General Data Protection Regulation (GDPR) er en ny EU-lov som trer i kraft i dag, og det er grunnen til at du har mottatt direkte e-post og varsler om oppdateringer av personvernregler. Så hvordan påvirker dette deg? Her er hva du trenger å vite.
Den nye GDPR-loven trer i kraft i dag, 25. mai 2018, og dekker databeskyttelse og personvern for EU-borgere, men den gjelder også for mange andre land på forskjellige måter, og siden alle teknologigigantene er store multinasjonale selskaper , det påvirker mange ting du bruker på daglig basis.
Problemet med GDPR prøver å løse: Bedrifter samler inn og misbruker din personlige informasjon
Siden begynnelsen av internett har selskaper samlet inn så mye data som mulig om alle de kan. Det er enkelt å samle inn informasjonen, så det er ingen grunn til at de ikke skaffer den.
Problemet er at i løpet av de siste årene har mange selskaper blitt fanget i å ikke beskytte - eller direkte misbruke - din personlige informasjon. Cambridge Analytica-skandalen , hvor en forsker brukte en Facebook-quiz for å samle store mengder data på millioner av Facebook-brukere og deretter solgte den til et konsulentfirma, er bare det siste eksemplet. Equifax-hacket i fjor var spesielt ille fordi informasjonen som lekket kan brukes til å åpne kredittkort . Og det er bare de store skandalene. Mange selskaper har misbrukt dataene dine på mindre måter, som å selge dem videre til tredjeparts annonseringsfirmaer.
EU har tatt et svakt syn på situasjonen og bruker GDPR for å prøve å rette opp den. I henhold til de nye lovene blir selskaper som ikke beskytter forbrukerdata tilstrekkelig eller misbruker dem på noen måte, utsatt for store bøter.
Hva regnes som personlige data?
GDPR beskytter "personlige data", som her betyr "all informasjon som er relatert til en identifisert eller identifiserbar fysisk person" - og det er en ganske bred definisjon. I virkeligheten vil personlige data generelt omfatte ting som:
- Biografiske data som navn, adresse, telefonnummer, personnummer og så videre.
- Data relatert til ditt fysiske utseende og oppførsel som hårfarge, rase og høyde.
- Informasjon om utdanning og arbeidshistorie som lønn, høyskoleutdanning, GPA, skatte-ID og så videre.
- Eventuelle medisinske eller genetiske data.
- Ting som samtaleloggen din, private meldinger eller geografiske posisjonsdata.
Dette er langt fra en komplett liste. Nøkkelen er at alle data som gjør deg identifiserbare teller. Under visse omstendigheter kan hårfargen din være nok. I andre, til og med ditt fulle navn - hvis det er noe som Robert Smith - kan ikke gjøre deg identifiserbar.
Hva gjør GDPR?
GDPR gir EU-innbyggere som får lov til å samle inn sine personlige data - kalt "registrerte" i loven - åtte rettigheter. De er:
- Retten til å bli informert: Hvis et selskap samler inn data, må de fortelle de registrerte hva som samles inn, hvorfor det blir samlet inn, hva det brukes til, hvor lenge det skal oppbevares, og om det skal deles med tredjeparter. Denne informasjonen kan ikke begraves dypt i en servicevilkår som ingen leser; den må være kortfattet og i vanlig språk.
- Retten til innsyn: Hvis de ber om det, må enhver organisasjon som har personopplysninger om en registrert gi dem dem innen en måned.
- Retten til retting: Hvis en registrert finner ut at et selskap har feil data, kan de be om at de blir oppdatert. Bedriftene har en måned på seg.
- Retten til sletting: En registrert kan be om at et selskap sletter alle data som oppbevares om dem under visse omstendigheter. For eksempel hvis dataene ikke lenger er nødvendige, eller de trekker tilbake sitt samtykke til at de skal brukes.
- Retten til å begrense behandlingen: Hvis en organisasjon ikke kan slette dataene til en registrert - for eksempel fordi de trenger det for rettssaker - kan de be om at selskapet begrenser bruken.
- Retten til dataportabilitet: Registrerte har rett til å ta sine personlige data fra en tjeneste og bruke dem med en annen.
- Retten til å protestere: Hvis data samles inn uten samtykke, men for legitime forretningsinteresser, av hensyn til det offentlige eller av en offisiell myndighet, kan den registrerte motsette seg. Organisasjonen må da slutte å behandle dataene til de kan bevise at de har legitime grunner til å gjøre det.
- Rettigheter knyttet til automatisert beslutningstaking inkludert profilering: GDPR setter garantier på plass slik at enkeltpersoner kan motsette seg eller få en forklaring om automatiserte avgjørelser som berører dem og deres data.
En annen stor del av regelverket er at selskaper må ha en lovlig grunn til å samle inn eller behandle data. En av de lovlige grunnene er at de har fått samtykke til å bruke det til et bestemt formål, men det er andre som de trenger det for å oppfylle juridiske forpliktelser, eller at det å samle det er av offentlig interesse.
Som du ser, er rettighetene som EU-innbyggere har gitt i henhold til lovene ganske brede, og tvinger selskaper som samler inn data fra dem til virkelig å tenke på hva de samler inn og hvorfor. De gamle dagene med å bare samle alt de kan og håpe at de senere vil få bruk for det, er borte - i det minste i Europa. Dette er grunnen til at nesten alle tjenester du noen gang har gitt e-postadressen din, kontakter deg.
Det som har fått mange selskaper i oppstyr er at sanksjonene for å ikke være i samsvar med GDPR er ganske harde. En organisasjon kan bli bøtelagt med opptil € 20 millioner eller 4% av deres verdensomspennende årlige omsetning (avhengig av hvilken som er størst) i henhold til lovene. For slike som Amazon eller Google utgjør dette milliarder dollar i potensielle bøter hvis de mishandler EU-innbyggernes data.
Hva betyr GDPR for amerikanere?
Gjennom denne artikkelen har vi fokusert på hvilke rettigheter GDPR gir innbyggere i EU av den enkle grunnen til at det er en EU-lov. Det gjelder faktisk ikke amerikanske borgere, med mindre de også er bosatt i EU. Årsaken til at du får alle e-postene er at de fleste selskaper ikke har noen mulighet til å fortelle hvem som er EU-bosatt og ikke.
Dette betyr imidlertid ikke at GDPR ikke vil påvirke deg. Det har fått mange selskaper til å revurdere hvordan de håndterer forbrukerdata, og noen av dem har begynt å snakke om å rulle GDPR-rettighetene ut til ikke-EU-innbyggere. Og det er også enklere for selskaper å håndheve et enkelt sett med regler for alle kunder i mange tilfeller.
For eksempel Apple har lansert en ny personvernportal der folk kan laste ned alle sine personlige data eller slette kontoen sin, med andre ord å gi folk rettigheter til tilgang og sletting. Foreløpig er det bare EU-baserte kontoer som kan bruke den, men Apple planlegger å lansere den over hele verden i løpet av de neste månedene . Tilsvarende er Facebook det mumler om å gi den samme GDPR-beskyttelsen til noen brukere utenfor EU .
