Google – Brainworker AS

I et stillferdig, men bemerkelsesverdig trekk har Google gjort sine hoser grønne for et verktøy som setter biometrisk overvåkning i hendene på lokal politi – samtidig som selskapets app-butikk har fjernet apper som kunne advare lokalsamfunn mot politi- og utlendingsmyndighetsaksjoner. Resultatet: en tydelig markering av hvilken side teknologigiganten ser ut til å stå på.

Appen «Mobile Identify»

Verktøyet heter Mobile Identify og tilbys av U.S. Customs and Border Protection (CBP) for statlig og lokal politi som inngår samarbeid etter the 287(g)-avtalen – formelt kjent som «Task Force Model» under U.S. Immigration and Customs Enforcement (ICE). Appen ble nylig funnet i Google Play-butikken, beskrevet som at den «støtter lokale politibetjenter i deres plikter» under seksjon 287(g) i immigrasjonsloven.

Funksjonaliteten ser ut til å være at en politibetjent med appen kan ta et ansiktsbilde i felten, appen returnerer ikke nødvendigvis et navn, men genererer et referansenummer og gir instruksjon om hvorvidt vedkommende skal tas inn til ICE-kontakt eller ikke.

Samtidig – apper som varsler lokalsamfunn fjernes

I samme tidsrom har Google fjernet apper som ble designet for å varsle lokalbefolkning om tilstedeværelsen av ICE-etater eller politiaksjoner mot utlendingsmyndigheter. Ifølge kilden 404 Media ble disse fjernet med begrunnelsen at de delte posisjonen til det Google definerer som «sårbare grupper» – mens Google samtidig hoster verktøyet som retter seg mot nettopp en gruppe som kritikere mener er sårbar (utelendingsmyndighetenes mål).

En utvikler av en slik varsler-app sier det slik:

«Google wanted to ‘not be evil’ back in the day. Well, they’re evil now.»

Hva betyr dette?

Ved første øyekast kan det virke som teknologiselskapet tar et standpunkt – men det er verdt å spørre seg hva dette «standpunktet» innebærer i praksis:

Det viser at Google ikke bare tilbyr plattform for privat kundebruk, men i praksis muliggjør et flernivå overvåkningsverktøy som kobler lokal politi til føderale immigrasjonsmyndigheter.
Det demonstrerer at applikasjonskontroll funnet i app-butikkene ikke nødvendigvis handler om «brukersikkerhet» eller «personvern» alene, men også om politiske/etiske vurderinger av hvilke typer maktbruk som skal muliggjøres.
Det åpner opp for sterke spørsmål rundt personvern, rettssikkerhet og maktfordeling – særlig når et lokalpoliti kan få tilgang til biometrisk ansiktsgjenkjenning via sin telefon uten bred offentlig debate. For eksempel finnes det ingen åpen, offentlig postet “Privacy Impact Assessment” (PIA) eller “System of Records Notice” (SORN) for denne appen, ifølge analyseartikler.

Hva har dette med Europa / Norge å gjøre?

Selv om dette er et amerikansk fenomen, finnes det klare paralleller og advarsler for Europa og Norge:

Hvis en stor teknologiplattform som Google godtar og muliggjør biometriske overvåkningsverktøy for myndigheter, er det en påminnelse om at avhengighet av globale teknologiplattformer kan medføre regulatoriske og etiske risikoer – ikke kun tekniske.
For nordiske bedrifter eller offentlige aktører som bruker eller vurderer skytjenester/teknologileverandører fra USA, blir spørsmålet: «Hvilken side står leverandøren på når teknologien gjelder makt og overvåkning?»
Dette illustrerer behovet for europeisk og nasjonal digital suverenitet – at vi stiller krav til teknologileverandører og plattformer om åpenhet, ansvarlighet og vern av sensitive data og maktfunksjoner.

Oppsummert

Google har – ved å tilby Mobile Identify og samtidig fjerne apper som advarer mot utlendingsmyndigheter – vist at app-butikkpolitikken og teknologiplattformenes rolle i maktforhold ikke er nøytrale. For brukere, samfunn og beslutningstagere betyr dette at «Å velge plattform» også kan være «Å velge side». Spørsmålet er: på hvilken side ønsker vi at teknologien står?

Kilder

De fleste virksomheter i Norge – både offentlige og private – bruker i dag programvare fra Microsoft eller Google. Vi skriver, deler, møtes og samarbeider i skyen, og det fungerer utmerket.

Men bak den sømløse brukervennligheten skjuler det seg et komplekst og juridisk utfordrende landskap. For selv om tjenestene teknisk sett er sikre, betyr ikke det nødvendigvis at de er personvernmessig trygge – i hvert fall ikke etter europeisk lovgivning.

Amerikansk lov vs. europeisk personvern

Kjernen i problemet handler om jurisdiksjon.

Microsoft og Google er amerikanske selskaper, og omfattes derfor av CLOUD Act, en amerikansk lov som gir amerikanske myndigheter rett til å kreve innsyn i data – også når de ligger lagret i europeiske datasentre.

Dette står i direkte konflikt med GDPR, som krever at personopplysninger om EU/EØS-borgere ikke kan overføres eller gjøres tilgjengelige for tredjeland uten tilstrekkelig rettsgrunnlag.

Med andre ord: Du kan lagre dataene dine i Irland, men amerikansk lov “følger etter” fordi det er Microsoft eller Google som eier infrastrukturen.

Et juridisk og etisk minefelt

For norske virksomheter innebærer dette et krevende dilemma:

Offentlige aktører må følge både GDPR, personopplysningsloven og nasjonal sikkerhetslov.
Private selskaper må sikre at kundedata og ansattdata behandles i tråd med databehandleravtaler og europeiske krav til dokumentert sikkerhet.

Samtidig er alternativene ofte begrenset. Microsoft 365 og Google Workspace har blitt så integrert i arbeidsflyten at det kan være vanskelig å bytte – og de fleste er ikke klar over hvor dataene faktisk befinner seg, eller hvem som har tilgang.

Når metadata også blir sensitive

Selv om hoveddataene (for eksempel dokumenter eller e-poster) er kryptert, samles det enorme mengder metadata: hvem du sender e-post til, når du møtes, hvor du befinner deg, hvilke filer du åpner og hvilke søk du gjør.

Slike data kan avsløre både forretningshemmeligheter, politiske prioriteringer og personlige mønstre – og er i økende grad et mål for både kommersielle aktører og etterretningstjenester.

Hyperscalerne forsøker å berolige markedet

Microsoft og Google er godt klar over kritikken. Begge lanserer nå tiltak for å imøtekomme europeiske krav:

Microsoft EU Data Boundary: lover at europeiske kundedata skal lagres og behandles utelukkende innenfor EU/EØS.
Google Sovereign Controls for Workspace: lar kunder administrere egne krypteringsnøkler og logge alle tilgangshendelser.

Dette er viktige skritt, men løser ikke hele problemet.

CLOUD Act gjelder fortsatt, og kan ikke omgås teknisk – kun politisk eller juridisk.

Europeisk motreaksjon: suverenitet og Gaia-X

Som en reaksjon på dette vokser det fram en ny europeisk bølge av suverene skytjenester – utviklet og driftet under europeisk jurisdiksjon.

Prosjekter som Gaia-X, OVHcloud, T-Systems Sovereign Cloud og HCL Domino Sovereign Edition tilbyr nå reelle alternativer der data forblir i Europa, underlagt europeisk lov og kontroll.

Hva bør virksomheter gjøre?

Det finnes ingen enkel løsning, men følgende prinsipper er nyttige:

Kartlegg dataene – hva er faktisk sensitivt, og hvor lagres det?
Still krav til databehandleravtaler og transparens.
Krypter selv – med egne nøkler du kontrollerer.
Bruk hybride løsninger – kombiner lokal drift for sensitivt innhold med skyløsninger for øvrig bruk.
Følg med – både juridisk og teknologisk, for dette feltet endrer seg raskt.

Brainworkers perspektiv

Som norsk HCL Business Partner arbeider Brainworker aktivt med løsninger som ivaretar digital suverenitet, sikkerhet og kontroll.

Vi mener virksomheter bør ha friheten til å velge hvor dataene deres ligger, hvem som har tilgang, og hvilke lover som gjelder.

Vår daglige leder, Arne Sigurd Rognan Nielsen, er kåret til HCL Ambassadør fem år på rad, og har gjennom mange år bidratt til implementering av løsninger som HCL Domino, Notes og Connections – systemer som kan driftes i fullt suverene europeiske miljøer.

Konklusjon

Skyen er kommet for å bli.

Men vi bør ikke være naive.

For å beskytte norsk og europeisk data, må vi ta bevisste valg om hvor og hvordan informasjon lagres og behandles – og ikke minst hvem som eier infrastrukturen.

Digital frihet begynner med datasuverenitet.

Kontakt oss

Kontaktskjema

Når app-butikkene tar side – Google og biometrisk politi-verktøy