Journalister på franska Le Monde köpte i år för några tusen euro en fil med drygt en miljard positioner från landets mobiltelefoner. I materialet kunde de till exempel följa en soldat som arbetar med Frankrikes kärnvapen, steg för steg, från bostaden till hamnen där landets ubåtar har sin bas.
Ingen hade hackat något. Uppgifterna som avslöjade honom kom från helt vanliga appar i hans telefon, sådana som visar vädret eller säljer begagnade prylar.
Han var inte ensam.
I samma granskning dök det upp agenter från den franska underrättelsetjänsten, anställda vid kärnkraftverk och över 360 telefoner inne i Élyséepalatset. Tyska journalister har spårat telefoner på en flygbas där USA förvarar kärnvapen samt hundratals enheter inne i Europaparlamentet och Natos högkvarter. I maj i år bekräftade det amerikanska försvaret att främmande makt köpt amerikanska soldaters positioner för att kunna lokalisera dem i krigszoner.
Allt fler folkvalda på båda sidor om Atlanten kallar nu datahandeln ett säkerhetshot. Det skrämmande är inte att någon spionerade, utan att ingen behövde göra det. Data flödade redan. Men varför ser det ut så här?
Utvecklare bygger sällan en app från grunden, utan sätter ihop den med hjälp av färdiga komponenter som löser ett problem – en karta, en inloggning, en betalningslösning. Många av dem samlar samtidigt in position och ett unikt id, telefonens eget personnummer, och skickar det vidare till den som tillverkat komponenten.
Utvecklaren valde funktionen, inte personuppgifterna som följde med. Därför spelar det ingen roll om appen visar reklam eller om företaget bakom har någon tanke på att tjäna pengar på uppgifterna. Läckan sitter i byggstenarna, inte i appens syfte.
Längre ned i dataflödet handlar datamäklare inom digital annonsering med dessa data. Få appar och sajter undgår idag att vara exponerade för denna marknad. Och det stannar inte vid positioner på en karta.
När den irländska medborgarrättsorganisationen ICCL utgav sig för att vara köpare fick den kalkylblad där raderna bar etiketter som "regering, kontraterrorism och nationell säkerhet" bredvid "skuldsatt", "skild" och uppgifter om psykisk ohälsa.
Samma teknik som pekar ut en ubåtshamn kan också peka ut en människas svagaste punkter: en diagnos, en skilsmässa, ett spelberoende. Samma problematik finns i svenska fickor.
I rapporten Det tysta dataläckaget granskade Peak Privacy tillsammans med it- och cybersäkerhetsbolaget Shibuya 188 av de mest använda mobilapplikationerna i Norden. Av de svenska apparna skickade 87 procent data vidare till andra företag utan laglig grund och 95 procent av dessa ut ur Europa.
En typisk app innehåller över tretton sådana komponenter, som fungerar som underleverantörer i produkten. Det är något EU:s nya säkerhetsdirektiv NIS2 kräver att företag inom särskilda sektorer tar tydligt ansvar för. En matvaruapp, en bankapp, en app som följer menscykeln – alla är de kopplade till samma datahandel.
Sverige har börjat tala om digital suveränitet, men samtalet stannar ofta vid vilken molnlösning staten ska köpa. Den frågan är extremt viktig, men svensk och europeisk infrastruktur behövs i varje led, från serverhallen upp till apparna.
För suveränitet gäller inte bara molnet. Den finns i hela kedjan, ända ner till de små kodbitarna i medborgarnas telefoner.
Lagarna finns sedan länge på plats. Dataskyddsförordningen och EU:s ePrivacy-direktiv är oförenliga med denna datahandel. Det som saknas är inte reglerna utan kraften att tillämpa dem och insikten om problemet.
Integritetsskyddsmyndigheten och dess motsvarigheter i Norden och Europa behöver pengar och mandat att utöva oberoende tillsyn i stor skala. Så länge den uteblir kan de bolag som tjänar på dagens ordning fortsätta ostört. Oavsett om du är soldat, statsminister eller tonåring är din integritet idag hotad.
Inför valet i september har väljarna rätt att kräva svar på en enkel fråga: Vart tar mina mest privata uppgifter vägen? Svaret är inte bara viktigt för den enskildes grundläggande rätt till integritet. Det är avgörande för svensk suveränitet.
SKRIBENTEN
Vibeke Specht, är dataskyddsspecialist på Peak Privacy
Andreas Lundgren, är säkerhetsexpert på Shibuya
Vill du också skriva på Aktuella frågor? Så här gör du.