Kan jeg have både digital identitet og privatliv på samme tid?

En digital identitet giver os hurtig og nem adgang til online-ressourcer og -fællesskaber.

Men i takt med at vi i stigende grad stoler på digitale identiteter i vores dagligdag, bliver vores personlige data både mere detaljerede og mere sårbare over for misbrug, især hvis vi ikke er på vagt.

Så kan vi beskytte vores privatliv fuldstændig, samtidig med at vi skaber en digital identitet, der giver os mulighed for at interagere ærligt med andre online?

Lad os se nærmere på det.

I denne artikel bruger vi udtrykket »digital identitet« i bred forstand. Det omfatter både onlineidentitet og officielle digitale legitimeringsoplysninger. For at forstå forskellen mellem begreberne kan du læse artiklen »Hvad er forskellen mellem onlineidentitet og digital identitet?«

Forstå "privatliv" når vi taler om digital identitet

Privatliv har en lang historie og kan betyde forskellige ting, såsom:

• Fortrolighed i personlig kommunikation
• ”Privatlivets fred”
• Beskyttelse mod svindel og digital kriminalitet
• Minimering af overvågning fra virksomhedernes side
• Frihed fra statslig overvågning, f.eks. i autoritære regimer
• Større kontrol over personoplysninger

Begrebet privatliv har ændret sig drastisk, lige siden store teknologivirksomheder begyndte at bygge forretningsmodeller op omkring indsamling, analyse og kommercialisering af brugerdata i stor skala. Som en direkte konsekvens handler privatliv i dag ikke længere kun om at beskytte oplysninger mod uautoriseret adgang – det handler også om at give den enkelte kontrol over sine personoplysninger og over, hvordan de deles.

Denne vision er kernen i privatlivsbeskyttelse i sammenhæng med digital identitet. Og selvom forbedring af sikkerheden og bekæmpelse af digital kriminalitet er en løbende indsats, er målet om at give kontrollen tilbage til den enkelte stadig ikke nået.

Som du kan se i denne artikel, kræver det en helhedsorienteret tilgang, der kombinerer tekniske løsninger og lovgivningsmæssige rammer, hvis man skal kunne håndtere udfordringerne omkring privatlivsbeskyttelse.

Tekniske løsninger på privatlivsproblemer

Privacy by design er en systemteknisk tilgang, der integrerer beskyttelse af privatlivet i selve arkitekturen af de digitale systemer fra starten, i stedet for at tilføje den på et senere tidspunkt. Formålet er at minimere dataeksponering, sikre sikker datahåndtering og begrænse dataindsamlingen til det strengt nødvendige. Rammeværket, der tidligere blev betragtet som for teoretisk og abstrakt, er nu blevet mere praktisk takket være fremskridt inden for privatlivsforbedrende teknologier (PET'er) og metoder til at indkode beskyttelse af privatlivet direkte i databehandlingsprocesserne.

Nogle eksempler på teknologier, der kan forbedre privatlivsbeskyttelsen er:

• Homomorfisk kryptering, som muliggør beregninger på krypterede data.
• Zero-knowledge-beviser, som gør det muligt for en part at bevise, at den ved noget, uden at afsløre yderligere oplysninger.
• Sikker distribueret beregning, som gør det muligt for parterne i fællesskab at beregne en funktion ud fra deres input, samtidig med at disse input forbliver private.
• Differential privacy, som gør det muligt for en dataindehaver at dele aggregerede gruppemønstre, samtidig med at de oplysninger, der afsløres om specifikke individer, begrænses.

Nationale love om privatliv tilskynder til – og påbyder undertiden – at bruge af visse teknologier, der styrker privatlivsbeskyttelsen.

Privatlivsbestemmelser

Den generelle forordning om databeskyttelse (GDPR) i EU, California Consumer Privacy Act (CCPA) i USA og lignende love verden over fastsætter regler for databeskyttelse, der kræver, at organisationer indfører bedre praksis for privatlivsbeskyttelse.

Tag for eksempel den europæiske GDPR: Den blev udformet for at sikre, at brugerne er fuldt informeret om de data, virksomheder indsamler, og har mulighed for at give samtykke til deling af disse. Forordningen kræver, at virksomheder er gennemsigtige, og giver enkeltpersoner ret til at få adgang til, administrere og slette deres data. Overtrædelser af GDPR medfører alvorlige økonomiske sanktioner. Den hidtil største bøde på 1,2 milliarder euro blev pålagt Meta.

Men selv forordninger, der bakkes op af en sådan håndhævelsesmagt, kan måske ikke fuldt ud leve op til forventningerne hos fortalere for privatlivets fred og den brede offentlighed. Overvej, hvordan overholdelse af GDPR ser ud i praksis.

Cookiebannere og GDPR

Efter at GDPR trådte i kraft i 2018, begyndte hjemmesider at indføre cookie-bannere. Her bliver du opfordret til at læse »cookie-politikken« (som de fleste springer over) og forklarer, at sporing via cookies har til formål at forbedre din browseroplevelse.

Cookiebannere opstod som følge af en vedvarende debat om digitalt privatliv, herunder spørgsmålet om, hvem der skal eje dataene og være ansvarlig for at beskytte dem. Selvom de har til formål at fremme gennemsigtighed, opfattes de ofte som en kilde til frustration og kaldes undertiden endda »cookiebanner-terror«. Nogle eksperter hævder desuden, at disse bannere er blevet »en næsten nytteløs øvelse«, da mange brugere klikker på »accepter« blot for at komme videre eller endda installerer browserudvidelser for helt at omgå bannerne.

Det er en ubekvem sandhed, at trods alle bestræbelserne på at styrke det digitale privatliv mangler offentligheden ofte bevidstheden om eller værktøjerne til fuldt ud at få fordelen af det. Og det er ikke rigtig brugernes skyld. Cookie-bannere, der er alt for komplekse i deres udformning, har gjort folk ligeglade med dem og givet virksomhederne endnu en måde at manipulere brugerne på. Virksomheder bruger nu »samtykkestyringsplatforme« til at optimere cookie-bannere, så de får flere »accepter«-klik, hvilket i praksis forvandler privatlivsværktøjer til manipulationsværktøjer – i strid med hensigten med GDPR.

Denne dynamik bidrager til et bredere fænomen, der kaldes »digital resignation«. Selv hvis den enkelte ønsker at beskytte sine personlige oplysninger, skaber de eksisterende systemer et indtryk af, at det er umuligt at gøre det. Kompleksiteten i cookie-bannere og adfærdsmanipulationen forstærker følelsen af, at det er nytteløst at forsøge at beskytte sit privatliv.

Alt dette peger på et bredere problem: På trods af lovgivernes indsats for større digitalt privatliv er der en betydelig kløft mellem hensigten med privatlivsforanstaltningerne og deres egentlige effekt.

Privatliv og brugeroplevelse

Som vi har set det med cookie-bannere, vil folk naturligt nok have hastighed og bekvemmelighed online. Når privatlivsforanstaltninger bliver alt for komplekse, skaber de ofte frustration og manglende engagement.

Ser vi på privatlivsbeskyttelse fra en anden vinkel – som et middel til beskyttelse mod digital kriminalitet og uautoriseret adgang – kan vi se på multifaktorautentifikation (MFA). MFA har til formål at øge sikkerheden og beskytte brugernes privatliv ved at tilføje ekstra trin til identitetsverificeringen. Men dårligt udformet MFA kan afskrække brugerne, der synes, at de ekstra trin er besværlige. MFA bliver mindre effektiv, hvis brugerne leder efter måder at omgå den på.

Den samme logik gælder for ethvert komplekst identitetssystem, der – uanset hvor sikkert det er – ikke bliver udbredt. Derfor er det vigtigt at prioritere brugeroplevelsen, når man udformer digitale identitetssystemer, også af hensyn til privatlivets fred.

Privatliv og sikkerhed

Debatten mellem privatliv og sikkerhed har stået på i årtier, hvor regeringer har kæmpet for at finde en balance mellem national sikkerhed og den enkeltes ret til privatliv.

Der har været flere banebrydende sager. En af de tidligste var Clipper-chippen, som den amerikanske regering indførte i 1993. Formålet var at skabe en bagdør i krypteret kommunikation for at hjælpe de retshåndhævende myndigheder. Det mødte betydelig modstand, da man frygtede, at regeringen ville gå for langt, og det førte til, at det blev afskaffet i 1996.

I 2013 afslørede Edward Snowden NSA’s masseovervågningsprogrammer og afslørede omfanget af myndighedernes adgang til privat kommunikation fra både udenlandske og indenlandske statsborgere i terrorbekæmpelsens navn. Dette udløste en bredere debat om grænserne for myndighedernes overvågning.

Efter Snowdens afsløringer lovede Apple og Google at sikre alle data, der er gemt på deres smartphones, med en kryptering, som ikke engang selskaberne selv kunne dekryptere, selv med en retskendelse.

Striden mellem Apple og FBI om iPhone-kryptering i 2016 rejste igen spørgsmålet om, hvorvidt myndighederne bør kunne omgå kryptering i forbindelse med strafferetlige efterforskninger.

Spørgsmålet om, hvor meget adgang myndighederne bør have til private oplysninger, vil fortsætte, fordi teknologien udvikler sig, og overvågningsmulighederne vokser. Da myndighederne spiller en central rolle i opbygningen af nationale digitale identitetssystemer, har dette direkte indflydelse på identitetsområdet.

Overvågning fra virksomhedernes side

Det er ikke kun regeringerne men også virksomheder, der overvåger i et hidtil uset omfang.

Teknologigiganter som Google og Facebook sporer brugere på tværs af deres platforme og ud over disse. De opbygger detaljerede profiler, de kan bruge til at vise personaliserede annoncer og øge salget. Når du bruger "log ind med Facebook" eller "log ind med Google", overdrager du dine personlige oplysninger til en mellemmand. Det er praktisk for dig, men det gavner de store virksomheder endnu mere.

Vi ved alle, at virksomhederne overvåger os, men for at løse problemet skal vi begynde at bruge nye digitale identitetsmodeller, der prioriterer brugernes privatliv og kontrol. Decentraliseret identitet (eller selvstændig identitet) er et alternativ, der giver enkeltpersoner mulighed for at administrere deres personlige data og mindske afhængigheden af centraliserede systemer. Men det er kun i sin spæde start. 

Privatliv og sociale medier

Sociale medieplatforme indsamler ikke blot enorme mængder data, men påvirker også aktivt brugernes adfærd. Algoritmer, der er designet til at maksimere engagementet, tilskynder ofte brugerne til at dele flere personlige oplysninger ved at udnytte social anerkendelse og indflydelse fra andre. Dette skaber endnu flere udfordringer for beskyttelsen af privatlivet.

Konsekvenserne af at dele for meget rækker ud over dataindsamling. De sociale medier har udvisket grænserne mellem privatliv og arbejdsliv. Indhold, der er beregnet til en bestemt målgruppe (f.eks. venner eller familie), bliver tilgængeligt for  andre målgrupper (f.eks. arbejdsgivere eller fremmede). For eksempel gennemgår mange arbejdsgivere ansøgernes profiler på sociale medier som en del af ansættelsesprocessen, hvilket viser, hvordan det, vi poster online, kan have konsekvenser i den virkelige verden.

Hvad er det næste skridt?

Det kræver en kombination af teknologisk innovation, effektive regler og øget bevidsthed i offentligheden at løse udfordringerne med privatlivets fred og digital identitet. Man skal finde en balance mellem funktionalitet og privatlivets fred, for at sikre at identitetssystemerne er sikre og brugervenlige på samme tid.

Den gode nyhed er, at identitetslandskabet er begyndt at ændre sig, og at decentraliserede identitetsmodeller vinder frem. Disse nye tilgange står dog over for betydelige forhindringer, herunder teknisk kompleksitet, barrierer for implementering og modstand fra virksomheder, der har en fordel med de nuværende systemer.

Hvis normen skal være at vi har digitale identiteter, der beskytter privatlivet, skal vi træffe velovervejede beslutninger og prioritere brugerrettigheder, ansvarlighed og samarbejdet mellem interessenterne. De valg, vi træffer i dag, kommer til at afgøre, om den digitale identitet kommer den enkelte til gode i fremtiden.