De fleste av oss lever store deler av livet på nettet uten å tenke særlig over hva som faktisk skjer i bakgrunnen. Vi klikker «godta», oppretter kontoer, kobler sammen tjenester og installerer apper fordi ting skal fungere raskt og enkelt. Samtidig registreres aktivitet, metadata analyseres, brukere kategoriseres, og systemer vurderer adferd og mønstre automatisk.
Hva selskaper faktisk kan lagre om deg
Mange forbinder GDPR med irriterende cookie-bannere og samtykkebokser man klikker bort så fort som mulig. Men GDPR handler egentlig om noe langt større enn cookies. Det handler om retten til innsyn. Det interessante er ikke at dette skjer, men hvor sjelden vi stopper opp og spør hvilke data som samles inn underveis.
Du har rett til å spørre selskaper om hvilke data de har om deg, hvordan dataene brukes, hvor lenge de lagres, hvem de deles med, og om automatiserte systemer brukes til å analysere eller vurdere deg.
Det gjelder ikke bare Facebook, Google eller store teknologiselskaper. Det kan også gjelde små tjenester og systemer vi knapt tenker over i hverdagen, som analyseverktøy, apper, nettbutikker, datingsider, strømmetjenester, AI-tjenester og ulike typer integrasjoner og plugins.
Mange blir overrasket når de oppdager hvor omfattende dagens datainnsamling er. For selv tjenester som virker enkle på overflaten kan behandle store mengder informasjon i bakgrunnen.
GDPR innsyn: Dette kan du faktisk spørre om
De fleste tenker kanskje at en GDPR-forespørsel bare handler om å spørre: «Hvilke personopplysninger har dere om meg?» Men retten til innsyn kan i mange tilfeller omfatte langt mer enn det.
Du kan blant annet spørre om metadata, logger, IP-adresser, enhetsinformasjon, profileringssystemer, automatiserte vurderinger, interne klassifiseringer, analysemodeller, lagringstid og tredjepartsdeling. I enkelte tilfeller kan du også spørre om hvordan data brukes til å vurdere deg som bruker eller kunde, samt om internasjonal dataoverføring og eventuelle automatiserte avgjørelser.
Det betyr ikke nødvendigvis at du får tilgang til absolutt alt. Enkelte opplysninger kan være unntatt av hensyn til sikkerhet, andre personer eller interne arbeidsprosesser. Likevel er retten til innsyn langt bredere enn mange er klar over.
Det handler ikke lenger bare om navn, telefonnummer og e-postadresse. Det handler også om hvordan digitale systemer tolker, vurderer og kategoriserer mennesker i bakgrunnen.
Hvordan gratis tjenester samler inn data
Det ironiske er at mange av tjenestene vi tenker minst over ofte er de som samler mest bakgrunnsdata. Gratis apper. Gratis analyseverktøy. Gratis AI-tjenester. Gratis nyhetsbrevsystemer. Gratis plugins.
Det betyr ikke nødvendigvis at noe ulovlig skjer. Samtidig betyr det heller ikke at databehandlingen er liten eller ubetydelig.
For svært mange digitale tjenester er data selve drivstoffet som får systemene til å fungere. Jo mer man begynner å undersøke dette, desto tydeligere blir det også hvor komplekst dagens digitale økosystem er.
Data kan analyseres, videresendes, kobles sammen, brukes til modelltrening og inngå i automatiserte vurderinger uten at brukeren nødvendigvis tenker over det.
Hvordan digitale tjenester samler inn data
Det er lett å tenke på datainnsamling som noe som først og fremst skjer hos sosiale medier og teknologigiganter. Men i praksis gjelder dette store deler av samfunnet rundt oss.
I Norge lagres enorme mengder informasjon gjennom banker, helsevesenet, NAV, Skatteetaten, forsikringsselskaper, utdanningssystemer, arbeidsgivere og ulike digitale selvbetjeningsløsninger. Mye av dette er både nødvendig og fornuftig. Det ville vært umulig å drive et moderne samfunn uten digitale systemer og databehandling. Samtidig betyr det også at stadig flere vurderinger, prosesser og beslutninger etterlater digitale spor.
Det mest overraskende er kanskje ikke hvor mye data som finnes, men hvor sjelden vi ber om innsyn. De fleste av oss går gjennom store deler av livet uten noen gang å be om innsyn i hva som er registrert om oss, og enda sjeldnere be om at opplysninger slettes når de ikke lenger er nødvendige.
Hvordan sende en GDPR-forespørsel
Hvis du er nysgjerrig på hva et selskap vet om deg, kan du sende en GDPR-forespørsel og be om innsyn i dataene som behandles. Mange starter med å spørre hvilke opplysninger som er lagret, hvordan de brukes, hvem de deles med og om automatiserte vurderinger benyttes.
Mange selskaper har egne skjemaer eller e-postadresser for slike forespørsler, og GDPR gir deg rett til å få svar innen bestemte tidsfrister. Her er et enkelt eksempel på en melding du kan sende:
Hei,
Jeg ønsker innsyn i hvilke personopplysninger dere har lagret om meg i henhold til GDPR artikkel 15.
Jeg ønsker blant annet informasjon om:
- hvilke personopplysninger som er registrert
- hva opplysningene brukes til
- hvor lenge dataene lagres
- hvem dataene deles med
- om automatiserte vurderinger eller profilering brukes
- og hvilke tredjeparter som eventuelt behandler data på deres vegne
Jeg ønsker også en kopi av personopplysningene som er knyttet til meg i et vanlig elektronisk format.
Vennligst bekreft mottak av forespørselen og informer om videre prosess.
Med vennlig hilsen
[Navn]
Hvordan algoritmer vurderer deg digitalt
Vi lever i en tid hvor stadig flere avgjørelser påvirkes av algoritmer, analysemodeller, automatiserte vurderinger og datadrevne systemer. Likevel er det overraskende få som noen gang ber om innsyn i hvordan dette fungerer i praksis.
GDPR handler derfor ikke bare om personvern eller retten til innsyn. Det handler også om transparens, maktbalanse og muligheten til å korrigere, begrense eller slette informasjon som brukes til å vurdere oss digitalt.
Kanskje burde vi derfor spørre oftere:
- Hva vet dere egentlig om meg?
- Hvor kommer informasjonen fra?
- Hvordan brukes den?
- Hvem deles den med?
- Og hvorfor lagres den fortsatt?
