Bli medlem

Bli medlem

Som medlem i tilt.work kan du delta på alle våre “Litt klokere” nettmøter. Du får også tilgang til en ressursbank under oppbygging, våre berømte 🤣morgentilt☕, og rabatter på tjenester, events og produkter.  Takk for at du støtter oss og bidrar til å tilte hoder mot et mer bærekraftig arbeidsliv.

GDPR og personvern:

Det kompliserte samtykket

Datatilsynet har varslet en bot på 100 millioner kroner. Kan du bli den neste?

29. mars 2021 @ 07:40

Nylig varslet Datatilsynet en bot på 100 millioner kroner til en amerikansk app-leverandør. Advokat Eva Jarbekk besvarer noen av spørsmålene som saken reiste, og som du kanskje selv må ha svar på om Datatilsynet en dag banker på døren din.
Eva Jarbekk
Artikler av Eva Jarbekk (alle)

Nordens største personvernbot er nylig varslet i Norge. Om boten blir en realitet vet ennå ingen, men Datatilsynet har varslet 100.000.000 i overtredelsesgebyr til en amerikansk app-leverandør, Grindr. Fra før av var den høyeste boten i Norge 4.000.000, et beløp som dessverre møtes med en gjesp i mange miljøer.

Fra å ha vært et land der mange har sukket litt over at Datatilsynet ikke «tar i» på en måte som gjør at bedrifter tar personvernet seriøst, er nå manges personvern øyne rettet mot Norge og hva som skjer med denne boten fremover. Grindr har selvsagt bestridt den. 

Se også vårt nettmøte: Hvordan unngå 100 millioner i bot?

Komplisert regelverk

Regelverket om personvern har blitt temmelig komplisert. Utgangspunktet er teksten i GDPR som er et regelverk på 100 artikler, men i tillegg kommer en rekke veiledere fra EUs Personvernråd. Disse veilederne er omfangsrike og preget av at de er skrevet av jurister – de har et tungt juridisk språk som ikke alle synes er lett å lese. Veilederne er ofte detaljerte, og i praksis har det nok vært slik at de ikke har blitt tatt helt på alvor i markedet. Sikkert til frustrasjon for Datatilsynet. 

I saken mot Grindr, har Datatilsynet lagt stor vekt på veilederen om hvordan samtykker skal innhentes, og de bruker den ganske bokstavelig. 

Saken har et vell av juridiske problemstillinger og det kommer til å bli skrevet avhandlinger om den, likevel er det noen forhold som har stor spesielt betydning for næringslivet, uansett hvordan den ender. Det er også viktig å se nærmere på noen andre generelle uttalelser i veilederen om samtykker fra Personvernrådet som kan få stor betydning fremover. 

Er gratistjenester på vei ut?

Mange tjenester og app’er tilbys i to versjoner; en versjon som er gratis og der man mottar reklame og en betalbar versjon der man ikke mottar reklame. Svært mange tjenester finansieres på denne måten – enten betaler kundene en avgift eller så finansierer leverandøren tjenesten gjennom reklameinntekter. Mange slike tjenester baserer seg dessuten på at kunden samtykker til hvordan opplysningene brukes.  

Når kunden skal ta stilling til om vedkommende vil ha reklame eller ikke, må brukeren typisk betale en årsavgift dersom reklame skal unngås. Er samtykket frivillig da? Selv om man må betale noen kroner for å slippe reklame? Eller er det at en reklamefri tjeneste koster penger, en uakseptabel dytt i retning av at man heller velger å motta reklame? Og hvor mange kroner, eller kanskje rettere sagt hvor få kroner, er «akseptabelt» for å si at et samtykke er frivillig? 

Det er i alle fall sikkert at mange tjenester må legge om praksisen fullstendig dersom et samtykke til å motta reklame ikke er «frivillig» når alternativet er et abonnement. Det er vanskelig å tenke seg at det kan bli en realitet.

Hvor mange samtykker trengs?

Personvernrådets veileder sier at dersom noen har samtykket til et formål, så kan personopplysningene bare brukes til dette formålet. De aller fleste trenger å behandle opplysninger til flere formål, uavhengig av om det er en app eller noe annet man leverer. Det kan bli utfordrende når kravet er – eller blir – at man må be om samtykke til hvert enkelt formål separat.

Hva er et formål?

For hva er et formål? Jeg tror mange som ikke jobber med personvern har et litt uklart forhold til dette. Alle forstår at ett formål er å levere den tjenesten man har sagt at man skal gjøre. Men det er mange andre formål som ligger i utkanten av hovedtjenesten. Man ber kanskje om samtykke til å sende kunden reklame og man vil kanskje også kunne dele opplysninger om kunden med samarbeidspartnere i samme konsern. 

Personvernrådet er tydelige på at det å sende ut reklame og å dele opplysninger innad i et konsern, er to forskjellige formål som krever to uavhengige samtykker. Det er ikke like åpenbart for mange. Ser man på hvordan cookie-samtykker ofte utformes nå, så bes det også om egne samtykker til formålet «statistikk». Det finnes mange andre eksempler.

Jeg tror at mange tjenesteleverandører mener at mange formål henger så tett sammen at de i praksis er ett. Samtidig vil Personvernrådet at hvert formål skal ha et uavhengig samtykke. Dersom veilederen skal tas på ordet på dette punktet, kan det bli ganske mange bokser å krysse av når man skal bruke en tjeneste. Dette er et område hvor veilederen ikke har blitt fulgt opp i praksis og da blir det selvfølgelig vanskelig for bedriftene å vite om de egentlig må ta hensyn til den eller ikke.

Samtykker fremover: Hva med IT-systemene?

Det er åpenbart at hvordan man ber om samtykker, kommer til å endre seg i retning av det Personvernrådet ønsker. For mange aktører er nok dette nok en smertefull prosess fordi datamengden kundene gir fra seg vil minke når kundene får større kontroll over hva deres data kan brukes til. Men det er jo faktisk det EU har ønsket å oppnå med å styrke personvernet. 

Samtidig får man også en teknologisk utfordring. Når kunden skal kunne velge hvordan data skal brukes, må it-systemene i bakkant også ha mulighet til å ta hensyn til hva den enkelte bruker har sagt ja og nei til. Det er ganske viktig at it-systemer bygges med mulighet til å «skru på» hvordan data brukes og flyter. 

Både i EU og i Norge er det en tendens til at aktører angir konkurrenter for å bruke løsninger som ikke overholder personvernregelverket. Det er kanskje ikke forbausende. Og det er ganske mye å «ta i» for en som vil kritisere en konkurrent. Risikobildet er ikke bare at man kan få en bot – man kan også bli pålagt å slette opplysninger Datatilsynet mener ikke er samlet inn på lovlig måte og ikke minst kan man bli nødt til å endre datasystemene sine.

Det er en god del man må ta stilling til når man bygger og bestiller tjenester i dag, uansett om man er bestiller eller leverandør av en tjeneste. Det kan bli ganske dyrt å måtte utvikle en ny dataflyt og nye samtykkeløsninger. 

Full transparens: Vi gjør oppmerksom på at Eva Jarbekk er advokat for Grindr.

Eva Jarbekk
Artikler av Eva Jarbekk (alle)

0 kommentarer

Trackback/Tilbaketråkk

  1. Personvern: Maktkamp forkledd som ideologi og omsorg? - tilt.work - […] Det kompliserte samtykket […]

Legg inn en kommentar

Relaterte saker

Våre ukebrev

Her kan du melde deg på et eller flere av våre ukebrev. Du kan melde deg av eller endre hva du mottar via lenker i epostene.

 

Navn*

Hva vil du lese?

På forsiden nå

borgerlønn

Borgerlønn som svar på økonomiske skjevheter

|
Når så mange pilotprosjekter viser at borgerlønn er bra for samfunnet, hvorfor setter vi ikke bare i gang?
etnisk mangfold

Etnisk mangfold og lønnsomhet: Hvor finner vi de gode rådene?

|
Hvor skal vi henvende oss for å finne ut hvilke mangfoldsstrategier som egentlig fungerer?
tillit Stortinget

Tillit og to andre suksessfaktorer for lykkelandet Norge

|
Norge er et tillitsbasert land. Vi stoler på hverandre. Tilliten skaper grobunn for velstand, noe som er verdt å minne om på en dag som i dag.
meninger med innhold

Ti stille om du ikke har noe å tilføre

|
På russekortet mitt i 1983 sto det «Det er bedre å holde kjeft og bli mistenkt for å være idiot, enn å åpne kjeften og fjerne all tvil»
huske bedre

Gode råd for å huske bedre

|
Det viktigste tipset for å huske det du nettopp har lært, er å lære det videre til andre.
test ut jobben

Vær en karriereturist!

|
Har du tanker om å endre retning eller rolle? Er du i tvil? Test det ut!
Ridderens leveregler og min reise inn i det ukjente

Ridderens leveregler og min reise inn i det ukjente

|
Skal du på en reise inn i det ukjente, kan 600 år gamle leveregler for riddere kanskje være til nytte.
den kritiske stemmen

Derfor skal du lytte til den kritiske stemmen

|
Fordelene med å gå i takt er mange, men i gitte situasjoner er denne aktiviteten direkte farlig, gitt at marsjretningen er mot et ukjent stup.
kollegasamtale

Kollegasamtaler er balsam for arbeidsmiljøet

|
Samtaler mellom kolleger er et viktig tiltak for å bygge den organisasjonskulturen som ivaretar medarbeidernes behov for påvirkning.
%d bloggere liker dette: