Du bad Chrome slette alt ved lukning. Google.com blev liggende

Inde i Google Chrome findes en indstilling, der lover noget meget enkelt: slet de data, sites har gemt på din enhed, når du lukker alle vinduer. Det er det eneste sted, en almindelig bruger kan sige nej til at blive husket.

Den amerikanske udvikler Jeff Johnson slog indstillingen til, søgte én gang på Google og lukkede vinduet. Bagefter lå der stadig data fra google.com på hans maskine. Det beskrev han fredag på sin blog Desolation of Blog.

Johnson har gjort sig umage for at fjerne de nemme forklaringer. Han er ikke logget ind i Chrome og har oven i købet slået login fra. Han har skiftet standardsøgemaskinen til DuckDuckGo, så indstillingen ikke kunne være årsagen. Han kontrollerede først, at ingen sites havde gemt noget som helst. Han har reproduceret det på to forskellige Mac-maskiner med samme udgave af Chrome, version 152. Data overlever, at han lukker browseren helt ned og starter den igen, og de kommer tilbage, hvis han sletter dem og gentager forsøget. Så vidt han kan se, er google.com det eneste site, der bliver undtaget. Cookies, local storage og session storage.

Det er anden gang, den samme mand fanger det samme.

I oktober 2020 skrev Johnson et indlæg om, at Chrome undtog Googles egne sites fra den tilsvarende indstilling. Vi har læst det. Dengang var billedet lidt mildere: cookies blev faktisk slettet, mens local storage, database storage og service workers blev liggende, og YouTube var ramt sammen med søgemaskinen. »Måske er det bare en fejl i Google Chrome og ikke bevidst adfærd, men spørgsmålet er, hvorfor det kun rammer Googles sites og ikke andres,« skrev han dengang, oversat fra engelsk. Historien blev omtalt af The Register, The Verge og Gizmodo, og derefter blev fejlen rettet. Seks år senere overlever selv cookies turen.

Johnson vil ikke længere end til inkompetence. Han henviser udtrykkeligt til Hanlons ragekniv og afviser konspirationsteorierne. »Google har heller ingen undskyldning for inkompetence, slet ikke med de penge, firmaet og dets ingeniører tjener,« skriver han, oversat fra engelsk, og foreslår, at man kunne prøve at skrive nogle enhedstest til funktionen. Hans råd til verdens største browserproducent er en omskrivning af Facebooks gamle motto: »Ryk langsommere, og lad være med at ødelægge tingene.«

Google har ikke udtalt sig om sagen.

Her holder den amerikanske historie op, og den danske begynder.

Den 29. januar i år gav Datatilsynet 51 danske kommuner alvorlig kritik og advarsler for deres brug af Google-produkter i folkeskolen. Sagen begyndte i Helsingør i 2022 og har kørt siden. Vi har læst afgørelsen, og dens præmis er skarpere end den skoletræthed, sagen efterhånden er blevet mødt med: »Det er ikke muligt og lovligt (…) at købe og ibrugtage et produkt der behandler personoplysninger, hvis der ikke kan skabes klarhed over de behandlinger af personoplysninger, der sker i produktet,« skriver tilsynet. Kommunerne skulle have gjort arbejdet, før produktet blev taget i brug, ikke fire år efter.

De to sager er ikke den samme. Chromebook-sagen handler om Google Workspace for Education og om underdatabehandlere i USA, Indien, Mexico og Taiwan. Johnsons fund er en browserindstilling på en privat Mac. Men de stiller det samme spørgsmål, og det er værd at holde dem op mod hinanden.

En kommune skal kunne redegøre for, hvad et produkt gør ved personoplysninger. Kravet er rimeligt. Det forudsætter bare, at nogen kan efterprøve svaret. I denne uge blev det gjort af en enkelt udvikler med en fritidsblog, som satte en indstilling, søgte én gang og talte filerne i en mappe på sin egen harddisk. Der findes ingen myndighed i Danmark, der rutinemæssigt gør det. Datatilsynet læser databehandleraftaler og risikovurderinger, altså papir om produktet, skrevet af dem, der sælger det.

Det er værd at huske, næste gang et teknologifirma forsikrer, at brugeren har kontrollen. Kontrollen findes i form af et afkrydsningsfelt. Om feltet virker, er noget andet, og det er ikke myndighederne, der opdager det.