Et holistisk helhedssyn er påkrævet

I den offentlige debat stilles overvågning ofte i modsætning til privacy. Jo mere overvågning jo mindre privacy. Det er en total misforståelse for overvågning og privacy er ikke et hverken eller men et både og.

Overvågning har ligesom privacy nytteværdi for den enkelte og for samfundet som helhed, fordi begge begreber i bund og grund har det samme formål: at skabe tryghed. Hvem vil ikke stoppe terroristen eller pædofilisten ? Men der er jo heller ikke grund til unødvendig overvågning !

Udfordringen er selvfølgelig at foretage en nærmere vurdering af den konkrete sammenhæng hvor overvågning ønskes iværksat og privacy samtidig vil blive krænket. Der vil være tale om at afbalancere de forskellige hensyn.

Imidlertid må det konstateres, at der efter 11/9 har været mange eksempler på lovgivning, hvor lodderne til fordel for en ren sikkerhedsbetragtning, har vejet tungest. Det behøver ikke at være sådan og det bør der rettes op på, så der kommer mere balance i tingene.

Denne holdning deles efterhånden af en lang række opinionsdannere, eksperter og politikere og er bl.a. kommet til udtryk i diskussioner i forbindelse med forberedelsen af arbejdsprogrammet for det svenske EU formandskab i 2. halvår 2009. I et referat af en konference i Bruges i marts 2009 ararrangeret af Det Europæiske Råd om en strategisk dagsorden for frihed, sikkerhed og retfærdighed , refereres f.eks. den tjekiske indenrigsminister Ivan Langer, specifikt for at understrege “the importance of finding a balance between security and privacy, hinting that there today is a tendency in Europe to focus too much on security. Freedom, privacy and mobility is however as important and has been left outside the focal point lately”.

Det er ikke altid en let opgave, men det er ikke desto mindre en fremgangsmåde, som er nødvendig og som vil stille store krav til myndigheder, interesseorganisationer og NGO´erne. Ja, i en tidsalder hvor konflikter og teknologi bliver mere og mere kompliceret, må vi også hver især som enkeltindivid være meget mere engagerede i hverdagen.

De principper vi bygger vort samfund på skal vi værne om, men debatten viser med al ønskelig tydelighed, at der mangler en grundlæggende forståelse af vort værdisæt. Når det af mange udtales, at man ikke har noget at skjule og at man faktisk gerne vil have overvågning, så er det ikke en overraskende holdning. Vi lever – trods alt – i et af de mest trygge samfund i verden med en social velværd, som de fleste nyder godt af. Vi har samtidig, det viser jævnlige undersøgelser, en offentlig sektor, som er en af verdens mindst korrupte.

Men desværre bygger holdningen også på stor uvidenhed og mange vil måske mene direkte naivitet. Misbrug finder sted, det ved vi. Den korrupte embedsmand findes, det ved vi også. Det er godt at vi kan benytte os af de teknologiske muligheder til at sikre mennesker og værdier, men teknologien kan også misbruges. Jeg plejer at sige, at der ikke findes hverken god eller dårlig teknologi. Opgaven består i at designe den teknologiske løsning efter det konkrete behov. Teknologiske mekanismer som f.eks. “privacy by design” og “revocable privacy” kan her være til hjælp. Udvikling af en IT-infrastruktur, hvori proces og krav direkte implementeres (embeddes) uden mulighed for senere ændring, kan også være en løsningsmodel.

Eksemplerne skal illustere, hvorledes teknologien kan sikre både privacy og security ved opbygning af informationssystemer. Eller med andre ord kan teknologien gøre det muligt for både sikkerheds-hardlinere og frontkæmpere for menneskerettigheder at mødes ! 

Med ”internet of things” vil teknolgien gøre det muligt at forbinde alle mulige ting med hinanden fra bøger til biler og fra elektriske apparater til fødevarer. Det giver os mennesker fantastiske muligheder for at understøtte og forbedre hverdagen, men samtidig kan teknologien opsamle en masse information om vores gøren og laden 24 timer i døgnet. Løsningen må som udgangspunkt være, at brugeren har kontrol og valgmulighed, hvilket igen forudsætter gennemsigtighed. Et nyligt notat fra EU Kommissionen Internet of Things – An action plan for Europe sætter fokus på denne fremtid.

Det forventes at politikere og embedsværket vil være i stand til at træffe de rigtige afgørelser ud fra et samfundsmæssigt helhedssyn. Man kan ikke betænke organisationer eller myndigheder i at varetage de interesser eller opgaver de nu er sat til at varetage.

Men hvorledes sikrer vi os den afbalancerede afvejning af ofte modsatrettede hensyn, som der i en globaliseret verden mere end nogensinde er behov for?

Mere tværfaglig forskning hilses velkommen lige som generelle informationskampagner er vigtige.  Der synes også at være anledning til at gennemføre en videnskabelig undersøgelse af hvorledes vi i grunden stiller os til overvågning og privatlivsbeskyttelse, vore værdier og holdninger til menneskerettighederne.

Men Derudover er der måske grund til at overveje etablering af et ”visdomsråd”, som skal forholde sig kritisk men holistisk til alle samfundets udfordringer og som forener videnskab med en dybere forståelse af de menneskelige værdier og samfundets sammenhængskraft og bæredygtighed i videts muligt omfang.

Ideen er faktisk så gammel som demokratiet, idet der i det antikke Grækenland fandtes et symposium af 7 vise mænd, som skulle assistere samfundet med forslag til løsninger af komplicerede spørgsmål både personlige og sociale og som kom til at få stor indflydelse på opbygning af et oplyst og avanceret samfund.

Er disse gamle visdomsord i øvrigt ikke eviggyldige og relevante ikke bare i diskussionen mellem øget overvågning og privacy men i alle sammenhænge:

“All things in moderation”

 “Nothing in excess”

Betænkning afgivet af canadisk parlamentsudvalg anbefaler forbedringer af privacy

Det canadiske House of Commons stående udvalg for informationsadgang, privacy og etik, har d. 10. juni udgivet en betænkning, som fokuserer på udvalgets svar på 12 anbefalinger af den canadiske privacy kommissær til en reform af Privacy Act.

Den canadiske privacy lov fra 1983  beskytter den enkeltes personlige information ved at fastsætte regler for hvorledes data indsamles, opbevares og bruges. Loven fastsætter endvidere en ret til at få oplyst offentlig information om én selv samt institutionaliserer en såkaldt privacy kommissær (kan dels sammenlignes med det danske datatilsyn). Loven er imidlertid ikke blevet revideret i 26 år.  

“ Privacy Act  er en vigtig del af kvasi-forfatningsmæssig lovgivning, som beskytter canadiernes privacy-rettigheder. I en tidsalder med en rivende teknologisk udvikling, skal en reform af loven nøje undersøges og overvejes. Med betænkningen starter udvalget nu en dialog med den ansvarlige minister om den lovgivning, som vi håber vil få høj prioritet” udtaler udvalgets formand Paul Szabo fra Liberal Party of Canada.

Udvalget støtter således, at den nuværende lov skal udvides til at omfatte nye teknologier, som f.eks. live-overvågning af kamera-feeds samt DNA prøver af mistænkte. Den nuværende lov dækker nemlig kun indhentet og registreret information, som f.eks. dokumenter, magnetbånd samt computerfiler. 

Endvidere bakker udvalget op om forslaget om, at privacy kommissæren påtager sig en uddannelsesfunktion og at offentlige myndigheder skal aflægge rapport til parlamentet om deres privacy. 

Derudover støtter udvalget ideen om, en ny regel, som pålægger myndigheder at beskytte personlig information med passende forholdsregler.

Men udvalget dels underkender dels afstår fra at tage stilling til flere af de øvrige 12 anbefalinger, som privacy kommissæren betragter som ”quick fixes” af Privacy Act her og nu. Privacy kommisæren ønsker imidlertid en helt gennemgribende revision af loven, men erkender at dette ikke er muligt i den nuværende situation.

For eksempel prioriterer parlamentsudvalget ikke, at der er et behov for at indføre såkaldte privacy konsekvensanalyser (PIA´s) af love og systemer ligesom et forslag om, at indføre en såkaldt ”nødvendighedstest”, som myndighederne skal gennemføre for at demonstrere behovet for at indsamle personlig information, heller ikke fandt lydhørhed.

Betænkningen anbefaler i øvrigt, at loven revideres hver 5. år.

I et høringssvar til udvalget påpeger det canadiske advokatsamfund (Canadian Bar Association), at loven i sin tid trådte i kraft før fremkomsten af teknologier som elektronisk data match, biometriske identifikatorer som fingeraftryk og iris scanning, afkodning af gener samt satellitovervågning (GPS).

Betænkningen er endnu en i rækken af bidrag, som for tiden ser dagens lys. Canada betragtes af mange som et foregangsland med hensyn til privacybeskyttelse, men loven fra 1983 er ikke fulgt med tiden, som det påpeges af et af parlamementsmedlemmerne.
Selvfølgelig kan man ikke direkte sammenligne canadiske retsforhold med danske, men det interessante er at hæfte sig ved de principielle overvejelser, der er oppe i tiden og disse principper følger en international trend om større privacy bevågenhed, som også Danmark bør forholde sig mere konsekvent til.

Betænkningen kan downloades her.

Betænkning afgivet af det franske senat anbefaler en styrkelse af privacy

Det franske Senats retsudvalg har d. 27. maj 2009 udgivet en betænkning med titlen ‘La vie privée à l’heure des mémoires numériques’ (ret til privacy i en digital tidsalder).

Betænkningen indleder med at fastslå, at privacy er et af det moderne samfunds grundlæggende værdier og omfatter både et menneskes ret til intimitet og autonomi.

Betænkningen påpeger, at fremkomsten af nye teknologier som GPS, Bluetooth, RFID, nanoteknologi mv. giver mulighed for at spore personer over tid og rum. Endvidere fremhæves den ubegrænsede kapacitet til datalagring og  ‘den nye digitale hukommelse ‘ herunder opbygning af databaser om specifikke forbrugsmønstre (consumer behavioral targeting).  Herudover understreges det også at der blandt den unge generation er en sociologisk trend for ”eksponering og selvregulering” og en mindre opmærksomhed på de risici som blogs og sociale netværk udgør for ens privacy.

Betænkningen understreger også, at Europa og USA har en forskellig tilgang til beskyttelse af personoplysninger, hvilket bl.a .er kommet til udtryk i striden om, hvorlænge visse søgemaskiner bør opbevare indsamlede persondata. Derfor anbefales det også at arbejde for internationale standarder, som dog forudses at blive vanskelig, fordi hensynet til beskyttelse af privacy, herunder retten til at få slettet persondata og retten til anonymisering af dataforbindelsen konflikter med beskyttelsen af ophavsret, edb-programmer, databaser og intellektuel ejendomsret.

Også set i lyset af 11. September 2001, som har medført en øget tolerance for overvågning og kontrol, er der ifølge betænkningen behov for en ny balance mellem sikkerhed og frihed, hvilket alt i alt stiller nye krav til privacy.

For at sikre privacy i nutidens digitale tidsalder og styrke offentlighedens tillid til informationssamfundet har en nedsat arbejdsgruppe formuleret 15 rekommmendationer, hvoraf de væsentligste er:

• Styrke kendskabet  til privacy og beskyttelse af personoplysninger i skoleforløbet
• At iværksætte en informationskampagne med henblik på at øge bevidstheden om privacy og databeskyttelse på internettet samt informere om den enkelte borgers rettigheder

Med henblik på at styrke kapaciteten og legitimiteten af CNIL (det franske datatilsyn) :

• Opkræve et gebyr af større offentlige og private organisationer, der beskæftiger sig med persondata
• At oprette regionale enheder under CNIL
• Styrke CNIL´s ekspertise og kontrol
• At gøre det obligatorisk for alle offentlige og private organisationer, at udpege en databeskyttelsesansvarlig person (correspondant informatique et libertés)

Med hensyn til yderligere lovgivning:

• Støtte udvikling med henblik på at definere internationale standarder for beskyttelse af personoplysninger
• At bekræfte, at IP-adressen anses som en personoplysning
• At indføre et minimum for databrudsnotifikation
• Privacy skal indskrives i forfatningen

Anbefalingerne, hvoraf flere fremgår af CNIL´s årlige rapport fra 13. Maj 2009, demonstrerer det franske senats og CNIL´s vilje til at styrke retten til privacy både nationalt og internationalt og tage hånd om de aktuelle privacy udfordringer. Borgerens bekymring for brud på privacy tages alvorligt og det anerkendes faktisk, at security og privacy ikke er hinandens modsætninger, men derimod hinandens forudsætninger for et trygt samfund.  Betænkningen er visionær. Anbefalingerne ligger desuden på linje med flere af de forslag, som den nyligt offentliggjorte rapport fra Rand Europe, har fremført.

Det er især interessant at fremhæve anbefalingen om at fastslå ved lov, at IP adressen, som identificerer en computer, er at betragte som persondata. En sådan bestemmelse vil få betydning for hvorledes søgemaskiner lagrer data og det er da også grunden til, at bla. Google stritter imod, idet de gør gældende, at IP adressen alene lokaliserer en computer og ikke hvem personen er. Artikel 29 arbejdsgruppen har iøvrigt fremkommet med en tilsvarende anbefaling i 2008.

Der er også grund til at hæfte sig ved anbefalingen om, at  indføre en pligt til at udpege en dataansvarlig person (i udlandet også benævnt Data Protection Officer)  for både offentlige og private organisationer med minimum 50 ansatte. Det er en ide, som jeg selv ved en tidligere lejlighed har anbefalet, at indføre i Danmark. Også  forslaget om at indskrive privacy i den franske forfatning, er principiel sympatisk.

Betænkningen gør det endnu mere påkrævet, at der fra dansk side formuleres en decideret privacy policy baseret på lignende anbefalinger, således at vi ikke kun kommer på omgangshøjde med de øvrige EU lande og EU, men meget gerne lægger os i førerfeltet.    

Den omfattende betænkning, som er på fransk, kan downloades her.

EU konference sætter fokus på databeskyttelse

Den 19-20 maj 2009 organiserede EU Kommissionen en konferecne med titlen “Personal data – more use, more protection?” for at se på nye udfordringer for privacy.

Hvordan bør persondata beskyttes i en globalioseret verden med stigende mobilitet og i kølvandet på moderne kommunikation, informationsteknologier og ny policies ? Hvilke data har myndigheder og private virksomheder adgang til ? Hvor godt er det nuværende regelsæt med hensyn til international dataoverførsel i en tid med “cloud computing” ? Hvad er borgerens, virksomhedernes og samfundets forventninger.

Det er nogle af de temaer som konferencen har sat under lup. En lang række førende eksperter har deltaget med indlæg på konferencen, som er en del af EU Kommissionens åbne rådslagning om hvordan den fundamentale ret til beskyttelse af personlige informationer kan udvikles yderligere og beskyttes effektivt, især indenfor området for retfærdighed, frihed og sikkerhed. 

Konferencen blev åbnet af Jacques Barrot, vicepræsident for EU Kommissionen og kommissær for retfærdighed, frihed og sikkerhed. Barrot understregede, at hans ansvarsområde er at forene formålet at bekæmpe terror og sikre databeskyhttelse. Han påpegede også fordelene ved ny teknologi til bekæmpelse af vold og terror, men også teknologiernes potentielle risici. Dette tilsyneladende paradoks må løses ved at finde den rette balance for beskyttelse af borgerens sikkerhed og privacy og hensynet til udveksling af fri information med en hensigtsmæssig lovramme.

Der er behov for bl.a. at skabe større opmærksomhed om beskyttelse af privacy samt løbende at evaluere policy-reglerne.  

Alex Türk, formand  for artikel 29 arbejdsgruppen samt formand for det franske datatilsyn (CNIL) fastslog, at EU´s datadirektiv stadig er et godt instrument, som man bør blive ved med at implementere her og nu, f.eks. i forbindelse med udmyntning af fastlæggelse best practice og udarbejdelse af adfærdskodeks (code of conduct).

Endvidere pointerere Alex Türk, at internationale standarder bør suppplere end helt erstatte datadirektivet.

En anden indlægsholder, Jacob Kohnstamm, formand for det hollandske datatilsyn omtalte en undersøgelse, som viste, at de borgere som kunne tilslutte sig udsagnet om, at de intet har at skjule, alligevel blev overrasket over en lemfældig databehandling. De udspurgte synes at akceptere det uungåelige. En holdning der bygger på resignation snarere en tillid er farlig for samfundet, udtalte Kohnstamm. 

Jacob Kohnstamm sagde også i sin tale, at det at kunne udøve sine rettigheder for at kunne korrigere og/eller slette fejldispositioner, forudsætter gennemsigtighed. Det er også vigtigt med en let klageadgang og en bedre retshåndhævelse ikke alene i forhold til den enkelte borger, men for samfundet som sådan. Datatilsyn bør agere ex ante og ikke ex post.

Ovennævnte korte referater er udvalgt helt tilfældigt. De mange ekspertindlæg giver et ganske glimrende øjebliksbillede af databeskyttelsen i Europa set ud fra forskellige perspektiver. Konferencen, der må anses som årets største begivenhed om databeskyttelse, er opdelt i 3 sessioner med titler fra kendte ABBA sange:

“Knowing you, knowing me” – New Purposes, New challenges
“Does your Mother know” – No, but could she?
“Take a chance on Me” – Towards a New Data Protection Culture in Europe?  

 Hele programmet kan downloades her. Indlæg i PPT og PDF format kan downloades her. Klik her for et webcast af hele konferencen.

Amerikansk regeringsrapport om netsikkerhed anerkender privacy

USA´s regering har i dag udsendt en rapport med titlen “Cyberspace Policy Review – Assuring a Trusted and Resilient Information and Communications Infrastructure”, der indeholder et effektivt program for netsikkerhed og som anerkender privacy.

Rapporten er et resultat af en 60-dages gennemgang af hele regeringens netsikkerhedspolitik og er mere end en generel erklæring om principper og mål, men der savnes alligevel en mere uddybende konkretisering. Rapporten nævner mindst en halv snes gange, at det er nødvendigt at tage hensyn til privacy og de borgerlige frihedsrettigheder, hvilket afspejler en forpligtelse til, at indbygge beskyttelse, når foranstaltninger for netsikkerhed kan få en negativ indvirkning på privacy.

Princippet om gennemsigtighed fremhæves og der lægges også vægt på uddannelse. Denne afbalancerede tilgang lægger op til en potentiel strid om, hvordan man bedst kan forbedre netsikkerhed og samtidig beskytte menneskerettighederne. Rapporten indeholder en lang række korte og mellemlange initiativer og opfordrer til udnævnelse af direktører for privacy og frihedsrettigheder i diverse regeringsorganer samt oprettelse af en helt ny styrelse for privacy og frihedsrettigheder, som skal have indflydelse på netsikkerheden.

Selvom det Hvide Hus i rapporten indleder med den antagelse, at en middel regulering af infrastrukturen baseret på internettet, indebærer en trussel, så synes den alligevel at anerkende, at en ikke for stram regulering har været afgørende for internettets innovation, frihed og åbenhed. Rapporten giver myndighederne en tilstrækkelig fleksibilitet til at gennemføre de foranstaltninger, som den anbefaler, uden hårdhændet regulering. Men der henstår stadig en masse detailbeslutninger f.eks. om teknologianvendelsen og hvad det betyder at opbygge en netsikker identity management vision og strategi, som kræver nøje bevågenhed fra offentligheden og interesseorganisationer.

Såfremt det er hensigten at privacy skal have en central placering, så kommer man ikke uden om, at brugerbeskyttelsen forudsætter brugerkontrol. Man kan derfor som Center for Democracy & Technology sige, at rapporten indeholder lige så meget signifikant, som den udelader. Det er dog væsentligt at hæfte sig ved, at privacy har fået en hidtil uset anerkendelse som en del af et robust internet.

Download rapporten her.

New York Times har bedt en række eksperter, herunder Ron Deibert, University of Toronto, Gus Hosein, London School of Economics and Political Science og Bruce Schneier om at kommentere rapporten, tjek: http://roomfordebate.blogs.nytimes.com/2009/05/29/a-plan-of-attack-in-cyberspace/

Er Præsident Obama’s tale vendepunktet i kampen mod terror ?

   Official White House photo by Pete Souza

USA´s præsident Barack Obama holdt d. 21. maj 2009  en tale med titlen ”Protecting Our Security and Our Values”. Talen blev givet i historiske og tankevækkende rammer, nemlig i nationalarkivets skyhøje marmor og kalkstens rotunde i Washington, som bl.a. udstiller den originale amerikanske uafhængighedserklæring udstedt den 4. juli 1776.

I sin tale, der indledes med, at “These are extraordinary times for our country” præsenterer præsident Obama sin tilgang til bekæmpelsen af terrorisme i forhold til amerikansk lov og amerikanske værdier og han skitserer de eksisterende problemer og de udfordringer, der er for at løse dem.

Efter at have nævnt de skridt der er taget siden 2001 i kampen mod ekstremister, herunder en bedre beskyttelse af USA´s grænser, et øget beredskab overfor eventuelle fremtidige angreb og en global ikke-spredningsordning, der skal forhindre at verdens farligste mennesker skal få adgang til verdens mest dødelige våben, fastslår præsidenten, at alle disse initiativer er nødvendige for at holde USA sikker.   Og han fortsætter: 

“Men jeg mener med hver fiber i min krop, at i det lange løb vil vi ikke kunne holde dette land sikkert, medmindre vi mobiliserer kraften i vores mest fundamentale værdier. De dokumenter, vi opbevarer her i salen , uafhængighedserklæringen, forfatningen, Bill of Rights, er ikke bare ord skrevet på gammelt pergament. De er grundlaget for frihed og retfærdighed i dette land, og et lys, der stråler for alle, der søger frihed, retfærdighed, lighed og værdighed i verden.”

Længere henne i talen, fastslår Obama, at Bush-regeringen foretog en række forhastede beslutninger, der selvom de var motiveret af et oprigtigt ønske om at beskytte det amerikanske folk, imidlertid også alt for ofte har været baseret på frygt i stedet for fremsyn.

Og han fortsætter: “Med andre ord, vi er kommet ud af kurs…. Lad mig sige det helt klart: Vi er virkelig i krig med al Qaeda og deres allierede. Vi har brug for at opdatere vores institutioner til at håndtere denne trussel.  Men vi må gøre det med en varig tillid til retsstaten og en retfærdig rettergang; i kontrol og balance og ansvarlighed.”

Herefter koncentrerer Obama sig meget om sin beslutning om at lukke Guantanamo fængslet og hvorledes det skal finde sted. Herom vil jeg ikke gå i detaljer i denne sammenhæng selvom beslutningen i høj grad er manifestationen på præsidentens nye holding til retssikkerhed.

I slutningen af sin tale siger Obama,at “det amerikanske folk er ikke ekstremister og de vælger os ikke for at have en rigid ideologisk holdning til vore problemer. De ved, at vi ikke behøver at ofre vores sikkerhed for vores værdier, og heller ikke at give afkald på vores værdier for vores sikkerhed, så længe vi tilgår vanskelige spørgsmål med ærlighed, bekymring og en dosis af almindelig sund fornuft.”

Det centrale budskab i præsidentens tale, der på formidabel vis blev understreget af de pompøse omgivelser og effekten af den rungende genlyd den kastede af sig i den store kuppelsal er , at der ikke er nogen modsætning i at forsvare de amerikanske værdier og samtidig beskytte nationens sikkerhed.

For mig at se, er talen den vigtigste præsident Obama endnu har holdt indtil dato. Den vil få kolossal psykologisk betydning og efter min bedste overbevisning indvarsle en ny holdning til terrorkampen og overholdelsen af menneskerettighederne ikke alene i USA men også i resten af verden. Det er ikke kun fordi det er indehaveren af verdens mægtigste embede der siger det, men fordi det netop er Barack Obama. For han mener det alvorligt. Det er ikke blot symbolpolitik. Overalt i verden vil menneskerettighedsorganisationer få medvind og kunne presse regeringer og politikere, som sikkert også selv visse steder vil  lade sig inspirere og anspore til at tage beskyttelsen af menneskerettighederne mere alvorligt i forhold til kampen mod terror. Der er ikke nogen tvivl om, at retsbeskyttelsen for det enkelte individ ikke vil blive svækket yderligere, men sågar vil blive styrket respektive genoprettet og bekæmpelsen af terror vil blive mere afbalanceret i forhold til menneskerettighederne generelt og herunder i forhold til privacy og persondatabeskyttelse. Danmark vil ikke være nogen undtagelse. Denne indstilling vil givetvis også blive fremmet af den kendsgerning, at den internationale terror vurderes at være aftagende fremover i takt med, at Al-Qaeda-netværket mister opbakning.

Som forekæmper for menneskerettigheder og privacy er der derfor rigtig god grund til at være optimist.

Se video med hele præsident Barack Obama´s tale nedenfor.   

 

 

EU´s databeskyttelsesdirektiv bør opdateres

   

The Rand Corporation, en uafhængig privat non profit organisation, har for nylig med The Information Commissioner’s Office (det engelske datatilsyn) som sponsor udarbejdet en rapport med titlen ”Review of the European Data Protection Directive”.

Der gøres opmærksom på i indledningen , at rapporten ikke nødvendigvis reflekterer The Information Commissioner’s Office holdninger. The Information Commissioner’s Office har spurgt et tværfagligt internationalt forsknings team, heriblandt repræsentanter for EU Kommissionen, under ledelse af Rand Europe om, at gennemgå styrker og svagheder ved EU´s databeskyttelsesdirektiv 95/46/EC (herefter benævnt ”direktivet”) og foreslå veje til forbedringer.

Direktivet kan betragtes som et unikt lovbestemt instrument til at understøtte udøvelsen af retten til privacy og regler for persondatabeskyttelse. Dets principper bliver mange steder anset som gyldne regler eller som en reference model for persondatabeskyttelse i Europa og andre dele af verden.

Selvom direktivets fleksibilitet hjælper med til at det kan være up to date, så bliver direktivets effektivitet undermineret af kompleksiteten af de kulturelle og nationale forskelle, som den skal omfatte. I de 13 år siden direktivet har været i kraft, er der sket dramatiske ændringer i verden i den måde persondata er tilgængelige, behandles og anvendes. På samme tid er offentligheden i høj grad blevet opmærksom på potentialet for at deres persondata kan blive misbrugt.

Rapporten konkluderer helt overordnet, at eftersom vi bevæger os hen imod et globalt internet samfund, vil direktivet, som det ser ud i dag, ikke være tilstrækkelig i længden. Mens direktivets vidt anerkendte principper vil forblive som et nyttigt front-end, bør de understøttes af en skadebaseret back-end for at kunne hamle op med de internationale datastrømme og globaliseringsudfordringen. Det er dog også almindelig anerkendt, at de nuværende ordninger stadig har nytteværdi. En hel del kan opnås ved en bedre implementering af de nuværende regler, for eksempel ved at skabe enighed om fortolkningen af en række centrale begreber og ved at ændre vægtningen i forbindelse med fortolkningen af andre.

Som det fremgår af rapporten, anses det for den værste løsning (for de fleste eksperter) at opgive direktivet i sin nuværende form, eftersom den har tjent og fortsat tjener som et incitament til at tage databeskyttelse alvorligt. Individets privacy påvirkes af en række overlappende drivers, herunder behovet for at behandle personlig information af sociale og økonomiske grunde, teknologisk udvikling og trends som internettets popularitet og globalisering. Udbredelsen af e-commerce og e-government er centreret på personlige oplysninger. Personer er ofte villige til eller kan overtales til at videregive persondata i forventning om at modtage økonomiske eller sociale fordele. Offentlige og private organisationer er glade for at give disse fordele, men for at kunne gøre det, skal de have tilladelse til lovligt at indsamle, overføre og behandle informationen. Personer er også begyndt at indsamle, forvalte og bruge persondata på tilsvarende måde, f.eks. via sociale netværkssites.

De interviews som er blevet gennemført i forbindelse med denne undersøgelse illustrerer, at forskelle i gennemførelsen af direktivet har været resultatet af et kompleks interplay af faktorer, herunder juridisk arvegods, kulturelle og historiske normer samt personlige og institutionelle karakteristika hos myndighederne.

Udfordringer

I en kontekst af en hastig teknologisk udvikling og globalisering, er et sæt af karakteristiske udfordringer blevet identificeret:

• Definere privacy – hvornår indvirker behandling af persondata på privacy og hvornår gør den det ikke; og hvor stærkt skal sammenhængen være mellem regler om databeskyttelse og privacy beskyttelse ?
• Risiko analyse – kan vi forudse hvor stor risikoen er ved at overlade personlige oplysninger til en myndighed eller organisation ?
• Individets rettigheder i relation til almenvellet – under hvilke omstændigheder vil privacy være underordnet samfundets behov, når man tager i betragtning den fundamentale betydning af privacy beskyttelse for udvikling af et demokratisk samfund som sådant ?
• Transparens – persondata er overalt, især online, og kan på grund af den teknologiske udvikling som ambient intelligence og cloud computing blive overordentlig vanskelig at spore og kontrollere. Hvordan kan vi være sikre på hvordan og hvor de bliver brugt ?
• Give valgmuligheder – mange services tilbydes kun såfremt tilstrækkelig persondata frigives, men såfremt vigtige services nægtes, når vi er uvillige til at supplere disse data, har vi så et reelt valg ?
• Ansvarstildeling (accountability) –hvem holdes i sidste ende ansvarlig og hvor går vi hen for at få oprejsning ?

Styrker og svagheder

Undersøgelsen identificerer en række styrker og svagheder i forbindelse med direktivet. De væsentligste styrker er:

• Direktivet tjener som reference model for good practice.
• Direktivet harmoniserer principper for databeskyttelse og muliggør til en vis grad et internt marked for persondata.
• Det princip-baserede framework tillader fleksibilitet.
• Direktivet er teknologi neutral.
• Direktivet har forbedret awareness om bekymringen for databeskyttelse.

De væsentligste svagheder er:

• Forbindelsen mellem konceptet for persondata og reelle privacy risici er uklar.
• Midlerne der sigter på at skabe gennemsigtighed af databehandlingen ved hjælp af bedre information og notifikation er inkonsekvent og ineffektiv.
• Reglerne for data eksport og overførsel til 3. land er forældet.
• Redskaberne for overførsel af data til 3. lande er besværlige.
• De enkelte Datatilsyn´s rolle i forbindelse med ansvarstildeling og håndhævelse er inkonsekvent.
• Definition af myndigheder/organisationer, som er involveret i behandling og forvaltning af persondata er overforenklet og statisk.
• Der er andre mindre svagheder som har sammenhæng med vanskeligheder i den praktiske gennemførelse.

 Anbefalinger

Rapportens team af eksperter har formuleret et sæt af praktiske rekommandationer med henblik på at få det meste ud af den gældende lovgivning samtidig med at foreslå en fremtidssikret reguleret arkitektur.

• Medlemslande, der faciliteres af EU Kommissionen, har behov for at enes om en effektiv fortolkning, implementering og håndhævelse af direktivet, herunder at opfordre til en risiko-baseret tilgang, med ikke-notifikation som den generelle regel snarere end undtagelsen, for at sikre at bindende virksomhedsregler (Binding Corporate Rules) lettere kan finde anvendelse for at legitimere data overførsel til 3. Lande, forbedre ansvarstildeling og hjælpe med til at databehandling lever op til krav om gennemsigtighed. EU Kommissionen bør forbedre effektiviteten af reglen om tilstrækkelighed ( af beskyttelsesniveaet for personoplysninger) samt facillitere brugen af alternativer som f.eks. aftaleklausuler og Binding Corporate Rules.
• Direktivet bør eksplicit inkluderes i listen over love som skal revideres i henhold til the Better Regulation agenda.
• Artikel 29 arbejdsgruppen bør arbejde frem mod at præcisere privacy normer og standarder, rollen for ”privacy-by-design” for nye teknologier og forretningsmodeller som støtter compliance.
• The London Initiative bør udvikle en almengyldig strategi for håndhævelse til brug for uafhængige tilsynsmyndigheder ved hjælp af et ikke-bindende samarbejdsaftale (Memorandum of Understanding).
• Artikel 29 arbejdsgruppen bør udvide kontakten til repræsentanter for erhvervslivet, civilsamfundet og NGO´er.
• Datatilsyn med rådgivning fra den Europæiske Tilsynsførende for Databeskyttelse (EDPS), bør opmuntres til at udvikle mere tilgængelige privacy policies, f.eks. sammenlignelig med modellen for Creative Commons  for ophavsret og licenser.
• Medlemslande bør arbejde sammen med forbrugerorganisationer med henblik på at indføre et system af lokale repræsentanter med henblik på at hjælpe personer med at udøve deres rettigheder samt medvirke til at aflaste datatilsynsmyndgheden.

Med henblik på at gøre europæisk governance arkitektur levedygtig i lyset af international data flows, anbefaler rapporten også, at den kommende 2009  Consultation overvejer en alternativ model, som er baseret på følgende:

1.   Definere  high level formål
2.   Definere globale ensartede privacy principper (“General Principles”) baseret på velkendte eksisterende instrumenter for databeskyttelse som f. eks.    i Den Europæiske Unions charter om grundlæggende rettigheder og Europarådets konvention nr. 108;
3.   Implementere værktøjer og instrumenter for at gennemføre disse, og
4.   Forudsigelige, effektive retshåndhævelsesmidler for at sikre ansvarsplacering, såfremt resultaterne ikke opnås eller principperne ikke respekteres.

Det vil indebære en revision af direktivet med henblik på at blive et instrument, som klart beskriver:

1.   Udbytte ud fra interessenters forventninger:

o Individer – at opretholde en klar og effektiv beskyttelse når som helst persondata bliver behandlet, herunder med hensyn til ansvarspligt for den dataansvarlige og hermed bidrage til beskyttelsen af privacy. At have et valg til at udøve signifikant kontrol over ens egne persondata, herunder at dele persondata med en betroet 3. Part, eller at kunne tilbageholde disse, men at være opmærksom på de implikationer dette har  i nutidens informationssamfund.
o Offentlige og private organisationer – at være i stand til at gore brug af persondata samt udlede en økonomisk eller samfundsmæssig værdi, så længe det sker i overensstemmelse med “General Principles”, især ved at databehandle i henhold til de fastsatte formål, samt sikre legitimitet for den pågældende aktivitet i medfør af de opstillede regler og at de vil blive draget til ansvar, såfremt reglerne ikke følges.
o Datatilsyn – at handle uafhængigt, rimeligt og fornuftigt i forhold til den offentlige og private sektor. Om nødvendigt at gøre brug af retshåndhævelse for at udvikle god praksis og for at sikre erstatning ved forvoldt skade.

2.   Ensartede globale principper for privacy beskyttelse:

o Legitimitet – definere hvornår behandling af persondata er acceptabel.
o Formålsbegrænsning – sikre at persondata  kun behandles i den udstrækning det er nødvendigt for at opfylde de formål, de er blevet indsamlet til. Yderligere brug forudsætter datasubjektets samtykke.
o Security og fortrolighed – et specifikt krav om at den registeransvarlige tager passende tekniske og organisatoriske forholdsregler.
o Transparens – at passende niveauer af gennemsigtighed sikres for datasubjektet.
o Medvirken af datasubjektet – sikre sig at datasubjektet kan udøve sine rettigheder effektivt.
o Ansvarspligt –  at de som behandler persondata bliver gjort ansvarlige for deres handlinger i henhold til de fastlagte  retsvirkninger.

For at sikre at de fastlagte principper gennemføres fordrer det iværksættelsen af en lang række initiativer, som f.eks.:

o Udarbejdelse af privacy policies
o Offentliggørelse af privacy statements og notifikationer
o Udnævnelse af privacy ansvarlige
o Udarbejdelse af adfærdskodeks (Codes of Conduct)
o Udarbejdelse af Corporate  Governance 
o Privacy rapportering af virksomheder og myndigheder
o Udarbejdelse af standarder
o Udarbejde en privacy mærkningsordning
o Udarbejde privacy konsekvensanalyser (privacy impact assessments)
o Udvikle privacy teknologier (privacy by design)
o Gennemføre målrettede informationskampagner

For at understøtte disse virkemidler er en effektiv retshåndhævelse nødvendig, herunder at indgå strategiske partnerskaber mellem datatilsyn og forbrugerorganisationer, især i lande med en stærk forbrugerkultur. Datatilsynets rolle vil herefter ændres henimod en mindre fokus på proces og formalia check, men i stedet sigter mod en mere effektiv retshåndhævelse og for at sikre ansvarlighed.

Ifølge rapporten viser den gennemførte forskning tydeligt, at privacy beskyttelsens succes eller fiasko i første række ikke afhænger af lovteksten, men om dem som skal håndhæve loven har de rette virkemidler.

Kommentarer

Rapportens ideer giver føde til eftertanke og en interaktiv debat mellem det politiske system, industrien og eksperter om hvordan man kan forbedre databeskyttelsen i Europa er altid nødvendig.

Det har længe været på tale at databeskyttelsesdirektivet trænger til et serviceeftersyn. Meget er sket siden 1995 og især efter 11. september 2001. Den teknologiske udvikling og globaliseringen ændrer hele tiden behovet for en effektiv databeskyttelse og privacy. Online sociale netværk, online forbrugeradfærdsdata, genetisk forskning er nogle af de emner som trænger til en mere specifik data- og privacy-beskyttelse samt europæisk for ikke at sige global harmonisering. Jeg er helt enig i betragtningen om, at databeskyttelsen bør være mere integreret med privacy og at disse begreber bør defineres klarere. 

Rapporten foreslår en række spændende initiativer med henblik på at fremme databeskyttelsen i Europa og jeg hilser debatten velkommen også i Danmark. Persondataloven, som bygger på direktivet, er på mange måder en god lov, men mange af de ideer, der lanceres i rapporten, kan givetvis være med til at finjustere loven.  Det bør dog ikke være usagt, at Datatilsynet under alle omstændigheder har behov for flere ressourcer for at kunne leve op til sine forpligtelser.

Lad mig i den sammenhæng anbefale forslaget om, at Datatilsynet indgår strategiske samarbejdsaftaler med diverse organisationer, f.eks. branche- og interesseorganisationer, Forbrugerrådet m.fl.

Som kick-off for en konstruktiv dialog og for at stimulere debatten kunne man forestille sig, at Datatilsynet arranger en workshop for organisationer, myndigheder, eksperter osv.     

I persondataloven er  den dataansvarlige defineret som “Den fysiske eller juridiske person, offentlige myndighed, institution eller ethvert andet organ, der alene eller sammen med andre afgør, til hvilket formål og med hvilke hjælpemidler der må foretages behandling af oplysninger.”  Efter min opfattelse bør man indføre en bestemmelse om, at enhver privat og offentlig organisation af en vis størrelse skal udpege en såkaldt dataansvarlig person. Denne person skal gennemgå en certificeret uddannelse  i databeskyttelse og privacy. Til sammenligning kan anføres, at flere europæiske lande har en uddannelse som Data Protection Officer, der er en beskyttet titel.  Uddannelsen kunne meget vel indgå i et videre meritforløb med eksempelvis informationssikkerhed, menneskerettigheder mm. herunder på bachelor/master niveau. 

Regeringen har en vision om, at 

Vi skal være et førende vidensamfund
Vi skal være et førende iværksættersamfund
Vi skal være verdens mest konkurrencedygtige samfund og
Vi skal skabe uddannelser i verdensklasse

Denne ambitiøse vision skal vi selvfølgelig også have os for øje, når det drejer sig om databeskyttelse og privacy.

Download hele rapporten her.

Verdensdag for pressefriheden

FN har siden 1993 erklæret d. 3. maj til at være  World Press freedom Day for at øge bevidstheden om betydningen af pressefriheden og minde regeringerne om deres pligt til at respektere og værne om retten til ytringsfrihed, som nedfældet i henhold til artikel 19 i verdenserklæringen om menneskerettigheder. Selvom pressefriheden er sat på dagsordenen i dag vil jeg gerne benytte lejligheden til at knytte nogle mere generelle bemærkninger til ytringsfriheden.  For uden ytringsfriheden er der heller ikke nogen pressefrihed.

Ytringsfriheden opleves af mange som en af de mest grundlæggende om ikke den mest betydningsfulde af alle frihedsrettighederne. Selvom menneskerettighederne kan have forskellig betydning for det enkelte menneske eller en regering, så er det imidlertid væsentligt at understrege, at alle de fundamentale menneskerettigheder er tæt forbundet med hinanden og kan hverken prioriteres eller ignoreres enkeltvis. Alle er lige vigtige.

I Grundlovens § 77 står der: “Enhver er berettiget til på tryk, i skrift og tale at offentliggøre sine tanker, dog under ansvar for domstolene. Censur og andre forebyggende forholdsregler kan ingensinde på ny indføres.” Ytringsfriheden eller pressefriheden er således ikke absolut, men begrænses  bl.a. af hensyn til andres liv og frihed og i forhold til andre personers privatliv (som bekendt også en af menneskerettighederne) eller ære (injurier). Det er ikke selve grænsen for ytringsfrihed der er afgørende, men hvilken type begrænsning der er tale om.

Ytringsfriheden er i de senere år blevet gjort til selve demokratiets kendetegn, men efter min opfattelse misbruges ytringsfriheds-begrebet af mange. Det er udmærket at debattere ytringsfrihedens og andre frihedsrettigheders omfang og begrænsninger, men i bund og grund burde vi alle føle en dyb respekt for ytringsfriheden og vide hvorledes vi hver især forvalter denne dyrebare rettighed. Naturligvis skal vi have ret til at ytre os om religion og ideer, holdninger og synspunkter af enhver art, for det er jo selvklart, at det jo ikke er de “stuerene” og politisk korrekte meninger, som har behov for beskyttelse af princippet om ytringsfrihed. Men vi skal altid nøje overveje vore ytringer, når de kan blive personlige. Der er ingen grund til at krænke,ydmyge, udstille eller hade andre mennesker, fordi de har en bestemt holdning eller dyrker en bestemt religion. De lovbegrænsninger og principper der findes skaber efter min opfattelse en udmærket balance mellem i og for sig to modstridende hensyn.

Filosoffen og teologen K.E. Løgstrup kommer i sin omtale af begrebet urørlighedszonen og talens åbenhed på glimrende vis ind på dette: ”Men går ikke også talens åbenhed imod respekten for urørlighedszonen?

Jo, det gør den, og det var ikke godt andet. Det er de modsat rettede tendenser, der holder liv i vor tilværelse og hindrer den i at stivne i forenklinger. (…) Jamen modsiger jeg ikke mig selv? Ikke mere end fænomenerne forlanger. (…) Vi er så tilbøjelige til at mene, at hvad der er modsat hinanden er uforeneligt med hinanden og søger at udrydde hinanden. Men det er langtfra altid tilfældet. Nok så ofte holder det, som er hinanden modsat, hinanden oppe. Det ene fænomen kan ikke undvære sin modsætning til det andet fænomen. Svinder modsætningen, så spændingen aflader, forfalder fænomenerne og bliver, hver for sig, til en karikatur af dem selv. Uden åbenhed bliver urørlighedszonen til tillukkethed, og vi bliver hinanden uvedkommende. (…) På tilsvarende måde går det med åbenheden. Uden respekt for urørlighedszonen bliver den til tankeløs og taktløs åbenmundethed.”  

Det er den offentlige debat som af sig selv sikrer en afbalanceret fri, dynamisk og samtidig ansvarlig ytringsfrihed. Såfremt den der ytrer sig overskrider denne  balance, vil han selv blive udsat for at blive krænket, ydmyget, udstillet eller lagt for had af andre mennesker og han risikerer at blive retsforfulgt.

Menneskerettigheder har ikke noget med politiske eller religiøse ideer, tro eller dogmer at gøre, men om det enkelte menneske som individ uden hensyntagen til oprindelse, situation eller behov. Det vil sige, at rettighederne knytter sig til selve det at være et menneskeligt væsen. Hver evig eneste dag skal der kæmpes for disse rettigheder og når der i forbindelse med et brud bliver sat et ansigt på èt bestemt menneske, så bliver menneskerettighederne lige pludselig utrolig nærværende og betydningsfulde. Vi kan i høj grad takke medierne for deres ihærdige afdækken af krænkelser af menneskerettighederne overalt i verden.

I dag får vi lejlighed til at fejre pressefriheden og forsvare medierne fra angreb på deres uafhængighed og samtidig ære de journalister, der har mistet livet under udførelsen af deres arbejde.

Privacy skal ikke hæmme men fremme internetbaserede sociale netværk

Sociale netværk er in globalt og Danmark er sammen med Canada, det land i verden med forholdsvist flest Facebook-profiler. 33 procent af befolkningen eller 1.779.380 i Danmark er aktive brugere af netværket (ifølge Politiken, januar 2009).

Der er ingen tvivl om, at internetbaserede netværk vil blive en integreret del af vor hverdag og det uanset om det er i forbindelse med arbejdet eller i fritiden. Og vi har kun set begyndelsen til en udvikling hvor det vi i dag oplever som real life vil blive sammensmeltet med den virtuelle verden. Vi vil opdage, at den måde vi indtil nu har opført os overfor hinanden på vil udvikle sig på en ny måde, hvor vi vil erkende, at vi ikke uden videre kan adoptere gammeldags omgangsformer til internettet. Definition af privacy vil ikke alene være et spørgsmål om at fastslå hvad der er personlige data, men også hvorledes f.eks.  ”det offentlige rum” og “den personlige integritet” fastlægges i forhold til arbejdsgiver, kollega, ven, barn, forældre og organisation.      

Det betyder så også, at vore traditionelle normer og værdier må tilpasses den måde vi interagerer socialt og det vil så også påvirke hele vor livsførelse i fremtiden. Det er mit udgangspunkt, at internettets potentiale er den største demokratiske nyskabelse nogensinde. Retten til internetadgang skal derfor fastholdes for det enkelte menneske. Men internettet stiller samtidig nye udfordringer til sikkerhed og beskyttelse af privacy. Disse udfordringer er i første omgang komplicerede fordi de forudsætter nytænkning. Nytænkning som afbalancerer netværkets sammenhængskraft, engagement og innovation og beskyttelsen af den enkeltes privacy og frihedsrettigheder baseret på fuld brugerkontrol.

Man kan tilgå problemet ud fra 3 niveauer.

etisk
lovgivningsmæssigt og
teknologisk

Lovgivning er sikkert nødvendig og både persondataloven så vel som markedsføringsloven regulerer allerede i dag i vidt omgang de sociale netværk for så vidt angår Danmark, men lovens jurisdiktion og retshåndhævelse kan være usikker. Derfor vil en gennemgribende og ikke mindst effektiv lovgivning kræve et internationalt regelsæt. Om de juridiske aspekter i relation til FaceBook henvises til et tidligere blogindlæg af Martin Jørgensen, cand. jur. ,Senior Consultant, Deloitte/ Security & Privacy. Teknologiske løsninger som f.eks. “opt in”- mekanismer eller PET (Privacy Enhancing Technologies) kan anbefales, men en optimal udnyttelse forudsætter global tilslutning. Sidst men ikke mindst vil udvikling af såkaldte etiske adfærdskodeks være en, efter min opfattelse, udmærket metode til at sikre en effektiv forbrugerbeskyttelse, der samtidig synes at være tilstrækkelig fleksibel til at kunne tilpasse sig den pulserende udvikling af internettet. Adfærdskodeks har så også den fordel at de ikke alene vil være baseret på eksisterende national lovgivning, men vil også kunne gå et skridt videre og samtidig kunne fastsætte teknologiske kriterier for privacy.

Adfærdskodeks (code of conduct) er desuden en god ide, fordi alle, som tilslutter sig, har en interesse i leve op til retningslinjerne. Om der derudover skal indføres en eller anden form for kontrolmekanisme kan imidlertid ikke udelukkes.

Arbejdsgivere følger med i medarbejdernes sociale netværk, og det er kommet frem, at ansatte er blevet fyret på grund af deres online aktiviteter.  De tider er forbi. hvor du vil kunne slippe af sted med at lyve, hvor du opholder dig, hvem du er sammen med eller hvad du foretager dig, såfremt der bare er én tilstede, som har en kameramobil og en FaceBook profil. Og når dine arbejdskollegaer tilføjer dig som ven på dit sociale netværk, er det ikke sådan lige til, at chatte om alle de tossede ting du foretog dig lørdag aften. Sådan oplever mange det i dag. Men behøver det at være sådan ?

Læg hertil, at det vil være naturligt at antage, at de fleste arbejdsgivere frygter en overdreven brug af online sociale netværk, som yderligere vil medvirke til en øget overvågning og/eller begrænsning af adgangen til internettet. Således viser en survey fra marts 2008 af det engelske advokatfirma Charles Russell i samarbejde med nyheds-sitet Personnel Today med deltagelse af 220 engelske HR direktører, at 69% af virksomhederne ønsker mere kontrol med brugen af Internettet. Arbejdsgiverne er bekymret for, at personalet spilder deres tid på hjemmesider i løbet af dagen, hvilket kan svække produktiviteten og betyde en øget sikkerhedsrisiko, fordi data deles eksternt.

I undersøgelsen advarer nogle HR direktører imod et totalt forbud mod brug af sociale netværk, fordi det vil skade medarbejderens engagement. Således udtales det, at “ved at behandle vores medarbejdere som voksne giver det os mulighed for at have åbne diskussioner om, hvordan balancen mellem arbejdsliv og det at være social i arbejdstiden skal være”

Hvordan vil arbejdsgiverne reagere ifølge undersøgelsen ?

50% vil begrænse personlig brug af internettet til frokostpausen
33% vil overveje et totalforbud
70% vil overveje disciplinære foranstaltninger, hvis de opdager upassende fotos på online sociale netværk, som  identificerer arbejdsgiveren
25% vil søge efter online sociale netværk som et ansættelses-værktøj
90% vil ikke søge efter upassende kommentarer på online sociale netværk

At problematikken også er yderst relevant i Danmark viser en aktuel sag hos Nordjyllands Politi, hvor 12 betjente har været medlemmer af Facebookgruppen ‘Ryd 1000fryd’, jfr. artikel i Politiken Chefen må blande sig i din Facebook.

Der har især været fokus og debat om børns sociale netværk og det har været fremme at indføre forskellige teknologiske løsninger til beskyttelse af børn, når de er online, f. eks. ved at indføre en “privacy lås”.

Selv for ansvarsbevidste forældre, er grænsen mellem det at være social, at snage og bryde privatlivets fred som oftest en gråzone.

Lad mig indledningsvis pege på en engelsk undersøgelse offentliggjort af  Timesonline i april 2008 og foretaget af Ofcom, en uafhængig engelsk tilsynsmyndighed for kommunikation. Her viser undersøgelsen, at 2 1/2 million børn mellem 8 og 17 har oprettet en profil på et socialt netværk. Undersøgelsen fremhæver, at forældre ikke er opmærksomme på, at dårlig sikkerhed betyder, at omkring fire ud af ti personlige sider er åbne for alle.

Undersøgelsen fastslår, at selv om de tre vigtigste sociale netværk, Bebo, FaceBook og MySpace, påstår at have en minimums aldersgrænse på 13 eller 14, så siger 1/4 af alle børn med internetadgang i alderen mellem 8 og 11, at de har en side på et social netværk. Undersøgelsen viser også, at 33% af forældrene gik med til ikke at opstille regler for deres børns brug af online sociale netværk, mens 43% af børnene har sagt, at deres forældre havde undladt at angive nogen regler for deres brug af online sociale netværk. Noget kunne hermed tyde på, i alt fald efter den engelske undersøgelse, at alt for mange forældre ignorerer de risici der er forbundet med disse websteder.

Frygt for børns sikkerhed fremhæves som en voksende bekymring, herunder tilfælde af opmuntring til selvmord, mobning og pædofili.

For at imødegå problemet har det engelske indenrigsministerium i 2008 offentliggjort en frivillig adfærdskodeks for sociale netværk. Bebo, MySpace og FaceBook er enige om, at når børn under 18 opretter en profil vil være omfattet af en høj standard indtilling for privacy beskyttelse.

I et sammendrag fra konferencen Privatliv på profilen om borgernes adfærd på online sociale netværkstjenester d. 11 november 2008 arrangeret af It-sikkerhedskomitéen, blev der bl.a. efterlyst klarhed over den retstilstand, der gælder for udbydere og brugere. Der blev også stillet spørgsmål om forbrugerlovgivningen er på niveau med moderne krav til it-sikkerhed, og om der er behov for en bedre beskyttelse af borgernes privatliv. Desuden blev der udtrykt ønske om at få en afklaring af, i hvilket omfang dansk lovgivning kan håndhæves overfor online sociale netværkstjenester, der retter sig mod et dansk marked og danske brugere.

Det kom også frem, at der hvor der mangler regler, vil der opstå erfaringsbaseret kodeks for god etik og moral. Det ser man også i forhold til brugerne på online sociale netværkstjenester, ikke mindst blandt børn og unge. På netværkstjenesterne holder brugerne øje med hinanden og informerer tjenesteadministrator, som det fremgår af It- og Telestyrelsens kommentar.

Forbrugerrådet har taget et godt initiativ og offentliggjort Gode råd til facebookbrugere.  Forbrugerrådet har imidlertid i snart et halvt år peget på, at FaceBook overtræder den danske persondatalov, men medgiver at et EU indgreb er nødvendigt. En nylig undersøgelse af Forbrugerrådet viser, at  Brugerne er utilfredse med beskyttelsen på Facebook.

Lad mig først slå fast, at erfaring fra udlandet viser, at det vil være både praktisk og juridisk umuligt helt at afskære medarbejderes brug af sociale netværk.  Det vil efter min opfattelse også være tåbeligt. Selvfølgelig bør man ikke bruge unødig tid på sit arbejde på internetbaerede sociale netværk, men de kan selv for en virksomhed tjene en legitim forretningsmæssig generering og netværkssamarbejde udovder at udvikle medarbejderens trivsel og engagement.

Det er min opfattelse, at det vil være en fordel for både arbejdsgiver og medarbejder, at en offentliggjort adfærdskodeks fastsætter retningslinjer for brug af sociale netværk. En adfærdskodeks demonstrerer et etisk ansvar ved at tage stilling til klart definerede problemstillinger.

Også i forhold til forældre og børn giver det god mening at anbefale en adfærdskodeks og man kan udmærket  tage udgangspunkt i den engelske adfærdskodeks som viser afprøvede og fornuftige metoder til at holde sig sikker online og som kan udfylde et muligt gab mellem lovgivning og konkret praksis. En adfærdskodeks vil under alle omstændigheder være et fornuftigt første skridt, fordi det uden tvivl vil være kompliceret at lovgive om online sociale netværk, fordi det ville være meget vanskeligt at skelne dem fra andre websteder.

Så vidt så godt. Imidlertid består der en opgave, som antydet indledningsvis, i klart at definere privacy beskyttelsen på online sociale netværk. En netop offentliggjort artikel i Berlingske Tidende Nej tak til forældre på Facebook påpeger dette på glimrende vis med nogle interessante betragtninger af professor  Niels Ole Finneman.

EU-lovgivning om online-annoncering på vej

Dansk Privacy Netværk omtalte i februar måned en rapport fra Den amerikanske Federal Trade Commission om brug af online sporing og forbrugeradfærdsdata i reklameøjemed og anbefalede på den baggrund, at man i Danmark undersøgte behovet for at indføre en adfærdskodeks.

Nu har Meglena Kuneva, EU-kommissær for forbrugeranliggender, i en tale for erhvervsfolk og analytikere i Bruxelles d. 31. 3. signaleret nye regler for at bekæmpe profilering af internetbrugere og krænkelse af privacy i forbindelse med markedsføring. Meglena Kuneva anfører, at persondata er blevet ” internettets olie og den nye valuta i den digitale verden”. Hun advarer, at internetbrugeres privatlivs-rettigheder bliver misbrugt, når personlige oplysninger  indsamles og leveres til annoncører, der målretter reklamer til personer uden at de er klar over det. ” Baseret på kommerciel kommunikation  tegner world wide web til at blive the world wild west. Det kan blive meget skadeligt. Forbrugernes rettigheder skal tilpasses teknologien, ikke knuses af den. Den nuværende situation med hensyn til privatlivets fred, profilering, og målretning er ikke tilfredsstillende.” Kommissæren skitserede den europæiske lovgivning om beskyttelse af privacy, om kommercielle kontrakter og om modvirkning af  diskrimination, og oplyste, at reglerne ikke holder trit med med tempoet i udviklingen af internettet.

Hun opfordrer online reklamebranchen til at  komme med en frivillig adfærdskodeks for at beskytte forbrugernes privacy, men gør det samtidig klart, at EU sandsynligvis vil blive nød til at lovgive på området for at modvirke misbrug. Mængden af personlige data, der indsamles på internettet, vokser eksponentielt, og bliver i stigende grad brugt til kommercielle formål ved at spore brugeres internetvaner ved hjælp af cookies, og ved at gøre oplysningerne tilgængelige for individuel profilering og målretning af forbrugerne, som hun udtrykker det.

Eftersom den personlige annoncering er tilpasset den enkeltes interesser og online shopping vaner, ” bør der nu udvikles værktøjer, som afvejer erhvervslivets og forbrugernes interesser”, siger Kuneva.

Den bulgarske kommissær tilføjer, at hun har bestilt forskning i brugen af internettet, som viser, at personer under 25 år og som er dem, der er mest vant til at bruge internettet, også er dem, som er mest mistænksomme og sammenlignede deres brug af internettet, som når man drikker, man ved er en smule forgiftet. ”Vi vil ikke tillade en sådan markedssituation eksisterer for vand, kosmetik eller legetøj” siger hun.

Omkring 80% af unge internetbrugere tror, at deres personoplysninger bliver delt med tredjeparter og brugt uden deres viden. “De har ret,” siger Kuneva. “Den nye virkelighed er, at forbrugerne betaler for tjenester med deres personlige data og deres eksponering for annoncer.” Hun lægger op til den samme fairness og gennemsigtighed, som gælder for kommercielle kontrakter. “Børn og unge er særligt sårbare over for de markedsføringsstrategier for markedsføring, der anvendes af online-annoncører, som også vil være i stand til at udnytte de privilegerede oplysninger om enkeltpersoner med henblik på forskelsbehandling. ” Den nuværende lovgivning forbyder annoncer, der opfordrer børn til at bestorme deres forældre, men vi siger ikke noget til annoncer, der beder dem om, at bestorme deres venner”,  sagde Kuneva.

Denne udmelding fra EU kommissær  Meglena Kuneva, som indeholder mange gode pointer, bør nu få branchen til at reagere før det er for sent. Det vil alt andet lige være bedst om branchen selv kan blive enige om en adfærdskodeks, i stedet for en lovgivning, som ofte vil blive rigoristisk og bureaukratisk.

I øvrigt henvises til en nylig rapport In Defense of Data: Information and the Costs of Privacy, som er udgivet af The Technology Policy Institute, der er en kommerciel tænketank. I rapporten anføres det,  at der ikke foreligger detaileret information om fordelene ved mere privacy og at privacy-fortalere ignorerer de omkostninger og trade-offs (mindre information), som er forbundet med øget privacy. Rapportens fokus på fordelene ved brug af forbrugerbestemte adfærdsdata, er relevant og argumenterne bør indgå i overvejelserne om hvordan en hensigtsmæssig regulering, enten som adfærdskodeks eller lovgivning, bør være. Rapporten synes imidlertid at overse den væsentlige pointe, at forbrugertillid er en essentiel driver for væksten i det digitale marked og at tilliden i høj grad forudsætter gennemsigtighed og valgfrihed, jfr. således f. eks. rapporten Digital Confidence – Securing the Next Wave of Digital Growth.