Danmark bør gå i front med CSR-innovation i menneskerettigheder


Danmark og CSR

I Forsk2015 kataloget (maj 2008), der identificerer og prioriterer Danmarks strategiske forskningstemaer, fremhæves virksomhedernes evne til at innovere som en central udfordring og at en strategisk forskningsindsats skal tilvejebringe et forbedret videngrundlag for virksomhedsledere, medarbejdere og politikere omkring den måde, hvorpå innovationsprocesser ledes, organiseres og fremmes bedst muligt. Målet er at bringe Danmark op blandt de mest innovative lande i verden.

Regeringen har i sin handlingsplan for virksomheders samfundsansvar (maj 2008) sat sig et visionært mål om, at udbrede forretningsdrevet samfundsansvar blandt både store og mindre virksomheder.

Om forretningsdrevet samfundsansvar foreslår regeringen for eksempel, at virksomhederne kan udvikle nye produkter eller ydelser, der indeholder en social eller miljømæssig dimension.

I forbindelse med et af de fire indsatsområder i handlingsplanen om udbredelse af forretningsdrevet samfundsansvar vil regeringen bl.a. øge rådgivningen om innovation og samfundsansvar til små og mellemstore virksomheder i de regionale væksthuse.

I tilknytning til denne aktivitet har Center for Samfundsansvar netop stået i spidsen for et nordisk projekt om CSR-drevet innovation, der har til formål at støtte en innovationsproces, der med udgangspunkt i sociale eller miljømæssige hensyn bidrager til udvikling af en service eller et produkt, der er økonomisk rentabelt samtidigt med, at det gavner medarbejdere, miljø eller samfund på nye måder.

Endvidere har Europa-kommissionen med den “Europæiske Alliance for CSR” til hensigt at medvirke til at få de europæiske virksomheder til at acceptere Corporate Social Responsibility og at øge støtten til og anerkendelsen af CSR som et bidrag til en overordnet bæredygtig udvikling og til Europæisk vækst og beskæftigelse. Alliancens medlem- mer har bl.a. identificeret et prioritetsområde baseret på samfundsmæssige behov, at fremme innovation inden for bæredygtig teknologi, produkter og services samt at skabe innovation på miljøområdet med specifikt fokus på at integrere den miljømæssige nyttevirkning og energibesparelser i produkt- og service udviklingsprocessen.

Danmark og IKT

Det fremgår ligeledes af FORSK2015 kataloget, at visionen er, at Danmark i 2015 er ledende inden for udvikling af nye innovative IKT-baserede produkter og services samtidig med, at samfundets behov og den generelle IKT udvikling i højere grad sammentænkes. En central passage i kataloget er følgende: ” Der vil i en række sammenhænge også være behov for at indtænke emner som sikkerhed, pålidelighed, tryghed og privacy i forskningen.”

I 2008 rangerer FN’s E-Government Survey Danmark blandt de øverste to lande i offentlig e-parathed kun overgået af USA. Endvidere er Danmark placeret blandt de fem første lande på globalt plan i indeks om e-parathed (EIU 2008). Hertil kommer, at  EIU World Investment Prospects anser Danmark for at have det mest erhvervsvenlige miljø i perioden 2007-2011.

Europa-Kommissionens Digital Competitiveness Report (august 2009) viser, at Danmark er blandt de bedste nationer for de fleste i2010 indikatorer og er en klar frontløber i udviklingen af informations-samfundet. Med en handlingsplan for grøn IT lanceret i 2008, er Danmark også i front med hensyn til miljøvenlig anvendelse af IKT.

Selvom Danmark på det seneste på visse punkter har mistet lidt af sin førerposition, så vidner tal som disse om, at Danmark er en verdensklasse IKT-klynge, og at regionen besidder et enormt forretningspotentiale for internationale IKT-aktører. Danmark har en stor koncentration af virksomheder, der arbejder inden for IKT-området, og den største IKT-klynge i Danmark er placeret i det Storkøbenhavnske område og spænder over den sydlige del af Sverige.

Denne grænseoverskridende IKT klynge har en arbejdsstyrke på 100.000 IKT-medarbejdere og fungerer som en fremragende indgang til den skandinaviske IKT-industri.

Danmark og CSR-IKT innovation

En virksomheds samfundsansvar drejer sig også om at respektere og fremme de grundlæggende menneskerettigheder. 6 af FN´s 10 principper for samfundsansvar for virksomheder (Global Compact) fremhæver, at virksomheder bør støtte og respektere internationalt erklærede menneskerettigheder; samt sikre, at den ikke medvirker til krænkelser.

Imidlertid er der ikke den store fokus på at udvikle nye produkter eller serviceydelser, der indeholder en menneskeretlig dimension. CSR-innovation og design i menneskerettigheder kan på samme måde som et  miljømæssigt engagement være knyttet til en virksomheds forretning og forretningsmodel, til processer og teknologier og til bestemte produkter og services med henblik på at fremme en udvikling af de grundlæggende menneskerettigheder.

Som udgangspunkt vil der kunne opnås en særlig synergieffekt ved at fokusere på  menneskerettigheder, som har en særlig betydning for IKT området, såsom informations- og ytringsfriheden, retten til at deltage i teknologisk udvikling samt retten til privatlivets fred.

CSR-innovation og design i menneskerettigheder (eller CSR-innovation and design in human rights) vil ikke alene kunne være rettet mod løsning af bestemte menneskerettighedsmæssige problemer båret af et samfundsmæssigt hensyn men også være specifikt markedsorienteret. Et paradigmeskift med forretningsmodeller, teknologier, samarbejdsmodeller, idéskabelse og iværksætteri i et menneskeret-tighedsmæssigt perspektiv vil befordre en ny almengyldig og fundamental tilgang til ansvarlig innovation.

Den ekspansive udvikling af overvågningsteknologier som f.eks. RFID, biometri, GPS, CCTV, MEMS, smart ID-kort osv. især efter 11/9, har samtidig medført ny og spændende forskning og udvikling i privacy enhancing technologies (PET). Disse PET løsninger er et sammenhængende system af IKT instrumenter som beskytter privacy ved at eliminere eller reducere persondata eller ved at forhindre unødvendig og/eller uønsket behandling af persondata uden at miste datasystemets funktionalitet, Business casen viser, at der kan designes teknologier til beskyttelse af privatlivets fred, som jo er en basal menneskeret (Menneskerettigheds-erklæringens artikel 12).

CSR innovation og design i menneskerettigheder skal være med til at udvikle nye teknologier ( f.eks. ambient intelligence i sammenhæng med embedded system design), videnskoncepter og videnskompetencer. Mange relevante nøgleteknologier eksisterer allerede, men skal videreudvikles og forfines til specifikke formål i en ny kontekst (teknologisk konvergens) i sammenhæng med udvikling af nye forbrugerorienterede markedsmekanismer. CSR innovation and design in human rights er ikke kun en ny trendy public relation idé, men et helhedsorienteret, nytænkende og skelsættende koncept med en forretningsmæssig forankring, som skal bidrage til at eliminere den tilsyneladende dikotomi mellem profit og etiske principper ved at gøre investeringer i human rights profitable i både snæver og bredere forstand.

Danmark er verdens mest innovative land med hensyn til virksomheders samfundsansvar (CSR) også kaldet samfundsansvarlig virksomhedsinnovation eller CSI. Der er mange gode grunde til at fastholde og udbygge denne førerposition ved at udnytte etablerede ressourcer, kompetencer og synergieffekter til at satse på det hidtil ret oversete aspekt af CSR, der synes at have et signifikant globalt potentiale. Om brugerdreven innovation og demokratisk teknologiudvikling, der ligger i forlængelse af CSR, henvises til et blogindlæg om biometri.

Forskellige initiativer med en række aktører vil derfor blive undersøgt i den kommende tid.  Eventuelt interesserede er velkommen til at rette henvendelse til Dansk Privacy netværk´s sekretariat.

EU-ekspertrapport anbefaler en grundlæggende tilgang til databeskyttelse


Europa-Kommissionen, Generaldirektoratet for Retfærdighed, Frihed og Sikkerhed har netop offentliggjort en ekspert-rapport der på ny understreger, at en revision af EU´s persondatadirektiv skal leve op kravene i henhold til den europæiske menneskerettighedskonvention og medlemsstaternes forfatninger. Det fremhæves i rapportens resumé, at persondatadirektivets principper, bestemmelser og kriterier er en del af de grundlæggende menneskerettigheder, og at de har bestået sin prøve, selvom de i visse henseender har et behov for at blive styrket.

Rapporten fremhæver også det i den løbende debat tidligere fremførte argument, at persondatadirektivet til trods herfor  ikke har været tilstrækkelig implementeret og håndhævet og det er den teknologiske udvikling, der er årsag hertil,omend visse nye teknologier kan medvirke til en bedre gennemførelse af direktivet.

Eksperterne mener, at databeskyttelseslovgivningen i EU derfor fortsat bør være baseret på principperne i direktivet og at implementeringen af disse bredt formulerede standarder skal præciseres, hvorimod der ikke er behov for en egentlig revision. Tværtimod udtrykker rapporten, “at direktivet reflekterer europæiske og nationale standarder for forfatnings- og menneskerettigheder, som der er et tvingende behov for at få genbekræftet”. Herefter opstilles en række anbefalinger som følger:

  • Databeskyttelsesprincipperne bør umiddelbart udstrækkes til alle områder, som før har været omfattet af de forskellige EU søjler, herunder søjle 3 aktiviteter [kriminalitetsbekæmpelse]
  • Standardindstillingerne for sociale netværkstjenester bør være privacyvenlige
  • Klarere regler for hvad der er gældende lovgivning for virksomheder inden for og uden for EU/EEA
  • Mere harmonisering baseret på fortolkninger og formulering af “best practice” af WP29 i konsultation med EU-Kommisisonen
  • Mere samarbejde med ikke-EU-lande
  •  Behov for at sikre en langt større overensstemmelse med eksisterende lovgivning ved hjælp af PIA´s, privacy audits eller privacy seals
  • Behov for at styrke individets rettigheder og retshåndhævelsesmidler (muligvis sammen med eller gennem relevante  NGO´ere) og
  • Behov for at videreudvikle supplerende og alternative foranstaltninger (og samtidig forstå indbyggede begrænsninger og praktiske restriktioner for sådanne foranstaltninger) på baggrund af realistiske og tekniske undersøgelser

Hovedbidragene til rapporten er forfattet af  Dr. Ian Brown, University College London og professor Douwe Korff, London Metropolitan University. Specielle ekspertbidrag er bl.a. professor Chris Hoofnagle, University of California og professor Peter Blume fra Københavns Universitet.  Professor Ross Anderson, University of Cambridge og privacy strategist Caspar Bowden, Microsoft har blandt andre fungeret som rådgivere.

Rapporten er et vægtigt stykke arbejde, hvis anbefalinger er i harmoni med tidligere bidrag fra andre eksperter og som efter min personlige opfattelse fuldt ud kan tiltrædes.  Rapportens perspektivering i relation til de europæiske forfatnings- og menneskerettigheder er god og væsentlig.

Af rapportens mange interessante temaer og vurderinger vil jeg alene knytte nogle yderligere kommentarer til teknologiaspektet, netop fordi rapportens forfattere fremhæver, at   spørgsmålet om datasikkerhed også hænger sammen med spørgsmålet om de såkaldte privacy enhancing technologies (privatlivsfremmende teknologier). Disse databeskyttelsesværktøjer bør klart være en lovmæssig integreret del af  defaults for opsætning af parametre til internet brug.

Rapporten fremhæver eksempelvis, at det franske datatilsyn, CNIL i lang tid har anbefalet indførelsen af privacy enhancing technologies og har et tæt samarbejde med erhvervslivet. Ifølge fransk lovgivning har CNIL nu mulighed for at fremkomme med en udtalelse om en bestemt PET-løsning overholder gældende lov og yder reel beskyttelse. På denne måde kan CNIL “blåstemple” bestemte produkter (eller tilbageholde en sådan godkendelse).

Det er en udmærket ide at overveje nedsættelsen af et særligt organ af databeskyttelsesmyndigheder i EU/EEA (European Economic Area) i tæt samarbejde med artikel 29- arbejdsgruppen og EU-Kommissionen vedrørende spørgsmål om European Privacy Seal, europæiske adfærdskodeks og de såkaldte Binding Corporate Rules (BCR). ekspertholdet har her ladet sig inspirere af den praksis der har udviklet sig i den tyske delstat Schleswig-Holstein, hvor det anerkendte Unabhängiges Landeszentrum für Datenschutz (ULD) er koordinator på EuroPriSe Project  (The European Privacy Seal). Der er endnu ikke blevet certificeret eksperter (teknisk/juridisk) fra Danmark.

Rapportens undersøgelse af de potentielle fordele og begrænsninger og konstateringen af det manglende markedsgennembrud for PETs er yderst relevant. Løsningsforslagene er et centralt punkt i rapporten. Jeg er helt enig i, at yderligere lovgivning, f.eks. et krav om notifikation og straf ved databrud [der foreløbig er på vej i EU gældende for telekommunikationsbranchen], helt sikkert vil medvirke til at gøre det økonomisk attraktivt at beskytte privacy. Ligeledes er det sund fornuft at fremme PETs i forbindelse med offentlige udbudskrav, udstedelse af privacy-certificeringer (privacy seals) samt indførelsen af en regel om, at bevisbyrden for databeskyttelse placeres hos den, der bedst er i stand til at sikre databeskyttelsen i stedet for at sende regningen videre til forbrugeren.

Desuden vil jeg gerne fremhæve, at standardiseringsarbejdet indenfor privacy forceres og udbygges. For så vidt angår en lov om notifikation ved databrud er det min personlige opfattelse, at en sådan regel skal være obligatorisk for alle ( virksomheder, organisationer og myndigheder) og at man bør vægte notifikationspligten højere end de pønale hensyn.  En kombination af nye lovkrav, selv- eller medregulering og supplerende mekanismer synes at være vejen frem.

Det står efterhånden klart, at det danske datatilsyn bør have tilført yderligere ressourcer og teknisk ekspertise til en mere aktiv rolle. I den forbindelse har jeg selv ved flere lejligheder foreslået et nærmere samarbejde mellem en række aktører og Datatilsynet, præcis som ekspertrapporten plæderer for (på linje med Rand-rapporten fra sidste år).  På dette sted giver det også mening på ny at opfordre relevante private organisationer og erhvervslivet til aktivt at arbejde for udbredelsen af diverse adfærdskodeks, som persondataloven åbner mulighed for.

Download den endelige rapport her. Som bilag til rapporten er udfærdiget 2 arbejdsdokumenter, henholdsvis  The challenges to European data protection laws and principles og  Data protection laws in the EU: The difficulties in meeting the challenges posed by global social and technical developments. Rapporten omfatter også en række landestudier, herunder af Danmark, som professor Blume har stået for.  Der findes også et sammendrag af rapporten.

The Honourable Justice Michael Kirby appointed honorary member of Dansk Privacy Netværk


The Hon Michael Kirby AC CMG, former Justice of the High Court of Australia, serving from 1996 to 2009, has been appointed honorary member of Dansk Privacy Netværk (Danish Privacy Network). In his role as honorary member, Michael Kirby will advise the network on international privacy and human rights issues and joining Dansk Privacy Network in promoting the importance of privacy and data protection in a globalized world.

“Michael Kirby´s dedication and activism has over a sustained period of time made significant impact on human rights and privacy and for this he has been recognized worldwide.  We are truly honored to have the pleasure to work with  Michael Kirby in the future”, said Frederik Kortbæk, LL.M. and coordinator of Dansk Privacy Netværk.

As a contribution Michael Kirby is pleased to post one of his two speeches he gave at the OECD in Paris in March 2010, on the 30th anniversary of the OECD Guidelines on Privacy as follows:

THE OECD REVISITED
One does not normally think of the OECD as a sentimental organisation, afflicted by nostalgia.  It was therefore a surprise to be invited back to the Chateau de la Muette to join in this reflection on the 30th anniversary of the adoption of the OECD Guidelines on Trans-border Data Flows and the Protection of Privacy of 1980 (the “Guidelines”).

I chaired the expert group established under DSTI/ICCP which was tasked with preparing the Guidelines in less than two years.  The final meeting that adopted the Guidelines and recommended them, ultimately to the Council of the OECD, took place in this room of the Chateau.  Before the magnificent new conference centre was built, adjoining the Chateau, we did not ordinarily meet in such congenial venues.  Normally, we were consigned to a large meeting room in a dungeon in the Secretariat building.  This isolated us from the beauties of Paris and civilisation, we had no alternative but to concentrate on our work and to get it completed as quickly as we could.  When we concluded our work, it was like a scene from Fidelio.  We were like prisoners, released into the sunlight of the Chateau, photographed on its steps and collected under the flags of the OECD nations, then fewer in number than is the case today.  Essentially, at that time, the OECD was confined to the democratic market economies of Western Europe, North America, Japan and Australasia.  So I return with pleasure to this room that is full of memories of the remarkable personalities who worked to achieve the success that the Guidelines have undoubtedly proved to be.

I am specially glad to return to this room and the meeting of the Working Party on Information Security and Privacy (WPISP), chaired by a fellow Australian, Keith Besgrove.  I am not sure how he was elected to his high office.  Indeed, I am not sure how that privilege fell to me.  I was sent to Paris in 1978 because the Australian Law Reform Commission, of which I was then Chairman, was mandated by the Australian government to prepare new federal laws on privacy protection.  Dialogue with experts from countries with similar legal and economic circumstances was considered useful to our task.  That is how I made it to Paris.  I can only assume that my election to chair the expert group came about because the member countries outside Western Europe were deeply suspicious of the bureaucratic tendencies of the European culture.  For their part, the Europeans could not tolerate the idea of a non-European chair for the expert group, at least not one from a nation of significant economic and political power.  I presume that that is how the choice fell to me.  Perhaps like Chairman Besgrove, it is best not to enquire too closely as to how the electoral process in OECD delivered our respective names.

A trans-continental committee of experts thus began its enquiry 32 years ago.  It was stimulated by outstanding assistance from the OECD Secretariat, led in this instance by Mr. Hanspeter Gassmann, assisted by Professor Peter Seipel (Sweden) as consultant, and by Miss Alice Frank, also of the Secretariat.  I pay tribute to the assistance of the OECD officials.  Since 1980, I have worked in many United Nations and international organisations.  None can boast of a more talented team of officials than the OECD.

THE INTERNATIONAL BACKGROUND
Why did the OECD establish such a group?  This is not generally an institution devoted to human rights concerns, such as the protection of individual privacy.  Generally speaking, basic rights, the rule of law and democratic governance are broad assumptions upon which the OECD operates for the provision of technical advice and assistance, mainly on economic and technological issues.  There have been exceptions, such as the important work of the Organisation to confront international corruption and to address issues of nuclear power and climate change.  But, ordinarily, this is not a house concerned with human rights protection.  That task is generally left to other bodies, including UNESCO, whose seat is established on the other side of this city.  So why the sudden interest of the OECD in protecting privacy in the context of trans-border data flows (TBDF)?

The answer to that question can be derived from the historical background to the establishment of the expert group and the commonalities of the technology that lay behind the need for international guidelines.  So far as the background was concerned, it can be traced to the recognition, after the Second World War, in human rights instruments such as the Universal Declaration of Human Rights (Art.12), of the basic right to privacy.  Elaborations of that notion followed in the 1960s in academic writing (such as that of Alan Westin, Paul Sieghart and Professors Rule and Cate of the United States), and in official reports (such as those of Kenneth Younger (UK) and Bernard Tricot (France)) addressed to the particular problems of privacy in the context of the new technology for automated data processing.  The capacity of this technology to expand and expedite the analysis of personal data and to create connections not otherwise perceived was recognised as presenting new problems for privacy as that notion was to be understood in its wider, modern sense.  That recognition led to initiatives in various international bodies that provided the background for the OECD’s work:
 In the Nordic Council in 1971, where the Scandinavian member states of the OECD built upon the early work on legislation for privacy protection in Sweden, beginning in 1969, reported in 1972 and resulting in one of the first data protection laws in 1973;
 The Council of Europe, in turn, drew upon the foregoing in the development of ministerial resolutions in 1973 and 1974 and in the design of a Convention (No.108) addressed to the various consequences of automated personal data;
 The Commission of the European Economic Community (as the European Union was then named) also began work that would ultimately bear fruit as the influential European Union Directive on privacy; and
 Other international bodies also became interested, including UNESCO, and, by 2000, the Asia-Pacific Economic Co-Operation Organisation (APEC) with its Privacy Framework addressed to the member states in that fast-growing region of the world.

Some of the foregoing developments lay in the future as we met for the first time at OECD in 1978.  But this much was already clear.  The technology of informatics was fast changing.  Even by 1978, it was apparent that the technology was increasingly transnational.  Its social consequences could not be exhaustively dealt with by national laws.  TBDF were becoming an established feature of the application of informatics.  There was therefore a need for commonality in the approaches adopted by member states of the OECD.  Otherwise, the beneficial advantage of TBDF for freedom in the flow of facts and opinions and for creative ideas for economic and social development, might be impeded.

Within Western Europe, by 1978, it was possible to bind the approaches of member states of the Council of Europe to a binding treaty, agreed amongst those states to reflect the highest common denominator of their collective opinions.  But, by 1978, it was already obvious that the largest player in the processing of automated data (including for airlines, hotels, business, insurance and banking information) was the United States of America.  Securing the agreement of that major economic player to a binding treaty faced two apparently inseparable obstacles.  The first was the need, in the ratification of any such treaty, for the concurrence of the United States Senate, traditionally suspicious of such engagements.  And the second was the strong affirmation of free flows of information expressed in the First Amendment to the United States Constitution.  This provision created a bedrock of support for flows of data, to the largest extent possible, unimpeded by governmental regulation (“Congress shall make no law …”).  The possibility of the United States subscribing to a European Convention on this subject was bleak.  These realities defined the boundaries of any successful enterprise within the OECD, designed to encourage as high a level of consensus about the applicable principles as could be reached among the participants without resort to be a binding treaty.

MUTUAL DOUBTS AND CONCERNS
To the foregoing obstacles to progress had to be added other deep concerns, bordering on suspicions, which were often unexpressed; but every now and again came to the surface.  They revealed a chasm, seemingly deeper than the Atlantic Ocean, between the underlying values reflected in the developments occurring in Europe, on the one hand, and the legal and social culture of the non-European nations, especially the United States, on the other:
 For the European nations, the memory of the misuse of personal data by security police, the military and other officials in the mid-20th century was still fresh.  For them, this was not a theoretical problem. It was an urgent task to establish controls on the potential of the newly automated personal data to enhance the power of the over-mighty state and to diminish the liberties of ordinary citizens.  It must be remembered that in 1978, the world was still faced by the Cold War and the divisions symbolised physically by the Berlin Wall.  It is a privilege today to return to the OECD, with the Russian Federation sitting at the table of WPISP.  None of us should forget the contributions of the Red Army and the Soviet peoples in the Second World War to the defeat of fascism and to the creation of the circumstances in which Europe could flourish and democratic governance could emerge and expand;
 On the other hand, the United States experts, in particular, were deeply suspicious of some of approaches of the European nations, participating in the work of the Council of Europe.  In particular, they were anxious about the suggested inclination of the European states to create large bureaucracies empowered to impede TBDF.  Occasionally, they hinted darkly that these were initiatives with an ulterior motive.  This was to impede the all too obvious success of United States technology and to provide protective walls behind which the European technology of informatics might grow and compete.  The Europeans, for their part, sometimes speculated that the American devotion to free flows of data and First Amendment values was actually underpinned by the then current pre-eminence of United States information technology.

Finding a bridge between these competing attitudes, laws and interests was a great challenge.  It was a much greater challenge than that faced in securing common agreement within the Council of Europe or the European Communities.  It was the challenge which the OECD expert group accepted, addressed and eventually surmounted.

LESSONS FROM THE GUIDELINES
By inviting a reflection on the 1980 Guidelines, and their impact on the development of law and policy in so many countries, not only within the OECD, it must be assumed that a purpose was to derive lessons for the current work of WPISP and indeed of DSTI and ICCP within the OECD.  Looking back at the achievements and influence of the OECD Guidelines on privacy of 1980, what are some of the lessons that I can suggest?
 International principles:  Well into the latter part of the twentieth century, law was basically a discipline of nation states.  Ordinarily, it applied within their geographic limitations.  International law, and international principles and policy, were sometimes important for nation states in dealings with one another.  But they were rarely of significance to the natural and legal persons operating within such states.  All of this has now changed.  The growth of the impact of international law and policy on the legal discipline is the greatest change that has come upon the law in my professional lifetime.  A development encouraging this advance has been the spread of global technology.  With that technology have come new problems that cross borders and are sometimes insusceptible to effective local solutions.  It is this phenomenon that has stimulated the need for international law, principles and policy to fill the gaps left in the spaces between the operation of national regulation.  Today, even the most powerful nation states recognise this.  It was already recognised as we entered the OECD in 1978 to embark on the task of preparing the Guidelines on privacy;
 Conventions and guidelines:  Part of the response to such international needs has been evidenced by the growth of treaty law and of international customary law which binds member states.  Yet in some instances, the development of treaty law is difficult, painstaking and extremely slow.  Meantime, the technological and other problems race ahead.  To do nothing is to make a decision.  Recognising the near impossibility, certainly in the short run, of securing adherence of the United States of America (and other non-European nations) to a binding convention on TBDF, imposed on the OECD expert group the discipline of looking to another solution.  That solution was the elaboration of guidelines that would help import into non-European practice such of the transnational principles that were being developed in Europe as were also accepted in the democratic market economies of non-European OECD member countries;
 Information policy:  It was also recognised, virtually at the outset, that there was a special problem of regulating national practice in respect of information policy in the United States.  This was because of the First Amendment values that lie deep in the responses of United States politicians, officials and lawyers to any regulation that endeavours to impose restrictions on free flows of information.  As well, the European tendency to create data protection authorities with large vetting and pre-authorisation powers, ran into two specific problems within the expert group.  The first was the general inclination of common law countries to avoid bureaucratic solutions of that kind and to rely instead upon a remedial structure, utilising broad principles established as precedents by the decisions of superior courts.  By 1978, there were also moves in the democratic debates of North America, Japan and Australasia to reduce the expansion of government and to contain the growth of bureaucracy.  These developments made the adoption of recommendations for the creation of large data protection authorities outside Europe, effectively unthinkable.  They demanded that the mode of implementation of the principles agreed in the Guidelines should be left by the OECD to the local legal tradition and culture;
 TBDF and their implications:  It was the international character of TBDF that afforded the OECD, at once, its challenge and its opportunity.  A European Convention was important.  But of its nature, it could only go so far.  Countries outside the European area would be influenced by its rules.  But not bound by them outside the European sphere.  Securing a means of addressing the international character of data flow provided the stimulus for an intercontinental solution.  Effectively, only the OECD could provide this.  And provide it, it did.
 General guidelines:  Obviously, the adoption of “soft” international principles rather than binding international law meant that any product of the OECD would lack the precision and immediate effectiveness of a binding treaty.  On the other hand, because on an inter-continental level, such a binding treaty was out of the question (certainly in the short term) guidelines became the best that could be achieved.  To the extent that such guidelines influenced local law, official policy and business practice, they could help harmonise the European system of law with the legal regimes applicable in advanced economies outside Europe.  In this way, the guidelines solution (and their use of the verb “should” rather than “shall”), became a positive strength of the OECD Guidelines.  The Guidelines (in para.19) left it to member countries to “establish legal, administrative and other procedures and institutions for the protection of privacy and individual liberties in respect of personal data” in the various ways mentioned and encouraged them to engage in international co-operation (para.20-22).  They therefore imposed duties of imperfect obligation.  But they were duties nonetheless.  And, on the whole, have been taken seriously by the countries that are parties to the OECD Convention.  The commonalities between those countries in matters of governance and economic co-operation have helped to promote what seemed, on their face, to be weak general rules into a substantial stimulus to legislative, executive and judicial action.  In this way, the Guidelines have provided an important impetus to harmonisation of the law, policy and practice.  This was the result envisaged by the participants in the OECD expert group.
 Don’t give up on privacy:  Finally, although the OECD Guidelines have had a considerable influence in the thirty years since they were adopted, it must be accepted that technological developments that were not then known have added to the complexity of the world in which the Guidelines must now operate.  1980 was a time before the emergence of the internet, with its huge implications for the distribution of personal information.  Ahead lay the many technological developments that would add to the challenges to privacy protection:  including biometrics; smart cards; location detection technology; social networks; use of radio frequencies and so.  I do not pretend that the OECD Guidelines solve every problem that this new technology presents.  Indeed, I concede that some of the capacities of information technology since 1980 present new challenges that we did not consider or even know of when we drafted the Guidelines and adopted them in 1980.

In particular, the use limitation principle in para.10 of the Guidelines may need re-consideration.  That paragraph states:
“10. Personal data should not be disclosed, made available or otherwise used for purposes other than those specified in accordance with paragraph 9 except:
a) With the consent of the data subject; or
b) By the authority of law.”

In para.9, it is provided that personal data should be collected by reference to specified purposes and subsequently used only for those purposes or others compatible with them.  This was an accurate privacy principle at the time of its adoption.  However, the capacity of search engines to utilise old, even very old, personal data for a purpose quite different from that for which the information was originally collected and provided, presents a difficulty in treating those paragraphs as a full explanation of the governing principle or policy.

No-one could suggest that search engines and the internet, with their marvellous capacity to enhance human knowledge, should be forbidden or pre-controlled.  Certainly not by OECD member countries.  However, there may be a need to reconsider how the purpose specification and use limitation principles in paras.9 and 10 of the 1980 Guidelines are to apply in a new century utilising radically new technology.  As well, the notion of “consent” referred to in para.10 needs a lot of attention.  To what extent does the data subject truly have a power to consent or to withhold consent where, as is now often the case, the data subject is so heavily dependent on the internet for the provision of goods, services and government facilities?

Most of us today have internet profiles, available to varying extents for use by others who make decisions concerning our lives.  In 1980, it was still substantially possible to “live down” erroneous public attacks or false allegations.  In the print media of those times, it was often said that false accusations would be wrapping the fish and chips in the following week.  But no more.  Electronic personal data will, ordinarily, exist forever unless the law imposes limitations because of the risks of use of out-of-date, false and damaging materials or unless technology itself affords new means of effective expungement of such data.

The fundamental principle of the OECD Guidelines, expressed in para.13, was the right of the individual to retain control over the data penumbra concerning himself or herself.  If that core principle is kept in mind, it should be possible to develop additional guidelines, practices or elaborations to make sure that the basic idea of personal autonomy and self-control that lay behind the 1980 Guidelines is preserved in the context of radically different technology of today.

CONCLUSION
I thank this working party for providing an opportunity to recount something of the history of the OECD Guidelines of 1980.  It was a privilege to be part of their development.  I pay tribute to the OECD Secretariat and to my colleagues on the expert group.  Their spirits are alive in the Chateau today as we remember this notable achievement of the OECD.

Download the speech as PDF here.

Ny amerikansk forskning: Unge er lige så bekymrede for privacy som ældre


To nylige amerikanske forskningsrapporter viser samstemmende, at der ikke er belæg for påstanden om, at unge ikke bekymrer sig om privacy.

Den ene rapport, How different are young adults from older Adults when it comes to information privacy attitudes & policies?, er udarbejdet af  University of California, Berkeley og University of Pennsylvania. Den anden, Youth, Privacy and Reputation, er udgivet af  The Berkman Center for Internet & Society, Harvard University. 

Konklusionen i den første rapport er, “at især de unge voksne (i alderen 18-24) ikke er ligeglade med deres privacy. De indsamlede data viser, at der er mere der samler end der skiller de ældre unge og de ældre med hensyn til emner om privacy”. Forfatterne udlægger det som, “at unge voksne amerikanere har et ønske om øget beskyttelse af privatlivets fred selv når de deltager i en online verden, der er optimeret til at frigive personlige oplysninger.” For fuldstændighedens skyld bemærkes, at ungegruppen, som rapporten har analyseret, ikke uden videre kan betragtes som én homogen gruppe, fordi der mangler huller i den empiriske forskning. 

“Derfor bør den offentlige debat ikke starte med en påstand om,  at unge voksne er ligeglade med privacy og at der derfor ikke er behov for retsregulering og andre sikkerhedsforanstaltninger. Man bør i stedet erkende, at de nuværende forretningsmodeller sammen med andre faktorer til tider tilskynder de unge voksne til at udlevere personlige oplysninger for at opleve social integration selv om de i deres mest rationelle øjeblikke burde handle efter mere konservative normer.

Uddannelse kan være nyttig. Selv om der findes mange uddannelsesprogrammer om internettet for unge voksne, så er fokus for disse programmer mere på den personlige sikkerhed i forhold til online-svindlere og cybermobning med ringe vægt på informationssikkerhed og privacy.

Unge voksnes viden om privacy lovgivning er sikkert forskellig fra ældre voksnes. De er mere tilbøjelige til at tro , at loven beskytter dem både online og offline. Denne mangel på viden i et fristende miljø, snarere end en arrogant og manglende bekymring for privacy, kan være en vigtig årsag til, at et stort antal af de unge voksne engagerer sig på en ubekymret måde i den digitale verden.

Men uddannelse alene er formentlig ikke nok til at de unge voksne opnår en højere grad af forståelse for privacy. Der er højst sandsynligt behov for forskellige former for hjælp fra flere sider af samfundet, herunder måske lovgivning, med henblik på at håndtere de komplekse online strømninger, der står i modsætning til de unge voksnes bedste privacy instinkter.”

Fra rapporten kan det specifikt fremhæves, at “med vigtige undtagelser er en stor procentdel af de unge voksne i harmoni med ældre amerikanere, når det drejer sig om bekymring omkring online privacy…”. Endvidere fremgår det,  at et stort flertal af unge voksne vil nægte at give oplysninger til en virksomhed i de tilfælde, hvor de føler, at det er for personligt eller ikke nødvendigt samt at enhver, først skal få en tilladelse, før han eller hun kan uploade et billede af den pågældende, selv hvis det er taget i det offentlige rum. Det fremgår også, at de unge voksne mener, at der bør være en lov, der giver brugeren ret til at kende alle de personhenførbare oplysninger, der bliver indsamlet om den pågældende og at der bør være en lov, der forpligter websitet til at slette alle de  personrelaterede oplysninger, som er gemt om hans person hos operatøren.

I et efter min opfattelse vigtigt afsnit i den anden forskningsrapport fra The Berkman Center for Internet & Society  om at understøtte de unges adfærd, fremhæves betydningen af forskellige koncepter af privacy. Der peges på, “at studier gentagne gange har vist, at privacy og anonymitet ikke er synonymt med mange unge mennesker.I stedet for at betragte det offentlige og den private rum, som to skarpt adskilt verdener, viser børn og teenagere en mere nuanceret og finmasket forståelse af informationsformidling og kontrol.”

Endvidere fremhæves det, at “voksne ofte forvirres af, at mange unge ikke anser internettet som et offentligt rum. MySpace og Facebook opfattes som private sociale rum, hvor de unge kan engagere sig i personlig chat, sladre, “hænge ud”, flirte, dele hemmeligheder og foretage alle de andre sociale aktiviteter, som de gør, når de er offline med deres jævnaldrende. Omfanget af online-netværks integration børns og teensgers sociale liv er ofte undervurderet. Et fravalg eller at forblive anonym online kan være en social katastrofe for børn, når deres referencegrupper bruger IM, Facebook, MySpace, Xbox Live, YouTube osv. Venskaber starter og slutter ved hjælp af internettets kommunikationsteknologier, og udlevering af personlige oplysninger er en måde at skabe tillid på mellem jævnaldrende.”

Rapportens forfattere nævner herefter behovet for at tage ansvar. Især at voksne har et ansvar for at anerkende deres egne roller i at krænke børn og unges privacy. Endvidere fremdrages det, at der helt sikkert er en rolle for mere privacy uddannelse for unge mennesker.  Som det også er diskuteret i denne rapport, er der ikke meget der tyder på, at teenagere er ligeglade med privacy og endda endnu mindre dokumentation for, at de ikke forstår, hvordan internettet fungerer. Derfor vil “en tilgang til uddannelse, der bygger på at overdrive risici være ineffektiv og sandsynligvis gøre mere skade end gavn”. Vigtigst af alt skal en forståelse af de unges normer være omfattende, før der gennemføres et striks regelsæt.

Forfatterne anbefaler også udvikling af mere privacy-venlige interfaces og kontrolmekanismer (også kaldet privacy enhancing technologies), “fordi privacy i den digitale tidsalder ikke reguleres ved lov eller på baggrund af et informeret brugervalg, men som Lawrence Lessig så berømt har bemærket ved hjælp af computerkoder.”

Til slut diskutterer rapporten fordele og ulemper ved de såkaldte default-settings.

Fra konklusionen i forskningsrapporten kan det fremhæves, at ” unge er stærkt overvåget i hjemmet, i skolen, og i offentlig-heden af en række forskellige overvågningsteknologier. Børn og unge ønsker private sfærer for socialisering, udforskning og eksperimentering væk fra voksne øjne. At lægge personlige oplysninger på nettet  er en måde for de unge til dels, at udtrykke sig selv på, dels at være i kontakt med jævnaldrende samt at øge ens popularitet og forbindelse med venner og grupper af jævnaldrene. I forlængelse heraf ønsker de unge mennesker, at være i stand til at begrænse oplysningerne online på i en nuanceret og differentieret måde.

Populær litteratur (og en del forskning) omfatter beskrivelser af de unge, online teknologier og privacy, der ikke afspejler realiteterne i de fleste børns og teenagers liv. Men dette giver rige muligheder for fremtidig forskning på dette område. Selv om der i rapporten henvises til flere kvalitative og etnografiske studier af unges privacy-praksis og holdninger, er der behov for mere forskningsarbejde på dette område for fuldt ud at forstå ligheder og forskelle i denne aldersgruppe, især inden for selve aldersgrupperne, på tværs af socioøkonomiske klasser, mellem kønnene osv.

I en kommentar til rapporterne er det indledningsvis vigtigt at påpege, at der er tale om amerikansk og tildels europæisk (engelsksproget) forskning, der delvis samler op på hidtil udført forskning. Men desuagtet kan jeg ikke se, hvorfor mange analyser og pointer ikke også vil kunne bruges i en  dansk kontekst. Først og fremmest er det interessant at fastslå, at den tilsyneladende almindelig anerkendte bebrejdelse af  de unge, som at de er ligeglade med pricvacy ikke holder. Der er nu evidens for, at i alt fald de unge i alderen 18-24 år i ligeså høj grad som de ældre er interesseret i privacy, men at det samtidig kan slås fast, at  de opfører sig mere skødesløst online, fordi de tror, at loven giver dem mere beskyttelse end den faktisk gør. Konklusionen synes klart at være i modstrid med Facebook grundlægger Mark Zuckerberg´s udtalelse tidligere på året om, at privacy ikke længere er en “social norm”.

Begge rapporter lægger op til yderligere forskning med henblik på afdækning af brugeradfærd og udvikling af nye brugervenlige og privacybeskyttende teknologier og det kan der kun varmt støttes op om. En væsentlig pointe, som fremhæves i en af rapporterne, er at anlægge et ungeperspektiv for forskningen og ikke betragte de unges online adfærd som eksotisk med anvendelse af en “generationsskifte”-retorik  som forfladiger og overser de unges oplevelser i forskellige sammenhænge. Ligeledes er det værd at have for øje, at idéen om to forskellige sfærer, en “offentlig” og en “privat” på mange måder er en forældet tankegang i forhold til nutidens unge.

Mindsettet om en mere brugerorienteret innovation er i pagt med demokratisk teknologiudvikling, som i en globaliseret verden er vigtigere en nogensinde.  Problemstillingen er eksempelvis taget op i et blogindlæg om biometri og demokrati.

OECD´s retningslinjer om beskyttelse af privatlivets fred og grænseoverskridende overførsel af personoplysninger fylder 30 år i år


23. september 1980 blev OECD’s retningslinjer om beskyttelse af privatlivets fred og grænseoverskridende overførsel af personoplysninger (OECD Guidelines on the Protection of Privacy and Transborder Flows of Personal Data) vedtaget. I den forbindelse er der 10. marts 2010, som en første af tre arrangementer til festligholdelse af jubilæet, afholdt en konference i Paris med titlen “30 år efter: konsekvenserne af OECD`s privacy retningslinjer”.

Allerede tilbage i begyndelsen af 1970´erne var man i OECD klar over, at en større og større forskel i nationale love udgjorde en risiko for den frie udveksling af oplysninger mellem landene (trans border data flow i det følgende benævnt TBDF). I 1978 gik man i gang med at udarbejde fælles retningslinjer i tæt samarbejde med Europarådet, som var ved at forberede konventionen om beskyttelse af det enkelte menneske i forbindelse med elektronisk databehandling af personoplysninger. Ved at sikre visse minimumsstandarder for beskyttelse af privacy og de individuelle frihedsrettigheder med hensyn til personlige data, var det håbet at mindske behovet for regulering af eksport af persondata samt minimere problemer i forbindelse med lovkonflikter.

En række internationale eksperter har givet deres bud de historiske udfordringer og de spørgsmål, der motiverede udviklingen af retningslinjerne. Af særlig interesse kan fremhæves en keynote af The Hon. Michael Kirby AC CMG, der i din tid var formand for OECD Expert Group on Transborder Data Barriers and Privacy Protection. Michael Kirby fratrådte som højesteretsdømmer i Australien i 2009, men er stadig en meget aktiv fortaler for menneskerettigheder og privacy. Han modtog tidligere i år Electronic Privacy Information Centers Privacy Champion Award som anerkendelse for sine meritter.

Michael Kirby fremhæver indledningsvis, at det var interessen for den fri udveksling af data som drivkraft for  økonomisk effektivitet og dermed for demokrati og god regeringsførelse og den fri markedsøkonomi, der i første omgang tiltrak OECD´s opmærksomhed.  OECD´s analyse var, at europæiske regeringers og institutioners bekymring for privacy ville indebære en retslig og økonomisk hindring for en fri grænseoverskridende informationsudveksling, som i høj grad blev promoveret af USA. I Europa var brud på privacy ikke blot en teoretisk fare med erfaringer under 2. verdensskrig om misbrug af persondata fra myndighedernes side stadig i 1978 i stærk erindring. På den anden side anså mange ikke-europæiske lande, at traktatvejen til beskyttelse af privacy var bureaukratisk, dyr at gennemføre, hæmmende for TBDF samt muligvis udtryk for protektionisme. Løsningen på dette dilemma blev, at man i stedet for at udarbejde en traktat, ville opstille generelle principper, som basis for national lovgivning med det håb, at disse principper vil bidrage til en reduktion af  hindringer for gennemførelsen af OECD´s formål.    

Kirby gør det klart, at det ikke har været ekspertudvalgets opgave at “opfinde den dybe tallerken igen”, men at bygge videre på tidligere bidrag af Nordisk Råd, Europarådet, EU samt akademia  og indarbejde de fra denne kontekst nye principper i en interkontinental applikation, der omfatter andre af OECD´s medlemslande, som f.eks. USA, Canada, Storbritannien, Japan, Australian og New Zealand.

Resultaterne af OECD´s retningslinjer falder ifølge Michael Kirby i 4 kategorier:

  • de bygger oven på tidligere arbejde
  • merværdi tilført af OECD, f.eks. teknologineutralitet og klar ansvarstildeling
  • fleksibel implementering
  • deres overlevelse   

Til sidst stiller Michael Kirby spørgsmålet: “hvad med fremtiden?” Skal retningslinjerne fortsat have relevans og betydning, så lægger Kirby vægt på, at man skal være realistisk. Samtidig med at man bør anerkende den objektive værdi af TBDF, skal man være bevidst om, at ” fordelene ved informationsteknologien selvfølgelig kan nå et omfang som forringer det enkelte menneskes mulighed for at kontrollere sin  egen penumbra [læs: sfære] af information.” Et spørgsmål man i relation til OECD bl.a. kan stille er: “Vil den marginale nytteværdi af at forsøge at hindre TBDF, med henblik på at beskytte privacy, opveje de marginale omkostninger ved en sådan indblanding i driften af  TBDF ?”. Det er nødvendigt at forholde sig oprigtigt til dette dilemma og diskutere det åbent, så beslutninger kan træffes i fuld åbenhed. Selvom det må erkendes, at der er visse begrænsninger i den personlige kontrol over data og privacy, så er det vigtigt ikke at opgive beskyttelsen af privacy, “som er en værdi, der dybt rodfæstet i mennesket og som påvirker dets værdighed og integritet”. Betydningen af empiri fremhæves også, fordi retningslinjerne og øvrig lovgivning og rutiner kun kan være effektive, såfremt de    baseres på en præcis og grundig forståelse af den relevante teknologis operation. Derudover er der  spørgsmål om rekonceptualisering. Hermed menes, at OECD påtager sig en rolle med at sikre, at den løbende tilgang til specielle problemer som spam, cybercrime, malware osv. er i harmoni med hinanden og være på vagt overfor en fragmenteret tilgang til hvad der dybest set er integrerede sociale og etiske problemer.  Endelig peges der på nye udfordringer i forhold til masseovervågning, biometri, RFID tags, krop scannere osv. og at privacy-fortalere hele tiden bør være på udkig efter PET-løsninger (privacy enhancing technologies). Som de sidste 3 punkter omtales værdien af det grænseoverskridende samarbejde,  nødvendigheden af slutbruger læring og uddannelse for at opretholde samfundets bevidsthed om værdien af privacy samt spørgsmålet om hvad OECD bør gøre for at inkludere repræsentative holdninger om privacy  fra verdens udviklingslande ?

Afslutningsvis roser Michael Kirby NGO`ere, offentlige institutioner, forskere og enkeltpersoner der arbejder med privacy og informationssikkerhed, fordi graden af  kontrol over den enkeltes personoplysninger i fremtiden vil afhænge af deres indsats.

Download hele talen her.

Jeg er meget enig i Michael Kirby´s synspunkter og fremtidsvurderinger både i forhold til OECD´s position og i forhold til beskyttelse af privacy i almindelighed. OECD er et magtfuldt organ og den måde man har håndteret privacy på er prisværdigt og visionært. Det er uomtvisteligt, at retningslinjerne, der med start i 2011 vil blive gået efter i sømmene i henhold til den såkaldte Seoul Declaration fra 2008, har haft og vil få stor central betydning for privacy og persondatabeskyttelse i fremtiden, forudsat at man betræder erfaringens sti og ikke mister sine  pejlemærker.  

Skal vi have en privacy-ombudsmand ?


En ombudsmand er oprindelig en svensk opfindelse, der går helt tilbage til 1810. Sidenhen er embedet i forskellige udgaver ligesom selve ordet blevet kopieret i omkring 120 lande verden over. I Danmark blev Folketingets ombudsmandsinstitution, der er en kontrolinstans i forhold til den offentlige forvaltning, oprettet i 1954 og den første ombudsmand var den navnkundige professor dr. jur. Stephan Hurwitz.

Forbrugerombudsmanden blev introduceret i 1975 og fører bl.a. tilsyn med at markedsføringsloven overholdes.

Af andre ombudsmandsinstitutioner kan fremhæves Den Europæiske Ombudsmand, der behandler klager over fejl og forsømmelser i Den Europæiske Unions institutioner og organer. Hvis man er statsborger i en af Unionens medlemsstater eller har fast bopæl i en medlemsstat, kan man indgive klage til Den Europæiske Ombudsmand. Virksomheder, foreninger og andre organer med hjemsted i Unionen kan også klage til ombudsmanden.

Konkret i relation til privacy og persondatabeskyttelse har EU i 2001 endvidere oprettet en  stilling som europæisk tilsynsførende for databeskyttelse. Den europæiske tilsynsførende for databeskyttelse skal sikre, at alle EU-institutioner og organer overholder reglerne om beskyttelse af personer i forbindelse med behandling af personoplysninger. Den europæiske tilsynsførende for databeskyttelse arbejder sammen med de databeskyttelsesansvarlige i de enkelte EU-institutioner eller organer for at sikre, at reglerne om privatlivets fred anvendes.

Ideen om at en uafhængig embedsmand, med kompetence til at undersøge klager fra almindelige borgere, kan kritisere ulovlig, unfair eller forkert myndighedsudøvelse og fremkomme med anbefalinger, er ikke ukendt i andre lande. Således har man f. eks. i det islamiske retssystem fra gammel tid kendt til de såkaldte “Diwan al Mazalim”-institutioner, hvis funktion var at undersøge klager indbragt af borgere mod embedsmænd.

Oprettelsen af ombudsmandsinstitutioner, som især tog fart i 2. halvår af 1900 skyldes tilsyneladende 2 omstændigheder. Dels et behov for retssikkerhed i forhold til en stadig stigende offentlig administration, dels udbredelsen af nye demokratier og menneskerettigheder.

Formålet med en ombudsmand er kort og godt, at fremme retssikkerheden, menneskerettigheder samt god offentlig sagsbehandling. Karakteristisk for en ombudsmand er, at embedet er personligt (eller udgøres af en gruppe personer) og at denne person er udpeget af et parlament for at understrege, at hans autoritet udspringer af folkets repræsentanter. En ombudsmand skal nyde stor respekt og integritet og derfor varetages hvervet som regel af personer med en dommer- eller juraprofessorbaggrund.

Med henblik på at varetage sin primære arbejdsopgave at beskytte rettighederne for den, der mener at være udsat for en ulovlig eller uretfærdig behandling af det offentlige, så er det vigtigt at enhver person kan kontakte ombudsmanden direkte uden formaliteter og uden omkostninger af betydning. Ombudsmanden kan også på eget initiativ tage en sag op og det skal sikres, at institutionen har vide beføjelser til at gennemføre en undersøgelse.

Ombudsmanden betragtes af mange som “den lille mands advokat”, men det er ikke helt korrekt for så vidt angår den danske ombudsmand, der foretager en klassisk domstolslignende sagsgennemgang. Stephan Hurwitz udtrykte det på den måde, at enhver sag har to parter, en klager og én der klages over, og begge parter har krav på en ordentlig og fair behandling.

Det er dog værd at fremhæve, at en af ombudsmanden udtrykt kritik og især hvordan en sag burde være håndteret, kan have stor betydning for den enkelte borger. I andre lande afgør ombudsmanden en egentlig tvist og kan her komme med et forslag til en mindelig løsning mellem borgeren og den offentlige myndighed. I disse tilfælde fungerer ombudsmanden mere som repræsentant for den enkelte borger end som uafhængig dommer. Men under alle omstændigheder er ombudsmandens afgørelse kun at betragte som en anbefaling, som den pågældende myndighed bør følge, men ikke er forpligtet til, som hvis det havde været en domsafgørelse. Værdien i ombudsmandens afgørelse hviler derfor alene på de gode argumenter og den respekt ombudsmandsinstitutionen nyder. Fordi det ofte vil være forbundet med store omkostninger og tidskrævende at anlægge en retssag, betragtes ombudsmanden som et udmærket supplerende retsligt alternativ. Erfaringen synes at vise, at en ombudsmandsinstitution bidrager til stabiliteten i samfundet.

Fra tid til anden fremkommer der forslag om at udnævne en sagsspecifik ombudsmand, f.eks. en børneombudsmand eller ældreombudsmand. Bevæggrunden er at styrke retsstillingen for samfundsgrupper, som opleves at blive overhørt af beslutningstagere og myndigheder.

Op til det seneste valg til Europa-Parlamentet i juni 2009 præsenterede det socialdemokratiske medlem, Christel Schaldemose, et forslag om at oprette en europæisk privacy ombudsmand. Ideen er udsprunget af behovet for en større privacy-beskyttelse i forbindelse med de sociale netværk, som f.eks. Facebook og som ifølge EU-parlamentsmedlemmet kræver EU-lovgivning. Et tilsvarende forslag er anbefalet af Karin Riis-Jørgensen, forkvinde for European Privacy Association, i forbindelse med It-sikkerhedskomitéens konference ”Privatliv på profilen” i november 2008.

Efter min opfattelse er betegnelsen “ombudsmand” ikke beskyttet og der eksisterer heller ikke en entydig definition af en “ombudsmand”s beføjelser og funktioner. Så vidt jeg har kunnet konstatere, findes der ikke et embede i verden med generelle kompetencer, der benævnes som privacy-ombudsmand. Dog er der flere steder indført en privacy-ombudsmand indenfor specifikke sagsområder. Således har Norsk samfunnsvitenskapelig datatjeneste en såkaldt personvernombudet for forskning, der på engelsk benævnes privacy ombudsman og som har fået uddelegeret kompetance fra det norske datatilsyn i forbindelse med spørgsmål om persondata i forskningsprojekter. I henhold til The Bankruptcy Abuse Prevention and Consumer Protection Act of 2005, kan en amerikansk domstol udmelde en såkaldt consumer privacy ombudsman i konkurssager, hvor der kan blive tale om at sælge eller udlåne personlige oplysninger.

Derudover kan det konstateres, at der eksisterer organer rundt omkring i verden, som har beføjelser og funktioner, der i større eller mindre grad udmærket kan sammenlignes med en klassisk ombudsmandsinstitution, men blot hedder noget andet. Eksempelvis har Office of the Privacy Commissioner of Canada et mandat og en mission der i store træk minder om de arbejdsopgaver der traditionelt er knyttet til  en ombudsmand med tyngde på advokat-rollen blot i relation til privacy. Der er dog den interessante forskel, at kommissionæren, der er ansat af parlamentet og rapporterer til de to folkevalgte kamre, kan anlægge sag ved de almindelige domstole i sager, som ikke er blevet løst. De enkelte canadiske provinser har hver deres egne institutioner for privacy fastsat i henhold til lov, der i det væsentligste minder om embedet for Office of the Privacy Commissioner of Canada. Dog med mindre undtagelser. Eksempelvis kan afgørelser af Office of the Information and Privacy Commissioner of Ontario, der for tiden beklædes af den højt respekterede  Ann Cavoukian, i visse tilfælde indbringes for de almindelige domstole. At kommissionæren i almindelighed kan træffe bindende afgørelser, der er inappellable, kan derfor snarere sammenlignes med de kompetencer Datatilsynet besider. I Yukon, en anden canadisk provins, har man valgt en ordning, hvorefter embederne, som både Ombudsman (der svarer til en traditionel ombudsmand) og Information & Privacy Commissioner, der er reguleret i henhold til forskellige love, varetages af én og samme person.

Henset til den førnævnte beskrivelse af ombudsmandsinstitutionen, så kan jeg udmærket godt forstå hvorfor ideen om en privacy-ombudsmand lanceres. Ombudsmanden er et stærkt brand. Men spørgsmålet er, om der reelt er brug for en europæisk eller dansk privacy-ombudsmand ?

Der er ikke nogen tvivl om at privacy som en menneskeret er under stigende pres både nationalt som globalt og at en international regulering efterlyses. Det er også uomtvisteligt, at privacy- og persondatabeskyttelsen er kompliceret at håndhæve især i forbindelse med introduktionen af flere og flere digitale tjenester og teknologier. Der er, som det er nævnt i et tidligere indlæg her på bloggen, derfor behov for en opdatering af persondatadirektivet og eventuelt anden særlovgivning både indholdsnæssigt og med hensyn til fuldbyrdelsesinstrumenter.

Ved implementeringen af persondatadirektivet er det op til hvert enkelt EU-land at organisere tilsynsmyndigheden. Nogle lande, herunder Tyskland, har ligesom Canada valgt en konstruktion med udnævnelse af en kommissær for databeskyttelse og informationsfrihed dels for hele Tyskland og dels for hver af de 16 tyske delstater, jfr. f.eks.  Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit. Det tyske embede er klart inspireret af den klassiske ombudsmandsinstitution, idet kommissæren er personligt udpeget af den tyske forbundsregering respektive de enkelte delstaters regeringer og valgt af henholdsvis det tyske Forbundsparlament respektive de enkelte delstaters parlamenter.

The Information Commissioner’s Office i Storbritanien, der er organiseret som en “non-departmental public body” (svarer til en dansk styrelse) under justitsministeriet, rapporterer direkte til parlamentet, og kan stort set sammenlignes med Datatilsynets opbygning, rolle og ansvar.

En fortegnelse over de nationale organer for databeskyttelse i EU, EFTA, EU-kandidatlande og visse tredjelande kan findes her.

I Danmark er Datatilsynet (indtil 2002 benævnt Registertilsynet) at betragte som en uafhængig statslig myndighed, der har til opgave at føre tilsyn med, at reglerne i persondataloven, der gennemfører EU-direktivet, overholdes. Datatilsynets opgaver består i at rådgive, vejlede samt behandle klager (også fra almindelige borgere) og foretage inspektioner hos myndigheder og virksomheder. Selvom Datatilsynet organisatorisk  henhører under Justitsministeriet, så har ministeriet ingen instruktionsbeføjelse over myndigheden. Der er således alene tale om en formel forskel i strukturen og ikke en reel forskel i substansen (persondatadirektivet) i forhold til eksempelvis den tyske ordning og det er trods alt det som man bør hæfte sig ved i hele denne her diskussion.

Funktionerne kunne således i princippet sagtens blive varetaget af en ombudsmand, men nu ligger de faktisk hos Datatilsynet og det vil derfor umiddelbart være mere hensigtsmæssigt at styrke Datatilsynets organisation på en række punkter. Som jeg andetsteds har opfordret til, så bør Datatilsynet både have tilført flere økonomiske midler og flere faglige kompetencer og det er også muligt at Datatilsynet skal have flere sagskompetencer og bedre retshåndhævelsesmidler samt en pligt til at indgå i et mere formaliseret samarbejde med relevante samarbejdspartnere.

For så vidt angår en europæisk privacy-ombudsmand, så kan en sådan kun fungere effektivt og i overensstemmelse med institutionens intention, såfremt der tilføres eksorbitante midler, men der er desuagtet alvorlig risiko for, at en fælles-europæisk institution vil drukne i bureaukrati, især henset til at lovgivningsindhold og lovgivningspraksis ikke er ens i EU. Sidstnævnte forsøger de nationale datatilsyn at koordinere via WG-29 arbejdsgruppen. Det er muligt at denne konstruktion kan forbedres, men det må afvente den revision af EU´s juridiske referenceramme om databeskyttelse, der omfatter persondatadirektivet, e-privacy direktivet samt Rådets rammeafgørelse 2008/977 om beskyttelse af personoplysninger i forbindelse med politisamarbejde og retligt samarbejde i kriminalsager og som tidligst forventes afsluttet primo 2011. Man kan med en vis ret hævde, at når alt kommer til alt, så er det snarere en mere effektiv EU-regulering og sikrende retsmidler baseret på nærhedsprincippet, der er brug for, end at en europæisk privacy-ombudsmand afgiver rekommandationer, der ikke kan fuldbyrdes.

En dansk privacy-ombudsmand synes heller ikke at være gangbar, fordi det ikke vil være hensigtsmæssigt endsige nødvendigt at nedlægge Datatilsynet for at opbygge en ny institution, hvor stort set kun indpakningen er forskellig, medmindre man ønsker, at embedet alene skal fremkomme med anbefalinger og ikke, som det er i dag, hvor Datatilsynets afgørelser har umiddelbar retsvirkning. Det har den konsekvens, at overtrædelse kan medføre straf- eller erstatningsansvar og at Datatilsynets  afgørelser efter persondataloven ikke kan indbringes for anden administrativ myndighed, men selvfølgelig altid kan prøves ved en domstol. Denne sagsbehandling kunne godt gøres mere smidig uden nødvendigvis at ændre på Datatilsynets retskompetence, idet en rolle som mediatoradvokat næppe vil være valid. Derimod kan argumentet om, at selve udnævnelsesproceduren har en yderligere tillidsskabende virkning, muligvis overvejes nærmere samt i forlængelse heraf eventuelt at lægge tilsynet direkte under Folktetinget, for at sikre en yderligere uafhængighed i forhold til regeringen.

Det vil ikke gøre nogen forskel, såfremt en privacy-ombudsmand skulle fungere ved siden af Datatilsynet med nye funktioner, idet det uundværligt vil føre til kompetencestridigheder. Der har i øvrigt allerede rodfæstet sig en forvaltningspraksis, hvorefter persondataspørgsmål henvises til Datatilsynet. Det gælder således også i relation til spørgsmål om f.eks. forbrugerbeskyttelse og målrettet reklame, som ellers umiddelbart kunne tænkes at høre under Forbrugerombudsmandens ressortområde.

Selvom det lyder besnærende, så skal man nøje og nøgternt overveje behovet for en ny ombudsmandsinstitution og ikke lade sig rive med af et ellers prisværdigt engagement og en øjeblikkelig omend velbegrundet stemning for at styrke en bestemt befolkningsgruppes interesser eller et specifikt rets- eller principområde. Privacy er kun en af 30 menneskerettigheder , der er fastsat i FN’s menneskerettighedserklæring og Den Europæiske Menneskerettighedskonvention. De er alle ligeværdige og staterne kan ikke vælge nogen rettigheder ud som mere beskyttelsesværdige eller respektable end andre. Et perspektiv med 30 sagsspecifikke ombudsmænd ved siden af Folketingets ombudsmand forekommer omsonst, især når der allerede findes organer, både nationalt som internationalt,  der mere eller mindre tager sig af de berørte problemstillinger.

Der synes derfor ikke efter min opfattelse at være vægtige grunde, der taler for at oprette en privacy-ombudsmandsinstitution.

Privacy er et brandaktiv, fastslår amerikansk undersøgelse


Ponemon Institute, der gennemfører uafhængig forskning i privacy, databeskyttelse og informationssikkerhed, har for nylig offentliggjort en undersøgelse om de tyve virksomheder, der har den mest troværdige privacy.

Ponemon Instituttet slår fast, at i et år der betegnes som et turbulent privacy-år, med offentliggørelse af mange fejl og fejltrin, bevarer American Express støt og roligt sin førsteplads på listen over brands,som de amerikanske forbrugere har mest tillid til.  

Det er femte år i træk, at American Express topper listen. IBM, Johnson & Johnson, Hewlett Packard, og E-Bay besætter de fire følgende pladser.
 
Placeringerne er baseret på svar fra 6.627 amerikanere og undersøgelsen har omfattet omkring 38.000 virksomheder af hvilke 229 er blevet rangeret mindst 20 gange. Blandt de brands, der ikke tidligere har været med i top 20 er Google, Weight Watchers, Walmart og AT & T. Derimod er Facebook, AOL, og eLoan ikke med på listen.

Ingen små og mellemstore virksomheder kom med på top 20 og spørgsmålet der kan stilles er, om det skyldes at 56 procent af de små og mellemstore  virksomheder end ikke har en privatlivspolitik offentliggjort på deres hjemmesider? Undersøgelsen viser imidlertid klart, at selvom Facebook har en privacy politik, så kom de ikke med i toppen, hvilket helt sikkert skyldes at 2009 afslørede alvorlige brud på privacy og sikkerheden hos Facebook, der gav anledning til stor offentlig debat om deres privay-settings, siger Larry Ponemon fra institutet. Han udtaler endvidere i rapporten: “Facebook tiltrak sig stor opmærksomhed, da de valgte at forny deres privacy-politik på en meget synlig måde. Mens de blev belønnet for deres indsats sidste år, havde forbrugerne mindre tillid til Facebook i år, hvilket blot viser, hvor vigtigt beskyttelse af privatlivets fred er som et brand-aktiv.”

Mike Spinney, senior analytiker hos Ponemon, mener, at Facebook kan vende tilbage til top 20 listen, ved at have en åben tilgang til privacy. “Det vil tjene virksomheden godt i det lange løb, at reagere på kommentarer fra offentligheden”

Undersøgelsen viser også, at forbrugernes oplevelse af at have kontrol over deres personlige oplysninger er faldet støt: 41 procent i 2010, et fald fra 45 procent i 2009, hvilket var et fald fra 56 procent i 2006, det første år undersøgelsen er blevet gennemført.

Blandt undersøgelsens markante resultater kan fremhæves følgende.

Identitetstyveri er et vigtigt anliggende for de adspurgte. Næsten 60 procent af de adspurgte vurderer, at emnet er væsentlig faktor for hvor meget de har tillid til et brand, og 50 procent udtalte, at notifikation af databrud er en faktor af betydning. Andre trusler mod tilliden til et brand er misbrug af borgerlige frihedsrettigheder og irriterende “baggrundschat” på offentlige sites. Læs: drop unødvendige Twitter og Facebook opdateringer.

Privacy “features” bidrager til at skabe brandtillid. Stor securitybeskyttelse blev identificeret som tillidsskabende af 60 procent af forbrugerne, mens 53 procent siger, at  præcis dataindsamling og brug er vigtig for tilliden. Andre væsentlige positive faktorer er dataminimering samt online-anonymitet. 

Ponemon fremhæver i rapporten, at dataindsamling også omfatter markedsføring og advarer, at virksomhederne skal være forsigtige med brugen af kundeoplysninger.

“Hver gang kunder er udsat for markedsføring, som er irrelevant eller irriterende, er det et spørgsmål om privatlivets fred for dem,” udtaler Ponemon.

 Top-tyve virksomhederne for beskyttelse af privacy i 2010 er:
 
1 American Express (1)
2 IBM (3)
3 Johnson & Johnson (5)
4 Hewlett Packard (6)
5 E-bay (2)
6 U. S. Postal Service (6)
7 Procter & Gamble (7) 
8 Amazon (4) 
8 Nationwide (9)
9 USAA (11) 
10 WebMD (13)
11 Intuit (12)
12 Apple (8)
12 Disney (16)
13 Google (ikke i top 20 sidste år)
14 Verizon (17)
15 US Bank (19)
15 Charles Schwab (10)
16 Weight Watchers (ikke i top 20 sidste år)
17 Yahoo! (14)
18 FedEx (18)
19 Walmart (ikke i top 20 sidate år)
20 AT & T (ikke i top 20 sidste år)
20 Dell (20)

Undersøgelsen har nogle pointer, som efter min opfattelse også vil være relevante i forhold til danske virksomheder og for den sags skyld også offentlige myndigheder. Det er åbenlyst, at privacybranding bør inkorporeres med henblik på at skabe en langsigtet corporate brandværdi. En gennemtænkt holistisk privacypolitik, der er synlig for enhver, kan anbefales.   

Uden at der er tale om en videnskabelig undersøgelse, så viser en stikprøvevis gennemgang af diverse danske hjemmesider, at mange virksomheder og organisationer har en egentlig privacy policy, selvom indholdet varierer meget. Det kan afgjort tages som udtryk for at privacy beskyttelse tages alvorligt og at man er opmærksom på, at den udøver indflydelse på brandingen og markedsføringen af virksomheden og organisationen. Men der er helt klart behov for relevant forskning på området, herunder en lignende dansk undersøgelse af forbrugerforventninger som Ponemon Instituttet har gennemført. 

I 1999 udtalte Scott McNealy, Sun Microsystems chief executive, “You have zero privacy anyway. Get over it.” Og i januar 2010 blev Facebook´s grundlægger Mark Zuckerberg citeret for: “Privacy is dead – get over it”. Man skal selvfølgelig være varsom med generaliseringer og de nævnte smarte “heiku digte” er alt for unuancerede endsige retvisende. Jeg medgiver at privacy er kompliceret og begrebet undergår uomtvisteligt store forandringer i disse år, men i nærværende sammenhæng kan det i alt fald med rette fremføres, at amerikanske forbrugere lægger vægt på privacy og at det kan betale sig for virksomheder og organisationer at have et sæt privacy retningslinjer. Om de så er let forståelige og faktisk sikrer den enkelte forbrugers privacy er et andet spørgsmål. En væsentlig pointe er, at virksomheder og organisationer, har en åben og gennemsigtig politik, der oplyser om det konkrete formål for en dataindsamling og hvorledes persondata vil blive opbevaret og behandlet, herunder hvilke teknikker der er anvendt for at sikre dette. Et reelt brugervalg der sikrer brugerkontrol er at foretrække. At nå dertil er der endnu et stort stykke vej. Information og uddannelse er nøgleord.

Hertil kommer at offentlige myndigheders privacy policy altid bør inkludere det bredest mulige publikum, herunder også borgere, der er skeptiske  overfor den offentlige administration og som har mistillid til den teknologiske udvikling.

Artikel 29-arbejdsgruppen har offentliggjort arbejdsprogrammet for 2010-2011


EU´s artikel 29-arbejdsgruppe vedrørende databeskyttelse og privacy har netop offentliggjort sit arbejdsprogram for 2010 og 2011.

Arbejdsgruppen er nedsat i henhold til artikel 29 i  direktiv 95/46/EF (EU´s databeskyttelsesdirektiv). Det er et uafhængigt EU-rådgivningsorgan for databeskyttelse og privacy og består af de 27 EU-landes respektive datatilsyn samt Den Europæiske Tilsynsførende for Databeskyttelse. Dets opgave er beskrevet i artikel 30 i direktiv 95/46/EF og artikel 15 i direktiv 2002/58/EF.

De strategiske temaer, som arbejdsgruppen vil fokusere på er:

  1. implementering af databeskyttelsesdirektivet og arbejde for et fremtidigt overordnet juridisk rammeværk jfr.  artikel 29-arbejdsgruppens redegørelse om “The Future of Privacy”
  2. globalisering
  3. teknologisk udvikling
  4. styrke effektiviteten af WP 29 og de nationale datatilsynsmyndigheder med hensyn til efterforskning og retshåndhævelse, herunder harmonisering af tilsynsmyndighedernes beføjelser og samarbejde
  5. aktuelle emner

– hvorefter artikel 29-arbejdsgruppen især vil arbejde med:

  • fortolkning –
  • implementering af det reviderede databeskyttelsesdirektiv
  • overveje Lissabon-traktatens indvirkning
  • Binding Corporate Rules (BCR),  Safe Harbor ordningen, tilstrækkeligheden af tredjelandes regimer
  • internationalt standardiseringsarbejde, f.eks. ISO, Madrid deklarationen, gennem-gang af OECD´s guidelines
  • cloud computing
  • profilering og annoncering baseret på forbrugeradfærdsbestemte data
  • søgemaskiner og “retten til at være alene”
  • sociale netværkssider
  • privacy konsekvensanalyser af RFID
  • finansielle anliggender
  • rejsendes personlige data
  • opdatere WP80 on biometrics
  • mulig opdatering af WP73 on eGovernment and ID management

Arbejdsprogrammet fokuserer på yderst aktuelle og relevante emner. Med henblik på at fastholde og meget gerne styrke en hensigtsmæssig forskning og udvikling samt en lødig debat bør WP29’s prioriteringer for de næste 2 år også få afsmittende indvirkning på danske indsatsområder om privacy og databeskyttelse.

Afslut med fingeren


Af: Andreas Dohn, Journaliststuderende ved Syddansk Universitet

Fingeraftryk i centrale databaser er en cocktail, der før har mødt modstand fra borgere og privacy-fortalere. Men når bloddonorerne på Odense Universitetshospital skriver under med fingeren, skal de ikke frygte for datasikkerheden, siger blodbankens ledende overlæge.

De ruller frivilligt ærmet op og lader nålen trænge gennem huden. Sådan har det altid været. Men fremover vil donorerne på Odense Universitetshospital (OUH) også blive tvunget til at afgive et fingeraftryk, når de besøger blodbanken.

Odense Universitetshospital har som det første sted i landet indført elektroniske spørgeskemaer, som donorerne skal underskrive med pegefingeren, før de giver blod: ”Fordelen ved fingeraftryk er, at vi kan identificere donoren fra gang til gang og vide, at det er den rigtige donor, vi har fat i,” siger Jørgen Georgsen, ledende overlæge i blodbanken på Odense Universitetshospital.

Kun en kode

Det har tidligere skabt debat, når diskoteker og lufthavne indfører fingeraftryk eller irisskanning som adgangskontrol. Men Jørgen Georgsen mener ikke, at donorerne skal frygte for deres datasikkerhed, når de sætter pegefingeren på blodbankens scanner.

Fingeraflæseren danner en unik kode ud fra nogle bestemte punkter i fingeraftrykket. Og det er dén kode, som blodbanken gemmer i sin database sammen med donorens personnummer. Ikke et billede af selve fingeraftrykket, forklarer han:

”Det fingeraftryk, vi tager, er ikke sammenligneligt med det, politiet arbejder med, så det vil ikke kunne bruges i politiets efterforskning.”

Når donoren møder til næste tapning og indtaster sit personnummer, vil systemet automatisk hente den gemte kode og sammenligne den med donorens ’nye’ fingeraftryk.

”Det er ikke sådan, at aflæseren går ned i en stor database og leder alle vores 13.000 donorer igennem og kigger på deres fingeraftryk,” siger Jørgen Georgsen:

”Den sammenligner bare Bjarnes nuværende fingeraftryk med det fra tidligere. Og hvis de ikke passer sammen, så er det ikke Bjarne, der er her nu. Mere kan den ikke sige. Den kan ikke sige, at det er Peter, der er her i stedet for eller sådan noget.”

”Smartcard en bedre løsning”

Frederik Kortbæk er netværkskoordinator i Dansk Privacy Netværk, der har forskere med interesse for overvågning og privatlivsbeskyttelse på medlemslisten. Han roser først og fremmest blodbanken for at tage fingeraftrykket i brug:

”Formålet er at sikre, at blod tilhører en bestemt person og kun denne person. Der er tale om en sikkerhed, som både er i brugerens og blodbankens interesse.”

Frederik Kortbæk er dog generelt betænkelig over for fingeraftryk i centrale databaser, og han mener, at blodbankens system kunne gøres endnu mere sikkert:

”Den mest optimale privacyløsning ville være at gemme det digitaliserede fingeraftryk i krypteret form på et smartcard i stedet for i en central database,” forklarer Frederik Kortbæk.

Et smartcard er et lille plastikkort, der indeholder oplysninger om kortholderens fingeraftryk, og det har samtidig en scanner indbygget. Når en person forsøger at bruge kortet, sammenlignes hans fingeraftryk med det, der ligger gemt.

Frederik Kortbæk mener, at donoren på den måde vil være bedre sikret mod misbrug, fordi fingeraftrykket ikke er gemt andre steder end på selve kortet.

”Det er den løsning, som de europæiske datatilsyn generelt anbefaler,” siger han.

Mange flere oplysninger i blodprøven

Jørgen Georgsen mener dog ikke, at et smartcard er den bedste løsning for blodbanken. Dels er kortene alt for dyre, og dels kan donoren ikke blive tappet, hvis han glemmer kortet derhjemme:

”Det, synes vi, er dårlig service over for donorerne, hvis de er kommet helt her ud,” siger han og påpeger, at blodbanken i forvejen ligger inde med en masse personfølsomme oplysninger om donorerne – i modsætning til diskoteker og motionscentre.

”Der er mange flere oplysninger i den blodprøve, man giver, end i fingeraftrykket. Og der er rigtig mange donorer, vi har gemt DNA på. Det er faktisk en større risiko, som folk ikke tænker så meget på,” forklarer Jørgen Georgsen.

Uden om Datatilsynet

Det er Datatilsynet, som fører tilsyn med persondataloven og vejleder myndigheder og virksomheder om behandling af personoplysninger. Chefkonsulent Jakob Lundsager oplyser, at blodbanken ikke har rettet henvendelse til Datatilsynet, før fingeraftrukket blev indført. Og derfor har tilsynet ikke beskæftiget sig med det specifikke system.

Men Jakob Lundsager skønner, at blodbankens normale omgang med personfølsomme oplysninger kan være et argument for, at det også er forsvarligt at indføre fingeraftryk som identifikation.

Lever op til loven

I blodbanken føler man sig godt dækket ind. Jørgen Georgsen understreger, at systemet lever op til de gældende regler.

”Vi oplyser donorerne om alt det, vi gemmer, første gang de er her,” siger han og forklarer, at det altid kræver donorernes tilladelse, hvis blodbanken skal give oplysninger videre.

Derfor kan donorerne roligt give det elektroniske spørgeskema fingeren.

The European Security Research and Innovation Forum (ESRIF) underlines human rights and privacy


European Security Research and Innovation Forum (ESRIF) has released its final findings a 323 page report on aspects of European Research and Innovation to enhancing the security of European citizens.

From a human rights and privacy perspective the reports main statements and recommendations raises hope for a new sustainable agenda of immense impact on European and global security. These aspects are pointed out several places in the report. For instance with this message (on page 12):

“Protecting the EU’s population and infrastructure must resonate with good governance, common economic sense, and respect for fundamental rights and Europe’s cultural values. For ESRIF, gaining a competitive advantage and leadership position in the global security market for Europe must reflect European values.”

And further on page 21: ” Surveillance is increasingly a central element of security management and takes place through a number of means, from closed circuit television to various biometric tools. As these tools are developed, the impact on European values of the relation between surveillance and civil and human rights, the place of new technologies in society role, their role in security crises and their consequences for the individual remain poorly understood. Future research and innovation should carefully assess these societal questions and their links with Europe’s security”.

In the public debate security and privacy is often characterized as a zero-sum trade off in the sense that any gain by one side is offset by an equal loss on the other side. But this is not necessarily true for tradeoffs between privacy and security and the report challenges this presumable dicthomy. In this connection I would like to highlight this passage:

“A primary task of ESRIF is to develop criteria and guidelines for security technologies and measures in line with human rights in general and with the protection of privacy. Security technologies that are consistent with and enhance privacy should allow the security industry to develop widely acceptable security products. Integrating privacy in the design of new security technologies and systems will be a competitive advantage for the European security industry. It should be possible to implement them in such a way that in the future more security does not imply a loss of privacy.”

Further it is stated that ESRIF advocates implementation of a ‘privacy by design’ data protection approach that should be part of an information system’s architecture from the start. “To ensure real effectiveness, this privacy-by-design” protection should combine general privacy controls, a separation of data of different streams, privacy management systems, and effective ‘anonymisation’ of personal data. Research in these areas must be pursued to ensure that effective solutions are available as soon as possible” (page 31).

ESRIF also have as a key message “the promotion of a security by design approach in any newly developed complex system or product, ensuring that security is addressed at the point of conception, as it has been the case for safety by design”.

This could be considered as a new research and innovation challenge embedding from scratch both privacy and security instruments being of equal importance and necessity in the process from concept and design to system development and operation. Maybe it would call for a new term to clarify this research and innovation approach ? For instance: “privacy and security integration by design” ?

From the report I would also like to mention the key message that “education and scenario-based training contribute significantly to the overall acknowledgement and recognition that security is a common responsibility of all stakeholders, especially, policymakers, regulators and citizens.” In a recent  post  I have pinpointed the importance of education and learning in regard to privacy and data protection due to the same reasons.

I have also given special attention to the reports statements about biometrics in a post (in Danish) on the blog of Danish Biometrics appreciating in particular the message that ” The EU Commission itself has classified biometrics as a privacy enhancing technology and it is understood that the Commission would wish biometric technologies to be developed more towards the preservation of users’ privacy”.

I highly recommend reading the report which can be downloaded here.

Read the preliminary reaction of the EU Commission to the ESRIF final report here.