Kan følge med på hvor mobilbrukere befinner seg

Khrono har i en serie artikler sett nærmere på personvernet både til tilsatte og studenter ved Høgskolen i Oslo og Akershus (HiOA). Vi har blant annet skrevet om mulighet for overvåking ved bruk av adgangskontrollsystemet og lagring av epost etter at ansatte og studenter har sluttet. I begge tilfeller ble det avdekket, og innrømmet, brudd på personopplysningslovens bestemmelse om informasjon til den enkelte om hva som blir lagret og registrert er mangelfull og at intern administrasjon av epost har for dårlige rutiner og dermed blir lagret for lenge.

HiOA har nå tatt i bruk et nytt system for å administrere den voksende andelen mobile enheter, telefoner og nettbrett, som er koblet til høgskolens systemer. Hvis ikke brukeren aktivt skrur av lokaliseringsfunksjonen på enheten, kan høgskolen vite hvor du eller ditt nettbrett eller mobiltelefon befinner seg til enhver tid. Dette er opplysninger som også er omfattet av personopplysningsloven.

347 abonnementer

Høgskolen betaler i dag 347 mobilabonnementer, og har per i dag 281 mobile enheter koblet til sin nye sikkerhetstjeneste for mobile enheter, Mobile Device Managemenet (MDM). Av disse enhetene er det 91 nettbrett og 190 mobiler. Det er i hovedsak ansatte i lederfunksjoner som disponerer slikt utstyr i dag. For ordens skyld gjør vi oppmerksom på at tilsatte i Khrono også er brukere av høgskolens nettbrett og mobiltelefoner.

Mobilen eller iPaden blir koblet til MDM-systemet ved at en app lastes ned på mobiltelefonen den enkelte disponerer, men som høgskolen eier.

IT-direktør Tommy Due-Løvaas forteller at alle brukere skal få tilsendt et skriv fra IT-avdelingen der systemet beskrives og forklares.

— Hva slags informasjon fra MDM-systemet blir lagret på høgskolens server?

— Installerte programmer og tekniske data, og det er egentlig ikke på høgskolens servere. Dette er en sky-tjeneste og ligger altså hos en ekstern leverandør, svarer Due-Løvaas.

Kan lagre informasjon

— Jeg ser på appen som er lastet ned på min mobil at det ligger en lokasjonsfunksjon der, en funksjon som gjør at mobilen kan spores. Betyr det at dere kan se hvor alle mobilene til høgskolen befinner seg til enhver tid?

— Ja, det kan vi, men lokasjonsfunksjonen er en funksjon som brukeren selv bestemmer over, og den kan enkelt skrus av, av den enkelte bruker. Det blir alle opplyst om skriftlig, sier Due-Løvaas.

— Vi i Khrono har ikke fått denne informasjonen skriftlig?

— Det kan være spesielle årsaker til at dere ikke har fått, men alle andre skal ha blitt informert skriftlig, sier han.

— Lagrer dere lokasjonsinformasjonen, eller informasjon som trafikkdata eller sms-er?

— Vi lagrer ikke lokaliseringsinformasjonen. Trafikkdata og sms-er er det teleleverandøren som håndterer. Dette er ikke informasjon som innhentes av MDM-systemet.

— Men hadde det vært mulig å lagre hvor min mobile enhet har vært/er?

— Ja, det kan lagres lokasjonsinformasjon hvis tracking er påskrudd, sier han.

I praksis betyr dette at systemansvarlig ikke bare kan følge med på hvor mobilen eller nettbrettet befinner seg til enhver tid, men også hvor den har vært tilbake i tid. 

Tiltak for bedre IT-sikkerhet

Med stadig flere mobile enheter koblet rett inn i høgskolens systemer var det nødvendig for høgskolen å bedre sikkerheten koblet til disse enhetene. Derfor har de anskaffet seg sitt system for Mobile Device Management (MDM). 

— Vi har tilfeller der mobiler/nettbrett blir mistet ellers stjålet. Gjennom MDM-systemet kan vi raskt få slettet all informasjon som ligger på enheten. Og vi kan altså lokalisere den, hvis denne funksjonen er skrudd på, sier Due Løvaas (bildet under).

Han legger til at gjennom systemet kan også programvare og andre jobbrelaterte applikasjoner på den mobile enheten raskt og enkelt oppdateres, uten at den enkelte må møte opp eller få hjelp fra IT-avdelingen.

Burde vært skrudd av i utgangspunktet

Juridisk rådgiver i datatilsynet, Henok Tesfazghi, stiller følgende spørsmål når det gjelder høgskolens bruk av MDM-systemet:

— Hvis formålet med MDM-systemet (blant annet) er å finne tilbake til mobilen når den blir stjålet, er det nødvendig å vite hvor mobilen befinner seg. Spørsmålet man kan stille seg er om det er nødvendig å ha den på hele tiden? Man kan tenke seg at den aktiveres først når man får beskjed at mobilen er stjålet, sier han.

Han minner om at enhver lagring av såkalte «metadata», altså eksempelvis type informasjon om hvor en mobil enhet befinner seg, hvilket nettverk den er/har vært koblet til, er å anse som en behandling av personopplysninger.  

— Høgskolen må derfor forholde seg til personopplysningsloven i sin håndtering av informasjon generert av MDM-løsningen, sier Tesfazghi, og legger til:

— Viktige prinsipper her er blant annet at den ansatte må informeres i forkant om hva slags informasjon som lagres og hvor lenge, hvem som kan få innsyn og på hvilket grunnlag, sier han.

Gode rutiner og informasjon

Per Thorsheim er arbeider som privat sikkerhetsrådgiver, og sier at løsningen ved HiOA høres ut til å være i tråd med lovgivning og god praksis.

— Når mobilene er arbeidsgivers eiendom kan de i prinsippet lagre den informasjonen de mener de har saklig behov for, slik de kan og gjør med våre pc-er, sier Thorsheim, men legger til:

— Likevel ligger det en del krav på høgskolen overfor brukerne. Det første er at alle brukerne skal bli informert om hva slags informasjon som blir samlet inn og lagret fra de mobile enhetene. Deretter må det finnes gode rutiner og systemer for at det ikke feilaktig blir gitt innsyn i informasjonen som eventuelt er lagret, sier Torsheim.

— For Khrono sin del kunne man jo teoretisk tenke seg at dere var i ferd med å avsløre snusk som gikk helt opp til høgskolens ledelse. Og at man da hadde en ledelsen som gikk til IT-avdelingen for å få innsyn i lagret informasjon knyttet til redaksjonens mobile enheter i jakten på kilder eller lekkasjer, sier han.

— Og gitt slike tenkte tilfeller er det svært viktig at det finnes gode rutiner og systemer som sikrer åpenhet rundt innsyn og informasjon til brukeren det gjelder, ok ikke minst at den som ber om innsyn må ha saklig grunn, jevnfør gjeldende lovverk for å få ut slik informasjon, understreker Thorsheim.

Få svar fra aktuelle personer

Khrono har vært i kontakt med 12 forskjellige personer som har betalt mobil av høgskolen. Bare èn forteller at vedkommende hadde fått appen installert, men hadde som Khronos tilsatte heller ikke fått informasjon om appens betydning eller funksjonen som kan spore hvor mobilen til enhver tid er.

Vedkommende skriver til Khrono at det hadde vært fint å få slik informasjon i forkant, hvis Khronos opplysninger om mulighet for overvåking stemmer.

De øvrige 11 ønsket ikke å bidra med opplysninger i denne saken eller de hadde ikke fått appen installert ennå.