IT-Politisk Forening: Kommunerne bruger pression for at smyge sig udenom reglerne for persondata

Hvis kommunerne vil have mulighed for at videregive borgernes personoplysninger til private virksomheder, bliver konsekvenserne for borgernes grundlæggende rettigheder endnu mere uoverskuelige, end de allerede er, skriver Jesper Lund.

Om nogle år er det måske folkeskoleelevers indholdsdata, som bliver solgt som AI-træningsdata til techgiganter, hvis KL får opfyldt sine ønsker, skriver Jesper Lund. Foto: Jeff Chiu/AP/Ritzau Scanpix

Jesper Lund

Formand, IT-Politisk Forening

Dette indlæg er alene udtryk for skribentens egen holdning. Alle indlæg hos Altinget skal overholde de presseetiske regler.

Datatilsynet kom 30. januar 2024 med et påbud til 53 kommuner om, at kommunerne ikke må videregive personoplysninger til Google i forbindelse med brugen af Chromebooks og Google Workspace for Education i folkeskolen.

Afgørelsen havde været længe undervejs, men den bør ikke overraske de GDPR-ansvarlige i landets kommuner eller hos Kommunernes Landsforening.

Offentlige myndigheder kan ligesom alle andre dataansvarlige frit vælge databehandlere, men en databehandler må ikke behandle personoplysninger til egne formål.

Det er ganske enkelt ikke en offentlig opgave at styrke techgiganternes uhæmmede indsamling af personoplysninger
Jesper Lund
Formand, IT-Politisk Forening

Ifølge Datatilsynets afgørelse er konceptet for Google Workspace imidlertid, at Google behandler personoplysninger til egne formål, bl.a. videreudvikling af cloud-tjenesterne.”.

Kommerciel udnyttelse af personoplysninger er reelt en del af betalingen for brugen af tjenesten, ligesom det kendes fra mange af internettets ”gratis” tjenester.

Sort skærm hvis datadelingen ikke kan fortsætte?

På trods af den forventelige afgørelse fra Datatilsynet, har reaktionen fra KL været et ønske om, at Folketinget lovliggør videregivelsen af personoplysninger til Google.

I modsat fald ”står tusindvis af skoleelever med sort skærm efter sommerferien” ifølge KL. Med denne påstand ignorerer KL fuldstændigt, at der findes lovlige alternativer til Google Workspace, hvor tjenesteudbyderen alene agerer som databehandler for folkeskolen.

Reaktionen fra KL med det slet skjulte pression (”sort skærm”) skal formentlig ses som en logisk fortsættelse af KL’s mangeårige lobbyisme mod GDPR.

Hvis offentlige myndigheder har udliciteret opgaver til private IT-platforme, for eksempel Google Workspace eller Microsoft 365, skal de private virksomheder så have mulighed for at bruge borgernes personoplysninger til deres egne kommercielle formål?

KL beder reelt om et lovgrundlag for denne videregivelse, som i dag ikke er tilladt, jævnfør Datatilsynets afgørelse i Chromebook-sagen.

Regeringen og Folketinget bør afvise KL’s ønsker

Det er tvivlsomt, om Folketinget overhovedet har mulighed for at vedtage et lovgrundlag for denne type videregivelse inden for rammerne af GDPR (artikel 6, stk. 2).

National lovgivning kan kun regulere behandling af personoplysninger, som er nødvendig af hensyn til udførelse af en opgave i samfundets interesse eller offentlig myndighedsudøvelse.

Læs også

Dataetisk Råd: Digitale dørmænd øger muligheden for, at staten og private aktører overvåger borgerne

Debat

Det er svært at se, at videregivelse af personoplysninger til techgiganters kommercielle formål opfylder dette basale krav.

Men denne større juridiske diskussion om det nationale råderum i forhold til GDPR bør være irrelevant her.

Regeringen og Folketinget bør sige klart nej til KL’s ønsker om at kunne bruge borgernes personoplysninger som betalingsmiddel til techgiganter.

Det er ganske enkelt ikke en offentlig opgave at styrke techgiganternes uhæmmede indsamling af personoplysninger.

Datatilsynets afgørelse i Chromebook-sagen er en passende lejlighed til at trække en streg i sandet
Jesper Lund
Formand, IT-Politisk Forening

Den danske supplerende lovgivning til GDPR giver i forvejen offentlige myndigheder meget vide rammer for at indhente personoplysninger om borgerne og videregive dem til andre offentlige myndigheder.

Mange af de rettigheder, som GDPR giver den enkelte borger, er blevet begrænset for at personoplysninger kan flyde (mere) frit i den offentlige sektor.

På en række områder er GDPR’s generelt velovervejede balance mellem individets rettigheder og almenvellets interesser ændret til ensidig fordel for statsmagtens interesser.

Hvis KL oven i dette vil have mulighed for at videregive borgernes personoplysninger til private virksomheder i forbindelse med den offentlige sektors brug af private IT-platforme eller offentlig-private partnerskaber (OPP), bliver konsekvenserne for borgernes grundlæggende rettigheder endnu mere uoverskuelige end de allerede er.

AI-modeller skaber nye risici for misbrug af personoplysninger

I Chromebook-sagen er stridspunktet videregivelse af brugernes adfærdsdata til leverandørens generelle videreudvikling af sine IT-platforme.

Deltag i temadebat

Altingets temadebatter sætter spot på et aktuelt, politisk nicheemne.

Alle indlæg er udelukkende udtryk for skribenternes egen holdning.

Hvis du vil deltage i debatten, er du velkommen til at kontakte debatredaktør Henrik Rasch på [email protected] eller på mobil 6155 7484.

Andre debatindlæg kan sendes til [email protected].

Det er imidlertid naivt at tro, at techgiganternes dataønsker stopper ved pseudonymiserede adfærdsdata på det udbudte platform.

Udviklingen inden for kunstig intelligens (AI) styres i høj grad af techgiganter, som har opbygget stor computerkraft i deres datacentre og har adgang til enorme mængder træningsdata via deres IT-platforme.

Det sociale medie Reddit har netop indgået en aftale om at sælge brugernes indholdsdata til Google’s AI-modeller.

Om nogle år er det måske folkeskoleelevers indholdsdata, som bliver solgt som AI-træningsdata til techgiganter, hvis KL får opfyldt sine ønsker om at kunne videregive borgernes personoplysninger til private virksomheders udvikling af deres IT-platforme.

Datatilsynets afgørelse i Chromebook-sagen er en passende lejlighed til at trække en streg i sandet og respektere den ret til databeskyttelse, som EU har givet alle borgere, også i Danmark.

Læs også