Den norske journalisten Martin Gundersen ville veta vilken information som olika företag hade om honom och med stöd ev GDPR bad han det amerikanska företaget ventil att lämna ut all data de hade om honom. Till sin förvåning upptäckte han att det amerikanska företaget hade över 75 000 datapunkter – hans exakta position.
Martin Gundersen jobbar på norska public service, NRK, och datapunkterna visade exakt var han befunnit sig vid olika tidpunkter. Även om informationen var anonym, den saknades telefonnummer, adress och annan data som kunde kopplas just till honom så hade en enkel sökning visat att det finns en Martin Gundersen på den aktuella adressen. Informationen hade tämligen enkelt kunnat knytas just till Gundersen.
Data
Så frågan var då hur ett amerikanskt företag kunde sitta på med så mycket postionsdata om just honom?
Det blev en lång i, snårig och tidsödande jakt på vilka vägar Martin Gundersens positioner hade tagit. Jakten gick via datamäklare, företag som köper och säljer data och till slut hade Martin Gundersen tagit sig ända vägen tillbaka till två slovakiska positionsappar från Sygic. De hade samlat in alla data och sedan sålt informationen vidare.
Det kan se ut til at avtalen med Sygic ble brutt da Gravy Analytics fikk dataene. For Gravy Analytics mente de kunne bruke mine personlige opplysninger til en rekke ulike tjenester for partnere og kunder. Ifølge deres egen personvernerklæring inkluderte det blant annet føderalt politiarbeid, overvåke svindel og å fremme nasjonal sikkerhet.
Sagt på en annen måte – Gravy Analytics delte mine mobilbevegelser med datterselskapet som tilbyr sine tjenester til denne typen kunder.
Det førte oss tilbake til avtalen jeg gjorde med Sygic i februar.
Jeg rådførte meg med tre jurister, Malgorzata Agnieszka Cyndecka, Lee Bygrave og Arve Føyen, som alle er spesialister på personvern. De mente at det var et åpenbart brudd på GDPR at min informasjon kan brukes til andre formål enn jeg samtykket til. Personvernreglene i GDPR stiller nemlig strenge krav til hva som er lov å gjøre med våre opplysninger.
Jurister inom området menade att det var ett brott mot GDPR att skicka informationen vidare och som europeisk användare så räknar du säkert inte med att din information ska landa hos ett amerikanska företag – eller långt utanför Europa.
Små utvecklare
Förleds nu inte till att tro att det här med datainsamling, försäljning av data och mäkleri av data är något som bara stora bolag sysslar med. Martin Gundersen ger ett exempel på en liten utevckalre, en liten app – som också samlar in och säljer data.
0 kommentarer