6.5 Personvern og GDPR

Hvem vet egentlig hvor du er akkurat nå?

Ta fram telefonen din et øyeblikk. Den vet hvor du befinner deg. Den vet hvem du nettopp snakket med, hvilke videoer du så på i går kveld, og kanskje til og med hvor godt du sov. Hver app du bruker, samler inn små biter av deg. Hver for seg virker de uskyldige. Men satt sammen tegner de et overraskende detaljert bilde av livet ditt.

Personvern er retten til å kontrollere dine egne personopplysninger. I en verden der data samles inn nesten overalt, er denne retten viktigere enn noensinne. For å beskytte den finnes GDPR -- General Data Protection Regulation -- EUs personvernforordning, som også gjelder i Norge. Den gir deg sterke rettigheter og stiller strenge krav til alle som behandler opplysninger om deg. I dette kapittelet skal vi forstå hva personopplysninger egentlig er, hvilke prinsipper GDPR bygger på, hvilke rettigheter du har, og hvordan de små informasjonskapslene følger deg fra side til side på nettet.

Reglene som beskytter deg

La oss først bli enige om hva vi snakker om. Personopplysninger er alle opplysninger som kan knyttes til en identifiserbar person. Det er ikke bare navn og fødselsnummer -- det er også e-postadressen din, IP-adressen, bilder av deg, lokaliseringsdata og helsedata. Alt dette beskytter GDPR.

Forordningen hviler på noen bærende prinsipper. Lovlighet og rettferdighet krever at all behandling har et lovlig grunnlag. Formålsbegrensning betyr at data bare skal brukes til det formålet de ble samlet inn for -- opplysninger du ga for å få varen levert, kan ikke uten videre brukes til reklame. Dataminimering sier at man bare skal samle inn det som faktisk er nødvendig, ikke «for sikkerhets skyld». I tillegg skal opplysningene være korrekte (riktighet), ikke lagres lenger enn nødvendig (lagringsbegrensning), og beskyttes mot uautorisert tilgang og tap (integritet og konfidensialitet).

Men hva gir egentlig en virksomhet lov til å behandle opplysningene dine i utgangspunktet? Det kalles et behandlingsgrunnlag. Det vanligste er samtykke -- at du frivillig og tydelig har sagt ja. Men det finnes også andre: behandling kan være nødvendig for å oppfylle en avtale, den kan være pålagt av lov som en rettslig forpliktelse (tenk skattemelding), eller den kan bygge på berettiget interesse, der virksomhetens behov veier tyngre enn personvernet ditt -- men dette må vurderes strengt.

Rettighetene som er dine

GDPR gjør deg ikke til et passivt offer for datainnsamling. Du har konkrete, sterke rettigheter -- og det lønner seg å kjenne dem. Du har rett til informasjon om hvem som behandler dataene dine, til hvilket formål og på hvilket grunnlag. Du har rett til innsyn, altså å be om å få se alle opplysningene en virksomhet har om deg. Finner du feil, har du rett til retting. Når opplysningene ikke lenger er nødvendige, har du rett til sletting, ofte kalt «retten til å bli glemt». Du har rett til dataportabilitet, som betyr at du kan få dataene dine utlevert i et maskinlesbart format og flytte dem til en annen tjeneste. Og du har rett til å protestere mot behandling som bygger på berettiget interesse.

Men rettigheter er lite verdt uten noen til å håndheve dem. I Norge er det Datatilsynet som passer på. De behandler klager, gir veiledning, gjennomfører tilsyn og kan ilegge bøter til virksomheter som bryter reglene. Tenk deg at du har laget en nettside som del av et skoleprosjekt og vil samle inn svar via et spørreskjema. Da må du i praksis følge alle disse prinsippene: informere respondentene om hvem du er og hva dataene skal brukes til, be om tydelig samtykke, samle inn så lite som mulig (trenger du egentlig navn og e-post?), vurdere om svarene kan være anonyme, lagre dataene trygt, og slette dem når prosjektet er ferdig. Bruker du for eksempel Google Skjemaer, blir Google det vi kaller en databehandler, som behandler dataene på dine vegne.

De små filene som følger etter deg

Du kjenner dem godt, selv om du kanskje aldri har tenkt over hva de egentlig er: de irriterende boksene som dukker opp på nesten hver nettside og spør om du godtar informasjonskapsler, eller cookies. Dette er små tekstfiler som nettsider lagrer i nettleseren din, og de er ikke alle like.

Nødvendige cookies kreves rett og slett for at nettsiden skal fungere -- de husker handlekurven din eller at du er logget inn. Disse trenger ikke samtykke. Preferansecookies husker innstillinger som språk og tema. Statistikk-cookies samler anonymisert data om hvordan siden brukes, gjerne via tjenester som Google Analytics. Men så har vi markedsføringscookies, som sporer deg på tvers av nettsider for å vise målrettet reklame -- og nettopp disse krever aktivt samtykke fra deg.

Sporing skjer på flere måter enn cookies alene. Det finnes tredjeparts-cookies for annonser, fingerprinting som identifiserer deg ut fra nettleserens unike innstillinger, sporingspiksler skjult i e-poster, og lokaliseringsdata fra mobilen. Derfor er nettsider pålagt å informere om cookies og be om samtykke for de som ikke er nødvendige. Neste gang en slik boks dukker opp, vet du at du faktisk har et valg -- du kan ofte godta bare de nødvendige i stedet for alle. Det lille klikket er din rett til å bestemme over egne data i praksis.

Oppsummering

Vi har sett at personvern er retten til å kontrollere egne personopplysninger, og at GDPR gir oss et sterkt vern. Personopplysninger er alt som kan knyttes til en identifiserbar person, fra navn til IP-adresse. GDPR bygger på prinsipper som lovlighet, formålsbegrensning, dataminimering og lagringsbegrensning, og krever et lovlig behandlingsgrunnlag -- ofte samtykke, men også avtale, lov eller berettiget interesse.

Som registrert har du konkrete rettigheter: innsyn, retting, sletting, dataportabilitet og rett til å protestere. I Norge er det Datatilsynet som håndhever reglene og kan ilegge bøter. Skal du selv samle inn data, for eksempel i et skoleprosjekt, må du informere, be om samtykke, minimere innsamlingen og slette når du er ferdig. Til slutt møtte vi informasjonskapslene -- der markedsføringscookies og annen sporing krever ditt samtykke, slik at retten til å bestemme over egne data blir noe du faktisk kan utøve i hverdagen.