EU-rapport understøtter behovet for mere information om brug af personlige oplysninger


Rapporten, der netop er blevet  udgivet af Eurobarometer, er resultatet af den hidtil største undersøgelse om den enkelte EU-borgers adfærd og holdning til bgrugeradministration (identity management), databeskyttelse samt privacy.

Det konkluderes i rapporten: “I lyset af den stadigt stigende rolle digitale teknologier har spillet i samfundet i løbet af det sidste årti og den hidtil usete store indsamling, opbevaring og behandling af personoplysninger, er formålet med undersøgelsen, at få indsigt i europæernes videregivelse af personlige oplysninger, med særlig fokus på Internettet. Mere specifikt, omhandler rapporten europæernes faktiske offentliggørelse af personlig information, deres forståelse af og opfattelse af kontrol over deres personlige data, deres måder at beskytte personoplysninger på og hvorledes de gerne ser databeskyttelsen udformet. Indsigt i disse spørgsmål kan være en hjælp til at udvikle reguleringen og skræddersy den til europæernes særlige behov og sårbarheder med hensyn til beskyttelse af personoplysninger.”

Nogle af hovedresultaterne af undersøgelsen viser, at

  • 74 % af europæerne anser afsløring af personlige oplysninger som en stigende del af det moderne liv
  • oplysninger først og fremmest betragtes som personlige, når der er tale om finansielle oplysninger (75 %), medicinske oplysninger (74 %), nationale ID-numre eller kort samt pas (73 %)
  • et klart flertal af europæerne (75 %) ønsker at slette personlige oplysninger på en hjemmeside, når de beslutter sig for det (princippet om “retten til at blive glemt”)
  • Selvom et flertal af europæiske internetbrugere selv føler sig ansvarlige for håndtering af deres egne personlige oplysninger, går næsten alle europæere ind for ens databeskyttelsesregler i hele EU (90 %)
  • et flertal mener, at deres personlige oplysninger vil være bedre beskyttet i store virksomheder, såfremt disse virksomheder er forpligtet til at have en databeskyttelsesansvarlig person (88 %)
  • Europæernes meninger er delte med hensyn til de omstændigheder, hvorunder politiet skal have adgang til personlige data. Til gengæld er næsten alle enige om, at mindreårige bør beskyttes mod (95%) og advares om videregivelse af personoplysninger (96%), og et stort flertal er for en særlig beskyttelse af genetiske data (88%).

De adspurgte i undersøgelsen kan kategoriseres i to grupper af såkaldt digitale eksperter, som viser markante forskelle i besvarelserne. Den første gruppe betegnes som “digital natives”, som vel nærmest kan oversættes som “børn af den digitale tidsalder” dvs. unge mennesker i alderen 15-24 år, som er studenter og født under og efter introduktionen af den digitale teknologi. Den anden gruppe benævnes i rapporten som “digital initiates”, som kan oversættes til “personer med tillærte erfaringer”. De er ikke unge per definition og har fået deres viden om med den digitale teknologi gennem f.eks. uddannelse eller arbejde og har andre synspunkter end “børn af den digitale tidsalder”.

Eksempelvis deles synspunktet om, at afsløring af personlige oplysninger ikke er et stort problem af 43 % i den første gruppe (EU 33 %). Endvidere fremgår det, at der i denne gruppe er 48 % som ikke har noget imod at afsløre personlig information til gengæld for fri online servicees , f..eks. en gratis e-mail adresse (EU 29 %) og at 41 % føler sig forpligtet til at afsløre personlige oplysninger på internettet (EU 28 %).

Med hensyn til den anden gruppe, så er det tydeligt, at de er mindst tilbøjelige til at føle kontrol over personlige data, f.eks. mulighed for at slette, rette eller ændre disse oplysninger i forbindelse med online shopping eller når de benytter sociale netværkssteder. Og i modsætning til den første gruppe er de mest tilbøjelige til at beskytte deres identitet i det daglige og på nettet og er som ofte bekymret med hensyn til oplysninger om dem selv, som opbevares af virksomheder.

For så vidt angår Danmark er der anledning til at fremhæve nogle tal fra rapporten. Eksempelvis betragter 91 % af de adspurgte danskere, finansielle oplysninnger som løn, bank- og kreditkortoplysninger for at være personlige. Det er også interessant at bemærke, at de lande, hvor Internetbrugere er mere tilbøjelige til at mene, at finansielle oplysninger er personlige også har en højere andel af respondenter, der handler online. Således køber 81 % af internetbrugerne i Danmark online. Danmark scorer også højt i vurderingen af at medicindata (87 %) og at CPR-nummer og pasnr. (89 %) er personlige oplysninger. Derimod rangeres f.eks. navn (23 %) og adresse (36 %) lavt som en personlig oplysning. Den højeste procent af svar, som siger, at afsløring af personlige oplysninger ikke er et problem er fra Danmark (51 %). På spørgsmålet om man føler sig forpligtet til at afsløre personlinge oplysninger på internettet viser undersøgelsen, at de danske svar topper med 47 % mod 44%, der er uenig. Danmark ligger i toppen sammen med 3 andre nordiske lande med 72 %-besvarelser, der giver udtryk for ikke at være bekymret for at ens adfærd vil blive registreret på et privat sted som f.eks. restaurant, bar, klubber eller kontorer. Ligeledes afspejler de danske svar, at 78 % er ubekymret for at deres adfærd bliver registreret i det offentlige rum, hvilken procent ligger på linje med EU-gennemsnittet. Med hensyn til placering af de strategier de enkelte borger vælger til at beskytte sin identitet i det daglige viser, at 78 % af danskerne, hvilket e i top, foretrækker at give et minimum af forlangte oplysninger og ikke afslører bankoplysninger eller PIN-kode.

Nederlandene, Luxembourg og Danmark skiller sig ud som de EU-lande, der har det største antal af internetbrugere, som benytter en vifte af forskellige strategier til beskyttelse af deres identitet på nettet. Danmark scorer ikke uventet meget højt på tilid til at f.eks. sundhed- og skattesmyndigheder samt finansielle institutioner beskytter personlig information. I modsætning hertil ligger lande som Grækenland, Rumænien og Polen med den laveste tillidsniveau.
Om den er begrundet er en anden sag.

En tankevækkende iagttagelse er det forhold, at den højeste procentdel, der siger, at de gerne vil slette deres data, når de stopper med at benytte en service (princippet om retten til at blive glemt), er at finde i Danmark (50%), Sverige (48%) og Nederlandene (43%).

Et specielt tema i forhold til undersøgelsen vil lige blive berørt, fordi det for tiden er aktuelt i den danske offentlige debat. Det drejer sig om identitetstyveri. Af undersøgelsen fremgår det, at der er en udbredt opmærksomhed om identitetstyveri og datatab i EU omend den personlige erfaring forbliver marginal. 44 % af alle europæere har svaret at de hverken har hørt eller oplevet omstændigheder I forbindelse med datatab og id-tyveri. En sociodemografisk analyse påpeger, at det er aldersgruppen 55+ (50 %), den mindst uddannede (54 %) og som aldrig bruger internettet (53 %), der er dem som mest sandsynligt ikke har hørt om eller er blevet konfronteret med forhold om datatab og identitetstyveri.

I de lande hvor respondenterne højst sansynligt har hørt om (via fjernsyn, radio, aviser eller internettet) eller haft erfaring med forhold i forbindelse med datatab eller identitetstyveri, er de lande med den laveste procentdel, der siger nej, nemlig Letland (26%), Sverige (27%), Irland (28%), Danmark (29%), Finland (31%) og Storbritannien (34%).

JyllandsPosten har i en dybdeboende og omfattende temaserie sat identitetstyveri på dagsordenen med en række konkrete sager, som klart illustrerer problemets sociale og økonomiske konsekvenser. Det er Dansk Privacy Netværks opfattelse, at det netop er et sådant initiativ, der kan være med til at skabe større forståelse for et ellers kompliceret emne. Dansk Privacy Netværk og flere af dets medlemmer og samarbejdspartnere har i øvrigt bidraget med input til artikelserien samt i forbindelse med en opfølgning i bl.a. DR Update og TV AVISEN.

Mere om identitetstyveri og hvad den enkelte borger kan gøre for at undgå at miste kontrol med egne data kan findes her: Identitetstyveri – også i Danmark? Det understreges af Datatilsynet, at mere information til både borgerne, virksomheder og myndigheder om forsvarlig brug af personoplysninger, er nødvendig. Sidstnævnte er også rapportens generelle anbefaling.

Eurobarometer har bedrevet et glimrende stykke analysearbejde om EU-borgernes holding til databeskyttelse og elektronisk identitet som viser nogle interessante resultater, herunder at der tegner sig et broget indtryk af danskernes forståelse for persondatabeskyttelse.

Afslutningsvis glæder det mig, at undersøgelsen fastslår at et flertal af de adspurgte mener det vil forbedre beskyttelsen af personoplysninger, såfremt virksomheder af en vis størrelse udpeger en databeskyttelsesansvarlig person (Data Protection Officer), fordi det netop har været et hovedønske, der er blevet fremført af bl.a. mig selv i forbindelse med revisionen af persondatadirektivet. Positionen må ikke forveksles med den dataansvarlige eller databehandleren, som i henhold til den nugældende lovgivning både kan være en person eller myndighed. Så mon ikke det bliver en af flere nye bestemmelser i det reviderede persondatadirektiv, der vist forventes i 2014. ?

Rapporten “Special Eurobarometer 359 – Attitudes on Data Protection and Electronic Identity in the European Union” (330 sider) kan downloades her.

Reklamer

Er “retten til at blive glemt” det nye privacy mantra ?


I forbindelse med den igangværende revision af EU´s persondatadirektiv, der har udviklet sig til en lidt langstrakt affære, er der allerede kommet en række udmeldinger fra EU-Kommissionen, der indikerer en række stramninger af det fremtidige direktiv.

Således har Viviane Reding, EU’s kommissær for retlige anliggender, på en nylig afholdt konference i Brussels med en henvisning til Den Europæiske Unions charter om grundlæggende rettigheder slået fast, at EU-borgerens privacy-rettigheder skal bygge på fire piller:

  1. “retten til at blive glemt”
  2. “gennemsigtighed”
  3. “privacy som standardinstilling”
  4. “beskyttelse uanset hvor data er placeret”

Det er princippet om “retten til at blive glemt” (the “Right To Be Forgotten”), som der vil blive set lidt nærmere på her. For god ordens skyld skal det understreges at princippet  ikke udelukkende er møntet på persondata, som defineret i persondatadirektivet og som allerede statuerer en lang række rettigheder til beskyttelse af enkeltpersoners personlige oplysninger.

Retten til at blive glemt er oprindelig en fransk idè, og kan konstrueres på to måder. Den ene har sammenhæng med, at der i fransk lov er et forbud mod ubestemt lagring af persondata, således at den dataansvarlige skal fastsætte en datalagringsperiode, der er forenelig med formålet. Retten til at blive glemt relaterer sig til de yderst sjældne tilfælde, hvor det er nødvendigt at slette persondata. Den anden betydning vedrører retten til berigtigelse og indsigelse. Disse to rettigheder pålægger den dataansvarlige at slette data i de tilfælde, hvor de er ukorrekte, forældede eller hvor dataindsamling slet og ret er forbudt. Det er således ud fra den oprindelige forståelse af begrebet en misforståelse, at man til hver en tid kan kræve, at den dataansvarlige skal slette vedkommendes persondata.

Disse rettigheder følger dog  allerede af den danske persondatalov, herunder at den registrerede til hver en tid  kan tilbagekalde sit samtykke (§ 38), men det vil bero på en konkret vurdering, om oplysningerne skal slettes eller blot blokeres.

Men her går Viviane Reding et skridt videre med en præcisering af, at EU-borgeren ikke alene skal have en mulighed for, men en ret til at tilbagekalde et tidligere givet samtykke til databehandling. Bevisbyrden for at opbevaring af persondata er nødvendig, skal ligge hos den dataansvarlige. Redings talsmand Matthew Newman udtaler endda, “at der ikke må være den mindste flig af information tilbage på en server et eller andet sted. Det er dine data og de bør være væk for evigt.” { “there shouldn’t even be a ghost of your data left in some server somewhere. It’s your data and it should be gone for good.”} Neelie Kroes, EU-kommissær for den digital dagsorden har endvidere i en tale sidste år nuanceret begrebet ved at fremhæve, at det ikke kun er et spørgsmål om at slette data. “Ligesom i det virkelige liv kan man ikke gå ud fra, at der ikke eksisterer optegnelser over ens tidligere aktiviteter. Det der betyder noget er, at disse data uigenkaldeligt anonymiseres, før der gøres brug af dem.”

Ønsket om at blive glemt korresponderer med det synspunkt, at den digitale historik, som vi skaber online, både med vilje og nogle gange uforvarende, skal have lov til at forsvinde gennem en proces, der kaldes for datanedbrydning. Om sidstnævnte princip kan henvises til Data Degradation: Making Private Data Less Sensitive Over Time. Der vil være tale om en betragtelig mængde af elektroniske spor, som man aflægger på kryds og tværs på internettet.

Det er højst tvivlsomt om retten til at blive glemt vil blive en international standard og dermed et slagkraftigt princip uden videre. Eksempelvis garanterer som bekendt Den amerikanske forfatning ikke direkte privatlivets fred, selvom den amerikanske højesteret imidlertid i en række domme har slået fast, at andre garantier implicit sikrer privacy, som dog i visse tilfælde begrænses af den forfatningssikrede ytringsfrihed i First Amendment. Konceptet om “frihed til at observere” processer og data hyldes i udpræget grad ligesom det er en gængs amerikansk opfattelse, at “persondata er magt” og opfattes som en decideret vare (intellektuel rettighed).

I skærende modsætning hertil vil en europæisk debat om beskyttelse af privacy tage udgangspunkt i et menneskerettighedsmæssigt perspektiv, hvilket jeg personligt bifalder fuldt ud. Man kan ikke tale om kommerciel ejendomsret i forbindelse med privacy, fordi privacy er knyttet til det at være et menneske som sådan. Denne ret kan ikke fraviges eller overføres til andre (enten kommercielt eller af andre grunde). Man kan også udtrykke det således, at menneskerettighederne udgør og opretholder en persons personlige integritet og at privacy er en ret (værdi), som man bliver nødt til at beskytte, fordi privacy styrker tillid og tryghed blandt mennesker. Som udgangspunkt ejer man derfor selv sine personlige data. Om ejerskab og ophavsret til persondata kan i øvrigt henvises til Hvem “ejer” dine data?

Med dette tankesæt på plads giver det mening med princippet om retten til at blive glemt. Der er behov for at give forbrugeren flere universelle online-rettigheder og retten til at blive glemt er et perspektivrigt almengyldigt privacy by design-princip, såfremt det får retsvirkning i både den private som offentlige sektor. Men før dette princip kan realiseres er der imidlertid behov for at præcisere begrebet. I den forbindelse kan det overvejes at gøre princippet flerstrenget ved bl.a. at inkorporere det franske koncept. Endvidere er det væsentligt at gøre retten til at blive glemt operationelt som en såkaldt privatlivsfremmende teknologi i tilknytning til passende modeller for retshåndhævelse. Når data er lagt ud i offentlig domæne vi det være teknisk meget vanskeligt effektivt at indfange, eftersom data kan være tilgængelig på adskillige servere verden over. Dette problem synes at blive aktualiseret i yderligere grad i forbindelse med cloud computing, hvor det kan frygtes, at formidling og overlapning af personlige oplysninger vil medføre, at man aldrig rigtig kan være sikker på, at en udrensning vil hindre at data alligevel dukker op før eller siden. Hertil kommer, at princippets globale rækkevidde og dermed dets egentlige nyskabende værdi forudsætter en international implementering også uden for EU og det har efter alt at dømme lange udsigter.

Privacy International: Privatlivsbeskyttelsen halter i Danmark som i resten af Europa


Den engelske vagthunds-organisation Privacy International (PI)  har med egne ord  i over 20 år været en kraftig fortaler for beskyttelsen af det enkelte menneskes privatliv i forhold til regeringer og virksomheder. PI betragtes af mange som verdens mest markante og kompetente privacy NGO.

Privacy International har netop taget temperaturen på Europas privacy med udgivelsen  på databeskyttelsesdagen 28. januar af  en omfattende rapport under titlen “European Privacy and Human Rights (EPHR) 2010”. Rapporten, støttet af EU-Kommissionen, undersøger det europæiske landskab for de enkelte landes love og regler for privacy og databeskyttelse samt eventuelle andre love eller den seneste faktiske udvikling, der har haft indvirkning på privatlivets fred i de seneste to år. Udover  analyserne land for land indeholder undersøgelsen også en komparativ analyse af vigtige privacy emner samt et afsnit med alle større ændringer land for land. En privacy-rangfølge viser i  fugleperspektiv den væsentligste udvikling og opsummerer med en klassificering af privacy-status i hver enkelt land, fra dem, der “konsekvent beskytter menneskerettighedsnormerne” (bedste klassificering) til dem, hvor “endemisk overvågning” {i betydningen omfattende overvågning} hersker (laveste klassificering). Her imellem ligger lande, der  har “tilstrækkelige garantier mod misbrug” (tilfredsstillende klsssificering), præsterer en “systemisk svigt i at  efterleve sikkerhedskontrol” (utilstrækkelig klassificering) eller viser tegn på “en omfattende overvågning” (meget dårlig klassificering).

Nøgleresultaterne viser derefter de enkelte lande på en karakterskala, som de “gode” (“europæiske demokratier (…) der besidder et godt helbred “, med et” flertal af lande, der har en forfatningsmæssig beskyttelse”), eller dem, hvor  der har fundet en “heroisk ” advokering, kampagner eller protester sted, der har forsinket eller forhindret indskrænkning af privatlivet eller overvågning fra statens side.

Som Privacy International fastslår, så er Europa i front i verden med hensyn til privacy beskyttelse, men fremadrettet bekymrer denne førerposition Privacy International. PI´s synspunkt er selvsagt, at dukserollen forpligter.

I  sammenfatningen af rapportens nøgleresultater fremgår det, at til trods for at databeskyttelsesdirektivet er implementeret i EU-landene og andre europæiske lande, så er regelsættet ikke harmoniseret. Undtagelser og smuthuller under dække af “national sikkerhed” hæmmer privacy praksis, minimerer privacy beskyttelsen og forhindrer et effektivt tilsyn med privacy.

Hovedkonklusionen er, at situationen er uensartet og det er ifølge Privacy International uholdbart og ikke overbevisende.

Herefter omtaler undersøgelsen en række begivenheder, som har fået privacy-barometrets kviksand til enten at stige eller falde. Hvad der blandt andet betegnes som godt i rapporten er, at flertallet af de europæiske lande har en forfatningsmæssig beskyttelse af privacy og at de europæiske tilsynsmyndigheder får flere og flere klager, hvilket PI tager som et tegn på øget bevidsthed om privacy og tilsynsmyndighedernes opgaver. At 34.000 borgere i Tyskland indgav en klage for forfatningsdomstolen mod datalogning og at en NGO-kampagne har medført at den nye regering i Storbritannien har ophævet indførelsen af ID-kort, det biometriske pas 2.0, DNA-praksis og store databaser, bliver endog udråbt som heroisk.

Derimod benævnes det som akavet, at eksempelvis implementering af biometriske pas og datalogning er fragmenteret og at indgreb uden dommerkendelse stadig eksisterer i alt for mange lande, f.eks. i Irland, Malta, og Storbritannien. Endvidere er det dårligt, at f.eks. Tyskland, og Schweiz har beføjelser til at foretage hemmelig ransagning af computere og at e-sundhedssystemer har sikkerhedsproblemer og/eller centrale databaser i Frankrig, Tyskland, Italien, Nederlandene. Af deciderede grimme ting fremdrages bl.a. manglende evne til revision og evaluering af  efterretningstjenesters aktiviteter   f.eks.  i Litauen, Kroatien, Estland, Ungarn, Sverige samt etableringen af medicinske databaser med centrale registre i  Kroatien, Tjekkiet, Danmark, Sverige, Norge og Storbritannien.

I henhold til rapporten placeres Danmark samlet set i kategorien “systemisk svigt i at  efterleve sikkerhedskontrol” og opnår dermed en utilstrækkelig klassificering. Det skyldes først og fremmest den gældende logningsbekendtgørelse, de centrale sundhedsregistre, efterretningstjenesternes dataadgang samt andre EU-medlemsstaters elektroniske adgang omend begrænset til de danske dna- og fingeraftryksregistre. Danmark deler hermed skæbne med størstedelen af de europæiske lande. En ringe trøst vil mange mene. Kun Grækenland og Cypern har en bedre rating, men intet europæisk land opnår  forventelig nok en topplacering, mens derimod Tyrkiet, som det eneste land betragtes som et udpræget overvågningssamfund.

Souschef Christoffer Badse, Institut for Menneskerettigheder og advokat Michael Hopp, Plesner advokatfirma, har medvirket ved udarbejdelsen af den danske undersøgelse, hvortil der her henvises til den engelske version, da den danske oversættelse sine steder er mangelfuld.  Der  er en ganske glimrende oversigt over love samt administrativ- og retspraksis på området, som er nyttig for enhver der beskæftiger sig med privacy og persondatabeskyttelse. Rapporten vil uden tvivl bidrage til større forståelse for privacy i den løbende danske debat. At rapporten bl.a. roser den almindelige tyskers  kritiske engagement og  bevågenhed, der dog til dels kan begrundes i Tysklands forhistorie, er velvalgt. Man kan kun håbe at det også i Danmark på sigt vil være muligt at arrangere demonstrationer og kampagner med en mediedækning i selv den bedste tv-sendetid. Således er det sikkert, at næsten 250.000 tyskeres krav om pixelering af deres ejendom i Google´s Street View service, vil få indflydelse på Google´s forretningsmodel ikke alene i Tyskland men også i resten af Europa.

Rapporten er helt sikkert det mest omfattende dokumentationsmateriale om privacy- og databeskyttelse i verden til dato. Det er en rigtig god ide at sætte privacy og databeskyttelse i en referenceramme for menneskerettigheder og er faktisk selvindlysende efter at den Europæiske Menneskerettighedskonvention (EMRK) med Lissabontraktaten er blevet en del af  EU`s charter om grundlæggende rettigheder, og dermed har direkte  retsvirkning i EU medlemslandene. Danmarks placering er der sådan set ikke noget at sige til. Den overrasker ikke og kan ikke blive bedre, men heller ikke værre. Det er dog værd at hæfte sig ved, at en række privacyforbedrende tiltag i EU-regi er på vej og de vil uden tvivl blive gennemført i Danmark så vel som i de andre EU-lande. Der tænkes her først og fremmest på en forventelig styrkelse af den generelle persondatabeskyttelse med revisionen af EU´s persondatadirektiv så vel som en begrænsning af indsamlingen af trafikdata i henhold til logningsdirektivet.

Nedenfor anføres links til selve rapporten samt yderligere ressourcer.

The European Privacy & Human Rights 2010 (EPHR).

Introduktionsvideo “EPHR” projektet samt en kort præsentation af undersøgelsen.

EU-Kommissionen opstiller strategi til styrkelse af EU´s databeskyttelsesregler


At vi hver især kan kontrollere og få adgang til samt ændre eller slette vore egne personlige data er grundlæggende rettigheder, som skal garanteres i nutidens digitale verden. Brugergennemsigtighed eller oplysning om, hvad der sker med ens personlige data, hvordan det sker og hvem der forestår behandlingen, går naturligt hånd i hånd med brugerkontrol.

Med henblik på at løse disse problemer har EU-Kommissionen for nylig opstillet en strategi for hvordan den enkeltes personlige data kan beskyttes indenfor alle policy-områder, herunder retshåndhævelsen, og samtidig reducere erhvervslivets administrative byrder og garantere informationsfriheden i Europa. Denne revision af politikområdet vil blive anvendt af Kommissionen sammen med resultaterne af den offentlige høring af EU’s databeskyttelsesdirektiv fra 1995. Kommissionen vil derefter fremsætte forslag til lovgivning i 2011. Desuden vil Kommissionen undersøge andre foranstaltninger, såsom fremme af oplysningskampagner om databeskyttelsesrettigheder og mulige selvregulerende initiativer fra industrien (adfærdskodeks).

“Beskyttelsen af personoplysninger er en fundamental rettighed,” udtaler Viviane Reding, kommissær for retlige anliggender, grundlæggende rettigheder og EU-borgerskab. “For at garantere denne ret, har vi brug for klare og sammenhængende databeskyttelsesregler. Vi er også nødt til at bringe vore love ajour med de udfordringer, som er en følge af nye teknologier og globaliseringen.”

I pressemeddelelsen fremhæves 5 forslag til hvordan EU´s rammeværk for databeskyttelse kan moderniseres ved hjælp af nogle centrale målsætninger:

  • Styrkelse af de individuelle rettigheder (dataminimering, information og gennemsigtighed, brugersamtykke, “retten til at blive glemt”)
  • Styrkelse af EU´s indre marked (begrænsning af virksomhedernes administrative byrder, lige markedsvilkår)
  • Revision af databeskyttelsesreglerne i forhold til politisamarbejde og strafferet (sammenhængende regelsæt i henhold til Lissabontraktaten, datalogningsdirektivet)
  • Sikring af et højt beskyttelsesniveau for overførsel af persondata til lande uden for EU ( strømlining af procedurer og global standarder)
  • En mere effektiv retshåndhævelse (harmonisering af myndighedernes beføjelser, bedre samarbejde og koordinering i hele det indre marked)

Udmeldingen fra Kommissionen om en generel styrkelse af privacy er yderst prisværdig og den seneste i en perlerække af erklæringer, konferenceindlæg og rapporter udsendt respektive afgivet af ikke alene EU-Kommissionen og EU-Parlamentet, men også en række EU-organer, som f.eks. Den Europæiske Tilsynsførende for Databeskyttelse og WG-29 arbejdsgruppen samt Europarådet. Men man tør roligt sige, at det er en stor udfordring at få det hele til at gå op i en højere enhed.

Monique Goyens, generaldirektør for Den Europæiske Forbrugerorganisation, kendt under den franske forkortelse, BEUC udtaler i forbindelse med pressemeddelelsen følgende: “Kommissionen har plantet et flag der viser, at forbrugernes ret til privatlivets fred ikke bør undermineres blot fordi det er blevet nemmere og mere rentabelt at bryde den i den virtuelle verden”.

Derimod fastslår advokat Wim Nauwelaerts fra Hunton & Williams, Bruxelles, der besidder betydelig international ekspertise i privacy og databeskyttelse : “Det ser ud til, at Europa-Kommissionen ikke forventer en større revision af de eksisterende databeskyttelsesregler, men den har ret i behovet for en harmonisering”.

Bemærkningen skal tilsyneladende ses i lyset af, at Kommissionens meddelelse ikke er særlig konkret og bl.a. ikke allerede nu præciserer, hvorvidt internetvirksomheder skal have brugerens udtrykkelige tilladelse før de gør brug af eller deler vedkommendes personlige oplysninger.

Om der skal være et krav om tilvalg eller fravalg for forbrugeren af information og/eller onlinetjenester, der indebærer indsamling og behandling af personoplysninger, er et traditionelt kernestridspunkt i forholdet mellem privacy-fortalere på den ene side og internetvirksomheder på den anden side. Industrien gør gældende, at en regel om tilvalg af onlinereklamer vil hæmme udviklingen af tjenester, der tilpasser online-annoncering med webbrugerens personlige interesser, som afspejlet i de websteder han eller hun besøger eller de præferencer han eller hun giver udtryk for i sociale netværk og andre online fora. Ud fra et markedføringssmæssigt synspunkt kan det være med til at udvande en af internettets absolutte fordele i forhold til de gammelkendte reklamemedier. Det hævdes, at annoncører foretrækker et fravalg for forbrugeren, fordi denne option simpelt hen ikke forventes at ville blive benyttet. Sidstnævnte hænger uden tvivl sammen med, at forbrugerne i stort omgang ikke er klar over, at de bliver sporet.

Sikkert under indtryk af, at reklamebranchen er en af de brancher, der booster hurtigst efter finanskrisen og under indtryk af at for restriktive privacy-regler kan hæmme amerikanske virksomheders vækst og innovation, har FTC i følge en rapport fra 2009 godkendt en løsning baseret på en branchekodeks med en form for fremtrædende online advarsel og opt-out-valg til forbrugeren som tilstrækkelig indtil videre.

Det er ikke til at sige hvordan de europæiske regler på dette punkt i sidste ende vil blive, men mon ikke databeskyttelsen for den europæiske forbruger vil blive styrket og bedre i forhold til det amerikanske regelsæt. Når det er sagt, synes en almengyldig, obligatorisk og ufleksibel tilvalgsregel efter min opfattelse næppe at være gennemførlig simpelt hen fordi den vil være teknisk umulig at implementere og retshåndhæve effektivt. Meget kunne imidlertid tale for at det regelsæt for krav til tilvalg/fravalg, som den canadiske privacy kommissær generelt  har fastsat, er et udmærket udgangspunkt for et europæisk reglement, der vil kunne bestå af  dels retlige minimumskrav og dels selvregulerende brancheadfærdskodekser samt en forbrugermærkningsordning og anvendelse af privatlivsfremmende teknologier, tilpasset specielt til internettet.

Det er min klare opfattelse, at det i det lange løb vil tjene den seriøse del af reklamebranchen og internetvirksomhederne, herunder sociale netværkstjenester som Facebook, bedst at medvirke til at respektere privatsfæren og garantere forbrugeren en sikker og tryg oplevelse ved at gå på internettet og at anerkende en åben og ærlig kommunikation/introduktion af branchegodkendte privacyikoner over for potentielle kunder og brugere i stedet for at forsøge at “manipulere sig til” et salg af varer og tjenesteydelser, for nu at sige det lige ud.

Et andet emne, som synes at være i alles interesse er ens regler for databeskyttelse i hele EU. Mange forskellige fortolkninger af eksisterende lovgivning på tværs af EU-landene er til skade for det indre marked og hæmmer udviklingen af cloud computing-tjenester, hvor personoplysninger krydser nationale grænser.

At der er behov for et samlet regulatorisk rammeværk for privacy og databeskyttelse i Europa, der fastsætter klare regler for ansvar og forpligtelser, har i gennem længere tid været efterlyst af især globale virksomheder. Senest har Microsofts koncernchef Steve Ballmer fremsat bemærkninger herom under en rundbordssamtale ved Government Leaders Forum, en event sponsoreret af Microsoft og som fandt sted i London 4.11. 2010.

Sidst men ikke mindst er det værd at fremhæve strategimålsætningen med hensyn til en ny udformning af logningsdirektivet som den danske logningsbekendtgørelse hviler på. Det synes nærliggende at antage at persondatabeskyttelsen vil blive styrket med hensyn til f.eks. hvor og hvordan teledata opbevares, samtidig med at der sker en større EU-harmonisering, herunder hvor længe teledata skal opbevares.

Link til pressemeddelelsen her.

EU-ekspertrapport anbefaler en grundlæggende tilgang til databeskyttelse


Europa-Kommissionen, Generaldirektoratet for Retfærdighed, Frihed og Sikkerhed har netop offentliggjort en ekspert-rapport der på ny understreger, at en revision af EU´s persondatadirektiv skal leve op kravene i henhold til den europæiske menneskerettighedskonvention og medlemsstaternes forfatninger. Det fremhæves i rapportens resumé, at persondatadirektivets principper, bestemmelser og kriterier er en del af de grundlæggende menneskerettigheder, og at de har bestået sin prøve, selvom de i visse henseender har et behov for at blive styrket.

Rapporten fremhæver også det i den løbende debat tidligere fremførte argument, at persondatadirektivet til trods herfor  ikke har været tilstrækkelig implementeret og håndhævet og det er den teknologiske udvikling, der er årsag hertil,omend visse nye teknologier kan medvirke til en bedre gennemførelse af direktivet.

Eksperterne mener, at databeskyttelseslovgivningen i EU derfor fortsat bør være baseret på principperne i direktivet og at implementeringen af disse bredt formulerede standarder skal præciseres, hvorimod der ikke er behov for en egentlig revision. Tværtimod udtrykker rapporten, “at direktivet reflekterer europæiske og nationale standarder for forfatnings- og menneskerettigheder, som der er et tvingende behov for at få genbekræftet”. Herefter opstilles en række anbefalinger som følger:

  • Databeskyttelsesprincipperne bør umiddelbart udstrækkes til alle områder, som før har været omfattet af de forskellige EU søjler, herunder søjle 3 aktiviteter [kriminalitetsbekæmpelse]
  • Standardindstillingerne for sociale netværkstjenester bør være privacyvenlige
  • Klarere regler for hvad der er gældende lovgivning for virksomheder inden for og uden for EU/EEA
  • Mere harmonisering baseret på fortolkninger og formulering af “best practice” af WP29 i konsultation med EU-Kommisisonen
  • Mere samarbejde med ikke-EU-lande
  •  Behov for at sikre en langt større overensstemmelse med eksisterende lovgivning ved hjælp af PIA´s, privacy audits eller privacy seals
  • Behov for at styrke individets rettigheder og retshåndhævelsesmidler (muligvis sammen med eller gennem relevante  NGO´ere) og
  • Behov for at videreudvikle supplerende og alternative foranstaltninger (og samtidig forstå indbyggede begrænsninger og praktiske restriktioner for sådanne foranstaltninger) på baggrund af realistiske og tekniske undersøgelser

Hovedbidragene til rapporten er forfattet af  Dr. Ian Brown, University College London og professor Douwe Korff, London Metropolitan University. Specielle ekspertbidrag er bl.a. professor Chris Hoofnagle, University of California og professor Peter Blume fra Københavns Universitet.  Professor Ross Anderson, University of Cambridge og privacy strategist Caspar Bowden, Microsoft har blandt andre fungeret som rådgivere.

Rapporten er et vægtigt stykke arbejde, hvis anbefalinger er i harmoni med tidligere bidrag fra andre eksperter og som efter min personlige opfattelse fuldt ud kan tiltrædes.  Rapportens perspektivering i relation til de europæiske forfatnings- og menneskerettigheder er god og væsentlig.

Af rapportens mange interessante temaer og vurderinger vil jeg alene knytte nogle yderligere kommentarer til teknologiaspektet, netop fordi rapportens forfattere fremhæver, at   spørgsmålet om datasikkerhed også hænger sammen med spørgsmålet om de såkaldte privacy enhancing technologies (privatlivsfremmende teknologier). Disse databeskyttelsesværktøjer bør klart være en lovmæssig integreret del af  defaults for opsætning af parametre til internet brug.

Rapporten fremhæver eksempelvis, at det franske datatilsyn, CNIL i lang tid har anbefalet indførelsen af privacy enhancing technologies og har et tæt samarbejde med erhvervslivet. Ifølge fransk lovgivning har CNIL nu mulighed for at fremkomme med en udtalelse om en bestemt PET-løsning overholder gældende lov og yder reel beskyttelse. På denne måde kan CNIL “blåstemple” bestemte produkter (eller tilbageholde en sådan godkendelse).

Det er en udmærket ide at overveje nedsættelsen af et særligt organ af databeskyttelsesmyndigheder i EU/EEA (European Economic Area) i tæt samarbejde med artikel 29- arbejdsgruppen og EU-Kommissionen vedrørende spørgsmål om European Privacy Seal, europæiske adfærdskodeks og de såkaldte Binding Corporate Rules (BCR). ekspertholdet har her ladet sig inspirere af den praksis der har udviklet sig i den tyske delstat Schleswig-Holstein, hvor det anerkendte Unabhängiges Landeszentrum für Datenschutz (ULD) er koordinator på EuroPriSe Project  (The European Privacy Seal). Der er endnu ikke blevet certificeret eksperter (teknisk/juridisk) fra Danmark.

Rapportens undersøgelse af de potentielle fordele og begrænsninger og konstateringen af det manglende markedsgennembrud for PETs er yderst relevant. Løsningsforslagene er et centralt punkt i rapporten. Jeg er helt enig i, at yderligere lovgivning, f.eks. et krav om notifikation og straf ved databrud [der foreløbig er på vej i EU gældende for telekommunikationsbranchen], helt sikkert vil medvirke til at gøre det økonomisk attraktivt at beskytte privacy. Ligeledes er det sund fornuft at fremme PETs i forbindelse med offentlige udbudskrav, udstedelse af privacy-certificeringer (privacy seals) samt indførelsen af en regel om, at bevisbyrden for databeskyttelse placeres hos den, der bedst er i stand til at sikre databeskyttelsen i stedet for at sende regningen videre til forbrugeren.

Desuden vil jeg gerne fremhæve, at standardiseringsarbejdet indenfor privacy forceres og udbygges. For så vidt angår en lov om notifikation ved databrud er det min personlige opfattelse, at en sådan regel skal være obligatorisk for alle ( virksomheder, organisationer og myndigheder) og at man bør vægte notifikationspligten højere end de pønale hensyn.  En kombination af nye lovkrav, selv- eller medregulering og supplerende mekanismer synes at være vejen frem.

Det står efterhånden klart, at det danske datatilsyn bør have tilført yderligere ressourcer og teknisk ekspertise til en mere aktiv rolle. I den forbindelse har jeg selv ved flere lejligheder foreslået et nærmere samarbejde mellem en række aktører og Datatilsynet, præcis som ekspertrapporten plæderer for (på linje med Rand-rapporten fra sidste år).  På dette sted giver det også mening på ny at opfordre relevante private organisationer og erhvervslivet til aktivt at arbejde for udbredelsen af diverse adfærdskodeks, som persondataloven åbner mulighed for.

Download den endelige rapport her. Som bilag til rapporten er udfærdiget 2 arbejdsdokumenter, henholdsvis  The challenges to European data protection laws and principles og  Data protection laws in the EU: The difficulties in meeting the challenges posed by global social and technical developments. Rapporten omfatter også en række landestudier, herunder af Danmark, som professor Blume har stået for.  Der findes også et sammendrag af rapporten.

Artikel 29-arbejdsgruppen har offentliggjort arbejdsprogrammet for 2010-2011


EU´s artikel 29-arbejdsgruppe vedrørende databeskyttelse og privacy har netop offentliggjort sit arbejdsprogram for 2010 og 2011.

Arbejdsgruppen er nedsat i henhold til artikel 29 i  direktiv 95/46/EF (EU´s databeskyttelsesdirektiv). Det er et uafhængigt EU-rådgivningsorgan for databeskyttelse og privacy og består af de 27 EU-landes respektive datatilsyn samt Den Europæiske Tilsynsførende for Databeskyttelse. Dets opgave er beskrevet i artikel 30 i direktiv 95/46/EF og artikel 15 i direktiv 2002/58/EF.

De strategiske temaer, som arbejdsgruppen vil fokusere på er:

  1. implementering af databeskyttelsesdirektivet og arbejde for et fremtidigt overordnet juridisk rammeværk jfr.  artikel 29-arbejdsgruppens redegørelse om “The Future of Privacy”
  2. globalisering
  3. teknologisk udvikling
  4. styrke effektiviteten af WP 29 og de nationale datatilsynsmyndigheder med hensyn til efterforskning og retshåndhævelse, herunder harmonisering af tilsynsmyndighedernes beføjelser og samarbejde
  5. aktuelle emner

– hvorefter artikel 29-arbejdsgruppen især vil arbejde med:

  • fortolkning –
  • implementering af det reviderede databeskyttelsesdirektiv
  • overveje Lissabon-traktatens indvirkning
  • Binding Corporate Rules (BCR),  Safe Harbor ordningen, tilstrækkeligheden af tredjelandes regimer
  • internationalt standardiseringsarbejde, f.eks. ISO, Madrid deklarationen, gennem-gang af OECD´s guidelines
  • cloud computing
  • profilering og annoncering baseret på forbrugeradfærdsbestemte data
  • søgemaskiner og “retten til at være alene”
  • sociale netværkssider
  • privacy konsekvensanalyser af RFID
  • finansielle anliggender
  • rejsendes personlige data
  • opdatere WP80 on biometrics
  • mulig opdatering af WP73 on eGovernment and ID management

Arbejdsprogrammet fokuserer på yderst aktuelle og relevante emner. Med henblik på at fastholde og meget gerne styrke en hensigtsmæssig forskning og udvikling samt en lødig debat bør WP29’s prioriteringer for de næste 2 år også få afsmittende indvirkning på danske indsatsområder om privacy og databeskyttelse.

EU fastholder at privacy skal have høj prioritet


I forbindelse med den 5.  ministerielle eGovernment Konference 2009, som blev afviklet 18. november 2009 i Malmø, har Ministerrådet offentliggjort en erklæring om EUs eGovernment strategi frem til 2015. 

De ministerielle eGovernment konferencer bliver afholdt hvert andet år af EU Kommissionen og det skiftende EU formandskab. Målet er at overvåge fremskridt og identificere politiske og forskningsmæssige fremtidige prioriteringer.

I en pressemeddelelse i forbindelse med offentliggørelsen udtaler Mats Odell, svensk minister for lokalstyre og finansielle markeder og den der ledede mødet: “Vi ønsker at arbejde sammen om at styrke vores borgere og skabe en mere åben offentlig administration. Vi vil gøre det lettere for europæiske borgere og virksomheder at bevæge sig på tværs af grænserne. Det skal være nemt at studere i Stockholm, arbejde i London, gå på pension i Italien og at gøre brug af mulighederne i det indre marked. Samtidig vil vi skabe en enklere og grønnere administration.”

I dag føler mange, at der er en kløft mellem stat og befolkning. eGovernment kan bruges til at genskabe kontakten mellem borgerne og deres valgte politiske repræsentanter. Erklæringens ånd er, at eGovernment skal bruges til at åbne døren til den offentlige forvaltning på en ny og innovativ måde.

Det fremgår afslutningsvis af pressemeddelelsen, at EU-Kommissionen opfordres til at koordinere medlemsstaternes aktiviteter og organisere styringen af gennemførelsen gennem en særlig styringsgruppe, der mødes regelmæssigt for at foreslå tilpasninger af de prioriterede områder.

Erklæringen er værd at hæfte sig ved i relation til privacy, fordi  det udtrykkeligt understreges, at e-Government visionen skal understøttes af national og europæisk lovgivning om privacy og databeskyttelse (punkt 7).

For så vidt angår målet om at reducere de administrative byrder for borgere og virksomheder, fremhæves respekten for privacy og databeskyttelse som afgørende for en styrkelse af tillid og tryghed.  For at borgerne og virksomhederne vil benytte sig af services, der baserer sig på elektronisk udveksling af informationer, skal tillid og sikkerhed være en integreret del af denne service (punkt 17).

Man kunne egentlig have ønsket sig en selvstændig fremhævelse af privacy i erklæringen og måske nok en noget større implementering siden Manchester-erklæringen fra 2005, men efter omstændighederne er denne markering fra EU tilfredsstillende. Det bemærkes i den sammenhæng at privacy og databeskyttelse blev forbigået i den foregående erklæring, der blev udfærdiget i Lisabon i 2007. Der sendes et politisk signal, som vil befordre den stigende opmærksomhed om privacy og databeskyttelse på europæisk plan og som givetvis vil få indflydelse også på dansk lovgivning.

Man kan eksempelvis med god grund opfatte den spritnye justitsministerielle instruks til chefen for Politiets Efterretningstjeneste sammen med nye retningslinjer for Politiets Efterretningstjenstes behandling af personoplysninger mv.  som et initiativ med det formål at styrke retssikkerheden og skabe større åbenhed omkring behandlingen af personoplysninger. Ganske vist er der i det væsentligste tale om en formalisering af en allerede knæsat praksis, men den politiske markering bør efter min opfattelse ikke undervurderes som en indikation på at yderligere tiltag til styrkelse af privacy og databeskyttelse er på vej.