DA Den Europæiske Unions Tidende C 463/10

Resumé af udtalelse fra Den Europæiske Tilsynsførende for Databeskyttelse om systemer til forvaltning af personoplysninger

(Udtalelsen findes i sin helhed på engelsk, fransk og tysk på den tilsynsførendes websted www.edps.europa.eu)

(2016/C 463/10)

I denne udtalelse undersøges konceptet teknologier og økosystemer, der har til formål at give enkeltpersoner mulighed for at kontrollere delingen af deres personoplysninger (»systemer til forvaltning af personoplysninger« (personal information management systems) eller forkortet »PIMS«).

Det er vores vision at skabe en ny realitet, hvor enkeltpersoner forvalter og kontrollerer deres onlineidentitet. Det er vores mål at omdanne det nuværende udbydercentrerede system til et menneskecentreret system, hvor enkeltpersoner er beskyttet mod ulovlig behandling af deres data og mod indgribende sporings- og profileringsteknikker, som har til formål at omgå centrale databeskyttelsesprincipper.

Denne nye realitet vil blive fremmet af EU's moderniserede lovgivningsrammer og de muligheder, som en streng, fælles håndhævelse fra alle relevante tilsyns- og reguleringsmyndigheders side giver.

Den nyligt vedtagne generelle databeskyttelsesforordning styrker og moderniserer lovgivningsrammerne, så de forbliver effektive i massedataenes tidsalder, idet de styrker den enkeltes tillid og tiltro, når man er online, og til det digitale indre marked. De nye regler, herunder vedrørende øget gennemsigtighed og reel ret til indsigt og dataportabilitet, har til formål at give brugerne mere kontrol over deres data, og dette kan også bidrage til at fremme mere effektive markeder for persondata til gavn for forbrugere og virksomheder.

Senest har vi afgivet en udtalelse om effektiv håndhævelse af grundlæggende rettigheder i en tid med big data. Denne sætter fokus på de aktuelle markedsforhold og virksomhedspraksis, der skaber hindringer for en effektiv udøvelse af enkeltpersoners ret til beskyttelse af deres personoplysninger og andre grundlæggende rettigheder, og opfordrer til optrapning af en samordnet og konsekvent håndhævelse af konkurrence-, forbrugerbeskyttelses- og databeskyttelsesret. Vi håber, at denne øgede håndhævelse vil tjene til at skabe markedsforhold, hvor tjenester med fokus på beskyttelse af privatlivets fred kan trives. Tilgangen i denne udtalelse sigter mod at styrke de grundlæggende rettigheder i vores digitale verden og samtidig give virksomheder nye muligheder for at udvikle innovative tjenester på basis af personoplysninger, som bygger på gensidig tillid. PIMS omfatter ikke blot en ny teknisk arkitektur og organisation til dataforvaltning, men også »trust frameworks«, og som følge heraf alternative forretningsmodeller for indsamling og behandling af personoplysninger i massedataenes tidsalder på en måde, der bedre respekterer den europæiske databeskyttelseslovgivning.

I denne udtalelse beskriver vi kort, hvad PIMS er, hvilke problemer systemerne skal løse, og hvordan. Dernæst analyserer vi, hvordan de kan bidrage til en bedre beskyttelse af personoplysninger, og hvilke udfordringer de står over for. Endelig kommer vi med forslag til, hvordan man kan bygge videre på de muligheder, de giver. For at nye forretningsmodeller på databeskyttelsesområdet kan trives, kan yderligere incitamenter for de tjenesteudbydere, der tilbyder dem, være nødvendige. Det bør navnlig undersøges, hvilke politiske initiativer der kunne motivere dataansvarlige til at godtage, at data stilles til rådighed på denne måde. Endvidere kunne et initiativ fra offentlige tjenester til at acceptere PIMS som en datakilde i stedet for direkte indsamling af data være med til at styrke accepten af PIMS.

De nye rammer i forbindelse med PIMS, som har til formål at sikre, at enkeltpersoner og forbrugere igen får kontrol over deres personoplysninger, fortjener nærmere overvejelse, støtte og yderligere undersøgelse med henblik på at bidrage til en bæredygtig og etisk brug af big data og til en effektiv gennemførelse af principperne i den nyligt vedtagne generelle databeskyttelsesforordning.

I. PIMS: DELING AF DATA, DELING AF FORDELE?

1. De nuværende betingelser for behandling af personoplysninger er ofte unfair over for de enkeltpersoner, hvis data behandles. Retlige betingelser og tekniske værktøjer gør det vanskeligt for enkeltpersoner at udøve deres rettigheder og gør det muligt for dataansvarlige at begrænse deres ansvar. Dataformidlere, annoncenetværk, udbydere af sociale netværk og andre erhvervslivsaktører har endnu mere fuldstændige registre over enkeltpersoner, der deltager i dagens digitale samfund, og den enkelte mister kontrol over de digitale fodspor, vedkommende efterlader. Stillet over for målretning, profilering og vurdering fra aktørers side — ofte uden for den enkeltes kontrol eller endog uden dennes viden — kan enkeltpersoner føle sig hjælpeløse og bør sættes i stand til at tage kontrol over deres identitet. Selv i tilfælde, hvor enkeltpersoner formelt har fået en eller anden form for »meddelelse« og mulighed for at »give samtykke« til generelle vilkår og betingelser, befinder de sig ofte inde i et system, der er udformet til at maksimere monetariseringen af personoplysninger, hvilket ikke giver den enkelte noget reelt valg eller nogen reel kontrol.

2. Europa-Kommissionens meddelelse om big data (1) fastsætter en handlingsplan, som både vedrører personoplysninger og forbrugerbeskyttelse. Denne tilskynder specifikt til brugen af »personoplysningsrum« som brugercentrerede, sikre og beskyttede steder at lagre og eventuelt give andre mulighed for at få adgang til personoplysninger. Vi er enige i den opfattelse, at innovative digitale værktøjer og forretningsmodeller, der har til formål at styrke den enkeltes kontrolmuligheder, bør fremmes. Disse kan gøre det muligt for enkeltpersoner at få fordel ved en sådan dataudveksling, dvs. deltage i brugen og distributionen af deres personoplysninger.

3. I vores udtalelse »Meeting the challenges of big data« (udfordringerne ved massedata) (2) anførte vi, at vi bør supplere den retlige forpligtelse til faktisk samtykke med en reel, praktisk kontrol over personoplysninger. Vi anførte, at i stedet for at være en administrativ byrde kan tildelingen af adgangsrettigheder i givet fald indgå som en del af den tjeneste, der leveres til kunderne, og at organisationer, der er baseret på at udnytte »big data«, bør være rede til at dele den velstand, der skabes gennem behandlingen af personoplysninger, med de enkeltpersoner, hvis data de behandler. I den forbindelse bemærkede vi, at persondatalagre kunne bidrage til at imødegå nogle af betænkelighederne med hensyn til, at den enkelte kan miste kontrol over sine personoplysninger. Den nyligt vedtagne generelle databeskyttelsesforordning (3) har styrket det retlige krav om samtykke (4) og indført effektive, moderne principper om databeskyttelse gennem design og databeskyttelse gennem standardindstillinger (5) samt en ny ret til dataportabilitet (6). For at de nye rammer for databeskyttelse kan leve op til det lovede, har vi brug for praktiske værktøjer, der kan gøre det muligt for enkeltpersoner at udøve deres rettigheder på en bekvem og brugervenlig måde.

4. I denne udtalelse undersøges nye teknologier og økosystemer, der har til formål at give enkeltpersoner mulighed for at kontrollere indsamlingen og delingen af deres personoplysninger. Vi omtaler dette koncept som »system til forvaltning af personoplysninger« (personal information management system, »PIMS«) (7). PIMS-konceptet omfatter en ny tilgang, hvorved den enkelte er indehaver af sine egne personoplysninger. Det kan i givet fald skabe et paradigmeskift i forvaltningen og behandlingen af personoplysninger, med sociale og økonomiske konsekvenser. I modsætning hertil er de nuværende onlinetjenester kendetegnet ved et lille antal tjenesteudbydere, der dominerer markedet ved at monetisere brugernes personoplysninger til gengæld for »gratis« tjenester. Dette ledsages ofte af en ubalance i magtfordelingen, hvor kunden stilles over for en »alt eller intet«-tilgang, og af informationsasymmetri mellem tjenesteudbydere og brugere, hvor der er ringe eller ingen gennemsigtighed for enkeltpersoner med hensyn til, hvad der sker med deres personoplysninger.

5. Hovedtanken med PIMS-konceptet er at omdanne det nuværende udbydercentrerede system til et system, der er centreret om enkeltpersoner, der er i stand til at forvalte og kontrollere deres onlineidentitet (8). I princippet bør enkeltpersoner være i stand til at beslutte, om og med hvem de vil dele deres personoplysninger, til hvilke formål og i hvor lang tid, og holde øje med dem og beslutte at trække dem tilbage, når dette ønskes. Det er værd at se nærmere på, hvordan PIMS kunne bidrage til at imødegå nogle af betænkelighederne med hensyn til, at den enkelte kan miste kontrol over sine personoplysninger, hvilket er blevet fremhævet som én af de største betænkeligheder ved big data (9).

6. Denne tilgang sigter mod at styrke de grundlæggende rettigheder i vores digitale verden og samtidig give virksomheder nye muligheder for at udvikle innovative tjenester på basis af personoplysninger, som bygger på gensidig tillid. PIMS omfatter en ny teknisk arkitektur og organisation til dataforvaltning, som opbygger »trust frameworks«. Håbet er, at de kan muliggøre alternative forretningsmodeller for indsamling og behandling af personoplysninger i massedataenes tidsalder på en måde, der bedre respekterer den europæiske databeskyttelseslovgivning.

7. I denne udtalelse beskriver vi kort, hvad PIMS er, hvilke problemer systemerne skal løse, og hvordan (10). Vi analyserer, hvordan de kan bidrage til en bedre beskyttelse af personoplysninger, og hvilke udfordringer de står over for. Endelig kommer vi med forslag til, hvordan man kan bygge videre på de muligheder, de giver.

IV. KONKLUSIONER OG NÆSTE SKRIDT

4.1. Hen imod fuld anvendelse af den generelle databeskyttelsesforordning — muligheder

54. Som anført ovenfor har EU-lovgiveren for nylig vedtaget en databeskyttelsesreformpakke, som styrker og moderniserer lovgivningsrammerne, så de forbliver effektive i massedataenes tidsalder.

55. Den nye generelle databeskyttelsesforordning, herunder regler om øget gennemsigtighed og reel ret til indsigt og dataportabilitet, skulle være med til at give enkeltpersoner mere kontrol over deres data og kan også bidrage til at fremme mere effektive markeder for personoplysninger til gavn for både forbrugere og virksomheder.

56. De adfærdskodekser og certificeringsordninger, der er fastsat i den generelle databeskyttelsesforordning, er privilegerede instrumenter, der skal give teknologi og produkter, der — ligesom PIMS — kan tjene til en mere effektiv gennemførelse af databeskyttelseslovgivningen på det praktiske plan, en mere specifik synlighed og rolle.

57. PIMS står imidlertid over den overordnede vanskelighed ved at skulle trænge ind på et marked, der er domineret af onlinetjenester, som er baseret på forretningsmodeller og tekniske arkitekturer, hvor enkeltpersoner ikke har kontrol over deres data, som forklaret i afsnit 3.9. Et skift til en situation, hvor enkeltpersoner har konkret mulighed for at give en tjenesteudbyder adgang til nogle oplysninger i deres PIMS i stedet for at give oplysningerne direkte til tjenesteudbyderen, vil kræve yderligere incitamenter for tjenesteudbyderne. Kommissionen kan anvende de initiativer, den har bebudet vedrørende datastrømme og ejerskab til data (11), til at undersøge, hvilke yderligere politiske initiativer der kunne motivere dataansvarlige til at godtage, at data stilles til rådighed på denne måde. Endvidere kunne et initiativ fra offentlige e-forvaltningstjenester til at acceptere PIMS som en datakilde i stedet for direkte indsamling af data være med til at styrke accepten af PIMS.

58. Denne analyse kunne suppleres af foranstaltninger, der har til formål at fastlægge de tekniske, samfundsmæssige og økonomiske grundlag, herunder standardiseringsbestræbelser, økonomiske incitamenter og fremme af forsknings- og pilotprojekter.

59. Den Europæiske Union og medlemsstaternes offentlige forvaltninger og projekter, der finansieres af dem, er de første steder, hvor denne perspektivændring bør testes, fremmes og forhåbentlig virkeliggøres.

4.2. Støtte til PIMS og den underliggende teknologi med henblik på en effektiv databeskyttelse

60. Selv om effektiv regulering er afgørende, skal der mere til. Som vi anførte i vores udtalelse om »Meeting the challenges of big data« (12), skal de selskaber og andre organisationer, der investerer mange ressourcer i at frembringe nyskabende metoder til brug af persondata, anlægge den samme nyskabende tankegang ved gennemførelse af principperne for databeskyttelse.

61. Teknologiens bidrag til PIMS-modellen er af grundlæggende betydning. PIMS kan anvendes til at teste principper om databeskyttelse gennem design og teknologier, der støtter dem. Relevante forskningsemner, hvor der er behov for passende støtte og investeringer, omfatter: interoperabel og privatlivsvenlig identitetsforvaltning, godkendelsesmekanismer, datainteroperabilitet, datasikkerhed og mekanismer til automatisk håndhævelse af eksisterende »kontrakter« mellem enkeltpersoner og andre parter. Alt dette støttes af kryptografi og kryptering og fremmes af tilgængeligheden af billig computerkraft. Der er i denne første fase behov for en afgørende støtte fra politiske beslutningstagere, såsom Kommissionen, til grundforskning og anvendt forskning på disse teknologiområder for ikke at gå glip af aktuelle muligheder.

62. For at fremme forskning og udvikling og markedsudbredelse i forbindelse med PIMS anbefaler vi, at Kommissionen planlægger mulige synergier med andre områder af strategien for et digitalt indre marked, såsom cloudcomputing og tingenes internet. På denne måde kunne der gennemføres pilotprojekter med henblik på at udforme og teste samspillet mellem på den ene side cloudtjenester og tingenes internet og på den anden side PIMS.

4.3. Sådan vil den Den Europæiske Tilsynsførende for Databeskyttelse fremme denne debat

63. Den tilsynsførende tilstræber at bidrage til at fremme private og offentlige bestræbelser i den retning, der er beskrevet ovenfor. Vi vil fortsat tilskynde til drøftelser, herunder gennem tilrettelæggelse af arrangementer/workshopper, med henblik på bl.a. at udpege, fremme og promovere bedste praksis for at øge gennemsigtigheden og brugerkontrollen og udforske de muligheder, som PIMS giver. Vi vil også fortsat fremme arbejdet i Internet Privacy Engineering Network (IPEN) som et tværfagligt knudepunkt for viden til brug for teknikere og eksperter på området for beskyttelse af privatlivets fred. I denne forbindelse vil vi fortsat skabe en platform, for at udviklere og promotorer af PIMS kan deltage i udvekslinger med specialister inden for andre teknologier og databeskyttelse.

Marrakesh, den 20. oktober 2016. Giovanni BUTTARELLI Den Europæiske Tilsynsførende for Databeskyttelse

(1) Meddelelse COM(2014)442 om en blomstrende datadreven økonomi: https://ec.europa.eu/digital-single-market/en/news/communication-data-driven-economy.

(2) EDPS' udtalelse nr. 7/2015: https://secure.edps.europa.eu/EDPSWEB/webdav/site/mySite/shared/Documents/Consultation/Opinions/2015/15-11-19_Big_Data_EN.pdf. Se mere specifikt afsnit 3.

(3) Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel databeskyttelsesforordning) (EUT L 119 af 4.5.2016, s. 1).

(4) Se bl.a. artikel 6, stk. 1, litra a), artikel 7 og 8 og betragtning 42-43 til den generelle databeskyttelsesforordning.

(5) Artikel 25 i den generelle databeskyttelsesforordning.

(6) Artikel 20 i den generelle databeskyttelsesforordning.

(7) Beslægtede koncepter omfatter »persondatalagre«, »personoplysningsrum« eller »personoplysningskamre«. Vi vil anvende udtrykket »PIMS« i denne udtalelse, da det synes bedst at beskrive konceptet på en generel og letforståelig måde. Som anvendt i denne udtalelse kan forkortelsen »PIMS« enten være ental eller flertal: »system til forvaltning af personoplysninger« eller »systemer til forvaltning af personoplysninger«.

(8) Se betragtning 7 til den generelle databeskyttelsesforordning: »Fysiske personer bør have kontrol over deres personoplysninger«. Se også f.eks. Doc Searls, The Intention Economy: When Customers Take Charge (Boston: Harvard Business Review Press, 2012).

(9) Se bl.a. Ira S. Rubinstein, »Big Data: The End of Privacy or a New Beginning?«, International Data Privacy Law, 2013, vol. 3, nr. 2.

(10) Se f.eks. rapporten om persondatalagre udarbejdet af University of Cambridge for Europa-Kommissionen: https://ec.europa.eu/digital-single-market/en/news/study-personal-data-stores-conducted-cambridge-university-judge-business-school.

(11) Meddelelse: Digitalisering af EU's industri — Fuldt udbytte af det digitale indre marked http://europa.eu/rapid/press-release_MEMO-16-1409_en.htm.

(12) EDPS' udtalelse nr. 7/2015, nævnt ovenfor.