Forbrukerrådet er i alle fall ikke det.
I januar avdekket de hvordan den digitale markedsføringsindustrien («adtech») bruker sporingsteknologi til å lage profiler av deg. Forbrukerrådet kaller bransjen «ute av kontroll», og har allerede klaget inn datingappen Grindr til Datatilsynet for omfattende brudd på personvernreglene.
Synlige eksempler på slik sporing er Facebooks «like»-knapp og YouTube-videoer som vises på nettsidene du besøker. Når slike funksjoner er plassert på en app eller en nettside, blir nettaktiviteten din videresendt til Facebook og Google.
Usynlig sporing er derimot bygd inn i den digitale infrastrukturen, og kan ikke sees uten datafaglige kunnskaper. Både den synlige og usynlige sporingen avslører en hel katalog av informasjon om deg, blant annet hvilke apper du har installert, hvor du er og har vært, enhetsinformasjon, IP-adresse, internettaktivitet, nettverksdata og mer.
Ingen av appene Forbrukerrådet undersøkte tilfredsstilte kravene til samtykke
EUs uavhengige personvernråd (EDPB) har uttalt at samtykke nesten alltid vil være påkrevd for sporing. For at et samtykke skal være lovlig, må det være informert, aktivt og frivillig. Ingen av appene Forbrukerrådet undersøkte tilfredsstilte kravene til samtykke.
Persondata som samles inn via sporingen brukes til å lage profiler på forbrukere. Formålet er todelt. Det ene er å tjene penger på å selge profilene. Det andre er å vite mest mulig om deg og din fremtidige adferd slik at markedsførere kan vise deg personalisert reklame. At norske forbrukere er komfortable med å bli kartlagt på denne måten er heller tvilsomt.
Da den europeiske personvernforordningen (GDPR) ble innført som norsk lov i 2018, var et av formålene å gi forbrukere mer makt over egne personopplysninger. Etter GDPR må selskaper ha et lovlig grunnlag for å motta noens personopplysninger.
Ved siden av samtykke blir behandlingsgrunnlaget berettiget interesse hyppig brukt av adtech-selskaper. Berettiget interesse innebærer at om interessene ved å bruke dine persondata veier mer enn din rett til privatliv, er bruken lovlig. Med andre ord, når digitale markedsføringsaktører bruker dette som behandlingsgrunnlag, mener vedkommende at sporingen av deg veier mer enn din rett til privatliv. I likhet med EDPB, hevder Forbrukerrådet at berettiget interesse som behandlingsgrunnlag for sporing er ulovlig.
Rent prinsipielt bør avveiningen mellom retten til privatliv og målrettet reklame gjennom sporing overlates til forbrukeren selv. I utgangspunktet er dette allerede ivaretatt gjennom GDPR, men som Forbrukerrådets rapport viser, gjenspeiles ikke dette i praksis. Om Forbrukerrådets klage ikke medfører bøter og praksisendring fra adtech-selskapene, åpner imidlertid GDPR for at forbrukerne selv kan ta saken i egne hender gjennom krav om erstatning. På den måten kan de forbrukerne som ikke er komfortable med konstant sporing og tilpasset reklame si «nei takk».
William Myhr
Advokatfullmektig i EY
