Webperf
Kommuners och andra offentliga aktörers kommunikation på webben är något som berör praktiskt taget varje svensk. Må det vara att man letar dagis till sitt barn, jämför gymnasier eller kollar var man återvinner farliga kemikalier. Med andra ord handlar detta om vardagen.
81 % av Sveriges kommuner använder Google Analytics
Många kommuner nämner deras respekt för privatlivet och den personliga integriteten när de pratar om sin äldreomsorg. Frågan är hur väl de sköter motsvarande frågor på sin webbplats - om man nu har en strikt syn på vad personlig integritet innebär. Därför påbörjade jag en analys av samtliga kommuners användande av Google Analytics, som är det vanligaste verktyget, för att spåra sina besökare.
Vad är då problemet med Google Analytics?
Google är i detta fall bara ett oerhört frekvent använt exempel som kan bytas ut mot många andra - se i botten av artikeln för att se fler exempel på vanliga webbfunktioner som hotar besökarnas integritet i någon utsträckning.
Inte bara webbplatsägaren har tillgång till denna insamlade data om sina besökare. Utöver Google själva vet vi idag att USA:s övervakningsmyndighet NSA tjuvlyssnar på det mesta som kommer in i Googles datacenter. Mellan besökaren och Googles datacenter kan det finnas ännu fler nyfikna myndigheter och kanske en och annan privat tjuvlyssnare.
Har man en strikt hållning till personlig integritet och praktiserar svensk försiktighetsprincip är det illa nog bara att Google har denna data. Tillsammans med respektive persons beteende på andra webbplatser, och eventuell användning av Google+ eller Gmail, avslöjar de sig väldigt snabbt. Det är med andra ord näst intill omöjligt att vara anonym, om du fortfarande tror det kan du läsa på om skuggprofiler (hur andras sociala beteende avslöjar även dig) och studier på inköpsdata.
Så vad är problemet då? Jo, exempelvis personuppgiftslagen (PuL) säger att man måste ha lämpligt skydd för att personuppgifter inte ska läcka ut. Datainspektionen, som är den myndighet som ser till att lagen efterlevs, skriver bland annat följande om säkerhet och personuppgift:
“Kostnaden för säkerhetsåtgärderna ska ställas i relation till riskerna för att obehöriga får ta del av personuppgifterna. Ju större riskerna är, desto mer omfattande ska säkerhetsåtgärderna vara.”
– Datainspektionen
Säkerhetsåtgärden i detta fall, om man anser att risk finns, skulle vara att inte ha webbplatsspårning med hjälp av en extern aktör. Nära på gratis helt enkelt.
Att lägga manken till kring säkerheten är extra viktigt om personuppgifterna anses vara av känslig natur. Datainspektionen exemplifierar känsliga personuppgifter som sådana som avslöjar:
- Ras eller etniskt ursprung.
- Politiska åsikter.
- Religiös eller filosofisk övertygelse.
- Medlemskap i fackförening.
- Uppgifter som rör hälsa eller sexualliv.
Med andra ord kanske en kommun ska undvika att ha spårning med Google Analytics på sidor som guidar till rätt ungdomsmottagning. Ännu värre om landstinget har Google Analytics på sidor som vänder sig till homosexuella - då blir det jackpott i integritetsproblem kring hälsa och sexualliv.
I ärlighetens namn finns nog sidor på samtliga kommuners webbplatser där ett besök kan antyda känsliga personuppgifter som de i listan ovan.
Och nej, argumentet att folk själva vräker ur sig integritetshotande uppgifter duger inte i detta sammanhang. Lagen reglerar att vi andra inte får bidra till detta problem, och spårning sker i det fördolda för den normala webbplatsbesökaren.
Vilka kommuner använder inte Google Analytics?
Enklast att redovisa är de kommuner som inte använder Google Analytics. Totalt är de 74 av 290 kommuner. Totalt är de 55 av 290 kommuner (tack till Anders Johansson som har reviderat min testkod). De är följande:
- askersund.se
- bengtsfors.se
- bollebygd.se
- borlange.se
- bracke.se
- degerfors.se
- dorotea.se
- eslov.se
- essunga.se
- falun.se
- filipstad.se
- flen.se
- gagnef.se
- gnosjo.se
- grums.se
- grastorp.se
- gellivare.se
- haninge.se
- herrljunga.se
- herjedalen.se
- horby.se
- jarfalla.se
- katrineholm.se
- kumla.se
- leksand.se
- ljungby.se
- ljusnarsberg.se
- lycksele.se
- lysekil.se
- mjolby.se
- munkfors.se
- monsteras.se
- nacka.se
- nora.se
- nykvarn.se
- osby.se
- partille.se
- perstorp.se
- ragunda.se
- skara.se
- skovde.se
- solleftea.se
- sorsele.se
- sotenas.se
- stenungsund.se
- stromsund.se
- svenljunga.se
- sater.se
- savsjo.se
- tibro.se
- tyreso.se
- vara.se
- vargarda.se
- asele.se
- orkelljunga.se
Varför låta Google lyssna in?
Många har nog inte besökarens integritet i första rummet när de designar och kravställer sina webbplatser. Åtminstone såg det verkligen inte ut så när jag innan sommaren gjorde en ytlig inventering av hur stor utmaningen kring en strikt efterlevnad till (den högst relaterade) cookie-lagen skulle kunna påverka min arbetsgivare. Hur strikt man bör vara kommer en framtida nationell rekommendation från Post- och Telestyrelsen att klargöra men man kan lika gärna i tanken förbereda sig på det värsta tänkbara.
Google Analytics använder cookies för att spåra besökare. Samtidigt är cookies bara ett av många sätt för inbjudna tredjeparter att lyssna in på trafiken mellan din webbplats och dina besökare
Jag bör poängtera att i min snabba bedömning av min egen arbetsgivare så verkar vi på inget sätt sticka ut ur mängden, något du lär märka i listningen nedan av vilka sorters problem jag ofta fann tecken på.
Lite om cookie-lagstiftningen
Den populärt kallade cookie-lagen strävar efter att skydda folks integritet på webben:
“Enligt lagen om elektronisk kommunikation ska alla som besöker en webbplats med kakor få tillgång till information om att webbplatsen innehåller kakor och ändamålet med användningen av kakor. Besökaren ska också samtycka till att kakor används.”
– Post- och Telestyrelsen
Alla externa tredjeparts-tjänster kan, om de vill, sätta cookies eller på annat sätt spåra dina besökare. Problemet är med andra ord mycket större än man först kanske tror. Som grädde på moset så kan dessa tredjeparter, exempelvis Google, lyda under lagstiftning som gör att deras lokala övervakningsmyndigheter lyssnar in på allt som försiggår på din webbplats.
Vanligt förekommande potentiella hot mot besökarnas integritet
Den överlägset vanligaste “avlyssnaren” idag är troligtvis Google med alla sina användbara gratistjänster, där vi istället för pengar betalar med vår egen eller våra webbplatsbesökares personliga integritet.
Förutom uppenbar massövervakning via Google Analytics erbjuder de också Youtube och Google Maps som synliga tjänster. Mer dolt under ytan finner vi inte sällan att webbutvecklarna valt att hämta teckensnitt från Google Fonts, eller läsa in Javascript-ramverk som jQuery via Google Hosted Libraries, eller Google Translate. Den som tycker att “det är mycket nu” med alla kodändringar har säkert gått all in på Googles Tag Manager.
Sociala medier som Twitter, Facebook och Instagram
Några andra som har god koll även på oss som inte ens har ett konto hos dem är Facebook. De är en av många som har information om dig du inte nödvändigtvis vet om själv, så kallade skuggprofiler, även om du inte är kund. Tack vare att många webbplatsägare har integrerade Gilla-knappar och Facebook-flöden på sina webbplatser kan Facebook följa vad som händer utanför deras egen webbplats.
Twitter tillhör ju lite samma kategori men är nog inte i samma klass som Facebook, dels för att de ha så mycket färre användare men också för att de inte samlar lika mycket uppgifter om sina användare. Att Facebook numera äger Instagram gör ju bara deras grepp ännu stadigare om folks identitet.
På tal om sociala medier så finns mängder med leverantörer av dela-knappar, exempelvis Addthis, Sharethis mfl. Har du läst deras integritetspolicy och kontrollerat om de följer dem?
Övriga verktyg för webbanalys
Andra mindre aktörer som konkurrerar med Google Analytics är bland annat Eurovator, Vizzit som åtminstone syns ibland på den svenska marknaden, Adobe Business Catalyst / Omniture / Adobe Marketing Cloud, Siteimprove och många fler som hjälpsamt driftar sin webbanalystjänst på sina egna servrar.
Innehållsnätverk
Det finns en väldigt lång lista över det som kallas för innehållsnätverk (CDN - Content Delivery Network) vilket kan användas för att uppnå hög prestanda. De bidrar bland annat med lastbalansering men kan också snabba upp överföring av filer för att de har datacenter över hela klotet.
Google är mycket stora på detta, men utöver att man kan sätta upp egna mindre CDN:s så finns många alternativ att välja på. Bland annat väljer många att hämta Javascript-ramverket jQuery från jquery.com (som i höstas hade stora säkerhetsproblem). Andra väljer att låta Microsoft skicka AJAX-filer till ens egna besökare från ASP.NET, men Microsoft har också Azure CDN.
Ett CDN kan också vara så pass banalt som att visa en väder-widget från klart.se eller att besökarna erbjuds att få sidan uppläst av talandewebb.se
Summering
Som du märker på ovan axplock finns ett och annat som kan äventyra en besökares personliga integritet. Med tanke på att hela tre av fyra kommuner använder Google Analytics är det lätt att konstatera att vi har ett problem.
På min egen arbetsplats har vi under 2014 nästan helt gjort oss av med Google Analytics. Högst prioriterat var förstås att ta bort det från sjukhusens webbplatser. Istället använder vi Piwik - se länk nedan - som är ett öppet alternativ man som större organisation kan drifta själv på egna servrar utan insyn för någon annan. Piwik är kanske inte det verktyg alla har överst på önskelistan om man är van att jobba med Google Analytics. Frågan man bör ställa sig är dock om ens egen bekvämlighet vid uppföljning av webbplatsens användning ska vara viktigare än alla ens besökares integritet.
Personligen biter jag ihop och gör det bästa jag kan med Piwik.
Om du inte är helt obekväm med teknik kan du gå in i din webbläsares utvecklarläge. Där finns oftast nätverks-verktyg för att se exakt vilka filer som laddas in och varifrån de kommer.
Har du kollat om din webbplats ens fungerar för besökare som via webbläsaren blockerat allt detta?
Förslagsvis genomför du en inventering av hur stort bekymret är där du jobbar. Till din Python-kunniga utvecklares hjälp finns nedan kod att fritt återanvända för att leta potentiella integritetsproblem.
Mer om integritet och vad du kan göra
- Kod för att identifiera webbanalys-verktyg som Google Analytics, innehållsnätverk m.m. (fanns på github.com/webbfunktion/webcheck/blob/master/checks.py)
- Matomo kanske kan ersätta Google Analytics för webbanalys?
- Anders Thoresson om digitalt självförsvar
PS.
Det finns ett tiotal pappersböcker kvar, så skynda om du nu vill ha en fysisk bok.
DS.
-- UPPDATERING 4 feb --
Anders Johansson granskade även kommunernas Javascript-kod, då blev det bara 55 kommuner kvar. Alltså gick det från att 74 % till 81 % använder Google Analytics. Tråd på Google+.
-- UPPDATERING 2 sept --
DN har släppt en granskning: "Svenska myndigheter lämnar ut dina surfvanor"
Inlägget var ursprungligen publicerat på Webbstrategi för alla
