For at finde frem til de bedst mulige svar på, hvad retspraksis er, og hvad der findes af uklare gråzoner, fokuserer Kasper Bjerre Hendrup Andersen på de pseudonyme oplysninger. De er nemlig interessante, fordi de både kan figurere som anonyme oplysninger men i en anden kontekst være dækket af GDPR.
På forvaltningsretskonferencen i Aalborg holdt han, lektor med ph.d. i databeskyttelsesret og som juridisk ekspert ansat hos Lex Futura, et oplæg under overskriften gråzonen i GDPR. Oplægget fra konferencens andendag har K-NEWS optaget og nu bearbejdet, så det er en episode af vores Magtens Tredeling-podcast.
I episoden gennemgår han, hvordan vi ved at kigge på de pseudonymiserede oplysninger og se på, hvordan forskellige datatilsyn rundt om i EU når frem til forskellige konklusioner om, hvorvidt det pseudonymiserede lander i kategorien anonym eller GDPR-omfattet, kan se hvor grænsekampene udspiller sig.
Undervejs i oplægget, hvor der også til slut stilles og besvares kompetente spørgsmål fra tilhørere i salen, gennemgår han betydningen af pseudonymitet. Han forklarer, hvordan afgjorte sager ved EU-domstolen som OC-sagen, SRB-sagen og Scania-sagen er med til at forme retspraksis. Og han viser, hvordan udspil fra ministerrådet bliver diskuteret rundt omkring i EU, der fordeler sig i fire forskellige grupper.
For det er et område, der igen er kommet i centrum for den databeskyttelsesretlige debat med afsæt i seneste praksis fra domstolen og med den omfattende digitale omnibus lurende i horisonten, som det stod formuleret i programbeskrivelsen på årets forvaltningsretskonference, hvor K-NEWS var mediepartner.
Hvorfor det er kommet i centrum, og hvad vi kan udlede lige nu, gennemgår Kasper Bjerre Hendrup Andersen i detaljer i den nyeste episode af Magtens Tredeling, som du kan høre dér, hvor du normalt lytter dine podcasts, eller du kan afspille den via playeren øverst i denne artikel.
Nedslagspunkter og drillenissen på spil undervejs
Undervejs i oplægget viser han på skærmen bag sig en række forberedte slides, som du også kan høre nævnt i podcasten. En computerfejl - eller var det, som denne reporter mistænkte undervejs, en pseudonymiseringsgimmick fra oplægsholderens side – havde udskiftet en del ord med spørgsmålstegn, sådan som du kan se på de indsatte fotos i denne artikel herunder. Men her først fem nedslagspunkter fra oplægget.
👉 Kasper Bjerre Hendrup Andersen tager udgangspunkt i diskussionerne og retspraksis rundt om i EU vedrørerende pseudonym information, der er en mellemkategori mellem anonymiseret data og personhenførbar data.
👉 Han tegner et billede af to fortolkningsskoler. Den absolutte (objektive) fortolkning og den relative (subjektive) fortolkning.
👉 Hvordan nogle konkrete sager (OC, SRB, og Scania) ved EU-domstolen medvirker til at retspraksis justeres og diskuteres.
👉 Med Digital Omnibus lægger EU-kommissionen op til at lovfæste en fast tilgang. Men medlemsstaterne er uenige om retning og tolkninger.
👉 Kasper Bjerre Hendrup anbefaler tre tiltag hos alle, der i deres forvaltning anlægger sin praksis: Dokumentér det valgte fortolkningsperspektiv konsekvent. Lav en løbende identificerbarhedsvurdering, da teknologi og datavolumen ændrer sig over tid. Hold øje med retsstilstanden, særligt udviklingen i Digital Omnibus.
Billedet herunder: Slide fra Kasper Bjerre Hendrup Andersens oplæg på Forvaltningsretskonferencen, hvor han forklarer, hvor pseudonymiserede oplysninger kan bevære sig både "opad" i GDPR-beskyttelsen og nedad i rummet med anonymiserede oplysninger.
Bemærk også på billedet ovenfor den sorte bjælke med en række spørgsmåltegn. Drillenissen havde erstattet bogstaver og tal med spørgsmålstegn i flere af de slides, der blev vist undervejs i oplægget.
Opgaven - spørgsmålet - som blev stillet til salen fyldt med danske jurister med det formål, at vise, at svaret med aktuel retspraksis ikke er spor nemt at give.
Eksempler på forskellige EU-landes stillingtagen.
De to fortolkningsretninger.
Perspektivet og rimelighedsvurderingen, som Kasper Bjerre Hendrup satte dem op overfor hinanden.
Passage fra den digitale omnibus med Kaser Bjerre Hendrup Andersens udpegning af påvirkningen fra henholdsvis SRB- og Scania-sagen.
Opridsning af de fire grupperinger, der viser de retninger EU-landene anlægger i forhold til, hvilken udvikling de mener GDPR-begrebet skal undergå. En stor gruppe - de grå flag i bunden - har oplægsholderen ikke kunne afkode en holdning hos.