Vad svarade Google EU:s arbetsgrupp för dataskydd?
12 Juni 2007 av Lars VågeSom jag antydde i den senaste bloggposten här på Internetbrus är det inte bara Privacy International utan även EU som har “issues” med Google i frågor om dataskydd. Ordförande för EU:s Article 29 Data Protection Working Party, Peter Schaar, skickade den 16 maj ett brev till Googles jurist Peter Fleischer som är ansvarig för frågor om dataskydd. I brevet poängterar han att sökmotorloggar innehåller information som kan länkas till identifierbara personer och därför faller under definitionen för personliga data som formulerats i EU:s dataskyddsdirektiv 95/46/EC.
Även om Google har beslutat att anonymisera sina sökmotorloggar efter 18-24 månader så anser arbetsgruppen inte att detta “seem to meet the requirements of the European legal data protection framework”. Inte heller tycker man att Google redovisat syftet med att spara sökmotorloggarna vilket är ett krav enligt det ovan nämnda EU-direktivet. Därutöver tycker man att den beräknade livslängden på Googles cookie-filer, 30 år, är alldeles oproportionerligt lång. I detta sammanhang hänvisas till EU:s ePrivacy-direktiv 2002/58/EC. Slutligen undrar man huruvida anonymiseringen av sökmotorloggarna är reversibel, dvs om det går att återställa informationen på något sätt.
Nu har Googles Peter Fleischer svarat på arbetsgruppens brev och valt att publicera sitt svar på nätet. I en bloggpost i Googles officiella blogg har man också igår kommenterat hur man resonerat.
I svaret går man ut med att man nu anammar en ny policy som går ut på att sökmotorloggar ska anonymiseras efter 18 månader istället för som nu 18-24 månader. Ett litet steg för att visa sin goda vilja får man förmoda. Angående om anonymiseringen skulle vara reversibel skriver man att den sista delen (oktetten) i IP-numret kommer att raderas. Inte bara krypteras utan verkligen raderas. I den ovan nämnda bloggposten finns en uppräkning av skälen för att spara sökmotorloggarna. Bland dessa finns att höja kvaliteten på sökalgoritmerna, att skydda användarna från spam, att skydda Google från attacker, att kunna lämna ut data i rättsfall som t.ex. barnmisshandel och att möta lagliga krav på att behålla data en viss tidsperiod.
Slutligen skriver man att “we are exploring ways to redesgin cookies” så att de löper ut fortare. Problemet är att göra detta på ett naturligt sätt utan att användarna återigen ska fylla i basdata som vilket språk man föredrar. Vet inte om jag köper det sista helt och hållet. Vilket språk som visas verkar ändå mest bero på analysen av mitt IP-nummer. Jag har inte angett att jag är i Sverige, men det vet ju Google ändå. Detta blir mycket tydligt om man använder en anonymiseringsmetod som t.ex. Tor-nätverket och roar sig med att byta identitet några gånger. Ibland serveras du Google på tyska, ibland på engelska, ibland på något annat språk.
Nu får vi se vad EU:s dataskyddsgrupp tycker om Googles svar. De sammanträder senare denna månaden och frågan ska tas upp då.
UPDATE 2007-06-14: EU:s kommissionär för rättsliga och inrikes frågor, Franco Frattini, kommenterade igår Googles brev. Vid en presskonferens som hölls i samband med att Europeiska Unionens Råd sammanträdde fick Frattini frågan vad han tyckte om att Google skulle anonymisera sina loggar redan efter 18 månader. Frattini svarar att “It is indeed a good step” och att det känns bra att Google försöker gå EU till mötes i den här frågan. Han tycker också att det är bra att Google överväger att göra förändringar i hanteringen av sina cookies. Det märks här att han inte är så tekniskt bevandrad vilket han själv också medger. Han frågar personen bredvid om det heter “cooks” men blir diskret rättad. Det här kan man titta på i den streamade videoupptagningen av presskonferensen efter ca 18:40 och framåt. (Tack till vår eminenta EDC-bibliotekarie för denna upplysning!).
