Datatilsynets beslutning om ikke at bruge kræfter på en klage over Googles behandling af personoplysninger holder vand.
Sådan lyder det fra flere eksperter i kølvandet på, at den danske GDPR-myndighed har afvist at behandle en borgerklage mod Google.
Datatilsynet har blandt andet henvist til, at det vil medføre et uforholdsmæssigt stort ressourceforbrug at gå ind i sagen, og at klagerens interesse i at få klagen behandlet ikke er stærk nok.
»Umiddelbart ville jeg have gjort det samme som Datatilsynet i den her sag,« siger Peter Blume, der er professor med fokus på persondataret ved Københavns Universitet.
Han tilføjer, at Datatilsynet formelt set har mulighed for at gå ind i sagen, men at myndigheden i forvejen må prioritere hårdt i forhold til, hvilke sager, der bliver taget op. Derfor vil det det gå ud over arbejdet med andre sager, hvis Datatilsynet kastede sig over klagen mod Google, påpeger han.
Nødvendige oplysninger eller ej
Klagen handler om, at Google automatisk sætter flueben ved en række indstillinger i Googles tjenester, som fører til, at der indsamles oplysninger om brugerne. Google har blandt andet indstillet som standard, at brugernes historik på søgemaskinen »bliver brugt til at hjælpe Google med at tilbyde mere relevante resultater og anbefalinger«, selvom brugeren er logget ud af sin Google-konto.
Ifølge borgerklagen er den slags indsamling af data ikke nødvendig for, at Googles tjenester kan fungere, og derfor peger klageren på, at der er tale om et brud på persondataforordningens artikel 25. Denne del af forordningen skal netop sikre, at dataansvarlige kun behandler de personoplysninger, der er nødvendige til det specifikke formål med en tjeneste.
I afvisningen peger Datatilsynet på, at det er nemt for brugeren at fjerne flueben, som Google har sat på forhånd, hvis brugeren ikke har lyst til, at tech-giganten skal behandle oplysningerne på vedkommende. Peter Blume mener også, at det er et argument, der kan spille en rolle.
»Der kan godt argumenteres for, at de her oplysninger bidrager til formålet om at levere en god søgemaskine, og at brugerne desuden har nemt ved at slå indstillingerne fra, hvis de ikke ønsker det på den måde. Det er kombinationen af de to argumenter, der gør, at det kan virke overdrevet, hvis tilsynet skulle starte en omfattende sag mod Google,« siger Peter Blume.
Venter på en big time brøler
Vurderingen bakkes også op af Søren Sandfeld Jakobsen, der jura-professor med særligt fokus på persondata ved Copenhagen Business School. Ifølge ham er klagen relativt beskeden, og derfor mener han, at myndighederne godt kan forsvare at vente med at gå i gang med en undersøgelse, indtil der kommer en mere alvorlig sag.
»Der er nok mere fidus i at vente til, at de dummer sig big time, og sådan tror jeg også, at man tænker i de andre tilsynsmyndigheder i Europa. De har taget en dyb indånding og venter på at få en sag mod Google, Facebook, Apple og Amazon, der er lidt bedre, og som de kan lægge en masse kræfter i gennem en koordineret indsats,« siger Søren Sandfeld Jakobsen.
Han peger på, at Datatilsynet i forbindelse med en eventuel sagsbehandling kunne se frem til lange måneder med korrespondance med Google, hvor virksomheden ville sige, at deres behandling af data følger persondataforordningen. Derfor er det en omfattende vej at gå i forhold til alvorsgraden i sagen, mener han.
»Den her sag kommer ikke til at batte noget i sidste ende. Det her kan ikke ende som hverken en bøde- eller erstatningssag, det er det ikke groft nok til. Det er et spørgsmål om, hvilke sager man mener er alvorlige nok til at gå ind i, og der er jeg enig med Datatilsynet.«
Flere svar mangler
Både Peter Blume og Søren Sandfeld Jakobsen pointerer, at der stadig er uklarheder i forhold til, hvordan artikel 25 skal fortolkes i praksis. Derfor erkender de, at det kan være en god ide med en sag, der giver en bindende afgørelse på, hvad der er tilladt på området for standardindstillinger.
»Helt grundlæggende mangler vi afklaring i forhold til, hvordan man skal forstå artikel 25. Vi ved ikke endnu, om det er okay at lave den her behandling, hvis bare det er nemt for brugeren at slå fra igen,« siger Søren Sandfeld Jakobsen og tilføjer, at artikel 25 er pyntet med alle mulige modifikationer:
»Der er nogle vage og uklare bestemmelser, som nøjes med at udtrykke nogle grundlæggende principper, og det er jo fint, men det er uvist, hvor forpligtende det er i sidste ende.«
Har både brugerne og virksomhederne ikke en interesse i, at myndighederne træffer afgørelser om, hvordan man skal navigere i forhold til artikel 25?
»Jo bestemt. Men spørgsmålet er igen, om det her er den rigtige sag. Hvis man taber den og ender med at give Google ret, så står man med skægget i postkassen, og så er der dannet grundlag for, at Google kan handle på den her måde. Det er bedre at tage en mere sikker sag, hvor der er større chance for, at man vil vinde.
»Stort set alle har berøring med Google«
Jon Lauritzen, der er advokat med speciale i persondataret og GDPR ved advokatfirmaet DLA-Piper, deler ikke helt den samme opfattelse, som GDPR-eksperterne fra CBS og Københavns Universitet.
Han er kritisk overfor Datatilsynets argumenter i forhold til at lade klagen ligge, og ifølge ham har myndigheden »fundet en kattelem,« fordi de ikke har ønsket at bruge tid på klagen.
»Det er jo ikke en ukendt tjeneste, som bare bliver brugt af førsteholdet i en lille håndboldklub. Stort set alle har berøring med Google, og jeg synes ikke, at Datatilsynet lægger nok vægt på det her,« siger han.
Derudover peger han på, at det vil være interessant for alle parter at få en afklaring på, hvordan artikel 25 skal fortolkes – også selvom afgørelsen kan ende med at sige, at Google ikke har handlet forkert
»Når tilsynet afviser at gå ind i sagen, ender det med hverken at være fugl eller fisk for klageren,« siger Jon Lauritzen.
En bemærkelsesværdig krølle
Med Datatilsynets beslutning om at lade klagen ligge bliver der ikke truffet en beslutning om, hvad der er tilladt i forhold til GDPR i denne omgang.
Alligevel har der sneget sig en bemærkning ind, som måske giver et praj om, hvordan en fremtidig på området sag vil falde ud.
Datatilsynet har nemlig lagt vægt på, at »behandlingen af oplysninger om dig kan slås fra uden større indsats fra din side. Dette alene er efter Datatilsynets umiddelbare opfattelse ikke i strid med databeskyttelsesforordningens artikel 25, stk 1 eller 2,« skriver myndigheden.
Ifølge Jon Lauritzen tegner den bemærkning et billede af Datatilsynets holdning til sagen, og derfor ærgrer det ham, at de ikke tager bladet for munden og træffer en endelig beslutning.
»Datatilsynet skriver i afgørelsen, at det ikke umiddelbart er i strid med artikel 25, men det er jo ikke en vurdering, som de er bundet af. Det er ærgerligt, at der ikke bliver truffet en endelig beslutning, som man kan rette sig efter,« siger Jon Lauritzen.
Også Søren Sandfeld Jakobsen studsede over Datatilsynets formulering, men han påpeger, at man stadig må vente med at få endeligt svar på spørgsmålet om, hvorvidt det er i orden, at Google sætter fluebenene på forhånd.
»Det er jo hele den diskussion, som sagen skulle have fundet en afklaring på. Det kan Datatilsynet ikke sige endegyldigt på forhånd, og det kræver en nærmere undersøgelse, som så ikke blev taget op denne gang«
Version2 har været i kontakt med Google og Datatilsynet, men ingen af dem har ønsket at kommentere sagen yderligere.
...men det er dyrt at lave god journalistik. Derfor beder vi dig overveje at tegne abonnement på Version2.
Digitaliseringen buldrer derudaf, og it-folkene tegner fremtidens Danmark. Derfor er det vigtigere end nogensinde med et kvalificeret bud på, hvordan it bedst kan være med til at udvikle det danske samfund og erhvervsliv.
Og der har aldrig været mere akut brug for en kritisk vagthund, der råber op, når der tages forkerte it-beslutninger.
Den rolle har Version2 indtaget siden 2006 - og det bliver vi ved med.
