Et moderne menneske er en datamaskine. Alt i dagligdagen kan blive til et tal i en kolonne: at stå op, når alarmen på telefonen ringer. At købe ind. At følge med på sociale medier. At bruge rejsekort. At bruge en parkerings-app. At læse nyheder på nettet. At se Netflix i sofaen. At tage billeder med sin mobil. Og faktisk blot at færdes med sin mobil i lommen.

Efter flere år, hvor personlige data har hobet sig op hos Facebook og Google uden at vække synderlig bekymring, begynder små skred at indfinde sig. Cambridge Analyticas misbrug af 87 millioner Facebook-brugeres data kan blive et vendepunkt, og i slutningen af maj træder nye EU-regler i kraft, der forsøger at beskytte vores data bedre. Borgeren skal have mere magt over egne data.

Hvis man skal tage kvalificeret stilling til, hvem man vil give lov til at fiske i sin strøm af data, må man først forstå, hvad data kan – og ikke kan. Den viden holder Facebook, Google og Apple helst for sig selv, men nyere dansk forskning kan give et svar. I 2013 startede eksperimentet Copenhagen Network Study. 1000 DTU-studerende fik en gratis smartphone, mod at netværksforskere fra DTU og filosoffer, økonomer, antropologer og psykologer fra Københavns Universitet til gengæld fik lov til at støvsuge den for data de næste 2,5 år. Hvem ringede de studerende til, og hvem skrev de sms’er til? Hvilke venner havde de på Facebook, hvem tilbragte de tid med i den virkelige verden, og hvilke steder opholdt de sig? Forskerne kunne ikke lytte til telefonsamtaler eller læse beskeder, men blot se metadata for, hvornår og mellem hvem kommunikationen foregik.

Formålet var at kortlægge sociale netværk på en ny måde. Tidligere havde forskere kun haft adgang til data fra en type netværk ad gangen, for eksempel et socialt medie eller et telenetværk. Men netværk er forskellige af natur og kan være svære at generalisere ud fra. Dengang tænkte ingen på, at forsøget også ville give et indblik i, hvilken viden man kan trække ud af den type data, som Facebook, Google og Apple sandsynligvis ligger inde med. Eksperimentets data er blevet brugt til at forske i så forskellige emner som søvnmønstre, smitsomme sygdomme, akademisk succes, databeskyttelse, venskaber og gruppearbejde. Et lille praj om rigdommen i datafloden.

Forskerne kortlagde de studerendes daglige ruter ved hjælp af telefonernes gps-data. Dagligdagen var i høj grad præget af rutine: op om morgenen og af sted til forelæsninger, hjem igen om eftermiddagen. Sådan gik hele ugen, indtil det blev fredag aften, og de studerende pludselig tog nye steder hen, hvor de ikke havde været før.

Ved hjælp af algoritmer blev forskerne i stand til at forudsige en høj andel af de studerendes færden. Men det er egentlig ikke så vildt, understreger Sune Lehmann, der er manden bag projektet. Han er lektor ved DTU Compute og oprindeligt fysiker.

»Det indfanger primært, at vi lever meget forudsigelige og kedelige liv,« siger han. »Vi finder mønstrene i din rutine, og ud fra det gætter vi på, hvor du tager hen. Men hvis du tager et helt nyt sted hen, så findes der ingen måde at udlede af dine fortidige gps-data, hvad du har tænkt dig at gøre, der er nyt.«

Men der var flere data at gå igennem. Telefonerne viste også, hvem de studerende var sammen med og hvornår. Forskerne brød det sociale netværk ned i grupper af mennesker, der mødtes og var sammen i en given mængde tid. De studerende bevægede sig fra gruppe til gruppe på samme måde, som de bevægede sig fra sted til sted, og derfor kunne de samme algoritmer anvendes.

»Vores sociale liv er forudsigeligt i nogenlunde samme grad som vores geo-spatiale rum. Vi har en tendens til at mødes med de samme mennesker de samme steder,« fortæller Sune Lehmann.

En sammenhæng tonede frem: Når de studerende var mest uforudsigelige i deres bevægelsesmønstre, var de til gengæld meget forudsigelige socialt set. Det var typisk de samme mennesker, de tog i byen med hver weekend. At det lige er fredag aften, man udforsker nye steder, er sandsynligvis et særtræk ved unge studerende. Men at man typisk besøger nye steder i selskab med de samme mennesker, vil gælde for de fleste af os, mener Sune Lehmann.

Det betyder, at når vores bevægelsesmønster ikke kan forudsige vores adfærd, kan viden om vores sociale netværk gøre det i stedet. Derudover viste data, at de studerende typisk skrev sammen, inden de skulle mødes i deres fritid. Derfor kan trafikken af sms’er og Facebook-beskeder pege på, hvem den studerende snart skal mødes med, og dermed også, hvor den studerende har tænkt sig at tage hen.

En smartphone scanner hele tiden efter wifi-netværk i nærheden. Den gør det også, når wifi er slukket, for det sikrer, at telefonen hurtigt kan fastslå sin position og have en oversigt over netværk klar, når brugeren slår wifi til igen. Derfor dannes der en oversigt over alle de wifi-adgangspunkter, telefonen har opdaget. Forskerne bag Copenhagen Network Study opdagede, at de kunne omdanne wifi-oversigten til en kortlægning af, hvor smartphonens ejer har befundet sig. Og når man har wifi-data fra mange brugere, kan man bruge det til at finde de sociale forbindelser mellem dem.

Forskerne har blandt andet lavet algoritmer, der ud fra wifi-adgangspunkter kan forudsige, om to studerende er venner i virkeligheden, om de ringer og sms’er til hinanden, eller om de er venner på Facebook. De bygger på oplysninger, som for eksempel om to telefoner ankommer til nye steder samtidig, og om de flytter sig sammen. Man kan altså indsamle data med ét formål og så udtrække nye og mere følsomme oplysninger, hvis man sammenstiller dem på en smart måde. Studiet om wifi-data kom ud i 2015, og på det tidspunkt havde 17 af de 20 mest populære apps til Android-telefoner adgang til telefonens wifi-data.

»Hvis du for eksempel kunne lide at spille Angry Birds, kunne app’en have indsamlet dine wifi-data. Jeg siger ikke, at alle de apps rent faktisk indsamlede de data, for det er kæmpestore datamængder, og det ville være besværligt for dem. Men de havde muligheden for det,« siger Sune Lehmann.

Det er et godt eksempel på, hvor svært det er at håndtere datasikkerhed og sikre retten til privatliv, mener han. For det er ikke det eneste tilfælde, hvor det bliver svært at skelne mellem tekniske data og personfølsomme oplysninger.

{embedded type="node/bondquotes" id="1214"}

Et andet eksempel er anonymisering af geo-data. Det kan for eksempel være en tjeneste, der beskytter sine brugeres identitet ved at give dem et nyt id-nummer i deres database og opbevare navne og adresser på en særskilt server. Men man kan regne baglæns og i sidste ende koble id-nummer og navn sammen igen.

»Geografiske data er virkelig et fingeraftryk, vi sætter. Dine bevægelsesmønstre er så unikke, at det er ufattelig nemt at finde dig i en database og sætte navn på,« forklarer Sune Lehmann.

Det er blevet påvist af den belgiske forsker Yves-Alexandre de Montjoye, der netop er blevet ansat som særlig rådgiver for EUs konkurrencekommissær Margrethe Vestager. I et forsøg med kreditkortdata fra 1,1 million mennesker viste han, at selvom personlige oplysninger som navn og kontonummer var fjernet fra databasen, var det stadig muligt at re-identificere enkeltpersoner ud fra kun fire datapunkter. Hvis man ved, hvor en person har befundet sig på fire givne tidspunkter, kan man i hvert trin sortere fra og til sidst zoome ind på den udvalgte. Typisk vil der være masser af datapunkter tilgængelige i form af for eksempel tweets eller uploadede fotos.

Forskerne i Copenhagen Network Study undersøgte også, hvor svært det er at beskytte brugernes identitet. De forenklede deres data, så de ikke længere havde oplysninger om, præcis hvor forsøgsdeltagerne befandt sig, men blot om de var hjemme eller ude.

»Vores rytme og måde at gøre tingene på er stadig så unik, at i vores lille datasæt var det 10-20 datapunkter, man skulle bruge for unikt at identificere folk. Så selv hvis man forsøger at fjerne al information om præcise steder, er der også noget, der handler om rytmerne,« forklarer Sune Lehmann.

Den 25. maj træder EUs nye regler om databeskyttelse i kraft, GDPR (General Data Protection Regulation). De strammer reglerne for, hvordan virksomheder og organisationer må indsamle og behandle personoplysninger. Reglerne fastslår, at personoplysninger, der er blevet af-identificeret, men som »sidenhen kan anvendes til at identificere en person«, stadig tæller som personoplysninger og dermed har krav på særlig beskyttelse.

Reglerne kræver også, at virksomheder indhenter informeret samtykke fra brugerne, før de indsamler data, og de skal fortælle, hvad de indsamler og til hvilke formål. Det skal virksomheden fortælle i et enkelt sprog, og det skal være lige så let at sige nej som at sige ja.

Alligevel kan det blive brugernes samtykke, der bliver smuthullet i reglerne. I sidste uge præsenterede Facebook de ændringer, der skal sikre, at det sociale medie overholder reglerne i GDPR. Ved de forskellige punkter, brugeren skal tage stilling til, er der ikke en nej- og en ja-knap, men derimod et valg mellem at »acceptere og fortsætte« eller at »ændre indstillinger«, hvorefter brugeren skal igennem en side mere for at afvise brug af sine data. Kritikere påpeger, at designet styrer brugeren let og gnidningsfrit gennem »accepter og fortsæt«-ruten, mens afvisning af datahøst er en mere bumpet rejse. Frygten er, at den nye forordning reelt ikke får betydning, fordi det lykkes Facebook at få sine brugeres samtykke til et omfangsrigt databrug, heriblandt ansigtsscanninger.

Sune Lehmann tror selv, at bedre regulering er vejen frem, netop fordi det er så svært at udtænke matematiske modeller, der forhindrer datamisbrug. Han er ikke selv bekymret for at dele sine data.

»Jeg tror ikke, det er særligt spændende at sidde og spionere i mine data. Og hvis jeg selv kigger i et datasæt, er det, der ligger længst fra min hensigt, at kigge på en enkeltperson. For jeg er ligeglad med enkeltpersoner, og det tror jeg, de fleste, der arbejder med big data, er. De vil finde mønstre i, hvordan typer af personer opfører sig,« siger han.

»Men jeg er urolig for, at der er nogen, der tager nogle meget højtudviklede algoritmer og så bruger mine data til at manipulere mig til at gøre ting, jeg ikke har lyst til.«

I hvilken udstrækning er det så muligt? I tilfældet med Cambridge Analytica har flere påpeget, at det simpelthen ikke er muligt at påvirke brugerne med den metode, firmaet har anvendt. Det er et forskningsfelt i udvikling, hvordan man med blide skub kan påvirke folk til at ændre adfærd, såkaldt nudging. Og ligesom vi ikke vidste for fem-ti år siden, hvad det var muligt at gøre med gigantiske mængder brugerdata, er det også svært at vide, hvad fremtidens algoritmer bliver i stand til.

Copenhagen Network Study-projektet har undersøgt spredning af sygdomme og påvist, at man kan bruge Facebook-netværk til at finde de rette personer at vaccinere under et sygdomsudbrud, hvis sygdommen er dråbebåren. I det tilfælde skal personer nemlig være tæt på hinanden, før sygdommen smitter. Spredning af adfærd og idéer er ikke undersøgt så grundigt endnu.

»Vi har god forståelse for, hvordan sygdomme kan sprede sig, men vi har meget mindre forståelse for, hvordan adfærd spreder sig. Der er god grund til at tro, at hvis jeg brugte ti timer på at overbevise dig om noget, ville det have en anden effekt, end hvis ti mennesker brugte en time hver på at overtale dig. Med sygdom er der ikke så stor forskel på de to scenarier, men med idéer kan det spille en stor rolle,« uddyber Sune Lehmann.

»Balancekunsten er jo, at der er helt vildt mange fede måder at bruge alle de her data på. Det er helt genialt for videnskaben, at vi har adgang til de data, for vi kan lære nogle helt nye ting om mennesker, der kan gøre mange ting bedre.«

Han mener, at det bliver stadig vigtigere at skelne mellem typer af big data og ikke blot overføre metoder fra andre forskningsgrene, hvor data for eksempel består af partikel- eller jordmålinger. Omgang med »menneskedata« kræver særlige forholdsregler.

»Der er noget helt særligt ved data, der kommer fra mennesker. Lige så snart de her datamængder ikke kommer fra vindmøller eller industrielle ting, men for eksempel kommer fra sociale systemer, skal vi til at være påpasselige. Både i forhold til privacy og i forhold til algoritmer, der kan have alle mulige problemer indbygget, når de anvendes på mennesker.«

Louise Fogh Hansen

Videnskab mod Trump