Professor: Frygten for at handle i strid med GDPR bremser anvendelse af ny teknologi

Datatilsynet er en vigtig autoritet på databeskyttelsesområdet, og dets afgørelser og udtalelser studeres derfor ofte nøje og giver i mange tilfælde anledning til skærpet forsigtighed i forhold til brug af teknologi, der involverer persondata.  

Derfor er det særlig vigtigt at Datatilsynet begrunder sine afgørelser og udtalelser grundigt og vejleder om, hvordan man kan overholde GDPR. Hvis ikke dette sker, er der en risiko for, at Datatilsynet utilsigtet kommer til at stille sig hindrende i vejen for brug af ny teknologi på områder, hvor det ellers kunne være samfundsmæssigt tjenligt.  

Hvis myndigheder og virksomheder oplever usikkerhed om, hvor grænserne går, vil de typisk af frygt for at få kritik af Datatilsynet være mere tilbageholdne, end de strengt taget behøver at være. Nogle eksempler kan illustrere dette. 

GDPR kan spænde ben for brugen af ny teknologi 

I en sag fra marts måned traf Datatilsynet afgørelse om brug af et system til ansigtsgenkendelse. Systemet var påtænkt opsat ved et fitnesscenter i Hillerød til brug for adgangskontrol på følgende måde: Brugere kan vælge at uploade en ansigtsscanning til centerets computer, hvorefter ansigtsscanneren ved indgangen vil genkende brugeren, som herefter får adgang. Brugerne giver herigennem tilladelse til ansigtsscanningen. Dette er uproblematisk.  

Datatilsynet peger nu imidlertid på, at brugere, der ikke har givet samtykke, eller personer, der i øvrigt kommer ind i det område foran centeret, hvor scanneren er aktiv, får scannet deres ansigt uden samtykke. 

Datatilsynet træffer herefter afgørelse om at tildele centeret en advarsel om, ”… at det sandsynligvis vil være i strid med databeskyttelsesforordningen” at anvende systemet på denne måde, fordi ”… der herved vil ske behandling af biometriske data med det formål entydigt at identificere en fysisk person, som ikke har ønsket at samtykke til behandlingen, hvilket er forbudt …” 

Spørgsmålet er imidlertid, om ikke Datatilsynet her udstrækker fortolkningen af GDPR meget vidt. Det planlagte system var påtænkt opsat således, at scanning af personer, der ikke var registreret i systemet – og altså ikke havde givet samtykke – ikke kunne genkendes.  

Disse Scanninger blev derfor slettet omgående. Systemet kunne dermed kun identificere personer, der havde givet samtykke. Dermed er det tvivlsomt, om scanningen overhovedet er en biometrisk personoplysning.  

I artikel 4 er en sådan oplysning defineret som personoplysninger, der ”… muliggør eller bekræfter en entydig identifikation…”. I en såkaldt præambelbetragtning til forordningen – præambel 26 – står der, at det afgørende for, om en fysisk person er identificerbar, er, om det med rimelighed kan antages, at nogen vil kunne identificere personen.  

Hvis en ansigtsscanning slettes omgående, efter at den er foretaget, hvor sandsynligt er det så, at den scannede person vil kunne identificeres entydigt? Datatilsynet tager i sin afgørelse det nødvendige forbehold ”sandsynligvis” men giver ikke yderligere vejledning.  

Virkningen er, at mange, som følge af datatilsynets udtalelse, vil trække sig helt fra brugen af denne teknologi, og dermed kommer forordningen til at få langt vidererækkende konsekvenser end tiltænkt. 

Et eksempel fra it-system på jobcenter

Et andet eksempel vedrører it-systemet Asta, som blev brugt på et jobcenter til at vurdere, hvor hurtigt en ledig person vil kunne få et nyt job. De ledige, der blev vurderet af it-systemet, havde givet samtykke til dette.  

Datatilsynet bør være mere opmærksomme på den betydelige virkningskraft, deres udtalelser og afgørelser formentlig utilsigtet har.

Henrik Palmer Olsen
Professor, Københavns Universitet

Datatilsynet var blevet bedt om at se nærmere på systemet og kom derfor med en udtalelse om systemets forenelighed med GDPR. 

For det første udtalte tilsynet, at samtykke i almindelighed ikke kan danne grundlag for lovlig databehandling i det offentlige. Tilsynet begrunder dette med, at ”den offentlige myndighed har kontrol over den registreredes forsørgelsesgrundlag”, og i en sådan situation ”vil et samtykke efter Datatilsynets opfattelse sjældent kunne anses for frivilligt og dermed udgøre et gyldigt behandlingsgrundlag”.  

Efter tilsynets mening vil ledige ”kunne føle sig presset til at samtykke til behandlingen, for eksempel for at undgå at fremstå besværlig eller lignende”.  

Det er rimeligt nok at lægge til grund, at borgere kan føle sig presset af en offentlig myndighed til at give et samtykke. Et samtykke under pres er ikke frivilligt. Men meget afhænger også af, hvordan samtykket er indhentet.  

I den konkrete situation er spørgsmålet, hvordan jobcentrets sagsbehandlere bedst muligt kan prioritere de ressourcer, der er til rådighed i jobcentret med henblik på at hjælpe ledige i job, herunder hvordan man bedst muligt tilrettelægger et godt forløb for de enkelte ledige.  

Ville det i en sådan situation skabe et urimeligt pres på borgeren, hvis man eksempelvis bad borgeren tage stilling til, hvordan han/hun ønsker sin sag behandlet? 

Datatilsynet bør give plads til konkrete vurderinger

I præambel 43 står der, at der skal tages hensyn til, om ”… der er en klar skævhed mellem den registrerede og den dataansvarlige, navnlig hvis den dataansvarlige er en offentlig myndighed, og det derfor er usandsynligt, at samtykket er givet frivilligt under hensyntagen til alle de omstændigheder, der kendetegner den specifikke situation.”  

Men hermed lægges der jo netop op til en konkret vurdering og ikke et almindeligt forbud.