Udledte følsomheder

Iflg. Techcrunch og gode kilder på LinkedIn har EU-domstolen talt:

Udledte persondata er persondata, og skal behandles som sådan. Og udledte følsomme persondata skal behandles som følsomme persondata, efter den særligt restriktive Artikel 9 i GDPR.

Afgørelsen beskriver udledte persondata som resultatet af “an intellectual operation involving comparison or deduction”, og nævner som konkret eksempel, at en partners navn kan sige noget om seksualitet:

[…] it is possible to deduce from the name-specific data relating to the […] partner of the declarant certain information concerning the sex life or sexual orientation of the declarant and his or her […] partner.

EU-domstolens afgørelse

Det er jo klar tale. Men implikationerne rækker langt videre end behandling af ægtefælleoplysninger. Andre eksempler på data, der på samme måde kan bruges til at udlede følsomme persondata, kan være en persons valg af særlige produkter (fx flymåltid, beklædningsgenstande, hygiejneprodukter) eller lokationsoplysninger (fx ophold på steder som normalt er forbeholdt personer med bestemt seksualitet, alder, fysisk eller psykisk sygdom, indkomst eller med særlig religiøs betydning).

Og det er i øvrigt værd at bemærke, at ovenstående gælder, uanset om de udledte oplysninger er korrekte. Gætter du på, at en besøgende på dit website person er en mand, er dette strengt taget en personoplysning – uanset om den besøgende skulle vise sig at være kvinde.

Nærmest enhver præference eller konkret adfærd kan, under de rette betingelser, bruges til at udlede andre oplysninger om en person – dette er jo i en vis forstand motoren bag mikrosegmentering, den mekanisme, de globale adtech-virksomheder (herunder Meta og Google) har skabt deres forretningsimperier på.

Nu har vi rettens ord for, at sådanne udledte informationer også er persondata, og skal behandles som sådan. Og mange virksomheder (som minimum naturligvis adtech-branchen, men reelt alle virksomheder og myndigheder med en afdeling, der står for BI/AI/ML/Analytics) vil nok gøre klogt i at dobbeltchecke, om man nu også gør det.