EU-rapport understøtter behovet for mere information om brug af personlige oplysninger


Rapporten, der netop er blevet  udgivet af Eurobarometer, er resultatet af den hidtil største undersøgelse om den enkelte EU-borgers adfærd og holdning til bgrugeradministration (identity management), databeskyttelse samt privacy.

Det konkluderes i rapporten: “I lyset af den stadigt stigende rolle digitale teknologier har spillet i samfundet i løbet af det sidste årti og den hidtil usete store indsamling, opbevaring og behandling af personoplysninger, er formålet med undersøgelsen, at få indsigt i europæernes videregivelse af personlige oplysninger, med særlig fokus på Internettet. Mere specifikt, omhandler rapporten europæernes faktiske offentliggørelse af personlig information, deres forståelse af og opfattelse af kontrol over deres personlige data, deres måder at beskytte personoplysninger på og hvorledes de gerne ser databeskyttelsen udformet. Indsigt i disse spørgsmål kan være en hjælp til at udvikle reguleringen og skræddersy den til europæernes særlige behov og sårbarheder med hensyn til beskyttelse af personoplysninger.”

Nogle af hovedresultaterne af undersøgelsen viser, at

  • 74 % af europæerne anser afsløring af personlige oplysninger som en stigende del af det moderne liv
  • oplysninger først og fremmest betragtes som personlige, når der er tale om finansielle oplysninger (75 %), medicinske oplysninger (74 %), nationale ID-numre eller kort samt pas (73 %)
  • et klart flertal af europæerne (75 %) ønsker at slette personlige oplysninger på en hjemmeside, når de beslutter sig for det (princippet om “retten til at blive glemt”)
  • Selvom et flertal af europæiske internetbrugere selv føler sig ansvarlige for håndtering af deres egne personlige oplysninger, går næsten alle europæere ind for ens databeskyttelsesregler i hele EU (90 %)
  • et flertal mener, at deres personlige oplysninger vil være bedre beskyttet i store virksomheder, såfremt disse virksomheder er forpligtet til at have en databeskyttelsesansvarlig person (88 %)
  • Europæernes meninger er delte med hensyn til de omstændigheder, hvorunder politiet skal have adgang til personlige data. Til gengæld er næsten alle enige om, at mindreårige bør beskyttes mod (95%) og advares om videregivelse af personoplysninger (96%), og et stort flertal er for en særlig beskyttelse af genetiske data (88%).

De adspurgte i undersøgelsen kan kategoriseres i to grupper af såkaldt digitale eksperter, som viser markante forskelle i besvarelserne. Den første gruppe betegnes som “digital natives”, som vel nærmest kan oversættes som “børn af den digitale tidsalder” dvs. unge mennesker i alderen 15-24 år, som er studenter og født under og efter introduktionen af den digitale teknologi. Den anden gruppe benævnes i rapporten som “digital initiates”, som kan oversættes til “personer med tillærte erfaringer”. De er ikke unge per definition og har fået deres viden om med den digitale teknologi gennem f.eks. uddannelse eller arbejde og har andre synspunkter end “børn af den digitale tidsalder”.

Eksempelvis deles synspunktet om, at afsløring af personlige oplysninger ikke er et stort problem af 43 % i den første gruppe (EU 33 %). Endvidere fremgår det, at der i denne gruppe er 48 % som ikke har noget imod at afsløre personlig information til gengæld for fri online servicees , f..eks. en gratis e-mail adresse (EU 29 %) og at 41 % føler sig forpligtet til at afsløre personlige oplysninger på internettet (EU 28 %).

Med hensyn til den anden gruppe, så er det tydeligt, at de er mindst tilbøjelige til at føle kontrol over personlige data, f.eks. mulighed for at slette, rette eller ændre disse oplysninger i forbindelse med online shopping eller når de benytter sociale netværkssteder. Og i modsætning til den første gruppe er de mest tilbøjelige til at beskytte deres identitet i det daglige og på nettet og er som ofte bekymret med hensyn til oplysninger om dem selv, som opbevares af virksomheder.

For så vidt angår Danmark er der anledning til at fremhæve nogle tal fra rapporten. Eksempelvis betragter 91 % af de adspurgte danskere, finansielle oplysninnger som løn, bank- og kreditkortoplysninger for at være personlige. Det er også interessant at bemærke, at de lande, hvor Internetbrugere er mere tilbøjelige til at mene, at finansielle oplysninger er personlige også har en højere andel af respondenter, der handler online. Således køber 81 % af internetbrugerne i Danmark online. Danmark scorer også højt i vurderingen af at medicindata (87 %) og at CPR-nummer og pasnr. (89 %) er personlige oplysninger. Derimod rangeres f.eks. navn (23 %) og adresse (36 %) lavt som en personlig oplysning. Den højeste procent af svar, som siger, at afsløring af personlige oplysninger ikke er et problem er fra Danmark (51 %). På spørgsmålet om man føler sig forpligtet til at afsløre personlinge oplysninger på internettet viser undersøgelsen, at de danske svar topper med 47 % mod 44%, der er uenig. Danmark ligger i toppen sammen med 3 andre nordiske lande med 72 %-besvarelser, der giver udtryk for ikke at være bekymret for at ens adfærd vil blive registreret på et privat sted som f.eks. restaurant, bar, klubber eller kontorer. Ligeledes afspejler de danske svar, at 78 % er ubekymret for at deres adfærd bliver registreret i det offentlige rum, hvilken procent ligger på linje med EU-gennemsnittet. Med hensyn til placering af de strategier de enkelte borger vælger til at beskytte sin identitet i det daglige viser, at 78 % af danskerne, hvilket e i top, foretrækker at give et minimum af forlangte oplysninger og ikke afslører bankoplysninger eller PIN-kode.

Nederlandene, Luxembourg og Danmark skiller sig ud som de EU-lande, der har det største antal af internetbrugere, som benytter en vifte af forskellige strategier til beskyttelse af deres identitet på nettet. Danmark scorer ikke uventet meget højt på tilid til at f.eks. sundhed- og skattesmyndigheder samt finansielle institutioner beskytter personlig information. I modsætning hertil ligger lande som Grækenland, Rumænien og Polen med den laveste tillidsniveau.
Om den er begrundet er en anden sag.

En tankevækkende iagttagelse er det forhold, at den højeste procentdel, der siger, at de gerne vil slette deres data, når de stopper med at benytte en service (princippet om retten til at blive glemt), er at finde i Danmark (50%), Sverige (48%) og Nederlandene (43%).

Et specielt tema i forhold til undersøgelsen vil lige blive berørt, fordi det for tiden er aktuelt i den danske offentlige debat. Det drejer sig om identitetstyveri. Af undersøgelsen fremgår det, at der er en udbredt opmærksomhed om identitetstyveri og datatab i EU omend den personlige erfaring forbliver marginal. 44 % af alle europæere har svaret at de hverken har hørt eller oplevet omstændigheder I forbindelse med datatab og id-tyveri. En sociodemografisk analyse påpeger, at det er aldersgruppen 55+ (50 %), den mindst uddannede (54 %) og som aldrig bruger internettet (53 %), der er dem som mest sandsynligt ikke har hørt om eller er blevet konfronteret med forhold om datatab og identitetstyveri.

I de lande hvor respondenterne højst sansynligt har hørt om (via fjernsyn, radio, aviser eller internettet) eller haft erfaring med forhold i forbindelse med datatab eller identitetstyveri, er de lande med den laveste procentdel, der siger nej, nemlig Letland (26%), Sverige (27%), Irland (28%), Danmark (29%), Finland (31%) og Storbritannien (34%).

JyllandsPosten har i en dybdeboende og omfattende temaserie sat identitetstyveri på dagsordenen med en række konkrete sager, som klart illustrerer problemets sociale og økonomiske konsekvenser. Det er Dansk Privacy Netværks opfattelse, at det netop er et sådant initiativ, der kan være med til at skabe større forståelse for et ellers kompliceret emne. Dansk Privacy Netværk og flere af dets medlemmer og samarbejdspartnere har i øvrigt bidraget med input til artikelserien samt i forbindelse med en opfølgning i bl.a. DR Update og TV AVISEN.

Mere om identitetstyveri og hvad den enkelte borger kan gøre for at undgå at miste kontrol med egne data kan findes her: Identitetstyveri – også i Danmark? Det understreges af Datatilsynet, at mere information til både borgerne, virksomheder og myndigheder om forsvarlig brug af personoplysninger, er nødvendig. Sidstnævnte er også rapportens generelle anbefaling.

Eurobarometer har bedrevet et glimrende stykke analysearbejde om EU-borgernes holding til databeskyttelse og elektronisk identitet som viser nogle interessante resultater, herunder at der tegner sig et broget indtryk af danskernes forståelse for persondatabeskyttelse.

Afslutningsvis glæder det mig, at undersøgelsen fastslår at et flertal af de adspurgte mener det vil forbedre beskyttelsen af personoplysninger, såfremt virksomheder af en vis størrelse udpeger en databeskyttelsesansvarlig person (Data Protection Officer), fordi det netop har været et hovedønske, der er blevet fremført af bl.a. mig selv i forbindelse med revisionen af persondatadirektivet. Positionen må ikke forveksles med den dataansvarlige eller databehandleren, som i henhold til den nugældende lovgivning både kan være en person eller myndighed. Så mon ikke det bliver en af flere nye bestemmelser i det reviderede persondatadirektiv, der vist forventes i 2014. ?

Rapporten “Special Eurobarometer 359 – Attitudes on Data Protection and Electronic Identity in the European Union” (330 sider) kan downloades her.

Reklamer

Er “retten til at blive glemt” det nye privacy mantra ?


I forbindelse med den igangværende revision af EU´s persondatadirektiv, der har udviklet sig til en lidt langstrakt affære, er der allerede kommet en række udmeldinger fra EU-Kommissionen, der indikerer en række stramninger af det fremtidige direktiv.

Således har Viviane Reding, EU’s kommissær for retlige anliggender, på en nylig afholdt konference i Brussels med en henvisning til Den Europæiske Unions charter om grundlæggende rettigheder slået fast, at EU-borgerens privacy-rettigheder skal bygge på fire piller:

  1. “retten til at blive glemt”
  2. “gennemsigtighed”
  3. “privacy som standardinstilling”
  4. “beskyttelse uanset hvor data er placeret”

Det er princippet om “retten til at blive glemt” (the “Right To Be Forgotten”), som der vil blive set lidt nærmere på her. For god ordens skyld skal det understreges at princippet  ikke udelukkende er møntet på persondata, som defineret i persondatadirektivet og som allerede statuerer en lang række rettigheder til beskyttelse af enkeltpersoners personlige oplysninger.

Retten til at blive glemt er oprindelig en fransk idè, og kan konstrueres på to måder. Den ene har sammenhæng med, at der i fransk lov er et forbud mod ubestemt lagring af persondata, således at den dataansvarlige skal fastsætte en datalagringsperiode, der er forenelig med formålet. Retten til at blive glemt relaterer sig til de yderst sjældne tilfælde, hvor det er nødvendigt at slette persondata. Den anden betydning vedrører retten til berigtigelse og indsigelse. Disse to rettigheder pålægger den dataansvarlige at slette data i de tilfælde, hvor de er ukorrekte, forældede eller hvor dataindsamling slet og ret er forbudt. Det er således ud fra den oprindelige forståelse af begrebet en misforståelse, at man til hver en tid kan kræve, at den dataansvarlige skal slette vedkommendes persondata.

Disse rettigheder følger dog  allerede af den danske persondatalov, herunder at den registrerede til hver en tid  kan tilbagekalde sit samtykke (§ 38), men det vil bero på en konkret vurdering, om oplysningerne skal slettes eller blot blokeres.

Men her går Viviane Reding et skridt videre med en præcisering af, at EU-borgeren ikke alene skal have en mulighed for, men en ret til at tilbagekalde et tidligere givet samtykke til databehandling. Bevisbyrden for at opbevaring af persondata er nødvendig, skal ligge hos den dataansvarlige. Redings talsmand Matthew Newman udtaler endda, “at der ikke må være den mindste flig af information tilbage på en server et eller andet sted. Det er dine data og de bør være væk for evigt.” { “there shouldn’t even be a ghost of your data left in some server somewhere. It’s your data and it should be gone for good.”} Neelie Kroes, EU-kommissær for den digital dagsorden har endvidere i en tale sidste år nuanceret begrebet ved at fremhæve, at det ikke kun er et spørgsmål om at slette data. “Ligesom i det virkelige liv kan man ikke gå ud fra, at der ikke eksisterer optegnelser over ens tidligere aktiviteter. Det der betyder noget er, at disse data uigenkaldeligt anonymiseres, før der gøres brug af dem.”

Ønsket om at blive glemt korresponderer med det synspunkt, at den digitale historik, som vi skaber online, både med vilje og nogle gange uforvarende, skal have lov til at forsvinde gennem en proces, der kaldes for datanedbrydning. Om sidstnævnte princip kan henvises til Data Degradation: Making Private Data Less Sensitive Over Time. Der vil være tale om en betragtelig mængde af elektroniske spor, som man aflægger på kryds og tværs på internettet.

Det er højst tvivlsomt om retten til at blive glemt vil blive en international standard og dermed et slagkraftigt princip uden videre. Eksempelvis garanterer som bekendt Den amerikanske forfatning ikke direkte privatlivets fred, selvom den amerikanske højesteret imidlertid i en række domme har slået fast, at andre garantier implicit sikrer privacy, som dog i visse tilfælde begrænses af den forfatningssikrede ytringsfrihed i First Amendment. Konceptet om “frihed til at observere” processer og data hyldes i udpræget grad ligesom det er en gængs amerikansk opfattelse, at “persondata er magt” og opfattes som en decideret vare (intellektuel rettighed).

I skærende modsætning hertil vil en europæisk debat om beskyttelse af privacy tage udgangspunkt i et menneskerettighedsmæssigt perspektiv, hvilket jeg personligt bifalder fuldt ud. Man kan ikke tale om kommerciel ejendomsret i forbindelse med privacy, fordi privacy er knyttet til det at være et menneske som sådan. Denne ret kan ikke fraviges eller overføres til andre (enten kommercielt eller af andre grunde). Man kan også udtrykke det således, at menneskerettighederne udgør og opretholder en persons personlige integritet og at privacy er en ret (værdi), som man bliver nødt til at beskytte, fordi privacy styrker tillid og tryghed blandt mennesker. Som udgangspunkt ejer man derfor selv sine personlige data. Om ejerskab og ophavsret til persondata kan i øvrigt henvises til Hvem “ejer” dine data?

Med dette tankesæt på plads giver det mening med princippet om retten til at blive glemt. Der er behov for at give forbrugeren flere universelle online-rettigheder og retten til at blive glemt er et perspektivrigt almengyldigt privacy by design-princip, såfremt det får retsvirkning i både den private som offentlige sektor. Men før dette princip kan realiseres er der imidlertid behov for at præcisere begrebet. I den forbindelse kan det overvejes at gøre princippet flerstrenget ved bl.a. at inkorporere det franske koncept. Endvidere er det væsentligt at gøre retten til at blive glemt operationelt som en såkaldt privatlivsfremmende teknologi i tilknytning til passende modeller for retshåndhævelse. Når data er lagt ud i offentlig domæne vi det være teknisk meget vanskeligt effektivt at indfange, eftersom data kan være tilgængelig på adskillige servere verden over. Dette problem synes at blive aktualiseret i yderligere grad i forbindelse med cloud computing, hvor det kan frygtes, at formidling og overlapning af personlige oplysninger vil medføre, at man aldrig rigtig kan være sikker på, at en udrensning vil hindre at data alligevel dukker op før eller siden. Hertil kommer, at princippets globale rækkevidde og dermed dets egentlige nyskabende værdi forudsætter en international implementering også uden for EU og det har efter alt at dømme lange udsigter.

Privacy International: Privatlivsbeskyttelsen halter i Danmark som i resten af Europa


Den engelske vagthunds-organisation Privacy International (PI)  har med egne ord  i over 20 år været en kraftig fortaler for beskyttelsen af det enkelte menneskes privatliv i forhold til regeringer og virksomheder. PI betragtes af mange som verdens mest markante og kompetente privacy NGO.

Privacy International har netop taget temperaturen på Europas privacy med udgivelsen  på databeskyttelsesdagen 28. januar af  en omfattende rapport under titlen “European Privacy and Human Rights (EPHR) 2010”. Rapporten, støttet af EU-Kommissionen, undersøger det europæiske landskab for de enkelte landes love og regler for privacy og databeskyttelse samt eventuelle andre love eller den seneste faktiske udvikling, der har haft indvirkning på privatlivets fred i de seneste to år. Udover  analyserne land for land indeholder undersøgelsen også en komparativ analyse af vigtige privacy emner samt et afsnit med alle større ændringer land for land. En privacy-rangfølge viser i  fugleperspektiv den væsentligste udvikling og opsummerer med en klassificering af privacy-status i hver enkelt land, fra dem, der “konsekvent beskytter menneskerettighedsnormerne” (bedste klassificering) til dem, hvor “endemisk overvågning” {i betydningen omfattende overvågning} hersker (laveste klassificering). Her imellem ligger lande, der  har “tilstrækkelige garantier mod misbrug” (tilfredsstillende klsssificering), præsterer en “systemisk svigt i at  efterleve sikkerhedskontrol” (utilstrækkelig klassificering) eller viser tegn på “en omfattende overvågning” (meget dårlig klassificering).

Nøgleresultaterne viser derefter de enkelte lande på en karakterskala, som de “gode” (“europæiske demokratier (…) der besidder et godt helbred “, med et” flertal af lande, der har en forfatningsmæssig beskyttelse”), eller dem, hvor  der har fundet en “heroisk ” advokering, kampagner eller protester sted, der har forsinket eller forhindret indskrænkning af privatlivet eller overvågning fra statens side.

Som Privacy International fastslår, så er Europa i front i verden med hensyn til privacy beskyttelse, men fremadrettet bekymrer denne førerposition Privacy International. PI´s synspunkt er selvsagt, at dukserollen forpligter.

I  sammenfatningen af rapportens nøgleresultater fremgår det, at til trods for at databeskyttelsesdirektivet er implementeret i EU-landene og andre europæiske lande, så er regelsættet ikke harmoniseret. Undtagelser og smuthuller under dække af “national sikkerhed” hæmmer privacy praksis, minimerer privacy beskyttelsen og forhindrer et effektivt tilsyn med privacy.

Hovedkonklusionen er, at situationen er uensartet og det er ifølge Privacy International uholdbart og ikke overbevisende.

Herefter omtaler undersøgelsen en række begivenheder, som har fået privacy-barometrets kviksand til enten at stige eller falde. Hvad der blandt andet betegnes som godt i rapporten er, at flertallet af de europæiske lande har en forfatningsmæssig beskyttelse af privacy og at de europæiske tilsynsmyndigheder får flere og flere klager, hvilket PI tager som et tegn på øget bevidsthed om privacy og tilsynsmyndighedernes opgaver. At 34.000 borgere i Tyskland indgav en klage for forfatningsdomstolen mod datalogning og at en NGO-kampagne har medført at den nye regering i Storbritannien har ophævet indførelsen af ID-kort, det biometriske pas 2.0, DNA-praksis og store databaser, bliver endog udråbt som heroisk.

Derimod benævnes det som akavet, at eksempelvis implementering af biometriske pas og datalogning er fragmenteret og at indgreb uden dommerkendelse stadig eksisterer i alt for mange lande, f.eks. i Irland, Malta, og Storbritannien. Endvidere er det dårligt, at f.eks. Tyskland, og Schweiz har beføjelser til at foretage hemmelig ransagning af computere og at e-sundhedssystemer har sikkerhedsproblemer og/eller centrale databaser i Frankrig, Tyskland, Italien, Nederlandene. Af deciderede grimme ting fremdrages bl.a. manglende evne til revision og evaluering af  efterretningstjenesters aktiviteter   f.eks.  i Litauen, Kroatien, Estland, Ungarn, Sverige samt etableringen af medicinske databaser med centrale registre i  Kroatien, Tjekkiet, Danmark, Sverige, Norge og Storbritannien.

I henhold til rapporten placeres Danmark samlet set i kategorien “systemisk svigt i at  efterleve sikkerhedskontrol” og opnår dermed en utilstrækkelig klassificering. Det skyldes først og fremmest den gældende logningsbekendtgørelse, de centrale sundhedsregistre, efterretningstjenesternes dataadgang samt andre EU-medlemsstaters elektroniske adgang omend begrænset til de danske dna- og fingeraftryksregistre. Danmark deler hermed skæbne med størstedelen af de europæiske lande. En ringe trøst vil mange mene. Kun Grækenland og Cypern har en bedre rating, men intet europæisk land opnår  forventelig nok en topplacering, mens derimod Tyrkiet, som det eneste land betragtes som et udpræget overvågningssamfund.

Souschef Christoffer Badse, Institut for Menneskerettigheder og advokat Michael Hopp, Plesner advokatfirma, har medvirket ved udarbejdelsen af den danske undersøgelse, hvortil der her henvises til den engelske version, da den danske oversættelse sine steder er mangelfuld.  Der  er en ganske glimrende oversigt over love samt administrativ- og retspraksis på området, som er nyttig for enhver der beskæftiger sig med privacy og persondatabeskyttelse. Rapporten vil uden tvivl bidrage til større forståelse for privacy i den løbende danske debat. At rapporten bl.a. roser den almindelige tyskers  kritiske engagement og  bevågenhed, der dog til dels kan begrundes i Tysklands forhistorie, er velvalgt. Man kan kun håbe at det også i Danmark på sigt vil være muligt at arrangere demonstrationer og kampagner med en mediedækning i selv den bedste tv-sendetid. Således er det sikkert, at næsten 250.000 tyskeres krav om pixelering af deres ejendom i Google´s Street View service, vil få indflydelse på Google´s forretningsmodel ikke alene i Tyskland men også i resten af Europa.

Rapporten er helt sikkert det mest omfattende dokumentationsmateriale om privacy- og databeskyttelse i verden til dato. Det er en rigtig god ide at sætte privacy og databeskyttelse i en referenceramme for menneskerettigheder og er faktisk selvindlysende efter at den Europæiske Menneskerettighedskonvention (EMRK) med Lissabontraktaten er blevet en del af  EU`s charter om grundlæggende rettigheder, og dermed har direkte  retsvirkning i EU medlemslandene. Danmarks placering er der sådan set ikke noget at sige til. Den overrasker ikke og kan ikke blive bedre, men heller ikke værre. Det er dog værd at hæfte sig ved, at en række privacyforbedrende tiltag i EU-regi er på vej og de vil uden tvivl blive gennemført i Danmark så vel som i de andre EU-lande. Der tænkes her først og fremmest på en forventelig styrkelse af den generelle persondatabeskyttelse med revisionen af EU´s persondatadirektiv så vel som en begrænsning af indsamlingen af trafikdata i henhold til logningsdirektivet.

Nedenfor anføres links til selve rapporten samt yderligere ressourcer.

The European Privacy & Human Rights 2010 (EPHR).

Introduktionsvideo “EPHR” projektet samt en kort præsentation af undersøgelsen.

Den internationale databeskyttelsesdag 28. januar 2011


Den europæiske konvention om beskyttelse af det enkelte menneske i forbindelse med elektronisk databehandling af personoplysninger (også kaldet konvention nr. 108) blev udfærdiget 28. Januar 1981 og i øvrigt ratificeret af Danmark 6. oktober 1989.

Eftersom konventionen er en hjørnesten i europæisk databeskyttelse og privacy og forløberen for EU´s databeskyttelsesdirektiv fra 1995 markerer Europarådet hvert år siden 2007 på netop 28. januar den såkaldte databeskyttelsesdag. Formålet er at fremme databeskyttelse som en grundlæggende rettighed og at skabe større forståelse for privatlivsbeskyttelse blandt Europarådets 47 medlemslande. Udenfor Europa gennemføres dagen som Data Privacy Day, bl.a. i USA. På dagen arrangerer Europarådet i samarbejde med EU-Kommissionen i år en konference i Brussels med titlen “Everyone has the right to the protection of personal data concerning him or her” for at festligholde konventionens 30 års jubilæum. Europarådet opfordrer hvert år de enkelte medlemslande til at gennemføre passende aktiviteter på databeskyttelsesdagen.

Når Europarådet og EU forener kræfterne for at skabe større opmærksomhed om databeskyttelse og privacy, så sker det ud fra en klar erkendelse af, at der er en nøje sammmenhæng mellem at sikre de fundamentale menneskerettigheder (informationssikkerhed/privatlivsbeskyttelse) og befolkningernes velfærd og tryghed i Europa.

Når det kommer til stykket, så kerer vi os faktisk om vort privatliv og personlige oplysninger. Men er der egentlig grund til at fejre noget som helst i 2011, når man ser tilbage på de skærpede terrorlove efter 11. september 2001, logningsbekendtgørelsens ikrafttræden, indførelsen af det biometriske pas, udpræget sporing af internetvaner, udbredelsen af sociale netværk, den generelle teknologiske udvikling osv. ?

Ja, det er der bestemt efter min opfattelse. Lad mig nævne nogle dugfriske eksempler på privacystyrkende tiltag i flæng. Den danske regering finder ifølge en redegørelse i efteråret 2010 ingen anledning til en yderligere skærpelse af anti-terrorpakkerne. De nye regler om swift/udveksling af data samt passagerdata (PNR) mellem USA og EU sikrer en bedre persondatabeskyttelse. En ny dansk bekendtgørelse baseret på EU-regulering er på vej, som regulerer brug af cookies på nettet med udvidet forbrugersamtykke og bedre information. En revision af EU´s logningsdirektiv forventes at indføre en større harmonisering, herunder en ensartet opbevaringsfrist. Efter de udmeldinger der indtil nu er fremkommet, kan man se frem til, at EU´s persondatadirektiv vil blive opdateret med bl.a. klarere regler for ansvarsfordeling samt præcisering af teknologiske principper for privacy by design. For nylig har IT- og Telestyrelsen præsenteret et diskussionsoplæg til nye digitale sikkerhedsmodeller med et hidtil uset fokus på et privacydesign.

Men fremfor alt er det mit indtryk, at flere og flere virksomheder, myndigheder, organisationer, udbydere af onlinetjenester samt forskningen er blevet mere interesseret og bevidt om privatlivsbeskyttelse og udvikling af produkter og løsninger, som beskytter borgerens persondata.

Andre steder på bloggen kan man læse mere om bl.a. EU´s tilgang til persondatabekyttelse og forskellige internationale forskningsrapporter om privacy. Under ressource center findes i øvrigt vel nok Danmarks største samling af alsidig og tværfaglig information om privacy.

Den offentlige debat har uden tvivl haft sin positive indflydelse på lovgiverne og andre opinionsdannere. Man kan sagtens mene, at det slet ikke er nok og at vi stadig lever i et decideret overvågningssamfund, hvor der står meget tilbage at ønske. Fremfor alt sløses der alt for meget med personlige oplysninger overalt, så en holdningsændring er grundlæggende nødvendig. Men det er dog skridt i den rigtige retning og der er god anledning til at rose f.eks. IT- og Telestyrelsen for fremsyn og også tidligere videnskabsminister Hele Sander, som i 2006 tog initiativ til at nedsætte det såkaldte Privacy Forum. I bund og grund er det vel egentlig bedst at være optimistisk af natur.

Som en kærkommen lejlighed vil jeg gerne opfordre alle til at sætte persondata- og privatlivsbeskyttelse på dagsordenen 28. januar. Afsæt f.eks. en halv time på jeres arbejdplads, på cafeen eller derhjemme ved middagsbordet med hele familien til at diskuttere hvordan I hver især oplever den beskyttelse og behandling, der er knyttet til jeres helt personlige oplysninger i forhold til f. eks. jeres arbejdsgiver, når I handler i en butik eller køber ind online , rejser, benytter sundhedsvæsenet eller når I surfer på nettet eller bruger Facebook. Nogle spørgsmål man kan stille sig i debatten kan f.eks. være: Har jeres arbejdsgiver udarbejdet retningslinjer for brug af sociale netværk i arbejdstiden ? Er der nogen der har været udsat for identitetstyveri eller krænkelse af privatsfæren ? Snager medierne for meget i personers privatliv ? Oplever I videoovervågning som et problem eller er synspunktet om at “jeg ikke har noget at skjule” godt nok ? Skal man som bruger have effektiv kontrol med hvad man lægger ud på internettet og  mulighed for at korrigere, tilbagekalde eller slette det (retten til at blive glemt på nettet) ?

For at lave konkret branding af temadagen har Dansk Privacy Netværk fået lavet et logo som hermed stilles til fri rådighed og som kan benyttes af enhver der afvikler en relevant aktivitet eller begivenhed på databeskyttelsesdagen nu og fremover. Tjek nærmere regler for brug af logo og download logoet her.

Datatilsynet gennemfører i dagens anledning en række spændende events. For nærmere oplysning henvises til tilsynets hjemmeside. Læs også EU-Kommissionens pressemeddelse Databeskyttelsesdag: garantier for beskyttelsen af privatlivets fred.

Dansk Privacy Netværk ønsker alle en rigtig god og udbytterig databeskyttelsesdag !

Privatlivsfremmende teknologier – er der noget at komme efter ?


10. september 2010 blev PrivatTek 2010 afviklet i den lyse og stilfulde Landstingssal på Christiansborg. De lidt over 90 deltagere blev foran Landstingssalen mødt af 14 portrætter af Danmarks tidligere statsministre fra Thorvald Stauning, der blev statsminister i 1924, til Poul Nyrup Rasmussen, der var statsminister 1993-2001.

De ydre rammer for konferencen kunne derfor ikke siges at være bedre med henblik på italesættelsen af persondatabeskyttelsen i sammenhæng med privatlivsfremmende teknologier, som var et af arrangementets hovedformål. 

De privatlivsfremmende teknologier blev belyst i relation til:

  • It-sikkerhedskomiteens indsatsområder 
  • Persondataloven
  • I forbindelse med videoovervågning
  • En integreret del af en innovativ it-arkitektur 
  • Et visionært teknologidesign
  • EU´s kommende 7. call under IKT-programmet og sidst men ikke mindst
  • I en debat med et bredt sammensat panel

Det var netop hensigten at komme vidt omkring emnet ved at berøre teknologikonceptets teoretiske, praktiske, tværfaglige, politiske, økonomiske og etiske aspekter. Ved samtidig at gøre dette på et jordnært, elementært niveau er det håbet at tage mystikken af teknologibegrebet og få en bredere kreds af offentligheden i tale. At f.eks. CenSec og Sikkerhedsbranchen er officielle medarrangører af PrivatTek 2010 er allerede i sig selv en manifestation af disse organisationers øgede interesse for privacy.

Det er min klare opfattelse at denne mission er lykkedes. Det viser den store interesse op til PrivatTek 2010 og bredden af deltagerne, som talte både repræsentanter for en række ministerier og styrelser, forskere og studerende fra en række forskellige universiteter, advokater, repræsentanter for en lang række erhvervsbrancher, herunder finanssektoren og it-sikkerhedsleverandører. 

 At jurister får en større forståelse for de privatlivsfremmende teknologier samtidig med at it-udviklere sætter sig mere ind i lovgivning om persondatabeskyttelse og privacy-principper er en grundforudsætning for bæredygtige løsninger. Derfor opfordrede jeg selv i min velkomst etableringen af tværfaglige forsknings- og udviklingsmiljøer med privatlivsfremmende teknologier for øje.   

PrivatTek 2010 nød godt af en engageret deltagelse af Yildiz Akdogan, Socialdemokraternes it- ordfører og konferencens officielle vært. Arrangørerne havde dog set frem til en større politisk bevågenhed, især fordi en positiv udvikling af teknologien, som bl.a. påpeget af flere nylige rapporter udgivet af EU-Kommissionen, forudsætter mere direkte lovgivning og diverse soft law-instrumenter.    

Der er i den forbindelse anledning til at fremhæve, at der i lige så høj grad er behov for en øget certificering og standardisering, som lektor Christian Damsgaard Jensen kom ind på i sit indlæg og som blev problematiseret under indlægget om video i teknisk og retligt perspektiv af direktør Kasper Mikkkelsen fra Sikkerhedsbranchen. Det er muligt, at det er en større teknologisk udfordring, at ekstrahere semantisk information med henblik på beskyttelse (scrampling) for så vidt angår multimedier end med hensyn til tekstdata eller kategoriske data. Selv om  Sikkerhedsbranchen i øvrigt på eget initiativ har indført en godkendelsesprocedure for installatører, mangler der imidlertid en eller anden form for effektiv kontrol med at produkterne lever op til det de lover for at skabe reel tryghed for borgeren.

Sidste år stødte jeg på en glimrende artikel Without fear of trespass på guardian.co.uk skrevet af Julian Baggini. Den og debattråden  berører ikke de teknologiske muligheder, men det er alligevel tankevækkende at forestille sig, hvorledes teknologiløsninger kan og bør være med til at fjerne almindelige menneskers behov for at forsvare deres privacy i det offentlige rum. 

Den etiske dimension blev også taget op under paneldebatten af direktør Lars Klüver fra Teknologirådet. Det er klart at værdidebatten er fundamental for hele samfundsudviklingen. Man kan definere etik som kritisk refleksion på menneskets handlinger (moral) og al teknologidesign bør naturligvis være baseret på klart formulerede etiske principper. Det er altid godt at tage emnet op i enhver sammenhæng og det var mit klare indtryk at forsamlingen var opmærksom herpå.   

De deltagere, som jeg har talt med efterfølgende udtrykte alle, at de synes det var en interessant og udbytterig event. I øvrigt kan jeg henvise til Jan Horsagers inspirerende blogindlæg 14.9 2010: Hvem skal bestemme, hvad der er fortroligt? og dagens opfølgende artikel på Computerworld online: Hvem vil certificere privacy? samt yderligere kommentarer om konferencen og om privacy i almindelighed på Danish Biometrics og  her.

Á propos temaets aktualitet kan desuden henvises til den åbningstale, som Viviane Reding, EU-kommissær for retlige anliggender, grundlæggende rettigheder og EU-borgerskab, holdt i forbindelse med the digital single market Conference i Brussels 16. 9. 2010 og som var organiseret af the Lisbon Council. I talen opfordrede Reding til udvikling af nye teknologier baseret på privacy by design og “at databeskyttelsen bør indlejres i teknologiernes og procedurernes hele livscyklus”.

Under alle omstændigheder blev der sat fokus på privatlivsbeskyttelsen. Det er jo en opgave, som der hele tiden skal afsættes ressourcer til. Der er ikke nogen tvivl om, at der tegner sig nogle yderst interessante perspektiver i udviklingen af privatlivsfremmende teknologier og derfor vil PrivatTek som koncept blive videreudviklet i forbindelse med kommende arrangementer.

Skal vi have en privacy-ombudsmand ?


En ombudsmand er oprindelig en svensk opfindelse, der går helt tilbage til 1810. Sidenhen er embedet i forskellige udgaver ligesom selve ordet blevet kopieret i omkring 120 lande verden over. I Danmark blev Folketingets ombudsmandsinstitution, der er en kontrolinstans i forhold til den offentlige forvaltning, oprettet i 1954 og den første ombudsmand var den navnkundige professor dr. jur. Stephan Hurwitz.

Forbrugerombudsmanden blev introduceret i 1975 og fører bl.a. tilsyn med at markedsføringsloven overholdes.

Af andre ombudsmandsinstitutioner kan fremhæves Den Europæiske Ombudsmand, der behandler klager over fejl og forsømmelser i Den Europæiske Unions institutioner og organer. Hvis man er statsborger i en af Unionens medlemsstater eller har fast bopæl i en medlemsstat, kan man indgive klage til Den Europæiske Ombudsmand. Virksomheder, foreninger og andre organer med hjemsted i Unionen kan også klage til ombudsmanden.

Konkret i relation til privacy og persondatabeskyttelse har EU i 2001 endvidere oprettet en  stilling som europæisk tilsynsførende for databeskyttelse. Den europæiske tilsynsførende for databeskyttelse skal sikre, at alle EU-institutioner og organer overholder reglerne om beskyttelse af personer i forbindelse med behandling af personoplysninger. Den europæiske tilsynsførende for databeskyttelse arbejder sammen med de databeskyttelsesansvarlige i de enkelte EU-institutioner eller organer for at sikre, at reglerne om privatlivets fred anvendes.

Ideen om at en uafhængig embedsmand, med kompetence til at undersøge klager fra almindelige borgere, kan kritisere ulovlig, unfair eller forkert myndighedsudøvelse og fremkomme med anbefalinger, er ikke ukendt i andre lande. Således har man f. eks. i det islamiske retssystem fra gammel tid kendt til de såkaldte “Diwan al Mazalim”-institutioner, hvis funktion var at undersøge klager indbragt af borgere mod embedsmænd.

Oprettelsen af ombudsmandsinstitutioner, som især tog fart i 2. halvår af 1900 skyldes tilsyneladende 2 omstændigheder. Dels et behov for retssikkerhed i forhold til en stadig stigende offentlig administration, dels udbredelsen af nye demokratier og menneskerettigheder.

Formålet med en ombudsmand er kort og godt, at fremme retssikkerheden, menneskerettigheder samt god offentlig sagsbehandling. Karakteristisk for en ombudsmand er, at embedet er personligt (eller udgøres af en gruppe personer) og at denne person er udpeget af et parlament for at understrege, at hans autoritet udspringer af folkets repræsentanter. En ombudsmand skal nyde stor respekt og integritet og derfor varetages hvervet som regel af personer med en dommer- eller juraprofessorbaggrund.

Med henblik på at varetage sin primære arbejdsopgave at beskytte rettighederne for den, der mener at være udsat for en ulovlig eller uretfærdig behandling af det offentlige, så er det vigtigt at enhver person kan kontakte ombudsmanden direkte uden formaliteter og uden omkostninger af betydning. Ombudsmanden kan også på eget initiativ tage en sag op og det skal sikres, at institutionen har vide beføjelser til at gennemføre en undersøgelse.

Ombudsmanden betragtes af mange som “den lille mands advokat”, men det er ikke helt korrekt for så vidt angår den danske ombudsmand, der foretager en klassisk domstolslignende sagsgennemgang. Stephan Hurwitz udtrykte det på den måde, at enhver sag har to parter, en klager og én der klages over, og begge parter har krav på en ordentlig og fair behandling.

Det er dog værd at fremhæve, at en af ombudsmanden udtrykt kritik og især hvordan en sag burde være håndteret, kan have stor betydning for den enkelte borger. I andre lande afgør ombudsmanden en egentlig tvist og kan her komme med et forslag til en mindelig løsning mellem borgeren og den offentlige myndighed. I disse tilfælde fungerer ombudsmanden mere som repræsentant for den enkelte borger end som uafhængig dommer. Men under alle omstændigheder er ombudsmandens afgørelse kun at betragte som en anbefaling, som den pågældende myndighed bør følge, men ikke er forpligtet til, som hvis det havde været en domsafgørelse. Værdien i ombudsmandens afgørelse hviler derfor alene på de gode argumenter og den respekt ombudsmandsinstitutionen nyder. Fordi det ofte vil være forbundet med store omkostninger og tidskrævende at anlægge en retssag, betragtes ombudsmanden som et udmærket supplerende retsligt alternativ. Erfaringen synes at vise, at en ombudsmandsinstitution bidrager til stabiliteten i samfundet.

Fra tid til anden fremkommer der forslag om at udnævne en sagsspecifik ombudsmand, f.eks. en børneombudsmand eller ældreombudsmand. Bevæggrunden er at styrke retsstillingen for samfundsgrupper, som opleves at blive overhørt af beslutningstagere og myndigheder.

Op til det seneste valg til Europa-Parlamentet i juni 2009 præsenterede det socialdemokratiske medlem, Christel Schaldemose, et forslag om at oprette en europæisk privacy ombudsmand. Ideen er udsprunget af behovet for en større privacy-beskyttelse i forbindelse med de sociale netværk, som f.eks. Facebook og som ifølge EU-parlamentsmedlemmet kræver EU-lovgivning. Et tilsvarende forslag er anbefalet af Karin Riis-Jørgensen, forkvinde for European Privacy Association, i forbindelse med It-sikkerhedskomitéens konference ”Privatliv på profilen” i november 2008.

Efter min opfattelse er betegnelsen “ombudsmand” ikke beskyttet og der eksisterer heller ikke en entydig definition af en “ombudsmand”s beføjelser og funktioner. Så vidt jeg har kunnet konstatere, findes der ikke et embede i verden med generelle kompetencer, der benævnes som privacy-ombudsmand. Dog er der flere steder indført en privacy-ombudsmand indenfor specifikke sagsområder. Således har Norsk samfunnsvitenskapelig datatjeneste en såkaldt personvernombudet for forskning, der på engelsk benævnes privacy ombudsman og som har fået uddelegeret kompetance fra det norske datatilsyn i forbindelse med spørgsmål om persondata i forskningsprojekter. I henhold til The Bankruptcy Abuse Prevention and Consumer Protection Act of 2005, kan en amerikansk domstol udmelde en såkaldt consumer privacy ombudsman i konkurssager, hvor der kan blive tale om at sælge eller udlåne personlige oplysninger.

Derudover kan det konstateres, at der eksisterer organer rundt omkring i verden, som har beføjelser og funktioner, der i større eller mindre grad udmærket kan sammenlignes med en klassisk ombudsmandsinstitution, men blot hedder noget andet. Eksempelvis har Office of the Privacy Commissioner of Canada et mandat og en mission der i store træk minder om de arbejdsopgaver der traditionelt er knyttet til  en ombudsmand med tyngde på advokat-rollen blot i relation til privacy. Der er dog den interessante forskel, at kommissionæren, der er ansat af parlamentet og rapporterer til de to folkevalgte kamre, kan anlægge sag ved de almindelige domstole i sager, som ikke er blevet løst. De enkelte canadiske provinser har hver deres egne institutioner for privacy fastsat i henhold til lov, der i det væsentligste minder om embedet for Office of the Privacy Commissioner of Canada. Dog med mindre undtagelser. Eksempelvis kan afgørelser af Office of the Information and Privacy Commissioner of Ontario, der for tiden beklædes af den højt respekterede  Ann Cavoukian, i visse tilfælde indbringes for de almindelige domstole. At kommissionæren i almindelighed kan træffe bindende afgørelser, der er inappellable, kan derfor snarere sammenlignes med de kompetencer Datatilsynet besider. I Yukon, en anden canadisk provins, har man valgt en ordning, hvorefter embederne, som både Ombudsman (der svarer til en traditionel ombudsmand) og Information & Privacy Commissioner, der er reguleret i henhold til forskellige love, varetages af én og samme person.

Henset til den førnævnte beskrivelse af ombudsmandsinstitutionen, så kan jeg udmærket godt forstå hvorfor ideen om en privacy-ombudsmand lanceres. Ombudsmanden er et stærkt brand. Men spørgsmålet er, om der reelt er brug for en europæisk eller dansk privacy-ombudsmand ?

Der er ikke nogen tvivl om at privacy som en menneskeret er under stigende pres både nationalt som globalt og at en international regulering efterlyses. Det er også uomtvisteligt, at privacy- og persondatabeskyttelsen er kompliceret at håndhæve især i forbindelse med introduktionen af flere og flere digitale tjenester og teknologier. Der er, som det er nævnt i et tidligere indlæg her på bloggen, derfor behov for en opdatering af persondatadirektivet og eventuelt anden særlovgivning både indholdsnæssigt og med hensyn til fuldbyrdelsesinstrumenter.

Ved implementeringen af persondatadirektivet er det op til hvert enkelt EU-land at organisere tilsynsmyndigheden. Nogle lande, herunder Tyskland, har ligesom Canada valgt en konstruktion med udnævnelse af en kommissær for databeskyttelse og informationsfrihed dels for hele Tyskland og dels for hver af de 16 tyske delstater, jfr. f.eks.  Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit. Det tyske embede er klart inspireret af den klassiske ombudsmandsinstitution, idet kommissæren er personligt udpeget af den tyske forbundsregering respektive de enkelte delstaters regeringer og valgt af henholdsvis det tyske Forbundsparlament respektive de enkelte delstaters parlamenter.

The Information Commissioner’s Office i Storbritanien, der er organiseret som en “non-departmental public body” (svarer til en dansk styrelse) under justitsministeriet, rapporterer direkte til parlamentet, og kan stort set sammenlignes med Datatilsynets opbygning, rolle og ansvar.

En fortegnelse over de nationale organer for databeskyttelse i EU, EFTA, EU-kandidatlande og visse tredjelande kan findes her.

I Danmark er Datatilsynet (indtil 2002 benævnt Registertilsynet) at betragte som en uafhængig statslig myndighed, der har til opgave at føre tilsyn med, at reglerne i persondataloven, der gennemfører EU-direktivet, overholdes. Datatilsynets opgaver består i at rådgive, vejlede samt behandle klager (også fra almindelige borgere) og foretage inspektioner hos myndigheder og virksomheder. Selvom Datatilsynet organisatorisk  henhører under Justitsministeriet, så har ministeriet ingen instruktionsbeføjelse over myndigheden. Der er således alene tale om en formel forskel i strukturen og ikke en reel forskel i substansen (persondatadirektivet) i forhold til eksempelvis den tyske ordning og det er trods alt det som man bør hæfte sig ved i hele denne her diskussion.

Funktionerne kunne således i princippet sagtens blive varetaget af en ombudsmand, men nu ligger de faktisk hos Datatilsynet og det vil derfor umiddelbart være mere hensigtsmæssigt at styrke Datatilsynets organisation på en række punkter. Som jeg andetsteds har opfordret til, så bør Datatilsynet både have tilført flere økonomiske midler og flere faglige kompetencer og det er også muligt at Datatilsynet skal have flere sagskompetencer og bedre retshåndhævelsesmidler samt en pligt til at indgå i et mere formaliseret samarbejde med relevante samarbejdspartnere.

For så vidt angår en europæisk privacy-ombudsmand, så kan en sådan kun fungere effektivt og i overensstemmelse med institutionens intention, såfremt der tilføres eksorbitante midler, men der er desuagtet alvorlig risiko for, at en fælles-europæisk institution vil drukne i bureaukrati, især henset til at lovgivningsindhold og lovgivningspraksis ikke er ens i EU. Sidstnævnte forsøger de nationale datatilsyn at koordinere via WG-29 arbejdsgruppen. Det er muligt at denne konstruktion kan forbedres, men det må afvente den revision af EU´s juridiske referenceramme om databeskyttelse, der omfatter persondatadirektivet, e-privacy direktivet samt Rådets rammeafgørelse 2008/977 om beskyttelse af personoplysninger i forbindelse med politisamarbejde og retligt samarbejde i kriminalsager og som tidligst forventes afsluttet primo 2011. Man kan med en vis ret hævde, at når alt kommer til alt, så er det snarere en mere effektiv EU-regulering og sikrende retsmidler baseret på nærhedsprincippet, der er brug for, end at en europæisk privacy-ombudsmand afgiver rekommandationer, der ikke kan fuldbyrdes.

En dansk privacy-ombudsmand synes heller ikke at være gangbar, fordi det ikke vil være hensigtsmæssigt endsige nødvendigt at nedlægge Datatilsynet for at opbygge en ny institution, hvor stort set kun indpakningen er forskellig, medmindre man ønsker, at embedet alene skal fremkomme med anbefalinger og ikke, som det er i dag, hvor Datatilsynets afgørelser har umiddelbar retsvirkning. Det har den konsekvens, at overtrædelse kan medføre straf- eller erstatningsansvar og at Datatilsynets  afgørelser efter persondataloven ikke kan indbringes for anden administrativ myndighed, men selvfølgelig altid kan prøves ved en domstol. Denne sagsbehandling kunne godt gøres mere smidig uden nødvendigvis at ændre på Datatilsynets retskompetence, idet en rolle som mediatoradvokat næppe vil være valid. Derimod kan argumentet om, at selve udnævnelsesproceduren har en yderligere tillidsskabende virkning, muligvis overvejes nærmere samt i forlængelse heraf eventuelt at lægge tilsynet direkte under Folktetinget, for at sikre en yderligere uafhængighed i forhold til regeringen.

Det vil ikke gøre nogen forskel, såfremt en privacy-ombudsmand skulle fungere ved siden af Datatilsynet med nye funktioner, idet det uundværligt vil føre til kompetencestridigheder. Der har i øvrigt allerede rodfæstet sig en forvaltningspraksis, hvorefter persondataspørgsmål henvises til Datatilsynet. Det gælder således også i relation til spørgsmål om f.eks. forbrugerbeskyttelse og målrettet reklame, som ellers umiddelbart kunne tænkes at høre under Forbrugerombudsmandens ressortområde.

Selvom det lyder besnærende, så skal man nøje og nøgternt overveje behovet for en ny ombudsmandsinstitution og ikke lade sig rive med af et ellers prisværdigt engagement og en øjeblikkelig omend velbegrundet stemning for at styrke en bestemt befolkningsgruppes interesser eller et specifikt rets- eller principområde. Privacy er kun en af 30 menneskerettigheder , der er fastsat i FN’s menneskerettighedserklæring og Den Europæiske Menneskerettighedskonvention. De er alle ligeværdige og staterne kan ikke vælge nogen rettigheder ud som mere beskyttelsesværdige eller respektable end andre. Et perspektiv med 30 sagsspecifikke ombudsmænd ved siden af Folketingets ombudsmand forekommer omsonst, især når der allerede findes organer, både nationalt som internationalt,  der mere eller mindre tager sig af de berørte problemstillinger.

Der synes derfor ikke efter min opfattelse at være vægtige grunde, der taler for at oprette en privacy-ombudsmandsinstitution.

Privacy er et brandaktiv, fastslår amerikansk undersøgelse


Ponemon Institute, der gennemfører uafhængig forskning i privacy, databeskyttelse og informationssikkerhed, har for nylig offentliggjort en undersøgelse om de tyve virksomheder, der har den mest troværdige privacy.

Ponemon Instituttet slår fast, at i et år der betegnes som et turbulent privacy-år, med offentliggørelse af mange fejl og fejltrin, bevarer American Express støt og roligt sin førsteplads på listen over brands,som de amerikanske forbrugere har mest tillid til.  

Det er femte år i træk, at American Express topper listen. IBM, Johnson & Johnson, Hewlett Packard, og E-Bay besætter de fire følgende pladser.
 
Placeringerne er baseret på svar fra 6.627 amerikanere og undersøgelsen har omfattet omkring 38.000 virksomheder af hvilke 229 er blevet rangeret mindst 20 gange. Blandt de brands, der ikke tidligere har været med i top 20 er Google, Weight Watchers, Walmart og AT & T. Derimod er Facebook, AOL, og eLoan ikke med på listen.

Ingen små og mellemstore virksomheder kom med på top 20 og spørgsmålet der kan stilles er, om det skyldes at 56 procent af de små og mellemstore  virksomheder end ikke har en privatlivspolitik offentliggjort på deres hjemmesider? Undersøgelsen viser imidlertid klart, at selvom Facebook har en privacy politik, så kom de ikke med i toppen, hvilket helt sikkert skyldes at 2009 afslørede alvorlige brud på privacy og sikkerheden hos Facebook, der gav anledning til stor offentlig debat om deres privay-settings, siger Larry Ponemon fra institutet. Han udtaler endvidere i rapporten: “Facebook tiltrak sig stor opmærksomhed, da de valgte at forny deres privacy-politik på en meget synlig måde. Mens de blev belønnet for deres indsats sidste år, havde forbrugerne mindre tillid til Facebook i år, hvilket blot viser, hvor vigtigt beskyttelse af privatlivets fred er som et brand-aktiv.”

Mike Spinney, senior analytiker hos Ponemon, mener, at Facebook kan vende tilbage til top 20 listen, ved at have en åben tilgang til privacy. “Det vil tjene virksomheden godt i det lange løb, at reagere på kommentarer fra offentligheden”

Undersøgelsen viser også, at forbrugernes oplevelse af at have kontrol over deres personlige oplysninger er faldet støt: 41 procent i 2010, et fald fra 45 procent i 2009, hvilket var et fald fra 56 procent i 2006, det første år undersøgelsen er blevet gennemført.

Blandt undersøgelsens markante resultater kan fremhæves følgende.

Identitetstyveri er et vigtigt anliggende for de adspurgte. Næsten 60 procent af de adspurgte vurderer, at emnet er væsentlig faktor for hvor meget de har tillid til et brand, og 50 procent udtalte, at notifikation af databrud er en faktor af betydning. Andre trusler mod tilliden til et brand er misbrug af borgerlige frihedsrettigheder og irriterende “baggrundschat” på offentlige sites. Læs: drop unødvendige Twitter og Facebook opdateringer.

Privacy “features” bidrager til at skabe brandtillid. Stor securitybeskyttelse blev identificeret som tillidsskabende af 60 procent af forbrugerne, mens 53 procent siger, at  præcis dataindsamling og brug er vigtig for tilliden. Andre væsentlige positive faktorer er dataminimering samt online-anonymitet. 

Ponemon fremhæver i rapporten, at dataindsamling også omfatter markedsføring og advarer, at virksomhederne skal være forsigtige med brugen af kundeoplysninger.

“Hver gang kunder er udsat for markedsføring, som er irrelevant eller irriterende, er det et spørgsmål om privatlivets fred for dem,” udtaler Ponemon.

 Top-tyve virksomhederne for beskyttelse af privacy i 2010 er:
 
1 American Express (1)
2 IBM (3)
3 Johnson & Johnson (5)
4 Hewlett Packard (6)
5 E-bay (2)
6 U. S. Postal Service (6)
7 Procter & Gamble (7) 
8 Amazon (4) 
8 Nationwide (9)
9 USAA (11) 
10 WebMD (13)
11 Intuit (12)
12 Apple (8)
12 Disney (16)
13 Google (ikke i top 20 sidste år)
14 Verizon (17)
15 US Bank (19)
15 Charles Schwab (10)
16 Weight Watchers (ikke i top 20 sidste år)
17 Yahoo! (14)
18 FedEx (18)
19 Walmart (ikke i top 20 sidate år)
20 AT & T (ikke i top 20 sidste år)
20 Dell (20)

Undersøgelsen har nogle pointer, som efter min opfattelse også vil være relevante i forhold til danske virksomheder og for den sags skyld også offentlige myndigheder. Det er åbenlyst, at privacybranding bør inkorporeres med henblik på at skabe en langsigtet corporate brandværdi. En gennemtænkt holistisk privacypolitik, der er synlig for enhver, kan anbefales.   

Uden at der er tale om en videnskabelig undersøgelse, så viser en stikprøvevis gennemgang af diverse danske hjemmesider, at mange virksomheder og organisationer har en egentlig privacy policy, selvom indholdet varierer meget. Det kan afgjort tages som udtryk for at privacy beskyttelse tages alvorligt og at man er opmærksom på, at den udøver indflydelse på brandingen og markedsføringen af virksomheden og organisationen. Men der er helt klart behov for relevant forskning på området, herunder en lignende dansk undersøgelse af forbrugerforventninger som Ponemon Instituttet har gennemført. 

I 1999 udtalte Scott McNealy, Sun Microsystems chief executive, “You have zero privacy anyway. Get over it.” Og i januar 2010 blev Facebook´s grundlægger Mark Zuckerberg citeret for: “Privacy is dead – get over it”. Man skal selvfølgelig være varsom med generaliseringer og de nævnte smarte “heiku digte” er alt for unuancerede endsige retvisende. Jeg medgiver at privacy er kompliceret og begrebet undergår uomtvisteligt store forandringer i disse år, men i nærværende sammenhæng kan det i alt fald med rette fremføres, at amerikanske forbrugere lægger vægt på privacy og at det kan betale sig for virksomheder og organisationer at have et sæt privacy retningslinjer. Om de så er let forståelige og faktisk sikrer den enkelte forbrugers privacy er et andet spørgsmål. En væsentlig pointe er, at virksomheder og organisationer, har en åben og gennemsigtig politik, der oplyser om det konkrete formål for en dataindsamling og hvorledes persondata vil blive opbevaret og behandlet, herunder hvilke teknikker der er anvendt for at sikre dette. Et reelt brugervalg der sikrer brugerkontrol er at foretrække. At nå dertil er der endnu et stort stykke vej. Information og uddannelse er nøgleord.

Hertil kommer at offentlige myndigheders privacy policy altid bør inkludere det bredest mulige publikum, herunder også borgere, der er skeptiske  overfor den offentlige administration og som har mistillid til den teknologiske udvikling.