Sporing på offentlige nettsteder – omfang og ny regulering

Teknologirådet har i to omganger undersøkt offentlige nettsteder for å kartlegge bruk av sporingsteknologi. Den første rapporten ble publisert i 2021, og kartla 41 nettsteder. I denne nye rapporten har vi utvidet undersøkelsen til 156 nettsteder innen statlig og kommunal sektor.

Teknologirådet har undersøkt hvorvidt nettstedene:

• Bruker sporingsverktøy fra eller deler data med Google. 41,7 prosent av nettstedene bruker Google Analytics. 14,7 prosent bruker funksjonen Remarketing Audiences som er utviklet for å kunne målrette annonser mot kunder som tidligere har besøkt en nettside, og 17,9 prosent deler data med annonsebørsen Doubleclick. Ingen av de 29 virksomhetene som deler data med Doubleclick, oppgir i personvernerklæringen sin at de gjør det.
• Bruker sporingsverktøy fra Meta. 5,8 prosent bruker Meta Pixel.
• Deler data med selskaper som utfører tastelogging eller gjør opptak av nettsidebesøk. 7,7 prosent gjør opptak av nettsidebesøk, 12,2 prosent bruker verktøy for tastelogging.

Undersøkelsen er i sin helhet gjengitt i tabellform i vedlegget til rapporten, og viser status for bruk av sporingsverktøy i september–oktober 2023. Endringer kan ha funnet sted siden undersøkelsen ble gjennomført.

Hvorfor tillater offentlig sektor dette?

I etterkant av første rapport om kommersiell sporing på offentlige nettsider, har Teknologirådet fått en rekke henvendelser og tilbakemeldinger som kan gi en pekepinn på hvorfor sporingsteknologiene er så utbredt. Blant annet har vi fått høre at:

• Google Analytics er det vanligste og beste verktøyet for analyse av nettrafikk.
• De ansvarlige var ikke klar over hvor mye data som samles inn.
• Det er lite kjennskap til mulige alternativer.

Er det så farlig?

Mange av de kommersielle aktørene på nett samler inn data for å tjene penger på å påvirke oss gjennom persontilpasset reklame. De samme teknikkene har også blitt brukt til å spre målrettet desinformasjon i forbindelse med politiske valg, under koronapandemien og i forbindelse med Russlands invasjon av Ukraina.

Data på avveie kan få store konsekvenser for de berørte. Flere saker de siste årene har vist at den digitale annonseindustrien er utsatt – de sitter på store mengder data om enkeltpersoner, informasjonen er ofte privat og sensitiv, og forretningsmodellen med kjøp og salg av data gjør at data sprer seg fort.

Undersøkelser av den digitale annonseindustrien har vist at enkelte livshendelser, som graviditet, skilsmisse eller bryllup gjør brukerne mer ettertraktet hos annonsører. Dette er informasjon som kan utledes av vår kontakt med offentlig sektor, og kommersielle aktører kan bruke data om trafikk på disse nettstedene til å bygge opp digitale profiler om norske innbyggere.

Hva kan myndighetene gjøre?

Rapporten beskriver hvordan det nå skjer flere ting som bidrar til at landskapet for innsamling og bruk av data er i bevegelse. Den nye EU- reguleringen Digital Services Act forbyr atferdsbasert markedsføring rettet mot barn. I Norge har også Stortinget bedt regjeringen utrede konsekvensene av et generelt forbud mot reklame basert på sporing og masseinnsamling av personopplysninger

Samtidig er det ikke kun lovregulering eller juridiske vedtak som kan begrense overvåkingsøkonomien. Analyseverktøyene fra Google og Meta er svært utbredt globalt, og det har vært debatt om bruken også i andre land. I både Sverige og Danmark er bruken av Google Analytics hos offentlige virksomheter langt lavere enn i Norge, uten at de har vedtatt nye lover som begrenser bruken.

Hvis norske myndigheter ønsker å minimere sporing av innbyggerne på nett, finnes det grep de kan ta. Digitaliseringsrundskrivet kan for eksempel legge føringer for hvilke verktøy offentlige virksomheter skal bruke og hvordan personvernet ivaretas. Regjeringen jobber også med en ny nasjonal digitaliseringsstrategi som skal lanseres våren 2024. Her er det mulig å beskrive digitaliseringstiltak som også sørger for beskyttelse av innbyggernes personvern.