Personvernforordningen

Transkript

1 Personvernforordningen Profilering og automatiserte avgjørelser Advokat Nils Henrik Heen

2 ARBEIDSGRUPPE PERSONVERN Etablert av Juridisk hovedutvalg 12 personvernjurister fra næringen Vurdert personvernforordningen opp mot gjeldende rett Arbeider med tiltak for å lette implementeringen /personvern 2

3 RETTSKILDEBILDET Personvernforordningen med fortale Uttalelser fra artikkel 29-gruppen Uttalelser/veiledere fra Datatilsynet Høringsnotatet fra Justis- og beredskapsdepartementet 25. mai

4 HVA ER PROFILERING? Definert i artikkel 4 nr. 4. Big-Data analyser av store datasett for å forutsi atferd. 4

5 KILDER FOR PROFILERING Søk og historikk på internett Utdanning Kundedata Kredittvurderinger Betalingshistorikk Kundeklager eller spørsmål Lokasjonsdata Eiendomsinformasjon Eiendomsinformasjon «Fordelsprogrammer» Handlemønstre Wearables Sosiale medier Overvåkningsbilder Biometri Internet of things 5

6 PROFILERING VI ALLE KJENNER 6

7 PROFILERING VI ALLE KJENNER 7

8 PROFILERING VI ALLE KJENNER 8

9 PROFILERING I GDPR Innsigelsesrett etter artikkel 21 nr. 1: dersom behandlingsgrunnlaget er i samfunnets interesse/offentlig myndighetsutøvelse eller interesseavveining Den behandlingsansvarlige må avslutte profileringen med mindre den behandlingsansvarlige kan; påvise vektige og legitime grunner som overstiger den registrertes interesser, rettigheter og friheter, eller påvise at behandlingen er nødvendig for å fastlegge, gjøre gjeldende eller forsvare et rettskrav. 9

10 PROFILERING I GDPR Dersom behandlingen gjelder direkte markedsføring; innsigelse vil medføre automatisk forbud mot videre behandling (med henblikk på direkte markedsføring), jf. artikkel 21 nr. 3. Svarer i praksis til reservasjonsadgangen i markedsføringsloven. Informasjonsplikt etter artikkel 21 nr. 4 om anledningen til å fremme innsigelser; «tidspunktet for den første kommunikasjon» «på en klar måte atskilt fra annen informasjon.» 10

11 PROFILERING PÅ GRUNNLAG AV SÆRLIGE KATEGORIER AV PERSONOPPLYSNINGER? NEI Med mindre det innhentes samtykke, jf. art. 9 nr. 2 bokstav a. 11

12 AUTOMATISERTE AVGJØRELSER personopplysningsloven Ingen direkte rett til å motsette seg Rett til å kreve manuell overprøving, jf. pol. 25 Rett til informasjon om «regelinnholdet», jf. pol 22 Reservasjonsrett mot markedsføring etter markedsføringsloven 12

13 AUTOMATISERTE AVGJØRELSER GDPR Art. 22 nr. 1; Den registrerte har rett til å ikke være gjenstand for en automatisk avgjørelse som; utelukkende er basert på automatisk behandling (herunder profilering), som har rettsvirkning for, eller på tilsvarende måte i betydelig grad påvirker vedkommende. 13

14 AUTOMATISERTE AVGJØRELSER hva er en automatisk avgjørelse? Art. 22 nr. 1; Den registrerte har rett til å ikke være gjenstand for en automatisk avgjørelse som ikke uttrykkelig definert i forordningen, begrenset omtale i fortalen, men; automatisk avslag på kredittsøknad, e-rekruttering 14

15 AUTOMATISERTE AVGJØRELSER «Opt-?» Art. 22 nr. 1; Den registrerte har rett til å ikke være gjenstand for en automatisk avgjørelse som «Opt-in»? «Opt-out»? 15

16 AUTOMATISERTE AVGJØRELSER praktiske unntak Art. 22 nr. 2; unntak fra retten til å ikke være gjenstand for en automatisk avgjørelse dersom avgjørelsen; a) er nødvendig for å inngå eller oppfylle en avtale, b) er tillatt i EU-retten eller nasjonal rett og der det også er fastsatt egnede tiltak for å være den registrertes rettigheter, friheter og berettigede interesser, eller c) er basert på den registrertes uttrykkelige samtykke. 16

17 AUTOMATISERTE AVGJØRELSER praktiske unntak Art. 22 nr. 3; skal den behandlingsansvarlige gjennomføre egnede tiltak for å verne den registrertes rettigheter og friheter og berettigede interesser, i det minste retten til menneskelig inngripen fra den behandlingsansvarlige, til å uttrykke sine synspunkter og til å bestride avgjørelsen.» 17

18 SÆRLIGE KATEGORIER AV PERSONOPPLYSNINGER OG AUTOMATISERTE AVGJØRELSER Art. 22 nr. 4; Kun etter samtykke eller vesentlig samfunnsinteresse med hjemmel i lov. Men; artikkel 23 åpner for nasjonale tilpasninger, både for automatiserte avgjørelser og profilering. 18

19 INFORMASJONSPLIKTEN Artikkel 13 nr. 2 bokstav f; forekomsten, relevant informasjon om den underliggende logikken, og forventende konsekvenser av en slik behandling for den registrerte. Gjelder både for profilering og automatiserte avgjørelser. 19

20