På vei baklengs inn i panoptikon

Tjuefemte mai 2018 trådte EUs nye allmenne forordning om personvern, General Data Protection Regulation (GDPR), i kraft. Forordningen innføres for å sikre EU-borgeres eierskap av, og kontroll over, personopplysninger de gir fra seg i deres deltagelse i en økonomi som blir stadig mer datadrevet.

Den skal samtidig fremme friere flyt av data mellom landegrenser, leverandører og plattformer for å fostre innovasjon, og styrke Europas digitale økonomi. I dette essayet vil jeg problematisere aspekter ved forordningen som utfordrer måten vi som samfunn normalt tenker om personopplysninger.

GDPR

GDPR utgjør en kraftig innskjerping av EUs personvernlovgivning. Virkeområdet blir utvidet, sammenlignet med direktivet GDPR erstatter. GDPR gjelder samtlige aktører som behandler EU-borgeres personopplysninger, uavhengig av om disse opplysningene behandles innenfor eller utenfor EUs grenser. Det styrker også straffene for brudd på EUs personvernlovgivning. Overtredelser av GDPR vil kunne straffes med bøter på opp til 20 millioner euro, eller 4 % av et foretaks samlede globale omsetning.

Forordningen spesifiserer også hva slags rettigheter en EU-borger har i kraft av sitt eierskap av egne personopplysninger. Det gjør det klart at all behandling av en persons data må skje på bakgrunn av den registrerte personens samtykke, eller et annet gyldig formål.

Om noen sitter på personopplysninger om en EU-borger og ønsker å bruke disse dataene til et nytt formål som de ikke har fått et eksplisitt samtykke til, forplikter GDPR dem til å innhente et slikt samtykke. Dette gjelder også for opplysninger de innhentet om den registrerte før GDPR trådte i kraft.

GDPR gjør det også klart at våre personopplysninger ikke er noe vi kan gi fra oss en gang for alle. Vi vil ha rett til innsyn i hvordan våre personopplysninger blir behandlet og til hvilket formål. Vi vil også, på et hvilket som helst tidspunkt, kunne trekke tilbake vårt samtykke om tilgang til vår data, og kan kreve at all informasjon som er blitt innhentet om oss blir slettet.

Tredjeparter som har fått tilgang til denne informasjonen kan da også nektes å bruke informasjonen videre.

Når GDPR nå fastslår at eierskapet til våre personopplysninger alltid forblir vår, er det i prinsippet ingenting som hindrer oss i å selge denne informasjonen videre.

Forordningen fastslår også et prinsipp om dataoverførbarhet: på vår forespørsel er den som har hentet inn informasjon om oss forpliktet til å gi tilgang til all data samlet inn om oss i et strukturert, alminnelig brukt og maskinlesbart format. Vi kan også kreve at disse dataene overføres til en annen aktør.

Dette prinsippet om dataoverførbarhet åpner opp for helt nye muligheter for innovasjon innenfor den digitale økonomien, så vel som helt nye personvernproblemstillinger.

En helt ny økonomi

Prinsippet om dataoverførbarhet fortjener langt mer oppmerksomhet enn det til nå har fått i diskusjoner om GDPR. Ved å fastslå kundens rett til å kreve data overført mellom tjenesteleverandører er personopplysninger blitt en helt ny type vare. Til nå har vi som forbrukere solgt våre personopplysninger til selskaper som Facebook, Google og Twitter ved å la dem lagre og selge informasjon om hvordan vi bruker deres tjenester til annonsører.

Når GDPR nå fastslår at eierskapet til våre personopplysninger alltid forblir vår, er det i prinsippet ingenting som hindrer oss i å selge denne informasjonen videre. Vi vil kunne kreve at informasjon lagret om oss av banken vår, av matvareforretninger, eller av en sosial medieplattform, overføres til et selskap som ønsker å bruke denne informasjonen til å tilby oss helt nye tjenester som ingen av disse tjenesteleverandørene selv hadde kunnet tilby på egenhånd.

Mange bransjer vil dermed kunne finne helt nye muligheter i den digitale økonomien ettersom helt nye typer informasjon blir gjort tilgjengelige for dem. Blant bransjene som virkelig står til å tjene på denne utviklingen er forsikringsbransjen.

Forsikring

Informasjonssamfunnet har gitt forsikringsbransjen helt nye muligheter for å vurdere risikoen representert av hver enkelt kunde. Vi gir fra oss stadig mer informasjon om oss selv, og det finnes stadig bedre verktøy for å lagre og bearbeide denne informasjonen. Resultatet har vært at forholdet mellom forbruker og forsikringsselskap blir stadig mer individualisert.

Tradisjonelt har forsikringspremier blitt utregnet på bakgrunn av den gjennomsnittlige risikoen en potensiell kunde representerer ut fra et knippe demografiske variabler. Ved utregning av bilforsikring vil for eksempel et forsikringsselskap vurdere risikoen forbrukeren representerer basert på spørsmål som alderen på bilens yngste sjåfør, og tidligere skadehistorikk.

For livsforsikring vil den bli utregnet på bakgrunn av spørsmål knyttet til forbrukerens alder, utdanning, og bosted. Basert på denne informasjonen gir forsikringsselskapene deg et tilbud om forsikring med en forsikringspremie som svarer til den typiske risikoen en person som deg representerer.

Siden informasjonen dette anslaget er basert på ikke er tilstrekkelig til å fange opp hver enkelt kundes faktiske risiko, vil noen av oss betale en dyrere forsikringspremie enn hva vår faktiske risiko skulle tilsi, og andre en billigere en.

I et samfunn der stadig mer informasjon om vår daglige atferd kan og blir registrert er forsikringsselskaper allerede i full gang med å utvikle produkter som utnytter denne informasjonen. Både i USA, EU, Storbritannia og Australia har for eksempel bilforsikringsselskaper i flere år tilbudt kunder bruksbaserte forsikringsavtaler, gjerne kjent som Pay as you drive-forsikring.

Utviklingen innenfor informasjonsteknologi tilsier at denne trenden mot mer individualiserte forsikringsforhold vil bli stadig sterkere og bli introdusert innenfor stadig nye former for forsikring.

Bruksbasert forsikring innebærer at forsikringsselskapet, snarere enn å utføre en risikovurdering på bakgrunn av forbrukerens egenskaper, beregner risikoen kunden representerer på bakgrunn av kundens faktiske bruk av bilen. Mot at kunden gir forsikringsselskapet mulighet til å registrere kundens kjøreatferd, tilbyr dermed forsikringsselskapet kunden i utgangspunktet en mer gunstig forsikringspremie enn de ellers kunne ha gjort.

Etter hvert som de får informasjon om kundens faktiske kjøreatferd justerer de forsikringspremien til å samsvare med risikoen denne atferden representerer. For ansvarlige bilister som tilhører grupper som er overrepresentert i ulykkesstatistikken, som for eksempel unge mannlige sjåfører, kan en slik bruksbasert forsikring være et svært gunstig tilbud.

Ved at fokuset flyttes vekk fra aldersgruppen de tilhører og over på deres faktiske oppførsel slipper de i praksis å hopes sammen med personer på deres egen alder som tar langt flere sjanser i trafikken enn dem selv. Forholdet mellom dem og forsikringsselskapet har dermed blitt individualisert.

Vi legger nå fra oss tilstrekkelig med digitale fotspor for andre å kunne trekke nokså treffsikre slutninger om vår personlighet, livsstil, handlingsmønstre og planer for fremtiden

Utviklingen innenfor informasjonsteknologi tilsier at denne trenden mot mer individualiserte forsikringsforhold vil bli stadig sterkere og bli introdusert innenfor stadig nye former for forsikring.

For det første, fordi det finnes stadig mer informasjon lagret om oss som potensielt kan si noe om hva slags risiko forsikringsselskaper tar på seg ved å tilby oss alt fra bil-, helse- eller livsforsikring; for det andre, gir maskinlæringsteknologi forsikringsselskaper stadig kraftigere og mer presise automatiserte verktøy for å analysere disse dataene etter underliggende mønstre.

Alt fra ordvalget ditt på Facebookprofilen din, til handlelisten du har lagret hos Rema 1000 sin Æ-app, inneholder verdifull informasjon som kan brukes til å lage en risikoprofil om deg. Vi legger nå fra oss tilstrekkelig med digitale fotspor for andre å kunne trekke nokså treffsikre slutninger om vår personlighet, livsstil, handlingsmønstre og planer for fremtiden: hvorvidt vi er impulsive; hvorvidt vi spiser sunt; hvorvidt vi trener; hvorvidt vi har en god søvnhygiene; hvorvidt du planlegger å skifte jobb.

Ved å følge disse fotsporene kan selskaper vite mer om oss selv enn det vi vet om oss selv.

Det som til nå har hindret forsikringsselskaper å få full tilgang til all denne informasjonen er at selskapene som originalt har samlet denne informasjonen ikke har sett seg tjent med å dele den med forsikringsselskaper.

I 2016 introduserte, for eksempel, Forsikringsselskapet Admiral Insurance applikasjonen Firstcarquote. Applikasjonen skulle bruke data fra Facebook til å utvikle en algoritme som kunne identifisere sjåfører med personlighetstrekk som er identifisert med trygg kjøreatferd. Den ville ta utgangspunkt i brukeres innlegg og likes på nettsiden, og lete etter atferd som sammenfalt med personlighetstrekk som var knyttet til enten høy eller lav risiko.

På bakgrunn av denne analysen ville applikasjonen gi sjåføren en score som så ville bestemme hva slags forsikringspremie de ville bli tilbudt av Admiral Insurance. Som med pay as you drive-forsikring, ble Firstcarquote promotert som en måte for forsikringsselskapet å identifisere ansvarlige unge sjåfører. Timer før applikasjonen skulle lanseres satte Facebook foten ned for prosjektet.

Det er ikke vanskelig å spekulere i hva slags grunner Facebook kan ha hatt for å få kalde føtter om dette prosjektet. Personer som oppnår finansielle fordeler ut ifra hvordan de uttrykker seg på Facebook vil ha insentiver til å presentere seg selv på en måte som maksimerer de finansielle fordelene de kan oppnå.

Facebook ville derfor fort risikere at brukere begynte å sensurere seg selv, ved på passe på at det de uttrykte gjennom medieplattformen sendte de riktige signalene til forsikringsselskapet. For Facebook ville dette innebære at kvaliteten på informasjonen selskapet kunne tilby annonsører ville bli mindre verdifull. Deres forretningsmodell er avhengig av at Facebooks brukere oppfatter nettsiden som en plattform for fri og åpen meningsutveksling.

Det er grunn til å stille spørsmål ved hva slags mulighet selskaper som Facebook i fremtiden vil ha til å holde tilbake denne type informasjon fra selskaper som ønsker å bruke den til å utvikle finansielle tjenester for deres brukere. GDPR fastslår at det endelige eierskapet av personopplysningene vi gir fra oss alltid forblir hos oss.

Det spesifiserer at med denne eiendomsretten følger også retten til å overføre opplysningene et selskap har lagret om oss til et annet selskap. Med dette åpner dermed forordningen for at aktører som ønsker å bruke informasjon om vår aktivitet på Facebook, eller om hva slags matvarer vi har kjøpt på Rema 1000, kan gå direkte til oss heller enn å få tillatelse fra den originale behandleren av informasjonen.

En for alle …

Prinsippet om dataoverførbarhet er en naturlig følge av den liberale rettstradisjonens forståelse av personopplysninger som en eiendomsrelasjon som et rettssubjekt står i til seg selv. Tanken om at mine personopplysninger er noe jeg selv skal kunne selge på et marked, er derfor heller ikke en tanke som bør være så altfor fremmed for liberaleren i oss.

Hvis mine personopplysninger er min egen eiendom, er det vel ingen som bør kunne fortelle meg hva jeg kan og ikke kan gjøre med dem? Om vi begynner å reflektere over hva slags verdi denne type informasjon vil kunne ha for forsikringsbransjen, ser vi derimot at et slikt marked kan få den paradoksale konsekvensen å undergrave den originale liberale ideen om personopplysninger som en eiendel jeg selv har råderett over.

Personopplysninger er en underlig type vare, ettersom hva en hvilken som helst opplysning kan fortelle oss er fullstendig avhengig konteksten den er plassert inn i. Fordi informasjon er så kontekstavhengig, er det også betraktelig vanskeligere å gjøre klare skiller mellom mine og dine persondata, enn det den liberale rettstradisjonen som regel legger til grunn. Ny informasjon vi får om et enkeltindivid i en gruppe, gir oss også ny informasjon om de resterende individene i gruppen.

Jo flere personer i befolkningen som tilhører lavrisikogrupper som tegner individualiserte forsikringspremier, jo høyere risiko representerer en person som ikke ønsker å inngå en slik avtale.

La oss nå si at et helseforsikringsselskap, på bakgrunn av statistisk kunnskap om Norges befolkning, har delt befolkningen opp et visst antall risikogrupper. Forsikringsselskapet begynner så å tilby individualiserte forsikringsløsninger mot at selskapet får tilgang til mer detaljert informasjon om forbrukeren.

Selskapet ønsker å vite mer om forbrukerens mat- og alkoholkonsum, og ber om å bli gitt tilgang til data om vedkommedes kjøpevaner lagret av de rådende matvareforretningene i landet. De ønsker å få kunnskap om forbrukerens aktivitetsnivå, og om dine søvnvaner, og ber dermed om tilgang til den biometriske informasjonen lagret i forbrukerens smartklokke. På bakgrunn av denne type informasjon er forsikringsselskapet i stand til å spesifisere hva slags risiko de tar på seg ved å forsikre forbrukeren, og tilby en forsikringspremie som samsvarer til risikoen forbrukeren faktisk representerer.

For forbrukere i lavrisikogrupper vil det kunne være mye penger å spare på å gi fra seg den slags opplysninger. Fra deres perspektiv kan dermed valget om å gi tilgang til denne type informasjon virke uproblematisk. Men da vi ikke kan isolere informasjonen vi får om et enkeltindivid fra hva denne informasjonen reflekterer om grupper individet er medlem i, så vil ikke disse forbrukerne gi fra seg informasjon kun på vegne av seg selv, men også på vegne av befolkningen som en helhet.

Jo flere personer i befolkningen som tilhører lavrisikogrupper som tegner individualiserte forsikringspremier, jo høyere risiko representerer en person som ikke ønsker å inngå en slik avtale.

Konklusjon

Den nokså paradoksale posisjonen er dermed at GDPR kan komme til å plassere oss i en situasjon der vi i vår utøvelse av vår eiendomsrett over egne personopplysninger i et marked, i praksis kan bli gjort til angivere overfor andre grupper i befolkningen.

En naturlig måte å tenke om dette paradokset er at det vitner om at forordningen var skrevet med to motstridende hensyn i tankene: ønsket om å sikre enkeltindividers personvern på den ene siden, ønsket om å bidra til innovasjon innenfor den digitale økonomien på den andre. Jeg tror det ville være en feiltagelse å trekke denne slutningen.

Prinsippet om dataoverførbarhet bygger tross alt ikke på et annet idégrunnlag enn det resten av forordningen legger til grunn. Det er snarere en naturlig følge av den liberale tanken om at vår rett til privatliv som en rettighet som kan begripeliggjøres som et individuelt eiendomsforhold.

Det disse paradoksale konsekvensene av GDPR viser oss er snarere at denne forståelsen av privatliv og personvern risikerer å undergrave seg selv i det den introduseres i et fritt digitalt marked. Dette er en tanke jeg vil utforske videre i neste artikkel.

Dette essayet utgjør del 1 av 2 om EUs nye personvernforordning GDPR. Del 2 finner du her