DSA: GDPR har fået en muskuløs storesøster
Forbrugerne har mange grunde til at juble over Digital Services Act, der har et tydeligt dansk aftryk. Men den afskaffer ikke big techs overvågning, og vi mangler stadig de finere detaljer i teksten. Her er en gennemgang af de absolut vigtigste elementer.
af Peter Christian Bech-Nielsen
På få dage har vi oplevet, at internettets tektoniske plader flytter sig på afgørende vis. To hændelser, der på sin vis ikke har nogen direkte sammenhæng, og som alligevel på alle måder vil præge internettets fremtid, ramte os lørdag og mandag.
Lørdag kunne Europa-Parlamentets chefforhandlere, EU-Kommissionen og Rådet, fortælle den europæiske offentlighed, at trilogen var nået til enighed om en skelsættende aftale med navnet Digital Services Act (DSA), som regulerer tjenesteydelser og platforme i vores digitale sfære. Og mandag ramte nyheden så, at det er lykkedes verdens rigeste mand og tech-guru Elon Musk at købe Twitter. Hvordan tingene hænger sammen, skal jeg nok vende tilbage til.
For de fleste af os er DSA’en godt nyt – vi har som samfund med al tydelighed savnet redskaber til at regulere magtfuldkomne tech-giganter, desinformation og de mange andre effekter, der følger med, når vores kommunikationsstrømme og feeds i høj grad er styret af få giganters algoritmer.
Short and sweet
Noget af det mest håndfaste i DSA er muligheden for at give bøder på op til seks procent af tech-virksomhedernes årlige omsætning, hvis de forbryder sig mod de regler, som fastsættes i den nye lovgivning.
DSA skitserer særligt stramme regler for tech-selskaber med mere end 45 millioner månedlige brugere. Til mange forældres glæde bliver det ulovligt med annoncering målrettet børn og unge. Det samme gælder annoncering baseret på følsom data såsom din seksuelle orientering eller etniske baggrund.
På det mere højtsvævende plan, men også absurd vigtigt, så bliver tech-giganterne tvunget til at åbne deres algoritmer for myndigheder og forskere. Altså får vi mulighed for at kigge under kølerhjelmen, så kloge mennesker kan hjælpe almindelige dødelige med at forstå, hvilke faktorer der driver feedet og kommunikationen på vores mange forskellige sociale og virale netværk og ikke mindst den søgemaskine, der har lagt navn til det gumpetunge udtryk “at google” noget.
Hvis vi skal skære helt ind til benet, så udgør DSA overordnet et kvantespring for de europæiske forbrugere. Selv Amnesty International kalder loven for et “historisk øjeblik” i reguleringen af internettet.
Det svære ved algoritmerne er, at selskaberne selv har svært ved at forstå fuldt ud, hvordan de mange variabler i algoritmerne arbejder sammen. Et godt eksempel er Facebook, hvor man i 2018 skruede på algoritmerne med den hensigt, at brugerne skulle have mere indhold fra venner og familie i feedet, mens professionelt produceret indhold blev nedtonet. Resultatet blev dog ikke som ventet: Splittende og radikalt indhold blev mere drivende på platformen.
I marketingafdelingen er det især værd at bemærke, at såkaldte “dark patterns” bliver forbudt. Det er for eksempel, at et socialt netværk gør det nærmest umuligt at finde ud af, hvor man sletter sin profil. Eller at en cookiesamtykke-knap bliver fremhævet med skrigende grøn, mens du nærmest ikke kan se det grå “nej tak”-ikon.
Det er først i de afgørende trilog-forhandlinger, at det er lykkedes at få dark pattern-afsnittet med, hvilket især danske Christel Schaldemose, der har siddet som en af EU-Parlamentets chefforhandlere, kan tage en del af æren for. Facebook-whistleblower Frances Haugen lagde ved sit besøg i EU-Parlamentet i slutningen af 2021 stor vægt på netop dark patterns, hvilket også skulle have gjort et stort indtryk.
De meget brede samtykker og brugerbetingelser, som eksempelvis Facebook benytter sig af, kommer også i skudlinjen med DSA. Hvis man eksempelvis er blevet luret til at sige ja til, at Facebook på et tidspunkt må bruge ens billeder til ansigtsgenkendelse, så kan det også blive et problem.
Et samtykke skal nemlig ifølge DSA’s regler for dark patterns være lige så let at tilbagekalde, som det var at give i første omgang. Her overlapper DSA delvist de eksisterende GDPR-regler, hvor man taler om et informeret samtykke. Hvis selskabet har begravet den information i en 130 sider lang samtykkeerklæring, så vil der med de nye regler være yderligere skyts til at gribe ind.
Hvis vi skal skære helt ind til benet, så udgør DSA overordnet et kvantespring for de europæiske forbrugere. Selv Amnesty International kalder loven for et “historisk øjeblik” i reguleringen af internettet. Den lægger de skinner, som vi har manglet. Et godt eksempel er, at forbrugerne får mulighed for at udfordre sociale mediers beslutninger i reelle institutioner og kan kræve kompensation med DSA’en i hånden.
DSA møder Musk
DSA’ens takter har som sagt en direkte kobling til Elon Musks højaktuelle køb af Twitter. Musk har nemlig proklameret, at han vil gøre det mere gennemsigtigt, hvordan algoritmerne på Twitter fungerer. Så måske vil Twitter med sin nye ejer have i hvert fald én konkurrencefordel, hvis ellers Musk leverer på sit løfte. Han har mere end en gang lovet det ene og leveret noget helt andet. Og derudover er det en underdrivelse at sige, at Elons entré i Twitter giver selskabet mange udfordringer.
Musk har kaldt sig selv for ytringsfrihedsfundamentalist, og det er ventet, at han vil føre en linje på Twitter, hvor moderation bliver nedtonet, hvis ikke helt fjernet. Her kommer Musk formentlig til at ramle sammen med EU’s nye regler på den helt store klinge. DSA foreskriver, at dommere og EU-myndigheder får ret til at kræve indhold hurtigt fjernet fra Facebook, Twitter eller Instagram etc., hvis det bryder national eller EU-lovgivning. Og samtidig skal selskaberne forsyne myndigheder med oplysninger om brugerne.
Det vil ikke hue Musk. Ikke desto mindre skal han leve op til EU’s regler.
Selskaberne skal også lave en risiko- og konsekvensanalyse som del af en slags årlig revision. Det vil ikke hue Musk. Ikke desto mindre skal han leve op til EU’s regler. Men vi mangler at læse det med småt, som vil blive konkretiseret i de kommende uger. Og vi mangler ikke mindst at se, om Musk faktisk forfølger den fundamentalistiske kurs, som han har pejlet.
Her er det også værd at tilføje, at virksomhedernes egne regler for ytringer vil sameksistere med DSA’s nye regulering. Bare bryster på Facebook vil derfor stadig kunne blive fjernet, hvis selskabet mener, at det strider mod egne regler. Og så skal vi også huske, at reglerne på tværs af EU vil være forskellige, og dermed vil tolkningen af, hvad der kan kræves fjernet, også kunne variere fra land til land alt efter national lovgivning.
Der ligger også en potentiel censurfælde og venter, mener chefjurist i Forbrugerrådet og medlem af Dataetisk Råd Anette Høyrup, der understreger, at hun grundlæggende er tilhænger af DSA’ens regler, hvor man pålægger tech-selskaberne af fjerne indhold.
“Risikoen er, at selskaber bliver så bange for bøder, så de ender med at fjerne indhold med en grovhøster. Jeg håber, at DSA’en har fundet den rette balance. Det kommer an på, hvordan praksis bliver”, siger hun til Techmediet Radar.
Hullerne i osten
Hvis jeg skal sætte fingeren på nogle af de ømme punkter, så kan vi konkludere, at den såkaldte overvågningskapitalisme lever videre trods DSA, omend i en amputeret form. Progressive stemmer har i flere år messet, at dette var en once in a lifetime-mulighed for at forbyde overvågningskapitalismen.
Men det skifte, som vi formentlig vil se, er, at tech-virksomhederne i fremtiden i langt højere grad vil arbejde med førstepartscookies eller forskellige privacy-systemer. Den type overvågning vil være deres egen, og den vil de kunne fintune efter DSA.
Man kan undre sig over, at den danske regering har travlt med få stemt sin egen big tech-lovgivning igennem Folketinget al den stund, at DSA på mange stræk er mere ambitiøs end regeringens forslag.
Tredjepartscookies vil blive for besværlige for mange af tech-virksomhederne, da de ikke vil kunne garantere for andre virksomheders datapraksis og videre brug. Google har for længst proklameret, at de dropper tredjepartscookies i slutningen af 2023, mens Apple for adskillige måneder siden gav brugerne mulighed for at fravælge tracking fra apps.
Google arbejder desuden på systemet Privacy Sandbox, som giver mulighed for at fravælge tracking, men kritikere vil fremhæve, at Google stadig vil vide alt for meget om, hvad du foretager dig, mens de lukker andre selskaber ude.
En anden klar svaghed ved DSA’en er, at det stadig vil være muligt for tredjeparter at sælge shady produkter inden for eksempelvis Amazons univers, uden at tech-giganten skal garantere for, at produktet lever op til EU’s regler for miljø, sikkerhed og produktansvar etc.
“Giganter som Facebook, Google og Amazon får ikke noget importøransvar, så tredjeparter vil stadig kunne sælge kinesiske slamprodukter,” siger Anette Høyrup fra Forbrugerrådet.
Der er stadig utroligt mange detaljer, som skal konkretiseres i den endelige tekst, hvilket på flere områder vil have afgørende betydning, inden DSA skal forbi EU-Parlamentet og Rådet endnu en gang, før den bliver endelig godkendt.
Man kan undre sig over, at den danske regering har travlt med få stemt sin egen big tech-lovgivning igennem Folketinget al den stund, at DSA på mange stræk er mere ambitiøs end regeringens forslag.
Eksempelvis vil kulturminister Ane Halsboe ikke tvinge tech-giganterne til at give indsigt i algoritmerne, men blot “anmode” om det. DSA’en slår fast, at det skal big tech.
Fredag den 29. holder techmediet Radar et online møde med MEP Christel Schaldemose om DSA. Du kan deltage på Zoom her.
