Et politidashboard om 700 udlændinge stod åbent

En journalist fandt sit eget pasnummer

Hofer, journalist, gennemgik et politiovervågningsdashboard og fandt sig selv i det. Posten indeholdt et fotografi taget af kinesiske immigrationsmedarbejdere ved grænsen, et pasnummer og det mobilnummer, der var brugt i landet. Det var ikke et læk i sædvanlig forstand, og ingen behøvede at bryde noget op for at se det. Dashboardet var tilgængeligt og usikret.

Systemet var bygget til kontoret for offentlig sikkerhed i Zhangjiakou, en by i Hebei-provinsen ikke langt fra Beijing. Det er et ubemærkelsesværdigt sted at finde en samlet platform til at spore udlændinge, og netop det gør sagen en times opmærksomhed værd. Intet ved Zhangjiakou tyder på, at byen blev valgt som udstillingsvindue.

Hvad dashboardet faktisk rummede

Platformen bar næsten 12.000 poster i alt, som dækkede eftersøgte, personer fra Hongkong og Taiwan, over 700 udenlandske beboere i byen og mere end 300 udenlandske journalister. Hver person var kategoriseret efter nationalitet og bar en struktureret profil: fødselsdato, køn, civilstand, adresse, erhverv og i nogle tilfælde religion.

Til de profiler var knyttet observationer. Personer optrådte i kameraoptagelser ved vejkryds, på markeder, i indkøbscentre og i mindst ét tilfælde ved en moské. Den sondring, der er værd at holde fast i, går mellem en liste og en sagsakt. En liste noterer, at nogen er til stede. Det, dette system frembragte, var et løbende opdateret livsmønster, sammensat af identitetsdokumenter og offentlige kameraer og samlet i ét billede af en navngiven person.

Leverandøren er fundet, ikke byen

Én by med et usædvanligt grundigt system ville være en kuriositet. Undersøgelsen sporede forbindelser mellem platformen og Origin Dynamic, et Beijing-selskab, der leverer robotteknik, overvågningstjenester og udstyr til politistyrker. Samme selskab indgav i 2023 en patentansøgning på et tilsvarende system, beskrevet som en informationsgrænseflade til ikke-kinesiske statsborgere.

Læs de to kendsgerninger sammen, og sagens form ændrer sig. En patentansøgning er, hvad en leverandør indgiver, når den agter at sælge noget gentagne gange og imens vil have konstruktionen beskyttet. Der er tale om en produktgjort evne med en navngiven leverandør og rettigheder bag, så den fornuftige planlægningsantagelse er ikke, at Zhangjiakou er usædvanlig. Den er, at Zhangjiakou er en installation, og installationer har søskende.

To risici, og de færreste politikker nævner den anden

Enhver kompetent rejse- og udstationeringspolitik forudsætter allerede statslig indsamling. Virksomheder briefer om rene enheder, om hvad man skal medbringe, og hvad man skal sige, og regner med, at en fremmed myndighed kan opbevare en post. Den risiko er gammel, forstået og i høj grad håndteret. Det er ikke det nye her.

Det nye er adgangskontrollen, eller rettere fraværet af den. En samlet sagsakt om din medarbejder, liggende i et system, som enhver, der kunne finde det, kunne læse, er eksponeret over for en langt bredere kreds end den myndighed, der byggede det: almindelige kriminelle, kommercielle datamæglere og enhver, der driver konkurrentefterretning mod dig. En profil, der kombinerer pasnummer, hjemadresse, arbejdsgiver, bevægelser og religion, er præcis råstoffet til målrettet svindel, pression eller et forsøg på identitetsmisbrug mod din økonomifunktion. Staten var den tiltænkte læser. Sikkerhedssvigtet betyder, at den ikke var den eneste mulige.

Tre ændringer, der er værd at gennemføre i dette kvartal

Briefe de berørte, og gør det præcist. Den, der udstationeres til eller rejser i Kina, bør vide, at der samles en struktureret profil, at den vil rumme immigrationsfotografi og bevægelsesdata, og at den ifølge denne sag måske ikke opbevares sikkert. Netop det sidste led ændrer adfærd, fordi det omsætter en abstrakt politisk risiko til en almindelig dataeksponeringsrisiko, som folk allerede ved, hvordan de skal tænke om.

Reducér dernæst det, du selv lægger oveni. Hold i din lokale enhed det minimum af personoplysninger om udstationerede, som den lokale lov kræver, og hold op med at levere mere af egen drift. Gør endelig dokumentationen ærlig: kan medarbejderes personoplysninger forudsigeligt havne i et fremmed statsligt system, hører det hjemme i din fortegnelse over behandlingsaktiviteter og i din risikovurdering af overførsler, ikke i en uskreven antagelse. Europæiske arbejdsgivere skylder deres ansatte klarhed om, hvad der sker med deres data, og en dokumenteret vurdering vejer tungere end en uformel forståelse, den dag nogen spørger.

Læs videre: At blokere crawleren offentliggjorde dine samtaler  |  Skattefilerne forsvandt via IT-supporten