke 100% klart hvad du mener med kryptering - jeg går ud fra at der kun er tale om indholdskryptering.

Min pointe var først og fremmest at slutbrugeraftalen kun er nødvendig fordi designet gør det nødvendigt.

Man bør nok undlade at misbruge den principielle diskution til at markedsføre et produkt/service som mere end det kan leve op til.

Aftalen siger
"Vi videregiver under ingen omstændigheder brugeres oplysninger eller e-mail adresser til nogen."

Og her sidder du skriftligt og siger at du påtænker at sende det hele til Justitsministiet hver dag.

Fortjener det ikke en nærmere forklaring?


Stephan Engberg skrev:
Nu er det ikke 100% klart hvad du mener med kryptering - jeg går ud fra at der kun er tale om indholdskryptering.

Min pointe var først og fremmest at slutbrugeraftalen kun er nødvendig fordi designet gør det nødvendigt.

Man bør nok undlade at misbruge den principielle diskution til at markedsføre et produkt/service som mere end det kan leve op til.

Aftalen siger
"Vi videregiver under ingen omstændigheder brugeres oplysninger eller e-mail adresser til nogen."

Og her sidder du skriftligt og siger at du påtænker at sende det hele til Justitsministiet hver dag.

Fortjener det ikke en nærmere forklaring?


Pga. Logningsbekendtgørelsen er evigmail jo nødt til opbevare logfilerne, og udlevere dem til myndighederne, hvis disse forlanger det. Af den grund bør formuleringen "under ingen omstændigheder"jo nok ændres.

Ang. Krypteringsdisskusionen: Hvis logfilerne opbevares hos tredjepart, krypteret med en nøgle kun evigmail er indehaver af, er de jo ikke udleveret før nøglen er udleveret. Til gengæld slipper vi for udgifterne til at opbevare logfiler et år tilbage. Denne opbevaring er ikke den store byrde for evigmail, men for andre, knap så teknologi-tunge (f. eks hoteller, kroer o. a.), foretagender ved jeg at dene opbevaring har været kilde til både besvær og udgifter. Derfor min oprindelige opfordring


Brian Simonsen skrev:
Ang. Krypteringsdisskusionen: Hvis logfilerne opbevares hos tredjepart, krypteret med en nøgle kun evigmail er indehaver af, er de jo ikke udleveret før nøglen er udleveret. Til gengæld slipper vi for udgifterne til at opbevare logfiler et år tilbage. Denne opbevaring er ikke den store byrde for evigmail, men for andre, knap så teknologi-tunge (f. eks hoteller, kroer o. a.), foretagender ved jeg at dene opbevaring har været kilde til både besvær og udgifter. Derfor min oprindelige opfordring


Fint nok at synliggøre omkostningen og flytte den til kilden. Og modellen har elemeneter som er bedre end at logfilerne ligger spredt over det hele.

Problemet er at sikkerhedsmodellen ikke er gennemtænkt.
Hvilke lov giver myndighedern ret til at kræve logfilerne udleveret? Udlevering af nøglen giver ikke kun adgang til data på dem som man "legitimt" eftersøger.

Vi kunne sagtens "forbedre" modellen, men det ændrer ikke ved grundproblemet - at selve lovgrundlaget er uigennemtænkt.


Stephan Engberg skrev:
Fint nok at synliggøre omkostningen og flytte den til kilden. Og modellen har elemeneter som er bedre end at logfilerne ligger spredt over det hele.

Problemet er at sikkerhedsmodellen ikke er gennemtænkt.
Hvilke lov giver myndighedern ret til at kræve logfilerne udleveret? Udlevering af nøglen giver ikke kun adgang til data på dem som man "legitimt" eftersøger.

Vi kunne sagtens "forbedre" modellen, men det ændrer ikke ved grundproblemet - at selve lovgrundlaget er uigennemtænkt.


At lovgrundlaget er uigennemtænkt (og for den sags skyld også nyttesløs) er jeg fuldstændig enig i.

Nu har jeg ingen anelse om hvordan logfiler rent praktisk. skulle overdrages til myndighederne hvis de stillede med en kendelse. Jeg kan dog ikke forestille mig at teleudbyderen får lov til at bestemme hvilke dele af logfilen der skal overleveres (myndighed: "udlever logfiler for person X's trafik!"). Hvis logfilerne skal kunne bruges til noget, enten som efterforskningsmateriale, eller som bevis, vil det da være meningsløst at udlevere andet end de fulde logfiler. I den sammenhæng gør det jo ingen forskel om myndighederne dekrypterer materiale de har i forvejen, eller om de kræver dette materiale udleveret efter behov.

Hvor logfilerne end opbevares er logningbekendtgørelsen ikke bevendt til andet at forøge bureaukratiet for en masse mennesker og svække rettighederne for flere.


Hvordan makværket skal fungere i praksis er der vist ingen som kan svare på. Det fungerer alligevel ikke.

Men du skriver

Brian Simonsen skrev:
Jeg kan dog ikke forestille mig at teleudbyderen får lov til at bestemme hvilke dele af logfilen der skal overleveres (myndighed: "udlever logfiler for person X's trafik!"). Hvis logfilerne skal kunne bruges til noget, enten som efterforskningsmateriale, eller som bevis, vil det da være meningsløst at udlevere andet end de fulde logfiler.


Din antagelse her holder slet ikke

For det første er det hamrende ulovligt at udlevere data på borgere, hvor der ikke foreligger en dommerkendelse.

At man ikke kan stole på at det ikke sker alligevel ændrer ikke på at man sikkert vil statuere et eksempel på et tidspunkt blot med det formål at opretholde påstanden om at der er nogen former for retssikkerhed tilbage.


For det andet overser du at man i dag søger på personer historisk. Din model vil ende med at udlevere alt altid.


Stephan Engberg skrev:
For det andet overser du at man i dag søger på personer historisk. Din model vil ende med at udlevere alt altid.


Det kommer jo an på hvordan logfilerne krypteres.

Jeg vil slutte af med at konkludere at jeg, via vore lille diskussion her, er blevet forvirret på et lidt højere plan ang. ideen (eller manglen på samme) bag logningsbekendtgørelsen.


Brian Simonsen skrev:
[...] har tænkt mig at opsætte et cronjob der mailer logfilerne til blondinen [Lene Espersen red.][...]


Der tror jeg du kommer i problemer, jeg kan ikke se andet end at det er chikane af en politiker i embedsfunktion. Det svarer til at samle alle sine reklamer og regninger sammen, og smide dem i haven hos det postbud der har afleveret dem hos dig!

Brian Simonsen skrev:
[...] Hvis logfilerne (der indeholder oplysningerne til personhenførbarhed) til enhver tid skal kunne afleveres, kan hun jo lige så godt få dem, i krypteret form, med det samme, Så placeres omkostningerne til opbevarring af dem hos hende.


Korrekt, MEN jeg tror du har lidt af en problem den dag PET står for din dør og kræver logfilerne udleveret, og du så siger, øøøøøh de ligger i "blondinens" private mailboks... det er hende i skal snakke med. For hun er IKKE forpligtiget til at beholde alt det pis du spammer hende med, og selv om hun så skulle have en lille mappe der hedder EvigMail, i sin Thunderbird, så kan jeg ingenlunde se hvilken lov der skulle forpligtige hende til at udlevere det.


Brian Simonsen skrev:
Pga. Logningsbekendtgørelsen er evigmail jo nødt til opbevare logfilerne, og udlevere dem til myndighederne, hvis disse forlanger det.


Webmail udbydere er ikke omfattet af logningsbekendtgørelsen, medmindre de samtidig tilbyder internetadgang til slutkunder (eksempel: TDCs webmail er omfattet, men kun fordi TDC sælger internetforbindelser).


Kommentér
Titel:

Ytringer på debatten er afsenders eget ansvar - læs debatreglerne

Forsiden lige nu

Det danske cyberforsvar skal ikke kun afvise hacker-angreb. Vi skal også selv kunne angribe over internettet, lyder det fra forsvarsminister Nick Hækkerup (S).
25. maj 2012 kl. 09.00 | læs »

Chefen for Hewlett-Packards netværksdivision kører såkaldte software defined networks i stilling som nøglen til hurtig cloud-udrulning.
25. maj 2012 kl. 09.30 | læs »

Danmarks bedste e-handelsfirma er blevet kåret.
25. maj 2012 kl. 08.43 | læs »

En særlig teknologi er taget i brug i landets fængsler for at opspore fangernes ulovlige mobiler.
24. maj 2012 kl. 12.20 | læs »





 
White papers
Se hvordan de mest professionelle IT organisationer bruger SolarWinds Orion til at overvåge og...

Vil du vide hvorfor mere end 40% af danske kommuner bruger SolarWinds til at overvåge,...

Den teknologiske udvikling står aldrig stille. Det betyder ofte, at virksomheder løbende vælger...

 


Mest læste seneste uge

Kan gratis sikkerhedssoftware virkelig beskytte din pc? Svaret er ja, hvis du vælger det rette produkt. Læs her en test af de mest pålidelige gratis sikkerhedsprogrammer.

Næsten 200 IBM-ansatte får med få timers varsel sidste arbejdsdag i dag. Ingen var orienteret forud for dagens massefyring, som effektueres øjeblikkeligt.

Flyselskabet SAS har brugt op mod trekvart milliarder kroner og seks år på at udskifte sit bookingsystem. Undervejs har der været flere projekt-udfordringer, som kulminerede en vinternat med en big bang-migrering.

To danske it-studerende har udviklet et program, der kan suge kundernes CPR-numre ud af teleselskaberne.

Her er forklaringen på, at IBM Danmark med direktør Lars Mikkelgaard-Jensen i spidsen fyrer 170 medarbejdere.