Smittestopp

**Smittestopp** var en norsk mobilapplikasjon utviklet av Simula Research Laboratory i regi av Folkehelseinstituttet for å bidra til å bekjempe koronaviruspandemien i 2020 ved tiltak for smitteforebygging. Applikasjonen ble lansert 16. april 2020. I september samme år besluttet regjeringen å avvikle applikasjonen. I desember 2020 utgav FHI en ny versjon av applikasjonen, med store forskjeller fra den gamle versjonen.

I mars 2022 kunngjorde Folkehelseinstituttet at det ikke lenger var nødvendig å benytte applikasjonen. I august 2022 la FHI ned Smittestopp-appen.

## Bakgrunn og bruk
Applikasjonen var et hjelpemiddel for kontaktsporing. Den samlet inn informasjon om hvor brukerne hadde vært de siste 30 dagene, og hvem de hadde vært nær nok til at smitten kunne ha spredd seg. Om en person ble testet og viste seg å ha SARS-CoV-2, skulle systemet kunne varsle de personene vedkommende hadde vært i nærheten av i tiden før.

Dagen etter lanseringen hadde over 1,3 million brukere lastet den ned. I en spørreundersøkelse svarte 60 % av respondentene at de hadde lastet ned Smittestopp per 20. april 2020.

Arbeidet med å utvikle applikasjonen var basert på forskrift av 27. mars 2020 om digital smittesporing og epidemikontroll i anledning utbrudd av covid-19, som er hjemlet i smittevernloven. Forskriften regulerer behandling av personopplysninger, herunder tilgang til og sletting av opplysninger, og informasjonssikkerhet. Oppdraget ble ved Folkehelseinstituttet tildelt Simula Research Laboratory uten anbud, etter at selskapet 11. mars hadde kontaktet Folkehelseinstituttet med tilbud om bistand i forbindelse med koronavirusutbruddet, etter lengre tids forutgående dialog om samarbeid mellom partene. Innkjøpsprosessen foranlediget kritikk og ble innklaget for Klagenemnda for offentlige anskaffelser av foreningen NUUG. Folkehelseinstituttet ville følge opp klagen med nødvendig dokumentasjon.

Smittestopp var frivillig å laste ned og bruke, og «lokasjonsdata» skulle etter forskriften bli slettet etter 30 dager. Andre personopplysninger om en deltager skulle «slettes eller anonymiseres» når vedkommende «fjerner applikasjonen fra sin mobiltelefon». Datatilsynet fremholdt nødvendigheten av frivillighet og transparens, ettersom sporingsverktøyet innebærer mange potensielt negative følger for personvern, slik at tydelig og fullstendig informasjon om hvilke opplysninger som samles inn, lagringstid og hvilket formål dataene skal brukes til, burde fremgå for brukeren. Helse- og omsorgsdepartementet oppnevnte 8. april 2020 en ekspertgruppe til å gå igjennom kildekoden og vurdere eventuelle sårbarheter, samt vurdere hvorvidt "sikkerhet og personvern [var] forsvarlig ivaretatt". Datatilsynet kunngjorde på sine nettsider 27. april 2020 at de har åpnet en kontrollsak og skal gjennomgå hvordan applikasjonen samler inn og lagrer personopplysninger.

Per 11. mai 2020 var applikasjonen lastet ned av 1,5 millioner nordmenn, men bare  brukte den.

Den 20. mai leverte ekspertgruppen sin endelige rapport, som konkluderte med at verken sikkerhet eller personvern var forsvarlig ivaretatt.

I september 2020 besluttet regjeringen å avvikle Smittestopp og i stedet kjøpe inn en applikasjon i markedet med teknologi fra Apple og Google.

## Lukket kildekode og skylagring
Smittestopp møtte betydelig kritikk, blant annet for at applikasjonen ikke har åpen kildekode, noe som utelukker offentlig innsyn i hvordan den fungerer. Dette er i strid med minstekravene blant annet Chaos Computer Club (CCC) og Reportere uten grenser stiller til slike sporingsprogrammer. CCC frarådet å ta i bruk alle sporingsprogrammer som ikke innfridde kravene, hvoriblant anonym kontaktsporing uten «allvitende sentrale servere» som teknisk like gjennomførbart alternativ. At Smittestopp-dataene ble lagret sentralt i en skyløsning, ble her også omtalt som en sikkerhetsrisiko. Utviklerne av applikasjonen hevdet på sin side at de valgte ikke å ha åpen kildekode av hensyn til personvern og sikkerhet, da det motsatte kunne gi «folk med onde hensikter» en fordel over «myndighetene og befolkningen», fordi kildekoden hadde et potensial i seg til å overvåke enkeltpersoner. De uttalte at sikkerhet gjennom åpen kildekode er en langsom prosess, og at det ikke var tid til å dra nytte av det programmeringssamfunnet vanligvis kunne bidra med.

Innsamlede data ble lagret på Microsofts Azure-tjenere i Irland.

Sikkerhetseksperten Bruce Schneier kritiserte kontaktsporingsapplikasjoner som Smittestopp ved å karakterisere dem som løsninger foreslått fra et snevert, spesielt teknologiinteressert synspunkt, på noe som egentlig er et sosialt problem, og mente at rettferdiggjørelsen bygger på feilslutningen «Noe må gjøres. Dette er noe. Altså må vi gjøre det».

Adele Matheson Mestad og Alf Butenschøn Skre ved Norges institusjon for menneskerettigheter skrev i en kronikk at applikasjonen hadde problematiske sider, men at alternativet trolig var verre. I en lederartikkel mente *[[Bergens Tidende]]* at applikasjonen «i normale tider» hadde vært «totalt uakseptabel», men at alternativet til personsporingen var død og massearbeidsledighet.

Også andre sporingsapplikasjoner, som det felleseuropeiske prosjektet «Pan-European Privacy-Preserving Proximity Tracing» (PEPP-PT), er blitt utsatt for kritikk på grunn av sentralisert skylagring, manglende transparens og utilstrekkelig  anonymisering.

Etter en teknisk gjennomgang av smittesporingsapplikasjoner utført av Amnesty International ble Norges Smittestopp, Bahrains BeAware Bahrain og Kuwaits Shlonik utpekt som de farligste i verden når det gjelder personvern. Sjef for Amnesty Internationals sikkerhetslaboratorium Claudio Guarnieri hevdet i rapporten utgitt 16. juni 2020 at «**» «*Bahrain, Kuwait og Norge gjør en grov overkjøring av personvernet, med svært inngripende overvåking som går langt utover det som er forsvarlig i arbeidet med å stoppe koronasmitten.*»

## Kodegjennomgang

Til kontroll av mobilapplikasjonen og bakenforliggende løsninger nedsatte Helse- og omsorgsdepartementet en gruppe for kodegjennomgang av løsningen for digital smittesporing, som etter begrenset vurderingstid, mens den planlagte funksjonaliteten ennå ikke var gjennomgående implementert, avla en foreløpig rapport den 9. april 2020. I tillegg til sikkerhetsmekanismer ved innhenting og lagring av data fokuserte rapporten på slettemekanismene, uten å kunne verifisere dem tilstrekkelig.

Mobilapplikasjonen er én av tre deler i Folkehelseinstituttets smittesporingsløsning; de andre delene er en skyløsning som er levert av Microsoft (Azure) og webapplikasjoner som skal brukes av Folkehelseinstituttet. Smittestopp-applikasjonen kommuniserer kryptert til skyløsningen. I skyløsningen lagres data både i en SQL-database og i Azure Data Lake.

Mobilapplikasjonen anvendet brukerens telefonnummer til identifisering og autentisering. Enhetens GPS-koordinater ble lagret lokalt; samtidig ble Bluetooth brukt til å lete etter andre enheter i nærheten som også hadde Smittestopp installert, og estimere distansen til disse. Lokasjonsdataene, samt avstanden til andre telefoner i nærheten, ble så lagret i en sentral skyløsning. Dataene her skulle være tilgjengelige bare for Folkehelseinstituttet, som kunne bruke informasjonen til å finne ut hvem som hadde vært i nærheten av en person som var blitt syk, eller til forskning og analyse. Tilsyn med og revisjon av bruk av dataene lå utenfor ekspertgruppens mandat.

Brukeren ble registrert ved hjelp av tofaktorautentisering. Dette skjedde over HTTPS mot Microsoft Active Directory / B2C, som også bandt telefonnummeret mot en intern sky-ID. Denne sky-ID-en ble brukt i all videre kommunikasjon med skytjenestene. Mobilapplikasjonen sporet brukerens bevegelser via lokasjons-API-en på telefonen, herunder GPS og nærliggende wifi-tilkoblingspunkter. Posisjonsdata som breddegrad, lengdegrad, hastighet, høyde og nøyaktighet på høyde ble periodisk lagret i en ukryptert lokal database på telefonen.

Bluetooth-enheter i nærheten som også hadde installert Smittestopp, annonserte at de hadde installert applikasjonen. Dette førte til en datautveksling med disse annonserende enhetene via GATT. Sky-ID-en fra de oppdagede og annonserende enhetene ble sendt over Bluetooth, og ble sammen med RSSI og mottagerens sendestyrke lagret ukryptert i en lokal database på telefonen. Ifølge rapporten innebar den planlagte funksjonaliteten at oppsamlede posisjonsdata og Bluetooth-data ble overført til Microsoft Azure IoT-Hub over TLS/MQTT, og deretter slettet lokalt.

Ekspertgruppens endelige rapport konkluderte med at verken sikkerhet eller personvern var forsvarlig ivaretatt, og kom med en rekke anbefalinger – blant annet å oppdatere forskrift for å speile intensjon (og muliggjøre lovlig behandling av langtidsdatasett), la brukerne ta stilling til det enkelte behandlingsformål, etterstrebe større grad av dataminimering, implementere "differential privacy" i langtidsdatasett, vurdere å gjøre løsningen mer basert på distribuert datalagring, slippe (deler av) koden som åpen kildekode og å sørge for regelmessig evaluering av løsning, formål og effekt. 

## Midlertidig forbud
12. juni 2020 ila Datatilsynet Folkehelseinstituttet et midlertidig forbud mot å behandle personopplysninger gjennom Smittestopp-appen på grunn av for dårlig sikring av personvernet. «*Ut fra dagens situasjon – med lav smitteutbredelse, lav oppslutning om Smittestopp og mangelfull oppnåelse av formålene om smittesporing og evaluering av smitteverntiltak – anser vi imidlertid ikke lenger Smittestopp som et forholdsmessig inngrep i den enkelte brukers personvern.*» FHI stoppet deretter innsamlingen av data og slettet all data fra appen.

## Referanser


## Eksterne lenker
* 
* 
*  Test av applikasjonen utført av Digi.no