Overordnet set er folk skide bekymrede for deres privatliv

Jeg bliver sporet af mindst 19 trackers, i det øjeblik jeg besøger politiken.dk tirsdag den 10. maj. De fleste af dem befinder sig i kategorien ”Reklamer”. Det viser browser-tilføjelsen Ghostery, der registrerer et lille udsnit af de virksomheder, der følger vores færden på nettet.

I browserfanen ved siden af har jeg min arbejdsmail åben, og her læser Googles systemer mine e-mails med det erklærede formål at give mig ”skræddersyede annoncer”, som it-giganten skriver det i sin privatlivspolitik.

Dataindsamlingen på nettet eksploderer — med det formål at give forbrugerne bedre og mere målrettede annoncer. Og selv for en teknologi-journalist som mig er det yderst vanskeligt at gennemskue, hvad der helt præcist foregår. Så hvornår springer privatlivsbomben? Hvornår får forbrugerne nok af al den overvågning?

– Bomben er allerede sprunget, siger Pernille Tranberg.

Hun driver virksomheden Digital Identitet, der rådgiver virksomheder om data-etik, og er medstifter af tænketanken DataEthics.eu. Og så har hun ny bog på vej til virksomhederne med titlen ”Data-etik — den nye konkurrencefordel.”

Forbrugerne tager afstand fra overvågningen
Pernille Tranberg har dannet sig et overblik over de væsentligste undersøgelser af forbrugernes holdninger til den eskalerende dataindsamling og opsummerer:

– Undersøgelserne viser, at der er tale om et lavt vidensniveau og en lav forståelse for, hvad der sker. Men overordnet set er folk skide bekymrede for deres privatliv.

Som konsulent for Erhvervsstyrelsen i 2015 var Pernille Tranberg selv med til at designe en undersøgelse blandt danske internetbrugere.

Undersøgelsen spurgte ind til forbrugernes holdninger til personalisering: Det vil sige annoncer, der er skræddersyet til den enkelte person på baggrund af data om vedkomnes adfærd. Svarene er relevante, fordi personaliserings-tendensen tager voldsom fart lige nu. Som Per Østergaard Jacobsen, der er ekspert i digital markedsføring og ekstern lektor ved Copenhagen Business School, siger:

– I takt med at vi bliver mere og mere reklameresistente, skal virksomhederne blive stadig mere relevante og målrettede i deres budskaber.

Ikke desto mindre syntes kun 24 procent af de adspurgte i Erhvervsstyrelsens undersøgelse, at det er et godt formål at bruge cookies til at ”at give dig personaliserede tilbud fra den pågældende side, du besøger.” Og kun 10 procent syntes, det er et godt formål at bruge cookies til ”at give dig personaliserede tilbud fra alle mulige andre websites, du besøger”.

Og Pernille Tranberg forklarer:

– Brugen af ad og cookie blockers stiger rigtig meget. I England og USA er det op mod 30 procent, der bruger ad blockers, og det er stigende. Og når jeg holder foredrag og fortæller folk om ad og cookie blockers, så skal de alle have det bagefter. Det viser, at folk ikke bare er bekymrede; de er også begyndt at handle.

– Og undersøgelser viser, at halvdelen af dem, der bruger ad blockers, gør det udelukkende for privatlivets skyld, mens alle, der bruger rene cookie blockers — som ”Disconnect.me” — gør det udelukkende af privacy-årsager.

Problematiske tredjeparts-trackers
Pernille Tranberg retter også opmærksomheden mod en større EU-undersøgelse gennemført blandt omkring 28.000 europæere sidste år. Der var tale om en såkaldt Eurobarometerundersøgelse, som spurgte ind til forbrugernes holdninger til dataindsamling. 52 procent af deltagerne erklærede sig ”totalt uenige” i følgende udsagn: ”Du har ikke noget imod at videregive personlige informationer til gengæld for gratis online-services.”

Andre undersøgelser viser en tilsvarende forvirring og bekymring.

For eksempel viser it-virksomheden Symantecs ”State of Privacy Report 2015”, at kun otte procent af danskerne er tilfredse med, at virksomheder deler data om dem med tredjepartsvirksomheder.

Lægger man det hele sammen, tegner der sig et billede af en markant skepsis.

– I USA og England har medierne dækket det her intenst i mange flere år. Der har ikke været den samme interesse i Danmark, men medierne er generelt blevet meget mere opmærksomme på det. Og vi kommer til at se nogle virksomheder blive udstillet, fordi de ikke kan finde ud af at passe på sine kundedata. Vi kommer til at se flere lig på bordet, siger Pernille Tranberg.

– Det at passe på sine kunders data og ikke overtræde deres creepiness-grænse bliver alfa og omega for mange virksomheder, der arbejder med persondata, siger hun.

Data er personhenførbare i det øjeblik, de kan bruges til at identificere en person. Og i august sidste år fortalte en række eksperter i it-magasinet Prosabladet, at dansk erhvervsliv generelt har et yderst lemfældigt forhold til personhenførbare data på nettet.

– Der sker utvivlsomt masser af overtrædelser hver dag — ikke nødvendigvis af ond vilje, men lige så meget på grund af ukendskab til reglerne, sagde Søren Sandfeld Jakobsen, juraprofessor ved Aalborg Universitet, eksempelvis.

Det er også velkendt, at Datatilsynet ikke har musklerne til at holde øje med den eksplosivt voksende mængde af data. Men EU’s kommende persondataforordning, som snart bliver implementeret i Danmark, viser, at EU-politikerne har fået nok af de anarkistiske tilstande.

Langt skrappere krav fra EU på vej
Rikke Frank Jørgensen forsker i teknologi og menneskerettigheder ved Dansk Institut for Menneskerettigheder. Hun fortæller, at den nuværende danske persondatalov er baseret på EU’s persondatadirektiv fra 1995 — altså fra en tid, før internettet tog fart.

– Lovgivningen blev lavet i en tid, hvor man tænkte på dataindsamling som noget, der skete i et afgrænset rum — for eksempel hos lægen eller socialforvaltningen. Det var en tid, hvor data blev indsamlet i meget begrænsede situationer. Men i dag er det et fuldstændig andet game, hvor data bliver indsamlet på kryds og tværs af private og offentlige aktører, og hvor ingen har et overblik over, hvad der foregår.

I april vedtog Europa-Parlamentet derfor — efter flere års hårde forhandlinger — en ny persondataforordning, der tager højde for internettets betydning og udbredelse, og som stiller langt skrappere krav til virksomhedernes og offentlige myndigheders håndtering af data. Forordningen træder i kraft i Danmark i maj 2018. Og Rikke Frank Jørgensen opsummerer:

– I overskriftsform vil forordningen betyde: Strammere sanktioner til virksomheder, der ikke lever op til reglerne. De kan få bøder, som udgør op til fire procent af den årlige omsætning. Myndigheder og virksomheder skal udpege en databeskyttelsesrådgiver. Der kommer også et styrket europæisk tilsyn med, at reglerne overholdes.

– Retten til at blive glemt fastslås: Du får ret til at få slettet oplysninger om dig selv, hvis informationerne er unødvendige i forhold til formålet eller er ulovligt behandlet. Der vil komme skærpede krav til, hvor tydeligt og enkelt det skal være for brugeren, hvad de samtykker til. Og der vil komme et krav om ”Privacy by design”: Hvis vi sætter et stort it-projekt i gang i Danmark og ikke tænker privatliv og databeskyttelse ind fra starten, så kan man efterfølgende komme efter os.

– Forordningen fastslår meget tydeligt, hvor vigtig borgernes ret til privatliv er. Man har lavet noget, der siger: privacy, privacy, privacy. Og jeg ser det som et vigtigt skridt i den rigtige retning, selvom mange mener, at det oprindelige forslag blev for udvandet undervejs i forhandlingsprocessen, siger Rikke Frank Jørgensen og understreger:

– De nye regler har fået meget stor opmærksomhed, ikke mindst blandt de amerikanske virksomheder.

Og Pernille Tranberg supplerer:

– Hele signalet, forordningen sender, er supervigtigt. For det er et signal om, at du som bruger har rettigheder omkring dine egne data. Og dét vil gøre, at flere og flere bliver opmærksomme på det her.

Det behøver ikke at være så problematisk
Men samtidig arbejder store dele af erhvervslivet i retning af større dataindsamling og mere personalisering. For eksempel er nye teknologier er i fuld gang med at erstatte cookies: ”Fingerprinting”-teknikker gør, at man med 99 procents sandsynlighed kan genkende en browser uden at installere en cookie på brugerens computer.

Og Apples iBeacon-teknologi, der gør det nemt at lokalisere smartphones indendørs, bliver lige nu testet rundt omkring i landet. Hvis brugerne giver lov, gør teknologien det muligt at registrere deres færden rundt i eksempelvis en lufthavn eller et storcenter. Disse bevægelsesdata kan samkøres med eksempelvis facebookdata eller andre personhenførbare data, og dermed danner de grundlag for markedsføring, der ikke bare er personaliseret, men som også matcher tid og sted.

Pernille Tranberg vurderer også, at vi snart vil se avancerede former for ”prediction”: At reklamenetværkene bliver så intelligente, at de kan forudsige vores behov og handlinger, takket være de mange data.

Pernille Tranberg understreger dog, at registrering af brugernes adfærd slet ikke behøver at være så problematisk, som det ofte er i dag.

– Hvis det bliver transparent for brugerne, og man ikke videresælger data til tredjepart, uden at brugerne siger ja — og forstår, hvad de siger ja til — så er der ikke noget problem. Der, hvor der er et problem, er, når det sker bag brugernes ryg, og når de ikke har kontrol over det, siger hun.

Dataindsamlingen kan altså sagtens udføres etisk forsvarligt, hvis den er fuldstændig transparent og valgfri, og hvis den enkelte kunde ultimativt har kontrollen over sine egne data, mener hun.

Pernille Tranberg giver også en række andre råd til, hvordan man opnår en bedre dataetik som virksomhed. For eksempel er det en rigtig god ide at gå ens tredjeparts-trackers efter i sømmene, mener hun:

– Man skal tænke over: Vil jeg gerne have en masse tredjeparts-trackers liggende på min hjemmeside? For du risikerer at give data til dine konkurrenter. Og er det en fantastisk god ide at give andre viden om ens virksomhed og ens kunders adfærd? Desuden risikerer du at få et dårligt omdømme, hvis der er nogen, der siger: Hold op, hvordan kan du vide det her om mig?”

Og så råder Pernille Tranberg til, at virksomheder i almindelighed danner sig et overblik over, hvilke data de deler med de amerikanske it-giganter.

– Hvis du for eksempel er et hospital, og du så får nogle til at fortælle om deres børns kræftsygdom på Facebook, så siger jeg bare: Tror du, at de her børn har lyst til, at det står på nettet forever, at de har haft kræft som barn?

– Der er også rigtig mange virksomheder i dag, der bruger Google Analytics. Det er et super godt og effektivt måleredskab. Man skal bare lige tænke: Hvorfor er det, det er gratis: Er det OK, at Google får intenst kendskab til mine kunder? spørger Pernille Tranberg.

Artiklen er oprindeligt trykt i KOM magasinet nummer 96, juni 2016.