en verdensturné i februar

Handlingene, beslutningene og debattene som flytter beskyttelsen av personvernet rundt i verden.

Datatilsynet (DPA), som er svært aktive i Europa, ser at beslutningene deres delvis blir utfordret i Belgia og Norge. På tvers av kanalen er Googles Privacy Sandbox-forpliktelser velkomne, mens Meta står overfor en rekke juridiske tilbakeslag i Australia og USA.

TCF vil utvikle seg i Europa selv om IAB Europe anker avgjørelsen fra den belgiske ADP

IAB Europe kunngjorde 11. februar sin intensjon om å anke avgjørelsen fra det belgiske datatilsynet (DPA) om at Transparency and Consent Framework (TVC) bryter visse aspekter av den generelle databeskyttelsesforordningen (GDPR). IAB Europes uenighet refererer hovedsakelig til APDs beslutning om å anse den som medansvarlig for databehandling med TCF-brukere innenfor rammen av Open RTB.

For APD er IAB Europe ansvarlig for behandlingen av «TC-kjeden», som også utgjør, ifølge myndigheten, personopplysninger. Regulatoren mener at IAB Europe burde ha påtatt seg en rekke ansvar i denne forbindelse. Datatilsynet bemerket også i sin avgjørelse at det rettslige grunnlaget som tilbys av TCF for behandling av personopplysninger av adtech-leverandører var utilstrekkelig.

IAB Europe har to måneder på seg til å foreslå en korrigerende handlingsplan for å rette opp situasjonen. Blant disse rettelsene forventes IAB Europe å etablere et juridisk grunnlag for behandling og formidling av brukerpreferanser. Organisasjonen må også forby bruk av prinsippet om «legitime interesse» som grunnlag for behandling av personopplysninger av organisasjoner som deltar i TCF. Til slutt er det pålagt å underkaste disse en streng kontroll for å sikre etterlevelse av RGPD.

Selv om avgjørelsen fra den belgiske datatilsynsmyndigheten ikke er bindende for utgiverne eller de andre deltakerne i TCF, vil den helt sikkert få konsekvenser i fremtiden, og spesielt på det juridiske grunnlaget man kan stole på for å behandle personopplysninger ved å bruke TCF. TCF. .

IAB Europe har seks måneder på seg til å implementere disse tiltakene fra valideringen av handlingsplanen. Organet påpeker i en nylig uttalelse at «versjonen av TCF som vil komme ut av denne prosessen vil være enda sterkere.»

I Europa driver foreninger kampanjer for å få fjernet data samlet gjennom TCF

Irish Council for Civil Liberties (ICCL) og Electronic Privacy Information Center (EPIC) har sendt brev til administrerende direktører i P&G, Unilever, Bank of America, Ford, GM, IBM og Mastercard der de ber dem slette alle data som er samlet inn gjennom IAB . Europa TVC. Dette initiativet følger avgjørelsen fra den belgiske ADP angående IAB Europe: disse foreningene konkluderte med at dataene samlet inn gjennom TCF må slettes.

Ikke slik for IAB Europe: Ikke bare er ingen av annonsørene (eller andre deltakere i TCF) berørt av DPAs avgjørelse, siden sistnevnte ikke har beordret IAB Europe til å slutte å bruke TCF.

Stedet for databeskyttelse av «Brexit freedoms bill» i Storbritannia

Den britiske statsministeren Boris Johnson har kunngjort den nært forestående ankomsten av en «Brexit Freedoms Bill», designet for å lette erstatningen av europeisk lovgivning som har blitt foreldet. Databeskyttelse annonseres som et av nøkkelområdene.

I et policydokument skisserer den britiske regjeringen sine planer for et nytt «dataregime» som vil «hjelpe til med å drive vekst, innovasjon og konkurranse over hele landet og styrke Storbritannias globale omdømme som et knutepunkt for ansvarlige selskaper basert på data». Regjeringen tilsier også at den vil offentliggjøre sitt svar på høringen som ble gjennomført i fjor høst om personvern denne våren. Dette vil skje før innføringen av den aktuelle lovgivningen.

Denne høringen gjorde det spesielt mulig å ta opp visse problemer og formulere anbefalinger. Ulike alternativer utforskes, for eksempel å tillate bruk av analyseinformasjonskapsler eller innsamling og lagring av informasjon uten brukerens samtykke for begrensede formål. Det er også planer om å stole på nettlesere, programvareapplikasjoner, enhetsinnstillinger og til og med pålitelige tredjeparter for å administrere individuelle samtykkepreferanser.

I sitt svar på denne forespørselen har imidlertid informasjonskommissærens kontor (uavhengig myndighet) allerede antydet at implementeringen av noen av regjeringens forslag (inkludert alternative samtykkemekanismer for informasjonskapsler) vil kreve internasjonalt samarbeid.

Konkurranse: poeng for Google og dens personvernsandkasse

UK Competition and Markets Authority (CMA) kunngjorde 11. februar at de har akseptert Googles forpliktelser angående Privacy Sandbox, og dermed avsluttet denne etterforskningen. Det var andre gang Google presenterte forslag for å møte bekymringer uttrykt av myndigheten i denne saken.

Spesielt har Google gått med på å klargjøre interne grenser for dataene de kan bruke, gi større sikkerhet for tredjeparter som utvikler alternative teknologier, og regelmessig rapportere til CMA om hvordan den tar hensyn til tilbakemeldinger fra tredjeparter. Google må overholde disse forpliktelsene i seks år fra aksept av CMA.

Merk at selskapet kunngjorde i februar sin intensjon om å bruke Privacy Sandbox på Android også. Målet er å jobbe uten identifikatorer på tvers av applikasjoner.

Norge: Grindr og det vanskelige spørsmålet om sensitive data

Datingsøknaden Grindr har opplyst til pressen at den har anket boten på 6,3 millioner euro ilagt av Datatilsynet (DPA). Datatilsynet hevdet at tjenesten delte sensitiv informasjon med tredjeparts annonsenettverk i strid med GDPR. Grindr har angivelig betinget tilgangen til gratisversjonen av tjenesten med brukersamtykke til å samle inn og dele informasjon for reklameformål, som DPA sa skulle ha vært valgfritt på grunn av arten av de sensitive dataene.

Grindr avviser at data som deles med tredjeparter utgjør «sensitiv informasjon» under GDPR, og hevder at DPAs avgjørelse er basert på «ubegrunnede, kategoriske og diskriminerende antakelser» om brukere av tjenesten og at bruk av tjenesten ikke avslører seksuell informasjon. . orientering.

Det er ikke klart om konfidensielle slutninger utgjør konfidensiell informasjon under GDPR, da det er under de fleste lover som setter begrensninger på bruken av konfidensiell informasjon.

Dette spørsmålet gjelder for reklamebransjen utover datingsider, spesielt når folk er gruppert i segmenter basert på potensielt sensitive slutninger (for eksempel personer hvis nettleserhistorie indikerer at de kan lide av visse helsemessige forhold). , tilhører en bestemt etnisk opprinnelse eller har en viss seksuell legning eller religion).

Cambridge Analytica: Facebook-anke avvist av australsk domstol

I en sak anlagt av informasjonskommissæren i Australia mot Facebook Inc. etter Cambridge Analytica-skandalen, avviste en australsk domstol Facebooks anmodning om å utelukke ordre gitt mot selskapet i utlandet.

Domstolen avgjorde at australsk personvernlov gjelder for Facebooks ekstraterritoriale oppførsel, ettersom Facebook samlet inn den rapporterte personlige informasjonen i Australia.

Denne saken er viktig. Den viser at australsk personvernlov også gjelder for selskaper som befinner seg utenfor Australia når de målretter mot australske forbrukere for digital annonsering.

Facebook betaler 90 millioner dollar for en langvarig amerikansk sak med sporing av frakoblede brukere

Facebook gikk med på å betale en bot på 90 millioner dollar for å avslutte et søksmål fra 2012 om sporing av brukere på nettet mens de var offline. Dette ble gjort på nettsider som inneholdt Facebook «Like»-knapper og uten brukersamtykke. Facebook har sagt ja til å slette feilaktig innsamlet data.

Søksmålet ble anlagt ved amerikansk føderal domstol (i Northern District of California). Hendelsene hadde skjedd mellom 2010 og 2011. Selv om det ikke var noen omfattende personvernlovgivning som krevde frivillig samtykke, og faktisk ikke eksisterer ennå i USA, er Facebook anklaget for brudd på den føderale avlyttingsloven. Sistnevnte forbyr avlytting av elektronisk kommunikasjon uten forhåndssamtykke fra en av partene.

EU/USA dataoverføring USA «høy prioritet»

Margrethe Vestager, konserndirektør for digital strategi i EU-kommisjonen, sa til journalister at en dataoverføringsavtale med USA var en «høyprioritert sak», selv om hun erkjente at det ikke ville være lett «å ikke få en Schrems-avgjørelse.» III negativ». .

Kommissæren refererte til Schrems II-dommen fra EU-domstolen (CJEU) som ugyldiggjorde den tidligere transatlantiske dataoverføringsavtalen, Privacy Shield. Ved denne anledningen avgjorde EU-domstolen at amerikanske overvåkingslover ikke var tilstrekkelig begrenset til det som var strengt nødvendig og ikke ga effektive rettsmidler til registrerte, slik det kreves av EUs charter om grunnleggende rettigheter. Domstolen indikerte også at når lovgivningen i mottakerlandet for en dataoverføring ikke gir tilstrekkelig beskyttelse, må selskaper gi ytterligere garantier eller suspendere overføringene.

USA-EU Trade and Technology Council skal etter planen møtes i mai.

Personvern: regninger flyttes over hele USA

Arizona, Connecticut, Iowa og Wisconsin, blant andre, introduserte omfattende nye personvernlover i februar. Selv om lovgivningen i enkelte stater som Alaska og Hawaii har avtatt, har 23 stater pluss District of Columbia nå omfattende og aktiv personvernlovgivning.