FHI til Datatilsynet om Smittestopp: – Innsamling av data har vært nødvendig

15. juni mottok Folkehelseinstituttet (FHI) varsel fra Datatilsynet om vedtak om midlertidig forbud mot å behandle personopplysninger i Smittestopp-appen.

Årsaken er at Datatilsynet mener at appen ikke er et forholdsmessig inngrep i personvernet ut fra dagens situasjon, ut fra løsningene som er valgt i appen, og oppslutningen om Smittestopp og smittesituasjonen i Norge. FHI var ikke enig med Datatilsynet.

FHI stoppet datainnsamling med appen, slettet alle data som var samlet inn og deaktiverte appen 16. juni.  

Her kan du lese Dagens Medisins artikler om Smittestopp

Dette svarer FHI
Folkehelseinstituttet hadde frist til 23. juni med å svare Datatilsynet. 

– Pandemien er ikke over selv om smitten nå er på et lavt nivå, det finnes ikke vaksine og ikke behandling for covid-19, og vi må trolig leve med situasjonen over flere år. 77 prosent av smittetilfellene i Norge er trolig ikke oppdaget, skriver FHI.

I svaret, som er signert direktør Camilla Stoltenberg og fungerende assisterende direktør Gun Peggy Knudsen, heter det at FHI fastholder at innsamling av personopplysninger som har foregått i tilknytning til Smittestopp har vært begrenset til det som er nødvendig for å nå formålene og at prinsippet om dataminimering er overholdt.

– I fremtiden vil dette forsterkes ytterligere av de planlagte tiltakene som endring av lagringstiden og deling av samtykke for hvert av formålene. Vi vil også jobbe videre med å utvikle de teknologiske løsningene og vurderingene rundt GPS/Blåtann og sentralisert/desentralisert løsning, heter det videre i svaret som du kan lese i sin helhet her. 

– Viktig tiltak
FHI fastholder videre at de har dokumentert at Smittestopp, ut ifra en helhetsvurdering, er et tjenlig tiltak til å forebygge og hindre smitte, også med dagens smittesituasjon og oppslutning om Smittestopp.

– Digital smittesporing er viktig i alle faser av epidemien. Datatilsynet skriver at vurderingen av tiltak knyttet til behandling av personopplysninger i Smittestopp ikke kan overlates til FHI alene. FHI imøteser på denne bakgrunn dialog med Datatilsynet rundt de planlagte tiltakene/løsningene, for å sikre at de er tilfredsstillende både fra et smittevernmessig og personvernmessig perspektiv, skriver de og oppsummerer: 

– Smittestopp er et viktig tiltak som bidrar til å holde smitteutbredelse under kontroll. Det er viktig å kunne ta Smittestopp i bruk igjen.

Mener personvern er ivaretatt
Det er særlig forhold knyttet til ivaretakelse av personvern i Smittestopp som var vært gjenstand for kritikk. Datatilsynet skriver at FHI kan overvåke bevegelsesmønster til den enkelte som har tatt appen i bruk og samle
opplysninger om brukerens kontakter med andre brukere av appen.

FHI understreker i sitt svar at personopplysninger i appen kun vil behandlesfor spesifikke, uttrykkelige, angitte og legitime formål:

– Smitteovervåkning kun skje på befolkningsnivå. FHI kan ikke benytte de innsamlede opplysningene til å overvåke enkeltindivider. FHI kan heller ikke bruke opplysningene til å kontrollere om råd og pålegg overholdes. Opplysningene kan ikke gjøres tilgjengelig for politi, påtalemyndigheter m.fl.

FHI presiserer videre at de har foretatt en grundig vurdering av anonymiseringsprosessen og har gjennom den tekniske løsningen sikret at det benyttes anonymiserte data i analyseløsningen.

Testing var nødvendig
Smittestopp hadde per 17. juni nærmere 600.000 brukere, som tilsvarer omtrent 14 prosent av befolkningen over 16 år. FHI har tidligere anslått at de trenger 60 prosent oppslutning for at appen skal fungere etter hensikten.

Datatilsynet påpekte videre at nasjonal funksjonalitet i varslingsordningen ikke er på plass ennå. Til dette svarer FHI at: 

– Før appen tas i bruk i smittesporing må den testes. Dersom appen varsler om for mange nærkontakter vil dette medføre at flere brukere går unødvendig i karantene. Dersom appen varsler for få nærkontakter vil appen kunne gi «falsk trygghet» for brukere. Det er derfor viktig å finne ut hvor god den er til å oppdage reelle
nærkontakter. 

Smittestopp identifiserte 60 kontakter
I perioden 27. april – 31. mai 2020 gjennomførte FHI validering av smittesporingsløsningen i appen i samarbeid med tre utvalgte kommuner. 

Av 98 (32 prosent) positive covid-19 tilfeller meldt til MSIS fra pilotkommunene i valideringsperioden, hadde 31 tilfeller Smittestopp. Smittestopp identifiserte 60 kontakter tilhørende disse 31 tilfellene. Av de 36 kontaktene Smittestopp identifiserte som ikke ble vurdert å være nærkontakter, ble 16 identifisert med GPS-alene.

FHI mener data fra valideringsfasen indikerer at flere andre justeringer i algoritmen tilsammen vil kunne øke spesifisiteten til de identifiserte kontaktene i Smittestopp betydelig. De foreslår blant annet å redusere minimum kontaktvarighet fra 15 til sju minutter. 

– Ytterligere validering er imidlertid nødvendig før varslingsløsningen tas i bruk nasjonalt, presiseres det. 

FHI har også redegjort for valget om en sentralisert løsning for lagring av opplysningene som samles inn gjennom appen, teknologivalg, innsynsløsninger og utviklingsløp i sitt svar til Datatilsynet.