Dagens samfunn er nesten fullstendig digitalisert. Hvis vi fikk problemer med datamaskinene og Internett ville det fått dramatiske konsekvenser for oss alle. Mange av oss har for lenge siden sluttet å bære med oss kontanter, vi drar frem plastkortene fra lommene og ser aldri noe til fysiske penger. Man kan nesten begynne å tenke over hvor lenge det er til butikker begynner å ta ekstra betalt, en slags “kontant-skatt”, for de som ønsker å betale med kontanter fremfor lettvinte digitale løsninger. Hva skal man gjøre når man står der uten kontanter og datasystemet har kræsjet?

Utviklingen innen datalagringskapasitet har gjort det mulig å lagre utrolige mengder med informasjon, selv i mange, mange år, uten større kostnader. Mange bedrifter ser på informasjonen som en av sine viktigste verdier. Hundrevis av norske bedrifter og nettjenester har kunderegister på mange hundre tusen kunder, noen av disse lagrer all informasjonen på kritikkverdig måte, som kontroller av Datatilsynet har avdekket. Mange av bedriftene har ikke gode nok rutiner for behandling av sensitive personopplysninger og informasjon er ofte tilgjengelig uten tilgangsrestriksjoner. Selv informasjon som kontonummer, kortnummer og personlige passord lagres i klartekst i store databaser hos enkelte bedrifter.

Det er lett å forstå motviljen hos mange til å faktisk etablere rutiner for rensking og sletting av gammel informasjon fra ulike dataregistre. Store databaser over kunder kan brukes til så mangt. Enkelte beholder kopier av inaktive kunder i opptil flere år, enkelte har faktisk aldri slettet en kunde. Dette er meget problematisk og direkte brudd på bestemmelser i personopplysningsforskriften § 28 som stiller krav om at det ikke skal lagres personopplysninger lengre enn det som er nødvendig.

Personopplysningsloven og Personopplysningsforskriften er vårt lovverk som skal beskytte vårt personvern. Loven og forskriften brytes daglig i mange bedrifter, om det er av ignoranse for loven og forbrukerenes rettigheter eller noe annet vet jeg ikke. Konsekvenser av lekkasjer fra bedrifter som håndterer sensitive personopplysninger kan være katastrofale for de menneskene de angår. Det kan kanskje virke som det er av mindre konsekvens for bedriftene, når de viser slik tilsynelatende lite respekter for lovverket. Det er også slik at strafferammen for brudd på loven er som følger: § 10-3. Straff Den som forsettlig eller grovt uaktsomt unnlater å følge reglene i kapitlene … straffes med bøter eller fengsel inntil ett år eller begge deler.

Tidligere i høst kunne vi lese om hvordan Sørlandets sykehus lekket sensitiv pasientinformasjon på nettet, dette kan være et brudd på både personalhelsetjeneste- og spesialisthelsetjenesteloven. Vi får håpe at dette får reaksjoner på mange områder, reaksjoner som kan få andre helseforetak, samt privat og offentlig sektor til å endre sin praksis og forbedre sine rutiner for behandling av personopplysninger.

Stadig oftere kan vi lese om mennesker som har blitt utsatt for ID-tyveri (identitetkrenkelse), med den lette tilgjengelighet av personopplysninger på nettet er det vanskelig for folk flest å beskytte seg mot slikt. Det ble i mai utarbeidet forslag til endringer på straffeloven 1902 som tidligere har vært spisset mot misbruk av pass og identifikasjonspapirer, men det største problemet i dag er misbruk av identiteter for økonomisk vinnings-kriminalitet over nettet. Det ble foreslått en strafferamme på identitetskrenkelse til bot eller fengsel inntil to år.

Lekkasjer av personopplysninger vil forekomme, også i fremtiden med enda mer avanserte datasystemer. Det er ikke mulig å sikre seg fullstendig fra lekkasjer, men det er fullt mulig å redusere konsekvensene ved lekkasjer. Lovverket har forskrifter som beskriver hvilke retningslinjer som er gjeldende for behandling og lagring av personopplysninger, disse eksisterer av en god grunn og bør alltid følges.

Lagre lite, lagre kort – det er en grunnregel som alle burde følge, også vi som forbrukere. Hvis man har behov for å registrere seg hos en bedrift, som kun har digitale produkter og tjenester, da burde det i de aller fleste tilfellene være fullstendig unødvendig å opplyse om postadresse og bosted. Hvis en kunde har sluttet å handle hos deg, da bør du slette opplysningene innen en rimelig tid. Kanskje det kunne vært en idé å sende ut en epost til gamle kunder og opplyse at deres konto vil bli slettet innen en måned hvis de ikke foretar seg noe?

Det ville vært en befrielse om man kunne stole på at lovverket for personvern ble fulgt. Det er desverre ikke slik, det kan virke som det mer er unntaket, enn regelen, at lovverket blir fulgt. Direkte skremmende kan det være når man returnere til en nettbutikk man ikke har brukt på flere år og man oppdager at de fortsatt har lagret ordre og bestillinger du gjorde for mange år siden. Bankene lagrer opplysninger om vår nettbank- og kortbruk i veldig lang tid, dette er opplysninger som kan misbrukes av veldig mange om den ble tilgjengelig. Transaksjoner på kredittkort har i andre land blitt utnyttet til å gjøre kredittvurderinger og rangering av kunder, dette er ikke lovlig i Norge, men hvordan det praktisk kan stoppes er vanskelig å vite uten innsyn i datasystemene.

Selvsagt er det mye nyttige opplysninger og verdier man kan få av analyser på store dataregistre, som inneholder informasjon om bruksmønster, som f.eks. hva man handler. Personalisert handel er en av de metodene som benyttes for å få oss til å handle mer, markedsføring og reklame som er rettet direkte mot oss som identifiserbare individer. Det eksisterer informasjon i mange databaser som kan brukes til stor samfunnsverdi, men problemet er ofte at informasjonen er lagret uten godkjenning. Opplysninger er også ofte personidentifiserende, noe som gjør dem til personopplysninger som er dekket av lovverket og har behov for personvern.

Det kan og bør etableres rutiner og dataløsninger som vasker data og sensurerer opplysninger som ikke kreves for behandlingen og gjennomføringen av bestemte prosesser. F.eks. kan det være veldig interessant å beholde data på kreftundersøkelser av nordmenn, men disse opplysningene må vaskes slik at enkelte individer ikke lengre kan identifiseres. Burde være slik at man kan forvente at alle opplysninger koblet mot oss som individer ble slettet innenfor rimelig tid når man avslutter sitt kundeforhold, man bør kunne være sikker på at personopplysninger om oss ikke ligger lagret på store datasentere rundt omkring i verden.

Husk på grunnregelen, lagre lite, lagre kort. Ikke krev at kunden skal opplyse flere detaljer enn det som kreves for å gjennomføre formålet og etabler rutiner for å slette eller vaske data etter de forskriftene som er gjeldende. Dette er grunnleggende prinsipper for personvern som alle borgere i et fritt demokrati skal få nyte.

(Foto av NeoSpire og lisensiert under Creative Commons)