Nye lover åpner for russisk manipulering av norske Yango-data

Da Datatilsynet i august ble klar over at Russland fra 1. september i år ville innføre en lov som ga myndighetene tilgang til data fra landets drosjeselskaper, varslet de et midlertidig forbud for Yango Norge mot å overføre passasjerdata i Yango-appen fra Norge til Russland.

Eierselskapet Yandex truet med å gå til søksmål for å få stoppet et slikt forbud, og argumenterte med at data fra norske Yango-brukere ikke er omfattet av denne loven. Datatilsynet trakk da sin begjæring.

Nå ser det ut til at Russland er i ferd med å innføre enda en lov – som vil gi politi og sikkerhetstjenester tilgang til ikke bare å lese, men også slette og redigere data fra alle russiske selskaper og virksomheter.

Ny lov - nye muligheter

Russiske medier skriver at dumaen (den russiske nasjonalforsamlingen) i november skal behandle et lovforslag som vil gi russiske «rettshåndhevende organer» – sannsynligvis inkludert det russiske sikkerhetspolitiet FSB – ekstern tilgang til å lese, slette eller redigere «sensitive» data som de ønsker, uten å informere eierne av databasene på forhånd.

RUBDA – den russiske stordataforeningen, der Yango-eieren Yandex er et av medlemmene – har protestert mot lovforslaget, i den grad det er mulig å protestere i dagens Russland.

Den russiske næringslivsavisen Komersant skriver at foreningen er enig i selve formålet med lovforslaget, men at den er redd for at en slik ukontrollert tilgang kan forstyrre driften av databasene og føre til at personer som er ansvarlige for databasene, blir straffeforfulgt – fordi tredjepersoner får overført informasjon på en måte som bryter med andre databeskyttelseslover i Russland.

De mener derfor at fjerning eller endringer av data bør skje etter offisielle forespørsler, og de ber om at bestemmelsene om fjerntilgang blir droppet fra lovforslaget eller at tilgangen bare omfatter statlige og kommunale databaser.

Usikker på sikkerheten

Datatilsynet er svært bekymret for hvor sikre dataene til norske Yango-brukere er i dagens situasjon, en bekymring de deler med det finske datatilsynet.

I Europa har Yango drosjevirksomhet bare i Norge og Finland, ettersom tjenesten ble forbudt i Estland, Litauen og Latvia etter Russlands invasjon i Ukraina. Men siden drosjetjenesten driftes av Yandex' nederlandske datterselskap, Ridetech International, er det det nederlandske datatilsynet som behandler saken.

Yandex mener at så lenge det er Ridetech som behandler Yango-dataene, og gjør det i henhold til GDPR, vil ikke russiske myndigheter få tilgang til dataene.

I Yandex' egne personvernerklæringer står det imidlertid at Yandex lagrer personopplysninger i Russland. Et annet punkt gjør det klart at Yandex kan overføre personlig informasjon til tredjeparter utenfor Yandex-gruppen, for eksempel myndigheter, statlige organer eller domstoler som Yandex etter gjeldende lov er pålagt å gi informasjon. Andre punkter slår fast at brukerne av Yandex-tjenester gir tillatelse til dette ved å ta i tjenestene i bruk.

Seksjonssjef Tobias Judin i Datatilsynet sier at Datatilsynet i Nederland trolig ikke kommer til begrunne sine vurderinger med en enkelt russisk lov alene, men gjøre en helhetsvurdering av situasjonen i Russland før de konkluderer med om drosjedataene er trygge.

Judin vil ikke si mye om når det nederlandske datatilsynet er ferdig med sine undersøkelser.

– Det er selvsagt en tidsplan, men jeg vil ikke gå inn på den. For Norge og Finland er det imidlertid viktig at denne saken blir raskt avgjort, ettersom Yango-tjenesten er i drift her, sier han.

Lagres i Russland

Den russiske eksilnettavisen Meduza skriver at før den nye loven ga FSB fri tilgang til å hente ut data fra databaser over drosjetjenester som er inkludert i det såkalte «registeret over informasjonsformidlingsorganisatorer», måtte det russiske sikkerhetspolitiet gjøre offisielle henvendelser og be om å få ut slike data.

Ifølge Meduza fikk Yandex i første halvår 2019 mer enn 15.000 henvendelser fra russiske myndigheter om å gi fra seg data fra tjenestene sine. Og de ga fra seg data i 84 prosent av tilfellene. Data fra drosjetjenesten Yango, eller Yandex Taxi som den heter i noen land, var noe av det som var mest etterspurt.

Meduza skriver at alle drosjedataene nå befinner seg i tre datasentre Yandex drifter i Russland – i Moskva og nabobyene Ryazan og Vladimir. Et fjerde Yandex-senter skal settes i drift i Kaluga, som også ligger i nærheten av Moskva. Yandex-kilder Meduza har snakket med, forteller at Yandex lagrer de samme dataene flere steder for å sikre god redundans.

Før invasjonen av Ukraina ble drosjedata fra Yango også lagret i Yandex' datasenter i Mäntsälä i Finland. Da Yango for flere år siden ble etablert i Europa, og måtte forholde seg til GDPR, diskuterte Yandex muligheten for å skille ut og overføre alle «internasjonale» data til Mäntsälä og andre utenlandske datasentre. Men selskapet skal ha konkludert med at det ville bli vanskelig og dyrt.

– At brukere enkelt kan bestille taxi, uavhengig av land, er selve Yango-tjenesten. Å skille ut dataene fra internasjonale drosjeturer er «en stor hemorroide», sier en Yandex-ansatt til Meduza.

– Hele arkitekturen til tjenesten må gjøres om. Det holder ikke bare å kjøpe lagring i et vestlig datasenter, forklarer kilden.

Etter at Russland invaderte Ukraina, har ikke taxitjenestedata fra Yango blitt lagret i Finland. Datasenteret ble rammet av vestlige sanksjoner, som blant annet medførte at strømmen til senteret ble kuttet.

Datatilsynet frykter utpressing

Meduzas kilde spøker med at det også er en annen grunn til at drosjedataene ble fjernet fra Mäntsälä.

– Vi kan ikke la Nato- eller andre uvennlige land finne ut hvordan tjenestemenn fra presidentadministrasjonen drar på strippeklubber...

Med de nye lovene i Russland er det imidlertid en fare for at drosjedataene kan brukes slik spøken antyder, og Datatilsynet i Norge har allerede gått ut og advart personer i framtredende samfunnsposisjoner mot å bruke Yango-appen fordi reisedataene kan brukes til å overvåke, utpresse eller sverte dem.

Grigory Bakunov, tidligere teknologidirektør i Yandex, sier til Meduza at russisk sikkerhetspoliti vil kunne hente ut Yango-drosjedata i bulk, eller sortert etter parametre som: Bruker X' kjøreturer med sjåfør Y fra punkt A til punkt B.

Ifølge Yangos brukervilkår lagrer appen også adresser du har søkt etter, uavhengig av om du har reist dit.