Fersk dom kan gi merarbeid for norske virksomheter

Når du er inne på en nettside, kan det godt hende at den siden deler data om deg og måten du bruker nettsiden på til annonsører, leverandører av IT−tjenester eller andre samarbeidspartnere.

Tidligere har mange ment at det var nok å informere deg om at slik deling skjer og med hvilke kategorier av selskaper et skjer. Men andre uka i januar slo Den europeiske unions domstol fast at hvis du spør, så har rett til å få navnene på selskapene dataene dine blir delt med.

Bakgrunnen var en klager fra Østerrike, som hadde bedt om innsyn i hvem Österreichische Post, hovedleverandører av posttjenester i Østerrike, delte dataene hans med. De sendte tilbake kategorier, hva slags selskap data ble delt med, men ikke identiteten på selskapene.

Ikke godt nok, slo dommen fast.

Tydeliggjøringen har konsekvenser både for deg som forbruker og for deg som eier et nettsted eller digital tjeneste.

− Denne dommen er veldig spennende, og den har mye å si for norske forbrukere og virksomheter, skriver seksjonssjef Tobias Judin i Datatilsynet i en e-post til Digi.

Lettere å hevde egne rettigheter

Dommen gjør det tydelig at du har krav på å få vite hvilke selskaper som sitter med dine persondata.

− Dette er kritisk hvis du for eksempel har lyst til å be om sletting av personopplysningene dine. Hvis ikke du vet hvem opplysningene dine har blitt delt med, er det også umulig å vite hvor du skal henvende deg for å sørge for sletting, sier Judin.

Slik blir rettighetene dine i henhold til personvernforordningen lettere å kreve.

− Dessuten: Når virksomheter mottar våre personopplysninger, men vi ikke vet noen ting om dem, gjør det oss sårbare. For eksempel kan det gjøre det lettere å manipulere oss. Jeg tror mange har følt på maktesløshet knyttet til dette, fortsetter Judin.

Men dommen kan også gi merarbeid for norske virksomheter, mener Judin.

Mer jobb for virksomhetene

Han får støtte fra Louise Helliksen, som hoppet av jobben som Evry-direktør for å utvikle en plattform for sikker utveksling av personopplysninger. Hun startet selskapet EYD, som utvikler ulike tjenester som skal bidra til økt personvern slik som innsyn, både for privatpersoner og virksomheter.

Et selskap du deler med, deler kanskje også videre med tredjepart, som igjen deler videre.

− For oss som privatpersoner er det vanskelig å få oversikt, og det kan være vanskelig å holde oversikt også for virksomhetene, sier Helliksen

Dermed kan dommen bidra til å sette lys på noen problematiske sider ved dataøkonomien, tror hun:

− Selv om vi har rettigheter, har vi en fundamental utfordring. Det er vanskelig å kreve rettighetene. Facebook for eksempel har jo egentlig ikke kontroll på hvem de har delt med.

Tidligere i år fikk Facebooks morselskap Meta en rekord-bot og beskjed om å sørge for skikkelig samtykke før de deler brukernes data med annonsører. Vedtaket mot Meta gjør utfordringene med deling av data enda tydeligere, mener Helliksen.

I tillegg mangler vi mekanismer for effektivt innsyn.

Mange virksomheter mangler løsninger for sikkert og effektivt å behandle og gi innsyn. Det mangler også muligheter for selv å styre hvem du synes det er greit at dataene dine blir delt med og hvem de ikke blir delt med på tvers av aktører, mener Helliksen.

− Burde ikke være overraskende

Men for de fleste norske virksomheter har det lite å si, tror Jørgen Brunborg-Næss, fagleder for data og innsikt i selskapet Synlighet.

− Det er klart at for aktører som driver med formidling av persondatabaser, slik som Österreichishe Post her, er det en ganske omfattende kundeliste de må utlevere, sier Brunborg-Næss og fortsetter:

− For den jevne norske virksomhet tenker jeg at dette ikke er veldig omfattende.

Det fleste nettstedeiere har et knippe byråer, leverandører og samarbeidspartnere, og at man må oppgi disse burde ikke være overraskende, mener han.

− Mange er sikkert ikke helt klar over at dette er en plikt, så det kan være dette bidrar til litt økt bevissthet om at man ikke bør slenge om seg med kundelister og tilganger til systemer uten å ha oversikt, sier Brunborg-Næss.