211service.com
Inde i Kinas uventede søgen efter at beskytte databeskyttelse
En ny privatlivslov vil ligne Europas GDPR meget – men vil den begrænse statsovervågning? 19. august 2020
Stefan Chow
Sidst på sommeren 2016 modtog Xu Yuyu et opkald, der lovede at ændre hendes liv. Hendes eksamensresultater på universitetet, fik hun at vide, havde vundet hendes optagelse på den engelske afdeling på Nanjing University of Posts and Telecommunications. Xu boede i byen Linyi i Shandong, en kystprovins i Kina, sydøst for Beijing. Hun kom fra en fattig familie, der i særlig grad var afhængig af sin fars ringe indkomst. Men hendes forældre havde møjsommeligt sparet op til hendes undervisning; meget få af hendes slægtninge havde nogensinde været på college.
Et par dage senere modtog Xu endnu et opkald, der fortalte hende, at hun også var blevet tildelt et stipendium. For at indsamle de 2.600 yuan ($370), skulle hun først indbetale et aktiveringsgebyr på 9.900 yuan på sin universitetskonto. Efter at have ansøgt om økonomisk støtte kun få dage før, overførte hun pengene til det nummer, som ringede op til hende. Den nat skyndte familien sig til politiet for at rapportere, at de var blevet snydt. Xus far sagde senere, at hans største fortrydelse var at spørge betjenten, om de stadig kunne få deres penge tilbage. Svaret - sandsynligvis ikke - forværrede kun Xus ødelæggelse. På vej hjem fik hun et hjerteanfald. Hun døde på et hospital to dage senere.
Denne historie var en del af vores september 2020-udgave
- Se resten af problemet
- Abonner
En undersøgelse viste, at mens det første opkald havde været ægte, var det andet kommet fra svindlere, der havde betalt en hacker for Xus nummer, adgangsstatus og anmodning om økonomisk støtte.
For kinesiske forbrugere, der er alt for fortrolige med at få deres data stjålet, blev Xu et emblem. Hendes død udløste et nationalt ramaskrig for større beskyttelse af databeskyttelse. Kun måneder forinden havde EU vedtaget den generelle databeskyttelsesforordning (GDPR), et forsøg på at give europæiske borgere kontrol over, hvordan deres personlige data bliver brugt. I mellemtiden var Donald Trump ved at vinde det amerikanske præsidentvalg, delvist drevet af en kampagne, der i vid udstrækning var afhængig af vælgerdata. Disse data omfattede detaljer om 87 millioner Facebook-konti, ulovligt opnået af konsulentfirmaet Cambridge Analytica. Kinesiske regulatorer og juridiske lærde fulgte disse begivenheder tæt.
I Vesten er det en udbredt opfattelse, at hverken den kinesiske regering eller kinesere bekymrer sig om privatlivets fred. Amerikanske teknologigiganter bruger denne formodede ligegyldighed til at argumentere for, at tyngende privatlivslove ville stille dem i en konkurrencemæssig ulempe for kinesiske virksomheder. I sit vidneudsagn fra Senatet i 2018 efter Cambridge Analytica-skandalen opfordrede Facebooks administrerende direktør, Mark Zuckerberg, tilsynsmyndighederne til ikke at slå for hårdt ned på teknologier som ansigtsgenkendelse. Vi skal stadig gøre det, så amerikanske virksomheder kan innovere på de områder, sagde han, ellers kommer vi til at falde bagud i forhold til kinesiske konkurrenter og andre rundt om i verden.
I virkeligheden er dette billede af kinesiske holdninger til privatlivets fred forældet. I løbet af de sidste par år er den kinesiske regering, der søger at styrke forbrugernes tillid og deltagelse i den digitale økonomi, begyndt at implementere privatlivsbeskyttelse, der i mange henseender ligner dem i Amerika og Europa i dag.
Selvom regeringen har styrket forbrugernes privatliv, har den dog øget statens overvågning. Den bruger DNA-prøver og anden biometri, såsom ansigts- og fingeraftryksgenkendelse, til at overvåge borgere i hele landet. Det har strammet internetcensuren og udviklet et socialt kreditsystem, som straffer adfærd, som myndighederne siger, svækker den sociale stabilitet. Under pandemien implementerede den et system af sundhedskode-apps for at diktere, hvem der kunne rejse, baseret på deres risiko for at bære coronavirus. Og den har brugt en række invasive overvågningsteknologier i sin hårde undertrykkelse af muslimske uighurer i den nordvestlige region Xinjiang.
Dette paradoks er blevet et afgørende træk ved Kinas nye databeskyttelsesregime, siger Samm Sacks, en førende Kina-forsker ved Yale og New America, en tænketank i Washington, DC. Det rejser et spørgsmål: Kan et system holde ud med stærke beskyttelser af forbrugernes privatliv, men næsten ingen mod regeringens snoking? Svaret påvirker ikke kun Kina. Dets teknologivirksomheder har et stadig mere globalt fodaftryk, og regulatorer over hele verden holder øje med deres politiske beslutninger.
November 2000 markerer uden tvivl fødslen af den moderne kinesiske overvågningsstat. Den måned annoncerede Ministeriet for Offentlig Sikkerhed, det statslige organ, der fører tilsyn med den daglige retshåndhævelse, et nyt projekt på en messe i Beijing. Agenturet forestillede sig et centraliseret nationalt system, der ville integrere både fysisk og digital overvågning ved hjælp af den nyeste teknologi. Det fik navnet Golden Shield.
Vestlige virksomheder, herunder det amerikanske konglomerat Cisco, den finske telekomgigant Nokia og Canadas Nortel Networks, var ivrige efter at tjene penge sammen med agenturet om forskellige dele af projektet. De hjalp med at konstruere en landsdækkende database til lagring af information om alle kinesiske voksne og udviklede et sofistikeret system til at kontrollere informationsflowet på internettet - hvad der i sidste ende skulle blive til den store firewall. Meget af det involverede udstyr var faktisk allerede blevet standardiseret for at gøre overvågning lettere i USA - en konsekvens af Communications Assistance for Law Enforcement Act fra 1994.
Den kinesiske regering er begyndt at implementere privatlivsbeskyttelse, der ligner dem i Amerika og Europa i dag.
På trods af det standardiserede udstyr blev Golden Shield-projektet hæmmet af datasiloer og græstørvskrige inden for den kinesiske regering. Med tiden blev ministeriets stræben efter et enestående, samlet system opdelt i to separate operationer: et overvågnings- og databasesystem, der er dedikeret til indsamling og lagring af information, og det sociale kreditsystem, som omkring 40 statslige departementer deltager i. Når folk gentagne gange gør det. ting, der ikke er tilladt - fra jaywalking til at engagere sig i forretningskorruption - deres sociale kreditscore falder, og de kan blive blokeret fra ting som at købe tog- og flybilletter eller ansøge om et realkreditlån.
Samme år annoncerede ministeriet for offentlig sikkerhed Golden Shield, Hong Yanqing gik ind på ministeriets politiuniversitet i Beijing. Men efter syv års træning, efter at have modtaget sin bachelor- og mastergrad, begyndte Hong at tænke over at blive politimand. Han søgte i stedet for at studere i udlandet. I efteråret 2007 var han flyttet til Holland for at påbegynde en ph.d. i international menneskerettighedsret, godkendt og støttet af den kinesiske regering.
I løbet af de næste fire år stiftede han bekendtskab med den vestlige juridiske praksis gennem sin ph.d.-forskning og en række praktikophold i internationale organisationer. Han arbejdede i International Labour Organization om global diskriminationslovgivning på arbejdspladsen og Verdenssundhedsorganisationen om trafiksikkerhed i Kina. Det er en meget legalistisk kultur i Vesten - det slår mig virkelig. Folk går tilsyneladende meget i retten, siger han. For eksempel for menneskerettighedslovgivningen handler de fleste lærebøger om de væsentlige sager i retten, der løser menneskerettighedsspørgsmål.
Hong fandt, at dette var mærkeligt ineffektivt. Han så at gå til retten som en sidste udvej til at lappe på lovens utilstrækkeligheder, ikke et hovedværktøj til at fastslå den i første omgang. Lovgivning, der er udformet mere omfattende og med større omtanke, mente, ville opnå bedre resultater end et system, der er lappet sammen gennem en tilfældig ophobning af retspraksis, som i USA.
Efter endt uddannelse bar han disse ideer tilbage til Beijing i 2012, på tærsklen til Xi Jinpings opstigning til præsidentembedet. Hong arbejdede ved FN's udviklingsprogram og derefter som journalist for People's Daily, den største avis i Kina, som er ejet af regeringen.
Xi begyndte hurtigt at udvide omfanget af regeringens censur. Indflydelsesrige kommentatorer eller Big Vs - opkaldt efter deres verificerede konti på sociale medier - var blevet fortrolige med at kritisere og latterliggøre det kinesiske kommunistparti. I efteråret 2013 arresterede partiet hundredvis af mikrobloggere for, hvad det beskrev som ondsindet rygtefremkaldelse og paraderede en særlig indflydelsesrig en på nationalt tv for at lave et eksempel på ham.
Øjeblikket markerede begyndelsen på en ny æra med censur. Året efter blev Cyberspace Administration of China grundlagt. Det nye centrale agentur var ansvarlig for alt involveret i internetregulering, herunder national sikkerhed, medie- og talecensur og databeskyttelse. Hong forlod People's Daily og sluttede sig til agenturets afdeling for internationale anliggender. Han repræsenterede det i FN og andre globale organer og arbejdede på cybersikkerhedssamarbejde med andre regeringer.
I juli 2015 havde Cyberspace Administration udgivet et udkast til sin første lov. Cybersikkerhedsloven, som trådte i kraft i juni 2017, krævede, at virksomheder indhentede samtykke fra folk til at indsamle deres personlige oplysninger. Samtidig strammede det internetcensuren ved at forbyde anonyme brugere - en bestemmelse håndhævet af regelmæssige regeringsinspektioner af data fra internetudbydere.
I foråret 2016 søgte Hong at vende tilbage til den akademiske verden, men agenturet bad ham om at blive. Cybersikkerhedsloven havde med vilje efterladt reguleringen af persondatabeskyttelsen vag, men forbrugerdatabrud og tyveri havde nået uudholdelige niveauer. En undersøgelse fra 2016 foretaget af Internet Society of China viste, at 84 % af de adspurgte havde lidt læk af deres data, herunder telefonnumre, adresser og bankkontooplysninger. Dette ansporede en voksende mistillid til udbydere af digitale tjenester, der krævede adgang til personlige oplysninger, såsom turbud, madlevering og finansielle apps. Xu Yuyus død hældte olie på flammerne.
Regeringen var bekymret for, at sådanne følelser ville svække deltagelsen i den digitale økonomi, som var blevet en central del af dens strategi for at understøtte landets aftagende økonomiske vækst. Fremkomsten af GDPR fik også regeringen til at indse, at kinesiske teknologigiganter ville være nødt til at opfylde globale privatlivsnormer for at ekspandere i udlandet.
Hong blev sat i spidsen for en ny taskforce, der ville skrive en PIPS (Personal Information Protection Specification) for at hjælpe med at løse disse udfordringer. Dokumentet, selvom det ikke er bindende, ville fortælle virksomhederne, hvordan regulatorer havde til hensigt at implementere cybersikkerhedsloven. I processen, håbede regeringen, at den ville tilskynde dem til selv at vedtage nye normer for databeskyttelse.
Hongs taskforce gik i gang med at oversætte alle relevante dokumenter, de kunne finde, til kinesisk. De oversatte retningslinjerne for privatlivets fred udgivet af Organisationen for Økonomisk Samarbejde og Udvikling og af dens modstykke, Asia-Pacific Economic Cooperation; de oversatte GDPR og California Consumer Privacy Act. De oversatte endda 2012's Bill of Rights for forbrugerbeskyttelse til forbrugere, som blev indført af Obama-administrationen, men som aldrig blev gjort til lov. Hele tiden mødtes Hong regelmæssigt med europæiske og amerikanske databeskyttelsesmyndigheder og forskere.
Ud fra dokumenterne og høringerne fremkom der lidt efter lidt et generelt valg. Folk sagde i meget forenklede vendinger: 'Vi har en europæisk model og den amerikanske model,' husker Hong. De to tilgange adskilte sig væsentligt i filosofi og implementering. Hvilken man skulle følge blev taskforcens første debat.
Kernen i den europæiske model er ideen om, at mennesker har en grundlæggende ret til at få deres data beskyttet. GDPR lægger bevisbyrden på dataindsamlere, såsom virksomheder, for at påvise, hvorfor de har brug for dataene. I modsætning hertil privilegerer den amerikanske model industrien frem for forbrugerne. Virksomheder definerer selv, hvad der er rimelig dataindsamling; Forbrugerne kan kun vælge, om de vil bruge den virksomhed. Lovene om databeskyttelse er også langt mere stykvis end i Europa, fordelt på sektorspecifikke tilsynsmyndigheder og specifikke stater.
En epidemibekæmpelsesmedarbejder tjekker temperaturen på mennesker, der venter i kø for at blive testet for covid-19 i Xicheng-distriktet i det centrale Beijing.
KEVIN FRAYER/GETTY-BILLEDERPå det tidspunkt, uden en central lov eller et enkelt agentur med ansvar for databeskyttelse, lignede Kinas model mere den amerikanske. Taskforcen fandt imidlertid den europæiske tilgang overbevisende. Den europæiske regelstruktur, hele systemet, er mere klar, siger Hong.
Men de fleste af task force-medlemmerne var repræsentanter fra kinesiske teknologigiganter som Baidu, Alibaba og Huawei, og de mente, at GDPR var for restriktiv. Så de overtog dets brede streger – herunder dets begrænsninger for dataindsamling og dets krav til datalagring og datasletning – og løsnede derefter noget af dets sprog. GDPR’s princip om dataminimering fastholder for eksempel, at kun nødvendige data skal indsamles i bytte for en service. PIPS giver plads til anden dataindsamling, der er relevant for den leverede service.
PIPS trådte i kraft i maj 2018, samme måned som GDPR endelig trådte i kraft. Men da kinesiske embedsmænd så den amerikanske omvæltning over Facebook- og Cambridge Analytica-skandalen, indså de, at en ikke-bindende aftale ikke ville være nok. Cybersikkerhedsloven havde ikke en stærk mekanisme til at håndhæve databeskyttelse. Tilsynsmyndigheder kunne kun bøde overtrædere på op til 1.000.000 yuan ($140.000), et ubetydeligt beløb for store virksomheder. Kort efter stemte den nationale folkekongres, Kinas øverste lovgivende organ, for at begynde at udarbejde en lov om beskyttelse af personlige oplysninger inden for dens nuværende femårige lovgivningsperiode, som slutter i 2023. Den ville styrke databeskyttelsesbestemmelserne, give strengere sanktioner og potentielt oprette en ny håndhævelsesmyndighed.
Efter Cambridge Analytica, siger Hong, forstod regeringsagenturet: 'Okay, hvis du ikke virkelig implementerer eller håndhæver disse regler for privatliv, så kan du få en stor skandale, endda påvirke politiske ting.'
Det lokale politis efterforskning af Xu Yuyus død identificerede til sidst de svindlere, der havde ringet til hende. Det havde været en bande på syv, der havde snydt mange andre ofre for mere end 560.000 yuan ved at bruge ulovligt opnåede personlige oplysninger. Retten afgjorde, at Xus død havde været et direkte resultat af stresset med at miste sin families opsparing. På grund af dette, og hans rolle i at orkestrere titusindvis af andre opkald, blev hovedlederen, Chen Wenhui, 22, idømt livsvarigt fængsel. De øvrige fik domme på mellem tre og 15 år.
Opmuntret begyndte kinesiske medier og forbrugere mere åbent at kritisere krænkelser af privatlivets fred. I marts 2018 udløste internetsøgningsgiganten Baidu's administrerende direktør, Robin Li, forargelse på sociale medier efter at have antydet, at kinesiske forbrugere var villige til at udveksle privatliv for sikkerhed, bekvemmelighed eller effektivitet. Nonsens, skrev en bruger på sociale medier, senere citeret af People's Daily. Det er mere præcist at sige, at [det er] umuligt at forsvare [vores privatliv] effektivt.
I slutningen af oktober 2019 udtrykte brugere af sociale medier endnu en gang vrede, efter at billeder begyndte at cirkulere af en skoles elever iført pandebånd, der overvåger hjernebølger, angiveligt for at forbedre deres fokus og læring. Den lokale uddannelsesmyndighed trådte til sidst ind og bad skolen holde op med at bruge pandebåndene, fordi de krænkede elevernes privatliv. En uge senere sagsøgte en kinesisk juraprofessor en Hangzhou dyrezoo for at erstatte dets fingeraftryksbaserede adgangssystem med ansigtsgenkendelse, idet han sagde, at zoologisk have undladt at indhente hans samtykke til at opbevare hans billede.
Men offentlighedens voksende følsomhed over for krænkelser af forbrugernes privatliv har ikke ført til mange begrænsninger for statsovervågning, og heller ikke meget granskning af det. Som Maya Wang, en forsker ved Human Rights Watch, påpeger, skyldes det til dels, at de fleste kinesiske borgere ikke kender omfanget eller omfanget af regeringens operationer. I Kina, som i USA og Europa, er der brede offentlige og nationale sikkerhedsundtagelser fra databeskyttelseslovgivningen. Cybersikkerhedsloven giver f.eks. regeringen mulighed for at kræve data fra private aktører for at hjælpe med strafferetlige efterforskninger. Ministeriet for Offentlig Sikkerhed akkumulerer også enorme mængder data om enkeltpersoner direkte. Som følge heraf kan databeskyttelsen i industrien styrkes uden at begrænse statens adgang til information væsentligt.
Begyndelsen af pandemien har imidlertid forstyrret denne urolige balance.
Den 11. februar udgav Ant Financial, en finansiel teknologigigant med hovedkontor i Hangzhou, en by sydvest for Shanghai, en app-bygningsplatform kaldet AliPay Health Code. Samme dag udgav Hangzhou-regeringen en app, den havde bygget ved hjælp af platformen. Hangzhou-appen bad folk om selv at rapportere deres rejse- og helbredsoplysninger og gav dem derefter en farvekode rød, gul eller grøn. Pludselig skulle Hangzhous 10 millioner indbyggere alle vise en grøn kode for at tage metroen, handle dagligvarer eller gå ind i et indkøbscenter. Inden for en uge havde lokale myndigheder i over 100 byer brugt AliPay Health Code til at udvikle deres egne apps. Den rivaliserende teknologigigant Tencent fulgte hurtigt efter med sin egen platform til at bygge dem.
Apps synliggjorde et bekymrende niveau af statsovervågning og udløste en ny bølge af offentlig debat. I marts hævdede Hu Yong, en journalistikprofessor ved Beijing Universitet og en indflydelsesrig blogger på Weibo, at regeringens pandemiske dataindsamling havde krydset en grænse. Ikke alene havde det ført til tilfælde af stjålet information, skrev han, men det havde også åbnet døren for, at sådanne data blev brugt ud over dets oprindelige formål. Har historien nogensinde vist, at når først regeringen har overvågningsværktøjer, vil den bevare beskedenhed og forsigtighed, når den bruger dem? spurgte han.
Har historien nogensinde vist, at når først regeringen har overvågningsværktøjer, vil den bevare beskedenhed og forsigtighed, når den bruger dem?'
Faktisk afslørede lækkede dokumenter i slutningen af maj planer fra Hangzhou-regeringen om at lave en mere permanent sundhedskode-app, der ville score borgere for adfærd som motion, rygning og søvn. Efter et offentligt ramaskrig aflyste byens embedsmænd projektet. At statsdrevne medier også havde offentliggjort historier, der kritiserede appen, hjalp sandsynligvis.
Debatten nåede hurtigt vej til centralregeringen. Den måned meddelte den nationale folkekongres, at den havde til hensigt at fremskynde loven om beskyttelse af personlige oplysninger. Omfanget af de data, der blev indsamlet under pandemien, havde gjort stærk håndhævelse mere presserende, sagde delegerede, og fremhævede behovet for at afklare omfanget af regeringens dataindsamlings- og datasletningsprocedurer under særlige nødsituationer. I juli havde det lovgivende organ foreslået en ny streng godkendelsesproces, som offentlige myndigheder skulle gennemgå, før de indsamlede data fra private platforme. Sproget forbliver igen vagt, for at blive uddybet senere - måske gennem et andet ikke-bindende dokument - men dette skridt kunne markere et skridt i retning af at begrænse det brede omfang af eksisterende regeringsfritagelser for national sikkerhed, skrev Sacks og andre kinesiske lærde ved New America.
Hong mener på samme måde, at uoverensstemmelsen mellem reglerne for industrien og regeringens dataindsamling ikke vil vare, og at regeringen snart vil begynde at begrænse sit eget omfang. Vi kan ikke bare henvende os til den ene skuespiller, mens vi udelader den anden, siger han. Det ville ikke være en særlig videnskabelig tilgang.
Andre iagttagere er uenige. Regeringen kunne nemt gøre en overfladisk indsats for at imødegå offentlig tilbageslag mod synlig dataindsamling uden egentlig at røre kernen af Ministeriet for Offentlig Sikkerheds nationale operationer, siger Wang, fra Human Rights Watch. Hun tilføjer, at enhver lovgivning sandsynligvis vil blive håndhævet ujævnt: I Xinjiang har tyrkiske muslimer ingen som helst indflydelse på, hvordan de bliver behandlet.
Alligevel er Hong fortsat optimist. I juli startede han et job som underviser i jura på Beijing Universitet, og han vedligeholder nu en blog om cybersikkerhed og dataspørgsmål. Hver måned mødes han med et spirende fællesskab af databeskyttelsesofficerer i Kina, som nøje følger med i, hvordan dataforvaltning udvikler sig rundt om i verden.
Opdatering: Yderligere citater er føjet til stykket.