GDPR og personvern:

Det kompliserte samtykket

Datatilsynet har varslet en bot på 100 millioner kroner. Kan du bli den neste?

29. mars 2021 @ 07:40

Nylig varslet Datatilsynet en bot på 100 millioner kroner til en amerikansk app-leverandør. Advokat Eva Jarbekk besvarer noen av spørsmålene som saken reiste, og som du kanskje selv må ha svar på om Datatilsynet en dag banker på døren din.

Nordens største personvernbot er nylig varslet i Norge. Om boten blir en realitet vet ennå ingen, men Datatilsynet har varslet 100.000.000 i overtredelsesgebyr til en amerikansk app-leverandør, Grindr. Fra før av var den høyeste boten i Norge 4.000.000, et beløp som dessverre møtes med en gjesp i mange miljøer.

Fra å ha vært et land der mange har sukket litt over at Datatilsynet ikke «tar i» på en måte som gjør at bedrifter tar personvernet seriøst, er nå manges personvern øyne rettet mot Norge og hva som skjer med denne boten fremover. Grindr har selvsagt bestridt den. 

Se også vårt nettmøte: Hvordan unngå 100 millioner i bot?

Komplisert regelverk

Regelverket om personvern har blitt temmelig komplisert. Utgangspunktet er teksten i GDPR som er et regelverk på 100 artikler, men i tillegg kommer en rekke veiledere fra EUs Personvernråd. Disse veilederne er omfangsrike og preget av at de er skrevet av jurister – de har et tungt juridisk språk som ikke alle synes er lett å lese. Veilederne er ofte detaljerte, og i praksis har det nok vært slik at de ikke har blitt tatt helt på alvor i markedet. Sikkert til frustrasjon for Datatilsynet. 

I saken mot Grindr, har Datatilsynet lagt stor vekt på veilederen om hvordan samtykker skal innhentes, og de bruker den ganske bokstavelig. 

Saken har et vell av juridiske problemstillinger og det kommer til å bli skrevet avhandlinger om den, likevel er det noen forhold som har stor spesielt betydning for næringslivet, uansett hvordan den ender. Det er også viktig å se nærmere på noen andre generelle uttalelser i veilederen om samtykker fra Personvernrådet som kan få stor betydning fremover. 

Er gratistjenester på vei ut?

Mange tjenester og app’er tilbys i to versjoner; en versjon som er gratis og der man mottar reklame og en betalbar versjon der man ikke mottar reklame. Svært mange tjenester finansieres på denne måten – enten betaler kundene en avgift eller så finansierer leverandøren tjenesten gjennom reklameinntekter. Mange slike tjenester baserer seg dessuten på at kunden samtykker til hvordan opplysningene brukes.  

Når kunden skal ta stilling til om vedkommende vil ha reklame eller ikke, må brukeren typisk betale en årsavgift dersom reklame skal unngås. Er samtykket frivillig da? Selv om man må betale noen kroner for å slippe reklame? Eller er det at en reklamefri tjeneste koster penger, en uakseptabel dytt i retning av at man heller velger å motta reklame? Og hvor mange kroner, eller kanskje rettere sagt hvor få kroner, er «akseptabelt» for å si at et samtykke er frivillig? 

Det er i alle fall sikkert at mange tjenester må legge om praksisen fullstendig dersom et samtykke til å motta reklame ikke er «frivillig» når alternativet er et abonnement. Det er vanskelig å tenke seg at det kan bli en realitet.

Hvor mange samtykker trengs?

Personvernrådets veileder sier at dersom noen har samtykket til et formål, så kan personopplysningene bare brukes til dette formålet. De aller fleste trenger å behandle opplysninger til flere formål, uavhengig av om det er en app eller noe annet man leverer. Det kan bli utfordrende når kravet er – eller blir – at man må be om samtykke til hvert enkelt formål separat.

Hva er et formål?

For hva er et formål? Jeg tror mange som ikke jobber med personvern har et litt uklart forhold til dette. Alle forstår at ett formål er å levere den tjenesten man har sagt at man skal gjøre. Men det er mange andre formål som ligger i utkanten av hovedtjenesten. Man ber kanskje om samtykke til å sende kunden reklame og man vil kanskje også kunne dele opplysninger om kunden med samarbeidspartnere i samme konsern. 

Personvernrådet er tydelige på at det å sende ut reklame og å dele opplysninger innad i et konsern, er to forskjellige formål som krever to uavhengige samtykker. Det er ikke like åpenbart for mange. Ser man på hvordan cookie-samtykker ofte utformes nå, så bes det også om egne samtykker til formålet «statistikk». Det finnes mange andre eksempler.

Jeg tror at mange tjenesteleverandører mener at mange formål henger så tett sammen at de i praksis er ett. Samtidig vil Personvernrådet at hvert formål skal ha et uavhengig samtykke. Dersom veilederen skal tas på ordet på dette punktet, kan det bli ganske mange bokser å krysse av når man skal bruke en tjeneste. Dette er et område hvor veilederen ikke har blitt fulgt opp i praksis og da blir det selvfølgelig vanskelig for bedriftene å vite om de egentlig må ta hensyn til den eller ikke.

Samtykker fremover: Hva med IT-systemene?

Det er åpenbart at hvordan man ber om samtykker, kommer til å endre seg i retning av det Personvernrådet ønsker. For mange aktører er nok dette nok en smertefull prosess fordi datamengden kundene gir fra seg vil minke når kundene får større kontroll over hva deres data kan brukes til. Men det er jo faktisk det EU har ønsket å oppnå med å styrke personvernet. 

Samtidig får man også en teknologisk utfordring. Når kunden skal kunne velge hvordan data skal brukes, må it-systemene i bakkant også ha mulighet til å ta hensyn til hva den enkelte bruker har sagt ja og nei til. Det er ganske viktig at it-systemer bygges med mulighet til å «skru på» hvordan data brukes og flyter. 

Både i EU og i Norge er det en tendens til at aktører angir konkurrenter for å bruke løsninger som ikke overholder personvernregelverket. Det er kanskje ikke forbausende. Og det er ganske mye å «ta i» for en som vil kritisere en konkurrent. Risikobildet er ikke bare at man kan få en bot – man kan også bli pålagt å slette opplysninger Datatilsynet mener ikke er samlet inn på lovlig måte og ikke minst kan man bli nødt til å endre datasystemene sine.

Det er en god del man må ta stilling til når man bygger og bestiller tjenester i dag, uansett om man er bestiller eller leverandør av en tjeneste. Det kan bli ganske dyrt å måtte utvikle en ny dataflyt og nye samtykkeløsninger. 

Full transparens: Vi gjør oppmerksom på at Eva Jarbekk er advokat for Grindr.

0 Comments

Submit a Comment

Din e-postadresse vil ikke bli publisert. Obligatoriske felt er merket med *

Relaterte saker

Våre ukebrev

Her kan du melde deg på et eller flere av våre ukebrev. Du kan melde deg av eller endre hva du mottar via lenker i epostene.

 

"*" indicates required fields

Navn*

På forsiden nå

meningsfull jobb

En meningsfull jobb – hva er egentlig det?

|
Mange av oss surrer rundt i jobber vi har vokst fra eller kjeder oss i. Vi blir i jobben av gammel vane, på grunn av frykt, fordi vi ikke vet hva vi egentlig vil eller vet hva som er meningsfullt for oss.
vente på motivasjon

Motivasjon med englestøv

|
Mange av oss tilbringer livet med å vente på inspirasjon og motivasjon - en liten Tingeling som kaster sitt englestøv over oss. Men motivasjon er ikke noe du får, det er noe du tar.
sykefravær

Start aldri med å gi hele hånda

|
I min tid som ansatt i bedriftshelsetjeneste, spurte jeg min leder og lege hvorfor han hadde valgt denne karrierevegen foran allmennpraksis? Han smilte og svarte på sitt finurlige vis: «Fordi jeg som fastlege må spørre folk hva som feiler dem, men her kan jeg spørre hvor friske de er.»
Den kunstige intelligensens spådommer om 2023

Den kunstige intelligensens spådommer om 2023

|
Hva tenker du om status quo i vår skakkjørte verden mot slutten av 2022? Hva er gode 2023-strategier fra ditt ståsted? Hva sier den kunstige intelligensen?
"Hei, du! Hva er det med roller du ikke forstår?"

«Hei, du! Hva er det med roller du ikke forstår?»

|
Roller og rolleforståelse er et tilbakevendende tema i teamsamlinger. Her er noen observasjoner og refleksjoner som kanskje kan gi deg noen aha-opplevelser.
omstillingsprosess

Endringsmodellen i et 12-timers perspektiv

|
Det foregår harde forhandlinger i eget hode på hvor sympatisk man er forpliktet til å opptre i kaotiske situasjoner.
finn ditt hvorfor

Du har lært teorien. Er du nå klar til å handle? 

|
Selv ved små endringer er det ingen som spør «hvordan» det er med energien og følelsene i og mellom menneskene som blir påvirket.
Å snu krise til mulighet

Å snu krise til mulighet

|
Det er krig, det er klimakrise, nye virusvarianter dukker opp, prisene stiger, boligverdiene synker, aksjemarkedet er uforutsigbart. Yess!!!
katedral

Jakten på en meningsfylt jobb

|
Løfter du blikket og ser ting i et større perspektiv, vil ofte det meningsfulle utfolde seg.