24.02.2020

Ny principiel afgørelse fra Datatilsynet styrker borgernes mulighed for at få kontrol med, hvordan vores data bliver delt med tredjeparter, når vi besøger hjemmesider.  Det er godt og en helt nødvendig håndhævelse af, hvordan GDPR-reglerne skal forstås og anvendes. Men nok er øgede krav er irriterende for Google og Facebook, men de er decideret fatale for mange små adtech-virksomheder. Derfor ender den hårdere fortolkning af GDPR utilsigtet med at styrke giganternes konkurrencefordele.

Kronik af Thomas Høgenhaven, næstformand for Djøfs TechDK Kommission

”Datatilsynet har på baggrund af en klage udtalt alvorlig kritik af DMI’s behandling af personoplysninger i forbindelse med visning af bannerannoncer på instituttets hjemmeside”, lyder det formelt i en nyhed fra Datatilsynet den 11. februar 2020.

Afgørelsen er principiel og danner en helt ny – og positiv – retstilstand for, hvordan myndigheder, organisationer og virksomheder må indsamle og videregive personoplysninger fra besøgende på deres hjemmesider. I den 12-sider lange afgørelse er det væsentlige punkt: ”Datatilsynet har noteret sig, at det er muligt at til- eller fravælge indsamling af personoplysninger til forskellige formål ved at vælge ”Vis detaljer”, men at denne mulighed er placeret ”et-klik-væk”, og det er dermed ikke muligt ved den indledende interaktion med samtykkeløsningen.” [skribentens fremhævning, red.]

Det er altså ikke længere nok at have en stor, skinnende og nærmest blinkende knap med teksten ”Accepter cookies” og et lille nærmest usynligt link med teksten ”læs mere”.

En nødvendig afgørelse
I dag er det nemt – måske alt for nemt – at give samtykke til, at en hjemmeside, du besøger, må dele information med virksomheder som Google og Facebook samt hele den underskov af adtech-virksomheder, du aldrig har hørt om – men som til gengæld har hørt meget om dig. Det er fx data, der fortæller, hvor du er lige nu, hvad du søger efter, hvilke hjemmesider du besøger, din identitet på sociale medier osv. Det kræver blot et enkelt ”OK-klik” i den dialogboks, der popper op, når du besøger en hjemmeside. Ifølge et studie fra januar 2020 fra Aarhus Universitet er det kun 88,2 pct. af europæiske hjemmesider, der gør det lige så let at sige ”nej” som ”ja” til tracking. Og dét strider imod  EU’s GDPR-direktiv, som er sat i verden for at beskytte vores privatliv og sikre et minimum af ansvarlighed inden for data-opsamling, behandling, handel og samkørsel. GDPR har mange positive elementer, men mange af dem er aldrig blevet håndhævet – indtil nu.

Afgørelsen fra Datatilsynet er et helt nødvendigt skridt i retning af at styrke borgernes privatliv. Datatilsynets afgørelse er en lille milepæl for det reelle samtykke, GDPR-reglerne foreskriver, brugerne skal give kommercielle aktører. Dermed går den også imod den omsiggribende brug af ”dark patterns”, hvor omhyggeligt designede brugergrænseflader dygtigt prøver at narre os til at gøre ting, vi egentlig ikke ønsker eller har taget stilling til.

Afgørelsen er det første af mange skridt, hvor håndhævelsen af GDPR bliver styrket. Effekten af GDPR er stadig alt for lille – og det er derfor afgørende, at vi skaber velpolstrede og offensive Datatilsyn i både København og Dublin. Dublin er vigtig, fordi det er under Irlands jurisdiktion, at de Amerikanske tech-giganter holder til i EU af skattemæssige årsager. Danske klager om eksempelvis Facebook og Google bliver derfor sendt videre til Irland og behandlet derfra.

 

Men der er en utilsigtet konsekvens af datatilsynets kritik af DMI: Det styrker tech-branchens reklame-duopol Facebook og Google. Det skyldes, at store virksomheder altid har bedre muligheder for at følge kompleks lovgivning, end små virksomheder har
_______

 

Monopolerne bliver styrket
Der er ingen tvivl om, at konsekvenserne bliver store for adtech-branchen: En undersøgelse fra Erhvervsstyrelsen fra 2015 indikerer, at kun en meget lille andel af danskerne vil give samtykke til at dele data med tredjeparter, når de har lige så let ved at sige ”nej” som ved at sige ”ja”. Det betyder, at det bliver langt sværere at sende personhenførbare data rundt mellem virksomheder, som vi ikke har en relation til og direkte givet adgang til at bruge. Og det er sådan set hele meningen med GDPR-direktivet.

Men der er en utilsigtet konsekvens af datatilsynets kritik af DMI: Det styrker tech-branchens reklame-duopol Facebook og Google. Det skyldes, at store virksomheder altid har bedre muligheder for at følge kompleks lovgivning, end små virksomheder har. Eller som minimum bedre muligheder for at hyre dyre advokater til at mudre billedet og gøre det mindre tydeligt, at virksomheden ikke følger reglerne. GDPR-reglerne og lignende lovgivning er irriterende for alle virksomheder. Det koster ressourcer at håndhæve dem. Interne regler skal udvikles og det skal kontrolleres, at virksomheden og medarbejderne overholder reglerne. Men der er således altid en risiko for, at lovgivning ender med at styrke dem, der allerede er store og svække små konkurrenter og potentielt nye iværksættere.

Datatilsynets afgørelse har derfor den effekt, at det bliver sværere for alle at samle og dele information om mennesker på nettet. Det er irriterende for Google og Facebook, men fatalt for mange små adtech-virksomheder. Og det har betydning, at reklame-duopolet kommer relativt styrket ud ift. konkurrenterne.

Usynlige mellemmænd
For at forstå, hvorfor de store bliver styrket, skal vi forstå adtech-virksomhederne: De fleste adtech-virksomheder er usynlige mellemmænd. De har ikke nogen direkte relation til dig og mig. Det er firmaer, der laver software, som kører i baggrunden på hjemmesider og som suger information om, hvem vi er, og hvad vi læser. Informationen samkøres bag kulissen, og vores profiler sælges til virksomheder, der gerne vil målrette deres annoncer og produkter. Det kan handle om noget så basalt som at få dig til at købe et par sko, du måske egentligt ikke mangler. Men det kan også handle om at ændre præmien i forsikringstilbud, vurdere, om du kan få et lån, få dig til at stemme på et bestemt parti eller vurdere, om du fortjener plads på en offentlig ”undringsliste” og dermed fortjener øget granskning.

Når vi ikke længere giver samtykke til, at en hjemmeside som dmi.dk deler information med andre, får adtech-virksomhederne ikke adgang til informationen. Det betyder blandt andet, at nogle af deres kunder –annoncenetværk – ikke længere kan målrette annoncer så præcist som før. Og når reklame-netværkene bliver dårligere, vil annoncørerne gå derhen, hvor der stadig er god mulighed for at målrette reklamer: Google og Facebook.

Facebook kan stadig samle information ind fra deres milliarder af brugere på Facebook, Instagram og WhatsApp. Google har stadig Google Maps til at finde ud af, hvor i verden du befinder dig, når du læser denne artikel; Google ved, hvilke apps du bruger hvornår på din Android-telefon; Google ved, hvilke ting du søger efter på Google.com, og Google ved, hvilke hjemmesider du besøger gennem webbrowseren Chrome. At miste adgang til information fra tredjepartshjemmesider er nærmest ligegyldigt i den sammenhæng.

 

Der er brug for yderligere tiltag, så vi kan sætte rammerne for udviklingen, inden den løber fra os
_______

 

Hvad så nu?
Datatilsynets afgørelse er alligevel et skridt i den rigtige retning. Der er nemlig fortsat brug for en langt mere restriktiv tilgang til, hvordan man indhenter reelt samtykke til videregivelsen og anvendelsen af data.

Det næste skridt er så, hvordan vi kan stække monopolerne. Et spørgsmål, vi har beskæftiget os indgående med i Djøfs TechDK Kommission, ligesom vi med stor interesse har noteret os det ambitiøse udspil fra EU-Kommissionen om en ny datastrategi for EU. Her er ambitionen en fælles europæisk retning, hvor borgerne er i centrum. Det er helt centralt for at sikre, at samfundet og hensynet til demokratiet styrer teknologien og ikke omvendt.

Nogle af de forslag, vi i Djøfs TechDK Kommission peger på, er:

1. Opdatér branchekategorier, så de matcher virksomhedernes forretningsmodel
Når virksomheder fusionerer, er der mulighed for, at der skabes markedsdominans til skade for konkurrencen og forbrugerne. Ved fremtidig vurdering af dominans og opkøb bør myndighederne – afhængig af firmaernes forretningsmodeller – i stigende grad vurdere digitale markedsandele ud fra forhold som antal brugere, datamængder og opmærksomhed – fx målt på, hvor lang tid brugerne anvender produktet. Ved at bruge disse mere digitale parametre til at vurdere markedsandele, vil tech-giganterne få sværere ved at foretage opkøb, som skader konkurrencen.  Et aktuelt eksempel herpå er, at Google ikke bør få lov at købe mere af folks data gennem opkøbet af trackingfirmaet Fitbit. Et opkøb, som EU begynder at advare mod.

2. Muliggør stærkere og tættere virksomhedssamarbejder, der kan matche techgiganter
Der er behov for en strategi i både EU og på nationalt plan, der kan sikre alternativer til Google og Facebook. Derfor opfordrer vi eksisterende virksomheder og iværksættere til at indgå i netværk, der samlet set konkurrerer med giganterne. Gerne understøttet af statslige initiativer. I et marked stærkt præget af en global monopoltilstand, er der brug for flere aktører på markedet til gavn for både danske virksomheder og forbrugere. Der er brug for nye troværdige reklamenetværk, som tilgodeser retten til privatliv.

3. Skærp regler for sletning af personlige data til kommerciel brug efter 12 måneder 
I dag må data beholdes, så længe virksomheden skønner, det er nødvendigt. Det betyder, at der er en permanent historik over, hvad brugerne har gjort tidligere i deres liv – med risiko for, at brugere fastholdes i bestemte mønstre. De tech-virksomheder, som tidligere har indsamlet data på en aggressiv og måske ulovlig måde, belønnes hermed med strukturelle fordele, som nye virksomheder ikke kan matche. Det bør blive lovbestemt, at personlige data om brugere til kommerciel brug slettes efter 12 måneder, medmindre virksomheden får samtykke til, at de kan beholde vores data. Et samtykke der skal fornys en gang om året. Hermed vil både Googles og Facebooks monopoltilstand svækkes.

Med Datatilsynets afgørelse og med EU’s udspil til en ny datastrategi er vi kommet et lille skridt videre på vejen mod at sikre en mere gennemsigtig anvendelse af de data, vi efterlader, når vi anvender digitale tjenester i vores hverdag. Det er godt. Og helt nødvendigt. For digitaliseringen er en integreret del af vores hverdag, hvor mange ting er blevet lettere og mere effektive. Der er brug for yderligere tiltag, så vi kan sætte rammerne for udviklingen, inden den løber fra os. ■

 

Datatilsynets afgørelse er alligevel et skridt i den rigtige retning. Der er nemlig fortsat brug for en langt mere restriktiv tilgang til, hvordan man indhenter reelt samtykke til videregivelsen og anvendelsen af data
_______

Apropos denne artikel:

Lars Struwe: Vance lægger vægten på sikkerhed og frygten for Kina. Om vi kan lide det eller ej – og han har ret

Hvem er vi, hvis vi ikke er venner med amerikanerne? Mikkel Vedby med Jarl Cordua i Lille Land, Hvorhen

Can Dündar: Tyrkiet er på vej mod et fuldt diktatur. Erdoğan ved nemlig, at Europa er villig til at ofre dets værdier for sikkerhed

Grace Blakeley: Der er brug for en genopbygning af den massepolitik, der tillader almindelige mennesker at øve indflydelse på vores økonomiske og politiske institutioner 

Flemming Splidsboel i RÆSONs kommende trykte nummer: Hvad vi mister, hvis Ukraine taber

Øjvind Hesselager: Sådan mistede vi Grønland