31. Jura og etik

I en tid, hvor data er blevet en værdifuld ressource, er det afgørende at forstå de juridiske og etiske aspekter, der er forbundet med dataindsamling, analyse og formidling. Her udforskes de grundlæggende principper og overvejelser, der er nødvendige for at navigere i det komplekse landskab af datapraksis. Der fokuseres på, hvordan lovgivning og etiske normer former tilgangen til data, og hvordan disse retningslinjer påvirker både den individuelle og samfundsmæssige velfærd.

Juridiske Rammer

Juridisk set er dataindsamling og -behandling reguleret af en række love og forordninger, der sigter mod at beskytte individets rettigheder og sikre en ansvarlig håndtering af data. Et centralt eksempel på sådan lovgivning, specielt i EU, er den generelle databeskyttelsesforordning (GDPR). Denne forordning sætter strenge krav til, hvordan personoplysninger skal håndteres, og giver individet betydelige rettigheder med hensyn til deres persondata. Nøgleelementerne i GDPR og andre relevante love er afgørende for at forstå dataindsamlings- og analyseprocesser.

Etiske Overvejelser

Ud over de juridiske krav, er der etiske overvejelser, som er essentielle i arbejdet med data. Disse inkluderer spørgsmål omkring privatlivets fred, samtykke, gennemsigtighed og bias. Etisk datahåndtering handler ikke kun om at overholde loven, men også om at respektere de mennesker, som dataene repræsenterer. Principperne for etisk datahåndtering bør guide beslutninger i alle faser af dataarbejde, fra indsamling til analyse og formidling.

Balancen mellem Innovation og Beskyttelse

Det er vigtigt at overveje, hvordan man opnår en balance mellem behovet for datadrevet innovation og nødvendigheden af at beskytte individets rettigheder og privatliv. Denne balance er afgørende for at fremme et sundt digitalt økosystem, hvor data kan anvendes til at skabe værdi, samtidig med at borgerens rettigheder respekteres.

Et konkret eksempel på denne balance er EU's AI-forordning (AI Act), der stiller krav om gennemsigtighed og risikovurdering ved automatiserede beslutninger i finanssektoren, f.eks. kreditscoring. Bias i AI-modeller er i forlængelse heraf blevet et centralt etisk og juridisk tema, der viderefører GDPR's principper om retfærdig og gennemsigtig databehandling.

Hvad er personoplysninger?

En personoplysning er enhver form for information, der kan henføres til en bestemt person, også selv om personen kun kan identificeres, hvis oplysningen kombineres med andre oplysninger.

Personoplysninger kan for eksempel være personnumre, registreringsnumre, et billede, et fingeraftryk, en stemme, lægejournaler eller biologisk materiale, når det i praksis er muligt at identificere en person ud fra oplysningerne eller i kombination med andre. Man siger, at oplysningen er "personhenførbar".

3 typer personoplysninger:

• Personoplysninger (ikke-følsomme oplysninger)
• Særlige kategorier af personoplysninger (følsomme oplysninger)
• Oplysninger om straffedomme og lovovertrædelser eller tilknyttede sikkerhedsforanstaltninger

Opdelingen findes, fordi der gælder forskellige betingelser og procedurer for behandling af personoplysninger afhængig af oplysningernes følsomhed.

Personoplysninger (ikke-følsomme personoplysninger)

Personoplysninger omfatter alle oplysninger, der ikke er klassificeret som særlige kategorier af oplysninger (følsomme personoplysninger). Det kan for eksempel være identifikationsoplysninger som navn, adresse, alder og uddannelse. Det gælder også økonomiske forhold som skat og gæld. Personoplysninger indebærer også væsentlige sociale problemer, andre rent private forhold, sygedage eller tjenstlige forhold. Oplysninger i form af billede, familieforhold, bolig, bil, eksamen, ansøgning, CV, ansættelsesdato og -stilling, arbejdsområde og arbejdstelefon – er også personoplysninger.

Særlige kategorier af personoplysninger (følsomme personoplysninger)

Følsomme personoplysninger er udtrykkelig afgrænset i databeskyttelsesforordningen, og adgangen til at behandle sådanne oplysninger er snævrere end ved almindelige personoplysninger.

• Race og etnisk oprindelse
• Politisk overbevisning
• Religiøs eller filosofisk overbevisning
• Fagforeningsmæssige tilhørsforhold
• Genetiske data
• Biometriske data med henblik på entydig identifikation
• Helbredsoplysninger
• Seksuelle forhold eller seksuel orientering

Oplysninger om strafbare forhold

Oplysninger om strafbare forhold anses efter databeskyttelsesforordningen for personoplysninger og er særskilt reguleret i databeskyttelsesloven.

Fortrolige oplysninger

Fortrolige oplysninger er en særlig kategori af oplysninger, der ikke nævnes udtrykkeligt i databeskyttelsesreglerne, men hvor særlige beskyttelsesbehov kan have betydning ved anvendelsen af databeskyttelsesreglerne. Fortrolige oplysninger vil endvidere ofte være underlagt særregulering i anden lovgivning. Personnummer (CPR-nummer) er en fortrolig oplysning, der er særskilt reguleret i databeskyttelsesloven.

Pseudonymisering og anonymisering af personoplysninger

Selv om oplysninger som et navn eller en adresse er erstattet af en kode, som for eksempel AB123, er det stadig en personoplysning, hvis koden kan føres tilbage til den oprindelige personoplysning. Dette kaldes ofte pseudonymiserede oplysninger, og sådanne oplysninger er fortsat omfattet af databeskyttelsesreglerne.

Begrebet pseudonymisering er i databeskyttelsesforordningen defineret som behandling af personoplysninger på en sådan måde, at personoplysningerne ikke længere kan henføres til en bestemt registreret uden brug af supplerende oplysninger, forudsat at sådanne supplerende oplysninger opbevares separat og er underlagt tekniske og organisatoriske foranstaltninger for at sikre, at personoplysningerne ikke henføres til en identificeret eller identificerbar fysisk person.

Fra Registerlovene til GDPR

Siden 1970'erne har Danmark været aktiv i at udvikle og implementere regler for at beskytte personoplysninger. Denne indsats afspejler en voksende bevidsthed om vigtigheden af privatlivets fred og sikkerheden af personlige data. Med tiden har disse regler udviklet sig for at imødekomme de skiftende teknologier og den øgede digitalisering, hvilket har haft stor betydning for både borgere og organisationer.

1979 - 2000: Registerlovene

• Adgangen til at registrere og videregive personoplysninger blev fastlagt i lov om offentlige myndigheders registre og lov om private registre i 1979.
• Disse regler blev skabt på baggrund af den stigende brug af elektronisk databehandling og computere i Danmark.
• Formålet var at beskytte borgernes personlige frihed og fred mod misbrug af personoplysninger.
• Reglerne var blandt de første af sin slags på verdensplan og sigtede mod at beskytte den enkelte borgers retsbeskyttelse og integritet.

2000 - 2018: Persondataloven

• EF-Kommissionen (nu EU-Kommissionen) fremsatte i 1990 et lovforslag til et EU-direktiv om beskyttelse af personoplysninger og fri udveksling af oplysninger i EU.
• Formålet var at ensrette beskyttelsen af EU-borgeres rettigheder ved behandling af personoplysninger og sikre fri udveksling af oplysninger mellem EU-landene.
• EU-direktivet blev vedtaget den 24. oktober 1995 og implementeret i Danmark som Persondataloven den 1. juli 2000.

2018 - nu: GDPR

• Den teknologiske udvikling og den voksende omfang af indsamling og deling af personoplysninger førte til nye udfordringer for databeskyttelsen.
• EU’s medlemslande krævede en stærkere og mere sammenhængende databeskyttelseslovgivning, understøttet af effektiv håndhævelse.
• GDPR (General Data Protection Regulation), også kendt som Databeskyttelsesforordningen, trådte i kraft den 25. maj 2018 og erstattede Persondataloven fra 2000.
• GDPR gælder for behandling af personoplysninger foretaget af private virksomheder, offentlige myndigheder og foreninger inden for EU.
• GDPR sikrer EU-borgere en række grundlæggende rettigheder i forhold til beskyttelse af personoplysninger.

Dataansvarlig og databehandler

Dataansvarlig

Dataansvarlig: Denne rolle indebærer ansvar for at bestemme formålene med og midlerne til behandlingen af personoplysninger. En dataansvarlig skal sikre, at alle databehandlingsaktiviteter overholder de gældende love. Dette omfatter ansvar for at beskytte individets rettigheder, sikre lovlig og transparent behandling af data, og implementere passende sikkerhedsforanstaltninger.

Databehandler

Databehandler: En databehandler handler på vegne af den dataansvarlige og har til opgave at behandle personoplysninger i overensstemmelse med den dataansvarliges instrukser. Selvom databehandleren ikke har beslutningsmagt over formålene med og midlerne til databehandlingen, har de et betydeligt ansvar for at sikre sikkerheden og integriteten af de data, de behandler.

Vigtigheden af Rolleforståelse

Forståelsen af disse roller er afgørende, da den påvirker, hvordan databeskyttelsesprincipperne implementeres og overholdes i praksis. Fejl i at identificere og handle i overensstemmelse med ens rolle kan føre til alvorlige overtrædelser af databeskyttelseslovgivningen, hvilket kan resultere i betydelige bøder og skade på organisationens omdømme.

Tabel 31.1: Forskellen på dataansvarlig og databehandler under databeskyttelseslovgivningen — definition samt ansvar og krav til hver rolle.
Kilde: Egen tilvirkning.

Større sager omkring databehandling

Cambridge Analytica Sagen: Et Studie i Databeskyttelse

Cambridge Analytica-sagen, som kom frem i 2018, er et markant eksempel på overtrædelse af databeskyttelsesprincipper og har haft vidtrækkende konsekvenser for forståelsen af privatliv og dataetik. Sagen centrerer sig omkring det britiske dataanalysefirma Cambridge Analytica, som indsamlede personlige oplysninger fra millioner af Facebook-brugere uden deres samtykke.

Firmaet udnyttede en Facebook-app, der var designet til at indsamle data under dække af en personlighedstest. Mens brugerne, der interagerede med appen, gav tilladelse til at indsamle deres data, indsamlede appen også data fra brugernes venner på Facebook uden deres viden eller samtykke. Disse data omfattede personlige oplysninger som identitet, vennelister og 'likes', hvilket skabte en omfattende database.

Cambridge Analytica brugte disse informationer til at udvikle avancerede psykografiske profiler, som angiveligt blev anvendt til at målrette politisk reklame og påvirke vælgeradfærd, især i forbindelse med det amerikanske præsidentvalg i 2016 og Brexit-afstemningen. Denne praksis kastede lys over potentialet for misbrug af personlige data i politiske kampagner og rejste alvorlige spørgsmål om databeskyttelse, samtykke og privatlivets fred.

Reaktionen på afsløringen af Cambridge Analytica-sagen var omfattende. Facebook blev kritiseret for sin rolle i at tillade sådan en massiv dataindsamling og for ikke at beskytte brugernes data. Sagen førte til øget offentlig opmærksomhed omkring databeskyttelse og privatliv, hvilket resulterede i krav om strengere databeskyttelseslove og større gennemsigtighed fra tech-giganter. Det førte også til en bøde på 5 milliarder dollars fra den amerikanske Federal Trade Commission til Facebook, den største bøde nogensinde givet for en overtrædelse af forbrugerbeskyttelse.

Cambridge Analytica-sagen er et kritisk studie i vigtigheden af databeskyttelse og de etiske overvejelser, der følger med indsamling og brug af personlige data. Den understreger behovet for strenge databeskyttelsesforanstaltninger, gennemsigtighed i dataindsamling og -brug, samt vigtigheden af individets samtykke.

Tabel 31.2: Eksempler på store databrud og GDPR/databeskyttelsessager 2010–2020 med land, årstal, beskrivelse og idømt bøde eller forlig.
Kilde: Egen sammenstilling baseret på offentligt kendte sager (bl.a. CNIL, ICO og amerikanske myndigheders afgørelser).

Disse eksempler viser en bred vifte af overtrædelser, fra uautoriseret indsamling af data til skjulte dataforbrydelser, og de betydelige bøder og straffe, der kan følge. De understreger vigtigheden af at overholde lovgivningen om databeskyttelse og etiske standarder i håndteringen af personlige data.

Podcasts om GDPR