Clubhouse-ministeren

Det er riktig og viktig at Norges distrikts- og digitaliseringsminister er nysgjerrig på ny teknologi og nye plattformer som Clubhouse, men det blir vanskelig å skape en god sikkerhetskultur i en regjering og i samfunnet generelt, når digitaliseringsministeren «viser vei» ved å ikke ta sikkerhet og personvern på alvor, men forutsetter at «ting er på stell».

Det er utrolig kult at du og jeg kan snakke sammen om hva som helst, når som helst og med hvem som helst på Clubhouse. Selv om hvem som helst er redusert ned til noen veldig få.

De få som har en iPhone (eller iPad) og som har blitt invitert. Som tilfellet er for eksempel for vår egen distrikts- og digitaliseringsminister, Linda Hofstad Helland, som “joina” Clubhouse 9. februar og har per dags dato 1.300 følgere.

//Artikkelen fortsetter etter annonsen//

Tar verden (tilsynelatende) med storm

Mer om digitaliseringsministeren inntog på Clubhouse senere. Først må det handle litt om Clubhouse som sådan, som blir omtalt som det neste store sosiale mediet, og som tilsynelatende “tar verden med storm”. 

Globalt snakker vi om noen få millioner. I Norge snakker vi om noen få tusen. Hotellmagnat og superkjendis, Petter Stordalen, har for eksempel 5.000 følgere, mens Mosaic-programmerer og Netscape-grunnlegger, som i dag jobber som investor, og som har investert i Clubhouse, har 2,1 millioner følgere. Den personen med flest følgere, ifølge egen oversikt, er Rohan Seth. Han er en av grunnleggerne av Clubhouse og har nesten 3 millioner følgere. 

Appen er ikke helt ny, selv om det er først nå de siste par ukene at Clubhouse har blitt den store snakkisen. Ifølge Retriever var det “nyhetsbrevet” til Making Waves, Skvulp, som først skrev om Clubhouse. Det var i mai 2020 og besto av følgende få ord: 

 Alle” snakker om den sosiale appen Clubhouse, som man må bli invitert med på. Her er en som har prøvd den: Inside the Clubhouse: The surprisingly compelling audio app that has consumed my life

Så ble det egentlig helt stille her til lands blant norske medier frem til 3. januar i år. Da begynner ballen å rulle med 730.no, som skriver at 

“Clubhouse er en plattform for folk som er glad i å prate…. Eller smuglytte – og eventuelt lære noe og bli kjent med folk. Her har du en ny sosiale medier-app som kan gi deg mer FOMO.”

Så eksploderer det nærmest etter at Elon Musk plutselig dukker opp i et Clubhouse-rom. 

Og resten er historie. 

Selv ble jeg medlem 17. januar, etter å ha blitt invitert inn av Astrid Valen-Utvik. Jeg snakket første gangen om Clubhouse noen uker senere på min YouTube-kanal  3. februar, hvor jeg lurte på om dette var et lineært pandemi-fenomen fordi vi sitter i husarrest. 

Sikkerhet og personvern?

I det siste har flere andre spørsmål begynt å dukke opp. Spørsmål som handler om hvordan Clubhouse vil håndtere og moderere det som blir sagt, men ikke minst hvordan Clubhouse forholder seg til europeiske sikkerhets- og personvern-lover. 

Graverende mangler når det gjelder personvern», skriver Klaus Müller på Twitter. Han er styreleder i det tyske forbrukerrådet, som nå har sendt en formell advarsel til Clubhouse. 

Datatilsynet i Hamburg publiserte tirsdag 9. februar en pressemelding om appen. De er skeptiske til at Clubhouse lagrer adressebøkene til brukerne av appen, noe som medfører at kontaktinformasjon om europeiske borgere havner på utenlandske hender.

I samråd med de andre datatilsynsmyndighetene i Tyskland har de bedt Clubhouse om å gjøre rede for praksisen. Personverneksperten Alexander Hanff, som omtalte Clubhouse i slutten av januar i år som “the next privacy nightmare you’ve never heard of”  og at tjenesten er i strid med GDPR og ePrivacy-direktivet på flere punkter. 

Som det at Clubhouse lagrer alle samtaler, for å kunne undersøke om overtredelser har funnet sted, og at lydfilen slettes dersom ingen av deltakerne i et samtalerom har rapportert om slike regelbrudd. Og det faktum at alle samtaler lagres automatisk i er et tegn på at kommunikasjonen oss imellom på Clubhouse, ikke er kryptert ende-til-ende, skriver Alexander. 

Dette skjer i tillegg uten at vi som deltar i en slik samtale har samtykket, noe EU-reglene krever. Et slikt samtykke skal være spesifikt, informert, og ikke en betingelse for å bruke tjenesten. Det er ikke tilfellet med Clubhouse, ifølge Hanff.

Med brudd på såpass grunnleggende regler i europeisk personvernlovgivning, dreier det seg åpenbart om en gjeng klovner, skriver han videre.

Les også: Clubhouse Users’ Raw Audio May Be Exposed To Chinese Partner (Medium)

Det er det viktig at du og jeg er klar over. Utover det at Clubhouse bruker kontaktlisten din fra din egen telefon, til å lage skyggeprofiler av alle kontaktene dine. Umiddelbart oppleves det som en god ide, for det gjør det enklere for deg og meg å enkelt invitere nye brukere til Clubhouse. Men er du en journalist eller en politiker, så kan det jo tenkes at du har kontakter som du ikke bør dele med “omverden”. 

//Artikkelen fortsetter etter annonsen//

Tilliten verdig?

Confrere-gründer Ida Aalen, sier til Kampanje 11. februar, at Clubhouse manipulerer brukerne sine til å gi fra seg mer informasjon enn de bør.

Jeg skjønner at alle holder på å kjede seg i hjel i korona, og særlig alle som elsker å nettverke, skravle og drikke øl på Stopp pressen, men vi kan ikke kjede oss så mye at vi slutter å bruke hodet. 

I hvert fall offentlige instanser og redaksjonelle medier må vi forvente en annen type kritisk sans fra når det kommer til hvilken plattform vi fremhever. Jeg synes ikke Clubhouse har demonstrert at det er vår tillit verdig.

Ida sikter blant annet til Distrikts- og digitaliseringsminister, Linda Hofstad Helleland, som 10. februar inviterte  til et “åpent møte om datatrevet økonomi og innovasjon” på den svært så eksklusive og lukkede plattformen. 

Et møte som jeg også deltok på og et møte som digitaliseringsministeren har fått mye kritikk for. 

Advokat Jon Wessel-Aas skriver på Twitter at han ikke er overbevist om at Regjeringen ved å invitere til offentlig debatt på en lukket, privateid plattform, som så godt som ingen borgere har tilgang til, legger «forholdene til rette for en åpen og opplyst offentlig samtale», som Grunnloven § 100 foreskriver». 

Jeg er ingen grunnlovsekspert, så det skal jeg ikke mene noe om, selv om det må nevnes at Clubhouse langt fra er den eneste plattformen Linda Hofstad Helleland har brukt for å få innspill til en Stortingsmelding om Datadrevet økonomi og innovasjon. 

Ingenting å skjule, ingenting å frykte

Det jeg derimot reagerte på – og ble overrasket over – var svaret jeg fikk da jeg lurte på om hun hadde sjekket opp om Clubhouse er en plattform som holder seg inne med EUs regler om personvern og sikkerhet. Og hva hun tenker om at samtalene blir tatt opp av Clubhouse og kanskje delt med diktaturet i Kina. 

Da svarte Linda til meg – og de øvrige som deltok i Clubhouse-rommet – at hun ikke fryktet noe som helst, fordi verken hun eller andre fra regjeringen hadde sagt noe som ikke tålte å bli sitert på. 

Litt sånn «Ingenting å skjule, ingenting å frykte» .

Jeg spurte henne eksplisitt om infrastrukturen, ikke om selve innholdet i samtalen vi hadde. Svaret kan skyldes at hun ikke hadde tenkt så mye på det. Eller at hun ikke forsto spørsmålet mitt. Jeg mistenker, dessverre, det første. 

Jeg var heller ikke den eneste i rommet som ble overrasket over svaret fra digitaliseringsministeren. Og i samtale med Dagens Næringsliv kort tid etterpå, svarer hun litt annerledes, men muligens enda svakere, at: 

Alle slike apper skal følge europeisk lovgivning og GDPR. Det forutsetter jeg også at denne plattformen gjør. Hvis Clubhouse ikke forholder seg til dette, kan de ikke tilby denne appen til EØS-borgere.

1. For det første er det veldig farlig å anta noe som helst.
2. For det andre gjelder ikke GDPR og europeisk lovgivning kun «slike apper» som Clubhouse, men alle apper.
3. Og for det tredje er signaleffekten alvorlig; at vår egen digitaliseringsminister tar så lett på sikkerhet og personvern, vitner om svak sikkerhetskultur og et nærmest totalt fravær av bevissthet. 

Det hjelper heller ikke at digitaliseringsminsteren ikke svarer Dagens Næringsliv på om hun lot Clubhouse få tilgang til hennes kontaktliste. Det er lett å mistenke at det betyr at det var akkurat det hun gjorde. Fordi hun ikke tenkte seg om. 

For ordens skyld tenkte ikke jeg meg heller om da jeg tok i bruk Clubhouse. Men så er jeg ikke Norges digitaliseringsminister. 

//Artikkelen fortsetter etter annonsen//

Sikkerhetshygiene og sikkerhetskultur

Norges digitaliseringsminister bør utvise en mye større sikkerhetshygiene. Mange av oss husker fortsatt angrepet mot Stortinget ifjor sommer. Da ble en rekke ansatte og stortingspolitikere frastjålet e-poster, kontonumre, personnumre, bankinformasjon og andre personopplysninger. Og Russland ble utpekt som de cyberkriminelle. 

I løpet av pandemien har vi opplevd en ekstrem vekst i cyberangrep mot norske virksomheter og innbyggere. PWC avslører i sin undersøkelse, Global Digital Trust, som er basert på svar fra 3249 ledere over i hele verden at nesten alle – 96 prosent – sier de har endret sin cyber sikkerhetsstrategi på grunn av covid-19. 

Halvparten sier datasikkerhet nå bakes inn i alt de gjør. Året før var det kun 25 prosent som svarte det samme. Margrethe Rønning, som er sikkerhetsrådgiver i PwC, sier i rapporten at 

De som lykkes er de som klarer å skape en sikkerhetskultur i hele bedriften, ikke bare i IT-avdelingen

Den kulturen blir vanskelig å skape i en regjering – og i samfunnet generelt – når digitaliseringsministeren «viser vei» ved å ikke ta sikkerhet og personvern på alvor, men forutsetter at «ting er på stell». 

Verden rundt oss blir bare mer og mer preget av teknologi som blir koblet til internett. 5G, IoT og AI akselererer digitaliseringen. I tillegg har Covid-19 tvunget oss til å leve, lære, leke og jobbe mer digitalt – og da gjerne hjemme på dårlige sikrede nettverk. Flere undersøkelser vitner om en dårlig sikkerhetshygiene, hvor mange tenker i retningen av vår egen digitaliseringsminister; «at ting er på stell».  

Jeg synes det er helt riktig av Linda Hofstad Helleland er «opptatt av å prøve ut nye digitale plattformer». Det er viktig, og ikke bare for digitaliseringsministeren, å være nysgjerrig. Men hun har et ekstra ansvar å være litt mer opptatt av sikkerhet og personvern enn «folk flest». Hun har et ansvar for å «vise vei» ved å fremme en god sikkerhetshygiene, som i større grad bør være preget av mindre naivitet og litt mer «sunn paranoia». Og hun har et ansvar for å ta sikkerhets- og personvernregler særs alvorlig. 

Vebjørn Søndersrød, som er advokakt og GDPR-ekspert i Ræder, sier til Shifter, at han ikke er imponert over Clubhouse. 

Clubhouse har i sin personvernerklæring ikke nevnt GDPR overhodet, ei heller tatt inn GDPR-pliktig informasjon, som den enkeltes rett til innsyn, retting og sletting av personopplysninger. 

Og Finn Myrstad, som er fagdirektør for digitale tjenester i Forbrukerrådet, råder folk fra å gi Clubhouse tilgang på adresselisten sin, og oppfordrer folk til å vurdere å vente med å ta appen i bruk frem til det blir avklart om Clubhouse opererer i tråd med lovverket. 

Det burde digitaliseringsministeren og alle hennes rådgivere og statssekretærer har sjekket ut før hun tok i bruk, sannsynligvis delte kontaktlisten hennes med Clubhouse og inviterte til en “åpen samtale”. 

Hadde jeg visst bedre, hadde jeg ikke delt min egen kontaktliste med Clubhouse. Nå er det for sent, selv om jeg har fjernet tilgangen nå – til både kontaktene og kalenderen min.

10. februar diskuterte vi den “datadrevne økonomien” med Linda Hofstad Helleland, hvor blant annet utnyttelse av data mellom det offentlige og private er en viktig vei for videre økonomisk vekst.

Men er ikke sikkerheten og personvernet ivaretatt, vil det først og fremst være de cyberkriminelle som vil oppleve økonomisk vekst. 

Og det tror jeg ikke vår egen digitaliseringsminister ønsker å være primus motor for. Uansett hvor kult det er å kunne “clubbe” med vanlige (Les: noen få iPhone-brukere) i et “house” du selv har invitert til. 

For det må jeg si; Clubhouse er en utrolig kul tjeneste som jeg har stor tro på. Enten som Clubhouse, eller som en ny tjeneste fra “the usual suspects” som har brukt de siste årene på å tilpasse seg europeiske sikkerhet- og personvernregler. 

Jeg synes det er spesielt merkelig at noen kan utvikle en ny tjeneste i dag, med globale ambisjoner, uten å integrere nødvendige EU-regler fra “the get go”.