Personvern i kundeforhold - Hvordan tilrettelegge for informerte samtykker

Abstract

Den 25. mai 2018 ble personvernforordningen innført i medlemslandene av EU. Personvernforordningen trådte senere i kraft i Norge 20. juli 2018, på bakgrunn av at Norge er medlem av EØS. I sammenheng med innføringen av den nye forordningen sendte flere virksomheter ut e-poster til sine kunder med informasjon om det nye regelverket. Ettersom en kunde ofte er involvert med flere virksomheter førte utsendingen av disse e-postene til at kunder verden over ble overlesset med e-poster og informasjon. En slik mengde informasjon kan virke overveldende for kunden ettersom mengden av informasjon man må forholde seg til blir så massiv.

Denne oppgaven studerer hvordan virksomheter bør utforme og distribuere informasjon om personvern, slik at det blir tilrettelagt for at kundene skal kunne forstå hva de samtykker til. Fokuset på oppgaven har vært på å besvare følgende forskningsspørsmål: Hvordan bør virksomheter utforme og distribuere informasjon om personvern til sine brukere, slik at de står i stand til å ta best mulig informerte valg og ha kontroll over egne opplysninger?

Gjennom en dokumentasjonsanalyse har oppgaven undersøkt samtykke-bekreftende e-poster distribuert av flere ulike norske virksomheter. En kartlegging ble gjort av disse funnene for å undersøke hvilke elementer som burde inkluderes i en samtykke-bekreftende e-post for at kundene skal kunne få tilstrekkelig med informasjon til å kunne vite hva de samtykker til. Denne kartleggingen ble brukt til å utvikle en egen samtykke-bekreftende e-post. Ved å gjennomføre en brukerundersøkelse i form av semistrukturerte intervjuer gir oppgaven innblikk i om den egenutviklede e-posten er en forbedring fra tidligere distribuerte e-poster.

En evaluering av våre resultater har ført til en konklusjon over hvilke elementer som bør inkluderes i en samtykke-bekreftende e-post. Resultatene viser at e-posten vi utviklet var en forbedring fra tidligere distribuerte e-poster, hvilket bidro til at brukerne følte at de fikk tilstrekkelig med informasjon til å vite hva de ga samtykke til.

On May 25, 2018, the General Data Protection Regulation (GDPR) was introduced in the member countries of the European Union (EU). GDPR came later into force in Norway on July 20, 2018, based on the fact that Norway is a member of the European Economic Area (EEA). To inform their users about the new regulation, several companies sent out emails to their customers with information about the new regulation. As a customer often will be involved with multiple companies, the distribution of these emails resulted in customers worldwide being overloaded with emails and information. Such a wealth of information may seem overwhelming to the customer, as the amount of information becomes so massive.

This thesis studies how companies should design and distribute information regarding privacy, in such a way that it is possible for users to understand what they are consenting to. We have constructed the following research question: How should companies design and distribute information regarding privacy to their users in such a way that their users are capable of making informed decisions and take control of their personal information?

Through a documentation analysis, the thesis has examined repermissioning emails distributed by several different Norwegian companies. A mapping of these findings was done to investigate which elements that should be included in a repermissioning email for customers to have sufficient information to know what they are consenting to. This mapping was used to design and develop a new repermissioning email. By conducting a user survey, in the form of a semi-structured interview, the thesis gives insight into whether the developed email is an improvement from previously distributed emails.

An evaluation of our findings ultimately leads to a conclusion on which elements that should be included in a repermissioning email. The findings show that the email we developed was an improvement from previously distributed emails and the users now felt that they got enough information to know what they are consenting to.