Polisläckor och datadelning
DN:s avslöjande om polisanställda och polisstudenter som läcker uppgifter till gängkriminella har fått många att reagera kraftigt. Polisledningen kallas till justitieministern som talar om lagskärpning och rikspolischefen säger att det funnits en farlig naivitet inom rättsväsendet.
Nyheterna är upprörande, det är svårt att ta till sig hur någon som arbetar med så viktiga uppgifter kan vara så illojal och falsk. Men borde vi bli förvånade? Vi vet att det i alla sammanhang finns de som av olika skäl använder uppgifter de har tillgång till på ett otillåtet sätt. Ofta är det av nyfikenhet, ibland av privata eller ekonomiska intressen. I polisfallen har lojaliteten flyttats över till den andra sidan, till den sida som rättsväsendet har i uppdrag att bekämpa, vilket gör det extra stötande.
Det är inte bara individer som missbrukar sin tillgång utan även verksamheter. Såsom förra året när ett tandvårdsbolag med åtkomst till Försäkringskassans system för tandvårdsstöd gav ett telemarketingbolag åtkomst till uppgifterna i marknadsföringssyfte. Privatpersoner som blev uppringda reagerade över att telefonförsäljaren hade kännedom om deras tandläkarbesök och tandvårdskostnader.
Samtidigt som vi oroas för att data inte behandlas tillräckligt konfidentiellt får vi nya regleringar både nationellt och på EU-nivå som rör datadelning. I december kom exempelvis betänkandet En reform för datadelning (SOU 2023:96) som handlar om interoperabilitet inom det offentliga. Förra veckan överlämnades ett slutbetänkande Delad hälsodata – dubbel nytta (SOU 2024:33) om ett smidigt sätt att kunna dela hälsodata mellan vårdgivare.
Det sunda i att kunna dela data är att våra myndighets- eller organisationsgränser inte är självklara. Den effektivaste arbetsmetoden är inte slutna kärl. Exempelvis är en viktig del i förslaget om att dela hälsodata att det skapas en statlig styrning för att ensa både datan och hanteringen så att det går att på ett rimligt sätt dela den. Den spretighet som vården har i sin information skapar både onödigt arbete och risker för patienterna. Att det behöver byggas bort är en självklarhet.
Andra skäl till datadelning är att man vill förhindra brott mot välfärdssystemet såsom olika typer av bedrägerier. Det betyder att myndigheter och andra berörda behöver få dela information om de kriminella eller potentiellt kriminella och deras förehavande.
Det målas upp en bild att lösningen på bedrägerierna kommer om de "goda" kan dela all information som behövs för att bekämpa de "onda". Jag förstår behovet och jag förstår önskan om en effektiv lösning, men en hake i detta är att man inte vet vem som är "god" eller "ond". Gucci-kepsen är en dålig markör. Vet vi inte vem som kan tänka sig begå ett brott blir vi alla potentiellt kriminella och allt och alla behöver kontrolleras. Det leder till att mycket data behöver delas kors och tvärs.
Strävan att dela data är svår att förena med att anställda läcker uppgifter och att verksamheterna har stora utmaningar att skydda sin information. Om det är svårt att förebygga risker för otillåten användning av data i den egna verksamheten hur gör man det i ett kluster av olika organisationen som har olika syften, kulturer, regler och tekniker. Och hur hittar man bland alla dessa aktörer den som missbrukat tillgången när data har läckt.
I vissa situationer kan informationsspridningen vara ett litet pris för det vi tjänar. Jämför vi exempelvis risken för olaga dataintrång eller brott mot tystnadsplikten med att rädda liv så kan valet tyckas lätt. Men all vård handlar inte om livräddning och information som läcks till gängkriminella kan orsaka att liv tas.
En ökad delning medför också att cybersäkerhetshoten ökar. Fler användare, fler ingångar ökar sårbarheten även för yttre attacker och om så sker är det större mängder data som exponeras. Samhället blir mer sårbart.
Vi behöver också komma ihåg för vem samhället är byggt. Enskilda kan välja att inte lämna information eller använda viktiga tjänster om förtroendet brister. Vilka uppgifter är man beredd att lämna till polisen om uppgifterna vidarebefordras direkt till de kriminella? Hur talar man till sin läkare om sina besvär om man samtidigt talar till hela vårdsverige?
De risker som kommer med ökad delning av data måste hanteras. Det innebär att samtidigt som vi ökar tillgången måste vi begränsa den. Begränsningen handlar om vilka uppgifter som ska delas, till vem, varför, när och hur och hur detta följs upp. Denna riskhantering får inte bara vara en pappersprodukt, utan den måste vara effektiv och fungera i realiteten. Tipslämnaren eller patienten måste också kunna få ett ärligt svar på vilka som kan komma att ta del av deras uppgifter.
Vi kan inte bygga in sårbarheter och sedan bli förvånade att de utnyttjas. Det är farligt naivt.