Samfunnsnytte eller personvern?

Transkript

1 Samfunnsnytte eller personvern? Anders Løland Assisterende forskningssjef Co-director Big Insight Forum for AI/data science i offentlig sektor 26. november 2018

2 Senter for forskningsdrevet innovasjon

3 mill. fra NFR + 50 mill. fra brukerpartnerne

4

5 forskning.no 16. oktober 2018

6 Bakgrunn og saksgang Prosjekt: «Prediksjon av risiko for svindel med sykepenger og dagpenger» Februar 2016: Konsesjonssøknad til Datatilsynet Juni 2016: Avslag fra Datatilsynet August 2016: Klage på avslag Mars 2017: Nytt avslag Mai 2017: Ny klage på avslag Oktober 2017: Konsesjon innvilget

7 Saksgang for relatert konsesjonssøknad Prosjekt: «Risiko ved registrering i Merverdiavgiftsregisteret» September 2016: Konsesjonssøknad til Datatilsynet Juni 2017: Avslag fra Datatilsynet August 2017: Klage på avslag April 2018: Konsesjon innvilget

8 tre sentrale spørsmål

9 tenk forskning utvikling

10 #1 er metodeforskning forskning?

11 Datatilsynet 1.0: «utvikling av metoder/algoritmer ikke er innenfor det som er ment med vitenskapelig formål og heller ikke er i kjernen av det som menes med allmenn interesse»

12 Datatilsynet 2.0: «også utvikling av metodikk slik det er aktuelt i prosjektet kan være vitenskapelig formål»

13 Datatilsynet 2.0: «I den grad utvikling av metodikk er å regne som vitenskapelig formål er det også å regne som allmenn interesse» forutsatt «aggregering av datasett»

14 #2 hva er samfunnsnytten av metodeforskning?

15 viktig premiss: svindel er sjeldent og et betydelig samfunnsproblem

16 Datatilsynet 1.0: få svindlere kan flagges, altså usikker samfunnsnytte Big Insight 1.0: stor samfunnsnytte av mer treffsikre metoder

17 begge kan ha rett samtidig!

18 Datatilsynet 2.0: «personvernulempene kan oppveies av den potensielle samfunnsnytten [ ] iverksettes tiltak som virker for å begrense personvernutfordringene»

19 #3 kan en forske på store datasett?

20 Datatilsynet 2.0: «personvernulempene kan oppveies av den potensielle samfunnsnytten [ ] iverksettes tiltak som virker for å begrense personvernutfordringene»

21 når blir data = stordata? hvor stort er stort?

22 grovkategorisering, få som har tilgang og så videre reduserer risikoen

23 men fortsatt risiko for at noe går galt og grensene er skjønnsmessige

24 anonymisering eller grovkategorisering kan gjøre analysene vanskeligere (og ingen anonymisering er helt sikker)

25 smådata/tradisjonelt 1. hypotese 2. samle inn data 3. bekrefte/avkrefte hypotese

26 stordata/framtida(?) 1. samle inn data 2. finn hypotese(r) 3. bekrefte/avkrefte hypotese(r)

27 Antall variable/sensitive data data scientist prototyping sluttbruker

28 Hva er nytt med ny personopplysningslov? Personer som deltar i forskning har fått flere og tydeligere rettigheter* Melde- og konsesjonsplikt erstattes av en plikt til å registrere og dokumentere behandling av personopplysninger* Prosjekter som tidligere måtte ha konsesjon fra Datatilsynet vil oftest kreve en personvernkonsekvensvurdering (DPIA)** noen ganger med forhåndsdrøfting med Datatilsynet *NSDs oversikt over viktigste endringer med ny personopplysningslov for forskning **Veileder: Vurdering av personvernkonsekvenser (DPIA)

29 Når er personvernkonsekvensvurdering nødvendig? Høy risiko for fysiske personers rettigheter og friheter Noen relevante eksempler: automatisert behandling/profilering som påvirker den fysiske personen behandling av personopplysninger om straffedommer Et ikke så relevant eksempel: systematisk overvåking i stor skala av et offentlig tilgjengelig område

30 med andre ord: omtrent som før, men uten lang saksbehandlingstid