Re: SV: SV: Re: Ang.: SV: [DFRI-listan] E-legitimation
Bästa Anne-Marie Eklund-Löwinder! Du har inte svarat på min fråga. Du har inte heller haft några invändningar mot att legitmationsutfärdarna (bankerna, Telia m.fl.) både i dagens och i framtida Svensk e-legitimation samlar adresserna till användarnas anlitade tjänster. Du konstaterar att här finns inget att se och ber mig cirkulera. Allt detta tycker jag är oseriöst. Erik Mjöberg On 2014-06-11 15:20, Anne-Marie Eklund-Löwinder wrote:
Hej,
Jag tror du övertolkar budskapet. Jag har inget intresse av att föra den här diskussionen med dig. Jag håller inte med dig, och jag ser inte något som indikerar att du har rätt och jag har fel. Men jag släpper det. Jag har verkligen inte tid. OK? Det måste dessutom finnas mycket bättre mejlinglistor att föra den här diskussionen på än DFRI:s, eller varför inte rikta frågan direkt till e-legitimationsnämnden.
Med vänlig hälsning,
Anne-Marie
-----Ursprungligt meddelande----- Från: Erik Mjöberg [mailto:erik.mjoberg@xml.se] Skickat: den 11 juni 2014 10:59 Till: Anne-Marie Eklund-Löwinder; listan@lists.dfri.se Ämne: Re: SV: Re: Ang.: SV: [DFRI-listan] E-legitimation
Bästa Anne-Marie Eklund-Löwinder!
Jag förvånar mig över Dina oförskämdheter och Din maktarrogans, men låter den saken bero.
Det som är ännu allvarligare är att Du inte ens försöker svara på min fråga om E-legitimationsnämndens insamling av tjänsteleverantörernas adresser tillgodoser kraven i Personuppgiftslagen och i direktivet till tillsättandet av E- legitimationsnämnden, utan i stället tar upp något som jag över huvud taget inte har nämnt, nämligen anvisningstjänsten i Svensk e-legitimation. Det jag frågade Dig om är ju en helt annan sak, vilket Du med Dina djupa kunskaper i ämnet säkert förstår.
Det är för mig obegripligt att Du anser Dig och dessutom anser mig ha andra och viktigare frågor att beakta än den uppenbara integritetskränkning som sker i dagens e-legitimation och genom användningen av SAML i förslaget till ny Svensk e-legitimation.
Med förundrad hälsning
Erik Mjöberg
On 2014-06-10 07:24, Anne-Marie Eklund-Löwinder wrote:
Hej!
På frågan riktad till mig:
Frågan är egentligen hypotetisk eftersom det inte är så det fungerar. Om det är anvisningstjänsten du är upprörd över, så har den flera gränssnitt - endast ett av dessa innebär att användarens UA hämtar listan över valbara utgivare och därmed lämnar spår efter sig i form av IP-adresser. I andra situationer hämtar e-tjänsten listan regelbundet och presenterar den själv. Och i andra fall används inte anvisningstjänsten alls. Anvisningstjänsten är dessutom federationsspecifik, och ger därför inte den helhetsbild av användningen som du försöker göra gällande. Det är inte heller dessa uppgifter som ligger till grund för vare sig debitering eller statistik, du har helt enkelt förstått det hela väldigt fel.
Jag är inte jurist, men det finns inga indikationer på att den här anvisningstjänsten skulle vara oförenlig med svensk och europeisk persondataskyddslagstiftning. Tror du inte på det så får du ställa samma fråga till ansvariga myndigheter.
Så min slutsats: Här finns inget att se, cirkulera. Rikta din energi på något som faktiskt är problematiskt. Det finns gott om sådant. Det behöver i alla fall jag göra. Så jag avslutar den här diskussionen från min sida.
Med vänlig hälsning,
Anne-Marie
Från: Erik Mjöberg [mailto:erik.mjoberg@xml.se] Skickat: den 5 juni 2014 09:51 Till: listan@lists.dfri.se <mailto:listan@lists.dfri.se> Ämne: Fwd: Re: Ang.: SV: [DFRI-listan] E-legitimation
Hej igen!
Beträffande frågan om samtycke i e-legitimationer, kan man inte bygga upp ett legitimeringssystem som förutsätter att de legitimerade samtycker till att personuppgifter används i strid med PuL.
Om jag inte samtycker till att mina besök hos anlitade tjänster registreras av legitimationsutfärdarna, får jag inte vara med då? Får jag inte vara med om jag inte samtycker till att banken känner till att jag tidsbokat på en HIV-klinik?
Och slutligen en fråga till Anne-Mari Eklund Lövinder: Anser Du att integritetskravet i direktivet 2010:69 är uppfyllt, om adresserna till de av användarna anlitade tjänsterna samlas in av e-legitimationsnämnden i enlighet med SAML-idp-discovery-standarden, men användarna skalas av vid rapporteringen till faktureringen?
Vänliga hälsningar
Erik Mjöberg
-------- Original Message --------
Subject:
Re: Ang.: SV: [DFRI-listan] E-legitimation
Date:
Wed, 04 Jun 2014 17:33:12 +0200
From:
Erik Mjöberg <erik.mjoberg@xml.se> <mailto:erik.mjoberg@xml.se>
Organization:
AB XML Sweden
To:
Tobias Pulls <tobias.pulls@kau.se> <mailto:tobias.pulls@kau.se> , listan@lists.dfri.se <mailto:listan@lists.dfri.se>
Hej Tobias!
Bra att Du tog upp frågan om samtycke.
I avtalet med min bank, Handelsbanken, finns ingenting om samtycke till att samla in uppgifter om besökta tjänster. Jag känner inte heller till att någon annan legitimationsutfärdare skulle ha en sådan friskrivning. Slutligen kan utfärdaren begära samtycke till insamling av adressen till den anlitade tjänsten i samband med att tjänsten anlitas, men inte heller det har skett i någon av de tjänster som jag har anlitat.
Så jag känner mig ganska kränkt av hanteringen ... Men det har en mycket ringa betydelse i sammanhanget. Det väsentliga är att den klart strider mot Person- uppgiftslagen (PuL)! Och inte bara mot PuL utan även mot t.ex. EU-stadgans skydd av personuppgifter i artikel 7 och 8. Om man tillämpar samma metod som EU- domstolen gjorde beträffande upphävandet av ändringarna i Datalagringsdirektivet (proportionalitetsprincipen i artikel 52:1) skulle insamlingen av adresserna till de av användarna anlitade tjänsterna vara ett "allmänt samhällsintresse som erkänns av unionen" om hanteringen skulle godkännas av EU-domstolen. Det har jag svårt att tro.
Det finns sedan flera år tillbaka färdiga lösningar på hur legitimationsutfärdaren kan styrka användarens identitet utan att känna till var styrkandet ska användas - - precis som i den analoga världen. Se t.ex. Identity 2.0 från 2006 eller user- centric IDs.
Vänliga hälsningar
Erik Mjöberg
On 2014-06-04 15:39, Tobias Pulls wrote:
Hej,
Värt att notera är också att det här troligen inte är ett brott mot personuppgiftslagen _förutsatt_ att samtycke är inhämtat av t ex banken vid utfärdandet av BankID. Det sagt så är det knappast något positivt att denna spårbarhet finns i systemet och troligen är det många fler än Erik som upplever detta som ett intrång. Denna läcka baserat på samtyckte (som i dagsläget är långt från informerat i något annat än juridisk mening) borde ha tagits bort av e- legitimationsnämnden genom att förbjuda annan användning än strikt nödvändigt eftersom identitetsleverantörer redan får betalt. Tyvärr gjordes inte detta så det är bara att hoppas att öppna och moderna tekniska lösningar som anonymous credentials används för nästa generation, för det finns ingen stark vilja att lägga in juridiskt personskydd utöver det minimala som krävs. Trevlig sits för identitetsleverantörerna dock, de får betalt för att skapa profiler av folk.
Vad gäller punkt 2 från Erik så ska man vara väldigt försiktig med att underskatta tom vad den aggregarade informationen har för inverkan på personers privatliv. Det behövs inte mycket extra information för att skapa skrämmande scenarion. En av de få sakerna ur integritetssynpunkt som SAML förbättrar är möjligheten att bara ge ut relevant information till tjänster istället för allt på ett certifikat. Utöver det bör man nog vara försiktig om man vill kalla SAML lösningen integritetsvänlig.
Mvh, Tobias
On 04/06/14 14:49, Anne-Marie Eklund-Löwinder wrote:
Jag fann ingen anledning att kommentera 1. Det är nog allmänt känt att det är personnummer i certifikatet och därmed är spåret tydligt för banken med flera i dagens system. /amel
Skickat från min HTC
----- Reply message ----- Från: "Erik Mjöberg" <erik.mjoberg@xml.se> <mailto:erik.mjoberg@xml.se> Till: "listan@lists.dfri.se" <mailto:listan@lists.dfri.se> <listan@lists.dfri.se> <mailto:listan@lists.dfri.se> Rubrik: SV: [DFRI-listan] E-legitimation Datum: ons, jun 4, 2014 14:25
Hej DFRI-listan!
Äntligen har jag fått ett svar i sak på vad jag hela tiden påstått. Det är första gången på två år! Låt mig ta upp sakfrågorna.
1. För det första har Anne-Marie Eklund- Löwinder hittills inget att erinra mot min beskrivning att e- legitimationsutfärdarna (bankerna, Telia, m.fl.) samlar in adresserna till de av användarna anlitade e-tjänsterna i dagens e-legitimationssystem. Det är allvarligt nog! I det föreslagna nya systemet med Svensk e-legitimation bekräftas tidigare adressinsamling genom användning av standarden SAML-assertion.
Om jag har gjort en tidsbokning på en HIV-klinik eller hos en psykiater med min e-legitimation, vill jag inte att banken ska få reda på det. Om jag har varit inne på mina apoteksrecepttjänster vill jag inte att banken ska känna till det. Om min hustru har haft flera tidsbokningar för kontroll av bröstcancer vill jag inte att banken ska känna till det. Jag vill inte heller att banken ska kunna sälja dessa uppgifter till det försäkringsbolag där min hustru eller jag har våra livförsäkringar. Om jag t.ex. har anlitat Svenska Spels tjänster ofta vill jag inte att banken ska komma till mig och begära omförhandling av räntan på mitt bostadslån eftersom banken då bedömer sig ta en högre risk. Om bolånet ligger i en annan bank vill jag inte att banken ska sälja samma uppgifter till den banken. Om jag är medlem i ett politiskt parti vill jag inte att banken ska känna till att jag loggar in mig med e- legitimation på partiets medlemstjänst. Jag anser att dessa förhållanden gravt kränker min personliga integritet. Jag har därmed lidit skada. Detta gäller även 2 miljoner andra e-legitimationsinnehavare som med mig har förvägrats det skydd som tillkommer oss enligt Personuppgiftslagen (1998:204).
Om jag i den analoga världen vill legitimera mig med mitt körkort, har Transportstyrelsen, som utfärdat mitt körkort, ingen aning om var, när och i vilken omfattning jag identifierar mig med körkortet. Då borde det självklart vara ett anständighetskrav att den digitala lösningen uppfyller minst samma integritetskrav. Men om det fungerade med mitt körkort som det fungerar på nätet med e-legitimation skulle den expedit som granskar mitt körkort säga: "Vänta ett tag, jag ska bara skicka information till Transportstyrelsen om att Du har legitimerat Dig här." Då skulle jag fråga mig: "Vad angår det Transportstyrelsen var jag legitimerar mig med mitt körkort?"
2. Punkt 2 stämmer exakt med felet i principen att E-legitimationsnämnden samlar de adresser användaren anlitar när hon/han identifierar sig i en e-tjänst. E-legitimationsnämnden hämtar/samlar dessa adresser enligt SAML-idp-discovery-standarden. Det är detta som kommittédirektivet 2010:69 skjuter in sig på. Insamlandet! Och direktivet utgår då från Personuppgiftslagen (1998:204), som slår ned på "behandling av personuppgifter" (3 §) som innefattar "Varje åtgärd eller serie av åtgärder som vidtas i fråga om personuppgifter, ... t.ex. insamling, ... inhämtande ... av uppgifter ...". Att sedan det rapporterade statistikunderlaget har skalat av individerna har inte med saken att göra, det handlar om kosmetik - inte om integritetsskydd.
Jag överlåter åt läsaren av detta att avgöra om mina påståenden är ogrundade eller om jag har fått saker och ting rejält om bakfoten.
---
Till Sven Ruin vill jag säga att det ligger mycket i vad Du säger. Naturligtvis går det att omformulera frågorna. T.ex.: Anser Du att det är bra att utfärdarna av dagens e-legitimationer (banker, Telia m.fl.) känner till vilka tjänster användarna identifierar sig på?
Vänliga hälsningar
Erik Mjöberg
--- On 2014-06-04 10:51, Anne-Marie Eklund- Löwinder wrote: Hej, Din punkt 2 stämmer inte ett enda dugg, där behöver du göra din hemläxa, och andra också kanske? Vilken tur då att det är så lätt att kontrollera fakta. Regelverket för svensk e-legitimation finns publicerat för allmän beskådan, och för varje läskunnig att ta till sig.
Ni hittar det på http://www.elegnamnden.se/ eller närmare bestämt här: http://www.elegnamnden.se/regelverketgallandeversion.4.77dbcb04143807 0e039a8b6.html
Jag kan varmt rekommendera alla intresserade att sätta sig in i hur det ser ut. Det ger tvärtom mot vad Erik (vad jag kan se helt ogrundat) påstår. Jag pekar på några av de viktigaste sakerna här:
Se Bilaga J – Rapporteringsrutiner, punkten 7.5:
"Rapporterat statistikunderlag ska inte medge att det går att härleda enskilda transaktioner mellan Användare och e-tjänst".
Se även Bilaga A - Ersättning och fakturering, punkterna 2, 4.1 och 4.2, om vilken information som fakturorna innehåller. De anger i praktiken enbart antal unika användare per e-tjänst.
Min slutsats är att du har fått saker och ting rejält om bakfoten.
Med vänlig hälsning, Anne-Marie Eklund Löwinder Säkerhetschef .SE (Stiftelsen för Internetinfrastruktur) Adress: Ringvägen 100 Postadress: Box 7399, 103 91 Stockholm Växel: 08-452 35 00 Direkt: 08-452 35 17 Mobil: 0734-31 53 10 E-post: anne-marie.eklund-lowinder@iis.se <mailto:anne-marie.eklund-lowinder@iis.se> <mailto:anne-marie.eklund- lowinder@iis.se> <mailto:anne-marie.eklund-lowinder@iis.se> Twitter: @amelsec Webbplats: https://www.iis.se Från: Erik Mjöberg [mailto:erik.mjoberg@xml.se] Skickat: den 3 juni 2014 22:56 Till: listan@lists.dfri.se <mailto:listan@lists.dfri.se> <mailto:listan@lists.dfri.se> <mailto:listan@lists.dfri.se> Ämne: [DFRI-listan] E-legitimation ... och här en fråga om e-legitimation:
I kommittédirektiv 2010:69 för bildandet av E- legitimationsnämnden står:
Felaktigt utformat skulle ett system för samordning av elektronisk identifiering och signering kunna leda till risker för den personliga integriteten, t.ex. om uppgifter om en enskilds alla kontakter med myndigheterna skulle samlas på samma ställe ...
1. Visste Du att utfärdarna av dagens e- legitimationer (banker, Telia m.fl.) känner till vilka tjänster användarna identifierar sig på? (Se BankIds hemsida<http://www.bankid.com/sv/statistik/> <http://www.bankid.com/sv/statistik/> , punkterna 7 och 8 i statistikrapporterna)
2. Visste Du att i det nya förslaget till Svensk e- legitimation känner inte bara utfärdarna till de tjänster användarna identifierar sig på utan även E-legitima- tionsnämnden (en myndighet under Skatteverket) samlar in samma uppgifter (för att proportionera identifieringskostnaderna på de myndigheter som levererar tjänsterna)?
Vänliga hälsningar
Eri Mjöberg
-- DFRI-listan är öppen för alla. Listan arkiveras och publiceras öppet på internet. Arkiv: http://dir.gmane.org/gmane.org.user-groups.dfri Listpolicy: https://www.dfri.se/regler-for-listan
Föråt ett råd i bästa välmening, men skulle det inte gå att påbörja nån slags mejväxling med den ansvariga institutionen eller linkande? Vet inte om det finns nån "askthegovernment. se" som motsvarar "asktheeu.org", men en mer formell process än mail på den här listan skulle kanske lösa upp några kommunikaitonsknutar och fastställa var dom riktiga problemen ligger. Extemfallet är kommunikation via rättsprocess, om inte det finkar så får man jobba för ändrad lagstiftning. Korvmaskinister unite! mvh //Erik -----Original Message----- From: Erik Mjöberg [mailto:erik.mjoberg@xml.se] Sent: 12 June 2014 09:49 To: Anne-Marie Eklund-Löwinder; listan@lists.dfri.se Subject: Re: SV: SV: Re: Ang.: SV: [DFRI-listan] E-legitimation Bästa Anne-Marie Eklund-Löwinder! Du har inte svarat på min fråga. Du har inte heller haft några invändningar mot att legitmationsutfärdarna (bankerna, Telia m.fl.) både i dagens och i framtida Svensk e-legitimation samlar adresserna till användarnas anlitade tjänster. Du konstaterar att här finns inget att se och ber mig cirkulera. Allt detta tycker jag är oseriöst. Erik Mjöberg On 2014-06-11 15:20, Anne-Marie Eklund-Löwinder wrote:
Hej,
Jag tror du övertolkar budskapet. Jag har inget intresse av att föra den här diskussionen med dig. Jag håller inte med dig, och jag ser inte något som indikerar att du har rätt och jag har fel. Men jag släpper det. Jag har verkligen inte tid. OK? Det måste dessutom finnas mycket bättre mejlinglistor att föra den här diskussionen på än DFRI:s, eller varför inte rikta frågan direkt till e-legitimationsnämnden.
Med vänlig hälsning,
Anne-Marie
-----Ursprungligt meddelande----- Från: Erik Mjöberg [mailto:erik.mjoberg@xml.se] Skickat: den 11 juni 2014 10:59 Till: Anne-Marie Eklund-Löwinder; listan@lists.dfri.se Ämne: Re: SV: Re: Ang.: SV: [DFRI-listan] E-legitimation
Bästa Anne-Marie Eklund-Löwinder!
Jag förvånar mig över Dina oförskämdheter och Din maktarrogans, men låter den saken bero.
Det som är ännu allvarligare är att Du inte ens försöker svara på min fråga om E-legitimationsnämndens insamling av tjänsteleverantörernas adresser tillgodoser kraven i Personuppgiftslagen och i direktivet till tillsättandet av E- legitimationsnämnden, utan i stället tar upp något som jag över huvud taget inte har nämnt, nämligen anvisningstjänsten i Svensk e-legitimation. Det jag frågade Dig om är ju en helt annan sak, vilket Du med Dina djupa kunskaper i ämnet säkert förstår.
Det är för mig obegripligt att Du anser Dig och dessutom anser mig ha andra och viktigare frågor att beakta än den uppenbara integritetskränkning som sker i dagens e-legitimation och genom användningen av SAML i förslaget till ny Svensk e-legitimation.
Med förundrad hälsning
Erik Mjöberg
On 2014-06-10 07:24, Anne-Marie Eklund-Löwinder wrote:
Hej!
På frågan riktad till mig:
Frågan är egentligen hypotetisk eftersom det inte är så det fungerar. Om det är anvisningstjänsten du är upprörd över, så har den flera gränssnitt - endast ett av dessa innebär att användarens UA hämtar listan över valbara utgivare och därmed lämnar spår efter sig i form av IP-adresser. I andra situationer hämtar e-tjänsten listan regelbundet och presenterar den själv. Och i andra fall används inte anvisningstjänsten alls. Anvisningstjänsten är dessutom federationsspecifik, och ger därför inte den helhetsbild av användningen som du försöker göra gällande. Det är inte heller dessa uppgifter som ligger till grund för vare sig debitering eller statistik, du har helt enkelt förstått det hela väldigt fel.
Jag är inte jurist, men det finns inga indikationer på att den här anvisningstjänsten skulle vara oförenlig med svensk och europeisk persondataskyddslagstiftning. Tror du inte på det så får du ställa samma fråga till ansvariga myndigheter.
Så min slutsats: Här finns inget att se, cirkulera. Rikta din energi på något som faktiskt är problematiskt. Det finns gott om sådant. Det behöver i alla fall jag göra. Så jag avslutar den här diskussionen från min sida.
Med vänlig hälsning,
Anne-Marie
Från: Erik Mjöberg [mailto:erik.mjoberg@xml.se] Skickat: den 5 juni 2014 09:51 Till: listan@lists.dfri.se <mailto:listan@lists.dfri.se> Ämne: Fwd: Re: Ang.: SV: [DFRI-listan] E-legitimation
Hej igen!
Beträffande frågan om samtycke i e-legitimationer, kan man inte bygga upp ett legitimeringssystem som förutsätter att de legitimerade samtycker till att personuppgifter används i strid med PuL.
Om jag inte samtycker till att mina besök hos anlitade tjänster registreras av legitimationsutfärdarna, får jag inte vara med då? Får jag inte vara med om jag inte samtycker till att banken känner till att jag tidsbokat på en HIV-klinik?
Och slutligen en fråga till Anne-Mari Eklund Lövinder: Anser Du att integritetskravet i direktivet 2010:69 är uppfyllt, om adresserna till de av användarna anlitade tjänsterna samlas in av e-legitimationsnämnden i enlighet med SAML-idp-discovery-standarden, men användarna skalas av vid rapporteringen till faktureringen?
Vänliga hälsningar
Erik Mjöberg
-------- Original Message --------
Subject:
Re: Ang.: SV: [DFRI-listan] E-legitimation
Date:
Wed, 04 Jun 2014 17:33:12 +0200
From:
Erik Mjöberg <erik.mjoberg@xml.se> <mailto:erik.mjoberg@xml.se>
Organization:
AB XML Sweden
To:
Tobias Pulls <tobias.pulls@kau.se> <mailto:tobias.pulls@kau.se> , listan@lists.dfri.se <mailto:listan@lists.dfri.se>
Hej Tobias!
Bra att Du tog upp frågan om samtycke.
I avtalet med min bank, Handelsbanken, finns ingenting om samtycke till att samla in uppgifter om besökta tjänster. Jag känner inte heller till att någon annan legitimationsutfärdare skulle ha en sådan friskrivning. Slutligen kan utfärdaren begära samtycke till insamling av adressen till den anlitade tjänsten i samband med att tjänsten anlitas, men inte heller det har skett i någon av de tjänster som jag har anlitat.
Så jag känner mig ganska kränkt av hanteringen ... Men det har en mycket ringa betydelse i sammanhanget. Det väsentliga är att den klart strider mot Person- uppgiftslagen (PuL)! Och inte bara mot PuL utan även mot t.ex. EU-stadgans skydd av personuppgifter i artikel 7 och 8. Om man tillämpar samma metod som EU- domstolen gjorde beträffande upphävandet av ändringarna i Datalagringsdirektivet (proportionalitetsprincipen i artikel 52:1) skulle insamlingen av adresserna till de av användarna anlitade tjänsterna vara ett "allmänt samhällsintresse som erkänns av unionen" om hanteringen skulle godkännas av EU-domstolen. Det har jag svårt att tro.
Det finns sedan flera år tillbaka färdiga lösningar på hur legitimationsutfärdaren kan styrka användarens identitet utan att känna till var styrkandet ska användas - - precis som i den analoga världen. Se t.ex. Identity 2.0 från 2006 eller user- centric IDs.
Vänliga hälsningar
Erik Mjöberg
On 2014-06-04 15:39, Tobias Pulls wrote:
Hej,
Värt att notera är också att det här troligen inte är ett brott mot personuppgiftslagen _förutsatt_ att samtycke är inhämtat av t ex banken vid utfärdandet av BankID. Det sagt så är det knappast något positivt att denna spårbarhet finns i systemet och troligen är det många fler än Erik som upplever detta som ett intrång. Denna läcka baserat på samtyckte (som i dagsläget är långt från informerat i något annat än juridisk mening) borde ha tagits bort av e- legitimationsnämnden genom att förbjuda annan användning än strikt nödvändigt eftersom identitetsleverantörer redan får betalt. Tyvärr gjordes inte detta så det är bara att hoppas att öppna och moderna tekniska lösningar som anonymous credentials används för nästa generation, för det finns ingen stark vilja att lägga in juridiskt personskydd utöver det minimala som krävs. Trevlig sits för identitetsleverantörerna dock, de får betalt för att skapa profiler av folk.
Vad gäller punkt 2 från Erik så ska man vara väldigt försiktig med att underskatta tom vad den aggregarade informationen har för inverkan på personers privatliv. Det behövs inte mycket extra information för att skapa skrämmande scenarion. En av de få sakerna ur integritetssynpunkt som SAML förbättrar är möjligheten att bara ge ut relevant information till tjänster istället för allt på ett certifikat. Utöver det bör man nog vara försiktig om man vill kalla SAML lösningen integritetsvänlig.
Mvh, Tobias
On 04/06/14 14:49, Anne-Marie Eklund-Löwinder wrote:
Jag fann ingen anledning att kommentera 1. Det är nog allmänt känt att det är personnummer i certifikatet och därmed är spåret tydligt för banken med flera i dagens system. /amel
Skickat från min HTC
----- Reply message ----- Från: "Erik Mjöberg" <erik.mjoberg@xml.se> <mailto:erik.mjoberg@xml.se> Till: "listan@lists.dfri.se" <mailto:listan@lists.dfri.se> <listan@lists.dfri.se> <mailto:listan@lists.dfri.se> Rubrik: SV: [DFRI-listan] E-legitimation Datum: ons, jun 4, 2014 14:25
Hej DFRI-listan!
Äntligen har jag fått ett svar i sak på vad jag hela tiden påstått. Det är första gången på två år! Låt mig ta upp sakfrågorna.
1. För det första har Anne-Marie Eklund- Löwinder hittills inget att erinra mot min beskrivning att e- legitimationsutfärdarna (bankerna, Telia, m.fl.) samlar in adresserna till de av användarna anlitade e-tjänsterna i dagens e-legitimationssystem. Det är allvarligt nog! I det föreslagna nya systemet med Svensk e-legitimation bekräftas tidigare adressinsamling genom användning av standarden SAML-assertion.
Om jag har gjort en tidsbokning på en HIV-klinik eller hos en psykiater med min e-legitimation, vill jag inte att banken ska få reda på det. Om jag har varit inne på mina apoteksrecepttjänster vill jag inte att banken ska känna till det. Om min hustru har haft flera tidsbokningar för kontroll av bröstcancer vill jag inte att banken ska känna till det. Jag vill inte heller att banken ska kunna sälja dessa uppgifter till det försäkringsbolag där min hustru eller jag har våra livförsäkringar. Om jag t.ex. har anlitat Svenska Spels tjänster ofta vill jag inte att banken ska komma till mig och begära omförhandling av räntan på mitt bostadslån eftersom banken då bedömer sig ta en högre risk. Om bolånet ligger i en annan bank vill jag inte att banken ska sälja samma uppgifter till den banken. Om jag är medlem i ett politiskt parti vill jag inte att banken ska känna till att jag loggar in mig med e- legitimation på partiets medlemstjänst. Jag anser att dessa förhållanden gravt kränker min personliga integritet. Jag har därmed lidit skada. Detta gäller även 2 miljoner andra e-legitimationsinnehavare som med mig har förvägrats det skydd som tillkommer oss enligt Personuppgiftslagen (1998:204).
Om jag i den analoga världen vill legitimera mig med mitt körkort, har Transportstyrelsen, som utfärdat mitt körkort, ingen aning om var, när och i vilken omfattning jag identifierar mig med körkortet. Då borde det självklart vara ett anständighetskrav att den digitala lösningen uppfyller minst samma integritetskrav. Men om det fungerade med mitt körkort som det fungerar på nätet med e-legitimation skulle den expedit som granskar mitt körkort säga: "Vänta ett tag, jag ska bara skicka information till Transportstyrelsen om att Du har legitimerat Dig här." Då skulle jag fråga mig: "Vad angår det Transportstyrelsen var jag legitimerar mig med mitt körkort?"
2. Punkt 2 stämmer exakt med felet i principen att E-legitimationsnämnden samlar de adresser användaren anlitar när hon/han identifierar sig i en e-tjänst. E-legitimationsnämnden hämtar/samlar dessa adresser enligt SAML-idp-discovery-standarden. Det är detta som kommittédirektivet 2010:69 skjuter in sig på. Insamlandet! Och direktivet utgår då från Personuppgiftslagen (1998:204), som slår ned på "behandling av personuppgifter" (3 §) som innefattar "Varje åtgärd eller serie av åtgärder som vidtas i fråga om personuppgifter, ... t.ex. insamling, ... inhämtande ... av uppgifter ...". Att sedan det rapporterade statistikunderlaget har skalat av individerna har inte med saken att göra, det handlar om kosmetik - inte om integritetsskydd.
Jag överlåter åt läsaren av detta att avgöra om mina påståenden är ogrundade eller om jag har fått saker och ting rejält om bakfoten.
---
Till Sven Ruin vill jag säga att det ligger mycket i vad Du säger. Naturligtvis går det att omformulera frågorna. T.ex.: Anser Du att det är bra att utfärdarna av dagens e-legitimationer (banker, Telia m.fl.) känner till vilka tjänster användarna identifierar sig på?
Vänliga hälsningar
Erik Mjöberg
--- On 2014-06-04 10:51, Anne-Marie Eklund- Löwinder wrote: Hej, Din punkt 2 stämmer inte ett enda dugg, där behöver du göra din hemläxa, och andra också kanske? Vilken tur då att det är så lätt att kontrollera fakta. Regelverket för svensk e-legitimation finns publicerat för allmän beskådan, och för varje läskunnig att ta till sig.
Ni hittar det på http://www.elegnamnden.se/ eller närmare bestämt här: http://www.elegnamnden.se/regelverketgallandeversion.4.77dbcb04143807 0e039a8b6.html
Jag kan varmt rekommendera alla intresserade att sätta sig in i hur det ser ut. Det ger tvärtom mot vad Erik (vad jag kan se helt ogrundat) påstår. Jag pekar på några av de viktigaste sakerna här:
Se Bilaga J - Rapporteringsrutiner, punkten 7.5:
"Rapporterat statistikunderlag ska inte medge att det går att härleda enskilda transaktioner mellan Användare och e-tjänst".
Se även Bilaga A - Ersättning och fakturering, punkterna 2, 4.1 och 4.2, om vilken information som fakturorna innehåller. De anger i praktiken enbart antal unika användare per e-tjänst.
Min slutsats är att du har fått saker och ting rejält om bakfoten.
Med vänlig hälsning, Anne-Marie Eklund Löwinder Säkerhetschef .SE (Stiftelsen för Internetinfrastruktur) Adress: Ringvägen 100 Postadress: Box 7399, 103 91 Stockholm Växel: 08-452 35 00 Direkt: 08-452 35 17 Mobil: 0734-31 53 10 E-post: anne-marie.eklund-lowinder@iis.se <mailto:anne-marie.eklund-lowinder@iis.se> <mailto:anne-marie.eklund- lowinder@iis.se> <mailto:anne-marie.eklund-lowinder@iis.se> Twitter: @amelsec Webbplats: https://www.iis.se Från: Erik Mjöberg [mailto:erik.mjoberg@xml.se] Skickat: den 3 juni 2014 22:56 Till: listan@lists.dfri.se <mailto:listan@lists.dfri.se> <mailto:listan@lists.dfri.se> <mailto:listan@lists.dfri.se> Ämne: [DFRI-listan] E-legitimation ... och här en fråga om e-legitimation:
I kommittédirektiv 2010:69 för bildandet av E- legitimationsnämnden står:
Felaktigt utformat skulle ett system för samordning av elektronisk identifiering och signering kunna leda till risker för den personliga integriteten, t.ex. om uppgifter om en enskilds alla kontakter med myndigheterna skulle samlas på samma ställe ...
1. Visste Du att utfärdarna av dagens e- legitimationer (banker, Telia m.fl.) känner till vilka tjänster användarna identifierar sig på? (Se BankIds hemsida<http://www.bankid.com/sv/statistik/> <http://www.bankid.com/sv/statistik/> , punkterna 7 och 8 i statistikrapporterna)
2. Visste Du att i det nya förslaget till Svensk e- legitimation känner inte bara utfärdarna till de tjänster användarna identifierar sig på utan även E-legitima- tionsnämnden (en myndighet under Skatteverket) samlar in samma uppgifter (för att proportionera identifieringskostnaderna på de myndigheter som levererar tjänsterna)?
Vänliga hälsningar
Eri Mjöberg
-- DFRI-listan är öppen för alla. Listan arkiveras och publiceras öppet på internet. Arkiv: http://dir.gmane.org/gmane.org.user-groups.dfri Listpolicy: https://www.dfri.se/regler-for-listan -- DFRI-listan är öppen för alla. Listan arkiveras och publiceras öppet på internet. Arkiv: http://dir.gmane.org/gmane.org.user-groups.dfri Listpolicy: https://www.dfri.se/regler-for-listan
Ja, det var väl ungefär det jag svarade tyckte jag. /amel
-----Ursprungligt meddelande----- Från: JOSEFSSON Erik [mailto:erik.josefsson@europarl.europa.eu] Skickat: den 12 juni 2014 11:00 Till: 'Erik Mjöberg'; Anne-Marie Eklund-Löwinder; listan@lists.dfri.se Ämne: RE: SV: SV: Re: Ang.: SV: [DFRI-listan] E-legitimation
Föråt ett råd i bästa välmening, men skulle det inte gå att påbörja nån slags mejväxling med den ansvariga institutionen eller linkande?
Vet inte om det finns nån "askthegovernment. se" som motsvarar "asktheeu.org", men en mer formell process än mail på den här listan skulle kanske lösa upp några kommunikaitonsknutar och fastställa var dom riktiga problemen ligger.
Extemfallet är kommunikation via rättsprocess, om inte det finkar så får man jobba för ändrad lagstiftning.
Korvmaskinister unite!
mvh
//Erik
-----Original Message----- From: Erik Mjöberg [mailto:erik.mjoberg@xml.se] Sent: 12 June 2014 09:49 To: Anne-Marie Eklund-Löwinder; listan@lists.dfri.se Subject: Re: SV: SV: Re: Ang.: SV: [DFRI-listan] E-legitimation
Bästa Anne-Marie Eklund-Löwinder! Du har inte svarat på min fråga. Du har inte heller haft några invändningar mot att legitmationsutfärdarna (bankerna, Telia m.fl.) både i dagens och i framtida Svensk e-legitimation samlar adresserna till användarnas anlitade tjänster. Du konstaterar att här finns inget att se och ber mig cirkulera. Allt detta tycker jag är oseriöst. Erik Mjöberg
On 2014-06-11 15:20, Anne-Marie Eklund-Löwinder wrote:
Hej,
Jag tror du övertolkar budskapet. Jag har inget intresse av att föra den här diskussionen med dig. Jag håller inte med dig, och jag ser inte något som indikerar att du har rätt och jag har fel. Men jag släpper det. Jag har verkligen inte tid. OK? Det måste dessutom finnas mycket bättre mejlinglistor att föra den här diskussionen på än DFRI:s, eller varför inte rikta frågan direkt till e- legitimationsnämnden.
Med vänlig hälsning,
Anne-Marie
-----Ursprungligt meddelande----- Från: Erik Mjöberg [mailto:erik.mjoberg@xml.se] Skickat: den 11 juni 2014 10:59 Till: Anne-Marie Eklund-Löwinder; listan@lists.dfri.se Ämne: Re: SV: Re: Ang.: SV: [DFRI-listan] E-legitimation
Bästa Anne-Marie Eklund-Löwinder!
Jag förvånar mig över Dina oförskämdheter och Din maktarrogans, men låter den saken bero.
Det som är ännu allvarligare är att Du inte ens försöker svara på min fråga om E-legitimationsnämndens insamling av tjänsteleverantörernas adresser tillgodoser kraven i Personuppgiftslagen och i direktivet till tillsättandet av E- legitimationsnämnden, utan i stället tar upp något som jag över huvud taget inte har nämnt, nämligen anvisningstjänsten i Svensk e-legitimation. Det jag frågade Dig om är ju en helt annan sak, vilket Du med Dina djupa kunskaper i ämnet säkert förstår.
Det är för mig obegripligt att Du anser Dig och dessutom anser mig ha andra och viktigare frågor att beakta än den uppenbara integritetskränkning som sker i dagens e-legitimation och genom användningen av SAML i förslaget till ny Svensk e-legitimation.
Med förundrad hälsning
Erik Mjöberg
On 2014-06-10 07:24, Anne-Marie Eklund-Löwinder wrote:
Hej!
På frågan riktad till mig:
Frågan är egentligen hypotetisk eftersom det inte är så det fungerar. Om det är anvisningstjänsten du är upprörd över, så har den flera gränssnitt - endast ett av dessa innebär att användarens UA hämtar listan över valbara utgivare och därmed lämnar spår efter sig i form av IP-adresser. I andra situationer hämtar e-tjänsten listan regelbundet och presenterar den själv. Och i andra fall används inte anvisningstjänsten alls. Anvisningstjänsten är dessutom federationsspecifik, och ger därför inte den helhetsbild av användningen som du försöker göra gällande. Det är inte heller dessa uppgifter som ligger till grund för vare sig debitering eller statistik, du har helt enkelt förstått det hela väldigt fel.
Jag är inte jurist, men det finns inga indikationer på att den här anvisningstjänsten skulle vara oförenlig med svensk och europeisk persondataskyddslagstiftning. Tror du inte på det så får du ställa samma fråga till ansvariga myndigheter.
Så min slutsats: Här finns inget att se, cirkulera. Rikta din energi på något som faktiskt är problematiskt. Det finns gott om sådant. Det behöver i alla fall jag göra. Så jag avslutar den här diskussionen från min sida.
Med vänlig hälsning,
Anne-Marie
Från: Erik Mjöberg [mailto:erik.mjoberg@xml.se] Skickat: den 5 juni 2014 09:51 Till: listan@lists.dfri.se <mailto:listan@lists.dfri.se> Ämne: Fwd: Re: Ang.: SV: [DFRI-listan] E-legitimation
Hej igen!
Beträffande frågan om samtycke i e-legitimationer, kan man inte bygga upp ett legitimeringssystem som förutsätter att de legitimerade samtycker till att personuppgifter används i strid med PuL.
Om jag inte samtycker till att mina besök hos anlitade tjänster registreras av legitimationsutfärdarna, får jag inte vara med då? Får jag inte vara med om jag inte samtycker till att banken känner till att jag tidsbokat på en HIV-klinik?
Och slutligen en fråga till Anne-Mari Eklund Lövinder: Anser Du att integritetskravet i direktivet 2010:69 är uppfyllt, om adresserna till de av användarna anlitade tjänsterna samlas in av e-legitimationsnämnden i enlighet med SAML-idp-discovery-standarden, men användarna skalas av vid rapporteringen till faktureringen?
Vänliga hälsningar
Erik Mjöberg
-------- Original Message --------
Subject:
Re: Ang.: SV: [DFRI-listan] E-legitimation
Date:
Wed, 04 Jun 2014 17:33:12 +0200
From:
Erik Mjöberg <erik.mjoberg@xml.se> <mailto:erik.mjoberg@xml.se>
Organization:
AB XML Sweden
To:
Tobias Pulls <tobias.pulls@kau.se> <mailto:tobias.pulls@kau.se> , listan@lists.dfri.se <mailto:listan@lists.dfri.se>
Hej Tobias!
Bra att Du tog upp frågan om samtycke.
I avtalet med min bank, Handelsbanken, finns ingenting om samtycke till att samla in uppgifter om besökta tjänster. Jag känner inte heller till att någon annan legitimationsutfärdare skulle ha en sådan friskrivning. Slutligen kan utfärdaren begära samtycke till insamling av adressen till den anlitade tjänsten i samband med att tjänsten anlitas, men inte heller det har skett i någon av de tjänster som jag har anlitat.
Så jag känner mig ganska kränkt av hanteringen ... Men det har en mycket ringa betydelse i sammanhanget. Det väsentliga är att den klart strider mot Person- uppgiftslagen (PuL)! Och inte bara mot PuL utan även mot t.ex. EU-stadgans skydd av personuppgifter i artikel 7 och 8. Om man tillämpar samma metod som EU- domstolen gjorde beträffande upphävandet av ändringarna i Datalagringsdirektivet (proportionalitetsprincipen i artikel 52:1) skulle insamlingen av adresserna till de av användarna anlitade tjänsterna vara ett "allmänt samhällsintresse som erkänns av unionen" om hanteringen skulle godkännas av EU-domstolen. Det har jag svårt att tro.
Det finns sedan flera år tillbaka färdiga lösningar på hur legitimationsutfärdaren kan styrka användarens identitet utan att känna till var styrkandet ska användas - - precis som i den analoga världen. Se t.ex. Identity 2.0 från 2006 eller user- centric IDs.
Vänliga hälsningar
Erik Mjöberg
On 2014-06-04 15:39, Tobias Pulls wrote:
Hej,
Värt att notera är också att det här troligen inte är ett brott mot personuppgiftslagen _förutsatt_ att samtycke är inhämtat av t ex banken vid utfärdandet av BankID. Det sagt så är det knappast något positivt att denna spårbarhet finns i systemet och troligen är det många fler än Erik som upplever detta som ett intrång. Denna läcka baserat på samtyckte (som i dagsläget är långt från informerat i något annat än juridisk mening) borde ha tagits bort av e- legitimationsnämnden genom att förbjuda annan användning än strikt nödvändigt eftersom identitetsleverantörer redan får betalt. Tyvärr gjordes inte detta så det är bara att hoppas att öppna och moderna tekniska lösningar som anonymous credentials används för nästa generation, för det finns ingen stark vilja att lägga in juridiskt personskydd utöver det minimala som krävs. Trevlig sits för identitetsleverantörerna dock, de får betalt för att skapa profiler av folk.
Vad gäller punkt 2 från Erik så ska man vara väldigt försiktig med att underskatta tom vad den aggregarade informationen har för inverkan på personers privatliv. Det behövs inte mycket extra information för att skapa skrämmande scenarion. En av de få sakerna ur integritetssynpunkt som SAML förbättrar är möjligheten att bara ge ut relevant information till tjänster istället för allt på ett certifikat. Utöver det bör man nog vara försiktig om man vill kalla SAML lösningen integritetsvänlig.
Mvh, Tobias
On 04/06/14 14:49, Anne-Marie Eklund-Löwinder wrote:
Jag fann ingen anledning att kommentera 1. Det är nog allmänt känt att det är personnummer i certifikatet och därmed är spåret tydligt för banken med flera i dagens system. /amel
Skickat från min HTC
----- Reply message ----- Från: "Erik Mjöberg" <erik.mjoberg@xml.se> <mailto:erik.mjoberg@xml.se> Till: "listan@lists.dfri.se" <mailto:listan@lists.dfri.se> <listan@lists.dfri.se> <mailto:listan@lists.dfri.se> Rubrik: SV: [DFRI-listan] E-legitimation Datum: ons, jun 4, 2014 14:25
Hej DFRI-listan!
Äntligen har jag fått ett svar i sak på vad jag hela tiden påstått. Det är första gången på två år! Låt mig ta upp sakfrågorna.
1. För det första har Anne-Marie Eklund- Löwinder hittills inget att erinra mot min beskrivning att e- legitimationsutfärdarna (bankerna, Telia, m.fl.) samlar in adresserna till de av användarna anlitade e-tjänsterna i dagens e-legitimationssystem. Det är allvarligt nog! I det föreslagna nya systemet med Svensk e-legitimation bekräftas tidigare adressinsamling genom användning av standarden SAML-assertion.
Om jag har gjort en tidsbokning på en HIV-klinik eller hos en psykiater med min e-legitimation, vill jag inte att banken ska få reda på det. Om jag har varit inne på mina apoteksrecepttjänster vill jag inte att banken ska känna till det. Om min hustru har haft flera tidsbokningar för kontroll av bröstcancer vill jag inte att banken ska känna till det. Jag vill inte heller att banken ska kunna sälja dessa uppgifter till det försäkringsbolag där min hustru eller jag har våra livförsäkringar. Om jag t.ex. har anlitat Svenska Spels tjänster ofta vill jag inte att banken ska komma till mig och begära omförhandling av räntan på mitt bostadslån eftersom banken då bedömer sig ta en högre risk. Om bolånet ligger i en annan bank vill jag inte att banken ska sälja samma uppgifter till den banken. Om jag är medlem i ett politiskt parti vill jag inte att banken ska känna till att jag loggar in mig med e- legitimation på partiets medlemstjänst. Jag anser att dessa förhållanden gravt kränker min personliga integritet. Jag har därmed lidit skada. Detta gäller även 2 miljoner andra e-legitimationsinnehavare som med mig har förvägrats det skydd som tillkommer oss enligt Personuppgiftslagen (1998:204).
Om jag i den analoga världen vill legitimera mig med mitt körkort, har Transportstyrelsen, som utfärdat mitt körkort, ingen aning om var, när och i vilken omfattning jag identifierar mig med körkortet. Då borde det självklart vara ett anständighetskrav att den digitala lösningen uppfyller minst samma integritetskrav. Men om det fungerade med mitt körkort som det fungerar på nätet med e-legitimation skulle den expedit som granskar mitt körkort säga: "Vänta ett tag, jag ska bara skicka information till Transportstyrelsen om att Du har legitimerat Dig här." Då skulle jag fråga mig: "Vad angår det Transportstyrelsen var jag legitimerar mig med mitt körkort?"
2. Punkt 2 stämmer exakt med felet i principen att E-legitimationsnämnden samlar de adresser användaren anlitar när hon/han identifierar sig i en e-tjänst. E-legitimationsnämnden hämtar/samlar dessa adresser enligt SAML-idp-discovery-standarden. Det är detta som kommittédirektivet 2010:69 skjuter in sig på. Insamlandet! Och direktivet utgår då från Personuppgiftslagen (1998:204), som slår ned på "behandling av personuppgifter" (3 §) som innefattar "Varje åtgärd eller serie av åtgärder som vidtas i fråga om personuppgifter, ... t.ex. insamling, ... inhämtande ... av uppgifter ...". Att sedan det rapporterade statistikunderlaget har skalat av individerna har inte med saken att göra, det handlar om kosmetik - inte om integritetsskydd.
Jag överlåter åt läsaren av detta att avgöra om mina påståenden är ogrundade eller om jag har fått saker och ting rejält om bakfoten.
---
Till Sven Ruin vill jag säga att det ligger mycket i vad Du säger. Naturligtvis går det att omformulera frågorna. T.ex.: Anser Du att det är bra att utfärdarna av dagens e-legitimationer (banker, Telia m.fl.) känner till vilka tjänster användarna identifierar sig på?
Vänliga hälsningar
Erik Mjöberg
--- On 2014-06-04 10:51, Anne-Marie Eklund- Löwinder wrote: Hej, Din punkt 2 stämmer inte ett enda dugg, där behöver du göra din hemläxa, och andra också kanske? Vilken tur då att det är så lätt att kontrollera fakta. Regelverket för svensk e-legitimation finns publicerat för allmän beskådan, och för varje läskunnig att ta till sig.
Ni hittar det på http://www.elegnamnden.se/ eller närmare bestämt här:
http://www.elegnamnden.se/regelverketgallandeversion.4.77dbcb04143807
0e039a8b6.html
Jag kan varmt rekommendera alla intresserade att sätta sig in i hur det ser ut. Det ger tvärtom mot vad Erik (vad jag kan se helt ogrundat) påstår. Jag pekar på några av de viktigaste sakerna här:
Se Bilaga J - Rapporteringsrutiner, punkten 7.5:
"Rapporterat statistikunderlag ska inte medge att det går att härleda enskilda transaktioner mellan Användare och e-tjänst".
Se även Bilaga A - Ersättning och fakturering, punkterna 2, 4.1 och 4.2, om vilken information som fakturorna innehåller. De anger i praktiken enbart antal unika användare per e-tjänst.
Min slutsats är att du har fått saker och ting rejält om bakfoten.
Med vänlig hälsning, Anne-Marie Eklund Löwinder Säkerhetschef .SE (Stiftelsen för Internetinfrastruktur) Adress: Ringvägen 100 Postadress: Box 7399, 103 91 Stockholm Växel: 08-452 35 00 Direkt: 08-452 35 17 Mobil: 0734-31 53 10 E-post: anne-marie.eklund-lowinder@iis.se <mailto:anne-marie.eklund-lowinder@iis.se> <mailto:anne- marie.eklund- lowinder@iis.se> <mailto:anne-marie.eklund-lowinder@iis.se> Twitter: @amelsec Webbplats: https://www.iis.se Från: Erik Mjöberg [mailto:erik.mjoberg@xml.se] Skickat: den 3 juni 2014 22:56 Till: listan@lists.dfri.se <mailto:listan@lists.dfri.se> <mailto:listan@lists.dfri.se> <mailto:listan@lists.dfri.se> Ämne: [DFRI-listan] E-legitimation ... och här en fråga om e-legitimation:
I kommittédirektiv 2010:69 för bildandet av E- legitimationsnämnden står:
Felaktigt utformat skulle ett system för samordning av elektronisk identifiering och signering kunna leda till risker för den personliga integriteten, t.ex. om uppgifter om en enskilds alla kontakter med myndigheterna skulle samlas på samma ställe ...
1. Visste Du att utfärdarna av dagens e- legitimationer (banker, Telia m.fl.) känner till vilka tjänster användarna identifierar sig på? (Se BankIds hemsida<http://www.bankid.com/sv/statistik/> <http://www.bankid.com/sv/statistik/> , punkterna 7 och 8 i statistikrapporterna)
2. Visste Du att i det nya förslaget till Svensk e- legitimation känner inte bara utfärdarna till de tjänster användarna identifierar sig på utan även E-legitima- tionsnämnden (en myndighet under Skatteverket) samlar in samma uppgifter (för att proportionera identifieringskostnaderna på de myndigheter som levererar tjänsterna)?
Vänliga hälsningar
Eri Mjöberg
-- DFRI-listan är öppen för alla. Listan arkiveras och publiceras öppet på internet. Arkiv: http://dir.gmane.org/gmane.org.user-groups.dfri Listpolicy: https://www.dfri.se/regler-for-listan
Tack för rådet, Erik. Jag har varit i kontakt med både Datainspektionen och e-legitimationsnämnden och fått lika undvikande svar som av Ann-Marie Eklund-Lövinder. Jag utgår från att Du tycker att debatten ändå platsar här och att sakfrågan ligger inom ramen för DFRI. Vänliga hälsningar Erik Mjöberg On 2014-06-12 11:00, JOSEFSSON Erik wrote:
Föråt ett råd i bästa välmening, men skulle det inte gå att påbörja nån slags mejväxling med den ansvariga institutionen eller linkande?
Vet inte om det finns nån "askthegovernment. se" som motsvarar "asktheeu.org", men en mer formell process än mail på den här listan skulle kanske lösa upp några kommunikaitonsknutar och fastställa var dom riktiga problemen ligger.
Extemfallet är kommunikation via rättsprocess, om inte det finkar så får man jobba för ändrad lagstiftning.
Korvmaskinister unite!
mvh
//Erik
-----Original Message----- From: Erik Mjöberg [mailto:erik.mjoberg@xml.se] Sent: 12 June 2014 09:49 To: Anne-Marie Eklund-Löwinder; listan@lists.dfri.se Subject: Re: SV: SV: Re: Ang.: SV: [DFRI-listan] E-legitimation
Bästa Anne-Marie Eklund-Löwinder! Du har inte svarat på min fråga. Du har inte heller haft några invändningar mot att legitmationsutfärdarna (bankerna, Telia m.fl.) både i dagens och i framtida Svensk e-legitimation samlar adresserna till användarnas anlitade tjänster. Du konstaterar att här finns inget att se och ber mig cirkulera. Allt detta tycker jag är oseriöst. Erik Mjöberg
On 2014-06-11 15:20, Anne-Marie Eklund-Löwinder wrote:
Hej,
Jag tror du övertolkar budskapet. Jag har inget intresse av att föra den här diskussionen med dig. Jag håller inte med dig, och jag ser inte något som indikerar att du har rätt och jag har fel. Men jag släpper det. Jag har verkligen inte tid. OK? Det måste dessutom finnas mycket bättre mejlinglistor att föra den här diskussionen på än DFRI:s, eller varför inte rikta frågan direkt till e-legitimationsnämnden.
Med vänlig hälsning,
Anne-Marie
-----Ursprungligt meddelande----- Från: Erik Mjöberg [mailto:erik.mjoberg@xml.se] Skickat: den 11 juni 2014 10:59 Till: Anne-Marie Eklund-Löwinder; listan@lists.dfri.se Ämne: Re: SV: Re: Ang.: SV: [DFRI-listan] E-legitimation
Bästa Anne-Marie Eklund-Löwinder!
Jag förvånar mig över Dina oförskämdheter och Din maktarrogans, men låter den saken bero.
Det som är ännu allvarligare är att Du inte ens försöker svara på min fråga om E-legitimationsnämndens insamling av tjänsteleverantörernas adresser tillgodoser kraven i Personuppgiftslagen och i direktivet till tillsättandet av E- legitimationsnämnden, utan i stället tar upp något som jag över huvud taget inte har nämnt, nämligen anvisningstjänsten i Svensk e-legitimation. Det jag frågade Dig om är ju en helt annan sak, vilket Du med Dina djupa kunskaper i ämnet säkert förstår.
Det är för mig obegripligt att Du anser Dig och dessutom anser mig ha andra och viktigare frågor att beakta än den uppenbara integritetskränkning som sker i dagens e-legitimation och genom användningen av SAML i förslaget till ny Svensk e-legitimation.
Med förundrad hälsning
Erik Mjöberg
On 2014-06-10 07:24, Anne-Marie Eklund-Löwinder wrote:
Hej!
På frågan riktad till mig:
Frågan är egentligen hypotetisk eftersom det inte är så det fungerar. Om det är anvisningstjänsten du är upprörd över, så har den flera gränssnitt - endast ett av dessa innebär att användarens UA hämtar listan över valbara utgivare och därmed lämnar spår efter sig i form av IP-adresser. I andra situationer hämtar e-tjänsten listan regelbundet och presenterar den själv. Och i andra fall används inte anvisningstjänsten alls. Anvisningstjänsten är dessutom federationsspecifik, och ger därför inte den helhetsbild av användningen som du försöker göra gällande. Det är inte heller dessa uppgifter som ligger till grund för vare sig debitering eller statistik, du har helt enkelt förstått det hela väldigt fel.
Jag är inte jurist, men det finns inga indikationer på att den här anvisningstjänsten skulle vara oförenlig med svensk och europeisk persondataskyddslagstiftning. Tror du inte på det så får du ställa samma fråga till ansvariga myndigheter.
Så min slutsats: Här finns inget att se, cirkulera. Rikta din energi på något som faktiskt är problematiskt. Det finns gott om sådant. Det behöver i alla fall jag göra. Så jag avslutar den här diskussionen från min sida.
Med vänlig hälsning,
Anne-Marie
Från: Erik Mjöberg [mailto:erik.mjoberg@xml.se] Skickat: den 5 juni 2014 09:51 Till: listan@lists.dfri.se <mailto:listan@lists.dfri.se> Ämne: Fwd: Re: Ang.: SV: [DFRI-listan] E-legitimation
Hej igen!
Beträffande frågan om samtycke i e-legitimationer, kan man inte bygga upp ett legitimeringssystem som förutsätter att de legitimerade samtycker till att personuppgifter används i strid med PuL.
Om jag inte samtycker till att mina besök hos anlitade tjänster registreras av legitimationsutfärdarna, får jag inte vara med då? Får jag inte vara med om jag inte samtycker till att banken känner till att jag tidsbokat på en HIV-klinik?
Och slutligen en fråga till Anne-Mari Eklund Lövinder: Anser Du att integritetskravet i direktivet 2010:69 är uppfyllt, om adresserna till de av användarna anlitade tjänsterna samlas in av e-legitimationsnämnden i enlighet med SAML-idp-discovery-standarden, men användarna skalas av vid rapporteringen till faktureringen?
Vänliga hälsningar
Erik Mjöberg
-------- Original Message --------
Subject:
Re: Ang.: SV: [DFRI-listan] E-legitimation
Date:
Wed, 04 Jun 2014 17:33:12 +0200
From:
Erik Mjöberg <erik.mjoberg@xml.se> <mailto:erik.mjoberg@xml.se>
Organization:
AB XML Sweden
To:
Tobias Pulls <tobias.pulls@kau.se> <mailto:tobias.pulls@kau.se> , listan@lists.dfri.se <mailto:listan@lists.dfri.se>
Hej Tobias!
Bra att Du tog upp frågan om samtycke.
I avtalet med min bank, Handelsbanken, finns ingenting om samtycke till att samla in uppgifter om besökta tjänster. Jag känner inte heller till att någon annan legitimationsutfärdare skulle ha en sådan friskrivning. Slutligen kan utfärdaren begära samtycke till insamling av adressen till den anlitade tjänsten i samband med att tjänsten anlitas, men inte heller det har skett i någon av de tjänster som jag har anlitat.
Så jag känner mig ganska kränkt av hanteringen ... Men det har en mycket ringa betydelse i sammanhanget. Det väsentliga är att den klart strider mot Person- uppgiftslagen (PuL)! Och inte bara mot PuL utan även mot t.ex. EU-stadgans skydd av personuppgifter i artikel 7 och 8. Om man tillämpar samma metod som EU- domstolen gjorde beträffande upphävandet av ändringarna i Datalagringsdirektivet (proportionalitetsprincipen i artikel 52:1) skulle insamlingen av adresserna till de av användarna anlitade tjänsterna vara ett "allmänt samhällsintresse som erkänns av unionen" om hanteringen skulle godkännas av EU-domstolen. Det har jag svårt att tro.
Det finns sedan flera år tillbaka färdiga lösningar på hur legitimationsutfärdaren kan styrka användarens identitet utan att känna till var styrkandet ska användas - - precis som i den analoga världen. Se t.ex. Identity 2.0 från 2006 eller user- centric IDs.
Vänliga hälsningar
Erik Mjöberg
On 2014-06-04 15:39, Tobias Pulls wrote:
Hej,
Värt att notera är också att det här troligen inte är ett brott mot personuppgiftslagen _förutsatt_ att samtycke är inhämtat av t ex banken vid utfärdandet av BankID. Det sagt så är det knappast något positivt att denna spårbarhet finns i systemet och troligen är det många fler än Erik som upplever detta som ett intrång. Denna läcka baserat på samtyckte (som i dagsläget är långt från informerat i något annat än juridisk mening) borde ha tagits bort av e- legitimationsnämnden genom att förbjuda annan användning än strikt nödvändigt eftersom identitetsleverantörer redan får betalt. Tyvärr gjordes inte detta så det är bara att hoppas att öppna och moderna tekniska lösningar som anonymous credentials används för nästa generation, för det finns ingen stark vilja att lägga in juridiskt personskydd utöver det minimala som krävs. Trevlig sits för identitetsleverantörerna dock, de får betalt för att skapa profiler av folk.
Vad gäller punkt 2 från Erik så ska man vara väldigt försiktig med att underskatta tom vad den aggregarade informationen har för inverkan på personers privatliv. Det behövs inte mycket extra information för att skapa skrämmande scenarion. En av de få sakerna ur integritetssynpunkt som SAML förbättrar är möjligheten att bara ge ut relevant information till tjänster istället för allt på ett certifikat. Utöver det bör man nog vara försiktig om man vill kalla SAML lösningen integritetsvänlig.
Mvh, Tobias
On 04/06/14 14:49, Anne-Marie Eklund-Löwinder wrote:
Jag fann ingen anledning att kommentera 1. Det är nog allmänt känt att det är personnummer i certifikatet och därmed är spåret tydligt för banken med flera i dagens system. /amel
Skickat från min HTC
----- Reply message ----- Från: "Erik Mjöberg" <erik.mjoberg@xml.se> <mailto:erik.mjoberg@xml.se> Till: "listan@lists.dfri.se" <mailto:listan@lists.dfri.se> <listan@lists.dfri.se> <mailto:listan@lists.dfri.se> Rubrik: SV: [DFRI-listan] E-legitimation Datum: ons, jun 4, 2014 14:25
Hej DFRI-listan!
Äntligen har jag fått ett svar i sak på vad jag hela tiden påstått. Det är första gången på två år! Låt mig ta upp sakfrågorna.
1. För det första har Anne-Marie Eklund- Löwinder hittills inget att erinra mot min beskrivning att e- legitimationsutfärdarna (bankerna, Telia, m.fl.) samlar in adresserna till de av användarna anlitade e-tjänsterna i dagens e-legitimationssystem. Det är allvarligt nog! I det föreslagna nya systemet med Svensk e-legitimation bekräftas tidigare adressinsamling genom användning av standarden SAML-assertion.
Om jag har gjort en tidsbokning på en HIV-klinik eller hos en psykiater med min e-legitimation, vill jag inte att banken ska få reda på det. Om jag har varit inne på mina apoteksrecepttjänster vill jag inte att banken ska känna till det. Om min hustru har haft flera tidsbokningar för kontroll av bröstcancer vill jag inte att banken ska känna till det. Jag vill inte heller att banken ska kunna sälja dessa uppgifter till det försäkringsbolag där min hustru eller jag har våra livförsäkringar. Om jag t.ex. har anlitat Svenska Spels tjänster ofta vill jag inte att banken ska komma till mig och begära omförhandling av räntan på mitt bostadslån eftersom banken då bedömer sig ta en högre risk. Om bolånet ligger i en annan bank vill jag inte att banken ska sälja samma uppgifter till den banken. Om jag är medlem i ett politiskt parti vill jag inte att banken ska känna till att jag loggar in mig med e- legitimation på partiets medlemstjänst. Jag anser att dessa förhållanden gravt kränker min personliga integritet. Jag har därmed lidit skada. Detta gäller även 2 miljoner andra e-legitimationsinnehavare som med mig har förvägrats det skydd som tillkommer oss enligt Personuppgiftslagen (1998:204).
Om jag i den analoga världen vill legitimera mig med mitt körkort, har Transportstyrelsen, som utfärdat mitt körkort, ingen aning om var, när och i vilken omfattning jag identifierar mig med körkortet. Då borde det självklart vara ett anständighetskrav att den digitala lösningen uppfyller minst samma integritetskrav. Men om det fungerade med mitt körkort som det fungerar på nätet med e-legitimation skulle den expedit som granskar mitt körkort säga: "Vänta ett tag, jag ska bara skicka information till Transportstyrelsen om att Du har legitimerat Dig här." Då skulle jag fråga mig: "Vad angår det Transportstyrelsen var jag legitimerar mig med mitt körkort?"
2. Punkt 2 stämmer exakt med felet i principen att E-legitimationsnämnden samlar de adresser användaren anlitar när hon/han identifierar sig i en e-tjänst. E-legitimationsnämnden hämtar/samlar dessa adresser enligt SAML-idp-discovery-standarden. Det är detta som kommittédirektivet 2010:69 skjuter in sig på. Insamlandet! Och direktivet utgår då från Personuppgiftslagen (1998:204), som slår ned på "behandling av personuppgifter" (3 §) som innefattar "Varje åtgärd eller serie av åtgärder som vidtas i fråga om personuppgifter, ... t.ex. insamling, ... inhämtande ... av uppgifter ...". Att sedan det rapporterade statistikunderlaget har skalat av individerna har inte med saken att göra, det handlar om kosmetik - inte om integritetsskydd.
Jag överlåter åt läsaren av detta att avgöra om mina påståenden är ogrundade eller om jag har fått saker och ting rejält om bakfoten.
---
Till Sven Ruin vill jag säga att det ligger mycket i vad Du säger. Naturligtvis går det att omformulera frågorna. T.ex.: Anser Du att det är bra att utfärdarna av dagens e-legitimationer (banker, Telia m.fl.) känner till vilka tjänster användarna identifierar sig på?
Vänliga hälsningar
Erik Mjöberg
--- On 2014-06-04 10:51, Anne-Marie Eklund- Löwinder wrote: Hej, Din punkt 2 stämmer inte ett enda dugg, där behöver du göra din hemläxa, och andra också kanske? Vilken tur då att det är så lätt att kontrollera fakta. Regelverket för svensk e-legitimation finns publicerat för allmän beskådan, och för varje läskunnig att ta till sig.
Ni hittar det på http://www.elegnamnden.se/ eller närmare bestämt här: http://www.elegnamnden.se/regelverketgallandeversion.4.77dbcb04143807 0e039a8b6.html
Jag kan varmt rekommendera alla intresserade att sätta sig in i hur det ser ut. Det ger tvärtom mot vad Erik (vad jag kan se helt ogrundat) påstår. Jag pekar på några av de viktigaste sakerna här:
Se Bilaga J - Rapporteringsrutiner, punkten 7.5:
"Rapporterat statistikunderlag ska inte medge att det går att härleda enskilda transaktioner mellan Användare och e-tjänst".
Se även Bilaga A - Ersättning och fakturering, punkterna 2, 4.1 och 4.2, om vilken information som fakturorna innehåller. De anger i praktiken enbart antal unika användare per e-tjänst.
Min slutsats är att du har fått saker och ting rejält om bakfoten.
Med vänlig hälsning, Anne-Marie Eklund Löwinder Säkerhetschef .SE (Stiftelsen för Internetinfrastruktur) Adress: Ringvägen 100 Postadress: Box 7399, 103 91 Stockholm Växel: 08-452 35 00 Direkt: 08-452 35 17 Mobil: 0734-31 53 10 E-post: anne-marie.eklund-lowinder@iis.se <mailto:anne-marie.eklund-lowinder@iis.se> <mailto:anne-marie.eklund- lowinder@iis.se> <mailto:anne-marie.eklund-lowinder@iis.se> Twitter: @amelsec Webbplats: https://www.iis.se Från: Erik Mjöberg [mailto:erik.mjoberg@xml.se] Skickat: den 3 juni 2014 22:56 Till: listan@lists.dfri.se <mailto:listan@lists.dfri.se> <mailto:listan@lists.dfri.se> <mailto:listan@lists.dfri.se> Ämne: [DFRI-listan] E-legitimation ... och här en fråga om e-legitimation:
I kommittédirektiv 2010:69 för bildandet av E- legitimationsnämnden står:
Felaktigt utformat skulle ett system för samordning av elektronisk identifiering och signering kunna leda till risker för den personliga integriteten, t.ex. om uppgifter om en enskilds alla kontakter med myndigheterna skulle samlas på samma ställe ...
1. Visste Du att utfärdarna av dagens e- legitimationer (banker, Telia m.fl.) känner till vilka tjänster användarna identifierar sig på? (Se BankIds hemsida<http://www.bankid.com/sv/statistik/> <http://www.bankid.com/sv/statistik/> , punkterna 7 och 8 i statistikrapporterna)
2. Visste Du att i det nya förslaget till Svensk e- legitimation känner inte bara utfärdarna till de tjänster användarna identifierar sig på utan även E-legitima- tionsnämnden (en myndighet under Skatteverket) samlar in samma uppgifter (för att proportionera identifieringskostnaderna på de myndigheter som levererar tjänsterna)?
Vänliga hälsningar
Eri Mjöberg
-- DFRI-listan är öppen för alla. Listan arkiveras och publiceras öppet på internet. Arkiv: http://dir.gmane.org/gmane.org.user-groups.dfri Listpolicy: https://www.dfri.se/regler-for-listan
Om det finns möjlighet (och det vet jag inte om det gör!) så skulle det kanske funka att dra igång en långbänk efter känd modell: https://www.dfri.se/wiki/ep-acta-docs/ Typ. Man hur man än gör så innebär det jobb både med avseende på "grundforskning" och vad gäller att få en redan ambitiös styrelse att även ta ansvar för att köra långbänken ända fram. Hoppas att du inte tar illa upp att jag inte sätter mig in i grundfrågan om du har rätt eller inte, har rätt kass bandbredd. mvh //Erik ________________________________________ From: Erik Mjöberg [erik.mjoberg@xml.se] Sent: Tuesday 17 June 2014 17:24 To: JOSEFSSON Erik; listan@lists.dfri.se Subject: Re: SV: SV: Re: Ang.: SV: [DFRI-listan] E-legitimation Tack för rådet, Erik. Jag har varit i kontakt med både Datainspektionen och e-legitimationsnämnden och fått lika undvikande svar som av Ann-Marie Eklund-Lövinder. Jag utgår från att Du tycker att debatten ändå platsar här och att sakfrågan ligger inom ramen för DFRI. Vänliga hälsningar Erik Mjöberg On 2014-06-12 11:00, JOSEFSSON Erik wrote:
Föråt ett råd i bästa välmening, men skulle det inte gå att påbörja nån slags mejväxling med den ansvariga institutionen eller linkande?
Vet inte om det finns nån "askthegovernment. se" som motsvarar "asktheeu.org", men en mer formell process än mail på den här listan skulle kanske lösa upp några kommunikaitonsknutar och fastställa var dom riktiga problemen ligger.
Extemfallet är kommunikation via rättsprocess, om inte det finkar så får man jobba för ändrad lagstiftning.
Korvmaskinister unite!
mvh
//Erik
-----Original Message----- From: Erik Mjöberg [mailto:erik.mjoberg@xml.se] Sent: 12 June 2014 09:49 To: Anne-Marie Eklund-Löwinder; listan@lists.dfri.se Subject: Re: SV: SV: Re: Ang.: SV: [DFRI-listan] E-legitimation
Bästa Anne-Marie Eklund-Löwinder! Du har inte svarat på min fråga. Du har inte heller haft några invändningar mot att legitmationsutfärdarna (bankerna, Telia m.fl.) både i dagens och i framtida Svensk e-legitimation samlar adresserna till användarnas anlitade tjänster. Du konstaterar att här finns inget att se och ber mig cirkulera. Allt detta tycker jag är oseriöst. Erik Mjöberg
On 2014-06-11 15:20, Anne-Marie Eklund-Löwinder wrote:
Hej,
Jag tror du övertolkar budskapet. Jag har inget intresse av att föra den här diskussionen med dig. Jag håller inte med dig, och jag ser inte något som indikerar att du har rätt och jag har fel. Men jag släpper det. Jag har verkligen inte tid. OK? Det måste dessutom finnas mycket bättre mejlinglistor att föra den här diskussionen på än DFRI:s, eller varför inte rikta frågan direkt till e-legitimationsnämnden.
Med vänlig hälsning,
Anne-Marie
-----Ursprungligt meddelande----- Från: Erik Mjöberg [mailto:erik.mjoberg@xml.se] Skickat: den 11 juni 2014 10:59 Till: Anne-Marie Eklund-Löwinder; listan@lists.dfri.se Ämne: Re: SV: Re: Ang.: SV: [DFRI-listan] E-legitimation
Bästa Anne-Marie Eklund-Löwinder!
Jag förvånar mig över Dina oförskämdheter och Din maktarrogans, men låter den saken bero.
Det som är ännu allvarligare är att Du inte ens försöker svara på min fråga om E-legitimationsnämndens insamling av tjänsteleverantörernas adresser tillgodoser kraven i Personuppgiftslagen och i direktivet till tillsättandet av E- legitimationsnämnden, utan i stället tar upp något som jag över huvud taget inte har nämnt, nämligen anvisningstjänsten i Svensk e-legitimation. Det jag frågade Dig om är ju en helt annan sak, vilket Du med Dina djupa kunskaper i ämnet säkert förstår.
Det är för mig obegripligt att Du anser Dig och dessutom anser mig ha andra och viktigare frågor att beakta än den uppenbara integritetskränkning som sker i dagens e-legitimation och genom användningen av SAML i förslaget till ny Svensk e-legitimation.
Med förundrad hälsning
Erik Mjöberg
On 2014-06-10 07:24, Anne-Marie Eklund-Löwinder wrote:
Hej!
På frågan riktad till mig:
Frågan är egentligen hypotetisk eftersom det inte är så det fungerar. Om det är anvisningstjänsten du är upprörd över, så har den flera gränssnitt - endast ett av dessa innebär att användarens UA hämtar listan över valbara utgivare och därmed lämnar spår efter sig i form av IP-adresser. I andra situationer hämtar e-tjänsten listan regelbundet och presenterar den själv. Och i andra fall används inte anvisningstjänsten alls. Anvisningstjänsten är dessutom federationsspecifik, och ger därför inte den helhetsbild av användningen som du försöker göra gällande. Det är inte heller dessa uppgifter som ligger till grund för vare sig debitering eller statistik, du har helt enkelt förstått det hela väldigt fel.
Jag är inte jurist, men det finns inga indikationer på att den här anvisningstjänsten skulle vara oförenlig med svensk och europeisk persondataskyddslagstiftning. Tror du inte på det så får du ställa samma fråga till ansvariga myndigheter.
Så min slutsats: Här finns inget att se, cirkulera. Rikta din energi på något som faktiskt är problematiskt. Det finns gott om sådant. Det behöver i alla fall jag göra. Så jag avslutar den här diskussionen från min sida.
Med vänlig hälsning,
Anne-Marie
Från: Erik Mjöberg [mailto:erik.mjoberg@xml.se] Skickat: den 5 juni 2014 09:51 Till: listan@lists.dfri.se <mailto:listan@lists.dfri.se> Ämne: Fwd: Re: Ang.: SV: [DFRI-listan] E-legitimation
Hej igen!
Beträffande frågan om samtycke i e-legitimationer, kan man inte bygga upp ett legitimeringssystem som förutsätter att de legitimerade samtycker till att personuppgifter används i strid med PuL.
Om jag inte samtycker till att mina besök hos anlitade tjänster registreras av legitimationsutfärdarna, får jag inte vara med då? Får jag inte vara med om jag inte samtycker till att banken känner till att jag tidsbokat på en HIV-klinik?
Och slutligen en fråga till Anne-Mari Eklund Lövinder: Anser Du att integritetskravet i direktivet 2010:69 är uppfyllt, om adresserna till de av användarna anlitade tjänsterna samlas in av e-legitimationsnämnden i enlighet med SAML-idp-discovery-standarden, men användarna skalas av vid rapporteringen till faktureringen?
Vänliga hälsningar
Erik Mjöberg
-------- Original Message --------
Subject:
Re: Ang.: SV: [DFRI-listan] E-legitimation
Date:
Wed, 04 Jun 2014 17:33:12 +0200
From:
Erik Mjöberg <erik.mjoberg@xml.se> <mailto:erik.mjoberg@xml.se>
Organization:
AB XML Sweden
To:
Tobias Pulls <tobias.pulls@kau.se> <mailto:tobias.pulls@kau.se> , listan@lists.dfri.se <mailto:listan@lists.dfri.se>
Hej Tobias!
Bra att Du tog upp frågan om samtycke.
I avtalet med min bank, Handelsbanken, finns ingenting om samtycke till att samla in uppgifter om besökta tjänster. Jag känner inte heller till att någon annan legitimationsutfärdare skulle ha en sådan friskrivning. Slutligen kan utfärdaren begära samtycke till insamling av adressen till den anlitade tjänsten i samband med att tjänsten anlitas, men inte heller det har skett i någon av de tjänster som jag har anlitat.
Så jag känner mig ganska kränkt av hanteringen ... Men det har en mycket ringa betydelse i sammanhanget. Det väsentliga är att den klart strider mot Person- uppgiftslagen (PuL)! Och inte bara mot PuL utan även mot t.ex. EU-stadgans skydd av personuppgifter i artikel 7 och 8. Om man tillämpar samma metod som EU- domstolen gjorde beträffande upphävandet av ändringarna i Datalagringsdirektivet (proportionalitetsprincipen i artikel 52:1) skulle insamlingen av adresserna till de av användarna anlitade tjänsterna vara ett "allmänt samhällsintresse som erkänns av unionen" om hanteringen skulle godkännas av EU-domstolen. Det har jag svårt att tro.
Det finns sedan flera år tillbaka färdiga lösningar på hur legitimationsutfärdaren kan styrka användarens identitet utan att känna till var styrkandet ska användas - - precis som i den analoga världen. Se t.ex. Identity 2.0 från 2006 eller user- centric IDs.
Vänliga hälsningar
Erik Mjöberg
On 2014-06-04 15:39, Tobias Pulls wrote:
Hej,
Värt att notera är också att det här troligen inte är ett brott mot personuppgiftslagen _förutsatt_ att samtycke är inhämtat av t ex banken vid utfärdandet av BankID. Det sagt så är det knappast något positivt att denna spårbarhet finns i systemet och troligen är det många fler än Erik som upplever detta som ett intrång. Denna läcka baserat på samtyckte (som i dagsläget är långt från informerat i något annat än juridisk mening) borde ha tagits bort av e- legitimationsnämnden genom att förbjuda annan användning än strikt nödvändigt eftersom identitetsleverantörer redan får betalt. Tyvärr gjordes inte detta så det är bara att hoppas att öppna och moderna tekniska lösningar som anonymous credentials används för nästa generation, för det finns ingen stark vilja att lägga in juridiskt personskydd utöver det minimala som krävs. Trevlig sits för identitetsleverantörerna dock, de får betalt för att skapa profiler av folk.
Vad gäller punkt 2 från Erik så ska man vara väldigt försiktig med att underskatta tom vad den aggregarade informationen har för inverkan på personers privatliv. Det behövs inte mycket extra information för att skapa skrämmande scenarion. En av de få sakerna ur integritetssynpunkt som SAML förbättrar är möjligheten att bara ge ut relevant information till tjänster istället för allt på ett certifikat. Utöver det bör man nog vara försiktig om man vill kalla SAML lösningen integritetsvänlig.
Mvh, Tobias
On 04/06/14 14:49, Anne-Marie Eklund-Löwinder wrote:
Jag fann ingen anledning att kommentera 1. Det är nog allmänt känt att det är personnummer i certifikatet och därmed är spåret tydligt för banken med flera i dagens system. /amel
Skickat från min HTC
----- Reply message ----- Från: "Erik Mjöberg" <erik.mjoberg@xml.se> <mailto:erik.mjoberg@xml.se> Till: "listan@lists.dfri.se" <mailto:listan@lists.dfri.se> <listan@lists.dfri.se> <mailto:listan@lists.dfri.se> Rubrik: SV: [DFRI-listan] E-legitimation Datum: ons, jun 4, 2014 14:25
Hej DFRI-listan!
Äntligen har jag fått ett svar i sak på vad jag hela tiden påstått. Det är första gången på två år! Låt mig ta upp sakfrågorna.
1. För det första har Anne-Marie Eklund- Löwinder hittills inget att erinra mot min beskrivning att e- legitimationsutfärdarna (bankerna, Telia, m.fl.) samlar in adresserna till de av användarna anlitade e-tjänsterna i dagens e-legitimationssystem. Det är allvarligt nog! I det föreslagna nya systemet med Svensk e-legitimation bekräftas tidigare adressinsamling genom användning av standarden SAML-assertion.
Om jag har gjort en tidsbokning på en HIV-klinik eller hos en psykiater med min e-legitimation, vill jag inte att banken ska få reda på det. Om jag har varit inne på mina apoteksrecepttjänster vill jag inte att banken ska känna till det. Om min hustru har haft flera tidsbokningar för kontroll av bröstcancer vill jag inte att banken ska känna till det. Jag vill inte heller att banken ska kunna sälja dessa uppgifter till det försäkringsbolag där min hustru eller jag har våra livförsäkringar. Om jag t.ex. har anlitat Svenska Spels tjänster ofta vill jag inte att banken ska komma till mig och begära omförhandling av räntan på mitt bostadslån eftersom banken då bedömer sig ta en högre risk. Om bolånet ligger i en annan bank vill jag inte att banken ska sälja samma uppgifter till den banken. Om jag är medlem i ett politiskt parti vill jag inte att banken ska känna till att jag loggar in mig med e- legitimation på partiets medlemstjänst. Jag anser att dessa förhållanden gravt kränker min personliga integritet. Jag har därmed lidit skada. Detta gäller även 2 miljoner andra e-legitimationsinnehavare som med mig har förvägrats det skydd som tillkommer oss enligt Personuppgiftslagen (1998:204).
Om jag i den analoga världen vill legitimera mig med mitt körkort, har Transportstyrelsen, som utfärdat mitt körkort, ingen aning om var, när och i vilken omfattning jag identifierar mig med körkortet. Då borde det självklart vara ett anständighetskrav att den digitala lösningen uppfyller minst samma integritetskrav. Men om det fungerade med mitt körkort som det fungerar på nätet med e-legitimation skulle den expedit som granskar mitt körkort säga: "Vänta ett tag, jag ska bara skicka information till Transportstyrelsen om att Du har legitimerat Dig här." Då skulle jag fråga mig: "Vad angår det Transportstyrelsen var jag legitimerar mig med mitt körkort?"
2. Punkt 2 stämmer exakt med felet i principen att E-legitimationsnämnden samlar de adresser användaren anlitar när hon/han identifierar sig i en e-tjänst. E-legitimationsnämnden hämtar/samlar dessa adresser enligt SAML-idp-discovery-standarden. Det är detta som kommittédirektivet 2010:69 skjuter in sig på. Insamlandet! Och direktivet utgår då från Personuppgiftslagen (1998:204), som slår ned på "behandling av personuppgifter" (3 §) som innefattar "Varje åtgärd eller serie av åtgärder som vidtas i fråga om personuppgifter, ... t.ex. insamling, ... inhämtande ... av uppgifter ...". Att sedan det rapporterade statistikunderlaget har skalat av individerna har inte med saken att göra, det handlar om kosmetik - inte om integritetsskydd.
Jag överlåter åt läsaren av detta att avgöra om mina påståenden är ogrundade eller om jag har fått saker och ting rejält om bakfoten.
---
Till Sven Ruin vill jag säga att det ligger mycket i vad Du säger. Naturligtvis går det att omformulera frågorna. T.ex.: Anser Du att det är bra att utfärdarna av dagens e-legitimationer (banker, Telia m.fl.) känner till vilka tjänster användarna identifierar sig på?
Vänliga hälsningar
Erik Mjöberg
--- On 2014-06-04 10:51, Anne-Marie Eklund- Löwinder wrote: Hej, Din punkt 2 stämmer inte ett enda dugg, där behöver du göra din hemläxa, och andra också kanske? Vilken tur då att det är så lätt att kontrollera fakta. Regelverket för svensk e-legitimation finns publicerat för allmän beskådan, och för varje läskunnig att ta till sig.
Ni hittar det på http://www.elegnamnden.se/ eller närmare bestämt här: http://www.elegnamnden.se/regelverketgallandeversion.4.77dbcb04143807 0e039a8b6.html
Jag kan varmt rekommendera alla intresserade att sätta sig in i hur det ser ut. Det ger tvärtom mot vad Erik (vad jag kan se helt ogrundat) påstår. Jag pekar på några av de viktigaste sakerna här:
Se Bilaga J - Rapporteringsrutiner, punkten 7.5:
"Rapporterat statistikunderlag ska inte medge att det går att härleda enskilda transaktioner mellan Användare och e-tjänst".
Se även Bilaga A - Ersättning och fakturering, punkterna 2, 4.1 och 4.2, om vilken information som fakturorna innehåller. De anger i praktiken enbart antal unika användare per e-tjänst.
Min slutsats är att du har fått saker och ting rejält om bakfoten.
Med vänlig hälsning, Anne-Marie Eklund Löwinder Säkerhetschef .SE (Stiftelsen för Internetinfrastruktur) Adress: Ringvägen 100 Postadress: Box 7399, 103 91 Stockholm Växel: 08-452 35 00 Direkt: 08-452 35 17 Mobil: 0734-31 53 10 E-post: anne-marie.eklund-lowinder@iis.se <mailto:anne-marie.eklund-lowinder@iis.se> <mailto:anne-marie.eklund- lowinder@iis.se> <mailto:anne-marie.eklund-lowinder@iis.se> Twitter: @amelsec Webbplats: https://www.iis.se Från: Erik Mjöberg [mailto:erik.mjoberg@xml.se] Skickat: den 3 juni 2014 22:56 Till: listan@lists.dfri.se <mailto:listan@lists.dfri.se> <mailto:listan@lists.dfri.se> <mailto:listan@lists.dfri.se> Ämne: [DFRI-listan] E-legitimation ... och här en fråga om e-legitimation:
I kommittédirektiv 2010:69 för bildandet av E- legitimationsnämnden står:
Felaktigt utformat skulle ett system för samordning av elektronisk identifiering och signering kunna leda till risker för den personliga integriteten, t.ex. om uppgifter om en enskilds alla kontakter med myndigheterna skulle samlas på samma ställe ...
1. Visste Du att utfärdarna av dagens e- legitimationer (banker, Telia m.fl.) känner till vilka tjänster användarna identifierar sig på? (Se BankIds hemsida<http://www.bankid.com/sv/statistik/> <http://www.bankid.com/sv/statistik/> , punkterna 7 och 8 i statistikrapporterna)
2. Visste Du att i det nya förslaget till Svensk e- legitimation känner inte bara utfärdarna till de tjänster användarna identifierar sig på utan även E-legitima- tionsnämnden (en myndighet under Skatteverket) samlar in samma uppgifter (för att proportionera identifieringskostnaderna på de myndigheter som levererar tjänsterna)?
Vänliga hälsningar
Eri Mjöberg
-- DFRI-listan är öppen för alla. Listan arkiveras och publiceras öppet på internet. Arkiv: http://dir.gmane.org/gmane.org.user-groups.dfri Listpolicy: https://www.dfri.se/regler-for-listan
Hej Erik! Tackar för råden, men råden innebär både som Du säger långbänk och dessutom en omväg via EU, vilket inte alls är avsett. Jag tycker att integritetsfrågor i Sverige borde handläggas enligt Personuppgiftslagen (PuL). Men a propos EU, skulle Du kunna hjälpa mig i en fråga. Vad jag förstår är Du rådgivare till Gröna Gruppen i EU-parlamentet. Som jag tidigare skrev, har jag varit i kontakt med Dataispektionen (Di) angående integritetsfrågorna i mitt e-leg och önskat att Di gör en prövning av mitt e-leg mot PuL. Di har inte gjort någon sådan prövning utan enbart konstaterat att "Datainspektionen inte kommer att vidta någon åtgärd med anledning av av ditt klagomål". Di stödjer sig då på artikel 28.4 i nuvarande datskyddsdirektiv 95/46/EG: "/Var och en kan, på egen hand eller företrädd av en organisation, vända sig till tillsynsmyndigheten med begäran om skydd för sina fri- och rättigheter med avseende på behandling av personuppgifter. Den berörda personen skall informeras om vilka följder hans begäran har fått./" Enligt 28.4 har Di ingen skyldighet att göra den begärda prövningen mot PuL utan bara leverera ett besked om vilken åtgärd Di kommer att vidta. I mitt fall har detta visat sig vara en fallucka. I *förslaget till ny Dataskyddsförordning* artikel 52.1b föreskrivs för tillsynsmyndigheten (idag Di): "/Ta emot klagomål från registrerade eller från sammanslutningar som representerar registrerade enligt artikel 73, där så är lämpligt undersöka sakfrågan och inom rimlig tid underrätta den registrerade eller sammanslutningen om hur behandlingen av klagomålet fortskrider och vilken slutsats som nås, i synnerhet om det krävs ytterligare undersökningar eller samordning med en annan tillsynsmyndighet./" Vidare i artikel 74: "/1. Varje fysisk eller juridisk person ska ha rätt till ett rättsmedel mot beslut som en////tillsynsmyndighet har fattat med avseende på vederbörande.////2. Varje registrerad ska ha rätt till ett rättsmedel som förpliktar tillsynsmyndigheten att////behandla ett klagomål om ett beslut som krävs för att skydda den registrerades////rättigheter inte har fattats eller om tillsynsmyndigheten inte inom tre månader////informerar den registrerade om hur ärendet fortskrider eller vilket beslut som har////fattats med anledning av klagomålet i enlighet med artikel 52.1 b./" *Detta har Di mycket riktigt motsatt sig*, läs Di:s remissvar <http://www.datainspektionen.se/Documents/remissvar/2012-03-20-eu-dataskyddsforordning.pdf> sid 10: "/I artikel 52 p.6 anges att en nationell tillsynsmyndighet har rätt att inte vidta en begärd åtgärd om begäran är uppenbart orimligt omfattande.Tillsynsmyndigheten har//bevisbördan för detta. Detta får tolkas som att tillsynsmyndigheten i andra fall har en skyldighet att alltid vidta åtgärder på//begäran av en enskild. Detta stöds av artikel 74 enligt vilken en enskild ska//kunna vända sig till domstol och begära att en til//lsynsmyndighet vidtar//åtgärder. Datainspektionen tar redan idag emot klagomål från enskilda men//gör alltid en egen bedömning av om klagomålet ska leda till vidare åtgärder//eller inte. Denna möjlighet till självständig bedömning är en förutsättning för//att//myndigheten ska kunna prioritera sina resurser och rikta dessa mot de//fö//reteelser som är särskilt känsliga eller ingripande//ur dataskyddssynpunkt.//En situation där tillsynsmyndigheten blir skyldig att lägga resurser på att vidta//åtgärder med anledning av v//arje enskilt klagomål//kommer//att väsentligt///f/örsvåra myndighetens möjligheter att prioritera rätt saker.//Datainspektionen //avstyrker därför förslaget i denna del." /Mitt önskemål till Dig är att Du arbetar för att Gröna Gruppen försvarar formuleringarna i artiklarna 52, 73 och 74 mot Datainspektionens angrepp. Vänliga helghälsningar Erik Mjöberg On 2014-06-17 17:36, JOSEFSSON Erik wrote:
Om det finns möjlighet (och det vet jag inte om det gör!) så skulle det kanske funka att dra igång en långbänk efter känd modell:
https://www.dfri.se/wiki/ep-acta-docs/
Typ.
Man hur man än gör så innebär det jobb både med avseende på "grundforskning" och vad gäller att få en redan ambitiös styrelse att även ta ansvar för att köra långbänken ända fram.
Hoppas att du inte tar illa upp att jag inte sätter mig in i grundfrågan om du har rätt eller inte, har rätt kass bandbredd.
mvh
//Erik ________________________________________ From: Erik Mjöberg [erik.mjoberg@xml.se] Sent: Tuesday 17 June 2014 17:24 To: JOSEFSSON Erik; listan@lists.dfri.se Subject: Re: SV: SV: Re: Ang.: SV: [DFRI-listan] E-legitimation
Tack för rådet, Erik. Jag har varit i kontakt med både Datainspektionen och e-legitimationsnämnden och fått lika undvikande svar som av Ann-Marie Eklund-Lövinder. Jag utgår från att Du tycker att debatten ändå platsar här och att sakfrågan ligger inom ramen för DFRI.
Vänliga hälsningar
Erik Mjöberg
On 2014-06-12 11:00, JOSEFSSON Erik wrote:
Föråt ett råd i bästa välmening, men skulle det inte gå att påbörja nån slags mejväxling med den ansvariga institutionen eller linkande?
Vet inte om det finns nån "askthegovernment. se" som motsvarar "asktheeu.org", men en mer formell process än mail på den här listan skulle kanske lösa upp några kommunikaitonsknutar och fastställa var dom riktiga problemen ligger.
Extemfallet är kommunikation via rättsprocess, om inte det finkar så får man jobba för ändrad lagstiftning.
Korvmaskinister unite!
mvh
//Erik
-----Original Message----- From: Erik Mjöberg [mailto:erik.mjoberg@xml.se] Sent: 12 June 2014 09:49 To: Anne-Marie Eklund-Löwinder; listan@lists.dfri.se Subject: Re: SV: SV: Re: Ang.: SV: [DFRI-listan] E-legitimation
Bästa Anne-Marie Eklund-Löwinder! Du har inte svarat på min fråga. Du har inte heller haft några invändningar mot att legitmationsutfärdarna (bankerna, Telia m.fl.) både i dagens och i framtida Svensk e-legitimation samlar adresserna till användarnas anlitade tjänster. Du konstaterar att här finns inget att se och ber mig cirkulera. Allt detta tycker jag är oseriöst. Erik Mjöberg
On 2014-06-11 15:20, Anne-Marie Eklund-Löwinder wrote:
Hej,
Jag tror du övertolkar budskapet. Jag har inget intresse av att föra den här diskussionen med dig. Jag håller inte med dig, och jag ser inte något som indikerar att du har rätt och jag har fel. Men jag släpper det. Jag har verkligen inte tid. OK? Det måste dessutom finnas mycket bättre mejlinglistor att föra den här diskussionen på än DFRI:s, eller varför inte rikta frågan direkt till e-legitimationsnämnden.
Med vänlig hälsning,
Anne-Marie
-----Ursprungligt meddelande----- Från: Erik Mjöberg [mailto:erik.mjoberg@xml.se] Skickat: den 11 juni 2014 10:59 Till: Anne-Marie Eklund-Löwinder; listan@lists.dfri.se Ämne: Re: SV: Re: Ang.: SV: [DFRI-listan] E-legitimation
Bästa Anne-Marie Eklund-Löwinder!
Jag förvånar mig över Dina oförskämdheter och Din maktarrogans, men låter den saken bero.
Det som är ännu allvarligare är att Du inte ens försöker svara på min fråga om E-legitimationsnämndens insamling av tjänsteleverantörernas adresser tillgodoser kraven i Personuppgiftslagen och i direktivet till tillsättandet av E- legitimationsnämnden, utan i stället tar upp något som jag över huvud taget inte har nämnt, nämligen anvisningstjänsten i Svensk e-legitimation. Det jag frågade Dig om är ju en helt annan sak, vilket Du med Dina djupa kunskaper i ämnet säkert förstår.
Det är för mig obegripligt att Du anser Dig och dessutom anser mig ha andra och viktigare frågor att beakta än den uppenbara integritetskränkning som sker i dagens e-legitimation och genom användningen av SAML i förslaget till ny Svensk e-legitimation.
Med förundrad hälsning
Erik Mjöberg
On 2014-06-10 07:24, Anne-Marie Eklund-Löwinder wrote:
Hej!
På frågan riktad till mig:
Frågan är egentligen hypotetisk eftersom det inte är så det fungerar. Om det är anvisningstjänsten du är upprörd över, så har den flera gränssnitt - endast ett av dessa innebär att användarens UA hämtar listan över valbara utgivare och därmed lämnar spår efter sig i form av IP-adresser. I andra situationer hämtar e-tjänsten listan regelbundet och presenterar den själv. Och i andra fall används inte anvisningstjänsten alls. Anvisningstjänsten är dessutom federationsspecifik, och ger därför inte den helhetsbild av användningen som du försöker göra gällande. Det är inte heller dessa uppgifter som ligger till grund för vare sig debitering eller statistik, du har helt enkelt förstått det hela väldigt fel.
Jag är inte jurist, men det finns inga indikationer på att den här anvisningstjänsten skulle vara oförenlig med svensk och europeisk persondataskyddslagstiftning. Tror du inte på det så får du ställa samma fråga till ansvariga myndigheter.
Så min slutsats: Här finns inget att se, cirkulera. Rikta din energi på något som faktiskt är problematiskt. Det finns gott om sådant. Det behöver i alla fall jag göra. Så jag avslutar den här diskussionen från min sida.
Med vänlig hälsning,
Anne-Marie
Från: Erik Mjöberg [mailto:erik.mjoberg@xml.se] Skickat: den 5 juni 2014 09:51 Till: listan@lists.dfri.se <mailto:listan@lists.dfri.se> Ämne: Fwd: Re: Ang.: SV: [DFRI-listan] E-legitimation
Hej igen!
Beträffande frågan om samtycke i e-legitimationer, kan man inte bygga upp ett legitimeringssystem som förutsätter att de legitimerade samtycker till att personuppgifter används i strid med PuL.
Om jag inte samtycker till att mina besök hos anlitade tjänster registreras av legitimationsutfärdarna, får jag inte vara med då? Får jag inte vara med om jag inte samtycker till att banken känner till att jag tidsbokat på en HIV-klinik?
Och slutligen en fråga till Anne-Mari Eklund Lövinder: Anser Du att integritetskravet i direktivet 2010:69 är uppfyllt, om adresserna till de av användarna anlitade tjänsterna samlas in av e-legitimationsnämnden i enlighet med SAML-idp-discovery-standarden, men användarna skalas av vid rapporteringen till faktureringen?
Vänliga hälsningar
Erik Mjöberg
-------- Original Message --------
Subject:
Re: Ang.: SV: [DFRI-listan] E-legitimation
Date:
Wed, 04 Jun 2014 17:33:12 +0200
From:
Erik Mjöberg <erik.mjoberg@xml.se> <mailto:erik.mjoberg@xml.se>
Organization:
AB XML Sweden
To:
Tobias Pulls <tobias.pulls@kau.se> <mailto:tobias.pulls@kau.se> , listan@lists.dfri.se <mailto:listan@lists.dfri.se>
Hej Tobias!
Bra att Du tog upp frågan om samtycke.
I avtalet med min bank, Handelsbanken, finns ingenting om samtycke till att samla in uppgifter om besökta tjänster. Jag känner inte heller till att någon annan legitimationsutfärdare skulle ha en sådan friskrivning. Slutligen kan utfärdaren begära samtycke till insamling av adressen till den anlitade tjänsten i samband med att tjänsten anlitas, men inte heller det har skett i någon av de tjänster som jag har anlitat.
Så jag känner mig ganska kränkt av hanteringen ... Men det har en mycket ringa betydelse i sammanhanget. Det väsentliga är att den klart strider mot Person- uppgiftslagen (PuL)! Och inte bara mot PuL utan även mot t.ex. EU-stadgans skydd av personuppgifter i artikel 7 och 8. Om man tillämpar samma metod som EU- domstolen gjorde beträffande upphävandet av ändringarna i Datalagringsdirektivet (proportionalitetsprincipen i artikel 52:1) skulle insamlingen av adresserna till de av användarna anlitade tjänsterna vara ett "allmänt samhällsintresse som erkänns av unionen" om hanteringen skulle godkännas av EU-domstolen. Det har jag svårt att tro.
Det finns sedan flera år tillbaka färdiga lösningar på hur legitimationsutfärdaren kan styrka användarens identitet utan att känna till var styrkandet ska användas - - precis som i den analoga världen. Se t.ex. Identity 2.0 från 2006 eller user- centric IDs.
Vänliga hälsningar
Erik Mjöberg
On 2014-06-04 15:39, Tobias Pulls wrote:
Hej,
Värt att notera är också att det här troligen inte är ett brott mot personuppgiftslagen _förutsatt_ att samtycke är inhämtat av t ex banken vid utfärdandet av BankID. Det sagt så är det knappast något positivt att denna spårbarhet finns i systemet och troligen är det många fler än Erik som upplever detta som ett intrång. Denna läcka baserat på samtyckte (som i dagsläget är långt från informerat i något annat än juridisk mening) borde ha tagits bort av e- legitimationsnämnden genom att förbjuda annan användning än strikt nödvändigt eftersom identitetsleverantörer redan får betalt. Tyvärr gjordes inte detta så det är bara att hoppas att öppna och moderna tekniska lösningar som anonymous credentials används för nästa generation, för det finns ingen stark vilja att lägga in juridiskt personskydd utöver det minimala som krävs. Trevlig sits för identitetsleverantörerna dock, de får betalt för att skapa profiler av folk.
Vad gäller punkt 2 från Erik så ska man vara väldigt försiktig med att underskatta tom vad den aggregarade informationen har för inverkan på personers privatliv. Det behövs inte mycket extra information för att skapa skrämmande scenarion. En av de få sakerna ur integritetssynpunkt som SAML förbättrar är möjligheten att bara ge ut relevant information till tjänster istället för allt på ett certifikat. Utöver det bör man nog vara försiktig om man vill kalla SAML lösningen integritetsvänlig.
Mvh, Tobias
On 04/06/14 14:49, Anne-Marie Eklund-Löwinder wrote:
Jag fann ingen anledning att kommentera 1. Det är nog allmänt känt att det är personnummer i certifikatet och därmed är spåret tydligt för banken med flera i dagens system. /amel
Skickat från min HTC
----- Reply message ----- Från: "Erik Mjöberg" <erik.mjoberg@xml.se> <mailto:erik.mjoberg@xml.se> Till: "listan@lists.dfri.se" <mailto:listan@lists.dfri.se> <listan@lists.dfri.se> <mailto:listan@lists.dfri.se> Rubrik: SV: [DFRI-listan] E-legitimation Datum: ons, jun 4, 2014 14:25
Hej DFRI-listan!
Äntligen har jag fått ett svar i sak på vad jag hela tiden påstått. Det är första gången på två år! Låt mig ta upp sakfrågorna.
1. För det första har Anne-Marie Eklund- Löwinder hittills inget att erinra mot min beskrivning att e- legitimationsutfärdarna (bankerna, Telia, m.fl.) samlar in adresserna till de av användarna anlitade e-tjänsterna i dagens e-legitimationssystem. Det är allvarligt nog! I det föreslagna nya systemet med Svensk e-legitimation bekräftas tidigare adressinsamling genom användning av standarden SAML-assertion.
Om jag har gjort en tidsbokning på en HIV-klinik eller hos en psykiater med min e-legitimation, vill jag inte att banken ska få reda på det. Om jag har varit inne på mina apoteksrecepttjänster vill jag inte att banken ska känna till det. Om min hustru har haft flera tidsbokningar för kontroll av bröstcancer vill jag inte att banken ska känna till det. Jag vill inte heller att banken ska kunna sälja dessa uppgifter till det försäkringsbolag där min hustru eller jag har våra livförsäkringar. Om jag t.ex. har anlitat Svenska Spels tjänster ofta vill jag inte att banken ska komma till mig och begära omförhandling av räntan på mitt bostadslån eftersom banken då bedömer sig ta en högre risk. Om bolånet ligger i en annan bank vill jag inte att banken ska sälja samma uppgifter till den banken. Om jag är medlem i ett politiskt parti vill jag inte att banken ska känna till att jag loggar in mig med e- legitimation på partiets medlemstjänst. Jag anser att dessa förhållanden gravt kränker min personliga integritet. Jag har därmed lidit skada. Detta gäller även 2 miljoner andra e-legitimationsinnehavare som med mig har förvägrats det skydd som tillkommer oss enligt Personuppgiftslagen (1998:204).
Om jag i den analoga världen vill legitimera mig med mitt körkort, har Transportstyrelsen, som utfärdat mitt körkort, ingen aning om var, när och i vilken omfattning jag identifierar mig med körkortet. Då borde det självklart vara ett anständighetskrav att den digitala lösningen uppfyller minst samma integritetskrav. Men om det fungerade med mitt körkort som det fungerar på nätet med e-legitimation skulle den expedit som granskar mitt körkort säga: "Vänta ett tag, jag ska bara skicka information till Transportstyrelsen om att Du har legitimerat Dig här." Då skulle jag fråga mig: "Vad angår det Transportstyrelsen var jag legitimerar mig med mitt körkort?"
2. Punkt 2 stämmer exakt med felet i principen att E-legitimationsnämnden samlar de adresser användaren anlitar när hon/han identifierar sig i en e-tjänst. E-legitimationsnämnden hämtar/samlar dessa adresser enligt SAML-idp-discovery-standarden. Det är detta som kommittédirektivet 2010:69 skjuter in sig på. Insamlandet! Och direktivet utgår då från Personuppgiftslagen (1998:204), som slår ned på "behandling av personuppgifter" (3 §) som innefattar "Varje åtgärd eller serie av åtgärder som vidtas i fråga om personuppgifter, ... t.ex. insamling, ... inhämtande ... av uppgifter ...". Att sedan det rapporterade statistikunderlaget har skalat av individerna har inte med saken att göra, det handlar om kosmetik - inte om integritetsskydd.
Jag överlåter åt läsaren av detta att avgöra om mina påståenden är ogrundade eller om jag har fått saker och ting rejält om bakfoten.
---
Till Sven Ruin vill jag säga att det ligger mycket i vad Du säger. Naturligtvis går det att omformulera frågorna. T.ex.: Anser Du att det är bra att utfärdarna av dagens e-legitimationer (banker, Telia m.fl.) känner till vilka tjänster användarna identifierar sig på?
Vänliga hälsningar
Erik Mjöberg
--- On 2014-06-04 10:51, Anne-Marie Eklund- Löwinder wrote: Hej, Din punkt 2 stämmer inte ett enda dugg, där behöver du göra din hemläxa, och andra också kanske? Vilken tur då att det är så lätt att kontrollera fakta. Regelverket för svensk e-legitimation finns publicerat för allmän beskådan, och för varje läskunnig att ta till sig.
Ni hittar det på http://www.elegnamnden.se/ eller närmare bestämt här: http://www.elegnamnden.se/regelverketgallandeversion.4.77dbcb04143807 0e039a8b6.html
Jag kan varmt rekommendera alla intresserade att sätta sig in i hur det ser ut. Det ger tvärtom mot vad Erik (vad jag kan se helt ogrundat) påstår. Jag pekar på några av de viktigaste sakerna här:
Se Bilaga J - Rapporteringsrutiner, punkten 7.5:
"Rapporterat statistikunderlag ska inte medge att det går att härleda enskilda transaktioner mellan Användare och e-tjänst".
Se även Bilaga A - Ersättning och fakturering, punkterna 2, 4.1 och 4.2, om vilken information som fakturorna innehåller. De anger i praktiken enbart antal unika användare per e-tjänst.
Min slutsats är att du har fått saker och ting rejält om bakfoten.
Med vänlig hälsning, Anne-Marie Eklund Löwinder Säkerhetschef .SE (Stiftelsen för Internetinfrastruktur) Adress: Ringvägen 100 Postadress: Box 7399, 103 91 Stockholm Växel: 08-452 35 00 Direkt: 08-452 35 17 Mobil: 0734-31 53 10 E-post: anne-marie.eklund-lowinder@iis.se <mailto:anne-marie.eklund-lowinder@iis.se> <mailto:anne-marie.eklund- lowinder@iis.se> <mailto:anne-marie.eklund-lowinder@iis.se> Twitter: @amelsec Webbplats: https://www.iis.se Från: Erik Mjöberg [mailto:erik.mjoberg@xml.se] Skickat: den 3 juni 2014 22:56 Till: listan@lists.dfri.se <mailto:listan@lists.dfri.se> <mailto:listan@lists.dfri.se> <mailto:listan@lists.dfri.se> Ämne: [DFRI-listan] E-legitimation ... och här en fråga om e-legitimation:
I kommittédirektiv 2010:69 för bildandet av E- legitimationsnämnden står:
Felaktigt utformat skulle ett system för samordning av elektronisk identifiering och signering kunna leda till risker för den personliga integriteten, t.ex. om uppgifter om en enskilds alla kontakter med myndigheterna skulle samlas på samma ställe ...
1. Visste Du att utfärdarna av dagens e- legitimationer (banker, Telia m.fl.) känner till vilka tjänster användarna identifierar sig på? (Se BankIds hemsida<http://www.bankid.com/sv/statistik/> <http://www.bankid.com/sv/statistik/> , punkterna 7 och 8 i statistikrapporterna)
2. Visste Du att i det nya förslaget till Svensk e- legitimation känner inte bara utfärdarna till de tjänster användarna identifierar sig på utan även E-legitima- tionsnämnden (en myndighet under Skatteverket) samlar in samma uppgifter (för att proportionera identifieringskostnaderna på de myndigheter som levererar tjänsterna)?
Vänliga hälsningar
Eri Mjöberg
Nu börjar det likna nåt! :-) Dataskyddsförordningen är färdigbehandlad av parlamentet. Nu är det upp till rådet att antingen acceptera parlamentets version eller lägga fram en egen. Lägger rådet fram en egen version så börjar parlamentets andrabehandling, men innan dess händer i princip ingenting. IPRED2 låg i kylen ända fram till ACTA dök upp, och det är inte osannolikt att dataskyddsförordningen inte kommer att röra på sig innan EUSA has bestämt sig för om dataskydd ska ingå i TTIP. Hoppas att du förstår parallellen, om inte så säg till! Sveriges regering har antagligen redan en uppfattning, så det första du/vi skulle kunna göra är att ta reda på exakt vad regeringen tycker om EPs version av artiklarna 52, 73 och 74. Det andra är att formulera några frågor till valundersökningen som ringar in exakt vad problemet är och vad du/vi vill att den nya regeringen ska lova att den ska göra i rådet. Alltså att skriva en "begriplig" version av frågan: "Kommer du att försvara formuleringarna i artiklarna 52, 73 och 74 mot Datainspektionens angrepp?". Vad gäller långbänken menade jag inte att ta en omväg över EU för att få ut dokument. Långbänken avser både arbetet och processen att få DFRI att som förening engagera sig i en byråkratisk dialog representerade av sin ordförande eller annan medlem som fått förtroendet att föra DFRIs talan i detta ärende. Andreas mejväxling om PTS-knappen hade varit ett bättre exempel än ACTA-följetången. mvh //Erik From: Erik Mjöberg [mailto:erik.mjoberg@xml.se] Sent: 19 June 2014 14:42 To: listan@lists.dfri.se; JOSEFSSON Erik Subject: Re: SV: SV: Re: Ang.: SV: [DFRI-listan] E-legitimation Hej Erik! Tackar för råden, men råden innebär både som Du säger långbänk och dessutom en omväg via EU, vilket inte alls är avsett. Jag tycker att integritetsfrågor i Sverige borde handläggas enligt Personuppgiftslagen (PuL). Men a propos EU, skulle Du kunna hjälpa mig i en fråga. Vad jag förstår är Du rådgivare till Gröna Gruppen i EU-parlamentet. Som jag tidigare skrev, har jag varit i kontakt med Dataispektionen (Di) angående integritetsfrågorna i mitt e-leg och önskat att Di gör en prövning av mitt e-leg mot PuL. Di har inte gjort någon sådan prövning utan enbart konstaterat att "Datainspektionen inte kommer att vidta någon åtgärd med anledning av av ditt klagomål". Di stödjer sig då på artikel 28.4 i nuvarande datskyddsdirektiv 95/46/EG: "Var och en kan, på egen hand eller företrädd av en organisation, vända sig till tillsynsmyndigheten med begäran om skydd för sina fri- och rättigheter med avseende på behandling av personuppgifter. Den berörda personen skall informeras om vilka följder hans begäran har fått." Enligt 28.4 har Di ingen skyldighet att göra den begärda prövningen mot PuL utan bara leverera ett besked om vilken åtgärd Di kommer att vidta. I mitt fall har detta visat sig vara en fallucka. I förslaget till ny Dataskyddsförordning artikel 52.1b föreskrivs för tillsynsmyndigheten (idag Di): "Ta emot klagomål från registrerade eller från sammanslutningar som representerar registrerade enligt artikel 73, där så är lämpligt undersöka sakfrågan och inom rimlig tid underrätta den registrerade eller sammanslutningen om hur behandlingen av klagomålet fortskrider och vilken slutsats som nås, i synnerhet om det krävs ytterligare undersökningar eller samordning med en annan tillsynsmyndighet." Vidare i artikel 74: "1. Varje fysisk eller juridisk person ska ha rätt till ett rättsmedel mot beslut som en tillsynsmyndighet har fattat med avseende på vederbörande. 2. Varje registrerad ska ha rätt till ett rättsmedel som förpliktar tillsynsmyndigheten att behandla ett klagomål om ett beslut som krävs för att skydda den registrerades rättigheter inte har fattats eller om tillsynsmyndigheten inte inom tre månader informerar den registrerade om hur ärendet fortskrider eller vilket beslut som har fattats med anledning av klagomålet i enlighet med artikel 52.1 b." Detta har Di mycket riktigt motsatt sig, läs Di:s remissvar<http://www.datainspektionen.se/Documents/remissvar/2012-03-20-eu-dataskyddsforordning.pdf> sid 10: "I artikel 52 p.6 anges att en nationell tillsynsmyndighet har rätt att inte vidta en begärd åtgärd om begäran är uppenbart orimligt omfattande.Tillsynsmyndigheten har bevisbördan för detta. Detta får tolkas som att tillsynsmyndigheten i andra fall har en skyldighet att alltid vidta åtgärder på begäran av en enskild. Detta stöds av artikel 74 enligt vilken en enskild ska kunna vända sig till domstol och begära att en tillsynsmyndighet vidtar åtgärder. Datainspektionen tar redan idag emot klagomål från enskilda men gör alltid en egen bedömning av om klagomålet ska leda till vidare åtgärder eller inte. Denna möjlighet till självständig bedömning är en förutsättning för att myndigheten ska kunna prioritera sina resurser och rikta dessa mot de företeelser som är särskilt känsliga eller ingripande ur dataskyddssynpunkt. En situation där tillsynsmyndigheten blir skyldig att lägga resurser på att vidta åtgärder med anledning av varje enskilt klagomål kommer att väsentligt försvåra myndighetens möjligheter att prioritera rätt saker. Datainspektionen avstyrker därför förslaget i denna del." Mitt önskemål till Dig är att Du arbetar för att Gröna Gruppen försvarar formuleringarna i artiklarna 52, 73 och 74 mot Datainspektionens angrepp. Vänliga helghälsningar Erik Mjöberg On 2014-06-17 17:36, JOSEFSSON Erik wrote: Om det finns möjlighet (och det vet jag inte om det gör!) så skulle det kanske funka att dra igång en långbänk efter känd modell: https://www.dfri.se/wiki/ep-acta-docs/ Typ. Man hur man än gör så innebär det jobb både med avseende på "grundforskning" och vad gäller att få en redan ambitiös styrelse att även ta ansvar för att köra långbänken ända fram. Hoppas att du inte tar illa upp att jag inte sätter mig in i grundfrågan om du har rätt eller inte, har rätt kass bandbredd. mvh //Erik ________________________________________ From: Erik Mjöberg [erik.mjoberg@xml.se<mailto:erik.mjoberg@xml.se>] Sent: Tuesday 17 June 2014 17:24 To: JOSEFSSON Erik; listan@lists.dfri.se<mailto:listan@lists.dfri.se> Subject: Re: SV: SV: Re: Ang.: SV: [DFRI-listan] E-legitimation Tack för rådet, Erik. Jag har varit i kontakt med både Datainspektionen och e-legitimationsnämnden och fått lika undvikande svar som av Ann-Marie Eklund-Lövinder. Jag utgår från att Du tycker att debatten ändå platsar här och att sakfrågan ligger inom ramen för DFRI. Vänliga hälsningar Erik Mjöberg On 2014-06-12 11:00, JOSEFSSON Erik wrote: Föråt ett råd i bästa välmening, men skulle det inte gå att påbörja nån slags mejväxling med den ansvariga institutionen eller linkande? Vet inte om det finns nån "askthegovernment. se" som motsvarar "asktheeu.org", men en mer formell process än mail på den här listan skulle kanske lösa upp några kommunikaitonsknutar och fastställa var dom riktiga problemen ligger. Extemfallet är kommunikation via rättsprocess, om inte det finkar så får man jobba för ändrad lagstiftning. Korvmaskinister unite! mvh //Erik -----Original Message----- From: Erik Mjöberg [mailto:erik.mjoberg@xml.se] Sent: 12 June 2014 09:49 To: Anne-Marie Eklund-Löwinder; listan@lists.dfri.se<mailto:listan@lists.dfri.se> Subject: Re: SV: SV: Re: Ang.: SV: [DFRI-listan] E-legitimation Bästa Anne-Marie Eklund-Löwinder! Du har inte svarat på min fråga. Du har inte heller haft några invändningar mot att legitmationsutfärdarna (bankerna, Telia m.fl.) både i dagens och i framtida Svensk e-legitimation samlar adresserna till användarnas anlitade tjänster. Du konstaterar att här finns inget att se och ber mig cirkulera. Allt detta tycker jag är oseriöst. Erik Mjöberg On 2014-06-11 15:20, Anne-Marie Eklund-Löwinder wrote: Hej, Jag tror du övertolkar budskapet. Jag har inget intresse av att föra den här diskussionen med dig. Jag håller inte med dig, och jag ser inte något som indikerar att du har rätt och jag har fel. Men jag släpper det. Jag har verkligen inte tid. OK? Det måste dessutom finnas mycket bättre mejlinglistor att föra den här diskussionen på än DFRI:s, eller varför inte rikta frågan direkt till e-legitimationsnämnden. Med vänlig hälsning, Anne-Marie -----Ursprungligt meddelande----- Från: Erik Mjöberg [mailto:erik.mjoberg@xml.se] Skickat: den 11 juni 2014 10:59 Till: Anne-Marie Eklund-Löwinder; listan@lists.dfri.se<mailto:listan@lists.dfri.se> Ämne: Re: SV: Re: Ang.: SV: [DFRI-listan] E-legitimation Bästa Anne-Marie Eklund-Löwinder! Jag förvånar mig över Dina oförskämdheter och Din maktarrogans, men låter den saken bero. Det som är ännu allvarligare är att Du inte ens försöker svara på min fråga om E-legitimationsnämndens insamling av tjänsteleverantörernas adresser tillgodoser kraven i Personuppgiftslagen och i direktivet till tillsättandet av E- legitimationsnämnden, utan i stället tar upp något som jag över huvud taget inte har nämnt, nämligen anvisningstjänsten i Svensk e-legitimation. Det jag frågade Dig om är ju en helt annan sak, vilket Du med Dina djupa kunskaper i ämnet säkert förstår. Det är för mig obegripligt att Du anser Dig och dessutom anser mig ha andra och viktigare frågor att beakta än den uppenbara integritetskränkning som sker i dagens e-legitimation och genom användningen av SAML i förslaget till ny Svensk e-legitimation. Med förundrad hälsning Erik Mjöberg On 2014-06-10 07:24, Anne-Marie Eklund-Löwinder wrote: Hej! På frågan riktad till mig: Frågan är egentligen hypotetisk eftersom det inte är så det fungerar. Om det är anvisningstjänsten du är upprörd över, så har den flera gränssnitt - endast ett av dessa innebär att användarens UA hämtar listan över valbara utgivare och därmed lämnar spår efter sig i form av IP-adresser. I andra situationer hämtar e-tjänsten listan regelbundet och presenterar den själv. Och i andra fall används inte anvisningstjänsten alls. Anvisningstjänsten är dessutom federationsspecifik, och ger därför inte den helhetsbild av användningen som du försöker göra gällande. Det är inte heller dessa uppgifter som ligger till grund för vare sig debitering eller statistik, du har helt enkelt förstått det hela väldigt fel. Jag är inte jurist, men det finns inga indikationer på att den här anvisningstjänsten skulle vara oförenlig med svensk och europeisk persondataskyddslagstiftning. Tror du inte på det så får du ställa samma fråga till ansvariga myndigheter. Så min slutsats: Här finns inget att se, cirkulera. Rikta din energi på något som faktiskt är problematiskt. Det finns gott om sådant. Det behöver i alla fall jag göra. Så jag avslutar den här diskussionen från min sida. Med vänlig hälsning, Anne-Marie Från: Erik Mjöberg [mailto:erik.mjoberg@xml.se] Skickat: den 5 juni 2014 09:51 Till: listan@lists.dfri.se<mailto:listan@lists.dfri.se> <mailto:listan@lists.dfri.se><mailto:listan@lists.dfri.se> Ämne: Fwd: Re: Ang.: SV: [DFRI-listan] E-legitimation Hej igen! Beträffande frågan om samtycke i e-legitimationer, kan man inte bygga upp ett legitimeringssystem som förutsätter att de legitimerade samtycker till att personuppgifter används i strid med PuL. Om jag inte samtycker till att mina besök hos anlitade tjänster registreras av legitimationsutfärdarna, får jag inte vara med då? Får jag inte vara med om jag inte samtycker till att banken känner till att jag tidsbokat på en HIV-klinik? Och slutligen en fråga till Anne-Mari Eklund Lövinder: Anser Du att integritetskravet i direktivet 2010:69 är uppfyllt, om adresserna till de av användarna anlitade tjänsterna samlas in av e-legitimationsnämnden i enlighet med SAML-idp-discovery-standarden, men användarna skalas av vid rapporteringen till faktureringen? Vänliga hälsningar Erik Mjöberg -------- Original Message -------- Subject: Re: Ang.: SV: [DFRI-listan] E-legitimation Date: Wed, 04 Jun 2014 17:33:12 +0200 From: Erik Mjöberg <erik.mjoberg@xml.se><mailto:erik.mjoberg@xml.se> <mailto:erik.mjoberg@xml.se><mailto:erik.mjoberg@xml.se> Organization: AB XML Sweden To: Tobias Pulls <tobias.pulls@kau.se><mailto:tobias.pulls@kau.se> <mailto:tobias.pulls@kau.se><mailto:tobias.pulls@kau.se> , listan@lists.dfri.se<mailto:listan@lists.dfri.se> <mailto:listan@lists.dfri.se><mailto:listan@lists.dfri.se> Hej Tobias! Bra att Du tog upp frågan om samtycke. I avtalet med min bank, Handelsbanken, finns ingenting om samtycke till att samla in uppgifter om besökta tjänster. Jag känner inte heller till att någon annan legitimationsutfärdare skulle ha en sådan friskrivning. Slutligen kan utfärdaren begära samtycke till insamling av adressen till den anlitade tjänsten i samband med att tjänsten anlitas, men inte heller det har skett i någon av de tjänster som jag har anlitat. Så jag känner mig ganska kränkt av hanteringen ... Men det har en mycket ringa betydelse i sammanhanget. Det väsentliga är att den klart strider mot Person- uppgiftslagen (PuL)! Och inte bara mot PuL utan även mot t.ex. EU-stadgans skydd av personuppgifter i artikel 7 och 8. Om man tillämpar samma metod som EU- domstolen gjorde beträffande upphävandet av ändringarna i Datalagringsdirektivet (proportionalitetsprincipen i artikel 52:1) skulle insamlingen av adresserna till de av användarna anlitade tjänsterna vara ett "allmänt samhällsintresse som erkänns av unionen" om hanteringen skulle godkännas av EU-domstolen. Det har jag svårt att tro. Det finns sedan flera år tillbaka färdiga lösningar på hur legitimationsutfärdaren kan styrka användarens identitet utan att känna till var styrkandet ska användas - - precis som i den analoga världen. Se t.ex. Identity 2.0 från 2006 eller user- centric IDs. Vänliga hälsningar Erik Mjöberg On 2014-06-04 15:39, Tobias Pulls wrote: Hej, Värt att notera är också att det här troligen inte är ett brott mot personuppgiftslagen _förutsatt_ att samtycke är inhämtat av t ex banken vid utfärdandet av BankID. Det sagt så är det knappast något positivt att denna spårbarhet finns i systemet och troligen är det många fler än Erik som upplever detta som ett intrång. Denna läcka baserat på samtyckte (som i dagsläget är långt från informerat i något annat än juridisk mening) borde ha tagits bort av e- legitimationsnämnden genom att förbjuda annan användning än strikt nödvändigt eftersom identitetsleverantörer redan får betalt. Tyvärr gjordes inte detta så det är bara att hoppas att öppna och moderna tekniska lösningar som anonymous credentials används för nästa generation, för det finns ingen stark vilja att lägga in juridiskt personskydd utöver det minimala som krävs. Trevlig sits för identitetsleverantörerna dock, de får betalt för att skapa profiler av folk. Vad gäller punkt 2 från Erik så ska man vara väldigt försiktig med att underskatta tom vad den aggregarade informationen har för inverkan på personers privatliv. Det behövs inte mycket extra information för att skapa skrämmande scenarion. En av de få sakerna ur integritetssynpunkt som SAML förbättrar är möjligheten att bara ge ut relevant information till tjänster istället för allt på ett certifikat. Utöver det bör man nog vara försiktig om man vill kalla SAML lösningen integritetsvänlig. Mvh, Tobias On 04/06/14 14:49, Anne-Marie Eklund-Löwinder wrote: Jag fann ingen anledning att kommentera 1. Det är nog allmänt känt att det är personnummer i certifikatet och därmed är spåret tydligt för banken med flera i dagens system. /amel Skickat från min HTC ----- Reply message ----- Från: "Erik Mjöberg" <erik.mjoberg@xml.se><mailto:erik.mjoberg@xml.se> <mailto:erik.mjoberg@xml.se><mailto:erik.mjoberg@xml.se> Till: "listan@lists.dfri.se"<mailto:listan@lists.dfri.se> <mailto:listan@lists.dfri.se><mailto:listan@lists.dfri.se> <listan@lists.dfri.se><mailto:listan@lists.dfri.se> <mailto:listan@lists.dfri.se><mailto:listan@lists.dfri.se> Rubrik: SV: [DFRI-listan] E-legitimation Datum: ons, jun 4, 2014 14:25 Hej DFRI-listan! Äntligen har jag fått ett svar i sak på vad jag hela tiden påstått. Det är första gången på två år! Låt mig ta upp sakfrågorna. 1. För det första har Anne-Marie Eklund- Löwinder hittills inget att erinra mot min beskrivning att e- legitimationsutfärdarna (bankerna, Telia, m.fl.) samlar in adresserna till de av användarna anlitade e-tjänsterna i dagens e-legitimationssystem. Det är allvarligt nog! I det föreslagna nya systemet med Svensk e-legitimation bekräftas tidigare adressinsamling genom användning av standarden SAML-assertion. Om jag har gjort en tidsbokning på en HIV-klinik eller hos en psykiater med min e-legitimation, vill jag inte att banken ska få reda på det. Om jag har varit inne på mina apoteksrecepttjänster vill jag inte att banken ska känna till det. Om min hustru har haft flera tidsbokningar för kontroll av bröstcancer vill jag inte att banken ska känna till det. Jag vill inte heller att banken ska kunna sälja dessa uppgifter till det försäkringsbolag där min hustru eller jag har våra livförsäkringar. Om jag t.ex. har anlitat Svenska Spels tjänster ofta vill jag inte att banken ska komma till mig och begära omförhandling av räntan på mitt bostadslån eftersom banken då bedömer sig ta en högre risk. Om bolånet ligger i en annan bank vill jag inte att banken ska sälja samma uppgifter till den banken. Om jag är medlem i ett politiskt parti vill jag inte att banken ska känna till att jag loggar in mig med e- legitimation på partiets medlemstjänst. Jag anser att dessa förhållanden gravt kränker min personliga integritet. Jag har därmed lidit skada. Detta gäller även 2 miljoner andra e-legitimationsinnehavare som med mig har förvägrats det skydd som tillkommer oss enligt Personuppgiftslagen (1998:204). Om jag i den analoga världen vill legitimera mig med mitt körkort, har Transportstyrelsen, som utfärdat mitt körkort, ingen aning om var, när och i vilken omfattning jag identifierar mig med körkortet. Då borde det självklart vara ett anständighetskrav att den digitala lösningen uppfyller minst samma integritetskrav. Men om det fungerade med mitt körkort som det fungerar på nätet med e-legitimation skulle den expedit som granskar mitt körkort säga: "Vänta ett tag, jag ska bara skicka information till Transportstyrelsen om att Du har legitimerat Dig här." Då skulle jag fråga mig: "Vad angår det Transportstyrelsen var jag legitimerar mig med mitt körkort?" 2. Punkt 2 stämmer exakt med felet i principen att E-legitimationsnämnden samlar de adresser användaren anlitar när hon/han identifierar sig i en e-tjänst. E-legitimationsnämnden hämtar/samlar dessa adresser enligt SAML-idp-discovery-standarden. Det är detta som kommittédirektivet 2010:69 skjuter in sig på. Insamlandet! Och direktivet utgår då från Personuppgiftslagen (1998:204), som slår ned på "behandling av personuppgifter" (3 §) som innefattar "Varje åtgärd eller serie av åtgärder som vidtas i fråga om personuppgifter, ... t.ex. insamling, ... inhämtande ... av uppgifter ...". Att sedan det rapporterade statistikunderlaget har skalat av individerna har inte med saken att göra, det handlar om kosmetik - inte om integritetsskydd. Jag överlåter åt läsaren av detta att avgöra om mina påståenden är ogrundade eller om jag har fått saker och ting rejält om bakfoten. --- Till Sven Ruin vill jag säga att det ligger mycket i vad Du säger. Naturligtvis går det att omformulera frågorna. T.ex.: Anser Du att det är bra att utfärdarna av dagens e-legitimationer (banker, Telia m.fl.) känner till vilka tjänster användarna identifierar sig på? Vänliga hälsningar Erik Mjöberg --- On 2014-06-04 10:51, Anne-Marie Eklund- Löwinder wrote: Hej, Din punkt 2 stämmer inte ett enda dugg, där behöver du göra din hemläxa, och andra också kanske? Vilken tur då att det är så lätt att kontrollera fakta. Regelverket för svensk e-legitimation finns publicerat för allmän beskådan, och för varje läskunnig att ta till sig. Ni hittar det på http://www.elegnamnden.se/ eller närmare bestämt här: http://www.elegnamnden.se/regelverketgallandeversion.4.77dbcb04143807 0e039a8b6.html Jag kan varmt rekommendera alla intresserade att sätta sig in i hur det ser ut. Det ger tvärtom mot vad Erik (vad jag kan se helt ogrundat) påstår. Jag pekar på några av de viktigaste sakerna här: Se Bilaga J - Rapporteringsrutiner, punkten 7.5: "Rapporterat statistikunderlag ska inte medge att det går att härleda enskilda transaktioner mellan Användare och e-tjänst". Se även Bilaga A - Ersättning och fakturering, punkterna 2, 4.1 och 4.2, om vilken information som fakturorna innehåller. De anger i praktiken enbart antal unika användare per e-tjänst. Min slutsats är att du har fått saker och ting rejält om bakfoten. Med vänlig hälsning, Anne-Marie Eklund Löwinder Säkerhetschef .SE (Stiftelsen för Internetinfrastruktur) Adress: Ringvägen 100 Postadress: Box 7399, 103 91 Stockholm Växel: 08-452 35 00 Direkt: 08-452 35 17 Mobil: 0734-31 53 10 E-post: anne-marie.eklund-lowinder@iis.se<mailto:anne-marie.eklund-lowinder@iis.se> <mailto:anne-marie.eklund-lowinder@iis.se><mailto:anne-marie.eklund-lowinder@iis.se> <mailto:anne-marie.eklund-<mailto:anne-marie.eklund-lowinder@iis.se> lowinder@iis.se><mailto:anne-marie.eklund-lowinder@iis.se> <mailto:anne-marie.eklund-lowinder@iis.se><mailto:anne-marie.eklund-lowinder@iis.se> Twitter: @amelsec Webbplats: https://www.iis.se Från: Erik Mjöberg [mailto:erik.mjoberg@xml.se] Skickat: den 3 juni 2014 22:56 Till: listan@lists.dfri.se<mailto:listan@lists.dfri.se> <mailto:listan@lists.dfri.se><mailto:listan@lists.dfri.se> <mailto:listan@lists.dfri.se><mailto:listan@lists.dfri.se> <mailto:listan@lists.dfri.se><mailto:listan@lists.dfri.se> Ämne: [DFRI-listan] E-legitimation ... och här en fråga om e-legitimation: I kommittédirektiv 2010:69 för bildandet av E- legitimationsnämnden står: Felaktigt utformat skulle ett system för samordning av elektronisk identifiering och signering kunna leda till risker för den personliga integriteten, t.ex. om uppgifter om en enskilds alla kontakter med myndigheterna skulle samlas på samma ställe ... 1. Visste Du att utfärdarna av dagens e- legitimationer (banker, Telia m.fl.) känner till vilka tjänster användarna identifierar sig på? (Se BankIds hemsida<http://www.bankid.com/sv/statistik/><http://www.bankid.com/sv/statistik/> <http://www.bankid.com/sv/statistik/><http://www.bankid.com/sv/statistik/> , punkterna 7 och 8 i statistikrapporterna) 2. Visste Du att i det nya förslaget till Svensk e- legitimation känner inte bara utfärdarna till de tjänster användarna identifierar sig på utan även E-legitima- tionsnämnden (en myndighet under Skatteverket) samlar in samma uppgifter (för att proportionera identifieringskostnaderna på de myndigheter som levererar tjänsterna)? Vänliga hälsningar Eri Mjöberg
Hej Erik! Stort tack för upplysningen om att dataskyddsförordningen hade färdigbehandlats av parlamentet! Det hade jag inte följt upp. Jag noterar nu att förordningen togs med förkrossande majoritet (621 för, 10 emot och 21 avstod). De frågor som ministerrådet avsåg att behandla innefattade *inte* ändringar i artiklarna 52, 73 och 74 (kapitel VI och VIII) utan var koncentrerade till tekniska ändringar i kapitel IV och V. Med den tydliga majoritet som manifesterades i parlamentet och med de begränsade frågor som har tagits upp av rådet bedömer jag att dataskyddsfrågorna kommer att lämnas utanför TTIP. Däremot kan inarbetningen av rådets synpunkter ta tid. Förordningen har utlovats att bli klar först före utgången av 2015. Jag ansluter mig helt till Ditt förslag till fortsatt hantering, ska jag ta kontakt med regeringen (ärendet ligger väl hos justitie) eller har Du några kontakter/kanaler/råd? Helghälsningar Erik Mjöberg On 2014-06-19 16:26, JOSEFSSON Erik wrote:
Nu börjar det likna nåt! :-)
Dataskyddsförordningen är färdigbehandlad av parlamentet. Nu är det upp till rådet att antingen acceptera parlamentets version eller lägga fram en egen. Lägger rådet fram en egen version så börjar parlamentets andrabehandling, men innan dess händer i princip ingenting. IPRED2 låg i kylen ända fram till ACTA dök upp, och det är inte osannolikt att dataskyddsförordningen inte kommer att röra på sig innan EUSA has bestämt sig för om dataskydd ska ingå i TTIP. Hoppas att du förstår parallellen, om inte så säg till!
Sveriges regering har antagligen redan en uppfattning, så det första du/vi skulle kunna göra är att ta reda på exakt vad regeringen tycker om EPs version av artiklarna 52, 73 och 74. Det andra är att formulera några frågor till valundersökningen som ringar in exakt vad problemet är och vad du/vi vill att den nya regeringen ska lova att den ska göra i rådet. Alltså att skriva en "begriplig" version av frågan: "Kommer du attförsvara formuleringarna i artiklarna 52, 73 och 74 mot Datainspektionens angrepp?".
Vad gäller långbänken menade jag inte att ta en omväg över EU för att få ut dokument. Långbänken avser både arbetet och processen att få DFRI att som förening engagera sig i en byråkratisk dialog representerade av sin ordförande eller annan medlem som fått förtroendet att föra DFRIs talan i detta ärende. Andreas mejväxling om PTS-knappen hade varit ett bättre exempel än ACTA-följetången.
mvh
//Erik
*From:*Erik Mjöberg [mailto:erik.mjoberg@xml.se] *Sent:* 19 June 2014 14:42 *To:* listan@lists.dfri.se; JOSEFSSON Erik *Subject:* Re: SV: SV: Re: Ang.: SV: [DFRI-listan] E-legitimation
Hej Erik!
Tackar för råden, men råden innebär både som Du säger långbänk och dessutom en omväg via EU, vilket inte alls är avsett. Jag tycker att integritetsfrågor i Sverige borde handläggas enligt Personuppgiftslagen (PuL).
Men a propos EU, skulle Du kunna hjälpa mig i en fråga. Vad jag förstår är Du rådgivare till Gröna Gruppen i EU-parlamentet.
Som jag tidigare skrev, har jag varit i kontakt med Dataispektionen (Di) angående integritetsfrågorna i mitt e-leg och önskat att Di gör en prövning av mitt e-leg mot PuL. Di har inte gjort någon sådan prövning utan enbart konstaterat att "Datainspektionen inte kommer att vidta någon åtgärd med anledning av av ditt klagomål". Di stödjer sig då på artikel 28.4 i nuvarande datskyddsdirektiv 95/46/EG: "/Var och en kan, på egen hand eller företrädd av en organisation, vända sig till tillsynsmyndigheten med begäran om skydd för sina fri- och rättigheter med avseende på behandling av personuppgifter. Den berörda personen skall informeras om vilka följder hans begäran har fått./" Enligt 28.4 har Di ingen skyldighet att göra den begärda prövningen mot PuL utan bara leverera ett besked om vilken åtgärd Di kommer att vidta. I mitt fall har detta visat sig vara en fallucka.
I *förslaget till ny Dataskyddsförordning* artikel 52.1b föreskrivs för tillsynsmyndigheten (idag Di): "/Ta emot klagomål från registrerade eller från sammanslutningar som representerar registrerade enligt artikel 73, där så är lämpligt undersöka sakfrågan och inom rimlig tid underrätta den registrerade eller sammanslutningen om hur behandlingen av klagomålet fortskrider och vilken slutsats som nås, i synnerhet om det krävs ytterligare undersökningar eller samordning med en annan tillsynsmyndighet./" Vidare i artikel 74: "/1. Varje fysisk eller juridisk person ska ha rätt till ett rättsmedel mot beslut som en tillsynsmyndighet har fattat med avseende på vederbörande. 2. Varje registrerad ska ha rätt till ett rättsmedel som förpliktar tillsynsmyndigheten att behandla ett klagomål om ett beslut som krävs för att skydda den registrerades rättigheter inte har fattats eller om tillsynsmyndigheten inte inom tre månader informerar den registrerade om hur ärendet fortskrider eller vilket beslut som har fattats med anledning av klagomålet i enlighet med artikel 52.1 b./"
*Detta har Di mycket riktigt motsatt sig*, läs Di:s remissvar <http://www.datainspektionen.se/Documents/remissvar/2012-03-20-eu-dataskyddsforordning.pdf> sid 10: "/I artikel 52 p.6 anges att en nationell tillsynsmyndighet har rätt att inte vidta en begärd åtgärd om begäran är uppenbart orimligt omfattande.Tillsynsmyndigheten har bevisbördan för detta. Detta får tolkas som att tillsynsmyndigheten i andra fall har en skyldighet att alltid vidta åtgärder på begäran av en enskild. Detta stöds av artikel 74 enligt vilken en enskild ska kunna vända sig till domstol och begära att en tillsynsmyndighet vidtar åtgärder. Datainspektionen tar redan idag emot klagomål från enskilda men gör alltid en egen bedömning av om klagomålet ska leda till vidare åtgärder eller inte. Denna möjlighet till självständig bedömning är en förutsättning för att myndigheten ska kunna prioritera sina resurser och rikta dessa mot de företeelser som är särskilt känsliga eller ingripande ur dataskyddssynpunkt. En situation där tillsynsmyndigheten blir skyldig att lägga resurser på att vidta åtgärder med anledning av varje enskilt klagomål kommer att väsentligt /f/örsvåra myndighetens möjligheter att prioritera rätt saker. Datainspektionen avstyrker därför förslaget i denna del."
/Mitt önskemål till Dig är att Du arbetar för att Gröna Gruppen försvarar formuleringarna i artiklarna 52, 73 och 74 mot Datainspektionens angrepp.
Vänliga helghälsningar
Erik Mjöberg
On 2014-06-17 17:36, JOSEFSSON Erik wrote:
Om det finns möjlighet (och det vet jag inte om det gör!) så skulle det kanske funka att dra igång en långbänk efter känd modell:
https://www.dfri.se/wiki/ep-acta-docs/
Typ.
Man hur man än gör så innebär det jobb både med avseende på "grundforskning" och vad gäller att få en redan ambitiös styrelse att även ta ansvar för att köra långbänken ända fram.
Hoppas att du inte tar illa upp att jag inte sätter mig in i grundfrågan om du har rätt eller inte, har rätt kass bandbredd.
mvh
//Erik
________________________________________
From: Erik Mjöberg [erik.mjoberg@xml.se <mailto:erik.mjoberg@xml.se>]
Sent: Tuesday 17 June 2014 17:24
To: JOSEFSSON Erik; listan@lists.dfri.se <mailto:listan@lists.dfri.se>
Subject: Re: SV: SV: Re: Ang.: SV: [DFRI-listan] E-legitimation
Tack för rådet, Erik. Jag har varit i
kontakt med både Datainspektionen och
e-legitimationsnämnden och fått lika
undvikande svar som av Ann-Marie
Eklund-Lövinder. Jag utgår från att Du
tycker att debatten ändå platsar här och
att sakfrågan ligger inom ramen för DFRI.
Vänliga hälsningar
Erik Mjöberg
On 2014-06-12 11:00, JOSEFSSON Erik wrote:
Föråt ett råd i bästa välmening, men skulle det inte gå att påbörja nån slags mejväxling med den ansvariga institutionen eller linkande?
Vet inte om det finns nån "askthegovernment. se" som motsvarar "asktheeu.org", men en mer formell process än mail på den här listan skulle kanske lösa upp några kommunikaitonsknutar och fastställa var dom riktiga problemen ligger.
Extemfallet är kommunikation via rättsprocess, om inte det finkar så får man jobba för ändrad lagstiftning.
Korvmaskinister unite!
mvh
//Erik
-----Original Message-----
From: Erik Mjöberg [mailto:erik.mjoberg@xml.se]
Sent: 12 June 2014 09:49
To: Anne-Marie Eklund-Löwinder; listan@lists.dfri.se <mailto:listan@lists.dfri.se>
Subject: Re: SV: SV: Re: Ang.: SV: [DFRI-listan] E-legitimation
Bästa Anne-Marie Eklund-Löwinder!
Du har inte svarat på min fråga. Du har
inte heller haft några invändningar mot
att legitmationsutfärdarna (bankerna,
Telia m.fl.) både i dagens och i
framtida Svensk e-legitimation samlar
adresserna till användarnas anlitade
tjänster. Du konstaterar att här finns
inget att se och ber mig cirkulera. Allt
detta tycker jag är oseriöst.
Erik Mjöberg
On 2014-06-11 15:20, Anne-Marie
Eklund-Löwinder wrote:
Hej,
Jag tror du övertolkar budskapet. Jag har inget intresse av att föra den här diskussionen med dig. Jag håller inte med dig, och jag ser inte något som indikerar att du har rätt och jag har fel. Men jag släpper det. Jag har verkligen inte tid. OK? Det måste dessutom finnas mycket bättre mejlinglistor att föra den här diskussionen på än DFRI:s, eller varför inte rikta frågan direkt till e-legitimationsnämnden.
Med vänlig hälsning,
Anne-Marie
-----Ursprungligt meddelande-----
Från: Erik Mjöberg [mailto:erik.mjoberg@xml.se]
Skickat: den 11 juni 2014 10:59
Till: Anne-Marie Eklund-Löwinder; listan@lists.dfri.se <mailto:listan@lists.dfri.se>
Ämne: Re: SV: Re: Ang.: SV: [DFRI-listan] E-legitimation
Bästa Anne-Marie Eklund-Löwinder!
Jag förvånar mig över Dina oförskämdheter och Din maktarrogans, men låter
den saken bero.
Det som är ännu allvarligare är att Du inte ens försöker svara på min fråga om
E-legitimationsnämndens insamling av tjänsteleverantörernas adresser
tillgodoser kraven i Personuppgiftslagen och i direktivet till tillsättandet av E-
legitimationsnämnden, utan i stället tar upp något som jag över huvud taget
inte har nämnt, nämligen anvisningstjänsten i Svensk e-legitimation. Det jag
frågade Dig om är ju en helt annan sak, vilket Du med Dina djupa kunskaper i
ämnet säkert förstår.
Det är för mig obegripligt att Du anser Dig och dessutom anser mig ha andra
och viktigare frågor att beakta än den uppenbara integritetskränkning som
sker i dagens e-legitimation och genom användningen av SAML i förslaget till
ny Svensk e-legitimation.
Med förundrad hälsning
Erik Mjöberg
On 2014-06-10 07:24, Anne-Marie Eklund-Löwinder wrote:
Hej!
På frågan riktad till mig:
Frågan är egentligen hypotetisk eftersom det inte är så det fungerar. Om det
är anvisningstjänsten du är upprörd över, så har den flera gränssnitt - endast
ett av dessa innebär att användarens UA hämtar listan över valbara utgivare
och därmed lämnar spår efter sig i form av IP-adresser. I andra situationer
hämtar e-tjänsten listan regelbundet och presenterar den själv. Och i andra
fall används inte anvisningstjänsten alls. Anvisningstjänsten är dessutom
federationsspecifik, och ger därför inte den helhetsbild av användningen
som du försöker göra gällande. Det är inte heller dessa uppgifter som ligger
till grund för vare sig debitering eller statistik, du har helt enkelt förstått det
hela väldigt fel.
Jag är inte jurist, men det finns inga indikationer på att den här
anvisningstjänsten skulle vara oförenlig med svensk och europeisk
persondataskyddslagstiftning. Tror du inte på det så får du ställa samma fråga
till ansvariga myndigheter.
Så min slutsats: Här finns inget att se, cirkulera. Rikta din energi på något som
faktiskt är problematiskt. Det finns gott om sådant. Det behöver i alla fall jag
göra. Så jag avslutar den här diskussionen från min sida.
Med vänlig hälsning,
Anne-Marie
Från: Erik Mjöberg [mailto:erik.mjoberg@xml.se]
Skickat: den 5 juni 2014 09:51
Till: listan@lists.dfri.se <mailto:listan@lists.dfri.se> <mailto:listan@lists.dfri.se> <mailto:listan@lists.dfri.se>
Ämne: Fwd: Re: Ang.: SV: [DFRI-listan] E-legitimation
Hej igen!
Beträffande frågan om samtycke i e-legitimationer,
kan man inte bygga upp ett legitimeringssystem som
förutsätter att de legitimerade samtycker till att
personuppgifter används i strid med PuL.
Om jag inte samtycker till att mina besök hos anlitade
tjänster registreras av legitimationsutfärdarna, får jag
inte vara med då? Får jag inte vara med om jag inte
samtycker till att banken känner till att jag tidsbokat
på en HIV-klinik?
Och slutligen en fråga till Anne-Mari Eklund Lövinder:
Anser Du att integritetskravet i direktivet 2010:69 är
uppfyllt, om adresserna till de av användarna anlitade
tjänsterna samlas in av e-legitimationsnämnden i
enlighet med SAML-idp-discovery-standarden, men
användarna skalas av vid rapporteringen till
faktureringen?
Vänliga hälsningar
Erik Mjöberg
-------- Original Message --------
Subject:
Re: Ang.: SV: [DFRI-listan] E-legitimation
Date:
Wed, 04 Jun 2014 17:33:12 +0200
From:
Erik Mjöberg <erik.mjoberg@xml.se> <mailto:erik.mjoberg@xml.se> <mailto:erik.mjoberg@xml.se> <mailto:erik.mjoberg@xml.se>
Organization:
AB XML Sweden
To:
Tobias Pulls <tobias.pulls@kau.se> <mailto:tobias.pulls@kau.se> <mailto:tobias.pulls@kau.se> <mailto:tobias.pulls@kau.se> ,
listan@lists.dfri.se <mailto:listan@lists.dfri.se> <mailto:listan@lists.dfri.se> <mailto:listan@lists.dfri.se>
Hej Tobias!
Bra att Du tog upp frågan om samtycke.
I avtalet med min bank, Handelsbanken, finns ingenting om samtycke till att
samla
in uppgifter om besökta tjänster. Jag känner inte heller till att någon annan
legitimationsutfärdare skulle ha en sådan friskrivning. Slutligen kan
utfärdaren
begära samtycke till insamling av adressen till den anlitade tjänsten i
samband med
att tjänsten anlitas, men inte heller det har skett i någon av de tjänster som
jag
har anlitat.
Så jag känner mig ganska kränkt av hanteringen ... Men det har en mycket
ringa
betydelse i sammanhanget. Det väsentliga är att den klart strider mot
Person-
uppgiftslagen (PuL)! Och inte bara mot PuL utan även mot t.ex. EU-stadgans
skydd
av personuppgifter i artikel 7 och 8. Om man tillämpar samma metod som EU-
domstolen gjorde beträffande upphävandet av ändringarna i
Datalagringsdirektivet
(proportionalitetsprincipen i artikel 52:1) skulle insamlingen av adresserna till
de av
användarna anlitade tjänsterna vara ett "allmänt samhällsintresse som
erkänns av
unionen" om hanteringen skulle godkännas av EU-domstolen. Det har jag
svårt att
tro.
Det finns sedan flera år tillbaka färdiga lösningar på hur
legitimationsutfärdaren kan
styrka användarens identitet utan att känna till var styrkandet ska användas -
-
precis som i den analoga världen. Se t.ex. Identity 2.0 från 2006 eller user-
centric
IDs.
Vänliga hälsningar
Erik Mjöberg
On 2014-06-04 15:39, Tobias Pulls wrote:
Hej,
Värt att notera är också att det här troligen inte är ett brott
mot
personuppgiftslagen _förutsatt_ att samtycke är inhämtat av t
ex banken
vid utfärdandet av BankID. Det sagt så är det knappast något
positivt
att denna spårbarhet finns i systemet och troligen är det
många fler än
Erik som upplever detta som ett intrång. Denna läcka baserat
på
samtyckte (som i dagsläget är långt från informerat i något
annat än
juridisk mening) borde ha tagits bort av e-
legitimationsnämnden genom
att förbjuda annan användning än strikt nödvändigt eftersom
identitetsleverantörer redan får betalt. Tyvärr gjordes inte
detta så
det är bara att hoppas att öppna och moderna tekniska
lösningar som
anonymous credentials används för nästa generation, för det
finns ingen
stark vilja att lägga in juridiskt personskydd utöver det
minimala som
krävs. Trevlig sits för identitetsleverantörerna dock, de får
betalt för
att skapa profiler av folk.
Vad gäller punkt 2 från Erik så ska man vara väldigt försiktig
med att
underskatta tom vad den aggregarade informationen har för
inverkan på
personers privatliv. Det behövs inte mycket extra information
för att
skapa skrämmande scenarion. En av de få sakerna ur
integritetssynpunkt
som SAML förbättrar är möjligheten att bara ge ut relevant
information
till tjänster istället för allt på ett certifikat. Utöver det bör man
nog vara försiktig om man vill kalla SAML lösningen
integritetsvänlig.
Mvh,
Tobias
On 04/06/14 14:49, Anne-Marie Eklund-Löwinder wrote:
Jag fann ingen anledning att kommentera 1. Det
är nog allmänt känt att det är personnummer i certifikatet och därmed är
spåret tydligt för banken med flera i dagens system. /amel
Skickat från min HTC
----- Reply message -----
Från: "Erik Mjöberg" <erik.mjoberg@xml.se> <mailto:erik.mjoberg@xml.se>
<mailto:erik.mjoberg@xml.se> <mailto:erik.mjoberg@xml.se>
Till: "listan@lists.dfri.se" <mailto:listan@lists.dfri.se>
<mailto:listan@lists.dfri.se> <mailto:listan@lists.dfri.se> <listan@lists.dfri.se> <mailto:listan@lists.dfri.se>
<mailto:listan@lists.dfri.se> <mailto:listan@lists.dfri.se>
Rubrik: SV: [DFRI-listan] E-legitimation
Datum: ons, jun 4, 2014 14:25
Hej DFRI-listan!
Äntligen har jag fått ett svar i sak på vad jag hela
tiden påstått. Det är första gången på två år! Låt mig ta upp sakfrågorna.
1. För det första har Anne-Marie Eklund-
Löwinder hittills inget att erinra mot min beskrivning att e-
legitimationsutfärdarna (bankerna, Telia, m.fl.)
samlar in adresserna till de av användarna
anlitade e-tjänsterna i dagens e-legitimationssystem. Det är allvarligt nog! I
det föreslagna nya systemet
med Svensk e-legitimation bekräftas tidigare
adressinsamling genom användning av standarden SAML-assertion.
Om jag har gjort en tidsbokning på en HIV-klinik
eller hos en psykiater med min e-legitimation, vill jag inte att banken ska få
reda på det. Om jag har varit
inne på mina apoteksrecepttjänster vill jag inte
att banken ska känna till det. Om min hustru har haft flera tidsbokningar för
kontroll av bröstcancer vill
jag inte att banken ska känna till det. Jag vill inte
heller att banken ska kunna sälja dessa uppgifter till det försäkringsbolag där
min hustru eller jag har
våra livförsäkringar. Om jag t.ex. har anlitat
Svenska Spels tjänster ofta vill jag inte att banken ska komma till mig och
begära omförhandling av räntan
på mitt bostadslån eftersom banken då
bedömer sig ta en högre risk. Om bolånet ligger i en annan bank vill jag inte
att banken ska sälja samma
uppgifter till den banken. Om jag är medlem i ett
politiskt parti vill jag inte att banken ska känna till att jag loggar in mig med e-
legitimation på partiets
medlemstjänst. Jag anser att dessa förhållanden
gravt kränker min personliga integritet. Jag har därmed lidit skada. Detta
gäller även 2 miljoner andra
e-legitimationsinnehavare som med mig har
förvägrats det skydd som tillkommer oss enligt Personuppgiftslagen
(1998:204).
Om jag i den analoga världen vill legitimera mig
med mitt körkort, har Transportstyrelsen, som utfärdat mitt körkort, ingen
aning om var, när och
i vilken omfattning jag identifierar mig med
körkortet. Då borde det självklart vara ett anständighetskrav att den digitala
lösningen uppfyller minst samma
integritetskrav. Men om det fungerade med
mitt körkort som det fungerar på nätet med e-legitimation skulle den expedit
som granskar mitt körkort
säga: "Vänta ett tag, jag ska bara skicka
information till Transportstyrelsen om att Du har legitimerat Dig här." Då
skulle jag fråga mig: "Vad angår det
Transportstyrelsen var jag legitimerar mig med
mitt körkort?"
2. Punkt 2 stämmer exakt med felet i principen
att E-legitimationsnämnden samlar de adresser användaren anlitar när
hon/han identifierar
sig i en e-tjänst. E-legitimationsnämnden
hämtar/samlar dessa adresser enligt SAML-idp-discovery-standarden. Det är
detta som kommittédirektivet
2010:69 skjuter in sig på. Insamlandet! Och
direktivet utgår då från Personuppgiftslagen (1998:204), som slår ned på
"behandling av personuppgifter"
(3 §) som innefattar "Varje åtgärd eller serie av
åtgärder som vidtas i fråga om personuppgifter, ... t.ex. insamling, ...
inhämtande ... av uppgifter ...".
Att sedan det rapporterade statistikunderlaget
har skalat av individerna har inte med saken att göra, det handlar om
kosmetik - inte om integritetsskydd.
Jag överlåter åt läsaren av detta att avgöra om
mina påståenden är ogrundade eller om jag har fått saker och ting rejält om
bakfoten.
---
Till Sven Ruin vill jag säga att det ligger mycket i
vad Du säger. Naturligtvis går det att omformulera frågorna. T.ex.: Anser Du
att det är bra att utfärdarna av
dagens e-legitimationer (banker, Telia m.fl.)
känner till vilka tjänster användarna identifierar sig på?
Vänliga hälsningar
Erik Mjöberg
---
On 2014-06-04 10:51, Anne-Marie Eklund-
Löwinder wrote:
Hej,
Din punkt 2 stämmer inte ett enda dugg, där
behöver du göra din hemläxa, och andra också kanske? Vilken tur då att det
är så lätt att kontrollera fakta. Regelverket för svensk e-legitimation finns
publicerat för allmän beskådan, och för varje läskunnig att ta till sig.
Ni hittar det på http://www.elegnamnden.se/
eller närmare bestämt här:
http://www.elegnamnden.se/regelverketgallandeversion.4.77dbcb04143807
0e039a8b6.html
Jag kan varmt rekommendera alla intresserade
att sätta sig in i hur det ser ut. Det ger tvärtom mot vad Erik (vad jag kan se
helt ogrundat) påstår. Jag pekar på några av de viktigaste sakerna här:
Se Bilaga J - Rapporteringsrutiner, punkten 7.5:
"Rapporterat statistikunderlag ska inte medge
att det går att härleda enskilda transaktioner mellan Användare och e-tjänst".
Se även Bilaga A - Ersättning och fakturering,
punkterna 2, 4.1 och 4.2, om vilken information som fakturorna innehåller.
De anger i praktiken enbart antal unika användare per e-tjänst.
Min slutsats är att du har fått saker och ting
rejält om bakfoten.
Med vänlig hälsning,
Anne-Marie Eklund Löwinder
Säkerhetschef
.SE (Stiftelsen för Internetinfrastruktur)
Adress: Ringvägen 100
Postadress: Box 7399, 103 91 Stockholm
Växel: 08-452 35 00
Direkt: 08-452 35 17
Mobil: 0734-31 53 10
E-post: anne-marie.eklund-lowinder@iis.se <mailto:anne-marie.eklund-lowinder@iis.se>
<mailto:anne-marie.eklund-lowinder@iis.se> <mailto:anne-marie.eklund-lowinder@iis.se> <mailto:anne-marie.eklund- <mailto:anne-marie.eklund-lowinder@iis.se>
lowinder@iis.se> <mailto:anne-marie.eklund-lowinder@iis.se> <mailto:anne-marie.eklund-lowinder@iis.se> <mailto:anne-marie.eklund-lowinder@iis.se>
Twitter: @amelsec
Webbplats: https://www.iis.se
Från: Erik Mjöberg
[mailto:erik.mjoberg@xml.se]
Skickat: den 3 juni 2014 22:56
Till: listan@lists.dfri.se <mailto:listan@lists.dfri.se>
<mailto:listan@lists.dfri.se> <mailto:listan@lists.dfri.se> <mailto:listan@lists.dfri.se> <mailto:listan@lists.dfri.se>
<mailto:listan@lists.dfri.se> <mailto:listan@lists.dfri.se>
Ämne: [DFRI-listan] E-legitimation
... och här en fråga om e-legitimation:
I kommittédirektiv 2010:69 för bildandet av E-
legitimationsnämnden står:
Felaktigt utformat skulle ett system för
samordning av elektronisk identifiering
och signering kunna leda till risker för den
personliga integriteten, t.ex. om
uppgifter om en enskilds alla kontakter med
myndigheterna skulle samlas på
samma ställe ...
1. Visste Du att utfärdarna av dagens e-
legitimationer (banker, Telia m.fl.) känner
till vilka tjänster användarna identifierar sig på?
(Se BankIds hemsida<http://www.bankid.com/sv/statistik/> <http://www.bankid.com/sv/statistik/>
<http://www.bankid.com/sv/statistik/> <http://www.bankid.com/sv/statistik/> , punkterna
7 och 8 i statistikrapporterna)
2. Visste Du att i det nya förslaget till Svensk e-
legitimation känner inte bara
utfärdarna till de tjänster användarna
identifierar sig på utan även E-legitima-
tionsnämnden (en myndighet under
Skatteverket) samlar in samma uppgifter
(för att proportionera identifieringskostnaderna
på de myndigheter som levererar
tjänsterna)?
Vänliga hälsningar
Eri Mjöberg
Hej Erik! Mitt råd är att försöka prata med lite fler kompisar i DFRI innan du ber *DFRIs styrelse* kontakta regeringen. Jag föreslår att du och minst två andra DFRI-medlemmar börjar skissa på en enkel blogpost på typ 2000 tecken. Om du går vidare på egen hand så lär du också få dra hela lasset själv. mvh //Erik On 06/22/2014 07:11 PM, Erik Mjöberg wrote:
Hej Erik!
Stort tack för upplysningen om att dataskyddsförordningen hade färdigbehandlats av parlamentet! Det hade jag inte följt upp. Jag noterar nu att förordningen togs med förkrossande majoritet (621 för, 10 emot och 21 avstod). De frågor som ministerrådet avsåg att behandla innefattade *inte* ändringar i artiklarna 52, 73 och 74 (kapitel VI och VIII) utan var koncentrerade till tekniska ändringar i kapitel IV och V. Med den tydliga majoritet som manifesterades i parlamentet och med de begränsade frågor som har tagits upp av rådet bedömer jag att dataskyddsfrågorna kommer att lämnas utanför TTIP. Däremot kan inarbetningen av rådets synpunkter ta tid. Förordningen har utlovats att bli klar först före utgången av 2015.
Jag ansluter mig helt till Ditt förslag till fortsatt hantering, ska jag ta kontakt med regeringen (ärendet ligger väl hos justitie) eller har Du några kontakter/kanaler/råd?
Helghälsningar
Erik Mjöberg
On 2014-06-19 16:26, JOSEFSSON Erik wrote:
Nu börjar det likna nåt! :-)
Dataskyddsförordningen är färdigbehandlad av parlamentet. Nu är det upp till rådet att antingen acceptera parlamentets version eller lägga fram en egen. Lägger rådet fram en egen version så börjar parlamentets andrabehandling, men innan dess händer i princip ingenting. IPRED2 låg i kylen ända fram till ACTA dök upp, och det är inte osannolikt att dataskyddsförordningen inte kommer att röra på sig innan EUSA has bestämt sig för om dataskydd ska ingå i TTIP. Hoppas att du förstår parallellen, om inte så säg till!
Sveriges regering har antagligen redan en uppfattning, så det första du/vi skulle kunna göra är att ta reda på exakt vad regeringen tycker om EPs version av artiklarna 52, 73 och 74. Det andra är att formulera några frågor till valundersökningen som ringar in exakt vad problemet är och vad du/vi vill att den nya regeringen ska lova att den ska göra i rådet. Alltså att skriva en "begriplig" version av frågan: "Kommer du attförsvara formuleringarna i artiklarna 52, 73 och 74 mot Datainspektionens angrepp?".
Vad gäller långbänken menade jag inte att ta en omväg över EU för att få ut dokument. Långbänken avser både arbetet och processen att få DFRI att som förening engagera sig i en byråkratisk dialog representerade av sin ordförande eller annan medlem som fått förtroendet att föra DFRIs talan i detta ärende. Andreas mejväxling om PTS-knappen hade varit ett bättre exempel än ACTA-följetången.
mvh
//Erik
*From:*Erik Mjöberg [mailto:erik.mjoberg@xml.se] *Sent:* 19 June 2014 14:42 *To:* listan@lists.dfri.se; JOSEFSSON Erik *Subject:* Re: SV: SV: Re: Ang.: SV: [DFRI-listan] E-legitimation
Hej Erik!
Tackar för råden, men råden innebär både som Du säger långbänk och dessutom en omväg via EU, vilket inte alls är avsett. Jag tycker att integritetsfrågor i Sverige borde handläggas enligt Personuppgiftslagen (PuL).
Men a propos EU, skulle Du kunna hjälpa mig i en fråga. Vad jag förstår är Du rådgivare till Gröna Gruppen i EU-parlamentet.
Som jag tidigare skrev, har jag varit i kontakt med Dataispektionen (Di) angående integritetsfrågorna i mitt e-leg och önskat att Di gör en prövning av mitt e-leg mot PuL. Di har inte gjort någon sådan prövning utan enbart konstaterat att "Datainspektionen inte kommer att vidta någon åtgärd med anledning av av ditt klagomål". Di stödjer sig då på artikel 28.4 i nuvarande datskyddsdirektiv 95/46/EG: "/Var och en kan, på egen hand eller företrädd av en organisation, vända sig till tillsynsmyndigheten med begäran om skydd för sina fri- och rättigheter med avseende på behandling av personuppgifter. Den berörda personen skall informeras om vilka följder hans begäran har fått./" Enligt 28.4 har Di ingen skyldighet att göra den begärda prövningen mot PuL utan bara leverera ett besked om vilken åtgärd Di kommer att vidta. I mitt fall har detta visat sig vara en fallucka.
I *förslaget till ny Dataskyddsförordning* artikel 52.1b föreskrivs för tillsynsmyndigheten (idag Di): "/Ta emot klagomål från registrerade eller från sammanslutningar som representerar registrerade enligt artikel 73, där så är lämpligt undersöka sakfrågan och inom rimlig tid underrätta den registrerade eller sammanslutningen om hur behandlingen av klagomålet fortskrider och vilken slutsats som nås, i synnerhet om det krävs ytterligare undersökningar eller samordning med en annan tillsynsmyndighet./" Vidare i artikel 74: "/1. Varje fysisk eller juridisk person ska ha rätt till ett rättsmedel mot beslut som en tillsynsmyndighet har fattat med avseende på vederbörande. 2. Varje registrerad ska ha rätt till ett rättsmedel som förpliktar tillsynsmyndigheten att behandla ett klagomål om ett beslut som krävs för att skydda den registrerades rättigheter inte har fattats eller om tillsynsmyndigheten inte inom tre månader informerar den registrerade om hur ärendet fortskrider eller vilket beslut som har fattats med anledning av klagomålet i enlighet med artikel 52.1 b./"
*Detta har Di mycket riktigt motsatt sig*, läs Di:s remissvar <http://www.datainspektionen.se/Documents/remissvar/2012-03-20-eu-dataskyddsforordning.pdf> sid 10: "/I artikel 52 p.6 anges att en nationell tillsynsmyndighet har rätt att inte vidta en begärd åtgärd om begäran är uppenbart orimligt omfattande.Tillsynsmyndigheten har bevisbördan för detta. Detta får tolkas som att tillsynsmyndigheten i andra fall har en skyldighet att alltid vidta åtgärder på begäran av en enskild. Detta stöds av artikel 74 enligt vilken en enskild ska kunna vända sig till domstol och begära att en tillsynsmyndighet vidtar åtgärder. Datainspektionen tar redan idag emot klagomål från enskilda men gör alltid en egen bedömning av om klagomålet ska leda till vidare åtgärder eller inte. Denna möjlighet till självständig bedömning är en förutsättning för att myndigheten ska kunna prioritera sina resurser och rikta dessa mot de företeelser som är särskilt känsliga eller ingripande ur dataskyddssynpunkt. En situation där tillsynsmyndigheten blir skyldig att lägga resurser på att vidta åtgärder med anledning av varje enskilt klagomål kommer att väsentligt /f/örsvåra myndighetens möjligheter att prioritera rätt saker. Datainspektionen avstyrker därför förslaget i denna del."
/Mitt önskemål till Dig är att Du arbetar för att Gröna Gruppen försvarar formuleringarna i artiklarna 52, 73 och 74 mot Datainspektionens angrepp.
Vänliga helghälsningar
Erik Mjöberg
On 2014-06-17 17:36, JOSEFSSON Erik wrote:
Om det finns möjlighet (och det vet jag inte om det gör!) så skulle det kanske funka att dra igång en långbänk efter känd modell:
https://www.dfri.se/wiki/ep-acta-docs/
Typ.
Man hur man än gör så innebär det jobb både med avseende på "grundforskning" och vad gäller att få en redan ambitiös styrelse att även ta ansvar för att köra långbänken ända fram.
Hoppas att du inte tar illa upp att jag inte sätter mig in i grundfrågan om du har rätt eller inte, har rätt kass bandbredd.
mvh
//Erik
________________________________________
From: Erik Mjöberg [erik.mjoberg@xml.se <mailto:erik.mjoberg@xml.se>]
Sent: Tuesday 17 June 2014 17:24
To: JOSEFSSON Erik; listan@lists.dfri.se <mailto:listan@lists.dfri.se>
Subject: Re: SV: SV: Re: Ang.: SV: [DFRI-listan] E-legitimation
Tack för rådet, Erik. Jag har varit i
kontakt med både Datainspektionen och
e-legitimationsnämnden och fått lika
undvikande svar som av Ann-Marie
Eklund-Lövinder. Jag utgår från att Du
tycker att debatten ändå platsar här och
att sakfrågan ligger inom ramen för DFRI.
Vänliga hälsningar
Erik Mjöberg
On 2014-06-12 11:00, JOSEFSSON Erik wrote:
Föråt ett råd i bästa välmening, men skulle det inte gå att påbörja nån slags mejväxling med den ansvariga institutionen eller linkande?
Vet inte om det finns nån "askthegovernment. se" som motsvarar "asktheeu.org", men en mer formell process än mail på den här listan skulle kanske lösa upp några kommunikaitonsknutar och fastställa var dom riktiga problemen ligger.
Extemfallet är kommunikation via rättsprocess, om inte det finkar så får man jobba för ändrad lagstiftning.
Korvmaskinister unite!
mvh
//Erik
-----Original Message-----
From: Erik Mjöberg [mailto:erik.mjoberg@xml.se]
Sent: 12 June 2014 09:49
To: Anne-Marie Eklund-Löwinder; listan@lists.dfri.se <mailto:listan@lists.dfri.se>
Subject: Re: SV: SV: Re: Ang.: SV: [DFRI-listan] E-legitimation
Bästa Anne-Marie Eklund-Löwinder!
Du har inte svarat på min fråga. Du har
inte heller haft några invändningar mot
att legitmationsutfärdarna (bankerna,
Telia m.fl.) både i dagens och i
framtida Svensk e-legitimation samlar
adresserna till användarnas anlitade
tjänster. Du konstaterar att här finns
inget att se och ber mig cirkulera. Allt
detta tycker jag är oseriöst.
Erik Mjöberg
On 2014-06-11 15:20, Anne-Marie
Eklund-Löwinder wrote:
Hej,
Jag tror du övertolkar budskapet. Jag har inget intresse av att föra den här diskussionen med dig. Jag håller inte med dig, och jag ser inte något som indikerar att du har rätt och jag har fel. Men jag släpper det. Jag har verkligen inte tid. OK? Det måste dessutom finnas mycket bättre mejlinglistor att föra den här diskussionen på än DFRI:s, eller varför inte rikta frågan direkt till e-legitimationsnämnden.
Med vänlig hälsning,
Anne-Marie
-----Ursprungligt meddelande-----
Från: Erik Mjöberg [mailto:erik.mjoberg@xml.se]
Skickat: den 11 juni 2014 10:59
Till: Anne-Marie Eklund-Löwinder; listan@lists.dfri.se <mailto:listan@lists.dfri.se>
Ämne: Re: SV: Re: Ang.: SV: [DFRI-listan] E-legitimation
Bästa Anne-Marie Eklund-Löwinder!
Jag förvånar mig över Dina oförskämdheter och Din maktarrogans, men låter
den saken bero.
Det som är ännu allvarligare är att Du inte ens försöker svara på min fråga om
E-legitimationsnämndens insamling av tjänsteleverantörernas adresser
tillgodoser kraven i Personuppgiftslagen och i direktivet till tillsättandet av E-
legitimationsnämnden, utan i stället tar upp något som jag över huvud taget
inte har nämnt, nämligen anvisningstjänsten i Svensk e-legitimation. Det jag
frågade Dig om är ju en helt annan sak, vilket Du med Dina djupa kunskaper i
ämnet säkert förstår.
Det är för mig obegripligt att Du anser Dig och dessutom anser mig ha andra
och viktigare frågor att beakta än den uppenbara integritetskränkning som
sker i dagens e-legitimation och genom användningen av SAML i förslaget till
ny Svensk e-legitimation.
Med förundrad hälsning
Erik Mjöberg
On 2014-06-10 07:24, Anne-Marie Eklund-Löwinder wrote:
Hej!
På frågan riktad till mig:
Frågan är egentligen hypotetisk eftersom det inte är så det fungerar. Om det
är anvisningstjänsten du är upprörd över, så har den flera gränssnitt - endast
ett av dessa innebär att användarens UA hämtar listan över valbara utgivare
och därmed lämnar spår efter sig i form av IP-adresser. I andra situationer
hämtar e-tjänsten listan regelbundet och presenterar den själv. Och i andra
fall används inte anvisningstjänsten alls. Anvisningstjänsten är dessutom
federationsspecifik, och ger därför inte den helhetsbild av användningen
som du försöker göra gällande. Det är inte heller dessa uppgifter som ligger
till grund för vare sig debitering eller statistik, du har helt enkelt förstått det
hela väldigt fel.
Jag är inte jurist, men det finns inga indikationer på att den här
anvisningstjänsten skulle vara oförenlig med svensk och europeisk
persondataskyddslagstiftning. Tror du inte på det så får du ställa samma fråga
till ansvariga myndigheter.
Så min slutsats: Här finns inget att se, cirkulera. Rikta din energi på något som
faktiskt är problematiskt. Det finns gott om sådant. Det behöver i alla fall jag
göra. Så jag avslutar den här diskussionen från min sida.
Med vänlig hälsning,
Anne-Marie
Från: Erik Mjöberg [mailto:erik.mjoberg@xml.se]
Skickat: den 5 juni 2014 09:51
Till: listan@lists.dfri.se <mailto:listan@lists.dfri.se> <mailto:listan@lists.dfri.se> <mailto:listan@lists.dfri.se>
Ämne: Fwd: Re: Ang.: SV: [DFRI-listan] E-legitimation
Hej igen!
Beträffande frågan om samtycke i e-legitimationer,
kan man inte bygga upp ett legitimeringssystem som
förutsätter att de legitimerade samtycker till att
personuppgifter används i strid med PuL.
Om jag inte samtycker till att mina besök hos anlitade
tjänster registreras av legitimationsutfärdarna, får jag
inte vara med då? Får jag inte vara med om jag inte
samtycker till att banken känner till att jag tidsbokat
på en HIV-klinik?
Och slutligen en fråga till Anne-Mari Eklund Lövinder:
Anser Du att integritetskravet i direktivet 2010:69 är
uppfyllt, om adresserna till de av användarna anlitade
tjänsterna samlas in av e-legitimationsnämnden i
enlighet med SAML-idp-discovery-standarden, men
användarna skalas av vid rapporteringen till
faktureringen?
Vänliga hälsningar
Erik Mjöberg
-------- Original Message --------
Subject:
Re: Ang.: SV: [DFRI-listan] E-legitimation
Date:
Wed, 04 Jun 2014 17:33:12 +0200
From:
Erik Mjöberg <erik.mjoberg@xml.se> <mailto:erik.mjoberg@xml.se> <mailto:erik.mjoberg@xml.se> <mailto:erik.mjoberg@xml.se>
Organization:
AB XML Sweden
To:
Tobias Pulls <tobias.pulls@kau.se> <mailto:tobias.pulls@kau.se> <mailto:tobias.pulls@kau.se> <mailto:tobias.pulls@kau.se> ,
listan@lists.dfri.se <mailto:listan@lists.dfri.se> <mailto:listan@lists.dfri.se> <mailto:listan@lists.dfri.se>
Hej Tobias!
Bra att Du tog upp frågan om samtycke.
I avtalet med min bank, Handelsbanken, finns ingenting om samtycke till att
samla
in uppgifter om besökta tjänster. Jag känner inte heller till att någon annan
legitimationsutfärdare skulle ha en sådan friskrivning. Slutligen kan
utfärdaren
begära samtycke till insamling av adressen till den anlitade tjänsten i
samband med
att tjänsten anlitas, men inte heller det har skett i någon av de tjänster som
jag
har anlitat.
Så jag känner mig ganska kränkt av hanteringen ... Men det har en mycket
ringa
betydelse i sammanhanget. Det väsentliga är att den klart strider mot
Person-
uppgiftslagen (PuL)! Och inte bara mot PuL utan även mot t.ex. EU-stadgans
skydd
av personuppgifter i artikel 7 och 8. Om man tillämpar samma metod som EU-
domstolen gjorde beträffande upphävandet av ändringarna i
Datalagringsdirektivet
(proportionalitetsprincipen i artikel 52:1) skulle insamlingen av adresserna till
de av
användarna anlitade tjänsterna vara ett "allmänt samhällsintresse som
erkänns av
unionen" om hanteringen skulle godkännas av EU-domstolen. Det har jag
svårt att
tro.
Det finns sedan flera år tillbaka färdiga lösningar på hur
legitimationsutfärdaren kan
styrka användarens identitet utan att känna till var styrkandet ska användas -
-
precis som i den analoga världen. Se t.ex. Identity 2.0 från 2006 eller user-
centric
IDs.
Vänliga hälsningar
Erik Mjöberg
On 2014-06-04 15:39, Tobias Pulls wrote:
Hej,
Värt att notera är också att det här troligen inte är ett brott
mot
personuppgiftslagen _förutsatt_ att samtycke är inhämtat av t
ex banken
vid utfärdandet av BankID. Det sagt så är det knappast något
positivt
att denna spårbarhet finns i systemet och troligen är det
många fler än
Erik som upplever detta som ett intrång. Denna läcka baserat
på
samtyckte (som i dagsläget är långt från informerat i något
annat än
juridisk mening) borde ha tagits bort av e-
legitimationsnämnden genom
att förbjuda annan användning än strikt nödvändigt eftersom
identitetsleverantörer redan får betalt. Tyvärr gjordes inte
detta så
det är bara att hoppas att öppna och moderna tekniska
lösningar som
anonymous credentials används för nästa generation, för det
finns ingen
stark vilja att lägga in juridiskt personskydd utöver det
minimala som
krävs. Trevlig sits för identitetsleverantörerna dock, de får
betalt för
att skapa profiler av folk.
Vad gäller punkt 2 från Erik så ska man vara väldigt försiktig
med att
underskatta tom vad den aggregarade informationen har för
inverkan på
personers privatliv. Det behövs inte mycket extra information
för att
skapa skrämmande scenarion. En av de få sakerna ur
integritetssynpunkt
som SAML förbättrar är möjligheten att bara ge ut relevant
information
till tjänster istället för allt på ett certifikat. Utöver det bör man
nog vara försiktig om man vill kalla SAML lösningen
integritetsvänlig.
Mvh,
Tobias
On 04/06/14 14:49, Anne-Marie Eklund-Löwinder wrote:
Jag fann ingen anledning att kommentera 1. Det
är nog allmänt känt att det är personnummer i certifikatet och därmed är
spåret tydligt för banken med flera i dagens system. /amel
Skickat från min HTC
----- Reply message -----
Från: "Erik Mjöberg" <erik.mjoberg@xml.se> <mailto:erik.mjoberg@xml.se>
<mailto:erik.mjoberg@xml.se> <mailto:erik.mjoberg@xml.se>
Till: "listan@lists.dfri.se" <mailto:listan@lists.dfri.se>
<mailto:listan@lists.dfri.se> <mailto:listan@lists.dfri.se> <listan@lists.dfri.se> <mailto:listan@lists.dfri.se>
<mailto:listan@lists.dfri.se> <mailto:listan@lists.dfri.se>
Rubrik: SV: [DFRI-listan] E-legitimation
Datum: ons, jun 4, 2014 14:25
Hej DFRI-listan!
Äntligen har jag fått ett svar i sak på vad jag hela
tiden påstått. Det är första gången på två år! Låt mig ta upp sakfrågorna.
1. För det första har Anne-Marie Eklund-
Löwinder hittills inget att erinra mot min beskrivning att e-
legitimationsutfärdarna (bankerna, Telia, m.fl.)
samlar in adresserna till de av användarna
anlitade e-tjänsterna i dagens e-legitimationssystem. Det är allvarligt nog! I
det föreslagna nya systemet
med Svensk e-legitimation bekräftas tidigare
adressinsamling genom användning av standarden SAML-assertion.
Om jag har gjort en tidsbokning på en HIV-klinik
eller hos en psykiater med min e-legitimation, vill jag inte att banken ska få
reda på det. Om jag har varit
inne på mina apoteksrecepttjänster vill jag inte
att banken ska känna till det. Om min hustru har haft flera tidsbokningar för
kontroll av bröstcancer vill
jag inte att banken ska känna till det. Jag vill inte
heller att banken ska kunna sälja dessa uppgifter till det försäkringsbolag där
min hustru eller jag har
våra livförsäkringar. Om jag t.ex. har anlitat
Svenska Spels tjänster ofta vill jag inte att banken ska komma till mig och
begära omförhandling av räntan
på mitt bostadslån eftersom banken då
bedömer sig ta en högre risk. Om bolånet ligger i en annan bank vill jag inte
att banken ska sälja samma
uppgifter till den banken. Om jag är medlem i ett
politiskt parti vill jag inte att banken ska känna till att jag loggar in mig med e-
legitimation på partiets
medlemstjänst. Jag anser att dessa förhållanden
gravt kränker min personliga integritet. Jag har därmed lidit skada. Detta
gäller även 2 miljoner andra
e-legitimationsinnehavare som med mig har
förvägrats det skydd som tillkommer oss enligt Personuppgiftslagen
(1998:204).
Om jag i den analoga världen vill legitimera mig
med mitt körkort, har Transportstyrelsen, som utfärdat mitt körkort, ingen
aning om var, när och
i vilken omfattning jag identifierar mig med
körkortet. Då borde det självklart vara ett anständighetskrav att den digitala
lösningen uppfyller minst samma
integritetskrav. Men om det fungerade med
mitt körkort som det fungerar på nätet med e-legitimation skulle den expedit
som granskar mitt körkort
säga: "Vänta ett tag, jag ska bara skicka
information till Transportstyrelsen om att Du har legitimerat Dig här." Då
skulle jag fråga mig: "Vad angår det
Transportstyrelsen var jag legitimerar mig med
mitt körkort?"
2. Punkt 2 stämmer exakt med felet i principen
att E-legitimationsnämnden samlar de adresser användaren anlitar när
hon/han identifierar
sig i en e-tjänst. E-legitimationsnämnden
hämtar/samlar dessa adresser enligt SAML-idp-discovery-standarden. Det är
detta som kommittédirektivet
2010:69 skjuter in sig på. Insamlandet! Och
direktivet utgår då från Personuppgiftslagen (1998:204), som slår ned på
"behandling av personuppgifter"
(3 §) som innefattar "Varje åtgärd eller serie av
åtgärder som vidtas i fråga om personuppgifter, ... t.ex. insamling, ...
inhämtande ... av uppgifter ...".
Att sedan det rapporterade statistikunderlaget
har skalat av individerna har inte med saken att göra, det handlar om
kosmetik - inte om integritetsskydd.
Jag överlåter åt läsaren av detta att avgöra om
mina påståenden är ogrundade eller om jag har fått saker och ting rejält om
bakfoten.
---
Till Sven Ruin vill jag säga att det ligger mycket i
vad Du säger. Naturligtvis går det att omformulera frågorna. T.ex.: Anser Du
att det är bra att utfärdarna av
dagens e-legitimationer (banker, Telia m.fl.)
känner till vilka tjänster användarna identifierar sig på?
Vänliga hälsningar
Erik Mjöberg
---
On 2014-06-04 10:51, Anne-Marie Eklund-
Löwinder wrote:
Hej,
Din punkt 2 stämmer inte ett enda dugg, där
behöver du göra din hemläxa, och andra också kanske? Vilken tur då att det
är så lätt att kontrollera fakta. Regelverket för svensk e-legitimation finns
publicerat för allmän beskådan, och för varje läskunnig att ta till sig.
Ni hittar det på http://www.elegnamnden.se/
eller närmare bestämt här:
http://www.elegnamnden.se/regelverketgallandeversion.4.77dbcb04143807
0e039a8b6.html
Jag kan varmt rekommendera alla intresserade
att sätta sig in i hur det ser ut. Det ger tvärtom mot vad Erik (vad jag kan se
helt ogrundat) påstår. Jag pekar på några av de viktigaste sakerna här:
Se Bilaga J - Rapporteringsrutiner, punkten 7.5:
"Rapporterat statistikunderlag ska inte medge
att det går att härleda enskilda transaktioner mellan Användare och e-tjänst".
Se även Bilaga A - Ersättning och fakturering,
punkterna 2, 4.1 och 4.2, om vilken information som fakturorna innehåller.
De anger i praktiken enbart antal unika användare per e-tjänst.
Min slutsats är att du har fått saker och ting
rejält om bakfoten.
Med vänlig hälsning,
Anne-Marie Eklund Löwinder
Säkerhetschef
.SE (Stiftelsen för Internetinfrastruktur)
Adress: Ringvägen 100
Postadress: Box 7399, 103 91 Stockholm
Växel: 08-452 35 00
Direkt: 08-452 35 17
Mobil: 0734-31 53 10
E-post: anne-marie.eklund-lowinder@iis.se <mailto:anne-marie.eklund-lowinder@iis.se>
<mailto:anne-marie.eklund-lowinder@iis.se> <mailto:anne-marie.eklund-lowinder@iis.se> <mailto:anne-marie.eklund- <mailto:anne-marie.eklund-lowinder@iis.se>
lowinder@iis.se> <mailto:anne-marie.eklund-lowinder@iis.se> <mailto:anne-marie.eklund-lowinder@iis.se> <mailto:anne-marie.eklund-lowinder@iis.se>
Twitter: @amelsec
Webbplats: https://www.iis.se
Från: Erik Mjöberg
[mailto:erik.mjoberg@xml.se]
Skickat: den 3 juni 2014 22:56
Till: listan@lists.dfri.se <mailto:listan@lists.dfri.se>
<mailto:listan@lists.dfri.se> <mailto:listan@lists.dfri.se> <mailto:listan@lists.dfri.se> <mailto:listan@lists.dfri.se>
<mailto:listan@lists.dfri.se> <mailto:listan@lists.dfri.se>
Ämne: [DFRI-listan] E-legitimation
... och här en fråga om e-legitimation:
I kommittédirektiv 2010:69 för bildandet av E-
legitimationsnämnden står:
Felaktigt utformat skulle ett system för
samordning av elektronisk identifiering
och signering kunna leda till risker för den
personliga integriteten, t.ex. om
uppgifter om en enskilds alla kontakter med
myndigheterna skulle samlas på
samma ställe ...
1. Visste Du att utfärdarna av dagens e-
legitimationer (banker, Telia m.fl.) känner
till vilka tjänster användarna identifierar sig på?
(Se BankIds hemsida<http://www.bankid.com/sv/statistik/> <http://www.bankid.com/sv/statistik/>
<http://www.bankid.com/sv/statistik/> <http://www.bankid.com/sv/statistik/> , punkterna
7 och 8 i statistikrapporterna)
2. Visste Du att i det nya förslaget till Svensk e-
legitimation känner inte bara
utfärdarna till de tjänster användarna
identifierar sig på utan även E-legitima-
tionsnämnden (en myndighet under
Skatteverket) samlar in samma uppgifter
(för att proportionera identifieringskostnaderna
på de myndigheter som levererar
tjänsterna)?
Vänliga hälsningar
Eri Mjöberg
participants (4)
-
Anne-Marie Eklund-Löwinder -
Erik Josefsson -
Erik Mjöberg -
JOSEFSSON Erik