Hvordan personvernfororndingens samtykkekrav møtes gjennom design

Abstract

To år har gått siden EUs personvernforordning ble innført i 2018. Et av hovedformålene var å sørge for at enkeltpersoner skulle få mer kontroll over egne data ved bruk av digitale tjenester. Virksomheter som ønsker å drive behandling av personopplysninger ble pålagt en rekke krav og plikter, samtidig som den enkelte forbruker ble gitt rettigheter. Blant annet skulle krav om samtykke gjøre brukere i stand til å motsette seg deling av egne data. Denne masteroppgaven belyser realiteten av dagens situasjon ved å gjennomgå gjeldende regelverk og ved å undersøke hvordan personvernforordningen etterleves. Oppgaven tar sikte mot å bidra til økt forståelse av temaet ved å presentere funn fra en spørreundersøkelse og en evaluering av design av samtykkeløsninger hos fem store norske nettsteder.

Resultatene i oppgaven indikerer at det fremdeles er flere utfordringer som må løses før intensjonene med personvernforordningen er oppfylt. Evalueringen av nettstedene avdekket problemer i designet av samtykkeforespørsler og samtykkeinnstillinger, og flere ting lå til hinder for å la brukere kontrollere deling av sine personopplysninger. Oppgaven diskuterer mulige forbedringsforslag. Samtidig er personvern et komplekst tema som omfatter flere fagområder enn bare design. Trolig vil også lovendringer i form av mer presise regler for hvordan samtykkesystemer designes og/eller sterkere insentiver være nødvendig før den enkeltes personvern blir tilstrekkelig ivaretatt.

Nøkkelord: samtykke, GDPR, personvern, design, personvernforordningen.

Two years have passed since the GDPR was implemented. A main purpose with the regulation was to provide users of digital services more control over their personal data. Businesses who wish to process such data were subjected to a number of rules and duties while data subjects were given more rights. Among other things, requiring businesses to collect users’ consent were made to let users oppose sharing data about themselves. This thesis shows the reality of today’s situation by examining the rules that apply and how they’re followed. The report aims to contribute to increased awareness of the subject by presenting results from a conducted survey and an expert evaluation of the design of consent systems on five popular Norwegian websites.

The results indicate that there still are multiple challenges to solve before the GDPR works as intented. The evaluation of the websites revealed problems in the way consent requests and consent settings are designed. Multiple things served as barriers from letting users take control over their personal data. The thesis offers and discusses possible solutions. Privacy is a complex topic that entails other fields than just design. More precise laws and/or stronger incentives to design better consent systems may be necessary before users’ privacy are sufficiently addressed.