Personvernforordningen Profilering og automatiserte avgjørelser Advokat Nils Henrik Heen
ARBEIDSGRUPPE PERSONVERN Etablert av Juridisk hovedutvalg 12 personvernjurister fra næringen Vurdert personvernforordningen opp mot gjeldende rett Arbeider med tiltak for å lette implementeringen /personvern 2
RETTSKILDEBILDET Personvernforordningen med fortale Uttalelser fra artikkel 29-gruppen Uttalelser/veiledere fra Datatilsynet Høringsnotatet fra Justis- og beredskapsdepartementet 25. mai 2018 3
HVA ER PROFILERING? Definert i artikkel 4 nr. 4. Big-Data analyser av store datasett for å forutsi atferd. 4
KILDER FOR PROFILERING Søk og historikk på internett Utdanning Kundedata Kredittvurderinger Betalingshistorikk Kundeklager eller spørsmål Lokasjonsdata Eiendomsinformasjon Eiendomsinformasjon «Fordelsprogrammer» Handlemønstre Wearables Sosiale medier Overvåkningsbilder Biometri Internet of things 5
PROFILERING VI ALLE KJENNER 6
PROFILERING VI ALLE KJENNER 7
PROFILERING VI ALLE KJENNER 8
PROFILERING I GDPR Innsigelsesrett etter artikkel 21 nr. 1: dersom behandlingsgrunnlaget er i samfunnets interesse/offentlig myndighetsutøvelse eller interesseavveining Den behandlingsansvarlige må avslutte profileringen med mindre den behandlingsansvarlige kan; påvise vektige og legitime grunner som overstiger den registrertes interesser, rettigheter og friheter, eller påvise at behandlingen er nødvendig for å fastlegge, gjøre gjeldende eller forsvare et rettskrav. 9
PROFILERING I GDPR Dersom behandlingen gjelder direkte markedsføring; innsigelse vil medføre automatisk forbud mot videre behandling (med henblikk på direkte markedsføring), jf. artikkel 21 nr. 3. Svarer i praksis til reservasjonsadgangen i markedsføringsloven. Informasjonsplikt etter artikkel 21 nr. 4 om anledningen til å fremme innsigelser; «tidspunktet for den første kommunikasjon» «på en klar måte atskilt fra annen informasjon.» 10
PROFILERING PÅ GRUNNLAG AV SÆRLIGE KATEGORIER AV PERSONOPPLYSNINGER? NEI Med mindre det innhentes samtykke, jf. art. 9 nr. 2 bokstav a. 11
AUTOMATISERTE AVGJØRELSER personopplysningsloven Ingen direkte rett til å motsette seg Rett til å kreve manuell overprøving, jf. pol. 25 Rett til informasjon om «regelinnholdet», jf. pol 22 Reservasjonsrett mot markedsføring etter markedsføringsloven 12
AUTOMATISERTE AVGJØRELSER GDPR Art. 22 nr. 1; Den registrerte har rett til å ikke være gjenstand for en automatisk avgjørelse som; utelukkende er basert på automatisk behandling (herunder profilering), som har rettsvirkning for, eller på tilsvarende måte i betydelig grad påvirker vedkommende. 13
AUTOMATISERTE AVGJØRELSER hva er en automatisk avgjørelse? Art. 22 nr. 1; Den registrerte har rett til å ikke være gjenstand for en automatisk avgjørelse som ikke uttrykkelig definert i forordningen, begrenset omtale i fortalen, men; automatisk avslag på kredittsøknad, e-rekruttering 14
AUTOMATISERTE AVGJØRELSER «Opt-?» Art. 22 nr. 1; Den registrerte har rett til å ikke være gjenstand for en automatisk avgjørelse som «Opt-in»? «Opt-out»? 15
AUTOMATISERTE AVGJØRELSER praktiske unntak Art. 22 nr. 2; unntak fra retten til å ikke være gjenstand for en automatisk avgjørelse dersom avgjørelsen; a) er nødvendig for å inngå eller oppfylle en avtale, b) er tillatt i EU-retten eller nasjonal rett og der det også er fastsatt egnede tiltak for å være den registrertes rettigheter, friheter og berettigede interesser, eller c) er basert på den registrertes uttrykkelige samtykke. 16
AUTOMATISERTE AVGJØRELSER praktiske unntak Art. 22 nr. 3; skal den behandlingsansvarlige gjennomføre egnede tiltak for å verne den registrertes rettigheter og friheter og berettigede interesser, i det minste retten til menneskelig inngripen fra den behandlingsansvarlige, til å uttrykke sine synspunkter og til å bestride avgjørelsen.» 17
SÆRLIGE KATEGORIER AV PERSONOPPLYSNINGER OG AUTOMATISERTE AVGJØRELSER Art. 22 nr. 4; Kun etter samtykke eller vesentlig samfunnsinteresse med hjemmel i lov. Men; artikkel 23 åpner for nasjonale tilpasninger, både for automatiserte avgjørelser og profilering. 18
INFORMASJONSPLIKTEN Artikkel 13 nr. 2 bokstav f; forekomsten, relevant informasjon om den underliggende logikken, og forventende konsekvenser av en slik behandling for den registrerte. Gjelder både for profilering og automatiserte avgjørelser. 19