Myndigheter lovar anonymitet – men skickar ip-adresser till Google
- Ett åttiotal offentliga webbplatser lovar sina besökare anonymitet, men skickar i själva verket deras personuppgifter till Google.
- Dubbelt så många sajter skickar vidare uppgifterna, så kallade ip-adresser, utan att berätta om det.
- Efter Ekots granskning har flera myndigheter anmält sig själva till Integritetsskyddsmyndigheten.
En av hemsidorna som skickat personuppgifter till Google utan att informera drivs av Åklagarmyndigheten, som nu har anmält sig själva till Integritetsskyddsmyndigheten.
– Det är bristfälligt av oss, helt enkelt. Jag kan inte säga annat än det, säger Anders Thoursie, it-direktör på Åklagarmyndigheten.
Frågan är känslig eftersom personuppgifterna kan komma att lagras i USA, där skyddet för personuppgifter enligt EU-domstolen är sämre än inom EU.
Informationen som skickats till företaget är en ip-adress, som EU-domstolen klassar som en personuppgift för att den i förlängningen kan användas för att identifiera enskilda personer.
En annan av myndigheterna som förekommer i Ekots granskning är Försvarets materielverk, FMV.
Den som under det senaste året har läst om ett ledigt jobb på FMV.se har fått sin ip-adress och information om besöket vidarebefordrad till företaget. Detta trots att myndigheten själv sagt att ingen personlig information sparas.
– Det var inte bra. Det var bra att ni har uppmärksammat så ska jag se till så att vi agerar på det, säger Mats Pettersson som är tillförordnad it-chef på FMV.
Kort efter Ekots intervju försvinner Googles analystjänst från FMV:s webbplats.
Google säger till Ekot att de erbjuder sina kunder möjligheten att anonymisera IP-adresser, och att det sker automatiskt för de som använder den senaste versionen av deras analystjänst.
Men över 150 offentliga webbplatser har skickat vidare ip-adresser utan att informera sina besökare. Ytterligare drygt åttio har lovat att användarna de ska få vara anonyma – men inte hållit det löftet. Totalt har Ekot granskat nära 500 webbplatser.
En av sajterna som utlovade anonymitet är SCB.se, som tillhör Statistiska centralbyrån och som bara under förra året fick nära tio miljoner besök. I över två års tid skickade SCB.se besökarnas ip-adresser till Google.
– Det är förstås inte bra om det som står på vår sajt inte stämmer, säger Cecilia Westström som är enhetschef inom SCB:s kommunikationsavdelning.
Hur kunde det bli så här?
– Jag har inget svar på det. Jag får ta tillbaka det och återkomma.
Sedan intervjuerna med Ekot har SCB och Åklagarmyndigheten anmält sig själva till Integritetsskyddsmyndigheten.
Så gjordes granskningen av hemsidorna
Ekot besökte över 500 hemsidor som ägs av kommuner, myndigheter och regioner. Via en virtuell webbläsare, uppkopplad via en egen proxy, samlades all trafik som gick mellan webbläsaren och övriga internet in. Vi filtrerade därefter ut alla anrop som gjordes till Google, och undersökte om de avsåg besöksdata som skickas till Google genom verktyget Google Analytics.
Google Analytics är ett av de vanligaste verktygen som används av hemsideägare på internet för att samla statistik om personer som besöker en hemsida.
Hur vet ni om en hemsida aktiverat IP-anonymisering eller inte?
Google Analytics har en funktion som talar om för Google att företaget måste anonymisera IP-adressen innan den sparas. IP-anonymisering har aktiverats om anropet innehåller texten &aip eller om sajten använder den fjärde versionen av verktyget. Det motsatta gäller om anropet inte innehåller &aip och om sajten inte använder den fjärde versionen av verktyget.
Hur har ni avgjort om en hemsida lovar anonymitet eller inte?
För varje hemsida som använde verktyget men inte anonymiserar IP-adressen, har vi undersökt om 1) Google Analytics nämns i hemsidans cookiepolicy 2) om hemsidan lovar besökaren IP-anonymisering 3) om hemsidan lovar besökaren generell anonymitet och 4) om hemsidan informerar om att IP-adresser skickas till Google.
Om svaret på fråga 2 eller 3 varit ja, så säger Ekot att policyn innehåller ett löfte om anonymitet till besökaren.
Sascha Granberg
Sven Carlsson
