Privatlivsfremmende teknologier savner økonomiske incentiver

Som optakt til konferencen PrivatTek 2010, der gennemføres 10. september 2010 kl. 9.00-13.00 i Fællessalen på Christiansborg, er der god anledning til kort at omtale sammendraget fra en netop offentliggjort rapport med titlen “Study on the economic benefits of privacy enhancing technologies (PETs)”.

Rapporten, der er på 259 sider, er udarbejdet af London Economics på foranledning af Europa-Kommissionens Generaldirektorat Retfærdighed, Frihed og Sikkerhed med det formål at gennemføre en undersøgelse om de økonomiske fordele af privatlivsfremmende teknologier for organisationer og institutioner, der anvender og opbevarer personlige data (de dataansvarlige). Undersøgelsen har særlig fokus på små og mellemstore virksomheder (SMV´ere) samt specifikke emner som:

• hvorvidt og hvordan virkningerne af disse teknologier kan måles
• om samarbejde/fælles tiltag, såsom offentlig-private partnerskaber mellem dataansvarlige med myndigheder eller internationale organisationer vil manifestere de økonomiske fordele

Undersøgelsen har været baseret på en tostrenget analyse, nemlig dels en teoretisk, der giver et overblik over PET-teknologierne og determinanterne for implementering af PET´s ud fra et økonomisk perspektiv, dels en empirisk, der baserer sig på interviews af forskellige interessenter, indsamling af data fra en række virksomheder i 12 medlemslande, herunder Danmark samt detaljerede casehistorier. Analysen afsluttes af en oversigt over optioner for et samarbejde mellem den offentlige og private sektor med henblik på at optimere fordelene ved PET´s for de dataansvarlige.

Rapporten præciserer PETs som et kompleks koncept, der omfatter en bred vifte af individuelle teknologier af forskellig modenhed. PETs udvikler sig hele tiden ofte som svar på nye avancerede trusler. Der er kun tale om at PETs er datasikkerhedsteknologier, såfremt de benyttes til at styrke privacy. Det fremhæves, at dataminimering og samtykke mekanismer er vigtige dele af PETs og at mange PETs kombinerer diverse teknologier, herunder databeskyttelsesværktøjer (f.eks. kryptering) og “rene” PETs (som eksempelvis dataminimeringsværktøjer) for at danne integrerede PET-systemer af varierende kompleksitet.

Forskellige klassifikationer af PETs først og fremmest baseret på teknologiske egenskaber er fra tid til anden blevet foreslået, mens en klassifikation ud fra økonomiske karakteristika endnu ikke har set dagens lys, muligvis fordi det er umuligt på grund af den kontekstspecifikke natur af de økonomiske virkninger af PETs.

En øget implementering af PETs forudsætter at den enkelte er velinformeret og handler rationelt og vil derfor være baseret på

• den enkeltes risikoaversion
• risiko for tab af data/indskrænkning i privacy
• PETs effekt på at reducere denne risiko

Rapporten pointerer, at selvom der er undersøgelser der viser en høj grad af bekymring for privacy online og at brugerne er parate til at betale for privacy under visse betingelser, så er der ringe dokumentation for efterspørgsel af PETs. Empiriske undersøgelser viser også, at tab af omdømme som følge af datatab hændelser er relativ lav og genvindes hurtigt. Adfærdsøkonomiske undersøgelser viser, at en af de vigtigste årsager til en reaktion på privacy krænkelser og dermed et incentiv til PETs, relaterer sig til den ringe sammenhæng mellem aktioner (videregivelse af persondata) og konsekvenser (spam mails, bedrageri, tyveri, profilering osv).

Den dataansvarliges tilslutning til PETs er baseret på de samme faktorer, som ligger til grund for det enkelte individs beslutning, herunder frygt for tab af data for både ansatte, leverandører, kunder osv. En yderligere bevæggrund for dataansvarlige kan være, at der med indførelsen af PETs kan opnås en markedsføringsfordel. Imidlertid vil den elektroniske behandling af personoplysninger også give den dataansvarlige en række benefits. At gøre brug af PETs kan reducere disse fordele. Implementering indebærer en up-front investering i teknologien ligesom træning og vedligeholdelse. Så selvom anvendelsen af PETs kan reducere omkostningerne over tid, så er det de direkte omkostninger ved indførelsen, der er den type af umiddelbare omkostninger, der skal afvejes mod de potentielle fordele. Rapporten giver udtryk for, at eftersom omkostninger og fordele ved PETs til en vis grad er usikker, kan det betyde at virksomheder udskyder indførelsen og afventer yderligere information.

Rapporten udtaler, at imperfektioner, som kan omfatte asymmetrisk information, eksterne omkostninger, manglende videndeling og fejlkoordinering om trusler mod privatlivets fred betyder, at den dataansvarliges individuelle rationelle beslutning ikke nødvendigvis fører til PETs optimale implementering. Det indikerer, at der kan være fordele ved teknologien, som den dataansvarlige for nærværende ikke er klar over. I det omfang at markedssvigt er et problem i forbindelse med teknologien, peger det i retning af en potentiel rolle for den offentlige sektor med henblik på at hjælpe de dataansvarlige til at overvinde de barrierer, der hæmmer anvendelsen af PETs.

For så vidt angår interessenterne (brancheforeninger, forbrugerorganisationer og privacy-fortalere) er der blandt disse enighed om at

• risikoen der er forbundet med elektronisk behandling af persondata er seriøs og stigende
• forbrugernes bevidsthed om disse risici er lav og at
• PETs er effektive værktøjer til beskyttelse mod disse risici

I en generel kommentar til casehistorierne fastslår rapporten, at de fleste PETs består af sammensatte teknologier, der gør brug af enkle sikkerhedsforanstaltninger (kryptering, adgangskontrol) i sammenhæng med andre mekanismer med henblik på at styrke den samlede privacy. Endvidere viser casehistorierne at visse typer af PETs er mere udbredte end andre:

• dataminimering er et vigtigt aspekt af PET og er realiseret i forskelligt omfang i de teknologier, der er blevet analyseret
• i modsætning hertil synes mekanismer med henblik på at opnå brugersamtykke at spille en relativ mindre rolle

Af rapportens konklusioner kan det bl.a. nævnes, at enkle PETs, der ikke reducerer funktionaliteten af den applikation, hvortil den er knyttet, ikke møder modstand fra den dataansvarliges side. Imidlertid illustrerer casene klart, at de dataansvarlige ofte er tilbageholdende med at indføre PETs. Hovedårsagerne er:

• en tilsyneladende mangel på fordele og
• potentialet for begrænset nytte af personoplysninger, når PETs er installeret.

Forbrugerpres synes ikke at være en vigtig driver for indførelse af PETs. Derimod giver casehistorierne stærke beviser for, at den offentlige sektors rolle er meget vigtig ved at manglende håndhævelse af eksisterende regler om privacy [ persondatabeskyttelse] samt utilstrækkelige sanktioner for overtrædelse, synes at hæmme implementeringen i mange tilfælde. Kravene om samtykke og proportional anvendelse af personoplysninger synes især at være utilstrækkeligt håndhævet. Behovet for at overholde privacy er ofte den mest effektive drivkraft for implementering af PETs.

Rapportens virksomhedsundersøgelse viser, at persondata af forskellig detaljeringsgrad i vidt omfang bliver opbevaret af virksomhederne og det både for så vidt angår SMV´ere og store virksomheder, selvom sidstnævnte har tendens til at opbevare mere detaljerede oplysninger. Visse sektorer er mere dataintensive end andre, f.eks. indenfor finans, social, sundhed og IKT services. Af undersøgelsens resultater kan fremhæves, at SMV´ere bedømmer fordelene ved PETs til at være betydeligt mindre end ikke-SMV´ere hvilket til dels reflekterer det faktum, at disse virksomheder ser et mindre behov for PETs grundet deres mindre brug af større mængder af persondata. Ikke desto mindre er de ikke tilstrækkelig informeret om PETs, hvilket kan bias deres opfattelse af brugbarheden.

Hvad angår virksomhedernes kendskab til PETs afhænger det for det meste af hvilken type teknologi det drejer sig om. Rundspørgen bekræfter, at filter- og blokeringssoftware anvendes i vidt omfang (83 %) ligesom krypteringsværktøj (49%) og sletningssoftware (53%), mens informations- og administrationsværktøjer er mindre kendt, især blandt SMV´ere.

Høje omkostninger og forbrugernes accept af status quo nævnes som de vigtigste faktorer, der begrænser indførelsen af PETs i større virksomheder. For små og mellemstore virksomheder er det faktum, at PETs ikke anses som anvendelig for deres virksomhed, den vigtigste barriere for implementeringen.

Rapportens væsentligste anbefaling er, at den offentlige sektor bør spille en mere fremtrædende rolle i implementeringen af PETs ved aktivt at understøtte de dataansvarlige på følgende måde:

• fastsætte og håndhæve standarder for privacy
• støtte udvikling af PETs ved direkte og indirekte finansiering
• udarbejde certificeringer og godkendelser samt
• fremme PETs via informationskampagner og løbende kontakt til de dataansvarlige

Fra rapportens konklusion skal blot fremdrages, at PETs på den ene side er teknologispecifik og applikationsspecifik på den anden side. Kompleksiteten af spørgsmålet om de økonomiske fordele gør det umuligt at kvantificere effekten overfor de dataansvarlige af de økonomiske fordele ved indførelsen af PETs. Snarere tyder det på, at den økonomiske nettofordel af PETs skal vurderes fra tilfælde til tilfælde.

Teorier om teknologi adoption synes at vise, at tilegnelse af PETs følger et S-formet mønster, hvilket betyder, at den nuværende lille udbredelse vil udvikle sig hurtigere i fremtiden i takt med at teknologierne modnes og bliver mere kendt.

Rapporten kan downloades her.

I en kommentar til rapporten kan det anføres, at den uden tvivl vil blive et vigtigt bidrag til EU-Kommissionens bestræbelser på at fremme PETs generelt i EU samt mere konkret i forbindelse med at integrere PETs anbefalinger i revisionen af persondatadirektivet. I øvrigt henvises til nylige EU-rapporter om persondatabeskyttelse, der ligeledes berører PETs og privacy by design-principper.

Der vil givetvis være tale om at anvende både gulerods- og stokkemetoden til fremme af PETs. Soft-law initiativer kan f.eks. være statsstøtte, tilskud, finansiering, offentlige udbudsbetingelser eller graduering af forsikringspræmier. Men jeg vil gerne benytte lejligheden til at understrege, at udgangspunktet for den enkelte virksomhed/organisation må være at opstille eksplicitte retningslinjer og strategiske mål, der omfatter en bred vifte af faktorer for implementering af privacy enhancing technologies, idet denne tilgang med langt større sandsynlighed vil resultere i en nøjagtig og velkvalificeret teknologiudvælgelse i overensstemmelse med de forretningsmæssige målsætninger.

Teknologiimplementering bør desuden omfatte brugerinvolvering, som efter min opfattelse vil være en lige så naturlig forudsætning som i innovationsprocesser til skabelse af nye IKT baserede produkter og ydelser. På linje med undersøgelser af effekten af anden CSR-innovation er det nærliggende at antage, at der er et selvstændigt økonomisk incitament for at iværksætte brugerdreven PET innovation. Sidstnævnte aspekt og perspektiveringen i relation til virksomheders samfundsansvar (Corporate Social Responsibility) overses tilsyneladende i rapporten.

Jeg er desuden helt enig i, at det vil fremme den almene forståelse for en teknologisk/teknisk beskyttelse af brugerens persondata og privacy, at der introduceres andre mere tilgængelige termer end det noget nørdede “privacy enhancing technologies”. Begreber som “privatlivsfremmende teknologier”,  “databeskyttelses-værktøjer”, “dataminimeringsmekanismer”, “datakontrolprogrammer”, “brugerkontrol-applikationer” eller en helt anden term er værd at overveje som enten samlebetegnelse eller differentierede begreber i stedet for.

Rapporten omtaler ikke biometri i nævneværdig grad. Det kan dog som et kuriosum nævnes, at der i gengivelsen af den danske casehistorie om Crazy Daisy, i en note henvises til et tidligere blogindlæg på Danish Biometrics (side 120).

Danish Biometrics vil gerne bidrage til forskning og udvikling af PETs eller “databeskyttelsesværktøjer”, idet biometri vil være en oplagt integreret del af flere privatlivsfremmende teknologier og Danish Biometrics bidrager gerne til at formilde et tættere samarbejde mellem relevante aktører og brugere samt tilslutter sig anbefalingen om en aktiv rolle for det offentlige med henblik på at fremme forståelsen og udbredelsen af disse løsninger.

Det er således anledningen til at Danish Biometrics er en af initiativtagerne til konferencen PrivatTek 2010, som meget aktuelt vil tage nogle af de emner op til debat, som rapporten kommer ind på.