Avslöjandena att Sverigedemokraternas folkvalda representanter säger dumma, rasistiska saker på internet kunde göras på grund av dataintrång. Dataintrång är normalt sett brottsligt, och fängelsestraffen för dataintrång är på minst två år, upp till fem år. Dataintrång är också väldigt brett definierat: man behöver inte ha röjt identitetsuppgifter, utan det kan räcka med att ha otillgängliggjort information som någon velat göra tillgänglig (t ex ddos).

Eftersom Anna Troberg redan har gått igenom pressetik  och den allmänna rätten att yttra sig, även på dumma sätt, tänkte jag ta upp en annan aspekt: offren för dataintrång.

Det är nämligen inte Sverigedemokraterna som är brottsoffer enligt lag, utan Disqus. Kanske också Adobe. Enligt vår rådande IT-brottslagstiftning är det Disqus och Adobe som är brottsoffer. Om något av företagen väljer att polisanmäla Researchgruppen finns, så vitt jag förstår, goda förutsättningar för vart och ett av dem att få individerna i Researchgruppen dömda för dataintrång.

När Skatteverket och Kronofogden, och deras IT-tjänstleverantörer, tappade bort stora mängder personuppgifter för några år sedan var situationen liknande. Gottfrid Swartholm Warg avtjänar fängelsestraff för dataintrång inte för att han varit dum mot de svenskar vars personuppgifter kommit på vift, utan för att han har varit dum mot det företag som underhöll databaser åt Skatteverket och Kronofogden. I IT-världen är det aldrig privatpersoner som upplevs vara brottsoffer när de utsätts för negativa konsekvenser till följd av säkerhetsproblem - dataintrångslagstiftningen skyddar företag, myndigheter och ekonomiskt starka aktörer. Privatpersoner, kunder eller medborgare skyddas i stort sett inte alls av IT-brottslagstiftningen.

Det kan kännas underligt för de privatpersoner som drabbas av att deras personuppgifter läcker att det knappt finns några juridiska verktyg för dem att få upprättelse. Om man känner sig kränkt av Skatteverket, Kronofogden eller deras tjänsteleverantörer kan man inte vända sig någonstans - enligt lagen har man inte begåtts någon särskild oförrätt. Varken riksdagen eller regeringen är villig att viga statens resurser åt att hjälpa privatpersoner i IT-världen. Tvärtom kommer Kronofogden med enkelhet undan med ett resonemang som går ut på att de som drabbats av personuppgiftsintrånget inte behöver informeras om att deras personuppgifter är på vift eftersom privatpersonerna blir "oroliga då". När det gäller forumkommentarer har Disqus undvikit alla former av ansvar gentemot privatpersoner genom friskrivningar i sina användaravtal. Alla som använder Disqus, oavsett om de arbetar för romers rättigheter, mot invandrare, för anarkolibertarianismen eller för narkolepsipatienters välmående, får finna sig i att Disqus förvisso inte tycker det är bra att Disqus är drabbat av säkerhetsproblem, men att Disqus lovar att de inte har för avsikt att sådana säkerhetsproblem ska uppdagas och utnyttjas.

Det finns ett enkelt svar på varför det är så: Våra dataintrångslagar och hackinglagar sätter helt och hållet fokus på att skydda den med makt och resurser. Polisens resurser styrs åt att skydda ekonomiskt och tekniskt starka aktörer på ett sätt som inte är särskilt bra för bättre säkerhet. Varken regeringen eller riksdagen har prioriterat att skydda de med tekniskt få resurser, och ekonomiskt få resurser, på nätet. Tvärtom är internet och informationsteknologi i allmänhet ett område där staten lägger stora resurser på att skydda de starka mot de svaga. Maktbalansen är helt fel.

Det kan vara lockande att föreslå att polisen ska skydda de svaga istället. Att polisen t ex ska utreda Researchgruppen å Sverigedemokraternas vägnar istället för på Disqus villkor. Eller att Gottfrid Swartholm Warg ska prövas utifrån den skada han eventuellt orsakat svenska privatpersoner istället för skada han orsakat Skatteverkets tjänsteleverantör. Jag tror personligen inte att det är någon särskilt bra lösning och att den skjuter förbi målet. Polisen bör förmodligen inte alls blandas in i dataintrångsmål och har nästan inga förutsättningar alls att göra nytta i strävan efter bättre IT-säkerhet.

En enklare lösning är istället att se problemet som ett marknadsproblem. Varför har Disqus och Adobe inget ansvar att berätta för sina användare att de är utsatta för säkerhetsrisker och när de är utsatta för säkerhetsrisker, eller hur sådana risker ska åtgärdas? Vi kommer aldrig att få säkra system om vi inte skapar incitament att avslöja osäkerheter och åtgärda osäkerheter. Både Disqus och Adobe behöver också vara ansvariga för att personuppgifter de hanterar faktiskt hanteras på ett säkert sätt. Samma sak gäller Skatteverket och Kronofogden, samt alla företag de köper tjänster ifrån: de behöver vara ansvariga för personuppgifterna hanteras rätt, ha en skyldighet att berätta när det uppstår risker och hur man hanterar sådana risker som privatperson.

EU:s dataskyddsförordning är ett steg i rätt riktning. Den sätter individens integritet och säkerhet i fokus, istället för mäktiga myndigheters och företags resurser. Men den behöver också komplementeras med allmänna regler för informations- och kommunikationssektorn. En förpliktelse att så snart som möjligt berätta för kunder och användare när säkerhetsrisker uppdagats, samt hur man åtgärdar säkerhetsriskerna, bör införas. Polisen kan sedan ägna sig åt att utreda sådana företag och systemtillhandahållare som inte uppfyller transparenskriterierna.

Det har många fördelar att helt tänka om regelverket för dataintrång. Just nu utreder polisen saker som de inte kan göra någonting åt. Om det finns en osäker IT-produkt som inte skyddar personuppgifter har polisen mycket få medel att åtgärda problemet. Det är därför rimligt att utredningen av säkerhetsproblemen landar på privat sektor, som är bättre skickad att åtgärda problemet. Polisen kan istället säkerställa samhället att sådana utredningar blir tillgängliga, och att drabbade privatpersoner får information om hur de skyddar sig. Detta är en enklare, och effektivare, uppgift som gynnar bättre säkerhet. Det skapar också en mycket bättre maktbalans mellan myndigheter, företag och privatpersoner.