GDPR for folk flest: Viktig, eller bare mas?

Hvor mange ganger i løpet av det siste halvåret har du trykket «jeg forstår» på en personvernerklæring du ikke engang har lest? Vet du egentlig hva rettighetene dine er?

Tenker du noe mer enn før over hva slags informasjon som blir samlet inn om deg, og hvordan informasjonen behandles? Og ikke minst: Bryr du deg egentlig?

Oppleves forstyrrende

For virksomheter verden rundt var GDPR blant fjorårets store «snakkiser». Plutselig risikerer man enorme bøter hvis man ikke har behandlingen av personopplysninger på stell. Det kom en strøm av informasjon fra Datatilsynet om hva som skulle og ikke skulle gjøres.

Men hva med folk flest? Har personvern blitt viktigere for oss, eller er GDPR først og fremst ensbetydende med en masse mailer, popups og mas som du bare trykker «OK», «jeg forstår» eller «godkjenn» på for å få det ut av veien og fortsette med dagen din?

Øystein Werner er salgssjef i selskapet Iconfirm, som tilbyr et digitalt verktøy for å hjelpe virksomheter med å etterleve GDPR. Han har lite tro på at folk flest har blitt mer engasjert i personvern.

– Nei, det vil jeg vel ikke påstå at vi har. Jeg tror dessverre folk flest opplever det som litt forstyrrende.

– Og når det er popups og ting som for eksempel bryter inn i det du skal lese i en nettavis så blir det støy, som gjør at folk bare aksepterer uten nødvendigvis å forstå, sier han.

For vanskelig å bry seg

Axel Borge er daglig leder i Sesam, en produktdivisjon i Bouvet. Sesam tilbyr i utgangspunktet en plattform hvor virksomheter kan få kontroll på og knytte sammen sine data, og hvor enkeltpersoner kan få innsyn i, endre og slette personopplysninger som virksomhetene har lagret om dem.

Borge tror ikke problemet nødvendigvis er at folk ikke bryr seg om personvern, men at det er altfor vanskelig å få kontroll og gjøre noe med det i praksis.

– Jeg tror det er relativt stor interesse, men vi har ikke gode nok verktøy ennå som gjør at enkeltpersoner faktisk kan få kontroll.

Han mener det blir uoverkommelig for folk å skulle sette seg inn i personvernerklæringene til hver eneste virksomhet man er innom og justere innstillingene slik man ønsker.

– Jeg tror det kunne vært lurt om du på samme måte som at du registrerer deg i Brønnøysundregisteret for å stoppe telefonsalg, kunne si på et mye mer generelt plan at du for eksempel ikke ønsker personalisert reklame, sier han.

Virksomhetene har løsningen

Både Werner og Borge tror at mye av løsningen på å få folk til å bry seg mer om eget personvern, ligger hos virksomhetene.

Selv om det kanskje er lett for virksomhetene å tenke på regelverket som et kostnadsproblem, og at det er om å gjøre å få brukerne til å ikke bry seg og lukke øynene og si ja til alt, tror Borge det vil være en tabbe.

– Det er jo interessant at poenget med denne loven i stor grad er å hjelpe virksomheter. EU har jo gjort det for å skape en digital økonomi, for de ser at den datadrevne økonomien er noe av det som skal gi fortrinn.

– Virksomhetene har kjempemye å tjene på å få bedre kontroll på dataene sine. Data har masse verdi hvis du vet hvor de er og klarer å bruke dem til å lage bedre tjenester eller få bedre kontroll på egen virksomhet, sier Borge.

Han tror man kommer til å se at verdien av dataene går opp når man ikke oversvømmes av data som er hentet inn ukritisk.

– Gode data har høy verdi, og når vi får bedre kontroll på egne data får vi destillert ut hva som er verdifulle data på en helt annen måte.

Bør spille på åpenhet og tillit

Werner tror mange selskaper undervurderer verdien av åpenhet og tillit hos kundene sine. Han mener det er enkelte som har dårlig informasjonskultur når det kommer til personvernerklæringer.

– Jeg synes ikke det er god kultur å si at «vi håndterer dine opplysninger for å gi deg bedre tjenester» og så ha en stor knapp med «jeg forstår», og en lite synlig link med «les mer».

– Jeg tror selskaper kan spille litt på den tilliten man får ved å være åpne og ærlige og sørge for at individer faktisk lettfattelig kan lese seg til hva som gjøres med deres personopplysninger.

– Hvis du er trygg på at du har en tjeneste som folk ønsker, så tør du å være ærlig. Hvis du er usikker på det, så gjør du kanskje ting på en annen måte, sier han.

Borge mener også åpenhet og tydelig informasjon er mangelfullt hos mange selskaper. Han peker på at selv om man har rett til å be om innsyn i hvilke opplysninger selskapene sitter på, er det ofte uhyre vanskelig å vite hvor man skal henvende seg.

– Veldig mange bedrifter har ikke en klar måte å be om rettighetene på. Jeg tok for eksempel en titt på et par stor, internasjonale nettbutikker i går, og jeg finner rett og slett ikke ut av det.

– Og jeg er tross alt over gjennomsnittet interessert og har kompetanse innenfor dette. For folk flest er dette helt uoverkommelig.

Egne regler for cookies

Så hva har du som privatperson egentlig rett på? Hva bør du finne deg i, og når bør du sette ned foten?

Tobias Judin, seniorrådgiver hos Datatilsynet, gir oss et lite intensivkurs i GDPR for privatpersoner. Han svarer blant annet på Borges frustrasjon over hvor man skal henvende seg for å få innsyn i opplysningene.

– Det skal egentlig være lett tilgjengelig. Her sier reglene at alle som har dine opplysninger har en selvstendig plikt til å si «her er vi, slik kontakter du oss, og dette er rettighetene dine».

– Det skal ikke være håpløst å henvende seg til dem. Hvis det er det, så kan det virke som at det er et mulig brudd på GDPR, sier han.

Og hva med disse enorme popup-ene som dekker hele skjermen, og hvor du må bekrefte at du har forstått og godtar det for å kunne gå videre. Er det greit, eller bør du kunne avslå og likevel fortsette til nettsiden?

– Dette er komplisert. De fleste nettsteder plasserer ut cookies, og for dem gjelder egne regler, regulert av ekomloven. Og hvis du ser på EU-reglene, så er det ganske klart at samtykket til cookies skal tolkes likt som GDPR-samtykke.

– Men i norsk rett har lovgiver sagt noe annet, noe som er veldig forvirrende for alle – inkludert oss. Nkom sier nemlig at hvis nettleseren din tillater cookies, så er det et gyldig samtykke til plassering.

Ifølge Nkom trenger med andre ord nettsiden bare å informere om at de bruker cookies, uten å be om samtykke – det har du nemlig sannsynligvis allerede gitt ved å bruke en nettleser som tillater det.

Du kan alltid nekte markedsføring

– Så er det slik at de kanskje bruker cookies og andre teknologier til å i tillegg samle inn personopplysninger om deg, og da er det GDPR som gjelder, forklarer Judin.

– Og da sier GDPR - hold deg fast - at noen ganger må nettsiden ha samtykke, noen ganger må den ikke ha samtykke.

Ikke akkurat enkelt og rett frem dette, altså. Her handler det om rettslig grunnlag for å behandle personopplysninger. Samtykke er bare ett av de mulige rettslige grunnlagene.

– Man kan også behandle opplysninger etter en såkalt interesseavveining. Det betyr at hvis virksomhetens interesse veier tyngre enn ditt personvern, så er det et godkjent rettslig grunnlag.

– Men da må man se på hvor inngripende det er for personvernet. Hvis virksomheten for eksempel vil spore deg på tvers av nettsider, eller spore aktiviteten din på nettsiden over lang tid, så vil det være for inngripende. Da må du samtykke for at det skal være lovlig.

Samtykke er for øvrig heller ikke et «carte blanche» til å samle inn og behandle som de vil. Du skal få helt konkret og lett forståelig informasjon om nøyaktig hvilke opplysninger som samles inn og hva det skal brukes til.

Dessuten:

– Når en virksomhet bruker opplysningene dine til markedsføring, uansett om det er ved interesseavveining eller hva som helst: Du har alltid rett til å si nei til det, sier Judin.

– Selv om de ikke må be om samtykke så kan du si nei. Så hvis du for eksempel er abonnent hos en nettavis så bør det finnes en innstilling for det hvor du kan skru det av.

Mer folkeopplysning

Man skjønner fort at det ikke nødvendigvis er så lett for privatpersoner å sette seg inn i regelverket og ha full kontroll på hva man har av rettigheter.

Borge savner litt folkeopplysning fra myndighetene.

– Jeg synes de har vært altfor dårlige til å fortelle om de nye rettighetene. De har kanskje vært litt for fokusert på virksomhetene, og litt mindre mot folk flest.

Judin er ikke uenig i at det kanskje ville vært en fordel med mer folkeopplysning.

– For å ha godt personvern i Norge er vi helt avhengig av at dette er noe folk bryr seg om og synes er viktig. Da må de også vite mer om hvor grensene går og hvordan dette fungerer, så jeg tror absolutt at folk flest hadde hatt glede av mer informasjon.

Man er imidlertid ikke helt alene om å skulle finne frem i jungelen:

– På hjemmesidene våre har vi forsøkt å samle alle rettighetene dine på ett sted. Men når det gjelder å vurdere hva som er greit og ikke fra ulike tjenester, så er det veldig vanskelig å si noe generelt.

– Ofte er det veldig individuelle vurderinger. Men én av rettighetene dine er å kunne ta kontakt med Datatilsynet hvis du er i tvil. Ta en telefon til oss hvis du er usikker – vi har en egen veiledningstjeneste, forteller Judin.