Professor, dr.jur. Peter Blume, Det Juridiske Fakultet, Københavns Universitet

»Because something is happening here. But you don’t know what it is. Do you, Mr. Jones?«¹1. Bob Dylan: Ballad of a thin man.

1. Beskriveles- og forståelsesproblemer

I sin disputats EDB og Ansvar (1988) identificerer Mads Bryde Andersen et beskrivelsesproblem.²2. Se endvidere kort præsentation i Mads Bryde Andersen: IT retten (2.udg. København 2005) p.99-107. Et sådant problem er relateret til en situations eller sags retsfaktum og udspringer af et uigennemskueligt eller ikke selvforklarende faktum. Problemet foreligger, når der skal ske en retlig vurdering af et bestemt sagsforløb, som er forbundet med faktiske forhold, der ikke umiddelbart forklarer sig selv, og som ikke umiddelbart er tilgængelige for den, der skal eller vil foretage vurderingen. Den korrekte retlige løsning eller afgørelse bliver usikker, især når der ikke er retlige instrumenter, f.eks. god skik-normer, der kan bidrage til at fastlægge retsfaktum, som ydermere influerer på jus. I disputatsen er det retlige tema erstatningsret, og det faktuelle felt, der »forstyrrer« retsfaktum, repræsenteres af edb- eller nutidigt it-teknologi.³3. Det er her edb, der er faktum, og erstatningsret, som er retsfaktum, jf. Edb og Ansvar p.26. Kompleksitetsniveauet kan være højt, og den manglende tilgængelighed bliver til et problem, fordi en formindsket evne til at beskrive og dermed forstå en bestemt teknologi Side 15 eller teknologisk løsning vanskelliggør indkredsningen af retsfaktum og forstyrrer anvendelsen af den relevante ret, hvilket kan medføre retlige løsninger, der enten ikke er korrekte eller ikke er samfundsmæssigt hensigtsmæssige eller ønskelige.

Ved at sætte søgelyset på dette problem tænder MBA lyset over en problemstilling, der har betydning for de former for retlig regulering, der enten specifikt er rettet imod it-teknologien, eller som er foranlediget af denne teknologi. Retlig regulering, der enten samfundsmæssigt tager sigte på at afgrænse teknologiens anvendelse, eller som fastsætter retlige konsekvenser i forhold til brugen af teknologien. Det er først og fremmest det nye, der medfører støj. Lyset er dermed tændt i forhold til mange reguleringer, der i takt med de senere års retsudvikling måske ikke har meget med hinanden at gøre, men som alligevel har det til fælles, at de er relateret til den digitale informationsteknologi, som er en art omdrejningspunkt, der hele tiden synes at bevæge sig, og råber på retlige holdepunkter, måske i form af god skik-normer.⁴4. Jf. Edb og Ansvar p.60.

Beskrivelsesproblemet foreligger mange steder, men dette er ikke ensbetydende med, at det er erkendt eller tages alvorligt. Tværtimod synes det mere at være negligeret og synes ikke at influere på retsdannelsen eller retsanvendelsen, hvor det søges henskudt til at være et bevisretligt tema. Det tages ofte for givet, at informationsteknologien kender vi, når vi bortser fra detaljer, og bl.a. lovgiver belastes kun sjældent af teknologiske udredninger. Det betyder ikke, at problemet ikke eksisterer, men snarere at det er besværligt og på en måde forstyrrer de cirkler, som retten tegner. Beskrivelsesbarrieren udfordrer under alle omstændigheder, og det kan være nyttigt i denne indledende del at indkredse, hvori problemet består, idet det for en god ordens skyld må nævnes, at dette sker frigjort af disputatsen.

I 1970 gik jeg til forelæsninger i forvaltningsret, hvor professor Bent Christensen førte ordet. På et tidspunkt blev en dom om en landbrugsejendom inddraget, og BC fremhævede her, at skulle man forstå denne dom, måtte man vide, hvad en landbrugsejendom er. Mine og mine medstuderendes øjne blev tomme, men spørgsmålet er, om der her blev peget på et beskrivelsesproblem. Ja og nej. Ja, fordi det retlige problems løsning forudsætter, at vi ved, hvilken type ejendom en landbrugsejendom er, men nej, fordi det så blot bliver en triviel konstatering af, at juristen må Side 16 kende faktum og den retlige kvalificering, der konstituerer denne ejendomstype som retsfaktum. Der er ikke nogen utilgængelighed knyttet til ejendommens særlige karakteristika, og juristens kendskab behøver ikke at være alt omfattende og nå ud til sidste halmstrå. For at nærme os temaet gælder dette også eksempelvis en computer. Vi ved, hvad en computer er, men de fleste kender ikke de tekniske detaljer, og i forhold til mange, om end ikke alle, retlige situationer vil dette normalt ej heller være nødvendigt.

Et beskrivelsesproblem er mere komplekst og kan siges at angå faktuelle forhold, der ikke er selvforklarende, men hvis forståelse er afgørende for, at man kan identificere eller erkende den korrekte indplacering af fænomenet i et kvalificeret retsfaktum som del af et retligt afgørelsesskema eller i de retlige regler. Det kan forekomme naturligt, at dette problem netop opstår i forbindelse med teknologi og teknologisk prægede fremgangsmåder. Men der er selvfølgelig glidende overgange til de situationer, hvor der blot er tale om almindelig faktumforståelse, og det er langt fra sikkert, at den tur, der nedenfor foretages gennem dele af persondataretten, hele tiden holdes på »dydens smalle sti«, hvor vi ikke umiddelbart kan beskrive. Dette er for så vidt ikke afgørende, fordi beskrivelsesproblemet et langt stykke vej repræsenterer et alment spørgsmål til jurister; et spørgsmål, der blot skærpes, når der er tale om (ny) teknologi.

En sag og for så vidt også en retsvidenskabelig problemstilling omfatter et faktum med fænomener fra »virkeligheden«, som læst juridisk kan kvalificeres til et retsfaktum, der er et stadie på vej frem imod en afgørelse eller et resultat.⁵5. Dette er skematisk udtryk. De forskellige stadier reflekterer sig i hinanden og kumuleres i det retlige resultat (retsfølgen). Der køres ikke altid slavisk fra A til Z. – Se også Edb og ansvar p. 30-32. Spørgsmålet er, i hvilken udstrækning er det nødvendigt at forstå de faktiske fænomener for at fastlægge en korrekt retlig kvalificering, der definerer et retsfaktum, eller for at give et »godt« svar på en retspolitisk problemstilling. Som nævnt afhænger dette af problemets og det faktiske fænomens karakter. Benytter en person en pistol, behøver juristen ikke, for at afgøre om vi er inden for eller uden for straffelovens § 237, vide, hvorfor en pistol kan affyre en kugle, der kan have dræbende virkning. Er spørgsmålet, om en bestemt anvendelse af en database indebærer en ophavsretlig krænkelse, kan det derimod være nødvendigt, at juristen forstår, på hvilken måde den specifikke database virker.

Side 17

I almindelighed varierer problemets omfang og intensitet af reguleringsgenstanden og den i de retlige regler foretagne kvalificering. Temaet har alle variationer. Der er ikke noget problem, der er et problem, som let kan overvindes, problemet er stort og indicerer utilgængelighed, men det kan dog overvindes så den retlige regulering fungerer, der er et meget stort problem, som skaber utilgængelighed med den konsekvens, at reguleringen sker i blinde og måske rammer ved siden af. I første omgang er det væsentlige at anerkende problemet og måske mest at anerkende, at en erkendelse af problemet kan være en frugtbar vej ind i en retlig regulering og en mulig vejviser til forståelsen af en regulering, herunder til forskellige mulige reguleringer. Anerkendelsen af problemet viser måske i særlig grad frem imod en vej uden om de blinde veje og faldgrubberne. Under alle omstændigheder ses i hvert fald en vej, det kan være et forsøg at køre på.⁶6. Vejen kan bestå af metodisk præcision, aktualitet og teknisk korrekthed, jf. Edb og Ansvar p. 64.

2. Persondataretten

Vejen fører her ind i persondataretten, som først karakteriseres, inden den egentlige kørsel tager sin begyndelse. Som andre former for it-ret er persondataretten under et historisk perspektiv en ny ret, men dog ideologisk og værdimæssigt med tråde tilbage i tiden som følge af tilknytningen til privatlivets fred, men dog ikke helt til Rom som for dele af formuerettens vedkommende. Reguleringsmæssigt har den gennemgået forskellige stadier fra nationalt betinget registerorienteret regulering, hvor registeret var det faktuelle, og ikke altid helt forståelige omdrejningspunkt, til EU-bestemt behandlingsorienteret regulering formuleret i direktiv 95/46 og nu i forordning 2016/679. Persondataretten har med forordningen bevæget sig fra periferien, hvor den blot tiltrak sig venlig let afventende opmærksomhed, til centrum, hvor den i en vis forstand er på alles læber. Denne forandrede status skyldes ikke en forbedret forståelse af reguleringsgenstanden eller ny omsorg for borgernes databeskyttelse, men langt overvejende forordningens sanktionsordning, som medfører, at persondataretten er blevet alvor, hvilket i sig udgør et incitament til at afdække dens eventuelle hemmeligheder.

Side 18

Det er forordningen, som i centrum i det følgende, fordi det er den ret, der gælder og som man derfor må forholde sig til, men nogle enkelte ord om den historiske udvikling, fordi den danner en art baggrundstæppe for de problemer, som forordningen byder på. Oprindeligt var registeret som nævnt i centrum, hvilket var teknologisk begrundet, fordi personoplysninger ofte blev opbevaret i og formidlet fra centralt placerede main-frame-systemer. Det var derfor væsentligt at forstå, hvad er et register er. Dette skyldtes også, at denne måde at bruge personoplysninger på skabte såkaldt registerskræk og tale om Big Brother. Noget nyt vækker ofte uro og usikkerhed. Hos os gik vi særligt vidt ved at have to registerlove (293 og 294/1978), offentlig forvaltning og privat sektor, og reguleringen var overordnet set restriktiv og indgribende, idet det er illustrerende, at det fulgte af § 1 i loven om private registre, at privatpersoner ikke måtte benytte persondata i digital form; et forbud, som bestod, men ikke blev håndhævet, indtil 2000.

Det kedelige, nogle vil sige det fascinerende, ved it-retten, herunder persondataretten, er, at teknologien ikke lader sig inddæmme retligt, og at fastsatte regler kun kortvarigt kan fungere som en regulativ ramme eller stopklods. Uanset retlig regulering er teknologien stærkest. Udviklingen medførte, at det blev mærkeligt og urealistisk at lade registeret være fokuspunkt for reguleringen. Konsekvensen blev et paradigmeskift manifesteret i direktiv 95/46. Direktivet påtvang en ændring af dansk ret, selvom langt fra alle modtog det med glæde. Det nye paradigme er behandling, der betegner enhver form for anvendelse af personoplysninger. Persondataretten breder sine vinger ud og bliver nærmest altomfattende. Ingen form for anvendelse af digital teknologi, der medtager persondata, kan undslippe, og på denne måde bliver persondataretten en del af centrum i den nye lex informatica. Dette bliver den yderligere, fordi opfattelsen af, hvad der er en personoplysning, også er bred, og den til stadighed gøres bredere, således at der kun kræves en eller anden relation, nok så indirekte gennem mange led og undertiden baseret på sandsynlighed, til en fysisk person for at oplysningen bliver til en personoplysning.

Med direktivet er persondataretten pludselig overalt, og dermed bliver det mere naturligt at stille krav om, at den er forståelig og anvendelig på en sædvanlig retlig måde. Bredden understreger en forventning om, at der er tale om »normal« ret, og for så vidt at der ikke må foreligge beskrivelsesproblemer, der blokerer for en retsanvendelse i overensstemmelse med retssystemets værdier. Der kan stilles spørgsmålstegn til, om persondataretten lever op til denne fordring, men selvom der undertiden er Side 19 stillet sådanne spørgsmålstegn, og selvom direktivet og den korresponderende persondatalov (429/2000) har haft en vis gennemslagskraft, har disse spørgsmålstegn ikke været kritiske, og reguleringens praktiske virkninger har været forholdsvis begrænsede. Selvom der ikke her i landet findes systematiske undersøgelser, er det et almindeligt indtryk, at persondatarettens gennemslag ikke har været stort, og ofte er dens regler bevidst eller ubevidst blevet negligeret. På overfladen har denne regulering været kendt, men dens fulde dimensioner har næppe været erkendt, og under alle omstændigheder har dens enkelte regler langt fra altid været overholdt.

Historiens næste fase er persondataforordningen (2016/679), der har været på alles læber, siden den så dagens lys, og som har virket fra 25. maj 2018.⁷7. Se i det hele om forordningen Peter Blume: Den nye persondataret (2. udg. København 2018). Forordningen er en trofast fortsættelse af direktivet og medfører således ikke et nyt paradigme. Behandling af persondata er fortsat omdrejningspunktet, og forordningen kan karakteriseres som en opdatering, der let begrundes med, at informationssamfundet 2016 (= 18) er meget anderledes end informationssamfundet 1995 (= 98). Cloud computing og sociale netværk er blot to af mange eksempler på en hastig og uforudsigelig samfundsmæssig og teknologisk udvikling. Samfundet er ændret, men forordningen er trofast, en evolution frem for en revolution, selvom denne konservative karakteristik ikke bør overdrives.

Der er tale om en forordning og ikke et direktiv, hvilket umiddelbart er en væsentlig ændring, men i realiteten er forandringen ikke så stor.⁸8. Se om problemstillingen Peter Blume, Juristen 2012 p. 57-60. Der er et betydeligt såkaldt nationalt råderum, primært for den offentlige sektor, og mange regler er åbne med frihedsgrader, som giver nationale bevægelsesmuligheder. Det er forståeligt, at det er ganske udpræget at se forordningen karakteriseret som et direktiv i forklædning. Det er måske at sætte sagen på spidsen, men der er også en sandhed i denne iagttagelse.

3. Bøder

Tages denne beskrivelse af forordningen for pålydende, kan man naturligt spørge hvorfor alt dette postyr, hvorfor den nærmest uendelige ræk-Side 20ke af kurser, møder og uddannelsestilbud, hvorfor den bekymring mange ofte giver udtryk for. De fleste finder som nævnt oven for svaret i bødesanktionsordningen (artikel 83), hvor maksimum i den private sektor er sat til 20 millioner euro eller 4 % af forrige års verdensomsætning, der vælges, såfremt det giver det højeste beløb. Uanset at man i konkurrenceretten kan komme langt højere op, er det et bødeniveau, der gør indtryk på enhver virksomhed. Selvom en bøde er en bøde, kan det ligne et paradigmeskift i forhold til persondataloven, hvor en virksomhed skulle være meget uheldig for en få en bøde på 25.000 kr. I dansk ret er paradigmeskiftet også tydeligt i den offentlige forvaltning, hvor der som noget positivt nyt kan gives bøder, og hvor bøden kan være 16 millioner kr. eller 4 % af myndighedens driftsbevilling med de 16 millioner som maksimum (databeskyttelseslovens § 41, stk. 6). Forordningen indvarsler, at persondatabeskyttelse skal tages alvorligt, og at der er mærkbare konsekvenser forbundet med ikke at gøre det. Dette er årsagen til den paniske stemning, især blandt de mange virksomheder, som ikke har taget persondataloven særligt alvorligt; det er svært at finde en bøde på 25.000 kr. på årsregnskabet!

På en måde er dette lidt tankevækkende. Som det formuleres i forordningen, synes risikoen for straf at virke afskrækkende og som den egentlige grund til, at de persondataretlige regler bliver overholdt, frem for en accept af databeskyttelse som en værdi. Det er dog i almindelighed velkendt, at straf ikke har præventiv effekt, i det omfang man skulle tro. Straf er ikke noget universalmiddel og afholder langt fra altid personer fra at begå ulovlige handlinger. Det gælder også i forhold til adfærd, som enhver ved er strafbar. Selv drab sker, uanset at det medfører den højeste straf, og det gælder også i lande, som anvender den ultimative straf, dødsstraf, som vi for længst har afskaffet. I mange tilfælde er det ikke åbenbart, at en bestemt persondatabehandling er strafbar, idet den fastsatte forpligtelse ikke lader sig beskrive fuldt ud, men alligevel synes truslen om store bøder at virke præventivt. Dette er naturligvis kun en formodning, da forordningen ikke har fungeret særligt længe endnu, og ligeledes findes der ikke regler, som aldrig bliver overtrådt. Det er dog åbenbart, at det er bødetruslen, der har skabt den store opmærksomhed, og samtidig, for at vende tilbage til hovedsporet, er det denne del af forordningen, som skærper interessen for, om der er beskrivelsesproblemer eller tomme huller, som retssikkerhedsmæssigt bliver accentueret. I en strafferetlig terminologi er spørgsmålet, om det persondataretlige gerningsindhold er tilstrækkeligt tydeligt.

Side 21

Med dette fokuspunkt bevæger vi os nu ind i forordningen med den indledende konstatering, at der er tale om en kompleks og nærmest uoverskuelig retsakt; 99 artikler og 173 præambeludtalelser. Dette er ikke en regulering for hvem som helst, og selv de såkaldt kyndige har svært ved at overskue hele landskabet og finde de rette stier. Forordningen er både et Paradis og et helvede for jurister. På et overordnet niveau kan man hævde, at forordningen i sig selv etablerer et retligt beskrivelsesproblem ved at gøre den fulde gældende persondataret utilgængelig og uoverskuelig. På denne måde varsler forordningen ikke godt for fremtiden, og det er på sin vis forunderligt, at jordnære medlemsstater som Danmark er gået med til dens udstedelse i denne form. Når man går ind i forordningen, går man ind i et vildnis, men rejsen går alligevel den vej i det følgende.

4. Design

Man kan vælge at starte forskellige steder, men her tages begyndelsen i en af de i forhold til persondatadirektivet nye regler, artikel 25 om databeskyttelse per design og via standardindstillinger (default). Især for så vidt angår design kan der spores betydelig usikkerhed med hensyn til, hvilke krav denne bestemmelse, der efter artikel 83(4a) er bødesanktioneret, stiller til den dataansvarlige. Hvad er det egentlig, den dataansvarlige skal gøre. Ideen om privacy by design er oprindeligt udviklet i Canada, men en henvisning til oprindelsen, som i øvrigt ikke er nævnt i præamblen, skaber ikke klarhed, da der oprindelig synes at være tale om en overskrift, der dækker over en række behandlingskrav, som er fæstnet i andre bestemmelser. Kritisk kunne anføres, at der fra starten var tale om et smart slogan, der skulle appellere til de dataansvarlige og få dem til at integrere en forståelse af databeskyttelsens betydning i den almindelige drift.

Forordningsreglen er forholdsvis åben. Der henvises til den samlede behandlingssituation, og i denne skal der gennemføres foranstaltninger, som sikrer databeskyttelsens principper, idet der som eksempler, men for så vidt kun som eksempler, nævnes pseudonymisering og princippet om minimering, idet disse foranstaltninger eller garantier skal være integreret i behandlingen. Bestemmelsen spreder ikke noget klart lys, og det springende punkt er, om design-kravet tilføjer noget nyt i forhold til forordningens øvrige bestemmelser. Et andet tilsvarende spørgsmål er, hvorle-Side 22des det afgøres, at behandlingssituationen ikke er omgærdet af design med den mulige konsekvens, at der skal bødesanktioneres. Det er ikke muligt at give sikre svar på disse spørgsmål, og måske har forordningen på denne måde skabt en art beskrivelsesproblem.

Det er udbredt, at artikel 25 opfattes som en regel om datasikkerhed. Dette kan muligvis have en vis begrænset ræson i forhold til anvendelsen af standardindstillinger (deault), mens det er mindre nærliggende i forhold til design. Forordningen har i artikel 32 en bestemmelse om datasikkerhed, og design-reglen er ikke systematisk knyttet til denne bestemmelse. Der er tale om noget mindre håndfast og på mange måder er der tale om en regel af den type, der ofte benyttes i den persondataretlige regulering. Den angiver en vis retning, men den er uden helt faste konturer, hvilket betyder, at den kan udfyldes på forskellige måder. Kravet om design behøver ikke nødvendigvis være en stor byrde for den dataansvarlige, bl.a. fordi en behandlingssituation kan være mere eller mindre kompleks og designkrævende.

Der er åbnet et rum, som på en lidet beregnelig måde kan udfyldes af tilsynsmyndigheder og andre bestemmende organer. Design kan forstås som en fordring om, at det miljø, der omgiver behandlingssituationen, skal være indrettet på en sådan måde, at det sikrer den bedst mulige databeskyttelse og opfyldelse af forordningens målsætninger. Det er en fordring om, at den dataansvarlige konstant skal tænke databeskyttelse. I denne forstand er der tale om en handlenorm, men det er fortsat et åbent spørgsmål, hvorledes denne norm gøres operationel, og hvorledes den bliver adfærdsstyrende. Det må under alle omstændigheder konstateres, at design-kravet kan opfyldes på flere måder og således er betinget af den persondatabehandling, som finder sted. Det er et individuelt krav, og der er ikke kun en bestemt form for design, og det må afhænge af en specifik vurdering, om der i det enkelte tilfælde er taget tilstrækkeligt hensyn til databeskyttelsen.

Måske er vanskelighederne forbundet med, at man har knyttet reglen til et slogan, der kan lyde godt, men som i denne sammenhæng ikke har retlig karakter. Tværtimod vil design sandsynligvis for mange, måske de fleste, dataansvarlige være en mystifikation, som skaber usikkerhed. Dette er måske særligt tilfældet, når det anvendes i de ikke engelske sprogversioner af forordningen. Lægger man i almindelighed til grund, at design-kravet indebærer, at den dataansvarlige skal tænke databeskyttelse, aktualiseres spørgsmålet om, hvorledes man gør dette. Man kan spørge, om handlenormen er relateret til noget rimeligt præcist.

Side 23

Spørgsmålet er, om den dataansvarlige har et orienteringspunkt. Dette er ikke et nemt spørgsmål, fordi svaret er betinget af en generel vurdering af forordningen som helhed. De artikulerede formål i artikel 1, som er databeskyttelse og fri dataoverførsel i EU, er så brede, at de ikke i sig selv angiver retningspile for, hvad der skal opnås med designet persondatabehandling. Man må søge ind i forordningen, og selvom den, der søger, skal finde, er det i dette tilfælde svært at finde et sikkert svar. Der er en række generelle principper i artikel 5, der skal være sikret, og det er ikke alle principper, som bakkes op i forordningens enkeltbestemmelser, hvorfor design kan være en mulighed. Det er nærliggende, at proportionalitet er en retningspil, hvorefter kun personoplysninger, som har betydning for behandlingsformålet, må inddrages. Persondatabehandlingens tilrettelæggelse må understøtte dette. Minimering af oplysningerne kan ligeledes fremhæves, som det sker i bestemmelsen. Kun persondata, som er nødvendige for at realisere formålet, må indgå i behandlingen, og der bør derfor være mekanismer, som fremmer en kontrol hermed. Datakvalitet har ganske vist en pendant i den registreredes korrektionsret (artikel 16), men denne ret bruges kun i begrænset omfang og er ikke tilstrækkelig til at sikre, at kun korrekte oplysninger bliver behandlet. Der er brug for et design-element til at understøtte datakvaliteten. Dette kan være en advarsels- og kontrolmekanisme baseret på kriterier, der indicerer, at korrektheden bør kontrolleres. Design-forudsætningen kan således knyttes til enkelte af de grundlæggende principper, og dette er selvsagt væsentligt.

Spørgsmålet er herefter, om der er andre dele af forordningen, som på en tilsvarende måde kan relateres til design, idet udgangspunktet må være, at der tilføjes noget nyt. Denne forudsætning medfører, at der må være tale om noget andet end den nødvendige datasikkerhed, der eksklusivt reguleres i artikel 32. Det kan overvejes om design kravet har nogen betydning i forhold til behandlingsbetingelserne i artikel 6, 9 og 10. For en umiddelbar betragtning er dette ikke tilfældet, eftersom den dataansvarliges vurdering af, om der er hjemmel til behandlingen, ikke sædvanligvis er betinget af det teknologiske miljø, der omgiver denne. Design kan således alene på ny være udtryk for en intern kontrol af, at der i det specifikke tilfælde er den tilstrækkelige hjemmel. På denne måde bliver design en mekanisme, der kan sikre, at behandlingen er lovlig, men denne forpligtelse følger af mange af forordningens regler, og det er ikke åbenbart, at design-kravet i denne henseende er nødvendigt eller medfører noget frugtbart.

Side 24

Mere nærliggende kan det være, at behandlingsmiljøet har betydning for anvendelsen af de registreredes rettigheder i artikel 13-22. Den dataansvarlige må indrette sin behandling således, at disse rettigheder kan fungere optimalt for de registrerede, herunder inden for de frister, som forordningen foreskriver. Det må eksempelvis være muligt at give indsigt således, at de data, der er knyttet til den enkelte person, let og hurtigt kan lokaliseres og gøres tilgængelige. Dette vil gælde i forhold til de anvendte it-systemer, der må være designet således, at indsigtsanmodninger kan håndteres. I almindelighed må det yderligere forudsættes, at den dataansvarlige har uddannet sit personale til at kunne administrere de forskellige rettigheder som et element i den dataansvarliges drift. Det forekommer naturligt at antage, at dette er en del af databeskyttelse per design. Herudover er det svært at se andre af forordningens regler som en platform for design. Disse bestemmelser står i sig selv, og deres udfyldning er tæt knyttet den enkelte regel.

En yderligere mulighed for at udfolde en betydning bag design er at knytte denne handlenorm til persondatarettens nye aktør, databeskyttelsesrådgiveren (artikel 37-39). Rådgiveren, ofte noget misvisende betegnet DPO, har den overordnede funktion at bistå den dataansvarlige med at indrette sin behandling således, at den opfylder forordningen og databeskyttelsesloven. Dette gælder for alle offentlige dataansvarlige og for enkelte private dataansvarlige. En rådgiver behøver en målestok for sin rådgivning, og det forekommer nærliggende, at denne målestok kan være design. Det er miljøet omkring behandlingen, herunder personalets uddannelse, som skal være i orden. Dette indebærer, at det er rådgiveren, som skal sikre, at der realiseres databeskyttelse per design. Dette betyder jo ikke, at vi er kommet nærmere på, hvad design er, men det er dog et skridt ved en lokalisering af, hvem der kan yde et bidrag til den nærmere konkretisering. Beskrivelsesproblemet består, men det kan måske fremover blive lidt mindre.⁹9. Design-kravet er omtalt nærmere af Henning Mortensen, Revision og Regnskabsvæsen nr.12/2017 p. 64-74. Se nu også Datatilsynets vejledning (juni 2018).

5. Personoplysning

Selve det grundlæggende koncept, personoplysning, udgør en udfordring. Selvom der er en sikker kerne, er der også en periferi, som skaber Side 25 usikkerhed, og som i et vist omfang er forbundet med teknologi, som kan være svær at beskrive under det retlige perspektiv. Udgangspunktet er enkelt, idet en personoplysning er en oplysning, der er relateret til en bestemt fysisk person. Reguleringsobjektet er principielt ikke personen, men oplysningen og således ikke direkte den viden, som oplysningen giver om personen. Dette er for så vidt kimen til den bredde, der karakteriserer persondataretten, idet også oplysninger, som enhver kender, og som ikke formidler noget nyt, er personoplysninger, der udløser retlig beskyttelse.

For en umiddelbar betragtning skulle det være enkelt at fastslå, hvad en personoplysning er, men som det så ofte er tilfældet for ord eller begreber, der indgår i en retlig kontekst, er det alligevel ikke på alle punkter enkelt. Dette skyldes først og fremmest, at begrebet omfatter den identificerbare oplysning, der er karakteriseret ved, at der er et eller andet mellem oplysningen og personen. Anerkendelsen af disse oplysninger som beskyttelsesværdige skaber komplikationer, især når mellemledet ikke understøtter en entydig identifikation.

Journalnumre m.v. er knyttet til en enkelt person, og det virker naturligt, at de betragtes som personoplysninger, da databeskyttelsen ellers ville være for snæver. Mindre åbenbar er situationen, når der ikke er nogen entydig identifikation. Eksempler på sådanne mellemled er både jordnære og teknologiske. Blandt de første er bilers nummerplader, registreringsnumre, som efter praksis udgør en oplysning om ejeren, uanset om det er ejeren eller en anden, der har kørt bilen på et tidspunkt, hvor der er sket en registrering af oplysninger. Bortset fra tilfælde, hvor en sådan personoplysning faktuelt er falsk, kan man spørge, om der i praksis er skadevirkninger forbundet hermed. Dette er næppe tilfældet, idet oplysningen sædvanligvis vil blive korrigeret, inden den bliver anvendt, idet dette dog forudsætter, at persondatabehandlingen er kendt af de implicerede personer. Mere omdiskuteret har været, om en computers IP-nummer er en personoplysning. Medfører kendskab til dette nummer viden om, hvem der anvender eller har anvendt den pågældende computer til at foretage bestemte søgninger m.m., eller kan der være tale om hvem som helst. Problemstillingen skærpes, når der er tale om dynamiske IP-adresser, der ikke er knyttet til en bestemt computer, men tildeles løbende ud fra et tilfældighedsprincip. Usikkerheden synes her at være særlig stor, men desuagtet er det i EUD-praksis (C-582/14) antaget, at både dynamiske og statiske IP-adresser under bestemte omstændigheder er personoplysninger.

Side 26

Selvom det i almindelighed antages, at der ikke er tale om en personoplysning, såfremt den dataansvarlige skal anvende meget store ressourcer for at foretage en identifikation, findes der vist nok ikke eksempler på, at denne modifikation er blevet anvendt. Det er lidt af en besværgelse. Der skal uendeligt lidt til, for at en oplysning kategoriseres som en personoplysning. Dette skaber vel ikke i sig selv et beskrivelsesproblem, men muligvis en mystifikation, og det skaber undertiden usikkerhed og bredde, der vanskeliggør anvendelsen af persondataretten.

6. De åbne regler

Det kan overvejes, om anvendelsen af åbne regler, herunder retlige standarder, medfører vage konturer, der konstituerer et beskrivelsesproblem. Dette forudsætter, at de åbne regler udgør en barriere, som blokerer for mulighederne for at forstå en sags genstand og herefter at anvende reglerne. Generelt betragtet er dette ikke, i hvert fald ikke fuldt ud, tilfældet for persondatarettens vedkommende, men alligevel er der god grund til at interessere sig for denne reguleringsform. Brug af retlige standarder konstruerer en ramme omkring reguleringen og sender et signal om vilkår for reglernes anvendelse ikke mindst i relation til svært tilgængelig teknologi. Det væsentligste signal er, at disse regler ikke kan anvendes direkte, men at de udgør et udgangspunkt, som skal tydeliggøres i andre retskilder for at angive deres anvendelsesområde.

Når det i mange af persondataforordningens bestemmelser, herunder især i behandlingsbetingelserne (artikel 6 og 9) angives, at den enkelte regel benyttes, når der foreligger nødvendighed, er det for en umiddelbar betragtning ikke åbenbart, hvad der præcist menes hermed. For den ikke trænede læser fremtræder dette som et strengt krav, der tilkendegiver, at noget ikke kan opnås på anden måde, og at det, som den enkelte regel angiver, er påkrævet for den dataansvarlige. Går man tilbage til loven om private registre, hvor der ved opdelingen mellem almindelige og følsomme persondata blev skelnet mellem relevans og nødvendighed, synes denne opfattelse at have et vist belæg. Når der efter forordningens artikel 6(1e) kan behandles oplysninger, når det er nødvendigt for myndighedsudøvelse, vil dette indebære, at behandlingen er den eneste mulighed for at udøve myndighed. Er man tilhænger af en stærk databeskyttelse, er denne forståelse af nødvendighed fristende, fordi den indskrænker mulighederne for at anvende personoplysninger. Dette er dog ikke den må-Side 27de, som nødvendighed opfattes på i den juridiske sammenhæng, idet begrebet her forstås som en fordring om proportionalitet. Der skal således være et rimeligt forhold mellem formålet og behandlingen. Der skal i eksemplet være en acceptabel forbindelse mellem myndighedsudøvelse og anvendelse af bestemte persondata, hvilket medfører en betydelig mindre restriktiv persondataret.

Denne anden, og gældende, forståelse af disse persondataretlige regler opstår ved anvendelsen af andre retskilder end reglen. Dette kunne i EU-retten være præamblen, men selvom denne er særdeles ordrig, giver den ikke nogen rettesnor i denne sammenhæng. Det er dermed i første række datatilsynspraksis, Artikel 29-gruppe-udtalelser, og EU-Domstolens praksis, der varetager den uddybende funktion. Man kan sige, at dette sammenrend af retskilder, der har forskellig status og betydning, klargør den retlige standards indhold og her viser, at nødvendighed er proportionalitet.¹⁰10. Se i relation til persondataloven i det hele Charlotte Bagger Tranberg: Nødvendig behandling af personoplysninger (København 2007). For så vidt angår retskildeanvendelsen er dette ikke noget specielt, da retskilderne er et spindelvæv, der er tæt forbundet, og hvor den ene retskilde kan hive sig selv og andre kilder op til den norm, der slutteligt bliver dannet. I det anvendte eksempel er der næppe tvivl om, at persondataretten bliver mere realistisk i forhold til samfundsmæssige behov ved at lægge vægten på proportionalitet. Dette fjerner dog ikke fuldt ud forståelsesproblemet.

Utilgængeligheden mindskes via de supplerende retskilder, men den forsvinder ikke umiddelbart, fordi også proportionalitet er en åben norm, der ikke uden videre er gennemskuelig. Afhængigheden af de andre retskilder er opretholdt, og det er kun via retlig praksis, at det klargøres, hvorledes den enkelte regel skal anvendes. Igen er dette ikke usædvanligt, når gældende ret søges, og det hele kunne for så vidt være sat på spidsen med en konstatering, at gældende ret i det hele repræsenterer et beskrivelsesproblem. Hvis den vej følges, bliver der for så vidt ikke noget selvstændigt budskab i denne måde at betragte regler eller retlige konstruktioner, fordi de blot er som retten er. Denne, vil nogen måske sige radikale, andre måske banale, indfaldsvinkel genoptages senere.

I første omgang kan det mere jordnært konstateres, at mange af de regler, der udgør persondatarettens kerne, benytter en formidlingsform, der gør dem meget juridisk indforståede, og som gør beskyttelsesniveauet fjernt og svært gennemtrængeligt. Dette niveau er ligeledes langt fra det Side 28 teknologiske niveau, som det i mange tilfælde skal indramme. Kompleksiteten er høj og selvom dette ikke er overraskende for retlig regulering i almindelighed er det alligevel værd at fremhæve i forhold til en regulering, der som sit primære formål har beskyttelsen af det enkelte individ. Selvom det er den dataansvarlige og ikke den enkelte borger, der spiller hovedrollen, er det den enkeltes interesse, som under et generelt perspektiv betinger reguleringen. Formidlingsegnede og forståelige regler bør derfor være et mål i sig selv.

Forordningen tager for så vidt ikke særlig hensyn hertil, men er dog opmærksom på problemstillingen i relation til de rettigheder, som forordningen fastslår, og ligeledes i henseende til muligheden for at legitimere en behandling via et samtykke. Det er som noget nyt for rettighedernes vedkommende i artikel 12 bestemt, at der skal kommunikeres i et dagligdags sprog, som kan forstås af enhver. Den registrerede skal således, når de enkelte rettigheder anvendes, kunne forstå den dataansvarliges kommunikation. Dette har specielt betydning i forhold til oplysningspligten i artikel 13 og 14, eftersom denne rettighed aktualiseres over enhver uden at en anmodning herom er nødvendig. Disse bestemmelser angiver en række informationer, der skal gives, og de skal således kunne forstås. Dette er væsentligt, fordi oplysningspligten er det middel, der skal sikre, at persondatabehandlingen er transparent. Det er i dag på ingen måde sandsynligt, at denne information bliver læst af de fleste, men den skal alligevel kunne tilegnes af »det almindelige menneske«. Det må ikke være således, at grundtrækkene ved persondatabehandlingen repræsenterer et tilgængelighedsproblem, der ikke kan opklares. Dette er i realiteten et uopnåeligt mål, men man må være realistisk og kræve det umulige, fordi en bedre kommunikation vil bringe persondatabehandlingen lidt nærmere dette mål.

I denne forbindelse kan det have betydning, at forpligtelsen til kommunikation i dagligdags sprog er sanktioneret, således at brug af et uegnet sprog kan medføre en bøde. Overtrædelse af artikel 12 er omfattet af artikel 83(5b), hvilket indebærer, at det højeste bødeniveau finder anvendelse. Det er for så vidt positivt, men spørgsmålet om det i virkeligheden har nogen betydning, at der kan anvendes bøde. Det er uhyre vanskeligt at fastslå, at en sproglig udformning ikke lever op til de fastsatte krav i et sådant omfang, at der bør ske en sanktionering. Det er ligeledes svært at sandsynliggøre, at den dataansvarlige bevidst har udformet sin information på en sådan måde, at den ikke kan forstås af de registrerede. Det er derfor nok kun i den situation, hvor den dataansvarlige ikke har fulgt et Side 29 pålæg fra Datatilsynet om at revidere sin information, at det vil komme på tale at anvende bøder. Selvom dette er tilfældet, er forordningens intention på dette punkt god og udtryk for et rimeligt forsøg på at reducere forståelseskløften.

7. Legaldefinitioner

Som tidligere fremhævet er forordningen i sig selv et kommunikativt misfoster, der er utilgængeligt også for reguleringens hovedaktør, den dataansvarlige. Under dette perspektiv er retsforskrifter tit gyselige, men forordningen er utvivlsomt et af de værste eksempler. Man kunne sige, at den er et beskrivelsesproblem i sig selv specielt når det tages i betragtning, at den digitale teknologi rummer mange hemmeligheder for den ordinære dataansvarlige.

Forordningen forsøger dog at bidrage til klarhed ved en udstrakt anvendelse af legaldefinitioner (artikel 4). Formålet med en legaldefinition er at fastslå hvorledes et bestemt begreb, eventuelt en fremgangsmåde eller en teknologi, skal forstås inden for den pågældende retsforskrift. Den letter således tilegnelsen. Anvendelse af legaldefinitioner er omdiskuteret i den forstand, at deres funktion kan være både positiv og negativ. Den positive funktion er afklaringen af de i retsforskriften anvendte begrebers betydning således, at der ydes et bidrag til en ensartet forståelse af de enkelte regler. Det er denne funktion, der har betydning under denne artikels perspektiv. Den negative funktion, der også bør nævnes, knytter an til risikoen for stagneret regelopfattelse. Legaldefinitioner er som andre regler fortolkelige, men de er alligevel ofte mindre dynamiske end så mange andre regeltyper. I nutidens innovative retssystem, hvor retsforskrifter tit udskiftes, er dette ofte ikke et større problem, men i forhold til de EU-retsakter, der på en del områder kun sjældent forandres, kan det være problematisk. Direktivet levede fra 1998 til 2018, og mange spår forordningen en tilsvarende levetid. Anvendelse af legaldefinitioner til at begrænse forståelsesproblemer kan repræsentere en høj pris. Under alle omstændigheder er legaldefinitionen et primært eksempel på et retligt svar på beskrivelsesproblemet.

Side 30

8. Konsekvensanalyse

Ideelt er det den dataansvarlige, der skal forstå og kende den situation, der institueres, og være klar over, på hvilken måde den harmonerer med det retlige landskab. Dette behov er ikke kun aktuelt i forhold til et muligt retligt ansvar, men har betydning for de retlige og samfundsmæssige implikationer, som den dataansvarliges adfærd og valg af teknologisk løsning indebærer. Her ses teknologien og løsningsmodellen i første omgang ikke udefra, men under anvenderens perspektiv. Dette er ikke unikt for persondataretten, som dog er et område, hvor denne tankegang er søgt udviklet.

Midlet til klarlægning er konsekvensanalysen, data protection impact assessment, der angår persondatabehandlingens indvirkning på databeskyttelsen for de personer, hvis oplysninger behandles (de registrerede). I forordningens artikel 35 foreskrives, at en sådan analyse, som, kunne man hævde, besvarer et beskrivelsesproblem, skal foretages, når der behandles personoplysninger på en sådan måde, at der aktualiseres en høj risiko for de personer, som oplysningerne og behandlingen vedrører. Jordnært er budskabet, at man skal vide, hvad man gør, og man skal kun gøre det, når det er forsvarligt og dermed inden for regelgrundlaget. Dette budskab sendes dog ikke til alle, og det er således ikke alle, der skal betale denne pris for at benytte oplysninger om andre personer. Konsekvensanalysen er ikke en almindelig del af persondatarettens økonomi.

Analysen skal kun udføres, når der er en høj risiko og dermed ikke, når der blot er en risiko.¹¹11. I almindelighed er det karakteristisk for forordningen, at den risikoorienterer databeskyttelsen. Den dataansvarlige skal se fremad, for så vidt i god overensstemmelse med den innovative informationsteknologi. Høj risiko er ikke nogen præcis karakteristik, og subjektivt kan der være forskellige meninger om, hvorvidt der er en risiko, og hvorvidt den er høj. I artikel 35(3) nævnes, at dette kan være tilfældet, hvor der automatiseret sker profilering med henblik på afgørelser, hvor der i stort omfang behandles følsomme persondata (artikel 9 og 10), og hvor der i stort omfang sker overvågning af offentligt tilgængelige områder. Det er som udgangspunkt persondatabehandlingens formål og genstand snarere end teknologien, der ud fra disse eksempler betinger, om en konsekvensanalyse skal udføres. Selvom det er tilfældet, vil en forståelse af, hvorledes den teknologiske løsning indvirker på persondata-Side 31behandlingen, have væsentlig betydning for analysens resultat, faktuelt som retligt.

Konsekvensanalyser kan være nyttige, men de er også krævende, og ressourcehensyn begrunder, at de kun er pligtige i højrisikosituationer. Dette gælder som udgangspunkt generelt, men der er alligevel forskel på den private og den offentlige sektor. Kriterierne er de samme, og da de ikke er krystalklare, skal Datatilsynet udarbejde en liste over de tilfælde, hvor en konsekvensanalyse skal udarbejdes, idet denne liste skal forelægges Det Europæiske Databeskyttelsesråd, der kan sikre ensartethed inden for EU. Tilsynet kan ligeledes liste tilfælde, hvor der ikke skal foretages en analyse, men dette er dog ikke pligtigt. I den private sektor skal de dataansvarlige følge listen, og der er ikke nogen vej udenom. For den offentlige forvaltning er der indsat en kattelem i artikel 35(10). Er de spørgsmål, der indgår i en konsekvensanalyse, vurderet i forarbejderne til den lov, som giver hjemmel til databehandlingen, skal der ikke gennemføres en analyse for den enkelte behandling. Selvom denne bestemmelse ikke er helt gennemskuelig, forekommer det sandsynligt, at konsekvensanalysen først og fremmest bliver et middel, der skal anvendes i den private sektor, selvom ressourcehensynet normalt antages at være mest tungtvejende i denne sektor. Viser konsekvensanalysen, at der rent faktisk er en høj risiko, men at bestemte teknologiske tiltag kan gøre persondatabehandlingen forsvarlig, skal den efter artikel 36 forelægges Datatilsynet, der er tillagt en art tilladelseskompetence. Denne kontrol vil som nævnt blive mest markant i den private sektor.

Forordningens regel om konsekvensanalyse er ikke original, idet disse analyser også er brugt før, og de kendes også på andre retsområder, men på regelniveau er den en nydannelse i persondataretten. Selvom der kan gøres kritiske anmærkninger, er det her væsentligt, at der anvises et middel til at opnå indsigt i den teknologiske løsning, og er konsekvensanalysen vellykket, kan den løse et beskrivelsesproblem i forhold til den specifikke persondatabehandling.

9. Rettens anvendelighed

Selvom det forudgående undertiden er kommet noget væk fra den problemstilling, som Mads i sin tid formulerede, har temaet været den manglende tilgængelighed, der på forskelligartet måde præger retssystemet. Der er tale om en metodisk problemstilling af væsentlig praktisk og prin-Side 32cipiel betydning. Utilgængeligheden kan have mange forskellige ansigter, og disse kan være teknologisk betingede, og de kan være retlige. I nogle tilfælde er det reguleringsgenstanden, der ikke har retlig karakter, som medfører utilgængeligheden, således som det er tilfældet for i hvert fald dele af it-teknologien. Rettens evne til at beskrive og indkredse sit tema bliver udfordret, og der sættes spørgsmålstegn ved en ide om, at alt lader sig retligt regulere. Dette er det dramatiske scenario, som ligefrem indicerer, at der kan foreligge en retlig impotens. Pointen i det forudgående er, at man ikke behøver at gå så langt for at nå til situationer, hvor der opstår store og centrale forståelsesproblemer. Det er måske ikke altid de teknologisk baserede systemer, som aktualiserer beskrivelsesproblemet, men de er dog alligevel en del af forståelsen, der ligesom melodien kan blive væk.

For den almene eller den demokratisk funderede oplevelse af retten er den manglende forståelse et centralt problem. Kun i festtalens univers er det et problem, at »folket« ikke kan forstå retten, fordi man må erkende, at således vil det altid være. Så snart den samfundsmæssige tilværelse kompliceres, mister også retten sin uskyld og bliver kompleks og dermed ikke forståelig. Det er derfor ikke borgerens manglende forståelse, men den professionelles, der er problemet. I persondataretten er det den dataansvarlige og databehandleren, der under dette perspektiv er fokuspunktet. Det er her, at den retlige regulering risikerer ikke at kunne fungere og ikke at kunne realisere sine mål. Beskrivelses- og forståelsesproblemer er en del af retten, fordi de mere eller mindre tydeligt reflekterer det omgivende samfund, hvor kompleksitet hører til dagens orden. Retten må nødvendigvis være en del af samfundet og de mennesker, der befolker samfundet. Sådan har det naturligvis altid været og er nutidigt særligt tydeligt i det retliggjorte samfund, hvor retten er allevegne.

Det er retsvidenskabens opgave at være opmærksom på disse karakteristika og at gøre en indsats for at mindske disse problemer eller barrierer. Retsvidenskaben må formidle retten og forklare samt reducere beskrivelsen som blokade og dermed skabe grundlaget for en bedre forståelse. Retsvidenskaben kan ikke altid fuldt ud fjerne problemerne, allerede fordi retsvidenskaben må arbejde med den ret, som den får overladt. Selvom dette er situationen, kan der tages positive skridt, og det første er at lokalisere de problemer, der er. Når man dertil, kan man prøve at afdække og beskrive problemet, men retsvidenskaben kan møde problemer, der forudsætter teknologisk kundskab som grundlag for den retlige stillingtagen. Den grundlæggende analyse og afklaring kan føre langt, men ikke Side 33 alt kan løses og ikke alt kan være og blive optimalt, da rettens virkelighed omfatter gordiske knuder, der ikke kan løsnes, og selvom de hugges over, forsvinder de alligevel ikke fuldt ud.

Som tiden udvikler sig, kommer der nye knuder og nye besværlige udfordringer, som konfronterer juristen og retsvidenskaben; udfordringer, der både er tætte på og fjerne fra juridisk kundskab; udfordringer, som stiller uvante og på sin vis ubehagelige krav til juristen; udfordringer, som repræsenterer viden og indsigt, der er svær at beskrive, men som alligevel må mødes, selvom de repræsenterer den usikkerhed, der helst undgås, ikke sandt Mr. Jones.

10. Mads

Jeg mødte først Mads i forbindelse med den nordiske retsinformatikkonference i Aarhus i 1984. Mads holdt oplæg, og jeg var lidt interesseret, fordi jeg aldrig havde hørt om ham. Hvad han holdt oplæg om, kan jeg ikke huske, men da konferencen var slut, stod vi og talte sammen på Ringgaden, hvor vi ventede på lufthavnsbussen. Mads overvejede at søge ind på universitetet, men tøvede, da han havde hørt, at der var så mange konflikter. Dem benægtede eller nedtonede jeg, måske ikke helt sandfærdigt, og Mads søgte ind. Resten er, som man siger, historie, og der er ikke tvivl om, at Mads har sat sit tydelige præg på fakultetet og retsvidenskaben. Dette festskrift er naturligt, også efter nutidig tradition, længe før det sidste ord er sagt og skrevet.

Side 34