Schibsted om persondata: – Hvis vi oppdager at vi har data vi ikke skulle hatt, vil de bli slettet

Datatilsynet hevder Schibsted har lagret brukerdata helt fra 2001. Nå lover mediekonsernet at brukerne skal få bedre oversikt over hva som samles inn om dem.

Langfredag fortalte NRK Dagsrevyen om data som blant andre Schibsted og Norgesgruppens Trumf samler inn om sine brukere. Saken var basert på en kartlegging Datatilsynet har gjort.

Tilsynet sjekket hva som var samlet inn av data for en av deres egne ansatte, hos Schibsted, Trumf, Canal Digital og Chess/Telia. Datatilsynets rapport finner du her.

Ifølge tilsynet hadde Schibsted – som blant annet eier avisene Aftenposten, VG, Bergens Tidende, Stavanger Aftenblad og tjenesten Finn.no – lagret data om testpersonen tilbake til 2001. Det er før han selv registrerte seg som bruker.

– Vi må feie for egen dør

Ingvild Standal Næss, direktør for personvern i Schibsted ASA, sier det er viktig å ha en åpen debatt om dette og ønsker den velkommen.

– Samtidig bør skremselspropaganda unngås. Selv må vi få frem alle tiltakene vi gjør for å hindre at data kommer på avveie og kan brukes til å identifisere enkeltindivider, sier Næss.

– Flere Schibsted-aviser har vært kritiske til Facebooks lagring av data om oss som brukere. Er vi bedre eller like ille som Facebook?

– Vår fremste oppgaver er å feie for egen dør og sikre at vi kan stå inne for egen håndtering av dataene. Men vi har kontroll over hvordan vi bruker dataene. I motsetning til Facebook og Google har vi ikke følere ute på internett og samler inn data på andre sider enn våre egne, sier Næss.

Det skal bli enklere for brukerne å få slettet data

– Datatilsynet har spurt Schibsted hvorfor man har lagret opplysninger helt tilbake til 2001. Hva har dere svart?

– Vi kommer over påske til å følge opp dette med tilsynet, som vi har en løpende dialog med. Vi ønsker å være åpne også om lagringstider.

– Hvorfor ble dataene lagret så lenge?

– Hvis vi oppdager at vi har data vi ikke skulle hatt så vil dette bli fulgt opp og dataene slettet. Vi har en kontinuerlig vurdering av hvor lenge de skal lagres.

– Hvor klart er dette for brukerne i dag?

– Her har vi fremdeles et godt stykke igjen å gå. Vi vil slutte å kommunisere med brukerne om hva vi samler inn i form av vanskelig tilgjengelige personerklæringer, skrevet av jurister. Vi skal kommunisere med brukerne på lettfattelige måter.

– Hva kan brukere gjøre i dag?

– I Schibsted-portalen SPiD har vi opprettet en seksjon som heter «data om meg», som forteller om hvilke former for data vi har. Den type kommunikasjon skal vi bygge ut og satse mer på. Det skal også bli langt enklere å få data slettet.

• VI MÅ STYRKE TEKNOLOGIEN I RIKTIG RETNING og ikke la teknologien styre oss. Det skriver direktør i Datatilsynet Bjørn Erik Thon.

Bekrefter å ha samlet data om brukere som ikke er innlogget

– Det er også lagret data for personer som ikke har registrert seg. Er dette greit?

– I dag er det slik at vi har data både om brukere som logger seg inn og som ikke gjør det. Vi jobber med å bli bedre til å kommunisere om hva vi gjør, og hvilke data vi har. Og for at brukerne skal ha bedre kontroll over dette og lettere kunne få slettet data, sier Næss.

Aftenposten: – Dette forventer de fleste av oss i dag

– Jeg er selv opptatt av å forstå hvordan Facebook, Google og andre aktører bruker data om meg, og synes det er naturlig at også Schibsted og vi får spørsmål om dette, sier Aftenpostens sjefredaktør Espen Egil Hansen.

– Schibsted selger digitale annonser, også på vegne av Aftenposten, som er målrettet mot grupper. Målet er å gjøre annonsene relevante for brukerne og attraktive for annonsørene.

• Amazon-grunnlegger: Man må utvikle en «kundebesettelse» for å sikre bærekraftig vekst. Ordinære kunderelasjoner er ikke «lidenskapelige» nok.

Skal slippe å lese samme artikkel om igjen

– I Aftenposten har vi også innført en forsiktig personalisering av vår mobilutgave. Hvis du allerede har lest en artikkel vil vi prøve å gi deg en ny neste gang fremfor å vise deg den du allerede har lest. Dette er basert på anonymisert data som vi lagrer i en periode, sier Hansen.

– I slutten av mai innføres det europeiske regelverket for datasikkerhet (GDPR). Det pålegger alle som håndterer data et strengt regelverk. Det er bra også fordi det likebehandler de internasjonale gigantene og en avis som Aftenposten, sier han.

Slik svarer NRK-sjefen om hva NRK samler inn

NRK-sjef Thor Gjermund Eriksen sier at han på påskefjellet ikke kan svare detaljert om hva NRK selv samler inn og lagrer om brukerne sine.

– Men også vi er helt avhengig av å kjenne brukerne for å nå frem som allmennkringkaster, sier han.

– En del av forarbeidet vi nå gjør for å tilpasse oss det nye regelverket er å skaffe en tydelig oversikt over hva vi samler inn. Vi er i likhet med alle andre midt i et arbeid for å tilpasse oss det nye regelverket, sier Eriksen.

Eriksen henviser til NRKs kommunikasjonsapparat for ytterligere svar, men her ber man om at svar om NRKs egen innsamling av data må vente til over påske.

Dette sier lovverket

Ifølge lovverket er det tillatt å behandle personopplysninger dersom «den registrerte har samtykket», og den som samler inn informasjonen sørge for at opplysningene er «korrekte og oppdatert, og ikke lagres lenger enn det som er nødvendig ut fra formålet med behandlingen», ifølge §2 og §11.

Men selv om brukere av Schibsted innloggingsløsning, SPiD, må gi samtykke til en lang rekke betingelser, betyr ikke det at Schibsted overholder dagens lovverk, mener jurist Tobias Judini Datatilsynet.

– Lovverket er vagt og basert på skjønn. Det gjenstår et par kjernespørsmål om de trenger samtykke og om informasjonen til brukerne er god nok, sier han.

Han sier også at selv om lovverket fremstår romslig, og at opplysningene kan lagres så lenge som er «nødvendig ut fra formålet», som i personvernerklæringen hos Finn.no, finnes det en grense.

– Mitt inntrykk er at Schibsted jobber for å bli bedre, men det hjelper jo ikke så lenge de har all denne informasjonen lagret i dag, sier Judini.