GDPR gir deg mer makt over ditt digitale liv

Innboksen din er kanskje full av dem – e-postene fra alle som ber deg samtykke til at de kan fortsette å sende deg nyhetsbrev eller tilbud. Grunnen til at du får disse henvendelsene, er innføringen av EUs nye personvernforordning.

Forordningen, kalt GDPR (General Data Protection Regulation), trer i kraft 25. mai 2018 i stort sett hele Europa, i Norge trolig i juli. Det har ført til hektisk aktivitet i bedrifter og organisasjoner som må tilpasse seg regelverket. Men først og fremst angår forordningen deg og din digitale hverdag.

Slik er ditt digitale liv

Er du aktiv på nettet? Da deler du jevnlig personlig informasjon – kanskje uten å tenke spesielt mye over det? Stang Dahl tegner dette bildet av en typisk digital hverdag for Ola og Kari Nordmann:

Du våkner om morgenen og sjekker e-post, nettaviser, sosiale medier og andre apper på telefonen. Til jobben tar du kollektivtransport med tilhørende reiseapp, eller du kjører din moderne bil. Den har innebygget SIM-kort og er konstant på nett, akkurat som en mobiltelefon. Slik lagres data om hvor du kjører, hvor du har parkert og hvilke steder du har plottet inn på GPS-en.

I løpet av dagen er du innom både offentlige og private digitale tjenester og kundeklubber. Du får også tid til å sjekke hva venner og kjente gjør på sosiale medier – kanskje deler du også litt fra din egen dag?

Har du en smartklokke, kan du benytte de mange praktiske innretningene som kan hjelpe deg å få hverdagen til å gå opp. Diverse dingser som flere og flere tar i bruk, gjør det lettere for oss å huske avtaler, treningsmønstre og andre behov.

Men hva er egentlig problemet?

Vi kan synes at den digitale hverdagen fører med seg mange fordeler: «Hele» verden er tilgjengelig, og tilbud vi får er ofte tilpasset behovene og interessene våre. Og de fleste har da ikke noe å skjule?

Datatilsynet mener likevel at det er viktig å være bevisst på hvilke personopplysninger du vil dele.

– Det er avgjørende at vi som borgere kan stole på at personopplysninger blir behandlet på en god måte. Vi må vite at virksomheten har kontroll slik at vi får tillit til å bruke de tjenestene som tilbys, konstaterer Stang Dahl, og viser til en av de store skandalene i 2018.

Facebook-/Cambridge Analytica-skandalen

– Dette ble en vekker. Mange ble sjokkert da de fikk vite hvordan informasjon om dem ble brukt. En konsekvens er at stadig flere, både unge og eldre, blir opptatt av personvern, sier hun.

Datatilsynet tror likevel at vi vil få flere lignende saker fremover. Praksisen med innsamling av personopplysninger fra sosiale medier for økonomisk eller politisk vinning er svært utbredt.

– Derfor stiller de nye personvernreglene strengere krav til åpenhet om hvordan ulike selskaper samler inn og bruker data. Det kreves tydelig og forståelig informasjon om hva dataene dine skal brukes til. Målet er at folk skal ha tillit til at deres data ikke brukes til formål de ikke kjenner til, sier Stang Dahl.

Bedre tjenester for brukerne

Ifølge Stang Dahl er noe av det beste med GDPR at reglene kan ha en bevisstgjørende effekt.

– Nå går det opp for stadig flere virksomheter at det gjelder strenge regler for behandling av personopplysninger, og at de har et stort ansvar. Etter å ha snakket med mange virksomheter, er det vårt inntrykk at de kommer til å utarbeide mer personvernvennlige tjenester, sier hun.

Hva kreves av deg?

Høres det ut som om GDPR er vel og bra – men at det krever mye av deg? Stang Dahl fremhever at reglene krever mer av virksomhetene enn av privatpersoner.

– Riktig nok bør du bruke litt tid på å sette deg inn i reglene, slik at du vet hva du sier ja eller nei til. I tillegg er det noen enkle øvelser du kan gjøre for å ta vare på ditt eget personvern. Dette trenger ikke å være komplisert eller tidkrevende, sier Stang Dahl, og gir følgende tips:

• Til å stole på? Husk at dine personopplysninger har en verdi for virksomheter. Det er mange som vil vite mest mulig om deg. Bare del informasjon med virksomheter du stoler på.
• Spør! Synes du det er vanskelig å forstå hva en virksomhet skal gjøre med personopplysningene dine? Spør! Etter de nye reglene skal virksomhetene på eget initiativ gi deg kortfattet og lettfattelig informasjon om hva, hvorfor og hvordan.
• Be om innsyn. Lurer du på hva en virksomhet lagrer om deg? Be om innsyn. Det er den beste måten å oppdage om en virksomhet lagrer mer om deg enn den har gitt inntrykk av.
• Misfornøyd? Si ifra og bruk din makt som forbruker. Dersom forbrukere foretrekker mer personvernvennlige tjenester, må virksomhetene tilpasse seg.

De viktigste rettighetene i GDPR (listen er ikke fullstendig)

• Krav om samtykke:
  En aktør kan, med noen unntak, bare behandle personopplysninger hvis du har gitt dem lov til det gjennom samtykke eller ved å inngå en avtale som forutsetter behandling av personopplysninger. Et eksempel på en slik avtale er kjøp av bilforsikring, hvor forsikringsselskapet registrerer nummeret på bilen og opplysninger om eieren uten at dette krever eksplisitt samtykke.
• Rett til å bli informert:
  Alle som samler inn personopplysninger om deg skal sørge for at du forstår hvordan opplysningene blir behandlet og hvilke rettigheter du har.
• Rett til innsyn:
  Du kan når som helst kreve informasjon om hvilke opplysninger en aktør har om deg. Dette skal være gratis, og du skal få opplysningene i et lesbart format – elektronisk hvis du vil.
• Rett til å bli slettet og glemt:
  Du kan be en virksomhet om å slette personopplysningene dine hvis du ikke lenger er kunde, trekker samtykket eller ikke lenger er tilknyttet selskapet på andre måter. I noen tilfeller vil selskapet ha rett og plikt til å avslå sletting. Dette kan for eksempel skje ut fra hensynet til andre lover og regler.
• Rett til å korrigere og flytte informasjon:
  Hvis du oppdager at informasjon om deg er ufullstendig, feilaktig eller utdatert, kan du be om at den blir rettet. Du kan også be om en virksomhet om å bringe videre enkelte opplysninger om deg til en annen aktør.
• Rett til begrenset behandling:
  Privatpersoner kan i enkelte tilfeller kreve at behandlingen av personopplysninger begrenses, for eksempel hvis det er tvil om opplysningene er korrekte. Informasjon kan fortsatt lagres, men ikke brukes.
• Rett til å protestere mot behandling:
  Dette inkluderer direkte markedsføring – uten unntak.
• Rett til å bli informert/varslet:
  Hvis personlige opplysninger kommer på avveier som følge av datainnbrudd, og det er høy risiko for at personvernet blir kompromittert, skal du varsles innen 72 timer etter at innbruddet/lekkasjen ble oppdaget. Myndighetene vil reagere strengt mot selskaper/organisasjoner som ikke overholder denne plikten/fristen.