Meta bøtelagt for databrudd: Bare et symbolsk tiltak eller en reell endring?

Fredric Wallsten

CEO, Safespring

GDPR og Cyber Security Act er bare to av en rekke regulatoriske tiltak som former EUs Digital Decade Strategy med mål om å skape et fritt, trygt, inkluderende og bærekraftig indre marked med mennesket i sentrum 2. Det er ambisiøse mål 3 der store endringer vil bli nødvendige både når det gjelder kompetanse, kompetansetilgang, og ved å styre mot de strategiske målene gjennom reguleringer og lovkrav.

De siste dagene har den irske datatilsynsmyndigheten gitt Facebook bøter for å ha overført europeiske borgeres personopplysninger til amerikanske servere i strid med europeisk lov. Som alle andre amerikanske selskaper er Facebook først og fremst underlagt amerikansk lov, og kan derfor iblant bli tvunget til å gi ut opplysninger til amerikanske myndigheter i strid med europeisk lov og europeiske borgeres rettigheter. Boten understreker hvordan datatilsynsmyndigheter forsøker å ta både sitt tilsynsansvar og det gjensidige samarbeidet på stadig større alvor.

Reaksjoner og påtrykk

Det finnes fortsatt spørsmålstegn. Den irske datatilsynsmyndigheten har ikke vært spesielt begeistret for å måtte ilegge amerikanske selskaper bøter, ettersom Irland har fått både skatteinntekter og arbeidsplasser ved å lokke til seg de europeiske hovedkontorene, særlig for IT-selskaper fra USA. Men påtrykk fra andre EU-lands datatilsynsmyndigheter har vist seg å fungere. Størrelsen på boten er mindre enn det Facebook fryktet ved budsjettgjennomgangen med aksjonærene for en måned siden. Og mange runder med anker i nasjonale og europeiske domstoler kan være i vente før Meta faktisk må betale penger. 4 Fagpressen er neppe begeistret for noen umiddelbar personvernstyrkende effekt for enkeltpersoner, heller ikke den svenske.5 Men det er til tross for alle innvendinger en prinsipielt viktig avgjørelse, og den burde ha kommet tidligere.

Viktigheten av europeisk lov og suverenitet

Innen de markedssegmentene der vi normalt opererer, forskningsstøttende tjenester og myndighetssystemer, er det enda viktigere at lokal lovgivning gjelder enn det er for sosiale medier som Facebook. Svenske borgeres relasjoner til svenske utdanningsinstitusjoner og myndigheter skal reguleres av svensk rett, og en borger skal kunne forvente at deres demokratiske deltakelse også påvirker styringen av vilkårene for disse relasjonene. Når personopplysninger overføres til andre land, som USA, er det ikke sikkert at dette fortsatt holder. Når personopplysninger overføres til USA, blir i stedet amerikanske lovgiveres vilje den viktigste viljen for å bestemme hvordan maktforholdene skal se ut.

Selv når en sittende amerikansk president utsteder forskrifter, såkalte executive orders, er dette midlertidige og svake garantier som gjør svenske borgeres relasjoner til svenske myndigheter avhengige av det siste valgresultatet i USA. Og da ikke bare på grunn av eksterne faktorer, som den geopolitiske situasjonen, men også på grunn av interne forhold, som hvem som får delta i interaksjoner med sosialtjenesten, skolen, helsevesenet og markedstilsynet.

Facebook kan og vil trenere visse oppryddingstiltak i egne serverhaller dersom EU-kommisjonen fatter et nytt vedtak om dataoverføring i oktober i høst. Men det er uklart om EU-domstolen vil opprettholde et nytt vedtak om dataoverføring dersom suvereniteten i europeisk lovgivning ikke respekteres. EU-domstolen må følge europeisk lovgivning i alle sine avgjørelser, og europeisk lovgivning tillater ikke at europeiske borgeres muligheter til å utøve sine rettigheter er avhengige av hvem som vinner amerikanske presidentvalg.

Kilder og lenker

1. EUobserver: Metas bot på €1,2 mrd — en GDPR-seier, uten betydning for brukernes personvern?
2. EU-kommisjonen: EUs digitale tiår: digitale mål for 2030
3. EU-kommisjonen: Fremtiden og EUs digitale kompass mot 2030
4. Politico: Rekordbot mot Meta skjuler Europas personvernutfordringer
5. Dagens Industri: Meta får rekordstor EU-bot for brukerdatabrudd