En gratis nedlasting avslørte en kollegas bevegelser
En ny spesialrapport fra Committee to Protect Journalists (CPJ) åpner med et slående eksempel på hvor tilfeldig masseovervåkning fra nettannonsering har blitt. Journalist Nicolas Baudoux, som jobber i den belgiske avisen L'Echo, fikk tak i posisjonsdata om en kollega uten å betale en krone. En amerikansk dataformidler leverte sporeingsdata fra mobile enheter som dekket kun to uker i 2025 – informasjon som ifølge CPJ var detaljert nok til å rekonstruere hvor personen hadde vært.
Eksempelet er ikke et isolert stunt. Det illustrerer et mye større poeng som CPJ gjør gjennom hele rapporten: det kommersielle annonseøkosystemet, bygget på konstant innsamling av posisjonsdata, appbruk og atferdsdata fra vanlige smarttelefoner, har skapt en infrastruktur som like gjerne kan brukes mot journalister, redaktører og deres kilder.
Hvorfor annonseøkosystemet er en overvåkningsrisiko
Nettannonsering drives av en enorm, i stor grad usynlig rørledning av datainnsamling. Hver gang en telefon kobler seg til en app, et sanntids budsystem eller en stedsbasert tjeneste, kan den generere et datapunkt som blir logget, pakket og solgt. Dataformidlere samler disse punktene fra mange forskjellige apper og tjenester, og videreselger dem – ofte med få begrensninger på hvem kjøperen er eller hva de planlegger å gjøre med informasjonen.
CPJs rapportering bygger på intervjuer med eksperter som forklarer at dette skaper risiko for journalister på to hovedmåter. For det første kan journalister som jobber i fiendtlige miljøer eller i eksil, spores gjennom de samme kommersielle datastrømmene som annonsører bruker til å levere målrettede annonser. For det andre, fordi disse dataene skifter hender gjennom kommersielle markeder og ikke gjennom juridiske prosesser, kan de omgå mange av beskyttelsene som normalt ville gjelde hvis et offentlig organ forsøkte å få samme informasjon direkte fra en telefonselskap eller teknologiselskap.
Rapporten fremhever også en transnasjonal dimensjon ved problemet. En journalist som rapporterer fra ett land, kan spores ved hjelp av data kjøpt fra en formidler i en helt annen jurisdiksjon, noe som kompliserer ethvert forsøk på å anvende lokal personvernlovgivning eller pressefrihetsbeskyttelse. CPJ påpeker at eksisterende juridiske rammeverk ikke har holdt tritt med hvor enkelt denne typen data krysser grenser og skifter eierskap.
Hull i beskyttelsen og veien videre
Et av de mer nedslående poengene i CPJ-rapporten er hvor få effektive juridiske skranker som for tiden finnes rundt denne typen datahandel. Mye av informasjonen formidlere samler inn, behandles som et kommersielt produkt snarere enn sensitiv personopplysning, noe som betyr at den ofte unngår den typen juridisk gransking som anvendes på offentlige overvåkningsforespørsler. CPJs eksperter reiser også bekymring for hvordan kunstig intelligens-verktøy kan gjøre det enda enklere å analysere og krysreferere disse datasettene, noe som potensielt kan fremskynde evnen til å identifisere og spore individuelle journalister i stor skala.
Dette er ikke et rent europeisk eller rent amerikansk problem. Fordi dataformidlere opererer internasjonalt og selger til et bredt spekter av kjøpere, strekker risikoene beskrevet i rapporten seg til journalister som rapporterer om korrupsjon, konflikt eller autoritære regjeringer hvor som helst i verden. En reporters posisjonshistorikk, når den først er tilgjengelig for kjøp, respekterer ikke grenser.
Lovgivere i USA har begynt å legge merke til det bredere dataformidler-problemet, selv om responsen ennå ikke helt har tatt igjen omfanget som CPJ beskriver. For eksempel Rep. Burchetts H.R. 9800 retter seg mot et spesifikt smutthull for dataformidlere som har tillatt offentlige organer å kjøpe data de ellers ville trenge en ransakelseskjennelse for å få. Selv om det lovforslaget fokuserer på offentlige kjøp snarere enn kommersielt videresalg til enhver kjøper, gjenspeiler det en voksende tverrpolitisk bekymring for at dataformidlerindustrien trenger klarere regler.
Hva dette betyr for deg
Du trenger ikke å være journalist for å bli påvirket av dette. De samme annonsedatastrømmene som CPJ beskriver, samler inn informasjon fra alle som bærer en smarttelefon med stedstjenester og annonsestøttede apper installert. Hvis en dataformidler kan selge to uker av en journalists bevegelser gratis, finnes det sannsynligvis lignende data for millioner av vanlige brukere, tilgjengelig for den som er villig til å kjøpe dem.
For journalister spesielt er rapporten en påminnelse om at operasjonell sikkerhet nå må ta høyde for kommersiell overvåkning, ikke bare direkte offentlig overvåkning. Å redusere eksponering betyr å være bevisst på hvilke apper som har tilgang til posisjon, bruke personvernfokuserte nettlesere og søkeverktøy, og forstå at annonsestøttede gratisapper ofte kommer med en skjult datakostnad.
Tiltak du kan iverksette
Start med å revidere hvilke apper på telefonen din som har tilgang til din nøyaktige posisjon, og tilbakekall tilgangen for alt som ikke trenger den for å fungere. Vurder å bruke en anerkjent VPN sammen med personvernforsterkede nettleserinnstillinger for å begrense hvor mye sporingsdata annonsører og formidlere kan samle inn i utgangspunktet. Journalister som jobber med sensitive saker, bør anta at kommersielle dataformidlere, ikke bare offentlige organer, er en realistisk overvåkningsvektor, og bør ta hensyn til det i hvordan de kommuniserer med kilder og kolleger. Til slutt: følg med på lovgivningsarbeid som tar sikte på å tette smutthull for dataformidlere, siden offentlig press og bevissthet ofte er det som driver slike lovforslag fremover.
