Konsulent: EU's datareform udfordrer Danmark

Birgitte Kofod Olsen
Partner i konsulenthuset Carve Consulting

Den nye forordning udtrykker en grundlæggende anderledes opfattelse af råderetten til persondata end den, vi er vant til i velfærdsstaten.

Birgitte Kofod Olsen
Partner i konsulenthuset Carve Consulting

Borgerne har ret til selv at bestemme over deres egne data på samme måde, som de har ret til at bestemme over deres krop og ejendele.

Det dækker retten til privatliv, og den bliver cementeret i den planlagte reform af persondatabeskyttelsen, som EU-institutionerne arbejder på højtryk for at få på plads i dette efterår. Samtidig tager reformen også hensyn til, at data er et nyt "råstof", som kan udnyttes bedre.

Med Rådets ambitiøse udkast til en persondataforordning, der kan afløse persondatadirektivet fra 1995, får vi ikke bare ensartet databeskyttelse i alle medlemsstaterne, men også et nødvendigt skub fremad til EU-charterets grundrettigheder om privatlivsbeskyttelse og persondatabeskyttelse.

Udfordrer Danmark 
Et skub, der er helt nødvendigt i en digitaliseret tidsalder, hvor data spiller en stadig større rolle for både væksten og en mere effektiv offentlig sektor. Men forordningen indeholder utvivlsomt nogle store udfordringer for især den offentlige sektor i Danmark og i særdeleshed i forbindelse med realiseringen af den nye fællesoffentlige digitaliseringsstrategi.

Den første udfordring knytter sig til de rettigheder, forordningen udstyrer borgerne med. Den enkelte persons rettigheder omfatter blandt andet retten til at få slettet sine unøjagtige data og retten til at blive glemt. Begge rettigheder kan være vanskelige at realisere i et system, hvor offentlige myndigheder i vid udstrækning råder over personers data.

En anden udfordring følger med forordningens krav om minimering af datamængden og brug af pseudonymisering igennem privacy by design, det vil sige indlejring af privatlivsbeskyttelse i it-design og arkitektur helt fra begyndelsen. Kravet om privacy by default vender også op og ned på den nuværende logik og ønske om tracking by default, idet det kræver standardiserede løsninger, der alene indsamler den datamængde, der er nødvendig, og kun behandler og opbevarer persondata i et omfang, der ikke er unødigt stort.

Anderledes opfattelse af råderet 
Derudover udgør kravet om at udføre privacy impact assessments, altså konsekvens- og risikoanalyser af databehandlingen for den enkelte borgers privatlivsbeskyttelse, en udfordring i forhold til at etablere nye processer og procedurer for såvel databehandling som for datasikkerhed og beredskab.

Persondatabehandling har hele tiden været betinget af et samtykke fra borgeren, et krav, der kun kan tilsidesættes, hvis der er andre hensyn, der vejer tungere end hensynet til den enkelte borger. Der er ikke tale om en absolut rettighed, men om en relativ, der sikrer, at samfundsmæssige hensyn kan opfyldes, når det er nødvendigt, og der kan påvises en legitim interesse. Alligevel udtrykker den nye forordning altså en grundlæggende anderledes opfattelse af råderetten til persondata end den, vi er vant til i velfærdsstaten.

Nye veje til bedre dataudnyttelse
Forordningen viser dog også nye veje i forhold til at udnytte data bedre. Anvendelse af data til et nyt og andet formål end det oprindelige bliver i stigende grad efterspurgt.

Og med de forbedrede muligheder for at sammenstille data og analysere såkaldt big data vil vi se en stigende efterspørgsel på viden om borgernes adfærd og vaner, fordi de ikke kun vil kunne bidrage til vækst i private virksomheder, men også til løsning af samfundsmæssige opgaver, for eksempel sundhedsfremmende tiltag eller kontrol med, at tildeling og udbetaling af ydelser kun sker til de borgere, der er berettiget til det.

Det kan gøres ved at trække data fra flere forskellige kilder og sammenstille dem på nye måder. Med forordningen anerkendes behovet for en sådan formålsforskydning, og udkastet indeholder derfor kriterier for vurdering af kompatibiliteten mellem det oprindelige og nye formål. En styrkelse af borgernes rettigheder er her, at der skal indhentes samtykke, hvis kompatilitetskravene ikke er opfyldt.

Samlet set åbner forordningen og dens forankring i charteret grundrettigheder således for et syn på persondata, der er ganske nyt i en dansk sammenhæng. Der er derfor grund til allerede nu at indarbejde og integrere hensyn til privacy i den kommende fællesoffentlige digitalisering.