1.1 Internasjonalt personvernarbeid

Dei siste åra har det vore arbeidd med utvikling og modernisering av personvernregelverk i mange internasjonale fora. Både OECD, Europarådet og EU har gått gjennom sine reglar med mål om å fornye. Det arbeidet som naturleg nok får dei største konsekvensane for norsk personvernrett, er revisjonen av EU sitt personvernregelverk.

EU starta opp dette arbeidet i januar 2012, då EU-kommisjonen la fram utkast til ny generell forordning om behandling av personopplysningar. Noreg har deltatt i diskusjonane i Det europeiske rådet (Rådet) si arbeidsgruppe for personvern, der utkastet blei drøfta fram til sommaren 2015. Noreg har også deltatt i arbeidsgruppa under dei såkalla trilogforhandlingane mellom EU-kommisjonen, Europaparlamentet og Det europeiske råd hausten 2015. Samstundes har det vore arbeidd med eit direktiv om behandling av personopplysningar i justissektoren. Dette direktivet er Schengen-relevant, og Noreg har også deltatt i dette arbeidet.

I desember 2015 blei det nådd politisk semje både om utkastet til ny generell personvernforordning og utkastet til direktiv om behandling av personopplysningar i justissektoren. Rådet, EU-parlamentet og EU-kommisjonen vedtok regelverka ved formelle avgjerder i april 2016. 14. april var regelverkspakka endeleg vedtatt. Noreg vil måtte gjennomføre både forordninga og direktivet i kraft av EØS-avtalen og Schengen-avtalen. Forordninga inneber at det må gjerast store endringar i norsk rett, både av den generelle personopplysningslova frå 2000, og i sektorspesifikt regelverk som inneheld reglar om behandling av personopplysningar. Det vil gjelde ein to års gjennomføringsfrist for EU-medlemslanda etter at forordninga er formelt vedtatt i EU. Same fristen vil også gjelde for Noreg om ikkje noko anna blir fastsett ved innlemming av forordninga i EØS-avtalen.

Det er fleire grunnar til at EU no har revidert personvernregelverket sitt. For det første er det gjeldande personverndirektivet, direktiv 95/46/EC, som personopplysningslova bygger på, meir enn 20 år gamalt. På desse 20 åra har det vore ei rivande teknologisk utvikling, som gjev opphav til problemstillingar som det gamle direktivet ikkje er eigna til å handtere. Samstundes har EU-kommisjonen sett at direktivet har vore gjennomført på svært ulikt vis i dei 28 medlemslanda i EU. For å legge betre til rette for konkurranse i den indre marknaden, har Kommisjonen ønska ei harmonisert gjennomføring og einsarta personvernreglar i heile EØS-området. Samstundes fastslår forordninga at dei europeiske reglane om behandling av personopplysningar også skal gjelde for verksemder som er etablerte utanfor EØS-området, men som tilbyr varer og tenester til EØS-borgarar, og for verksemder som overvaker åtferda til borgarar i EØS-området. Dette utvidar det geografiske området for regelverket jamført med gjeldande rett, og inneber at borgarane skal vere sikra det same personvernet uansett kvar tenestetilbydaren er etablert. Det kan også få innverknad på konkurransen mellom dei europeiske tenestetilbydarane og til dømes dei store amerikanske tilbydarane.

Regjeringa meiner den nye forordninga om behandling av personopplysningar er eit regelverk som gjev eit godt personvern. På mange område er forordninga ei vidareføring av gjeldande norsk regelverk og ei regelfesting av norsk praksis. På andre område vil vi få nye reglar. Dette gjeld til dømes retten til å kunne ta med seg personopplysningane sine frå ein tenestetilbydar til ein annan, og krav om samtykke frå dei føresette for behandling av opplysningar om barn som bruker tenester i informasjonssamfunnet. Dei behandlingsansvarlege får også utvida plikt til å varsle dei registrerte dersom dei behandlar personopplysningar i strid med regelverket.

Ordninga med melde- og konsesjonsplikt for behandling av personopplysningar, slik vi kjenner frå personopplysningslova, blir i hovudsak ikkje vidareført i forordninga. I staden må dei som skal behandle personopplysningar vurdere personvernkonsekvensar, identifisere truslar mot personvernet og sette i verk risikoreduserande tiltak. Berre i tilfelle der denne vurderinga viser at behandlinga vil føre til høg risiko, må dei søke godkjenning frå det nasjonale datatilsynet.

Det kjem også nye reglar om svært strenge administrative sanksjonar for brot på personvernreglane, og det kjem reglar om formalisert samarbeid mellom dei europeiske datatilsyna i saker som rører ved verksemder eller borgarar i fleire EØS-land. Det blir oppretta eit samarbeidsorgan for dei europeiske datatilsyna, European Data Protection Board (EDPB). Dette felleseuropeiske tilsynsorganet vil kunne fatte bindande vedtak i ein del enkeltsaker, og gi fråsegn om tolking av forordninga som dei nasjonale datatilsyna må legge til grunn i si saksbehandling. Det er viktig at det norske Datatilsynet får delta i dette europeiske samarbeidet, og det vil bli lagt stor vekt på å sikre så god deltaking som råd er.

Etter EØS-avtalen blir forordningar gjennomførte i norsk rett ord for ord. Innanfor ein del område opnar personvernforordninga likevel for nasjonal tilpassing og nasjonale særreglar. Regjeringa tek sikte på å utvikle eit norsk personvernregelverk som er lett tilgjengeleg for borgarane og som sikrar eit sterkt personvern. Samtidig vil handlingsrommet i EØS-retten og Schengen-reglane bli nytta for å finne løysingar som sikrar norske interesser der dette er naudsynt.

I fjor fekk vi også ei viktig avgjerd i EU-domstolen, den såkalla Safe Harbor-avgjerda. Domstolen avgjorde at EU-kommisjonen si avgjerd om Safe Harbor-ordninga frå 2000 var ugyldig. Dommen innebar at personopplysningar ikkje lenger kan overførast mellom EU/EØS-land og USA med grunnlag i Safe Harbor-avtalen. Selskap som ønsker å overføre opplysningar til USA må etter dommen basere overføringar av personopplysningar på eit anna lovleg grunnlag, noko som kan vere meir tungvint. Etter dommen har EU-kommisjonen forhandla frem eit nytt utkast til avtale med USA – det såkalla EU US Privacy Shield. Privacy Shield skal erstatte den enklare ordninga for overføring av personopplysningar, som den tidlegare Safe Harbor-avtalen ga, samtidig som personopplysningar blir betre sikra og i tråd med krava EU-domstolen sette.

1.2 Kommersiell bruk av personopplysningar

Personopplysningar og annan informasjon om forbrukarar er ei raskt veksande handelsvare, og kommersiell innsamling av personopplysningar i Noreg er aukande. Vi ser det særleg i relasjon til bruk av digitale tenester, sosiale medium og ulike applikasjonar. Selskap tener pengar på å tilby tenester som i utgangspunktet er gratis, men der brukaren i staden «betalar» med dei personopplysningane som kontinuerleg blir henta ut om til dømes kontaktar, vener, preferansar, posisjonsdata og brukarvanar. Desse opplysningane har ein betydeleg kommersiell verdi sidan dei kan seljast vidare til tredjepartar, som annonsørar. Kombinasjonen av dei enorme mengdene data som blir samla inn av kommersielle aktørar, og brukarane sitt antatt låge medvit om kva som blir registrert, og kva informasjonen blir brukt til, utfordrar personvernet.

Kjennskap til behandling av personopplysningar er ein viktig føresetnad for at brukarane skal kunne sikre sitt eige personvern. Det er til dømes umogleg å ta vare på retten til retting eller sletting av opplysningar utan at du veit om, og korleis, verksemder behandlar personopplysningane dine og kvafor opplysningar som blir registrerte. Den behandlingsansvarlege verksemda har plikt til å informere brukarane om vilkåra for behandling av personopplysningar. Likevel er det ei utfordring at desse vilkåra ofte er utilgjengelege og uklare. Til dømes inneheld ofte brukaravtalar mange juridiske og tekniske omgrep, samstundes som dei er lange, detaljerte og dårleg tilpassa forbrukarane. Problemet blir forsterka av at mange forbrukarar har gjeve opp å les dei tallause, lange brukaravtalane. Dette gjer at svært mange forbrukarar samtykker i avtalar dei faktisk ikkje har forstått og som dei ikkje ser rekkevidda av, og at dei i realiteten ikkje er informerte om kva tenestetilbydarane gjer med personopplysningane deira. Personopplysningslova set krav om at eit samtykke skal være informert for at behandling av personopplysningar skal vere tillate. Det er problematisk at ein gjev frå seg stadig fleire og meir inngripande opplysningar utan å vere seg bevisst kva for ein krets desse opplysningane blir spreidde til, og korleis dei blir nytta.

I november 2015 gav Datatilsynet ut ein rapport om korleis kommersiell bruk av personopplysningar utfordrar personvernet. Mellom anna skriv dei om kva for ein informasjon brukarane får.1 I rapporten peiker Datatilsynet på at annonse- og medieindustrien framstår som lukka, og at enkeltindivid har avgrensa moglegheit til å utøve dei grunnleggande personvernrettane sine i møte med denne bransjen. Når forbrukarane ikkje har kjennskap til kva som går føre seg, kan dei heller ikkje krevje tenester som gjev betre personvern. Datatilsynet peiker også på at annonse- og medieindustrien er prega av at det i liten grad er mogleg å seie nei til innsamling av personopplysningar dersom ein ønsker å ta imot dei aktuelle tenestene.

Kommersiell bruk av personopplysningar var tema i Meld. St. 27 Digital agenda for Norge. IKT for en enklere hverdag og økt produktivitet, som regjeringa la fram i april 2016. I meldinga gjev regjeringa mellom anna uttrykk for at offentlege styresmakter må vere tydelege på dei krava som blir stilte for å sikre personvernet til brukarane, og at det offentlege må gå føre med gode døme på korleis desse krava kan bli innfridde. Regjeringa meiner at personvernet til forbrukarar som bruker digitale tenester, må sikrast på ein betre måte, og vil arbeide for å styrke personvernet deira. For å finne gode løysingar er det naudsynt med eit samarbeid mellom personvern- og forbrukarstyresmaktene, og det er naudsynt å vurdere både regulerande og tekniske tiltak. Fordi tenesteleverandørane kryssar grenser, må det også arbeidast med internasjonale løysingar.

[...]

1 Årsmeldinga til Datatilsynet for 2015

Leders beretning

[...]

Sporene etter Snowden

Men la oss spole noen år tilbake. I begynnelsen av juni 2013 sto en beskjeden mann med navn Edvard Snowden fram med banebrytende avsløringer. Ikke bare hadde National Security Agency (NSA) samlet inn enorme datamengder om helt vanlige borgeres liv, de hadde også avlyttet telefonen til storheter som Angela Merkel og 35 andre statsledere. Det er ulike meninger om Edvard Snowden, men det er hevet over enhver tvil at hans avsløringer har hatt svært stor betydning for personverndebatten og forholdet mellom Europa og USA.

Det startet allerede da EU-parlamentet skulle debattere personvernforordningen. Kommisjonens opprinnelige forslag bygde på det vi kan kalle den tradisjonelle lære – en virksomhet må være etablert i et europeisk land for at europeisk rett skal gjelde. Spørsmålet om jurisdiksjon er viktig, for på personvernområder, som på mange andre, er det stor forskjell på europeisk og amerikansk rett. Blant annet er terskelen for hva som er en personopplysning høyere i USA, og muligheten for å dele data større. Men EU-parlamentet vedtok en regel om at europeisk rett skal gjelde for alle virksomheter som retter sine tjenester mot europeiske borgere, og det gjelder de aller fleste. Jeg har tidligere kalt dette lex Snowden, fordi parlamentet i begrunnelsen hadde en veldig enkel begrunnelse, de gjorde dette på grunn av Snowdens avsløringer som viste at vi europeere måtte sørge for at europeiske regler gjaldt i Europa.

Når forordningen ble vedtatt var lex Snowden en del av pakka. Men før det, hadde nok en avgjørelse rystet store deler av næringslivet og relasjonene mellom USA og Europa. Da avgjorde nemlig EU-domstolen at den såkalte Safe Harbor-avtalen er ugyldig. De færreste hadde hørt om denne avtalen, men plutselig var den på alles lepper. Personvernregelverket er på dette punktet veldig enkelt: Det er forbudt å overføre data til tredjeland, det vil si utenfor EØS-området. Dette med mindre EU-kommisjonen har definert tredjelandet som et trygt sted å lagre data. Derfor er det inngått en rekke avtaler mellom EU og land som Chile, Israel og Uruguay, og fastslått at overføring til disse landene er trygt. Så også til USA, men der har avtalen fått et eget navn, Safe Harbor. Den inneholder ganske enkelt et sett regler som amerikanske selskaper kan forplikte seg til å følge. Ved å skrive under en egenerklæring er de et sertifisert datasenter som europeiske selskaper kan overføre data til. Når vi vet at overføring av persondata er en sentral del av nær sagt enhver forretning mellom EU og USA, trengs det ingen tilleggsforklaring på at avgjørelsen som kjente avtalen ugyldig var svært dramatisk. At det er over 4 000 sertifiserte Safe Harbor-sentre sier nok.

Så var det Edvard Snowden igjen. Generaladvokaten i EU-domstolen, som skriver innstillinger til dom, la i sin innstilling vekt på nettopp Edvard Snowdens avsløringer når han kom med sin konklusjon om at USA ikke var et trygt land når det gjaldt å behandle data om europeiske borgere. Og EU-domstolen kom kun uker senere til samme konklusjon.

Avgjørelsen var banebrytende, og burde strengt tatt vært omtalt på førstesiden av alle landets aviser. I realiteten, hvis det ikke blir inngått en ny Safe Harbor-avtale, betyr avgjørelsen at mange tusen europeiske virksomheter ikke lenger kan overføre data til USA i medhold av Safe Harbor, men må finne andre, mer tungvinte metoder. Mest nærliggende er å bruke noe som kalles standard modellavtaler, men nå hadde personvernere fått blod på tann. De hevdet at standardavtalene hadde akkurat samme svakheten som Safe Harbor-avtalen, nemlig at amerikanske sikkerhetsmyndigheter kan få tilgang til dataene. Det er vel ingen hemmelig at de fleste jurister mener det er godt hold i et slikt argument.

Dermed måtte vi i Datatilsynet kaste oss rundt. Vi la ut veiledning på hjemmesiden vår, sendte brev til over hundre virksomheter vi visste brukte Safe Harbor og besvarte en lang rekke telefoner. I skrivende stund er det forhandlet fram en ny Safe Harbor-avtale, kalt Privacy Shield, men det kan stilles store spørsmålstegn ved om denne er god nok.

USA versus Microsoft

Men det er ikke bare europeiske domstoler som har vist muskler. Også en domstol i New York fattet en avgjørelse som kan få dramatisk konsekvenser. Microsoft har datasentre over hele verden, men er som alle vet et amerikansk selskap. CIA ville imidlertid ha utlevert blant annet e-poster som lå lagret på en server i Microsofts datasenter i Dublin, Irland. Microsoft nektet og hevdet en amerikansk domstol ikke kan fatte beslutninger som får konsekvenser for europeiske borgere lagret i et europeisk datasenter. Men dommeren mente det motsatte, og påla Microsoft å utlevere e-postene under henvisning til at det var et amerikanske selskap. Dommen skal opp til avgjørelse i en høyere domstol, og ender trolig i Høyesterett, men den illustrerer et interessant forhold. Når slutter amerikansk rett å gjelde? Ved USAs grense? Eller kan et amerikansk selskap tvinges til å utlevere data fra borgere i hele verden, uansett i hvilket land selskapet har sin virksomhet?

Microsoft har protestert heftig og skrevet til alle datatilsynsmyndighetene i Europa og bedt om støtte for sin sak. Konsekvensen for europeiske borgere kan bli dramatisk dersom avgjørelsen blir stadfestet av høyere domsinstanser. Det betyr i klartekst at et amerikanskeid selskap etablert i Norge, kan tvinges til å utlevere norske borgeres data til USA, et land EU-domstolen har fastslått ikke er trygt i så henseende. Et paradoks? Javisst, men det er også dette: Dersom Høyesterett i USA kommer til at dataene må utleveres til USA, bryter de virksomhetene som utleverer dataene europeisk lov. Dersom de nekter å etterkomme en amerikansk dom, bryter de amerikansk lov.

Siste ord er ikke sagt i denne saken, men vi kan trygt slå fast at det blir meget spennende å følge dette videre, ikke minst om Microsoft og andre teknologigiganter lager selskapskonstruksjoner som gjør at de juridisk sett ikke lenger er amerikanske selskaper når det lagres data i Europa. Følgene av dette kan bli store.

Annonseindustriens datakappløp

Datatilsynet lanserte i september rapporten «Det store datakappløpet – om kommersiell utnyttelse av personopplysninger». Som det først datatilsyn i verden, kartla vi hvordan annonseindustrien samler inn enorme mengder svært detaljerte opplysninger om oss. Dette er opplysninger som i sin tur brukes til å sende skreddersydd reklame basert på akkurat vår profil. Det vil for eksempel bety at ti mennesker som går inn på morgenavisen.no vil få ti ulike annonser. Dette utfordrer personvernet på en rekke områder. Kan dataene avsløre følsomme opplysninger om oss? Kan det føre til diskriminering av kunder? En undersøkelse i USA viste at menn får annonser for bedre betalte jobber enn kvinner, og at folk med lav inntekt og betalingsproblemer i større grad enn andre får annonser for kreditter med høy rente. Det er også bekymringsfullt at det digitale annonsemarkedet er svært komplisert og at de aller færreste, om noen, har oversikt over hva som skjer.

Det kom mange reaksjoner fra norske aktører på rapporten, de fleste positive. Samtidig kom det fram en bekymring: Norske virksomheter må ikke ha dårlige rammebetingelser enn våre konkurrenter. Og konkurrentene er jo «the usual suspects» som Facebook, Google og Microsoft. Dermed er vi tilbake der denne innledningen til årsmeldingen startet, ved våre to prioriterte prosjekter, som ikke bare ble nasjonale anliggender, men en del av en personvernkonflikt mellom USA og Europa.

Bjørn Erik Thon

Direktør

[...]