Det kompliserte samtykket

mandag 29. mars 2021 @ 07:40

Nylig varslet Datatilsynet en bot på 100 millioner kroner til en amerikansk app-leverandør. Advokat Eva Jarbekk besvarer noen av spørsmålene som saken reiste, og som du kanskje selv må ha svar på om Datatilsynet en dag banker på døren din.
Av Eva Jarbekk

Nordens største personvernbot er nylig varslet i Norge. Om boten blir en realitet vet ennå ingen, men Datatilsynet har varslet 100.000.000 i overtredelsesgebyr til en amerikansk app-leverandør, Grindr. Fra før av var den høyeste boten i Norge 4.000.000, et beløp som dessverre møtes med en gjesp i mange miljøer.

Fra å ha vært et land der mange har sukket litt over at Datatilsynet ikke «tar i» på en måte som gjør at bedrifter tar personvernet seriøst, er nå manges personvern øyne rettet mot Norge og hva som skjer med denne boten fremover. Grindr har selvsagt bestridt den. 

Se også vårt nettmøte: Hvordan unngå 100 millioner i bot?

Komplisert regelverk

Regelverket om personvern har blitt temmelig komplisert. Utgangspunktet er teksten i GDPR som er et regelverk på 100 artikler, men i tillegg kommer en rekke veiledere fra EUs Personvernråd. Disse veilederne er omfangsrike og preget av at de er skrevet av jurister – de har et tungt juridisk språk som ikke alle synes er lett å lese. Veilederne er ofte detaljerte, og i praksis har det nok vært slik at de ikke har blitt tatt helt på alvor i markedet. Sikkert til frustrasjon for Datatilsynet. 

I saken mot Grindr, har Datatilsynet lagt stor vekt på veilederen om hvordan samtykker skal innhentes, og de bruker den ganske bokstavelig. 

Saken har et vell av juridiske problemstillinger og det kommer til å bli skrevet avhandlinger om den, likevel er det noen forhold som har stor spesielt betydning for næringslivet, uansett hvordan den ender. Det er også viktig å se nærmere på noen andre generelle uttalelser i veilederen om samtykker fra Personvernrådet som kan få stor betydning fremover. 

Er gratistjenester på vei ut?

Mange tjenester og app’er tilbys i to versjoner; en versjon som er gratis og der man mottar reklame og en betalbar versjon der man ikke mottar reklame. Svært mange tjenester finansieres på denne måten – enten betaler kundene en avgift eller så finansierer leverandøren tjenesten gjennom reklameinntekter. Mange slike tjenester baserer seg dessuten på at kunden samtykker til hvordan opplysningene brukes.  

Når kunden skal ta stilling til om vedkommende vil ha reklame eller ikke, må brukeren typisk betale en årsavgift dersom reklame skal unngås. Er samtykket frivillig da? Selv om man må betale noen kroner for å slippe reklame? Eller er det at en reklamefri tjeneste koster penger, en uakseptabel dytt i retning av at man heller velger å motta reklame? Og hvor mange kroner, eller kanskje rettere sagt hvor få kroner, er «akseptabelt» for å si at et samtykke er frivillig? 

Det er i alle fall sikkert at mange tjenester må legge om praksisen fullstendig dersom et samtykke til å motta reklame ikke er «frivillig» når alternativet er et abonnement. Det er vanskelig å tenke seg at det kan bli en realitet.

Hvor mange samtykker trengs?

Personvernrådets veileder sier at dersom noen har samtykket til et formål, så kan personopplysningene bare brukes til dette formålet. De aller fleste trenger å behandle opplysninger til flere formål, uavhengig av om det er en app eller noe annet man leverer. Det kan bli utfordrende når kravet er – eller blir – at man må be om samtykke til hvert enkelt formål separat.

Hva er et formål?

For hva er et formål? Jeg tror mange som ikke jobber med personvern har et litt uklart forhold til dette. Alle forstår at ett formål er å levere den tjenesten man har sagt at man skal gjøre. Men det er mange andre formål som ligger i utkanten av hovedtjenesten. Man ber kanskje om samtykke til å sende kunden reklame og man vil kanskje også kunne dele opplysninger om kunden med samarbeidspartnere i samme konsern. 

Personvernrådet er tydelige på at det å sende ut reklame og å dele opplysninger innad i et konsern, er to forskjellige formål som krever to uavhengige samtykker. Det er ikke like åpenbart for mange. Ser man på hvordan cookie-samtykker ofte utformes nå, så bes det også om egne samtykker til formålet «statistikk». Det finnes mange andre eksempler.

Jeg tror at mange tjenesteleverandører mener at mange formål henger så tett sammen at de i praksis er ett. Samtidig vil Personvernrådet at hvert formål skal ha et uavhengig samtykke. Dersom veilederen skal tas på ordet på dette punktet, kan det bli ganske mange bokser å krysse av når man skal bruke en tjeneste. Dette er et område hvor veilederen ikke har blitt fulgt opp i praksis og da blir det selvfølgelig vanskelig for bedriftene å vite om de egentlig må ta hensyn til den eller ikke.

Samtykker fremover: Hva med IT-systemene?

Det er åpenbart at hvordan man ber om samtykker, kommer til å endre seg i retning av det Personvernrådet ønsker. For mange aktører er nok dette nok en smertefull prosess fordi datamengden kundene gir fra seg vil minke når kundene får større kontroll over hva deres data kan brukes til. Men det er jo faktisk det EU har ønsket å oppnå med å styrke personvernet. 

Samtidig får man også en teknologisk utfordring. Når kunden skal kunne velge hvordan data skal brukes, må it-systemene i bakkant også ha mulighet til å ta hensyn til hva den enkelte bruker har sagt ja og nei til. Det er ganske viktig at it-systemer bygges med mulighet til å «skru på» hvordan data brukes og flyter. 

Både i EU og i Norge er det en tendens til at aktører angir konkurrenter for å bruke løsninger som ikke overholder personvernregelverket. Det er kanskje ikke forbausende. Og det er ganske mye å «ta i» for en som vil kritisere en konkurrent. Risikobildet er ikke bare at man kan få en bot – man kan også bli pålagt å slette opplysninger Datatilsynet mener ikke er samlet inn på lovlig måte og ikke minst kan man bli nødt til å endre datasystemene sine.

Det er en god del man må ta stilling til når man bygger og bestiller tjenester i dag, uansett om man er bestiller eller leverandør av en tjeneste. Det kan bli ganske dyrt å måtte utvikle en ny dataflyt og nye samtykkeløsninger. 

Full transparens: Vi gjør oppmerksom på at Eva Jarbekk er advokat for Grindr.

Våre ukebrev

Her kan du melde deg på et eller flere av våre ukebrev. Du kan melde deg av eller endre hva du mottar via lenker i epostene.

"*" obligatorisk felt

Navn*

Litt klokere

Ukentlige nettmøter hvor vi gjør hverandre litt klokere. Du må være logget inn som medlem for å melde deg på.

PrivacyTech

Som medlem i PrivacyTech-nettverket blir du en del av en gruppe likesinnede profesjonelle som er opptatt av GDPR, personvern, compliance og tech. Med Eva Jarbekk – en av Norges fremste eksperter på området – som fasilitator.

Partners in tilt

Vårt nettverk av «kloke hoder» (team tilt) med en bærekraftsagenda.

Del dine tanker om denne artikkelen

0 Comments

Submit a Comment

Din e-postadresse vil ikke bli publisert. Obligatoriske felt er merket med *

På forsiden nå

Kunstig intelligens endrer arbeidslivet: Hva kan vi forvente?

Kunstig intelligens endrer arbeidslivet: Hva kan vi forvente?

|
Vårt Litt klokere nettmøte den 18. april skal handle om hvordan kunstig intelligens påvirker arbeidslivet. AI-feberen har eksplodert, og teknologien har allerede stor innflytelse på hvordan vi jobber, noe denne artikkelen er et eksempel på.
Bærekraftig HR: Når mennesker, planet og profitt møtes

Bærekraftig HR: Når mennesker, planet og profitt møtes

|
Hvordan kan HR bidra til bærekraftsstrategien og selv bli bærekraftig? Modeller er ikke nok. Men de kan være et startpunkt.
Ingen grunn til panikk?

Ingen grunn til panikk?

|
En konferanse i regi av Samfunnsbedriftene og et møte med en professor har gjort meg litt mer optimistisk for et samfunn hvor alle, også næringslivet, tar ansvar for en bærekraftig fremtid.
helsestrategi for dine ansatte

Har du husket helsestrategi for dine ansatte?

|
Målet med en helsestrategi er at alle ansatte har fysisk og - ikke minst - psykisk overskudd.
myteknusing

Når en «bløff» blir «sannhet» fordi den gjentas ofte nok

|
Det er meningsløst å bringe videre en generell påstand om at 70 prosent av alle endringsinitiativ mislykkes.
Vi kan ikke overlate til andre å redde planeten

Vi kan ikke overlate til andre å redde planeten

|
Selskaper som i dag ikke har en bærekraftstrategi som de etterlever, har ikke livets rett.
Dagen før kvinnedagen: Den langsomme reisen fra én normal til en annen

Dagen før kvinnedagen: Den langsomme reisen fra én normal til en annen

|
Det er kvinnedag i morgen. Og som alltid hører vi røster som hevder at i Norge er vi nå så likestilte at kvinnedagen ikke trengs mer. Men dagen går ikke ut på dato før den gamle normalen er byttet med en ny hvor «likestilling» er en selvfølgelighet.
Varför inte tvärtom

Kunsten å tenke motsatt: Hva om vi ansatte gründerne på fastlønn?

|
Gründervirksomhet er bygget på risiko, stor fallhøyde og mulighet for store gevinster.
Return on Involvement

Motiverende samspill øker din ROI – Return on Involvement

|
Det skal så lite til for at en medarbeider opplever å bli sett, mens effekten ofte er stor.

Pin It on Pinterest

Share This

Del dette

Delt glede er dobbelt glede. Del dette med ditt nettverk.