Midtvejs EU-UK privatlivsafgørelser præciserer samtykke og datarettigheder

Et midtvejssnapshot af EU- og UK-databeskyttelsestendenser

En ny midtvejsgennemgang fra det internationale advokatfirma Finnegan, Henderson, Farabow, Garrett & Dunner har samlet en række betydningsfulde afgørelser truffet i EU og Storbritannien i år, som tilbyder ny vejledning i, hvordan tilsynsmyndigheder og domstole fortolker centrale databeskyttelsesprincipper. Rapporten fokuserer på tre tilbagevendende temaer: hvordan organisationer indhenter og dokumenterer samtykke, hvordan registrerede kan udøve deres rettigheder, og hvilke regler der gælder for, hvornår personoplysninger kan offentliggøres.

Selvom gennemgangen primært er skrevet til virksomheder og juridiske praktikere, sender den også et nyttigt signal til almindelige internetbrugere. EU- og UK-databeskyttelseslovgivning ændres sjældent gennem en enkelt dramatisk reform. I stedet udvikler den sig gennem en stabil akkumulering af domstolsafgørelser, myndighedsvejledning og håndhævelsessager, der gradvist omformer, hvad virksomheder har lov til at gøre med personlige oplysninger. Denne midtvejsopdatering er i bund og grund et kontrolpunkt i den løbende udvikling.

Samtykke, registreredes rettigheder og offentliggørelsesregler er i fokus

Ifølge gennemgangen forbliver samtykke et af de mest omstridte områder inden for databeskyttelsescompliance. Tilsynsmyndigheder og domstole fortsætter med at undersøge, hvorvidt samtykkemekanismer er reelt informerede, frit givne og tilstrækkeligt specifikke til at opfylde GDPR- og UK GDPR-standarder. Dette er et tema, der gentagne gange er udspillet i håndhævelsessager i hele Europa, hvor myndigheder har kritiseret samtykkeforløb, der begraver centrale oplysninger i tæt juridisk tekst eller automatisk tilmelder brugere datadeling, de aldrig aktivt har accepteret.

Registreredes rettigheder, herunder retten til at få adgang til, berigtige eller anmode om sletning af personlige oplysninger, fylder også markant i opdateringen. Disse rettigheder er det praktiske redskab, hvorigennem enkeltpersoner kan finde ud af, hvilke data virksomheder har om dem, og kan gøre indsigelse, når sådanne data er unøjagtige eller overdrevne. Gennemgangens opmærksomhed på dette område antyder, at domstolene fortsat præciserer, præcis hvor langt disse rettigheder rækker, og hvor hurtigt organisationer skal reagere.

Det tredje tema, offentliggørelse af personoplysninger, peger på et voksende område med juridisk usikkerhed: Hvornår er det lovligt for en organisation, et offentligt organ eller endda en enkeltperson at offentliggøre en persons personlige oplysninger? Dette spørgsmål er blevet stadig mere relevant, efterhånden som ansigtsgenkendelse, biometrisk sporing og indsamling af lokalitetsdata udvides til offentlige og halvoffentlige rum.

Reel håndhævelse afspejler allerede disse tendenser

Temaerne i denne midtvejsopdatering er ikke abstrakte. De udspiller sig allerede i konkrete håndhævelsessager i hele Europa og Storbritannien. I Italien pålagde Garante bøder til udbydere af bankapps efter at have fundet invasive enheds-overvågningsværktøjer indlejret i deres applikationer, en sag, der i høj grad drejede sig om samtykke og hvorvidt brugerne reelt forstod, hvilke data der blev indsamlet. Samtidig har Italiens tilgang til lagring af biometriske ansigtsdata fra offentlige kameraer genantændt debatten om, hvor længe følsomme personoplysninger kan opbevares, og på hvilket retligt grundlag.

I Storbritannien er en lignende spænding opstået omkring brugen af ansigtsgenkendelsesvogne i offentlige rum, hvor spørgsmål om gennemsigtighed og offentlig meddelelse afspejler de offentliggørelses- og registreredes rettighedsproblemer, der fremhæves i Finnegan-gennemgangen. Tilsynsmyndigheder undersøger også, hvordan platforme verificerer brugeres identitet og alder, som set i Ofcoms undersøgelse af TikToks aldersinferenssystem, som direkte berører samtykke og korrekt håndtering af biometriske data, der bruges til at træffe automatiserede beslutninger om brugere.

Hvad dette betyder for dig

Hvis du bruger apps, surfer på nettet eller interagerer med offentligt vendt teknologi som ansigtsgenkendelseskameraer i EU eller Storbritannien, betyder disse udviklinger mere, end det juridiske sprog måske antyder. Stærkere fortolkning af samtykkeregler betyder, at virksomheder er under stigende pres for at gøre valg om dataindsamling tydeligere og lettere at afvise. Udvidede registreredes rettigheder betyder, at du har reelle, håndhævede værktøjer til at spørge en virksomhed, hvad den ved om dig, og kræve berigtigelse eller sletning. Og udviklende offentliggørelsesregler betyder, at tilsynsmyndigheder aktivt arbejder på at fastlægge grænserne for biometriske og lokalitetsdata indsamlet i offentlige rum – et spørgsmål, der berører enhver, der går forbi et kameraudstyret gadehjørne eller bruger en app, der anmoder om enhedstilladelser.

Intet af dette kræver panik. Det afspejler et retssystem, der aktivt arbejder, sag for sag, på at følge med ny teknologi.

Handlingsorienterede pointer

Hold dig opdateret om, hvordan EU- og UK-databeskyttelseslovgivningen udvikler sig ved at holde øje med myndighedsvejledning og håndhævelsesafgørelser i dit land. Læs app-tilladelsesanmodninger og samtykkeprompter grundigt i stedet for at acceptere dem som standard. Hvis du mener, at en organisation har unøjagtige eller overdrevne data om dig, så husk, at anmodninger om registerindsigt er en juridisk rettighed, ikke en tjeneste. Og hold øje med, hvordan offentlig ansigtsgenkendelse og biometriske systemer reguleres i dit område, da dette forbliver et af de mest aktive og uafklarede områder inden for EU- og UK-databeskyttelsesret.