Kan RFID-tags spore personer? De største privatlivsmyter aflivet

Spørger man personer uden for RFID-branchen, om RFID-tags kan spore mennesker, får man som regel ét af to svar. Nogle siger ja, selvfølgelig – det er jo hele formålet med RFID. Andre siger nej, ikke rigtigt – RFID bruges kun til lagerstyring og adgangskort. Begge svar er for unuancerede til at være nyttige.

Sandheden er langt mindre dramatisk og samtidig mere interessant. RFID kan indgå i systemer, der registrerer, hvor personer har været, hvornår de har passeret bestemte kontrolpunkter, om de er gået ind i et lokale, eller om de har tjekket ind til et arrangement. Det betyder dog ikke, at alle RFID-tags fungerer som skjulte GPS-trackere i lommen. Det betyder heller ikke, at enhver RFID-løsning er harmløs, blot fordi selve tagget er enkelt. Forvirringen opstår ofte, fordi tag, læser, software og datapolitik bliver betragtet som én og samme ting.

Det er de ikke.

Denne forskel er vigtig, fordi mange søger efter spørgsmål og emner som: Kan RFID spore personer? Hvilke privatlivsproblemer kan RFID medføre? Hvordan fungerer personsporing med RFID, RFID-badges og RFID-armbånd? Og hvad er forskellen på passiv og aktiv RFID-sporing? Nogle søger som bekymrede forbrugere. Andre er indkøbsansvarlige, der skal vælge løsninger til arrangementer, sundhedssektoren, skoler eller adgangskontrol. Arbejdsgivere vil måske vide, hvad der teknisk kan lade sig gøre, og hvad der kan skabe modstand blandt medarbejderne. Alle har brug for det samme ærlige svar: RFID sporer ikke automatisk mennesker. Personsporing opstår først, når et tag indgår i et større system, der er designet til at registrere tilstedeværelse eller bevægelse.

Det virker indlysende, når det bliver formuleret klart, men denne skelnen bliver ofte overset.

Lad os begynde med den største myte.

Mange hører udtrykket RFID-tag og forestiller sig en lille sender, der konstant udsender en persons position. Sådan fungerer de fleste RFID-tags ikke. Et passivt RFID-tag har intet batteri og udsender ikke aktivt et positionssignal døgnet rundt. Det venter normalt på at blive aktiveret af en RFID-læser. Er der ingen læser i nærheden, sker der ingen brugbar aflæsning. Alene dette forhold afkræfter en stor del af de filmagtige forestillinger om skjult sporing.

En hospitalsleverandør i Danmark måtte på et tidspunkt berolige en medarbejdergruppe, efter at der var opstået et rygte om, at nye RFID-ID-kort ville gøre det muligt for ledelsen at følge sygeplejerskerne hele vejen hjem. Rygtet lød alvorligt, men virkeligheden var langt mindre dramatisk. Der var tale om passive RFID-adgangskort til døre og bestemte kontrollerede arbejdsområder. Systemet kunne registrere kortets aktivitet ved disse læsepunkter, men det kunne ikke følge medarbejderne gennem byen eller sende deres aktuelle position fra en håndtaske. Den relevante debat handlede derfor ikke om usynlig overvågning døgnet rundt. Den handlede om, hvorvidt hospitalet skulle gemme adgangshistorik, hvor længe oplysningerne skulle opbevares, og hvem der måtte se dem. Det var den reelle problemstilling, og den var vigtig nok uden at gøre adgangskortene til science fiction.

Det er det første, man skal forstå: RFID er ikke automatisk det samme som GPS.

GPS og RFID løser meget forskellige opgaver. GPS er udviklet til at bestemme en position over store geografiske områder og kræver normalt en enhed med strømforsyning. RFID bruges typisk til identifikation og registrering af tilstedeværelse ved bestemte læsepunkter eller inden for afgrænsede læsezoner. Når et passivt RFID-kort åbner en dør, kan systemet registrere, at et bestemt kortnummer blev aflæst ved den pågældende dør på et bestemt tidspunkt. Det er ikke det samme som kontinuerlig positionssporing overalt i verden. Det er en hændelse ved et kontrolpunkt.

Når denne forskel er på plads, bliver den næste privatlivsmyte lettere at gennemskue.

Nogle antager, at privatlivsproblemerne må være overdrevne, fordi passiv RFID har en begrænset rækkevidde. Det er heller ikke korrekt.

Privatlivsrisici ved RFID bliver meget reelle, når der etableres tilstrækkeligt mange læsepunkter, forbindes tilstrækkeligt mange datakilder og indføres omfattende regler for opbevaring af oplysninger. Et tag behøver ikke fungere som GPS for at blive en del af et effektivt sporingssystem. Hvis en person bærer et RFID-badge gennem en bygning med mange RFID-læsere, kan systemet udlede bevægelsesmønstre. Hvis et RFID-armbånd bruges til adgang, betaling, VIP-områder og forlystelser ved et arrangement, kan systemet opbygge en detaljeret tidslinje over brugerens aktiviteter. Hvis et medarbejderkort forbindes med døre, printere, skabe, kantinebetaling og tidsregistrering, kan organisationen få omfattende indsigt i daglige rutiner uden at vise medarbejdernes placering på et livekort.

En teknologivirksomhed i Singapore oplevede netop denne problemstilling, da den udvidede et enkelt adgangskortsystem til en bredere RFID-løsning, som dækkede indgangsporte, elevatortilladelser, skabe med fælles udstyr, kantinebetaling og parkering. Medarbejderne stillede først det forkerte spørgsmål: Kunne kortene spore dem? Det mere relevante spørgsmål var, hvor mange adfærdsdata det samlede system ville generere, når alle kontaktpunkterne blev koblet sammen. Svaret var, at datamængden gjorde klar styring og kontrol nødvendig. Selve RFID-kortet var ikke problemet. Det var dataarkitekturen omkring det, der havde betydning for privatlivet.

Derfor bør en seriøs privatlivsvurdering ikke stoppe ved tagtypen. Den bør også undersøge, hvad læserne registrerer, hvilke systemer der er forbundet, hvilke rapporter der kan udarbejdes, og hvem der har adgang til logfilerne.

En musikfestival i Californien er et godt eksempel fra forbrugermarkedet. Arrangørerne indførte RFID-armbånd til billetkontrol, kontantfri betaling, alderskontrol og adgang til premiumområder. Nogle deltagere hævdede på nettet, at armbåndene i hemmelighed fulgte dem overalt. Det var ikke en præcis beskrivelse. Armbåndene registrerede ikke gæsterne på hver eneste kvadratmeter af festivalområdet som militære sporingssendere. Systemet kunne dog registrere, hvornår et armbånd blev brugt ved indgangene, i barerne, ved merchandiseboder eller i adgangsbegrænsede områder. Den mest korrekte beskrivelse var derfor hverken, at armbåndet fulgte brugeren overalt, eller at det slet ikke registrerede noget. Armbåndet kunne skabe en relevant aktivitetsoversigt, når brugeren benyttede det ved instrumenterede kontaktpunkter.

Dette mønster er værd at fremhæve.

De fleste myter om RFID og privatliv overvurderer taggets tekniske egenskaber, men undervurderer betydningen af datastyring.

En anden udbredt misforståelse bør også afklares.

Det bliver ofte sagt, at passiv RFID ikke kan bruges til personsporing, og at der derfor ikke er grund til bekymring. Det er en alt for forenklet konklusion. Passiv RFID kan sagtens understøtte personsporing i afgrænsede miljøer, hvis læserne placeres strategisk. Teknologien fungerer blot anderledes end aktive lokaliseringssystemer. En medarbejder med et passivt RFID-badge på et kontor med læsere ved indgange, udgange, drejekors og følsomme lokaler kan overvåges på en meningsfuld måde. Systemet ved måske ikke, at personen står ved et bestemt vindue på tredje sal, men det kan registrere, at vedkommende gik ind i laboratoriet kl. 9.12, forlod det kl. 9.46, åbnede arkivrummet kl. 10.03 og benyttede parkeringskælderen i frokostpausen. Afhængigt af sammenhængen kan det være mere end tilstrækkeligt.

En udbyder af juridisk arkivering i London erfarede dette, da virksomheden begyndte at bruge RFID-medarbejderkort til at styrke adgangskontrollen. Det oprindelige forretningsformål var sikkerhed og dokumenteret håndtering af fortrolige arkiver. Medarbejderne accepterede systemet, indtil de opdagede, hvor let lederne kunne rekonstruere bevægelsesmønstre fra logfilerne. Virksomheden havde ikke givet urigtige oplysninger om systemet, men den havde ikke forklaret, hvor stor indsigt RFID-infrastrukturen gav. Da reglerne for opbevaring og ledernes adgang til oplysningerne blev præciseret, faldt modstanden. Teknologien var den samme. Det var gennemsigtigheden, der var blevet forbedret.

Aktiv RFID gør diskussionen om sporing mere alvorlig.

Ikke al RFID er passiv. Aktive RFID-tags har deres egen strømkilde og kan, afhængigt af konstruktionen, sende signaler over større afstande eller med hyppigere intervaller. På hospitaler, industrianlæg, plejecentre, i miner og på sikrede virksomhedsområder kan aktiv RFID anvendes i realtidslokaliseringssystemer, personlige alarmtags, sikring af spædbørn, beskyttelse af personer med tendens til at forlade sikre områder samt generel sikkerhedsovervågning. Det er en helt anden anvendelse end passive adgangskort eller NFC-armbånd.

Et plejecenter i Japan anvendte aktive RFID-enheder til beboere med demens, som risikerede at forlade sikre områder uden at blive opdaget. Her var sporingen hverken skjult eller en utilsigtet følge af systemet. Den var selve formålet. Læsere rundt omkring på centret registrerede, hvilke zoner beboerne befandt sig i, så personalet hurtigt kunne reagere, hvis en person gik ind i et risikoområde. Eksemplet viser, hvorfor generelle udsagn om RFID og privatliv sjældent er nyttige. I nogle tilfælde er RFID-sporing upassende og grænseoverskridende. I andre tilfælde kan den være åbent begrundet i sikkerhed, forudsat at samtykke, lovkrav og klare retningslinjer håndteres korrekt.

En neonatalafdeling på et privathospital i De Forenede Arabiske Emirater anvendte RFID-tags til spædbørn for at reducere risikoen for forveksling og bortførelse. Formålet var hverken almindelig forbrugerkomfort eller omfattende analyse af medarbejdernes adfærd. Taggene indgik i et klart afgrænset sikkerhedssystem. Forældrene stillede relevante spørgsmål om, hvordan oplysningerne blev opbevaret, og hvem der kunne se dem, men kun få var imod selve formålet, efter at det var blevet forklaret tydeligt. Sammenhængen har stor betydning.

Endnu en myte fortjener opmærksomhed.

Nogle antager, at privatlivsrisikoen må være lille, hvis en smartphone ikke nemt kan aflæse et RFID-tag. Den konklusion holder ikke. Risikoen ved et RFID-system afgøres ikke af, om tilfældige personer kan scanne tagget med en telefon. Den afhænger af den installerede infrastruktur og de data, som systemet forbindes med. Et virksomhedskort kan være svært for andre at aflæse på en café, men det kan stadig skabe et omfattende aktivitetsspor i arbejdsgiverens eget system. Omvendt kan et NFC-produkt være let at aflæse med en telefon, men have en meget begrænset påvirkning af privatlivet, hvis det blot åbner en statisk produktside.

En maratonarrangør i Barcelona anvendte RFID-tags i startnumrene til registrering af mellemtider og slutresultater. Nogle løbere var bekymrede for, at taggene ville afsløre deres placering overalt i byen efter løbet. I praksis blev taggene kun aflæst ved definerede tidtagningspunkter, og de var netop nyttige, fordi disse punkter var kontrollerede. Det relevante privatlivsspørgsmål var ikke, om startnumrene kunne følge løberne i flere uger. Det var, om arrangøren offentliggjorde for mange personhenførbare resultatdata, og om deltagerne tydeligt havde accepteret, hvordan deres tider blev vist.

Detailhandlen giver et andet godt eksempel på, hvordan myter kan blive fordrejet. En luksusforhandler i Seoul indførte RFID-tags i beklædningsvarer for at forbedre lagerpræcisionen og reducere svind. På sociale medier opstod et rygte om, at virksomheden ville bruge taggene til at spore kunderne efter købet. Teknisk lød påstanden dramatisk, men operationelt overså den flere væsentlige forhold. RFID-tags i butikkens tøj var ikke en del af et omfattende bynetværk til personsporing. Rygtet ramte dog et relevant spørgsmål, fordi kunderne ønskede at vide, om taggene blev deaktiveret, fjernet eller på anden måde gjort irrelevante efter betalingen. Derfor bør privatlivsvenlige RFID-programmer i detailhandlen tydeligt forklare taggenes status efter salget i stedet for at afvise enhver bekymring som uvidenhed.

Den mest nyttige måde at beskrive problemstillingen på er denne:

RFID sporer normalt ikke personer på den måde, mange frygter, men teknologien kan indgå i systemer, der observerer, udleder, registrerer eller analyserer menneskers tilstedeværelse og bevægelser.

Når det er slået fast, skal man vurdere, hvornår bekymringen er overdrevet, og hvornår den er berettiget.

Bekymringen er overdrevet, når alle passive RFID-labels bliver opfattet som skjulte globale lokaliseringsenheder. Et lagertag på en papkasse, et RFID-tag i en biblioteksbog eller et almindeligt adgangskort uden et tilhørende netværk af læsere er ikke en altseende sporingsenhed.

Bekymringen er derimod berettiget, når organisationer etablerer tætte netværk af læsere uden at forklare konsekvenserne. Den er berettiget, når RFID-armbånd forbindes med betalinger, alderskontrol, fremmøde og adfærdsanalyse uden tydelig information. Den er også berettiget, når arbejdsgivere bruger data fra medarbejderkort til andre formål end rimelige sikkerheds- eller driftsbehov. Det samme gælder, når skoler, hospitaler eller plejecentre indsamler følsomme bevægelsesdata uden klare opbevaringsfrister og effektiv adgangskontrol.

En produktionsvirksomhed i Ohio opdagede denne grænse i praksis. Virksomheden indførte RFID-medarbejderkort for at kontrollere sikker adgang til områder med farlige maskiner. Medarbejderne accepterede sikkerhedsformålet. Modstanden opstod først, da ledelsen senere foreslog at bruge de samme kortdata til minut-for-minut-analyse af produktivitet og pauser. Privatlivsproblemet blev pludselig langt tydeligere, ikke fordi taggene havde fået nye tekniske egenskaber, men fordi formålet med dataene var blevet ændret. Virksomheden endte med at adskille sikkerhedsrelateret adgangskontrol tydeligere fra evalueringen af medarbejdernes præstationer, da den erkendte, at en teknisk mulig anvendelse ikke automatisk er en legitim anvendelse.

Det er sandsynligvis den vigtigste privatlivserfaring for indkøbere. Risikoen ligger sjældent skjult i chippen alene. Den opstår ofte gennem gradvis udvidelse af formålet.

Formålsudvidelse opstår, når et system, der oprindeligt er indført til sikkerhed, beskyttelse eller bekvemmelighed, gradvist bliver brugt til overvågning, disciplinering, adfærdsvurdering eller kommerciel profilering uden en ny og åben drøftelse. RFID-systemer er særligt udsatte, fordi de enkelte data i begyndelsen kan virke rent driftsmæssige og uproblematiske: døradgang, indtjekning, udlevering af udstyr, køb af måltider, brug af skabe, adgang til arrangementer eller passage gennem en køreport. Hvert datapunkt virker harmløst isoleret. Samlet kan de danne en langt mere detaljeret profil.

En stor fagmesse i Frankfurt erfarede dette, da udstillere klagede over, hvor meget arrangøren kunne udlede fra RFID-badges, der var forbundet med adgang til haller, deltagelse i seminarer, leadregistrering og adgang til premiumlounger. Ingen af datapunkterne var opdigtede, og ingen af dem krævede satellitsporing. Det samlede billede var dog mere detaljeret, end mange deltagere havde forventet. Løsningen var ikke nødvendigvis at fjerne RFID. Den bestod i at fastsætte tydeligere grænser for analyse, information og funktioner, der krævede aktivt samtykke.

Kan RFID-tags så spore personer?

Ja, i visse systemer og afgrænsede miljøer, især når løsningen bevidst er konstrueret til registrering ved kontrolpunkter eller lokalisering i realtid.

Nej, ikke i den mytiske betydning, hvor ethvert passivt RFID-tag i hemmelighed følger en person overalt som en sporingsenhed fra en spionfilm.

Og svaret kan også være måske, fordi resultatet afhænger af tagtypen, placeringen af læserne, softwaren, sammenkoblingen af data og reglerne for anvendelsen.

For indkøbere betyder det, at privatlivsdiskussionen bør begynde før indkøbet og ikke efter implementeringen. Ved indkøb af RFID-badges, RFID-armbånd, medarbejdersporingssystemer, patienttags, adgangsarmbånd til arrangementer, tags til fremmøderegistrering på skoler eller wearables til plejecentre bør man ikke kun spørge, om teknologien fungerer. Man bør undersøge, hvilken indsigt i personers aktiviteter systemet skaber. Er tagget passivt eller aktivt? Hvor er læserne placeret? Hvilke hændelser registreres? Hvor længe gemmes oplysningerne? Hvem kan søge i dem? Bruges systemet til adgangskontrol, sikkerhedsovervågning, effektivisering af arbejdsgange eller adfærdsovervågning? Det er ikke blot juridiske detaljer. Det er centrale designspørgsmål.

Ved brug af RFID i forbrugermiljøer bør det forklares klart, hvad tagget gør og ikke gør. Er det et NFC-tag til en digital brugeroplevelse, bør det fremgå. Registrerer et eventarmbånd betalinger og adgang til bestemte zoner, skal det også oplyses. Bliver tagget irrelevant efter købet, bør det forklares. Klar information reducerer både ubegrundet frygt og berettiget mistillid.

Ved brug af RFID på arbejdspladsen bør man undgå den nemme forklaring, at systemet kun anvendes til sikkerhed, hvis det i praksis producerer langt bredere ledelsesdata. Medarbejdere gennemskuer hurtigt, når den officielle forklaring er mere begrænset end systemets tekniske muligheder, og mistilliden kan vokse hurtigt.

Som bekymret forbruger er det også nyttigt at stille mere præcise spørgsmål. Ikke blot: Kan RFID spore personer? Spørg i stedet: Hvilken type tag er dette? Hvor kan det aflæses? Hvilket system er det forbundet med? Og hvad bliver konkret registreret, når jeg bruger det?

Det er disse spørgsmål, der skærer igennem støjen.

De største myter om RFID og privatliv bevæger sig ofte for langt i den ene eller den anden retning. Enten bliver tagget fremstillet som en lille, almægtig sporingsenhed, eller også bliver hele privatlivsproblemet afvist som paranoia. Sandheden ligger midt imellem. RFID er normalt mere begrænset, end de mest skræmmende myter antyder, men systemerne omkring RFID kan stadig skabe meget reel indsigt i menneskers adfærd.

Derfor bør diskussionen om RFID og privatliv hverken være præget af panik eller afvisning.

Den bør være præcis.