Det begyndte med en simpel opdatering på telefonen.
Læs også: Staten kender dig bedre, end du tror
Det var ikke en virusadvarsel eller en mistænkelig besked fra en ukendt afsender. Det var en lille notifikation fra Apple – et diskret lille push, der meddelte, at myndigheder havde anmodet om data knyttet til netop denne notifikation. De fleste brugere lukker den slags beskeder uden at tænke videre over det. Men de bør måske tænke sig om en ekstra gang.
Hvad er push-notifikations-overvågning?
Hver gang en app på din telefon får tilladelse til at sende notifikationer, genererer systemet et såkaldt push-token – en unik identifikator, der knytter din enhed og din app til en konkret Apple- eller Google-konto. For iPhones sendes notifikationer gennem Apples Push Notification Service, mens Android-telefoner bruger Googles Firebase Cloud Messaging – hvilket gør de to selskaber til hovedaktørerne i hele push-notifikationssystemet. Denne metadata, om hvilken app der modtog en notifikation, hvornår og hvor ofte, passerer gennem Apples og Googles servere – og det placerer de to techgiganter i en position, hvor de kan tvinges til at udlevere data, der afslører detaljerede mønstre i, hvordan enkeltpersoner bruger bestemte apps.
Den amerikanske senator Ron Wyden, medlem af Senatets efterretningsudvalg, afslørede sagen efter en årlang undersøgelse i sit kontor. “Apple og Google er i en unik position til at facilitere statslig overvågning af, hvordan brugere anvender bestemte apps,” skrev Wyden i et brev til det amerikanske justitsministerium. Han præciserede, at dataene blandt andet inkluderer, hvilken app der modtog notifikationen, på hvilket tidspunkt, samt den telefon og konto, notifikationen var bestemt til.
Hvem har bedt om dataene?
Det centrale problem er ikke kun, at metadataen findes – det er, at hverken Apple eller Google har været tilladt at fortælle offentligheden om det. Apple udtalte direkte, at den amerikanske regering forbød selskabet at dele information om sagen, og at virksomheden først nu, hvor metoden er blevet offentligt kendt, opdaterer sine årlige gennemsigtighedsrapporter til at omfatte denne type anmodninger specifikt. “I dette tilfælde forbød den føderale regering os at dele nogen som helst information,” udtalte Apple. “Nu hvor denne metode er blevet offentligt kendt, opdaterer vi vores gennemsigtighedsrapportering til at beskrive denne type anmodninger.”
Apples seneste gennemsigtighedsrapport viser konkrete tal: I første halvdel af 2024 indsendte Storbritannien 141 anmodninger om push-token-data, USA fulgte med 129, og Tyskland modtog også data i samme periode. Push-token-anmodninger kunne tidligere indhentes via en simpel stævning – men siden udgangen af 2023 kræver Apple en dommerkendelse, før selskabet udleverer denne type brugerdata.
Et hul i det system, der ellers beskytter dig
Det snævre, men afgørende problem er, at push-notifikations-metadata fuldstændig omgår app-niveauets kryptering. Selv apps, der er bygget specifikt til at beskytte privatlivet, kan blive undermineret på dette lag – fordi de stadig er afhængige af Apple eller Google til selve leveringen af notifikationer. Wyden formulerede det præcist: App-udviklere har ingen muåde at stoppe praksissen på, hvis de ønsker, at deres notifikationer fortsat skal kunne sendes på de platforme, som både iPhones og Android-telefoner er afhængige af. Det er et overvågningslag, der ligger uden for både brugerens og udviklerens kontrol, og som kan bruges til at afanonymisere brugere ved at koble metadata sammen på tværs af apps.
Google har offentligt forsvaret sin egen rolle: “Vi var det første store selskab til at offentliggøre en årlig gennemsigtighedsrapport, der deler antallet og typerne af statslige anmodninger om brugerdata, herunder de anmodninger, senator Wyden henviser til,” udtalte en talsperson for Google.
Læs også: Metas briller ser alt – og det er ikke dig, der bestemmer hvem
Hvordan denne overvågningsmetode adskiller sig fra det, vi allerede kender
Traditionel digital overvågning, som de fleste forbinder med statslige anmodninger om sms-data, opkaldslister eller IP-adresser, kræver typisk, at myndighederne henvender sig direkte til en teleudbyder. Push-token-metoden er anderledes, fordi den udnytter en infrastruktur, der ligger ét niveau dybere: Både Apple og Google fungerer som en obligatorisk mellemmand for stort set enhver app, der sender notifikationer, uanset hvor krypteret selve app-kommunikationen i øvrigt er. Det betyder, at selv signal-lignende krypterede beskedtjenester, der er designet specifikt til at modstå overvågning, stadig efterlader et metadataspor i form af, når og hvor ofte en notifikation udløses – om end ikke selve indholdet.
Det er den indsigt, der gør Wydens afsløring så vidtrækkende: Den rammer ikke kun én app eller én teknologi, men hele den infrastruktur, næsten samtlige smartphone-apps i verden i dag er afhængige af for at fungere.
Hvad sker der med sagen nu?
Senator Wyden har opfordret det amerikanske justitsministerium til at offentliggøre retningslinjer for, hvordan og hvornår myndigheder må anmode om push-token-data, samt til at sikre, at lignende fremtidige anmodninger ikke pålægges samme tavshedspåbud, som forhindrede Apple og Google i at informere offentligheden tidligere. Indtil videre er der ikke fremsat konkret lovgivning i Folketinget eller på EU-niveau, der specifikt behandler push-notifikations-metadata som kategori – hvilket efterlader et regulatorisk tomrum, selv i en region med nogle af verdens strengeste databeskyttelsesregler.
Hvad betyder det for Danmark og EU?
Selvom Wydens undersøgelse har fokus på amerikanske forhold, viser Apples egne tal, at også europæiske myndigheder – heriblandt Tyskland – allerede har indhentet denne type data. Der findes ikke en offentligt tilgængelig oversigt over, om danske myndigheder har anvendt samme metode, og Datatilsynet har ikke et specifikt regulatorisk framework, der behandler push-notifikations-metadata som en særskilt kategori.
Det rejser et konkret spørgsmål til danske politikere og Datatilsynet: Hvis et så grundlæggende lag af smartphone-infrastrukturen kan bruges til overvågning uden brugerens viden, er det så tilstrækkeligt, at reguleringen forholder sig til de synlige dataindsamlingsmetoder – eller skal også de usynlige, infrastrukturelle huller adresseres specifikt i lovgivningen?
Indtil videre er svaret tavshed. Den næste lille notifikation, du lukker uden at tænke over det, kan være det eneste tegn på, at nogen allerede har stillet spørgsmålet om dig.
Datatilsynets manglende svar på et nyt overvågningslag
Det danske Datatilsyn har til dato ikke offentliggjort nogen vejledning specifikt om push-notifikations-metadata, og myndigheden har historisk fokuseret sin tilsynsindsats på mere synlige databehandlingsformer – cookies, samtykkebanner og direkte dataudveksling mellem virksomheder. Push-token-systemet falder i en gråzone, fordi hverken Apple, Google eller de enkelte app-udviklere er de primære aktorer, der anmoder om dataene – det er myndigheder, der via retskendelser tvinger techgiganterne til at udlevere oplysninger, som i forvejen passerer gennem deres servere som en teknisk nødvendighed.
Det er denne type strukturelle overvågningslag – usynlige, indbygget i selve internettets infrastruktur, og uden et klart ansvarligt led, der kan holdes til ansvar – som flere digitale rettighedsorganisationer i Europa peger på som den næste store udfordring for databeskyttelseslovgivningen, længe efter GDPR for alvor fik styr på de mere synlige former for dataindsamling.
ExtraFokus.com: Dybere blik på teknologi og digital magt.
