Kampen for privatliv kostede hans eget

Navnet Max Schrems vækker formentlig både genkendelse og kuldegysninger på chefgangene rundtomkring hos både Google, Microsoft, Facebook og Amazon.

Den 34-årige advokat og privacy-aktivist fra Østrig har i mere end et årti udfordret de amerikanske tech-virksomheders behandling af europæeres persondata. Og den dag i dag hersker der som følge af de sager, Max Schrems har foranlediget – senest med den såkaldte Schrems II-dom – usikkerhed om, i hvilket omfang det overhovedet er muligt at anvende amerikanske cloud-tjenester på en måde, der respekterer europæisk persondataret.

Hvad fik dig til at tage kampen op?
– Oprindeligt tror jeg, det var en reaktion på Snowden-afsløringerne for ti år siden. Det var denne her følelse af, at det er rigtig, rigtig skidt.

Sådan siger han, da Prosabladet møder ham til interview i København i forbindelse med it-sikkerhedskonferencen V2Security, og forklarer, at han var rystet over, at Edward Snowdens afsløringer indikerede elektronisk overvågning fra amerikansk side mod lande i EU.

Hvad er problemet egentlig?
– Grundlæggende tror jeg ikke, at det for de fleste almindelige mennesker er et problem. Men lad os sige, at du er aktivist, journalist eller andet af interesse (for den amerikanske stat, red.), så er det et stort problem. For lige nu, som europæer, så har du ingen beskyttelse. Du er bogstavelig talt fair game.

Max Schrems henviser til, at den amerikanske efterretningstjeneste NSA via amerikansk lovgivning kan få særlig adgang til persondata om ikke-amerikanere via de amerikanske tech-giganters ydelser, selv om EU forsøger at beskytte sine borgeres privatlivsdata. Den østrigske advokat mener, at det er et grundlæggende problem at have to forskellige standarder. En, der er baseret på statsborgerskab i en global verden – og en i en digital verden. »
– Jeg tænkte: O.k., der er måske en juridisk vej her, som kan gøre det til et reelt problem for branchen. For så længe industrien kan ignorere det, så forbliver det bare politisk uden at få konsekvenser, siger han om grunden til, at han gik op mod det, der må have syntes som en overmagt.

Men Max Schrems kunne som advokat se muligheder i at bruge europæisk lovgivning til at gøre livet vanskeligt for de amerikanske tech-giganter i EU. Han udfordrede dataoverførselsaftalerne mellem EU og USA, og nu bærer to EU-domme hans navn, så den mission lader umiddelbart til at være lykkedes.

Både det østrigske og det franske datatilsyn har tidligere på året truffet afgørelser om, at hjemmesider i de konkrete sager, som tilsynene har taget stilling til, ikke må anvende Google Analytics. Sagerne ved begge datatilsyn er rejst af Max Schrems' privacy-organisation Noyb (None Of Your Business) umiddelbart efter Schrems II-afgørelsen, og det drejer sig om 101 hjemmesiders brug af henholdsvis Google Analytics og Facebook Connect.

101 klager

Når Noyb valgte at indgive konkrete klager over ­Google Analytics og ikke alle mulige andre amerikanske, cloud-baserede tjenester, er det, fordi det er ligetil at detektere, hvorvidt en hjemmeside bruger analyseværktøjet. Derudover, fortæller Max Schrems, findes der alternativer til Google Analytics, og dermed var tanken, at de ramte hjemmesider ikke ville stå i en helt umulig situation, såfremt et nationalt datatilsyn dømte tjenesten ude.
– Vi prøvede at gøre noget, der var mere acceptabelt. Men vi oplevede faktisk, at vores fokus på Google Analytics, som er meget udbredt, medførte en meget negativ reaktion, siger Max Schrems og uddyber:
– Vi får bogstavelig talt hademails fra advokater.

Han gætter på, at det hænger sammen med, at mange advokater i årevis har rådgivet deres klienter om, at de trygt kunne bruge værktøjer som eksempelvis Google Analytics.
– Det forbløffer mig. For dem er det mindblowing, at de faktisk skal overholde loven. Jeg mener: Man kan være enig eller uenig i mange love. Jeg er uenig i mange love, men jeg skal stadig overholde dem. Trods alt, siger han.

Det tog ifølge Max Schrems ikke mere end tre dages arbejde at lave de 101 klager, som er blevet sendt til myndighederne i 30 forskellige lande. Han peger i den sammenhæng på, at Noyb ikke er en stor NGO.
– Det viser bare, hvor grundlæggende non-compliant mange af de systemer, vi har, er. Selv med bare et lille puf får man på en måde noget til at eksplodere, siger han.

Umiddelbart kan det virke lidt spøjst, at en relativt lille NGO i Østrig med en begrænset arbejdsindsats på den måde kan ryste det digitale fundament, som en ikke uvæsentlig del af EU hviler på. Ikke mindst taget i betragtning af at der ifølge Max Schrems var det samme grundlæggende galt med Privacy Shield som med Safe Harbor. Altså en umiddelbar inkompatibilitet mellem EU’s persondataret og amerikansk lovgivning.

Når ingen tilsyneladende havde lært noget af Schrems I-dommen, da man udarbejdede Privacy Shield, så mener Max Schrems, at det hænger sammen med et massivt lobbyarbejde fra en ressourcestærk tech-branche på den ene side og et meget begrænset modtryk på den anden.
– Der er jo en grund til, at du har store lobbyfirmaer, og at der betales millioner for deres tjenester, for vi får disse beslutninger ud af det på en eller anden måde, siger han og henviser til, at resultatet bliver aftaler som Safe Harbor og Privacy Shield, der viser sig ikke at holde i retten.

Dominobrikker

EU og USA har annonceret en ny aftale som erstatning for Privacy Shield. Og måske kan europæiske virksomheder sætte deres lid til den aftale som nyt overførselsgrundlag af data allerede ved udgangen af året. Det kan dog vise sig at blive en kort fornøjelse at basere sine persondataoverførsler på arvtageren for Privacy Shield, for Max Schrems forventer nemlig også at udfordre det kommende grundlag, medmindre der dukker noget helt uventet op.
– Vi bliver nødt til at se på den endelige tekst. Måske sker der noget magisk i løbet af det næste halve år, siger han.

Han er dog skeptisk. Umiddelbart er en ændring af amerikansk lovgivning i forbindelse med dataindhentning om ikke-amerikanere den eneste måde, hvorpå Max Schrems kan se, at en ny aftale vil kunne holde i EU-retten. Og det forventer han ikke kommer til at ske lige med det samme. Men måske i det lange løb:  
– De dominobrikker, der skal falde, er, at branchen siger: ”O.k., vi har virkelig et problem. Vi har prøvet tre eller fire gange at tryne europæerne, men det er ikke lykkedes.” Og så på et eller andet tidspunkt vil der komme et pres i Washington, siger han.

Max Schrems må altså fortsat leve med, at hans navn giver genlyd fra EU-Kommissionen til Silicon Valley, men manden selv kalder det super weird at være blevet så kendt. Noget, han konstant må forholde sig til, eksempelvis når der opstår kø på den københavnske it-sikkerhedskonference, fordi deltagerne vil have en selfie med privacy-aktivisten. Som han siger:
– Jeg har mistet mit privatliv på grund af privatlivssager. Det er lidt mærkeligt.