The Honourable Justice Michael Kirby appointed honorary member of Dansk Privacy Netværk

The Hon Michael Kirby AC CMG, former Justice of the High Court of Australia, serving from 1996 to 2009, has been appointed honorary member of Dansk Privacy Netværk (Danish Privacy Network). In his role as honorary member, Michael Kirby will advise the network on international privacy and human rights issues and joining Dansk Privacy Network in promoting the importance of privacy and data protection in a globalized world.

“Michael Kirby´s dedication and activism has over a sustained period of time made significant impact on human rights and privacy and for this he has been recognized worldwide.  We are truly honored to have the pleasure to work with  Michael Kirby in the future”, said Frederik Kortbæk, LL.M. and coordinator of Dansk Privacy Netværk.

As a contribution Michael Kirby is pleased to post one of his two speeches he gave at the OECD in Paris in March 2010, on the 30th anniversary of the OECD Guidelines on Privacy as follows:

One does not normally think of the OECD as a sentimental organisation, afflicted by nostalgia.  It was therefore a surprise to be invited back to the Chateau de la Muette to join in this reflection on the 30th anniversary of the adoption of the OECD Guidelines on Trans-border Data Flows and the Protection of Privacy of 1980 (the “Guidelines”).

I chaired the expert group established under DSTI/ICCP which was tasked with preparing the Guidelines in less than two years.  The final meeting that adopted the Guidelines and recommended them, ultimately to the Council of the OECD, took place in this room of the Chateau.  Before the magnificent new conference centre was built, adjoining the Chateau, we did not ordinarily meet in such congenial venues.  Normally, we were consigned to a large meeting room in a dungeon in the Secretariat building.  This isolated us from the beauties of Paris and civilisation, we had no alternative but to concentrate on our work and to get it completed as quickly as we could.  When we concluded our work, it was like a scene from Fidelio.  We were like prisoners, released into the sunlight of the Chateau, photographed on its steps and collected under the flags of the OECD nations, then fewer in number than is the case today.  Essentially, at that time, the OECD was confined to the democratic market economies of Western Europe, North America, Japan and Australasia.  So I return with pleasure to this room that is full of memories of the remarkable personalities who worked to achieve the success that the Guidelines have undoubtedly proved to be.

I am specially glad to return to this room and the meeting of the Working Party on Information Security and Privacy (WPISP), chaired by a fellow Australian, Keith Besgrove.  I am not sure how he was elected to his high office.  Indeed, I am not sure how that privilege fell to me.  I was sent to Paris in 1978 because the Australian Law Reform Commission, of which I was then Chairman, was mandated by the Australian government to prepare new federal laws on privacy protection.  Dialogue with experts from countries with similar legal and economic circumstances was considered useful to our task.  That is how I made it to Paris.  I can only assume that my election to chair the expert group came about because the member countries outside Western Europe were deeply suspicious of the bureaucratic tendencies of the European culture.  For their part, the Europeans could not tolerate the idea of a non-European chair for the expert group, at least not one from a nation of significant economic and political power.  I presume that that is how the choice fell to me.  Perhaps like Chairman Besgrove, it is best not to enquire too closely as to how the electoral process in OECD delivered our respective names.

A trans-continental committee of experts thus began its enquiry 32 years ago.  It was stimulated by outstanding assistance from the OECD Secretariat, led in this instance by Mr. Hanspeter Gassmann, assisted by Professor Peter Seipel (Sweden) as consultant, and by Miss Alice Frank, also of the Secretariat.  I pay tribute to the assistance of the OECD officials.  Since 1980, I have worked in many United Nations and international organisations.  None can boast of a more talented team of officials than the OECD.

Why did the OECD establish such a group?  This is not generally an institution devoted to human rights concerns, such as the protection of individual privacy.  Generally speaking, basic rights, the rule of law and democratic governance are broad assumptions upon which the OECD operates for the provision of technical advice and assistance, mainly on economic and technological issues.  There have been exceptions, such as the important work of the Organisation to confront international corruption and to address issues of nuclear power and climate change.  But, ordinarily, this is not a house concerned with human rights protection.  That task is generally left to other bodies, including UNESCO, whose seat is established on the other side of this city.  So why the sudden interest of the OECD in protecting privacy in the context of trans-border data flows (TBDF)?

The answer to that question can be derived from the historical background to the establishment of the expert group and the commonalities of the technology that lay behind the need for international guidelines.  So far as the background was concerned, it can be traced to the recognition, after the Second World War, in human rights instruments such as the Universal Declaration of Human Rights (Art.12), of the basic right to privacy.  Elaborations of that notion followed in the 1960s in academic writing (such as that of Alan Westin, Paul Sieghart and Professors Rule and Cate of the United States), and in official reports (such as those of Kenneth Younger (UK) and Bernard Tricot (France)) addressed to the particular problems of privacy in the context of the new technology for automated data processing.  The capacity of this technology to expand and expedite the analysis of personal data and to create connections not otherwise perceived was recognised as presenting new problems for privacy as that notion was to be understood in its wider, modern sense.  That recognition led to initiatives in various international bodies that provided the background for the OECD’s work:
 In the Nordic Council in 1971, where the Scandinavian member states of the OECD built upon the early work on legislation for privacy protection in Sweden, beginning in 1969, reported in 1972 and resulting in one of the first data protection laws in 1973;
 The Council of Europe, in turn, drew upon the foregoing in the development of ministerial resolutions in 1973 and 1974 and in the design of a Convention (No.108) addressed to the various consequences of automated personal data;
 The Commission of the European Economic Community (as the European Union was then named) also began work that would ultimately bear fruit as the influential European Union Directive on privacy; and
 Other international bodies also became interested, including UNESCO, and, by 2000, the Asia-Pacific Economic Co-Operation Organisation (APEC) with its Privacy Framework addressed to the member states in that fast-growing region of the world.

Some of the foregoing developments lay in the future as we met for the first time at OECD in 1978.  But this much was already clear.  The technology of informatics was fast changing.  Even by 1978, it was apparent that the technology was increasingly transnational.  Its social consequences could not be exhaustively dealt with by national laws.  TBDF were becoming an established feature of the application of informatics.  There was therefore a need for commonality in the approaches adopted by member states of the OECD.  Otherwise, the beneficial advantage of TBDF for freedom in the flow of facts and opinions and for creative ideas for economic and social development, might be impeded.

Within Western Europe, by 1978, it was possible to bind the approaches of member states of the Council of Europe to a binding treaty, agreed amongst those states to reflect the highest common denominator of their collective opinions.  But, by 1978, it was already obvious that the largest player in the processing of automated data (including for airlines, hotels, business, insurance and banking information) was the United States of America.  Securing the agreement of that major economic player to a binding treaty faced two apparently inseparable obstacles.  The first was the need, in the ratification of any such treaty, for the concurrence of the United States Senate, traditionally suspicious of such engagements.  And the second was the strong affirmation of free flows of information expressed in the First Amendment to the United States Constitution.  This provision created a bedrock of support for flows of data, to the largest extent possible, unimpeded by governmental regulation (“Congress shall make no law …”).  The possibility of the United States subscribing to a European Convention on this subject was bleak.  These realities defined the boundaries of any successful enterprise within the OECD, designed to encourage as high a level of consensus about the applicable principles as could be reached among the participants without resort to be a binding treaty.

To the foregoing obstacles to progress had to be added other deep concerns, bordering on suspicions, which were often unexpressed; but every now and again came to the surface.  They revealed a chasm, seemingly deeper than the Atlantic Ocean, between the underlying values reflected in the developments occurring in Europe, on the one hand, and the legal and social culture of the non-European nations, especially the United States, on the other:
 For the European nations, the memory of the misuse of personal data by security police, the military and other officials in the mid-20th century was still fresh.  For them, this was not a theoretical problem. It was an urgent task to establish controls on the potential of the newly automated personal data to enhance the power of the over-mighty state and to diminish the liberties of ordinary citizens.  It must be remembered that in 1978, the world was still faced by the Cold War and the divisions symbolised physically by the Berlin Wall.  It is a privilege today to return to the OECD, with the Russian Federation sitting at the table of WPISP.  None of us should forget the contributions of the Red Army and the Soviet peoples in the Second World War to the defeat of fascism and to the creation of the circumstances in which Europe could flourish and democratic governance could emerge and expand;
 On the other hand, the United States experts, in particular, were deeply suspicious of some of approaches of the European nations, participating in the work of the Council of Europe.  In particular, they were anxious about the suggested inclination of the European states to create large bureaucracies empowered to impede TBDF.  Occasionally, they hinted darkly that these were initiatives with an ulterior motive.  This was to impede the all too obvious success of United States technology and to provide protective walls behind which the European technology of informatics might grow and compete.  The Europeans, for their part, sometimes speculated that the American devotion to free flows of data and First Amendment values was actually underpinned by the then current pre-eminence of United States information technology.

Finding a bridge between these competing attitudes, laws and interests was a great challenge.  It was a much greater challenge than that faced in securing common agreement within the Council of Europe or the European Communities.  It was the challenge which the OECD expert group accepted, addressed and eventually surmounted.

By inviting a reflection on the 1980 Guidelines, and their impact on the development of law and policy in so many countries, not only within the OECD, it must be assumed that a purpose was to derive lessons for the current work of WPISP and indeed of DSTI and ICCP within the OECD.  Looking back at the achievements and influence of the OECD Guidelines on privacy of 1980, what are some of the lessons that I can suggest?
 International principles:  Well into the latter part of the twentieth century, law was basically a discipline of nation states.  Ordinarily, it applied within their geographic limitations.  International law, and international principles and policy, were sometimes important for nation states in dealings with one another.  But they were rarely of significance to the natural and legal persons operating within such states.  All of this has now changed.  The growth of the impact of international law and policy on the legal discipline is the greatest change that has come upon the law in my professional lifetime.  A development encouraging this advance has been the spread of global technology.  With that technology have come new problems that cross borders and are sometimes insusceptible to effective local solutions.  It is this phenomenon that has stimulated the need for international law, principles and policy to fill the gaps left in the spaces between the operation of national regulation.  Today, even the most powerful nation states recognise this.  It was already recognised as we entered the OECD in 1978 to embark on the task of preparing the Guidelines on privacy;
 Conventions and guidelines:  Part of the response to such international needs has been evidenced by the growth of treaty law and of international customary law which binds member states.  Yet in some instances, the development of treaty law is difficult, painstaking and extremely slow.  Meantime, the technological and other problems race ahead.  To do nothing is to make a decision.  Recognising the near impossibility, certainly in the short run, of securing adherence of the United States of America (and other non-European nations) to a binding convention on TBDF, imposed on the OECD expert group the discipline of looking to another solution.  That solution was the elaboration of guidelines that would help import into non-European practice such of the transnational principles that were being developed in Europe as were also accepted in the democratic market economies of non-European OECD member countries;
 Information policy:  It was also recognised, virtually at the outset, that there was a special problem of regulating national practice in respect of information policy in the United States.  This was because of the First Amendment values that lie deep in the responses of United States politicians, officials and lawyers to any regulation that endeavours to impose restrictions on free flows of information.  As well, the European tendency to create data protection authorities with large vetting and pre-authorisation powers, ran into two specific problems within the expert group.  The first was the general inclination of common law countries to avoid bureaucratic solutions of that kind and to rely instead upon a remedial structure, utilising broad principles established as precedents by the decisions of superior courts.  By 1978, there were also moves in the democratic debates of North America, Japan and Australasia to reduce the expansion of government and to contain the growth of bureaucracy.  These developments made the adoption of recommendations for the creation of large data protection authorities outside Europe, effectively unthinkable.  They demanded that the mode of implementation of the principles agreed in the Guidelines should be left by the OECD to the local legal tradition and culture;
 TBDF and their implications:  It was the international character of TBDF that afforded the OECD, at once, its challenge and its opportunity.  A European Convention was important.  But of its nature, it could only go so far.  Countries outside the European area would be influenced by its rules.  But not bound by them outside the European sphere.  Securing a means of addressing the international character of data flow provided the stimulus for an intercontinental solution.  Effectively, only the OECD could provide this.  And provide it, it did.
 General guidelines:  Obviously, the adoption of “soft” international principles rather than binding international law meant that any product of the OECD would lack the precision and immediate effectiveness of a binding treaty.  On the other hand, because on an inter-continental level, such a binding treaty was out of the question (certainly in the short term) guidelines became the best that could be achieved.  To the extent that such guidelines influenced local law, official policy and business practice, they could help harmonise the European system of law with the legal regimes applicable in advanced economies outside Europe.  In this way, the guidelines solution (and their use of the verb “should” rather than “shall”), became a positive strength of the OECD Guidelines.  The Guidelines (in para.19) left it to member countries to “establish legal, administrative and other procedures and institutions for the protection of privacy and individual liberties in respect of personal data” in the various ways mentioned and encouraged them to engage in international co-operation (para.20-22).  They therefore imposed duties of imperfect obligation.  But they were duties nonetheless.  And, on the whole, have been taken seriously by the countries that are parties to the OECD Convention.  The commonalities between those countries in matters of governance and economic co-operation have helped to promote what seemed, on their face, to be weak general rules into a substantial stimulus to legislative, executive and judicial action.  In this way, the Guidelines have provided an important impetus to harmonisation of the law, policy and practice.  This was the result envisaged by the participants in the OECD expert group.
 Don’t give up on privacy:  Finally, although the OECD Guidelines have had a considerable influence in the thirty years since they were adopted, it must be accepted that technological developments that were not then known have added to the complexity of the world in which the Guidelines must now operate.  1980 was a time before the emergence of the internet, with its huge implications for the distribution of personal information.  Ahead lay the many technological developments that would add to the challenges to privacy protection:  including biometrics; smart cards; location detection technology; social networks; use of radio frequencies and so.  I do not pretend that the OECD Guidelines solve every problem that this new technology presents.  Indeed, I concede that some of the capacities of information technology since 1980 present new challenges that we did not consider or even know of when we drafted the Guidelines and adopted them in 1980.

In particular, the use limitation principle in para.10 of the Guidelines may need re-consideration.  That paragraph states:
“10. Personal data should not be disclosed, made available or otherwise used for purposes other than those specified in accordance with paragraph 9 except:
a) With the consent of the data subject; or
b) By the authority of law.”

In para.9, it is provided that personal data should be collected by reference to specified purposes and subsequently used only for those purposes or others compatible with them.  This was an accurate privacy principle at the time of its adoption.  However, the capacity of search engines to utilise old, even very old, personal data for a purpose quite different from that for which the information was originally collected and provided, presents a difficulty in treating those paragraphs as a full explanation of the governing principle or policy.

No-one could suggest that search engines and the internet, with their marvellous capacity to enhance human knowledge, should be forbidden or pre-controlled.  Certainly not by OECD member countries.  However, there may be a need to reconsider how the purpose specification and use limitation principles in paras.9 and 10 of the 1980 Guidelines are to apply in a new century utilising radically new technology.  As well, the notion of “consent” referred to in para.10 needs a lot of attention.  To what extent does the data subject truly have a power to consent or to withhold consent where, as is now often the case, the data subject is so heavily dependent on the internet for the provision of goods, services and government facilities?

Most of us today have internet profiles, available to varying extents for use by others who make decisions concerning our lives.  In 1980, it was still substantially possible to “live down” erroneous public attacks or false allegations.  In the print media of those times, it was often said that false accusations would be wrapping the fish and chips in the following week.  But no more.  Electronic personal data will, ordinarily, exist forever unless the law imposes limitations because of the risks of use of out-of-date, false and damaging materials or unless technology itself affords new means of effective expungement of such data.

The fundamental principle of the OECD Guidelines, expressed in para.13, was the right of the individual to retain control over the data penumbra concerning himself or herself.  If that core principle is kept in mind, it should be possible to develop additional guidelines, practices or elaborations to make sure that the basic idea of personal autonomy and self-control that lay behind the 1980 Guidelines is preserved in the context of radically different technology of today.

I thank this working party for providing an opportunity to recount something of the history of the OECD Guidelines of 1980.  It was a privilege to be part of their development.  I pay tribute to the OECD Secretariat and to my colleagues on the expert group.  Their spirits are alive in the Chateau today as we remember this notable achievement of the OECD.

Download the speech as PDF here.

Ny amerikansk forskning: Unge er lige så bekymrede for privacy som ældre

To nylige amerikanske forskningsrapporter viser samstemmende, at der ikke er belæg for påstanden om, at unge ikke bekymrer sig om privacy.

Den ene rapport, How different are young adults from older Adults when it comes to information privacy attitudes & policies?, er udarbejdet af  University of California, Berkeley og University of Pennsylvania. Den anden, Youth, Privacy and Reputation, er udgivet af  The Berkman Center for Internet & Society, Harvard University. 

Konklusionen i den første rapport er, “at især de unge voksne (i alderen 18-24) ikke er ligeglade med deres privacy. De indsamlede data viser, at der er mere der samler end der skiller de ældre unge og de ældre med hensyn til emner om privacy”. Forfatterne udlægger det som, “at unge voksne amerikanere har et ønske om øget beskyttelse af privatlivets fred selv når de deltager i en online verden, der er optimeret til at frigive personlige oplysninger.” For fuldstændighedens skyld bemærkes, at ungegruppen, som rapporten har analyseret, ikke uden videre kan betragtes som én homogen gruppe, fordi der mangler huller i den empiriske forskning. 

“Derfor bør den offentlige debat ikke starte med en påstand om,  at unge voksne er ligeglade med privacy og at der derfor ikke er behov for retsregulering og andre sikkerhedsforanstaltninger. Man bør i stedet erkende, at de nuværende forretningsmodeller sammen med andre faktorer til tider tilskynder de unge voksne til at udlevere personlige oplysninger for at opleve social integration selv om de i deres mest rationelle øjeblikke burde handle efter mere konservative normer.

Uddannelse kan være nyttig. Selv om der findes mange uddannelsesprogrammer om internettet for unge voksne, så er fokus for disse programmer mere på den personlige sikkerhed i forhold til online-svindlere og cybermobning med ringe vægt på informationssikkerhed og privacy.

Unge voksnes viden om privacy lovgivning er sikkert forskellig fra ældre voksnes. De er mere tilbøjelige til at tro , at loven beskytter dem både online og offline. Denne mangel på viden i et fristende miljø, snarere end en arrogant og manglende bekymring for privacy, kan være en vigtig årsag til, at et stort antal af de unge voksne engagerer sig på en ubekymret måde i den digitale verden.

Men uddannelse alene er formentlig ikke nok til at de unge voksne opnår en højere grad af forståelse for privacy. Der er højst sandsynligt behov for forskellige former for hjælp fra flere sider af samfundet, herunder måske lovgivning, med henblik på at håndtere de komplekse online strømninger, der står i modsætning til de unge voksnes bedste privacy instinkter.”

Fra rapporten kan det specifikt fremhæves, at “med vigtige undtagelser er en stor procentdel af de unge voksne i harmoni med ældre amerikanere, når det drejer sig om bekymring omkring online privacy…”. Endvidere fremgår det,  at et stort flertal af unge voksne vil nægte at give oplysninger til en virksomhed i de tilfælde, hvor de føler, at det er for personligt eller ikke nødvendigt samt at enhver, først skal få en tilladelse, før han eller hun kan uploade et billede af den pågældende, selv hvis det er taget i det offentlige rum. Det fremgår også, at de unge voksne mener, at der bør være en lov, der giver brugeren ret til at kende alle de personhenførbare oplysninger, der bliver indsamlet om den pågældende og at der bør være en lov, der forpligter websitet til at slette alle de  personrelaterede oplysninger, som er gemt om hans person hos operatøren.

I et efter min opfattelse vigtigt afsnit i den anden forskningsrapport fra The Berkman Center for Internet & Society  om at understøtte de unges adfærd, fremhæves betydningen af forskellige koncepter af privacy. Der peges på, “at studier gentagne gange har vist, at privacy og anonymitet ikke er synonymt med mange unge mennesker.I stedet for at betragte det offentlige og den private rum, som to skarpt adskilt verdener, viser børn og teenagere en mere nuanceret og finmasket forståelse af informationsformidling og kontrol.”

Endvidere fremhæves det, at “voksne ofte forvirres af, at mange unge ikke anser internettet som et offentligt rum. MySpace og Facebook opfattes som private sociale rum, hvor de unge kan engagere sig i personlig chat, sladre, “hænge ud”, flirte, dele hemmeligheder og foretage alle de andre sociale aktiviteter, som de gør, når de er offline med deres jævnaldrende. Omfanget af online-netværks integration børns og teensgers sociale liv er ofte undervurderet. Et fravalg eller at forblive anonym online kan være en social katastrofe for børn, når deres referencegrupper bruger IM, Facebook, MySpace, Xbox Live, YouTube osv. Venskaber starter og slutter ved hjælp af internettets kommunikationsteknologier, og udlevering af personlige oplysninger er en måde at skabe tillid på mellem jævnaldrende.”

Rapportens forfattere nævner herefter behovet for at tage ansvar. Især at voksne har et ansvar for at anerkende deres egne roller i at krænke børn og unges privacy. Endvidere fremdrages det, at der helt sikkert er en rolle for mere privacy uddannelse for unge mennesker.  Som det også er diskuteret i denne rapport, er der ikke meget der tyder på, at teenagere er ligeglade med privacy og endda endnu mindre dokumentation for, at de ikke forstår, hvordan internettet fungerer. Derfor vil “en tilgang til uddannelse, der bygger på at overdrive risici være ineffektiv og sandsynligvis gøre mere skade end gavn”. Vigtigst af alt skal en forståelse af de unges normer være omfattende, før der gennemføres et striks regelsæt.

Forfatterne anbefaler også udvikling af mere privacy-venlige interfaces og kontrolmekanismer (også kaldet privacy enhancing technologies), “fordi privacy i den digitale tidsalder ikke reguleres ved lov eller på baggrund af et informeret brugervalg, men som Lawrence Lessig så berømt har bemærket ved hjælp af computerkoder.”

Til slut diskutterer rapporten fordele og ulemper ved de såkaldte default-settings.

Fra konklusionen i forskningsrapporten kan det fremhæves, at ” unge er stærkt overvåget i hjemmet, i skolen, og i offentlig-heden af en række forskellige overvågningsteknologier. Børn og unge ønsker private sfærer for socialisering, udforskning og eksperimentering væk fra voksne øjne. At lægge personlige oplysninger på nettet  er en måde for de unge til dels, at udtrykke sig selv på, dels at være i kontakt med jævnaldrende samt at øge ens popularitet og forbindelse med venner og grupper af jævnaldrene. I forlængelse heraf ønsker de unge mennesker, at være i stand til at begrænse oplysningerne online på i en nuanceret og differentieret måde.

Populær litteratur (og en del forskning) omfatter beskrivelser af de unge, online teknologier og privacy, der ikke afspejler realiteterne i de fleste børns og teenagers liv. Men dette giver rige muligheder for fremtidig forskning på dette område. Selv om der i rapporten henvises til flere kvalitative og etnografiske studier af unges privacy-praksis og holdninger, er der behov for mere forskningsarbejde på dette område for fuldt ud at forstå ligheder og forskelle i denne aldersgruppe, især inden for selve aldersgrupperne, på tværs af socioøkonomiske klasser, mellem kønnene osv.

I en kommentar til rapporterne er det indledningsvis vigtigt at påpege, at der er tale om amerikansk og tildels europæisk (engelsksproget) forskning, der delvis samler op på hidtil udført forskning. Men desuagtet kan jeg ikke se, hvorfor mange analyser og pointer ikke også vil kunne bruges i en  dansk kontekst. Først og fremmest er det interessant at fastslå, at den tilsyneladende almindelig anerkendte bebrejdelse af  de unge, som at de er ligeglade med pricvacy ikke holder. Der er nu evidens for, at i alt fald de unge i alderen 18-24 år i ligeså høj grad som de ældre er interesseret i privacy, men at det samtidig kan slås fast, at  de opfører sig mere skødesløst online, fordi de tror, at loven giver dem mere beskyttelse end den faktisk gør. Konklusionen synes klart at være i modstrid med Facebook grundlægger Mark Zuckerberg´s udtalelse tidligere på året om, at privacy ikke længere er en “social norm”.

Begge rapporter lægger op til yderligere forskning med henblik på afdækning af brugeradfærd og udvikling af nye brugervenlige og privacybeskyttende teknologier og det kan der kun varmt støttes op om. En væsentlig pointe, som fremhæves i en af rapporterne, er at anlægge et ungeperspektiv for forskningen og ikke betragte de unges online adfærd som eksotisk med anvendelse af en “generationsskifte”-retorik  som forfladiger og overser de unges oplevelser i forskellige sammenhænge. Ligeledes er det værd at have for øje, at idéen om to forskellige sfærer, en “offentlig” og en “privat” på mange måder er en forældet tankegang i forhold til nutidens unge.

Mindsettet om en mere brugerorienteret innovation er i pagt med demokratisk teknologiudvikling, som i en globaliseret verden er vigtigere en nogensinde.  Problemstillingen er eksempelvis taget op i et blogindlæg om biometri og demokrati.

OECD´s retningslinjer om beskyttelse af privatlivets fred og grænseoverskridende overførsel af personoplysninger fylder 30 år i år

23. september 1980 blev OECD’s retningslinjer om beskyttelse af privatlivets fred og grænseoverskridende overførsel af personoplysninger (OECD Guidelines on the Protection of Privacy and Transborder Flows of Personal Data) vedtaget. I den forbindelse er der 10. marts 2010, som en første af tre arrangementer til festligholdelse af jubilæet, afholdt en konference i Paris med titlen “30 år efter: konsekvenserne af OECD`s privacy retningslinjer”.

Allerede tilbage i begyndelsen af 1970´erne var man i OECD klar over, at en større og større forskel i nationale love udgjorde en risiko for den frie udveksling af oplysninger mellem landene (trans border data flow i det følgende benævnt TBDF). I 1978 gik man i gang med at udarbejde fælles retningslinjer i tæt samarbejde med Europarådet, som var ved at forberede konventionen om beskyttelse af det enkelte menneske i forbindelse med elektronisk databehandling af personoplysninger. Ved at sikre visse minimumsstandarder for beskyttelse af privacy og de individuelle frihedsrettigheder med hensyn til personlige data, var det håbet at mindske behovet for regulering af eksport af persondata samt minimere problemer i forbindelse med lovkonflikter.

En række internationale eksperter har givet deres bud de historiske udfordringer og de spørgsmål, der motiverede udviklingen af retningslinjerne. Af særlig interesse kan fremhæves en keynote af The Hon. Michael Kirby AC CMG, der i din tid var formand for OECD Expert Group on Transborder Data Barriers and Privacy Protection. Michael Kirby fratrådte som højesteretsdømmer i Australien i 2009, men er stadig en meget aktiv fortaler for menneskerettigheder og privacy. Han modtog tidligere i år Electronic Privacy Information Centers Privacy Champion Award som anerkendelse for sine meritter.

Michael Kirby fremhæver indledningsvis, at det var interessen for den fri udveksling af data som drivkraft for  økonomisk effektivitet og dermed for demokrati og god regeringsførelse og den fri markedsøkonomi, der i første omgang tiltrak OECD´s opmærksomhed.  OECD´s analyse var, at europæiske regeringers og institutioners bekymring for privacy ville indebære en retslig og økonomisk hindring for en fri grænseoverskridende informationsudveksling, som i høj grad blev promoveret af USA. I Europa var brud på privacy ikke blot en teoretisk fare med erfaringer under 2. verdensskrig om misbrug af persondata fra myndighedernes side stadig i 1978 i stærk erindring. På den anden side anså mange ikke-europæiske lande, at traktatvejen til beskyttelse af privacy var bureaukratisk, dyr at gennemføre, hæmmende for TBDF samt muligvis udtryk for protektionisme. Løsningen på dette dilemma blev, at man i stedet for at udarbejde en traktat, ville opstille generelle principper, som basis for national lovgivning med det håb, at disse principper vil bidrage til en reduktion af  hindringer for gennemførelsen af OECD´s formål.    

Kirby gør det klart, at det ikke har været ekspertudvalgets opgave at “opfinde den dybe tallerken igen”, men at bygge videre på tidligere bidrag af Nordisk Råd, Europarådet, EU samt akademia  og indarbejde de fra denne kontekst nye principper i en interkontinental applikation, der omfatter andre af OECD´s medlemslande, som f.eks. USA, Canada, Storbritannien, Japan, Australian og New Zealand.

Resultaterne af OECD´s retningslinjer falder ifølge Michael Kirby i 4 kategorier:

  • de bygger oven på tidligere arbejde
  • merværdi tilført af OECD, f.eks. teknologineutralitet og klar ansvarstildeling
  • fleksibel implementering
  • deres overlevelse   

Til sidst stiller Michael Kirby spørgsmålet: “hvad med fremtiden?” Skal retningslinjerne fortsat have relevans og betydning, så lægger Kirby vægt på, at man skal være realistisk. Samtidig med at man bør anerkende den objektive værdi af TBDF, skal man være bevidst om, at ” fordelene ved informationsteknologien selvfølgelig kan nå et omfang som forringer det enkelte menneskes mulighed for at kontrollere sin  egen penumbra [læs: sfære] af information.” Et spørgsmål man i relation til OECD bl.a. kan stille er: “Vil den marginale nytteværdi af at forsøge at hindre TBDF, med henblik på at beskytte privacy, opveje de marginale omkostninger ved en sådan indblanding i driften af  TBDF ?”. Det er nødvendigt at forholde sig oprigtigt til dette dilemma og diskutere det åbent, så beslutninger kan træffes i fuld åbenhed. Selvom det må erkendes, at der er visse begrænsninger i den personlige kontrol over data og privacy, så er det vigtigt ikke at opgive beskyttelsen af privacy, “som er en værdi, der dybt rodfæstet i mennesket og som påvirker dets værdighed og integritet”. Betydningen af empiri fremhæves også, fordi retningslinjerne og øvrig lovgivning og rutiner kun kan være effektive, såfremt de    baseres på en præcis og grundig forståelse af den relevante teknologis operation. Derudover er der  spørgsmål om rekonceptualisering. Hermed menes, at OECD påtager sig en rolle med at sikre, at den løbende tilgang til specielle problemer som spam, cybercrime, malware osv. er i harmoni med hinanden og være på vagt overfor en fragmenteret tilgang til hvad der dybest set er integrerede sociale og etiske problemer.  Endelig peges der på nye udfordringer i forhold til masseovervågning, biometri, RFID tags, krop scannere osv. og at privacy-fortalere hele tiden bør være på udkig efter PET-løsninger (privacy enhancing technologies). Som de sidste 3 punkter omtales værdien af det grænseoverskridende samarbejde,  nødvendigheden af slutbruger læring og uddannelse for at opretholde samfundets bevidsthed om værdien af privacy samt spørgsmålet om hvad OECD bør gøre for at inkludere repræsentative holdninger om privacy  fra verdens udviklingslande ?

Afslutningsvis roser Michael Kirby NGO`ere, offentlige institutioner, forskere og enkeltpersoner der arbejder med privacy og informationssikkerhed, fordi graden af  kontrol over den enkeltes personoplysninger i fremtiden vil afhænge af deres indsats.

Download hele talen her.

Jeg er meget enig i Michael Kirby´s synspunkter og fremtidsvurderinger både i forhold til OECD´s position og i forhold til beskyttelse af privacy i almindelighed. OECD er et magtfuldt organ og den måde man har håndteret privacy på er prisværdigt og visionært. Det er uomtvisteligt, at retningslinjerne, der med start i 2011 vil blive gået efter i sømmene i henhold til den såkaldte Seoul Declaration fra 2008, har haft og vil få stor central betydning for privacy og persondatabeskyttelse i fremtiden, forudsat at man betræder erfaringens sti og ikke mister sine  pejlemærker.  

Skal vi have en privacy-ombudsmand ?

En ombudsmand er oprindelig en svensk opfindelse, der går helt tilbage til 1810. Sidenhen er embedet i forskellige udgaver ligesom selve ordet blevet kopieret i omkring 120 lande verden over. I Danmark blev Folketingets ombudsmandsinstitution, der er en kontrolinstans i forhold til den offentlige forvaltning, oprettet i 1954 og den første ombudsmand var den navnkundige professor dr. jur. Stephan Hurwitz.

Forbrugerombudsmanden blev introduceret i 1975 og fører bl.a. tilsyn med at markedsføringsloven overholdes.

Af andre ombudsmandsinstitutioner kan fremhæves Den Europæiske Ombudsmand, der behandler klager over fejl og forsømmelser i Den Europæiske Unions institutioner og organer. Hvis man er statsborger i en af Unionens medlemsstater eller har fast bopæl i en medlemsstat, kan man indgive klage til Den Europæiske Ombudsmand. Virksomheder, foreninger og andre organer med hjemsted i Unionen kan også klage til ombudsmanden.

Konkret i relation til privacy og persondatabeskyttelse har EU i 2001 endvidere oprettet en  stilling som europæisk tilsynsførende for databeskyttelse. Den europæiske tilsynsførende for databeskyttelse skal sikre, at alle EU-institutioner og organer overholder reglerne om beskyttelse af personer i forbindelse med behandling af personoplysninger. Den europæiske tilsynsførende for databeskyttelse arbejder sammen med de databeskyttelsesansvarlige i de enkelte EU-institutioner eller organer for at sikre, at reglerne om privatlivets fred anvendes.

Ideen om at en uafhængig embedsmand, med kompetence til at undersøge klager fra almindelige borgere, kan kritisere ulovlig, unfair eller forkert myndighedsudøvelse og fremkomme med anbefalinger, er ikke ukendt i andre lande. Således har man f. eks. i det islamiske retssystem fra gammel tid kendt til de såkaldte “Diwan al Mazalim”-institutioner, hvis funktion var at undersøge klager indbragt af borgere mod embedsmænd.

Oprettelsen af ombudsmandsinstitutioner, som især tog fart i 2. halvår af 1900 skyldes tilsyneladende 2 omstændigheder. Dels et behov for retssikkerhed i forhold til en stadig stigende offentlig administration, dels udbredelsen af nye demokratier og menneskerettigheder.

Formålet med en ombudsmand er kort og godt, at fremme retssikkerheden, menneskerettigheder samt god offentlig sagsbehandling. Karakteristisk for en ombudsmand er, at embedet er personligt (eller udgøres af en gruppe personer) og at denne person er udpeget af et parlament for at understrege, at hans autoritet udspringer af folkets repræsentanter. En ombudsmand skal nyde stor respekt og integritet og derfor varetages hvervet som regel af personer med en dommer- eller juraprofessorbaggrund.

Med henblik på at varetage sin primære arbejdsopgave at beskytte rettighederne for den, der mener at være udsat for en ulovlig eller uretfærdig behandling af det offentlige, så er det vigtigt at enhver person kan kontakte ombudsmanden direkte uden formaliteter og uden omkostninger af betydning. Ombudsmanden kan også på eget initiativ tage en sag op og det skal sikres, at institutionen har vide beføjelser til at gennemføre en undersøgelse.

Ombudsmanden betragtes af mange som “den lille mands advokat”, men det er ikke helt korrekt for så vidt angår den danske ombudsmand, der foretager en klassisk domstolslignende sagsgennemgang. Stephan Hurwitz udtrykte det på den måde, at enhver sag har to parter, en klager og én der klages over, og begge parter har krav på en ordentlig og fair behandling.

Det er dog værd at fremhæve, at en af ombudsmanden udtrykt kritik og især hvordan en sag burde være håndteret, kan have stor betydning for den enkelte borger. I andre lande afgør ombudsmanden en egentlig tvist og kan her komme med et forslag til en mindelig løsning mellem borgeren og den offentlige myndighed. I disse tilfælde fungerer ombudsmanden mere som repræsentant for den enkelte borger end som uafhængig dommer. Men under alle omstændigheder er ombudsmandens afgørelse kun at betragte som en anbefaling, som den pågældende myndighed bør følge, men ikke er forpligtet til, som hvis det havde været en domsafgørelse. Værdien i ombudsmandens afgørelse hviler derfor alene på de gode argumenter og den respekt ombudsmandsinstitutionen nyder. Fordi det ofte vil være forbundet med store omkostninger og tidskrævende at anlægge en retssag, betragtes ombudsmanden som et udmærket supplerende retsligt alternativ. Erfaringen synes at vise, at en ombudsmandsinstitution bidrager til stabiliteten i samfundet.

Fra tid til anden fremkommer der forslag om at udnævne en sagsspecifik ombudsmand, f.eks. en børneombudsmand eller ældreombudsmand. Bevæggrunden er at styrke retsstillingen for samfundsgrupper, som opleves at blive overhørt af beslutningstagere og myndigheder.

Op til det seneste valg til Europa-Parlamentet i juni 2009 præsenterede det socialdemokratiske medlem, Christel Schaldemose, et forslag om at oprette en europæisk privacy ombudsmand. Ideen er udsprunget af behovet for en større privacy-beskyttelse i forbindelse med de sociale netværk, som f.eks. Facebook og som ifølge EU-parlamentsmedlemmet kræver EU-lovgivning. Et tilsvarende forslag er anbefalet af Karin Riis-Jørgensen, forkvinde for European Privacy Association, i forbindelse med It-sikkerhedskomitéens konference ”Privatliv på profilen” i november 2008.

Efter min opfattelse er betegnelsen “ombudsmand” ikke beskyttet og der eksisterer heller ikke en entydig definition af en “ombudsmand”s beføjelser og funktioner. Så vidt jeg har kunnet konstatere, findes der ikke et embede i verden med generelle kompetencer, der benævnes som privacy-ombudsmand. Dog er der flere steder indført en privacy-ombudsmand indenfor specifikke sagsområder. Således har Norsk samfunnsvitenskapelig datatjeneste en såkaldt personvernombudet for forskning, der på engelsk benævnes privacy ombudsman og som har fået uddelegeret kompetance fra det norske datatilsyn i forbindelse med spørgsmål om persondata i forskningsprojekter. I henhold til The Bankruptcy Abuse Prevention and Consumer Protection Act of 2005, kan en amerikansk domstol udmelde en såkaldt consumer privacy ombudsman i konkurssager, hvor der kan blive tale om at sælge eller udlåne personlige oplysninger.

Derudover kan det konstateres, at der eksisterer organer rundt omkring i verden, som har beføjelser og funktioner, der i større eller mindre grad udmærket kan sammenlignes med en klassisk ombudsmandsinstitution, men blot hedder noget andet. Eksempelvis har Office of the Privacy Commissioner of Canada et mandat og en mission der i store træk minder om de arbejdsopgaver der traditionelt er knyttet til  en ombudsmand med tyngde på advokat-rollen blot i relation til privacy. Der er dog den interessante forskel, at kommissionæren, der er ansat af parlamentet og rapporterer til de to folkevalgte kamre, kan anlægge sag ved de almindelige domstole i sager, som ikke er blevet løst. De enkelte canadiske provinser har hver deres egne institutioner for privacy fastsat i henhold til lov, der i det væsentligste minder om embedet for Office of the Privacy Commissioner of Canada. Dog med mindre undtagelser. Eksempelvis kan afgørelser af Office of the Information and Privacy Commissioner of Ontario, der for tiden beklædes af den højt respekterede  Ann Cavoukian, i visse tilfælde indbringes for de almindelige domstole. At kommissionæren i almindelighed kan træffe bindende afgørelser, der er inappellable, kan derfor snarere sammenlignes med de kompetencer Datatilsynet besider. I Yukon, en anden canadisk provins, har man valgt en ordning, hvorefter embederne, som både Ombudsman (der svarer til en traditionel ombudsmand) og Information & Privacy Commissioner, der er reguleret i henhold til forskellige love, varetages af én og samme person.

Henset til den førnævnte beskrivelse af ombudsmandsinstitutionen, så kan jeg udmærket godt forstå hvorfor ideen om en privacy-ombudsmand lanceres. Ombudsmanden er et stærkt brand. Men spørgsmålet er, om der reelt er brug for en europæisk eller dansk privacy-ombudsmand ?

Der er ikke nogen tvivl om at privacy som en menneskeret er under stigende pres både nationalt som globalt og at en international regulering efterlyses. Det er også uomtvisteligt, at privacy- og persondatabeskyttelsen er kompliceret at håndhæve især i forbindelse med introduktionen af flere og flere digitale tjenester og teknologier. Der er, som det er nævnt i et tidligere indlæg her på bloggen, derfor behov for en opdatering af persondatadirektivet og eventuelt anden særlovgivning både indholdsnæssigt og med hensyn til fuldbyrdelsesinstrumenter.

Ved implementeringen af persondatadirektivet er det op til hvert enkelt EU-land at organisere tilsynsmyndigheden. Nogle lande, herunder Tyskland, har ligesom Canada valgt en konstruktion med udnævnelse af en kommissær for databeskyttelse og informationsfrihed dels for hele Tyskland og dels for hver af de 16 tyske delstater, jfr. f.eks.  Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit. Det tyske embede er klart inspireret af den klassiske ombudsmandsinstitution, idet kommissæren er personligt udpeget af den tyske forbundsregering respektive de enkelte delstaters regeringer og valgt af henholdsvis det tyske Forbundsparlament respektive de enkelte delstaters parlamenter.

The Information Commissioner’s Office i Storbritanien, der er organiseret som en “non-departmental public body” (svarer til en dansk styrelse) under justitsministeriet, rapporterer direkte til parlamentet, og kan stort set sammenlignes med Datatilsynets opbygning, rolle og ansvar.

En fortegnelse over de nationale organer for databeskyttelse i EU, EFTA, EU-kandidatlande og visse tredjelande kan findes her.

I Danmark er Datatilsynet (indtil 2002 benævnt Registertilsynet) at betragte som en uafhængig statslig myndighed, der har til opgave at føre tilsyn med, at reglerne i persondataloven, der gennemfører EU-direktivet, overholdes. Datatilsynets opgaver består i at rådgive, vejlede samt behandle klager (også fra almindelige borgere) og foretage inspektioner hos myndigheder og virksomheder. Selvom Datatilsynet organisatorisk  henhører under Justitsministeriet, så har ministeriet ingen instruktionsbeføjelse over myndigheden. Der er således alene tale om en formel forskel i strukturen og ikke en reel forskel i substansen (persondatadirektivet) i forhold til eksempelvis den tyske ordning og det er trods alt det som man bør hæfte sig ved i hele denne her diskussion.

Funktionerne kunne således i princippet sagtens blive varetaget af en ombudsmand, men nu ligger de faktisk hos Datatilsynet og det vil derfor umiddelbart være mere hensigtsmæssigt at styrke Datatilsynets organisation på en række punkter. Som jeg andetsteds har opfordret til, så bør Datatilsynet både have tilført flere økonomiske midler og flere faglige kompetencer og det er også muligt at Datatilsynet skal have flere sagskompetencer og bedre retshåndhævelsesmidler samt en pligt til at indgå i et mere formaliseret samarbejde med relevante samarbejdspartnere.

For så vidt angår en europæisk privacy-ombudsmand, så kan en sådan kun fungere effektivt og i overensstemmelse med institutionens intention, såfremt der tilføres eksorbitante midler, men der er desuagtet alvorlig risiko for, at en fælles-europæisk institution vil drukne i bureaukrati, især henset til at lovgivningsindhold og lovgivningspraksis ikke er ens i EU. Sidstnævnte forsøger de nationale datatilsyn at koordinere via WG-29 arbejdsgruppen. Det er muligt at denne konstruktion kan forbedres, men det må afvente den revision af EU´s juridiske referenceramme om databeskyttelse, der omfatter persondatadirektivet, e-privacy direktivet samt Rådets rammeafgørelse 2008/977 om beskyttelse af personoplysninger i forbindelse med politisamarbejde og retligt samarbejde i kriminalsager og som tidligst forventes afsluttet primo 2011. Man kan med en vis ret hævde, at når alt kommer til alt, så er det snarere en mere effektiv EU-regulering og sikrende retsmidler baseret på nærhedsprincippet, der er brug for, end at en europæisk privacy-ombudsmand afgiver rekommandationer, der ikke kan fuldbyrdes.

En dansk privacy-ombudsmand synes heller ikke at være gangbar, fordi det ikke vil være hensigtsmæssigt endsige nødvendigt at nedlægge Datatilsynet for at opbygge en ny institution, hvor stort set kun indpakningen er forskellig, medmindre man ønsker, at embedet alene skal fremkomme med anbefalinger og ikke, som det er i dag, hvor Datatilsynets afgørelser har umiddelbar retsvirkning. Det har den konsekvens, at overtrædelse kan medføre straf- eller erstatningsansvar og at Datatilsynets  afgørelser efter persondataloven ikke kan indbringes for anden administrativ myndighed, men selvfølgelig altid kan prøves ved en domstol. Denne sagsbehandling kunne godt gøres mere smidig uden nødvendigvis at ændre på Datatilsynets retskompetence, idet en rolle som mediatoradvokat næppe vil være valid. Derimod kan argumentet om, at selve udnævnelsesproceduren har en yderligere tillidsskabende virkning, muligvis overvejes nærmere samt i forlængelse heraf eventuelt at lægge tilsynet direkte under Folktetinget, for at sikre en yderligere uafhængighed i forhold til regeringen.

Det vil ikke gøre nogen forskel, såfremt en privacy-ombudsmand skulle fungere ved siden af Datatilsynet med nye funktioner, idet det uundværligt vil føre til kompetencestridigheder. Der har i øvrigt allerede rodfæstet sig en forvaltningspraksis, hvorefter persondataspørgsmål henvises til Datatilsynet. Det gælder således også i relation til spørgsmål om f.eks. forbrugerbeskyttelse og målrettet reklame, som ellers umiddelbart kunne tænkes at høre under Forbrugerombudsmandens ressortområde.

Selvom det lyder besnærende, så skal man nøje og nøgternt overveje behovet for en ny ombudsmandsinstitution og ikke lade sig rive med af et ellers prisværdigt engagement og en øjeblikkelig omend velbegrundet stemning for at styrke en bestemt befolkningsgruppes interesser eller et specifikt rets- eller principområde. Privacy er kun en af 30 menneskerettigheder , der er fastsat i FN’s menneskerettighedserklæring og Den Europæiske Menneskerettighedskonvention. De er alle ligeværdige og staterne kan ikke vælge nogen rettigheder ud som mere beskyttelsesværdige eller respektable end andre. Et perspektiv med 30 sagsspecifikke ombudsmænd ved siden af Folketingets ombudsmand forekommer omsonst, især når der allerede findes organer, både nationalt som internationalt,  der mere eller mindre tager sig af de berørte problemstillinger.

Der synes derfor ikke efter min opfattelse at være vægtige grunde, der taler for at oprette en privacy-ombudsmandsinstitution.

Privacy er et brandaktiv, fastslår amerikansk undersøgelse

Ponemon Institute, der gennemfører uafhængig forskning i privacy, databeskyttelse og informationssikkerhed, har for nylig offentliggjort en undersøgelse om de tyve virksomheder, der har den mest troværdige privacy.

Ponemon Instituttet slår fast, at i et år der betegnes som et turbulent privacy-år, med offentliggørelse af mange fejl og fejltrin, bevarer American Express støt og roligt sin førsteplads på listen over brands,som de amerikanske forbrugere har mest tillid til.  

Det er femte år i træk, at American Express topper listen. IBM, Johnson & Johnson, Hewlett Packard, og E-Bay besætter de fire følgende pladser.
Placeringerne er baseret på svar fra 6.627 amerikanere og undersøgelsen har omfattet omkring 38.000 virksomheder af hvilke 229 er blevet rangeret mindst 20 gange. Blandt de brands, der ikke tidligere har været med i top 20 er Google, Weight Watchers, Walmart og AT & T. Derimod er Facebook, AOL, og eLoan ikke med på listen.

Ingen små og mellemstore virksomheder kom med på top 20 og spørgsmålet der kan stilles er, om det skyldes at 56 procent af de små og mellemstore  virksomheder end ikke har en privatlivspolitik offentliggjort på deres hjemmesider? Undersøgelsen viser imidlertid klart, at selvom Facebook har en privacy politik, så kom de ikke med i toppen, hvilket helt sikkert skyldes at 2009 afslørede alvorlige brud på privacy og sikkerheden hos Facebook, der gav anledning til stor offentlig debat om deres privay-settings, siger Larry Ponemon fra institutet. Han udtaler endvidere i rapporten: “Facebook tiltrak sig stor opmærksomhed, da de valgte at forny deres privacy-politik på en meget synlig måde. Mens de blev belønnet for deres indsats sidste år, havde forbrugerne mindre tillid til Facebook i år, hvilket blot viser, hvor vigtigt beskyttelse af privatlivets fred er som et brand-aktiv.”

Mike Spinney, senior analytiker hos Ponemon, mener, at Facebook kan vende tilbage til top 20 listen, ved at have en åben tilgang til privacy. “Det vil tjene virksomheden godt i det lange løb, at reagere på kommentarer fra offentligheden”

Undersøgelsen viser også, at forbrugernes oplevelse af at have kontrol over deres personlige oplysninger er faldet støt: 41 procent i 2010, et fald fra 45 procent i 2009, hvilket var et fald fra 56 procent i 2006, det første år undersøgelsen er blevet gennemført.

Blandt undersøgelsens markante resultater kan fremhæves følgende.

Identitetstyveri er et vigtigt anliggende for de adspurgte. Næsten 60 procent af de adspurgte vurderer, at emnet er væsentlig faktor for hvor meget de har tillid til et brand, og 50 procent udtalte, at notifikation af databrud er en faktor af betydning. Andre trusler mod tilliden til et brand er misbrug af borgerlige frihedsrettigheder og irriterende “baggrundschat” på offentlige sites. Læs: drop unødvendige Twitter og Facebook opdateringer.

Privacy “features” bidrager til at skabe brandtillid. Stor securitybeskyttelse blev identificeret som tillidsskabende af 60 procent af forbrugerne, mens 53 procent siger, at  præcis dataindsamling og brug er vigtig for tilliden. Andre væsentlige positive faktorer er dataminimering samt online-anonymitet. 

Ponemon fremhæver i rapporten, at dataindsamling også omfatter markedsføring og advarer, at virksomhederne skal være forsigtige med brugen af kundeoplysninger.

“Hver gang kunder er udsat for markedsføring, som er irrelevant eller irriterende, er det et spørgsmål om privatlivets fred for dem,” udtaler Ponemon.

 Top-tyve virksomhederne for beskyttelse af privacy i 2010 er:
1 American Express (1)
2 IBM (3)
3 Johnson & Johnson (5)
4 Hewlett Packard (6)
5 E-bay (2)
6 U. S. Postal Service (6)
7 Procter & Gamble (7) 
8 Amazon (4) 
8 Nationwide (9)
9 USAA (11) 
10 WebMD (13)
11 Intuit (12)
12 Apple (8)
12 Disney (16)
13 Google (ikke i top 20 sidste år)
14 Verizon (17)
15 US Bank (19)
15 Charles Schwab (10)
16 Weight Watchers (ikke i top 20 sidste år)
17 Yahoo! (14)
18 FedEx (18)
19 Walmart (ikke i top 20 sidate år)
20 AT & T (ikke i top 20 sidste år)
20 Dell (20)

Undersøgelsen har nogle pointer, som efter min opfattelse også vil være relevante i forhold til danske virksomheder og for den sags skyld også offentlige myndigheder. Det er åbenlyst, at privacybranding bør inkorporeres med henblik på at skabe en langsigtet corporate brandværdi. En gennemtænkt holistisk privacypolitik, der er synlig for enhver, kan anbefales.   

Uden at der er tale om en videnskabelig undersøgelse, så viser en stikprøvevis gennemgang af diverse danske hjemmesider, at mange virksomheder og organisationer har en egentlig privacy policy, selvom indholdet varierer meget. Det kan afgjort tages som udtryk for at privacy beskyttelse tages alvorligt og at man er opmærksom på, at den udøver indflydelse på brandingen og markedsføringen af virksomheden og organisationen. Men der er helt klart behov for relevant forskning på området, herunder en lignende dansk undersøgelse af forbrugerforventninger som Ponemon Instituttet har gennemført. 

I 1999 udtalte Scott McNealy, Sun Microsystems chief executive, “You have zero privacy anyway. Get over it.” Og i januar 2010 blev Facebook´s grundlægger Mark Zuckerberg citeret for: “Privacy is dead – get over it”. Man skal selvfølgelig være varsom med generaliseringer og de nævnte smarte “heiku digte” er alt for unuancerede endsige retvisende. Jeg medgiver at privacy er kompliceret og begrebet undergår uomtvisteligt store forandringer i disse år, men i nærværende sammenhæng kan det i alt fald med rette fremføres, at amerikanske forbrugere lægger vægt på privacy og at det kan betale sig for virksomheder og organisationer at have et sæt privacy retningslinjer. Om de så er let forståelige og faktisk sikrer den enkelte forbrugers privacy er et andet spørgsmål. En væsentlig pointe er, at virksomheder og organisationer, har en åben og gennemsigtig politik, der oplyser om det konkrete formål for en dataindsamling og hvorledes persondata vil blive opbevaret og behandlet, herunder hvilke teknikker der er anvendt for at sikre dette. Et reelt brugervalg der sikrer brugerkontrol er at foretrække. At nå dertil er der endnu et stort stykke vej. Information og uddannelse er nøgleord.

Hertil kommer at offentlige myndigheders privacy policy altid bør inkludere det bredest mulige publikum, herunder også borgere, der er skeptiske  overfor den offentlige administration og som har mistillid til den teknologiske udvikling.

Afslut med fingeren

Af: Andreas Dohn, Journaliststuderende ved Syddansk Universitet

Fingeraftryk i centrale databaser er en cocktail, der før har mødt modstand fra borgere og privacy-fortalere. Men når bloddonorerne på Odense Universitetshospital skriver under med fingeren, skal de ikke frygte for datasikkerheden, siger blodbankens ledende overlæge.

De ruller frivilligt ærmet op og lader nålen trænge gennem huden. Sådan har det altid været. Men fremover vil donorerne på Odense Universitetshospital (OUH) også blive tvunget til at afgive et fingeraftryk, når de besøger blodbanken.

Odense Universitetshospital har som det første sted i landet indført elektroniske spørgeskemaer, som donorerne skal underskrive med pegefingeren, før de giver blod: ”Fordelen ved fingeraftryk er, at vi kan identificere donoren fra gang til gang og vide, at det er den rigtige donor, vi har fat i,” siger Jørgen Georgsen, ledende overlæge i blodbanken på Odense Universitetshospital.

Kun en kode

Det har tidligere skabt debat, når diskoteker og lufthavne indfører fingeraftryk eller irisskanning som adgangskontrol. Men Jørgen Georgsen mener ikke, at donorerne skal frygte for deres datasikkerhed, når de sætter pegefingeren på blodbankens scanner.

Fingeraflæseren danner en unik kode ud fra nogle bestemte punkter i fingeraftrykket. Og det er dén kode, som blodbanken gemmer i sin database sammen med donorens personnummer. Ikke et billede af selve fingeraftrykket, forklarer han:

”Det fingeraftryk, vi tager, er ikke sammenligneligt med det, politiet arbejder med, så det vil ikke kunne bruges i politiets efterforskning.”

Når donoren møder til næste tapning og indtaster sit personnummer, vil systemet automatisk hente den gemte kode og sammenligne den med donorens ’nye’ fingeraftryk.

”Det er ikke sådan, at aflæseren går ned i en stor database og leder alle vores 13.000 donorer igennem og kigger på deres fingeraftryk,” siger Jørgen Georgsen:

”Den sammenligner bare Bjarnes nuværende fingeraftryk med det fra tidligere. Og hvis de ikke passer sammen, så er det ikke Bjarne, der er her nu. Mere kan den ikke sige. Den kan ikke sige, at det er Peter, der er her i stedet for eller sådan noget.”

”Smartcard en bedre løsning”

Frederik Kortbæk er netværkskoordinator i Dansk Privacy Netværk, der har forskere med interesse for overvågning og privatlivsbeskyttelse på medlemslisten. Han roser først og fremmest blodbanken for at tage fingeraftrykket i brug:

”Formålet er at sikre, at blod tilhører en bestemt person og kun denne person. Der er tale om en sikkerhed, som både er i brugerens og blodbankens interesse.”

Frederik Kortbæk er dog generelt betænkelig over for fingeraftryk i centrale databaser, og han mener, at blodbankens system kunne gøres endnu mere sikkert:

”Den mest optimale privacyløsning ville være at gemme det digitaliserede fingeraftryk i krypteret form på et smartcard i stedet for i en central database,” forklarer Frederik Kortbæk.

Et smartcard er et lille plastikkort, der indeholder oplysninger om kortholderens fingeraftryk, og det har samtidig en scanner indbygget. Når en person forsøger at bruge kortet, sammenlignes hans fingeraftryk med det, der ligger gemt.

Frederik Kortbæk mener, at donoren på den måde vil være bedre sikret mod misbrug, fordi fingeraftrykket ikke er gemt andre steder end på selve kortet.

”Det er den løsning, som de europæiske datatilsyn generelt anbefaler,” siger han.

Mange flere oplysninger i blodprøven

Jørgen Georgsen mener dog ikke, at et smartcard er den bedste løsning for blodbanken. Dels er kortene alt for dyre, og dels kan donoren ikke blive tappet, hvis han glemmer kortet derhjemme:

”Det, synes vi, er dårlig service over for donorerne, hvis de er kommet helt her ud,” siger han og påpeger, at blodbanken i forvejen ligger inde med en masse personfølsomme oplysninger om donorerne – i modsætning til diskoteker og motionscentre.

”Der er mange flere oplysninger i den blodprøve, man giver, end i fingeraftrykket. Og der er rigtig mange donorer, vi har gemt DNA på. Det er faktisk en større risiko, som folk ikke tænker så meget på,” forklarer Jørgen Georgsen.

Uden om Datatilsynet

Det er Datatilsynet, som fører tilsyn med persondataloven og vejleder myndigheder og virksomheder om behandling af personoplysninger. Chefkonsulent Jakob Lundsager oplyser, at blodbanken ikke har rettet henvendelse til Datatilsynet, før fingeraftrukket blev indført. Og derfor har tilsynet ikke beskæftiget sig med det specifikke system.

Men Jakob Lundsager skønner, at blodbankens normale omgang med personfølsomme oplysninger kan være et argument for, at det også er forsvarligt at indføre fingeraftryk som identifikation.

Lever op til loven

I blodbanken føler man sig godt dækket ind. Jørgen Georgsen understreger, at systemet lever op til de gældende regler.

”Vi oplyser donorerne om alt det, vi gemmer, første gang de er her,” siger han og forklarer, at det altid kræver donorernes tilladelse, hvis blodbanken skal give oplysninger videre.

Derfor kan donorerne roligt give det elektroniske spørgeskema fingeren.

Consultation on the legal framework for the fundamental right to protection of personal data

There are many issues which could be addressed in order to improve the European privacy and data protection framework. As it has my special concern I have today on my behalf taken the opportunity to forward the following recommandation to the EU Directorate Justice, Freedom and Security.

You may approach data protection/privacy in four different ways:
Technological and

In my opinion there is a strong need for a comprehensive Pan-European academic as well as industrial learning and education program in privacy and data protection. Therefore I would like to recommend  a feasibility study regarding the establishment of an European privacy learning and education programme at EU.

In order to strengthen awareness and accountability I would like also to recommend a new rule  that every public or private entity with at least 50 employees should appoint a data protection/privacy officer who should attend a certified data protection/privacy course.

I have taken the liberty to mention that The European Privacy Institute  would be able to contribute with exceptional knowledge and expertise taking into account that the scientific advisory board has representation in all European countries.

About the joint reaction of the Article 29 Working Party (WP29) and the Working Party on Police and Justice (WPPJ) to this consultation, please check The Future of Privacy adopted 1th December 2009.


“Learning without thought is labour lost; thought without learning is perilous”   Confucius