3 Oppmodingsvedtak nr. 197 (2022–2023)

I Dok. 8:167 S (2022–2023) sette stortingsrepresentantane Guri Melby, Sveinung Rotevatn, Ingvild Wetrhus Thorsvik, Grunde Almeland og Alfred Jens Bjørlo fram ei rekkje forslag om betre personvern på sosiale medium. 29. november 2022 behandla Stortinget Innst. 100 S (2022–2023) og fatta oppmodingsvedtak nr. 197 der regjeringa blei beden om å «utrede omfanget av og utfordringene rundt lagring av biometriske data fra norske forbrukere på sosiale medieplattformer».

I oppmodingsvedtaket er «biometriske opplysninger» ikkje nærare definert. Personvernforordninga art. 4 nr. 14 definerer biometriske opplysningar slik: «personopplysninger som stammer fra en særskilt teknisk behandling knyttet til en fysisk persons fysiske, fysiologiske eller atferdsmessige egenskaper, og som muliggjør eller bekrefter en entydig identifikasjon av nevnte fysiske person, f.eks. ansiktsbilder eller fingeravtrykksopplysninger». Personopplysningar om ein persons fysiske, fysiologiske eller åtferdsmessige eigenskapar, til dømes eit bilete, er i seg sjølv ikkje biometriske opplysningar. For å falle inn under definisjonen, må opplysningane bli behandla slik at eigenskapane blir målt og kategorisert på ein måte som eintydig identifiserer personen.

For å få eit bilete av situasjonen, og for å kunne svare på Stortinget sitt oppmodingsvedtak, har departementet bede Datatilsynet, som er fagorgan i personvernspørsmål, om å kartlegge innhenting og lagring av biometriske data på plattformene Meta, WhatsApp, Snapchat, TikTok, Grindr og Tinder. Etter personvernforordninga er det datatilsynet i det enkelte EØS-land som har myndigheit til å pålegge selskap etablert på deira territorium å gi informasjon om si behandling av personopplysningar. Det norske Datatilsynet kan sjølv be om informasjon frå verksemder som ikkje er etablerte i noko EØS-land. Dei europeiske datatilsyna har likevel ikkje heimel til å pålegge selskapa å gi informasjon med mindre det dreier seg om ein tilsynssituasjon, altså en situasjon der det skal førast kontroll med etterlevinga av personvernregelverket. Innhenting av informasjon for å kunne svare på Stortinget sitt oppmodingsvedtak er ikkje ein tilsynssituasjon. Om datatilsyna likevel kunne pålegge selskapa å gi informasjon, vil informasjonen vere underlagd streng teieplikt og tilsyna ville neppe kunne dele han med departementet og Stortinget.

Datatilsynet har likevel bidrege med nyttig informasjon basert på sin generelle kunnskap om og kjennskap til dei sosiale media og deira innsamling og behandling av personopplysningar. Tilsynet opplyser at filter som kjenner att ansiktstrekk i tenester for deling av bilete, som for eksempel filter i Snapchat som endrar ansiktsfasongar, ikkje er ein behandling av personopplysningar med mindre tenesta òg angir identiteten til den som blir avbilda (noko som ikkje er vanlig). Datatilsynet opplyser vidare at personvernforordninga i utgangspunktet oppstiller et forbod mot behandling av biometriske opplysningar. Det finnes unnatak frå forbodet som likevel kan gi lov til å behandle biometrisk informasjon. For sosiale medium er det mest praktiske unnataket frå forbodet at den registrerte samtykker til behandlinga. Datatilsynet opplyser at dei ikkje er kjent med at dei plattformene departementet har bede dei undersøkje (Meta, WhatsApp, Snapchat, TikTok, Grindr og Tinder) behandlar biometriske opplysningar i nokon særleg grad i dag.

Etter det Datatilsynet kjenner til, og ut frå personvernerklæringane til selskapa, behandlar verken TikTok, Grindr eller Snapchat biometriske opplysningar. Tinder kan behandle biometriske opplysningar til verifisering av bilete for å bekrefte at brukaren er den vedkomande gir seg ut for å vere. Dette er ei valfri teneste som brukarane må samtykke til. Tilsynet opplyser vidare at Meta lar brukarar av deira teneste «Meta Verified» slå på ein type profilovervaking som bruker biometriske opplysningar til å finne og fjerne falske profilar som bruker bileta deira til svindel. Dette er ein valfri teneste som alle kan betale for, men den er først og fremst retta mot influensarar og andre kjente personar. For å bruke tenesta, blir brukarane bedne om å samtykke til behandling av biometriske opplysningar. Meta hadde tidlegare dessutan ei teneste som kunne kjenne att ansiktsbilete og som foreslå kven som var avbilda på foto som blei lasta opp på Facebook, slik at ein kunne «tagge» dei i biletet. Denne tenesta har Meta fjerna i EØS-landa. Ut over dette opplyser tilsynet at dei ikkje kjenner til at Meta behandlar biometriske opplysningar om sine brukarar.

Med grunnlag i den informasjonen Datatilsynet har gitt til departementet i anledning oppmodingsvedtaket, meiner departementet det ikkje er grunn til å tru at dei sosiale medieplattformene behandlar biometriske data om norske forbrukarar, slik dette er definert i personvernregelverket, i særleg monn. I den grad det skjer, er det all grunn til å tru at det skjer med grunnlag i samtykke frå brukarane sjølve. I lys av dette, er det departementet si vurdering at dei sosiale medieplattformene si behandling av biometrisk informasjon om norske forbrukarar ikkje utgjer nokon utfordring for brukarane sitt personvern.