Nå skal retten til å bli glemt forsterkes!
Googler du ditt eget navn av og til? Blir du overrasket når du ser gamle synder dukke opp uten at du har noen mulighet til å gjøre noe med det?
I vår digitaliserte verden har personopplysninger stor verdi. Bare fra de rundt én milliard smarttelefonbrukerne genereres det enorme mengder personlige data som kan kobles sammen og lenkes til individer. Dette omfatter data vi har gitt fra oss frivillig, samt det andre publiserer om oss og de elektroniske fotsporene vi etterlater oss når vi anvender ulike typer internettbaserte tjenester. Den kunnskapen som oppstår når man lenker sammen tidligere separerte data er uvurderlig for enkelte bransjer, og bidrar til at de kan skape innovative, individualiserte tjenester, for eksempel persontilpassede søk, annonser og nyheter.
For å beskytte individenes rettigheter kreves det en sterk personvernlovgiving. Det nåværende personverndirektivet i EU (95/46/EF) dateres tilbake til 1995, altså den tiden da Netscape Navigator 1.0 var kongen på haugen av nettlesere. Dette direktivet regnes som gammeldags og utilstrekkelig, men er likevel det norsk personvernlovgiving baserer seg på. Nå står en reform av dette direktivet står på trappene, og et sentralt, nytt punkt omhandler retten til å bli glemt (“the right to be forgotten”). Helt konkret dreier det seg om at individer skal kunne kreve at personlige data om dem skal slettes, for eksempel om informasjonen er uriktig eller at man ikke lenger ønsker å dele den. Her finnes det selvfølgelig unntak, for eksempel personlige data som samles inn av juridiske årsaker. EU-kommisjonen påpeker at retten til å bli glemt ikke er en absolutt rett – selv om grunnideen er å gi individer mer kontroll, så er det ikke meningen det skal gå på bekostning av presse- og ytringsfriheten. Det mange nå spør seg er hvordan dette skal fungere i praksis. Skal for eksempel en politiker som har gått over til et annet parti kunne kreve at tekstene som beskriver hans gamle engasjement bli slettet? Hva med kriminelle uten dom omtalt i media? Eller kjendiser som ikke liker at nettaviser legger ut bilder fra bryllupet deres? Det å finne en god balanse mellom individenes rettigheter og informasjon som skal være offentlig kommer ikke til å bli enkelt.
Den høyeste instansen i EU-domstolen kunngjorde nylig at enkeltindivider har rett til å påvirke hvilken informasjon Google kan lenke til. Ifølge domstolen har søketjenester som Google et ansvar for å filtrere ut søkeresultater som inneholder irrelevant, utdatert eller ugunstig informasjon dersom individet krever det. Flere kjente profiler har uttalt seg svært negativt om dette (se for eksempel her) og mener at dommen innebærer en utbredt form for sensur av Internett. Google har bare kommentert at utfallet av dommen er “skuffende”, men det er ikke usannsynlig at de vil bestride den. Samtidig rapporteres det at Google jobber med et verktøy som skal gjøre det enkelt for individer å fjerne søkeresultater som omhandler dem selv.
Dommen (som kan leses i sin helhet her) er særlig interessant i perspektiv av den nye direktivendringen. Uansett hvilke tekniske mekanismer som blir tatt i bruk for sletting av lagrede personopplysninger hos en tjenesteleverandør, så vil det være så godt som umulig å sikre at eventuelle kopier lagret utenfor leverandørkontroll blir borte. En Facebook-bruker kan faktisk kreve at alle bilder av ham som han selv eller hans venner har lagt ut blir slettet, men eventuelle kopier som har blitt lasted ned og lagret er utenfor Facebooks kontroll. Hvem vil da være ansvarlig for å be om at disse blir slettet? Må du gjøre det selv, eller blir det Facebook sin oppgave å redusere spredningen?
Så hvordan tror vi at retten til å bli glemt skal kunne fungere i praksis? Det som er helt sikkert er at det vil være betydelige kostnader knyttet til det å fjerne data i systemer som i bunn og grunn er bygd for å ta vare på og benytte seg av data (med kopier og logger spredt rundt omkring). Vi i SINTEF har i flere år jobbet med å få på plass bevissthet rundt krav, kontrakter og risikovurdering knyttet til sikker sletting i elektroniske tjenester. Dette gjelder enten man kjøper en tjeneste eller bygger et system. Kjøper du for eksempel en ekstern lagringstjeneste, bør du se på om sletting er en del av brukeravtalen, hvilke data kan slettes, hvor mange kopier florerer rundt i skyene, hva lagres i logger, hvor lang tid tar det fra man ber om sletting til det faktisk blir utført, hvem utfører slettingen og på hvilken måte (for eksempel destruering, overskriving, anonymisering). Det er også fornuftig å få på det rene hvem er ansvarlig dersom noe går galt – uriktig sletting skjer dessverre fra tid til annen.
Uavhengig av hva som blir utfallet med Google i denne runden, vil det være smart for bedrifter som bruker og leverer IT-løsninger å tenke på løsninger som gjør det enkelt for brukerne å slette sine personlige data. For mer informsjon om dette temaet kan vi anbefale en ikke så alt for gammel rapport fra ENISA som diskuterer problemet og gir noen praktiske tips om hvordan man skal gå fram.