– Skremmende hvor mye persondata det er mulig å hente ut. Uten verifisering av hvem jeg er

OSLO (digi.no): Louise Helliksen er tidligere innovasjonsdirektør i Evry. Nå har hun startet eget teknologiselskap i hjembyen sin Trondheim. Det handler om personvern og data. Rettere sagt så bygger de en plattform for trygg utveksling av persondata.

Med på laget er også en rekke erfarne fagfolk i selskapets styre. Se faktaboks.

Norges nye personopplysningslov fra 2018 som innførte EUs personvernforordning GDPR er i høyeste grad relevant. Herunder retten til å be om innsyn i hvilke opplysninger en privat eller offentlig virksomhet har lagret om deg.

– Produktet vi lager kan skape en bølge av innsynsforespørsler inn mot selskaper. Dette skal vi forenkle. Det blir en løsning som enkelt og sikkert tillater videreformidling av persondata, og som kan bidra til god organisering fra selskapenes side, sier Helliksen til Digi.no.

Hun er daglig leder i tech-oppstarten, som foreløpig heter Ensure Your Data. Det er egentlig bedriftens slagord. Før lansering av egne hjemmesider vil de sannsynligvis finne et annet navn.

Skremmende hvor enkelt det var å få ut persondata

I forberedelsene har selskapet undersøkt hva slags personopplysninger det er mulig å hente ut fra store og små aktører i ulike sektorer.

Sikringsnivå eller hindre mot utlevering til uvedkommende var i mange tilfeller ikke-eksisterende, hvis vi skal tro gründeren.

– Personlig opplevde jeg det som skremmende og bekymringsverdig hvor mye informasjon jeg kunne hente om meg selv. Helt uten at jeg på noe tidspunkt er sikkert verifisert.

Helliksen hevder hun på enkelt vis har fått ut fulle sett med personopplysninger, fødselsdato, bostedsadresse, ulike epostadresser, informasjon om familiære forhold, handelshistorikk, avtaler, helseopplysninger, stillingsbrøk, lønnstrinn og mye annet.

Alt sammen bare ved å kreve innsyn. Da snakker vi med enkle metoder som henvendelser via webskjema eller epost.

– Det er helt ekstremt. Dette gjelder alt fra utdanningsinstitusjoner til forsikringsselskaper og store butikk- og dagligvarekjeder. Både store og små virksomheter, det er et enormt spekter og størrelse eller bransje utgjør ikke nødvendigvis noen stor forskjell, sier hun.

En annen erfaring var at enkelte aktører, som hun har et kundeforhold hos, nektet for å ha lagret hennes personopplysninger.

– Jeg var registrert som medlem med navn, epost og telefonnummer. Når jeg ba om innsyn fikk jeg først beskjed om at de ikke har noen opplysninger. Det syntes jeg var rart, da jeg visste jeg var kunde og nylig hadde mottatt SMS fra denne aktøren. Så begynner en lengre korrespondanse før de til slutt finner fram mine data likevel.

Ofte er det ingen beskrivelse av hvem man kan henvende seg til for å utøve sin innsynsrett. Andre tilbyr veiledninger, egne portaler eller mer eller mindre automatiserte løsninger for å be om innsyn. Det er store variasjoner, forteller hun.

Hvilke virksomheter eller tjenester som er kartlagt, og som angivelig lekker persondata over en lav sko, ønsker ikke Helliksen å dele med oss.

– Jeg vil ikke henge ut enkeltaktører. Vi har varslet flere av dem for å skape bevissthet om situasjonen. Det er tematikken som er viktig. Vi vil bidra til at selskapene får en sikker og god håndtering av sin etterlevelse av innsynsretten, som er styrket med GDPR. Du har rett til å be om innsyn i opplysningene som er lagret om deg og hvordan disse behandles.

Flere nivåer

Det er altså en teknisk løsning for innsyn av sluttbruker, samt formidling og håndtering av innsynsforespørsler til den enkelte databehandler, de lager.

Gründeren vet at enkelte tilbyr funksjonalitet for omfattende innsyn. Hos blant annet Facebook er det mulig å laste ned mer eller mindre alt de skal ha lagret om deg.

– Noen har en knapp for å gi innsyn i «alt». Men det er ikke nødvendigvis hensiktsmessig. Ofte har du et spesifikt formål med innsynskravet ditt. Selv ba jeg om innsyn et sted fordi jeg skulle returnere en vare og manglet kvittering. I dataene jeg fikk var alle tidligere kjøp og transaksjoner, så jeg kunne søke og finne fram varen, dato, pris og utsalgssted.

Oppstarten tar i stedet sikte på en langt mer finmasket tilnærming i ulike nivåer. Programmeringsgrensesnitt og standardiserte formater skal gjøre det mulig for kundene å integrere mot sine fagsystemer og databaser.

– Det kan være CRM-systemer, sak- og arkivsystemer, alle løsninger der man har persondata. Journalsystemer, bank, finans og forsikring er andre eksempler. Rettede innsyn mot spesifikke opplysninger bidrar til berettigede forespørsler og til en enklere prosessering for selskapene. Standardisering og kobling av datautvekslingen vil bidra til å enklere forstå, kategorisere og hente ut verdi for personene som mottar dataene, og enklere muligheter for videre utveksling av data for den enkelte, utdyper hun.

Autentisering i begge ender

Sikker identifisering og autentisering av både privatpersoner og virksomhetene som behandler persondata er sentralt. Helliksen forteller at de vil benytte BankID og tilsvarende eID-løsninger i andre land med Signicat som underliggende generator.

– Vi kan ikke levere fra oss dine persondata per epost. I stedet sender vi direkte forespørsel til selskapene om at de har fått en innsynsforespørsel. For tilgang må også de autentisere seg sikkert og verifisere hvem som kan opptre på vegne av selskapet.

Abonnement

Hva er oppstartens forretningsmodell? Vil de ta betalt per spørring, blir det en skytjeneste som virksomheter med persondata abonnerer på eller noe helt annet?

Det vil være en skytjeneste, forteller gründeren, som utdyper at sluttbrukeren i utgangspunktet ikke skal betale noe.

– Men det kan avhenge av hvor mye data du velger å oppbevare på plattformen, tilsvarende andre lagringstjenester.

Hun ser også for seg en fremtidig mulighet for at privatpersoner skal kunne låse ned egne data med private nøkler, helt ned på hvert enkelt kundeforhold. Da vil persondataene kun være lesbare for sluttbruker i en personlig «lagringsboks».

– Vi har ikke funnet en teknisk og brukervennlig løsning på det ennå.

Drahjelp fra Microsoft

Selskapet har leid inn ressurser til utvikling. Fram til nå har teamet bestått av rundt 6 ansatte. Finansieringen er foreløpig privat, men det kan være aktuelt å hente inn eksterne investorer etter hvert.

Løsningen utvikles på Microsofts skyplattform Azure. Selskapet har også fått innpass i Microsofts oppstartsprogram, som er et globalt initiativ der gründerselskap kan få støtte til å bygge og skalere opp.

Drahjelpen inkluderer både teknisk og forretningsmessig bistand, gratis Azure-credits og adgang til programvarekjempens salgs- og partnerapparat. Programmets oversikt viser at kvalifiserte deltakere kan få opptil 120.000 dollar i forbruk av Azure-tjenester over to år.

– Støtten vi har fått av Microsoft er betydelig og av stor verdi for oss. Vi har god dialog med Microsoft for Startups-programmet både i Norge og internasjonalt, sier Helliksen.

Som tidligere ansvarlig for en rekke forsknings- og utviklingsprosjekter i blant annet Evry har hun jobbet med flere store teknologiaktører. Hun er godt kjent med en rekke støttemuligheter for å utvikle selskaper.

– Det er et hav av ulike programmer og aktiviteter for startups, så det er avgjørende å velge samarbeidspartnere og tiltak som bidrar til å få en framover, og det har vi funnet via Microsoft, konstaterer hun.

Er det krevende å få innpass på et slikt program?

– Alle startups kan få tilgang til å bruke noen av verktøyene deres gratis. For å motta den bistanden vi har fått må en derimot ha kommet et stykke på vei, levere en søknad hvor en blant annet må ha spesifisert behovet, og ha en plan med hvordan man skal anvende bistanden.

Står ikke på barrikadene

Med alt dette skulle en tro at gründeren er over snittet opptatt av personvern. Paradoksalt nok er hun ikke det.

– Jeg har ingen tro på å lansere plattformen vår med å stå på barrikadene og rope ut begreper som «ta kontroll over dine data». Det har jeg ikke tenkt å gjøre. Det er et alvorlig problem at håndteringen av innsynsforespørsler er så dårlig som den er i dag, og vi jobber aktivt med å øke bevisstheten rundt dette.

– Selv er jeg ikke særskilt opptatt av personvern, og som de fleste andre har jeg ingen problemer med eksempelvis å legge igjen telefonnummeret mitt og kan stole blindt på tjenester.

Selskapets undersøkelser har imidlertid vært en vekker, som har gjort Helliksen mer bevisst i sin egen håndtering, vedgår hun.

– Vi må treffe forbrukerne og bidra til økt bevissthet basert på verdiforslag de kan dra nytte av her og nå ut ifra innsyn i egne personopplysninger. Det ene eksempelet var veldig spesifikt for å finne kvitteringene mine.