Log ind
Publiceret d. 8. oktober 2009 kl. 09.15
| 
Stephan Engberg skrev:
Dobbelt suk
frederik kortbæk skrev:
Ikke så pessimistisk. Op med humøret, Stephan. Min erfaring fortæller mig, at tingene ganske vist aldrig bliver så gode, som man kan håbe, men heller ikke så slemme, som man kan frygte. Og er livet ikke meget bedre at leve som optimist ? :)
Stephan Engberg skrev:
Det er andres rettigheder, risici og økonomi, du omgås så let.
Erfaringerne siger os klart at de sidste 15-20 år har været en lang glidebane mod det rene overvågnings- og magtmisbrug bistået af et desideret inkompetent Datatilsyn som intet har gjort for at leve op til deres ansvar.
Det har ikke en brik at gøre med humør - men at processerne klart ikke fungerer. Det er utilstedeligt at man kan stille sig op og agere så lalleglad og inkompetent som Datatilsynet gør her og generelt har gjort på det seneste.
Datatilsynet forsøger at genoprette deres smadrede image ved at tage småsager op, mens hele deres ansvarsområde bryder sammen om ørene på dem.
Hvor er f.eks. Datatilsynet når systematiske og grove overgreb som "Adgang til Data" eller de mange afledte overgreb iværksættes?
http://www.e.gov.dk/ (...)
Stephan Engberg skrev:
Der er intet provokerende ved at sige at Datatilsynet systematisk har svigtet og fortsat svigter sin opgave. Det er en direkte og uforbeholden kritik om forvaltningssvigt.
Som det er i dag er det min opfattelse at borgernes rettigheder ville være bedre tjent med en nedlæggelse af Datatilsynet og overflytning af opgaven til domstolene - det er ikke en god løsning, men det kan ikke blive værre og jeg ser ingen former for tegn på "små skridt".
Datatilsynet har f.eks. dokumenteret deres svigt indenfor Digital Forvaltning, hvor der stort set er solgt ud på alle hylder uden så meget som et principielt pip fra Datatilsynet. Senest med striben af desideret inkompetente afgørelser på biometri-området, godkendelse af Dokumentboks og da de stak hovedet i jorden og ikke blankt afviste Nemid som er det rene overgreb - frygten for at få skåret budgetterne er ikke legitim grund for at misforvalte sit ansvar.
Proportionalitetsprincippet, notificering af overgreb og afpresningssamtykke misbruges nærmest systematisk som sureaugatesikkerhed og pseudolegitimering uden nogen form for dokumentation af at man har overholdt f.eks. Pgf. 5, stk 3 og stk 5. i Persondataloven og slet ikke det grundliggende og bindende EU-Direktiv
https://www.retsinformation.dk/ (...)
Der er simpelthen behov for en grundliggende reform af håndtering af hele sikkerhedsområdet - startende med Datatilsynet.
Så nej, jeg provokerer ikke, det opgav jeg for flere år siden - jeg konstaterer og undres over at nogen kan "rose Datatilsynets aktive og konstruktive tilgang til privacy".
Ingen har respekt for Datatilsynets afgørelse for alle ved at de godkender hvad som helst. De pippede lidt for et par år siden om det åbenlyst uforsvarlige ved Borger.dk og Sundhed.dk, men så blev de skåret i budgetterne og siden har ingen hørt noget sagligt fra den kant - det er blankogodkendelser på samlebånd iblandet lidt kancellisprog for i det mindste at fremstå som om man varetager en opgave.
Problemet er bedst dokumenteret ved måden Datatilsynet velvilligt lod sig misbruge af VTU til at forsøge at legitimere NemId med tilbagevirkende kraft. Svaret er et kunststykke i bureaukratisk ansvarsforflygtigelse som undlod at tage ansvaar for godkendelse men samtidig lod VTU påstår at NemId på nogen måde er "godkendt".
frederik kortbæk skrev:
Jeg forholdt mig helt konkret til Lene Andersens blogindlæg, som jeg går ud fra at du har læst.
frederik kortbæk skrev:
Jeg vælger at se fremad og det er min vurdering at der på sigt vil blive strammet op på lovgivningen i forskellige henseender.
Stephan Engberg skrev:
Lovgivningen er god nok - det er forvaltningen, den er helt gal med.
frederik kortbæk skrev:
Den eneste måde du kan ændre forvaltningen på,hvis det er det du mener er nødvendigt, er at præcisere lovgivningen. Det gælder også i forhold til domspraksis, hvis administrationen skulle ligge dér.
Stephan Engberg skrev:
Uddrag af af EU Direktivet som Datatilsynet tydeligvis ikke har læst:
(46) Whereas the protection of the rights and freedoms of data subjects with regard to the processing of personal data requires that appropriate technical and organizational measures be taken, both at the time of the design of the processing system and at the time of the processing itself, particularly in order to maintain security and thereby to prevent any unauthorized processing; whereas it is incumbent on the Member States to ensure that controllers comply with these measures; whereas these measures must ensure an appropriate level of security, taking into account the state of the art and the costs of their implementation in relation to the risks inherent in the processing and the nature of the data to be protected;
Stephan Engberg skrev:
Uddrag af af EU Direktivet som Datatilsynet tydeligvis ikke har læst:
(46) Whereas the protection of the rights and freedoms of data subjects with regard to the processing of personal data requires that appropriate technical and organizational measures be taken, both at the time of the design of the processing system and at the time of the processing itself, particularly in order to maintain security and thereby to prevent any unauthorized processing; whereas it is incumbent on the Member States to ensure that controllers comply with these measures; whereas these measures must ensure an appropriate level of security, taking into account the state of the art and the costs of their implementation in relation to the risks inherent in the processing and the nature of the data to be protected;
frederik kortbæk skrev:
Jeg er bekendt med, at du og andre henviser til denne bemærkning. Men at tage udgangspunkt i det teknologiske stade er selvfølgelig en helgardering fra lovgivers side, men efter min mening alt for diffus og ikke tilstrækkelig til at sikre en ordentlig retsbeskyttelse. Hvad er det teknologiske stade ??
Lov om behandling af personoplysninger:
§ 5. Oplysninger skal behandles i overensstemmelse med god databehandlingsskik.
Stk. 3. Oplysninger, som behandles, skal være relevante og tilstrækkelige og ikke omfatte mere, end hvad der kræves til opfyldelse af de formål, hvortil oplysningerne indsamles, og de formål, hvortil oplysningerne senere behandles.
Stk. 5. Indsamlede oplysninger må ikke opbevares på en måde, der giver mulighed for at identificere den registrerede i et længere tidsrum end det, der er nødvendigt af hensyn til de formål, hvortil oplysningerne behandles.
frederik kortbæk skrev (Fra Rand rapporten):
Finally, there is the question of the use of technology to achieve objectives. A positive
aspect of the Directive was the fact that it does not specify particular technologies, but
interviewees commented that technology could be used to help companies and individuals
exercise the rights articulated in the Directive. It was felt that Privacy Enhancing
Technologies (PETs) have not been widely taken up, for various reasons. ..
frederik kortbæk skrev:
Der nævnes ingen specifikke teknologier i direktivet,men det tolkes som omfattende f.eks. RFID og biometri. Klarhed efterlyses. Det sjove er at f.eks. biometri både kan krænke privacy,men også beskytte privacy. Alt afhænger af designet.
Stephan Engberg skrev:
Det afhænger af designet og direkte hvorvidt det overholder Pgf. 5 stk 3. og stk. 5.
Datatilsynet VED at der er kommercielle PETs til rådighed eller de kan let tilvejebringes og dermed falder RAND-rapportens spekulationer på disse områder.
Hvad der er endnu værre er at når Datatilsynet blåstempler overgreb (af frygt for represalier mod deres budget eller hvilke ikke-relvante undskyldninger som ligger bag) velvidende at det er unødvendige overgreb, så er der slet og ret forvaltningssvigt.
Det kan godt være at den specifikke teknologi kan være kompliceret, men kravene og vurderingskriterierne er simple.
Stephan Engberg skrev:
Jeg fatter ikke hvorfor du forsvarer Datatilsynet så grundløst. Der er ikke behov for lovændringer, men for at forvaltningssvigtet addresses.
Problemet er jo at de ikke bekymrer sig om principper eller sikkerhed men kun fortolker loven så deres arbejde bliver nemmest og kritikken af dem mindst.
Andre steder kan man godt finde ud af det - Canada, Tyskland, Østrig, Schweiz og Holland i 90erne under John Borking (men ikke mere). Det eneste, de behøver, er at sætte sig ind i deres fagområde.
Alt det snak om standardisering, virksomheder, test bl.a. er rent vrøvl - det gør man ikke med customised løsninger og det er bare dårlige undskyldninger for ikke ikke at komme i gang og leve op til ansvaret. De skal ikke anbefale nogen, men stille kravene teknologineutralt uafhængigt af leverandør eller løsningsmetodik når de ved de kan løses.
Om man vælger at standardisere og hvordan det gøres er en helt anden problemstilling. Hovedproblemet for al sikkehed er jo at man standardiserer på for lavt niveau og dermed både ødelægger sikkerheden og forhindrer opgrading - ICAO pas er det værste eksempel på den katastrofale fejl.
