“Privacy by Design” to become even more important globally


Privacy-bloggen: You have been acknowledged as being one of the first in the world who recognized  the potential importance of technology to protect privacy and personal data and you have, as early as  in the mid-1990s, presented the Privacy by Design concept. What is this concept about, and what impact do you reckon it will have in the future?

Ann Cavoukian: At the heart of Privacy by Design (PbD) is the tenet that individuals have the right to control their own personal information. Much more than a theoretical concept, Privacy by Design is a real-life solution that proactively embeds privacy into technologies, business practices and networked infrastructure at the outset to ensure that privacy is the default condition. Of course, building in privacy at the start is not always possible, which is why my Office recently introduced Privacy by ReDesign to implement PbD into already existing and legacy systems.

Regarding its future impact — the possibilities are limitless as technologies are forever changing. In this growing world of online social media, mobile devices, big data and of course cloud computing, privacy is paramount. But we must change our thinking from a zero-sum paradigm to positive-sum. This means that privacy is not sacrificed at the expense of other business interests, such as security. You can, and must, have both. Our interests are diverse — among other things, we want to socialize on the Internet, build a more sustainable electrical grid, utilize and share health records and more. We can do all of these things and still have privacy, but only if we prioritize it as a requirement for both new and existing technologies, infrastructures and business practices. Our need for privacy has not disappeared. On the contrary, privacy is an essential dimension of the human condition and it will continue to be well into the future.

Privacy-bloggen: We are living  in a globalizing world driven by digitization. As the Internet knows no national boundaries, it seems reasonable to assert that there is a need for a global privacy regime. But is it possible, with the cultural and legal differences that exist, and is the way forward more likely to create a set of universal privacy principles that comply with the demands from consumers, businesses and governments?

Ann Cavoukian: Privacy is a fundamental right that knows no borders. Privacy by Design is a solution for everyone – consumers, businesses and governments. Last year, a landmark resolution was unanimously passed by global Data Protection Authorities to make Privacy by Design an international standard. This endorsement marks a sea change in how the international community will go about preserving privacy. Of course, my work does not end with this accomplishment. For over 20 years, as the Information and Privacy Commissioner of Ontario, Canada, I have partnered with stalwarts such as IBM, Intel, and Nokia to advance Privacy by Design. Together, we have fostered innovation and accomplished groundbreaking work in many fields, including biometrics, the Smart Grid and even Targeted Advertising. Forging new relationships to advance Privacy by Design is not a hard sell. After all, Privacy by Design makes sense for everyone — especially businesses. Not only is it cheaper to build in privacy before a breach occurs, it is also a compelling way to win the trust of clients and build your brand.

Privacy-bloggen: Considering that legal responses often lag behind market and technology innovation, would you agree that self-regulation is an adequate and timely instrument to meet privacy and data protection challenges including citizen engagement and empowerment as a prerequisite for sustainable solutions?

Ann Cavoukian: To preserve privacy and adequately protect data, you need both self-regulation as well as regulatory oversight. However, with the rapidly changing pace of technology, it is difficult for legislation to keep up, which is why Privacy by Design is important. PbD is flexible and can be utilized by organizations from a small local business to a large government body. Regarding privacy protection, it is simply ‘good business’ for companies to be proactive and stay ahead of existing legislation. Strong privacy practices form the basis of a virtuous cycle that establishes trust of the brand in the minds of consumers, which leads to greater loyalty, ultimately driving competitive advantage.

The exponential growth of information and communications technology has benefited us in many ways, such as fostering citizen engagement and the empowerment of individual and collective voices.  In my role as a Commissioner, overseeing both access and privacy, this information explosion has spurred a wide variety of challenges. Recently, I have been particularly concerned at the lack of understanding between the concepts and purposes of Big Data and Open Data. Simply stated, Big Data describes the ever-increasing massive amounts of information that organizations have, and continue to collect — much of which is personally identifiable information. On the other hand, Open Data rests on the idea that certain types of non-personal information such as maps, medical research etc., should be freely available to unrestricted use by everyone. Open Data encourages civic participation and redefines the importance of freedom of information legislation across the globe. As the Big Data movement continues to grow and evolve, it is well worth holding onto the fact that privacy remains fundamental to our freedom.

*

Dr. Ann Cavoukian,  since 1997  the Canadian Province of Ontario’s Information and Privacy Commissioner, is recognized as one of the leading privacy experts in the world.

The post is the English edition of the post on Privacy-bloggen.

 

Reklamer

Er overvågning et gode for det enkelte menneske ?


Ja, det kan det være, men kun helt undtagelsesvist og forudsætningen er, at enhver overvågning eller observation skal have hjemmel i loven,. Om hvilke regler der gælder ved tv-overvågning henvises til pjece udgivet af Justitsministeriet og Datatilsynet. Om retsvirkningerne mellem de to hovedlove på området henvises til artiklen: Persondataloven og lov om tv-overvågning – gennemtænkt samspil?. For så vidt angår betragtninger om overvågningens rækkevidde kan f.eks. henvises til Forbrugerrådets høringssvar: Tv-overvågningsloven og lov om personoplysninger i forbindelse med det seneste forslag til lovændring, Afvejninger mellem overvågning og databeskyttelse og privacy fremgår eksempelvis af det afsluttende communique fra den 28. Internationale databeskyttelses- og privacykonference i London i 2006.

Enhver lovregulering bør helt grundlæggende være baseret på en nøje afvejning af proportionalitet og nødvendighed.

Hovedreglen i et demokratisk samfund som anerkender de universelle friheds- og menneskerettigheder, er, at det enkelte individ har fuldstændig kontrol og gennemsigtighed med en hvilken som helst overvågning. Derfor bør al overvågning som udgangspunkt være ikke-personhenførbar. Der gælder selvsagt undtagelser i forbindelse med en konkret politimæssig efterforskning, som imidlertid også skal kunne domstolsprøves efterfølgende.

En reel persondatabeskyttelse kan kun lade sig gøre, såfremt den digitale identitet opbygges som en del af et globalt tillidsskabende it-rammeværk (trusted framework). Et sådant rammeværk, der faktisk er et system af systemer (privacy-rammeværk, identitets-rammeværk, kontrol-rammeværk, notifikations-rammeværk osv.) kan defineres som et netværk af binære tillidsrelationer mellem alle parter (eksempelvis helt op til 10 parter med skiftende roller) i en transaktion og som forholder sig til de forsikringer, som er nødvendige for at hver af partnerne kan stole på de andre relevante parter med hensyn til hvert enkelt tillidselement. Flere internationale private organisationer arbejder med forskellige modeller. Processen er kompliceret, omfattende og tidskrævende.

Et af de mere interessante initiativer er taget af Kantara Initiative, der er en sammenslutning af en lang række internationale  virksomheder og organisationer samt nationale myndigheder, der forpligter sig til åbne standarder og at systemer eller processer har  mulighed for at samvirke med hinanden med henblik på at online-netværk bliver mere privacy beskyttende og med indbyggede tillidsskabende elementer i it-miljøerne.

Rammeværket skal naturligvis baseres på egentlige retsgarantier for den enkelte (datasubjektet). Spørgsmålet vil om føje år blive højaktuelt i forbindelse med den større og større udbredelse af pervasive computing, eller ”IT i alting”, dvs. et altomfattende netværk af ”ting” (tøj, biler, smartphones osv.), der er koblet sammen via trådløse forbindelser (RFID, NFC, WiFi, 4G osv.) Et spændende bidrag til hvorledes en effektiv lovgivning kan forenes med den teknologiske udvikling er leveret af professor Mireille Hildebrandt fra Erasmus University i Rotterdam. Hun påpeger med begrebet Ambient Law, at demokratiet er i fare, medmindre  vi finder nye måder på at formulere de retlige rammer for demokratiet og retsstaten som en integreret del af den teknologiske arkitektur, som det er formålet at regulere. Jeg forstår visionen således, at borgerens retsbeskyttelse skal designes direkte ind i teknologi- og computerkoderne.

En meget sigende og vil mange mene skræmmende illustration af overvågning er det af filmkunstneren Chris Oakley producerede videoklip “The Catalogue” fra 2004 som udkrystalliserer en vision om “os set af dem” ved at simulere RFID og CCTV. “The Catalogue” viser hvordan virksomheder kodificerer mennekser. Ved hjælp af manipulation af dagligdagens detailhandel placeres beskueren I en position som et eksternt og lidenskabsløst organ, der observerer menneskeheden som en serie af enheder, hvis værdi er defineret ud fra deres forbrugskapacitet og fremtidige behov.

Skjult overvågning og profilering med henblik på målrettet markedsføring kan ikke accepteres. Selvom der på forhånd er indhentet samtykke af forbrugeren bør beslutningsgrundlaget være meget højt, især fordi business intelligence systemer idag er så avancerede, at man er i stand til at profilere en forbruger mere og mere ud fra færre og færre oplysninger. Mange vil sikkert spørge: “jamen, hvori ligger problemet ?” Problemet er, at der er en stor risiko for, at mange forbrugere ubevidst bliver påtvunget køb, som de, når det kommer til stykket, slet ikke er interesseret i og som i værste fald kan bringe forbrugeren i økonomisk uføre. Cookie-direktivet er bl.a. baseret på disse bevæggrunde. Det bemærkes, at selvom økonomisk kategorisering kan opleves som en uretfærdig stigmatisering af bestemte befolkningsgrupper, så er der ikke umiddelbart tale om diskrimination i lovens forstand, sålænge forskelsbehandlingen ikke relaterer sig til alder, handicap, køn, etnicitet, tro, seksuel orientering, social oprindelse eller en anden specifik diskriminationsgrund.

Samtykke eller ej, så er det efter min opfattelse  heller ikke i orden, at eksempelvis et forsikringsselskab kan tilbyde sine kunder en rabat på bilforsikringen, såfremt bilen bliver forsynet med en GPS, der overfor forsikringsselskabet kan bekræfte, om bilen har været brugt i højrisikosituationer, som f.eks. i forbindelse med pendlertrafik. Udover at forsikringsselskabet betinger sig en total overvågning af forsikringstagerens bilkørsel, så kan man i øvrigt anføre, at forsikringspræmier bør baseres på så objektive kriterier som muligt. Det er til fordel for forbrugeren og vil tjene den samlede forsikringsbranche bedst i længden. Jeg mener ikke, at et sådant forsikringsvilkår  bør kunne  aftales overhovedet.

Men der skal ikke herske nogen tvivl om, at privacy ikke er økonomisk omkostningsfrit i snæver forstand. Hvis der var 100 % overvågning døgnet rundt ude og hjemme vil det sikkert eksempelvis reducere raten af indbrudstyverier og røverier. Mindre bekvemmelighed, færre rabatter og sociale ydelser er den pris vi betaler for større privacy og den pris er værd at betale i længden. Det bør som nævnt kun ved lov og effektiv demokratisk kontrol kunne bestemmes at indskrænke privatlivsbeskyttelsen eller privatsfæren i betydningen det fysiske rum.

Er adfærdskodeks vejen frem til beskyttelse af privatlivets fred ?


I den løbende debat om regelsættet for persondata- og privacybeskyttelsen er et af stridspunkterne, hvorvidt selvregulering i modsætning til offentlig regulering mere eller mindre kan træde i stedet for egentlig lovregulering.

Det essentielle ved selvregulering er, at den regulerende og de regulerede er en og samme organisation og at de regler der styrer organisationens adfærd er vedtaget frivilligt. Senest er spørgsmålet om detail-udmøntning ved selvregulering (eller udarbejdelse af adfærdskodeks) blevet aktuelt i forbindelse med cookie-direktivet og det danske udkast til bekendtgørelse, der træder i kraft 25. maj 2011. I sin kerne udvider bekendtgørelsen begrebet privatsfære udover hvad der følger af den gældende persondatalov. Af andre tiltag i IT-branchen i de senere år kan i øvrigt henvises til branchekodeks om håndtering af ulovlig adfærd på internettet, jfr. IT- og Telestyrelsens rapport fra september 2005 og branchekodeks fra IT-Brancheforeningen og Telekommunikationsindustrien i Danmark.

Selvregulering (sædvaner, kutymer, adfærdskodeks og uformel ret) eller decentral retsdannelse er et kendetegn for velfærdsstatens regulering i nyere tid og spiller en stor og tilsyneladende større og større rolle i forhold til Folketinget. Vi ser også denne udvikling afspejlet ved den øgede indflydelse som Menneskerettighedsdomstolen i Strasbourg og EF-domstolen i Luxemborg har opnået i de seneste årtier. Det påpeges fra flere sider, at nationalstatens rolle som ramme for og udsteder af reguleringen er under forandring og at det ikke længere kun er jurister, som vedtager hvad der skal være lov og ret i samfundet.

Man kan med rette stille det spørgsmål om brancheinitiativer til selvregulering blot er staffage for at tækkes offentligheden og undgå offentlig regulering eller om baren faktisk sættes tilstrækkelig højt og i realiteten opfylder lovgivers krav og samfundets forventninger ?

Svaret afhænger naturligvis af en konkret vurdering.

For så vidt angår “cookie-loven” er der ikke nogen tvivl om, at branchen har lobbyet EU-Kommissionen med det formål at undgå en omfattende offentlig regulering, men EU-Kommissionen har også klart og utvetydigt tilkendegivet, at såfremt branchen ikke ved selvregulering lever op til intentionerne i direktivet, så vil EU-Kommissionen ikke tøve med en efterfølgende yderligere regulering. Denne trussel vil uden tvivl medvirke til at fremme innovationer indenfor privatlivsfremmende teknologier og services.

For en selvregulering i alt fald i første omgang taler følgende:

  • høj kvalitet og innovation i de teknologiske løsninger forudsætter en viden, som branchen og ikke myndighederne ligger inde med
  • omkostninger til formidling og gennmførelse samt monitorering er mindre ved selvregulering
  • usikkerhed ved en offentlig regulerings indvirkning især på et marked, der skifter hurtigt og som ikke tidligere har været reguleret
  • Selvreguleringsarrangementer er mindre rigide og kan hurtigere tilpasses markedsændringer, ny teknologi og forbrugernes krav og ønsker

På minussiden for en selvregulering kan anføres:

  • der synes at være en stor uoverensstemmelse mellem leverandørernes og forbrugernes interesser
  • der er tale om en situation med asymmetrisk information mellem leverandør og forbruger med hensyn til de kvalitative og adækvate løsninger
  • monitorering og retshåndhævelse er mindre effektiv
  • risiko for konkurrenceforvridning

Disse negative aspekter af selvregulering kan imidlertid helt eller delvist elimineres ved, at

  • selvreguleringen skal overholde det rammeværk, som fremgår af direktivet og eventuelt supplerende administrativt fastsatte bestemmelser
  • informations- og gennemsigtighedsniveaet skal være meget højt
  • forbrugeren sikres reel indflydelse på regelsættets udformning, herunder at der etableres et forbrugerankenævn
  • de teknologiske løsninger skal understøtte regelsættets krav samt overholdelsen af disse krav (kontrol af compliance)
  • en kodeks omfatter den overvejende del af branchens udbydere

Det første punkt synes at være eller undervejs til at blive opfyldt, mens de fire andre punkter endnu for tiden er uafklaret.

Det siger sig selv at en adfærdskodeks bør baseres på de grundlæggende principper i persondataloven og virksomhedernes samfundsansvar (CSR) samt garantere et højt troværdighedsniveau og forbrugertillid. Selvreguleringens effektivitet og gennemslagskraft vil forudsætte at et af branchen nedsat permanent dialogforum og forbrugerankenævn har en bred repræsentation og at den selvregulerende mekanisme nøje tilgodeser brugernes behov samt er åben overfor alle relevante aktører.

Der findes ingen reel sikkerhed eller privatlivsbeskyttelse og dermed ingen mirakelkur. Det centrale vil altid være kontinuerligt at identificere, vurdere, begrænse og håndtere bestemte privacy-risici, jfr. definitionen af privacy-begrebet. Netop derfor vil – efter min personlige opfattelse – selve processen med inddragelse af relevante interessenter være et imperativ for “bæredygtige” løsninger, fordi den er lige så værdifuld som selve resultatet.

Der er ikke nogen grund til at skjule at der indholdsmæssigt er meget på spil for branchen i og med at de såkaldte cookies er en meget vigtig bestanddel af mediebranchens internetomsætning. Det vil nok ikke være forkert at hævde, at branchen ikke har ønsket nogen regulering overhovedet, for selve målet med en regulering er at få folk til at gøre noget andet, end de ellers ville have gjort. Efter at udkast til bekendtgørelse er offentliggjort har debatten herefter for det meste kredset omkring fortolkningen af “et informeret samtykke” og om en eller anden form for proaktiv handling fra brugerens side er nødvendig, se f.eks. Cookies og regler: Er et klik nødvendigt?. Man kan ikke betænke branchen i, at arbejde for, at status quo bevares så meget som muligt og at regelsættet bliver så lidt indgribende i branchens virke som muligt. Der er imidlertid nok ikke nogen tvivl om, at et forudgående udtrykkeligt samtykke af forbrugeren vil være en betingelse. Hvilken form dette samtykke skal have samt hvor mange gange dette samtykke skal gives og i hvor lang tid og i hvilken sammenhæng et samtykke er gældende er et andet spørgsmål, der i høj grad er betinget af tekniske og praktiske omstændigheder. Det står givetvis klart for alle, at balancegangen mellem hvad der er strengt nødvendigt for at opfylde bekendtgørelsens bestemmelser og hvad der kan lade sig gøre i praksis er “cookie-loven”s ganske særlige udfordring.

Det skal blive spændende at se, hvorledes branchen formår at leve op til sit sociale og etiske ansvar og evner at vise at den godt kan selv og ikke mindst er i stand til at sikre disciplin og selvjustits blandt de tilsluttede virksomheder til gavn for forbrugerne. Et første skridt på europæisk plan er taget med IAB Europe´s udgivelse af retningslinjer for en mærkningsordning for online-annoncører, der bl.a. bakkes op af FDIM.

Er “retten til at blive glemt” det nye privacy mantra ?


I forbindelse med den igangværende revision af EU´s persondatadirektiv, der har udviklet sig til en lidt langstrakt affære, er der allerede kommet en række udmeldinger fra EU-Kommissionen, der indikerer en række stramninger af det fremtidige direktiv.

Således har Viviane Reding, EU’s kommissær for retlige anliggender, på en nylig afholdt konference i Brussels med en henvisning til Den Europæiske Unions charter om grundlæggende rettigheder slået fast, at EU-borgerens privacy-rettigheder skal bygge på fire piller:

  1. “retten til at blive glemt”
  2. “gennemsigtighed”
  3. “privacy som standardinstilling”
  4. “beskyttelse uanset hvor data er placeret”

Det er princippet om “retten til at blive glemt” (the “Right To Be Forgotten”), som der vil blive set lidt nærmere på her. For god ordens skyld skal det understreges at princippet  ikke udelukkende er møntet på persondata, som defineret i persondatadirektivet og som allerede statuerer en lang række rettigheder til beskyttelse af enkeltpersoners personlige oplysninger.

Retten til at blive glemt er oprindelig en fransk idè, og kan konstrueres på to måder. Den ene har sammenhæng med, at der i fransk lov er et forbud mod ubestemt lagring af persondata, således at den dataansvarlige skal fastsætte en datalagringsperiode, der er forenelig med formålet. Retten til at blive glemt relaterer sig til de yderst sjældne tilfælde, hvor det er nødvendigt at slette persondata. Den anden betydning vedrører retten til berigtigelse og indsigelse. Disse to rettigheder pålægger den dataansvarlige at slette data i de tilfælde, hvor de er ukorrekte, forældede eller hvor dataindsamling slet og ret er forbudt. Det er således ud fra den oprindelige forståelse af begrebet en misforståelse, at man til hver en tid kan kræve, at den dataansvarlige skal slette vedkommendes persondata.

Disse rettigheder følger dog  allerede af den danske persondatalov, herunder at den registrerede til hver en tid  kan tilbagekalde sit samtykke (§ 38), men det vil bero på en konkret vurdering, om oplysningerne skal slettes eller blot blokeres.

Men her går Viviane Reding et skridt videre med en præcisering af, at EU-borgeren ikke alene skal have en mulighed for, men en ret til at tilbagekalde et tidligere givet samtykke til databehandling. Bevisbyrden for at opbevaring af persondata er nødvendig, skal ligge hos den dataansvarlige. Redings talsmand Matthew Newman udtaler endda, “at der ikke må være den mindste flig af information tilbage på en server et eller andet sted. Det er dine data og de bør være væk for evigt.” { “there shouldn’t even be a ghost of your data left in some server somewhere. It’s your data and it should be gone for good.”} Neelie Kroes, EU-kommissær for den digital dagsorden har endvidere i en tale sidste år nuanceret begrebet ved at fremhæve, at det ikke kun er et spørgsmål om at slette data. “Ligesom i det virkelige liv kan man ikke gå ud fra, at der ikke eksisterer optegnelser over ens tidligere aktiviteter. Det der betyder noget er, at disse data uigenkaldeligt anonymiseres, før der gøres brug af dem.”

Ønsket om at blive glemt korresponderer med det synspunkt, at den digitale historik, som vi skaber online, både med vilje og nogle gange uforvarende, skal have lov til at forsvinde gennem en proces, der kaldes for datanedbrydning. Om sidstnævnte princip kan henvises til Data Degradation: Making Private Data Less Sensitive Over Time. Der vil være tale om en betragtelig mængde af elektroniske spor, som man aflægger på kryds og tværs på internettet.

Det er højst tvivlsomt om retten til at blive glemt vil blive en international standard og dermed et slagkraftigt princip uden videre. Eksempelvis garanterer som bekendt Den amerikanske forfatning ikke direkte privatlivets fred, selvom den amerikanske højesteret imidlertid i en række domme har slået fast, at andre garantier implicit sikrer privacy, som dog i visse tilfælde begrænses af den forfatningssikrede ytringsfrihed i First Amendment. Konceptet om “frihed til at observere” processer og data hyldes i udpræget grad ligesom det er en gængs amerikansk opfattelse, at “persondata er magt” og opfattes som en decideret vare (intellektuel rettighed).

I skærende modsætning hertil vil en europæisk debat om beskyttelse af privacy tage udgangspunkt i et menneskerettighedsmæssigt perspektiv, hvilket jeg personligt bifalder fuldt ud. Man kan ikke tale om kommerciel ejendomsret i forbindelse med privacy, fordi privacy er knyttet til det at være et menneske som sådan. Denne ret kan ikke fraviges eller overføres til andre (enten kommercielt eller af andre grunde). Man kan også udtrykke det således, at menneskerettighederne udgør og opretholder en persons personlige integritet og at privacy er en ret (værdi), som man bliver nødt til at beskytte, fordi privacy styrker tillid og tryghed blandt mennesker. Som udgangspunkt ejer man derfor selv sine personlige data. Om ejerskab og ophavsret til persondata kan i øvrigt henvises til Hvem “ejer” dine data?

Med dette tankesæt på plads giver det mening med princippet om retten til at blive glemt. Der er behov for at give forbrugeren flere universelle online-rettigheder og retten til at blive glemt er et perspektivrigt almengyldigt privacy by design-princip, såfremt det får retsvirkning i både den private som offentlige sektor. Men før dette princip kan realiseres er der imidlertid behov for at præcisere begrebet. I den forbindelse kan det overvejes at gøre princippet flerstrenget ved bl.a. at inkorporere det franske koncept. Endvidere er det væsentligt at gøre retten til at blive glemt operationelt som en såkaldt privatlivsfremmende teknologi i tilknytning til passende modeller for retshåndhævelse. Når data er lagt ud i offentlig domæne vi det være teknisk meget vanskeligt effektivt at indfange, eftersom data kan være tilgængelig på adskillige servere verden over. Dette problem synes at blive aktualiseret i yderligere grad i forbindelse med cloud computing, hvor det kan frygtes, at formidling og overlapning af personlige oplysninger vil medføre, at man aldrig rigtig kan være sikker på, at en udrensning vil hindre at data alligevel dukker op før eller siden. Hertil kommer, at princippets globale rækkevidde og dermed dets egentlige nyskabende værdi forudsætter en international implementering også uden for EU og det har efter alt at dømme lange udsigter.

“Eo Romam iterum crucifigi”


Overskriften hedder på dansk: “Jeg er på vej til Rom for at blive korsfæstet igen” og er ifølge den oldkirkelige tradition Jesus Kristus svar til apostlen Peters berømte spørgsmål: ” Quo vadis?” eller: hvor går du hen, herre?  Jesus Kristus skal ind til Rom for at blive korsfæstet igen, denne gang på Peters vegne, så Peter vender om og går tilbage til sin korsfæstelse i Neros cirkus.

Jeg tillader mig at opfordre regeringen til at stille sig selv det samme legendariske spørgsmål, efter at anti-terrorpakke I og anti-terrorpakke II blev gennemført i henholdsvis 2002 og 2006. Anledningen er, at  Justitsministeriet 9. september 2010 har offentliggjort en redegørelse om erfaringerne med denne lovgivning, der har til formål at sikre en tilstrækkelig effektiv indsats mod terrorisme. Til brug for redegørelsen har Justitsministeriet i det væsentligste indhentet udtalelser fra Rigsadvokaten, Rigspolitiet og Politiets Efterretningstjeneste.

Med det kommissorium og de deltagende høringsparter er det ikke overraskende, at redegørelsen ret ukritisk har fokus på lovenes forebyggende og efterforskningsmæssige effekt. Det er der i princippet ikke noget forkert i, men jeg er nu helt enig i den kritik, som chefjurist Jacob Mchangama, Cepos giver udtryk for i et notat 7. oktober 2010. Der er behov for en langt mere afbalanceret afvejning af de modsatrettede hensyn i forbindelse med terrorbekæmpelsen og specifikt i forhold til privatlivsbeskyttelsen.

Men det kan jo nås endnu. Regeringen kunne i øvrigt lade sig inspirere af den britiske indenrigsminister Theresa May, som i forbindelse med en revision af dele af den engelske terrorlovgivning bl.a. har inviteret den private non-profit organisation Liberty til at komme med et bidrag. Liberty´s formål er at fremme værdier som værdighed, ligebehandling og fairness for det enkelte menneske, som grundlaget for et demokratisk samfund.

Liberty´s svar med den sigende titel: From “war” to law, fremhæver i forordet, “at  det er en vital opgave for regeringen, politi og anklagemyndighed at beskytte liv og en demokratisk livsførelse og at rammeværket for de fundamentale friheds- og menneskerettigheder udgør den underliggende filosofi, der adskiller os fra tyranner og terrorister. Det er robust og tilstrækkelig fleksibelt til at modstå voldelige og ideologiske trusler og binder et forskelligartet samfund sammen og giver inspiration og modstandskraft i svære tider”.

Det skal understreges at den engelske terrorlovgivning på flere punkter er langt mere vidtrækkende end den danske, men rapporten tjener alligevel efter min opfattelse til at være en øjenåbner for de principielle overvejelser for og imod mere anti-terrorlovgivning og overvågning.

Privatlivsbeskyttelsen fremhæves flere steder i rapporten med henvisning til Den europæiske Menneskerettighedskonventions artikel 8 om ret til respekt for privatliv og familieliv. Det pointeres, at der er tale om en “kvalificeret og balanceret” ret, men enhver indgriben bør være nødvendig, proportional og i henhold til lov. Rapporten nævner eksempelvis, at adgang til kommunikationsdata, der tilsyneladende opleves som en af de mindst intruderende overvågningsmetoder, imidlertid  kan have en alvorlig indvirkning på privatlivsbeskyttelsen, fordi det er muligt at opbygge et detaljeret billede af et menneskes aktiviteter, livsstil og referencer.

Om logningsbekendtgørelsen, der som bekendt pålægger teleudbydere at registrere og opbevare oplysninger om tele- og internetdata (dog ikke pakkedata), er der tidligere blevet fremsat europæisk og dansk kritik, herunder fra Retssikkerhedsfonden.

Det kan forekomme en smule overraskende at Justitsministeriet ikke i højere grad i sin redegørelse har inddraget den kommende revision af EU-persondatadirektivet samt den skærpelse af privacy, som for tiden er genstand for overvejelser i EU-Kommissionen og hvor netop  Lissabontraktaten nu giver EU mulighed for at fastsætte omfattende og sammenhængende regler om databeskyttelse for alle sektorer, herunder politi og strafferet. Sidstnævnte omstændighed vil netop kunne få betydning for en fremtidig revision af logningsdirektivet. I et offentliggjort kommuniké 20.7. 2010 fra EU-Kommissionen til Europa-Parlamentet om resultater og fremtidige udfordringer for EU´s anti-terror policy fremgår det, at udfordringen består i at sørge for, at instrumenter til dataudveksling dækker reelle behov, således at medlemsstaterne kan udveksle den information, der er nødvendig til at hindre og bekæmpe terroranslag og samtidig sikre fuld respekt for retten til privatliv og databeskyttelse.

I en rapport fra ESRIF, der har debatteret aspekter af europæisk forskning og innovation med det formål at styrke borgerens sikkerhed, fremgår det   “at beskyttelse af EU’s befolkning og infrastruktur skal afspejle god regeringsførelse, økonomisk fornuft og respekt for grundlæggende rettigheder og Europas kulturelle værdier”.

Det er naturligvis ikke en let opgave at sikre anti-terrorbekæmpelsen og privatlivsbeskyttelsen på én og samme tid, men det kan og skal lade sig gøre i et demokratisk samfund. Det er sagt før, men kan godt gentages: effektiv sikkerhed og privatlivsbeskyttelse er begge med til at give borgeren tryghed. Der er ikke tale om et enten eller, men om et både og. Konkret skal der foretages en vurdering af et indgrebs proportionalitet og nødvendighed i forhold til privatlivsbeskyttelsen (og de øvrige friheds- og menneskerettigheder). Den nugældende anti-terror lovgivning har jo virket, så der er efter min mening ingen anledning til at tildele yderligere beføjelser til de retshåndhævende myndigheder, men snarere at begrænse dem.  Eksempelvis kunne kriterierne for domstolsprøvelsen præciseres  skarpere samt efterretningstjenestens efterforskningsmidler afgrænses mere i forhold til selve afværgelsen af terrorhandlingen. Der er derfor heller ingen grund til at mere terrorbekæmpelse sker på demokratiets og retsstatens bekostning. Nok er nok. Det er sådan set også regeringens holdning og det er jo altid noget. Men det er imidlertid nødvendigt med en forbedring af privacy og retsbeskyttelsen for den enkelte på en række specifikke områder og den kan gennemføres med god samvittighed.

Privatlivsfremmende teknologier – er der noget at komme efter ?


10. september 2010 blev PrivatTek 2010 afviklet i den lyse og stilfulde Landstingssal på Christiansborg. De lidt over 90 deltagere blev foran Landstingssalen mødt af 14 portrætter af Danmarks tidligere statsministre fra Thorvald Stauning, der blev statsminister i 1924, til Poul Nyrup Rasmussen, der var statsminister 1993-2001.

De ydre rammer for konferencen kunne derfor ikke siges at være bedre med henblik på italesættelsen af persondatabeskyttelsen i sammenhæng med privatlivsfremmende teknologier, som var et af arrangementets hovedformål. 

De privatlivsfremmende teknologier blev belyst i relation til:

  • It-sikkerhedskomiteens indsatsområder 
  • Persondataloven
  • I forbindelse med videoovervågning
  • En integreret del af en innovativ it-arkitektur 
  • Et visionært teknologidesign
  • EU´s kommende 7. call under IKT-programmet og sidst men ikke mindst
  • I en debat med et bredt sammensat panel

Det var netop hensigten at komme vidt omkring emnet ved at berøre teknologikonceptets teoretiske, praktiske, tværfaglige, politiske, økonomiske og etiske aspekter. Ved samtidig at gøre dette på et jordnært, elementært niveau er det håbet at tage mystikken af teknologibegrebet og få en bredere kreds af offentligheden i tale. At f.eks. CenSec og Sikkerhedsbranchen er officielle medarrangører af PrivatTek 2010 er allerede i sig selv en manifestation af disse organisationers øgede interesse for privacy.

Det er min klare opfattelse at denne mission er lykkedes. Det viser den store interesse op til PrivatTek 2010 og bredden af deltagerne, som talte både repræsentanter for en række ministerier og styrelser, forskere og studerende fra en række forskellige universiteter, advokater, repræsentanter for en lang række erhvervsbrancher, herunder finanssektoren og it-sikkerhedsleverandører. 

 At jurister får en større forståelse for de privatlivsfremmende teknologier samtidig med at it-udviklere sætter sig mere ind i lovgivning om persondatabeskyttelse og privacy-principper er en grundforudsætning for bæredygtige løsninger. Derfor opfordrede jeg selv i min velkomst etableringen af tværfaglige forsknings- og udviklingsmiljøer med privatlivsfremmende teknologier for øje.   

PrivatTek 2010 nød godt af en engageret deltagelse af Yildiz Akdogan, Socialdemokraternes it- ordfører og konferencens officielle vært. Arrangørerne havde dog set frem til en større politisk bevågenhed, især fordi en positiv udvikling af teknologien, som bl.a. påpeget af flere nylige rapporter udgivet af EU-Kommissionen, forudsætter mere direkte lovgivning og diverse soft law-instrumenter.    

Der er i den forbindelse anledning til at fremhæve, at der i lige så høj grad er behov for en øget certificering og standardisering, som lektor Christian Damsgaard Jensen kom ind på i sit indlæg og som blev problematiseret under indlægget om video i teknisk og retligt perspektiv af direktør Kasper Mikkkelsen fra Sikkerhedsbranchen. Det er muligt, at det er en større teknologisk udfordring, at ekstrahere semantisk information med henblik på beskyttelse (scrampling) for så vidt angår multimedier end med hensyn til tekstdata eller kategoriske data. Selv om  Sikkerhedsbranchen i øvrigt på eget initiativ har indført en godkendelsesprocedure for installatører, mangler der imidlertid en eller anden form for effektiv kontrol med at produkterne lever op til det de lover for at skabe reel tryghed for borgeren.

Sidste år stødte jeg på en glimrende artikel Without fear of trespass på guardian.co.uk skrevet af Julian Baggini. Den og debattråden  berører ikke de teknologiske muligheder, men det er alligevel tankevækkende at forestille sig, hvorledes teknologiløsninger kan og bør være med til at fjerne almindelige menneskers behov for at forsvare deres privacy i det offentlige rum. 

Den etiske dimension blev også taget op under paneldebatten af direktør Lars Klüver fra Teknologirådet. Det er klart at værdidebatten er fundamental for hele samfundsudviklingen. Man kan definere etik som kritisk refleksion på menneskets handlinger (moral) og al teknologidesign bør naturligvis være baseret på klart formulerede etiske principper. Det er altid godt at tage emnet op i enhver sammenhæng og det var mit klare indtryk at forsamlingen var opmærksom herpå.   

De deltagere, som jeg har talt med efterfølgende udtrykte alle, at de synes det var en interessant og udbytterig event. I øvrigt kan jeg henvise til Jan Horsagers inspirerende blogindlæg 14.9 2010: Hvem skal bestemme, hvad der er fortroligt? og dagens opfølgende artikel på Computerworld online: Hvem vil certificere privacy? samt yderligere kommentarer om konferencen og om privacy i almindelighed på Danish Biometrics og  her.

Á propos temaets aktualitet kan desuden henvises til den åbningstale, som Viviane Reding, EU-kommissær for retlige anliggender, grundlæggende rettigheder og EU-borgerskab, holdt i forbindelse med the digital single market Conference i Brussels 16. 9. 2010 og som var organiseret af the Lisbon Council. I talen opfordrede Reding til udvikling af nye teknologier baseret på privacy by design og “at databeskyttelsen bør indlejres i teknologiernes og procedurernes hele livscyklus”.

Under alle omstændigheder blev der sat fokus på privatlivsbeskyttelsen. Det er jo en opgave, som der hele tiden skal afsættes ressourcer til. Der er ikke nogen tvivl om, at der tegner sig nogle yderst interessante perspektiver i udviklingen af privatlivsfremmende teknologier og derfor vil PrivatTek som koncept blive videreudviklet i forbindelse med kommende arrangementer.

Danmark bør gå i front med CSR-innovation i menneskerettigheder


Danmark og CSR

I Forsk2015 kataloget (maj 2008), der identificerer og prioriterer Danmarks strategiske forskningstemaer, fremhæves virksomhedernes evne til at innovere som en central udfordring og at en strategisk forskningsindsats skal tilvejebringe et forbedret videngrundlag for virksomhedsledere, medarbejdere og politikere omkring den måde, hvorpå innovationsprocesser ledes, organiseres og fremmes bedst muligt. Målet er at bringe Danmark op blandt de mest innovative lande i verden.

Regeringen har i sin handlingsplan for virksomheders samfundsansvar (maj 2008) sat sig et visionært mål om, at udbrede forretningsdrevet samfundsansvar blandt både store og mindre virksomheder.

Om forretningsdrevet samfundsansvar foreslår regeringen for eksempel, at virksomhederne kan udvikle nye produkter eller ydelser, der indeholder en social eller miljømæssig dimension.

I forbindelse med et af de fire indsatsområder i handlingsplanen om udbredelse af forretningsdrevet samfundsansvar vil regeringen bl.a. øge rådgivningen om innovation og samfundsansvar til små og mellemstore virksomheder i de regionale væksthuse.

I tilknytning til denne aktivitet har Center for Samfundsansvar netop stået i spidsen for et nordisk projekt om CSR-drevet innovation, der har til formål at støtte en innovationsproces, der med udgangspunkt i sociale eller miljømæssige hensyn bidrager til udvikling af en service eller et produkt, der er økonomisk rentabelt samtidigt med, at det gavner medarbejdere, miljø eller samfund på nye måder.

Endvidere har Europa-kommissionen med den “Europæiske Alliance for CSR” til hensigt at medvirke til at få de europæiske virksomheder til at acceptere Corporate Social Responsibility og at øge støtten til og anerkendelsen af CSR som et bidrag til en overordnet bæredygtig udvikling og til Europæisk vækst og beskæftigelse. Alliancens medlem- mer har bl.a. identificeret et prioritetsområde baseret på samfundsmæssige behov, at fremme innovation inden for bæredygtig teknologi, produkter og services samt at skabe innovation på miljøområdet med specifikt fokus på at integrere den miljømæssige nyttevirkning og energibesparelser i produkt- og service udviklingsprocessen.

Danmark og IKT

Det fremgår ligeledes af FORSK2015 kataloget, at visionen er, at Danmark i 2015 er ledende inden for udvikling af nye innovative IKT-baserede produkter og services samtidig med, at samfundets behov og den generelle IKT udvikling i højere grad sammentænkes. En central passage i kataloget er følgende: ” Der vil i en række sammenhænge også være behov for at indtænke emner som sikkerhed, pålidelighed, tryghed og privacy i forskningen.”

I 2008 rangerer FN’s E-Government Survey Danmark blandt de øverste to lande i offentlig e-parathed kun overgået af USA. Endvidere er Danmark placeret blandt de fem første lande på globalt plan i indeks om e-parathed (EIU 2008). Hertil kommer, at  EIU World Investment Prospects anser Danmark for at have det mest erhvervsvenlige miljø i perioden 2007-2011.

Europa-Kommissionens Digital Competitiveness Report (august 2009) viser, at Danmark er blandt de bedste nationer for de fleste i2010 indikatorer og er en klar frontløber i udviklingen af informations-samfundet. Med en handlingsplan for grøn IT lanceret i 2008, er Danmark også i front med hensyn til miljøvenlig anvendelse af IKT.

Selvom Danmark på det seneste på visse punkter har mistet lidt af sin førerposition, så vidner tal som disse om, at Danmark er en verdensklasse IKT-klynge, og at regionen besidder et enormt forretningspotentiale for internationale IKT-aktører. Danmark har en stor koncentration af virksomheder, der arbejder inden for IKT-området, og den største IKT-klynge i Danmark er placeret i det Storkøbenhavnske område og spænder over den sydlige del af Sverige.

Denne grænseoverskridende IKT klynge har en arbejdsstyrke på 100.000 IKT-medarbejdere og fungerer som en fremragende indgang til den skandinaviske IKT-industri.

Danmark og CSR-IKT innovation

En virksomheds samfundsansvar drejer sig også om at respektere og fremme de grundlæggende menneskerettigheder. 6 af FN´s 10 principper for samfundsansvar for virksomheder (Global Compact) fremhæver, at virksomheder bør støtte og respektere internationalt erklærede menneskerettigheder; samt sikre, at den ikke medvirker til krænkelser.

Imidlertid er der ikke den store fokus på at udvikle nye produkter eller serviceydelser, der indeholder en menneskeretlig dimension. CSR-innovation og design i menneskerettigheder kan på samme måde som et  miljømæssigt engagement være knyttet til en virksomheds forretning og forretningsmodel, til processer og teknologier og til bestemte produkter og services med henblik på at fremme en udvikling af de grundlæggende menneskerettigheder.

Som udgangspunkt vil der kunne opnås en særlig synergieffekt ved at fokusere på  menneskerettigheder, som har en særlig betydning for IKT området, såsom informations- og ytringsfriheden, retten til at deltage i teknologisk udvikling samt retten til privatlivets fred.

CSR-innovation og design i menneskerettigheder (eller CSR-innovation and design in human rights) vil ikke alene kunne være rettet mod løsning af bestemte menneskerettighedsmæssige problemer båret af et samfundsmæssigt hensyn men også være specifikt markedsorienteret. Et paradigmeskift med forretningsmodeller, teknologier, samarbejdsmodeller, idéskabelse og iværksætteri i et menneskeret-tighedsmæssigt perspektiv vil befordre en ny almengyldig og fundamental tilgang til ansvarlig innovation.

Den ekspansive udvikling af overvågningsteknologier som f.eks. RFID, biometri, GPS, CCTV, MEMS, smart ID-kort osv. især efter 11/9, har samtidig medført ny og spændende forskning og udvikling i privacy enhancing technologies (PET). Disse PET løsninger er et sammenhængende system af IKT instrumenter som beskytter privacy ved at eliminere eller reducere persondata eller ved at forhindre unødvendig og/eller uønsket behandling af persondata uden at miste datasystemets funktionalitet, Business casen viser, at der kan designes teknologier til beskyttelse af privatlivets fred, som jo er en basal menneskeret (Menneskerettigheds-erklæringens artikel 12).

CSR innovation og design i menneskerettigheder skal være med til at udvikle nye teknologier ( f.eks. ambient intelligence i sammenhæng med embedded system design), videnskoncepter og videnskompetencer. Mange relevante nøgleteknologier eksisterer allerede, men skal videreudvikles og forfines til specifikke formål i en ny kontekst (teknologisk konvergens) i sammenhæng med udvikling af nye forbrugerorienterede markedsmekanismer. CSR innovation and design in human rights er ikke kun en ny trendy public relation idé, men et helhedsorienteret, nytænkende og skelsættende koncept med en forretningsmæssig forankring, som skal bidrage til at eliminere den tilsyneladende dikotomi mellem profit og etiske principper ved at gøre investeringer i human rights profitable i både snæver og bredere forstand.

Danmark er verdens mest innovative land med hensyn til virksomheders samfundsansvar (CSR) også kaldet samfundsansvarlig virksomhedsinnovation eller CSI. Der er mange gode grunde til at fastholde og udbygge denne førerposition ved at udnytte etablerede ressourcer, kompetencer og synergieffekter til at satse på det hidtil ret oversete aspekt af CSR, der synes at have et signifikant globalt potentiale. Om brugerdreven innovation og demokratisk teknologiudvikling, der ligger i forlængelse af CSR, henvises til et blogindlæg om biometri.

Forskellige initiativer med en række aktører vil derfor blive undersøgt i den kommende tid.  Eventuelt interesserede er velkommen til at rette henvendelse til Dansk Privacy netværk´s sekretariat.