Den spanske YouTuber Carles Tamayo har igen ramt en nerve i sin sædvanlige uformelle, morsomme og skarpe stil. I den sidste episode af Se nos ha ido de las manos (”det er gået over hånd”), en dokumentarserie, der fik premiere på spansk public service-tv i april 2026, ser han på, hvordan virksomheder køber og sælger personoplysninger.

Episoden, der bærer titlen El activo eres tú (”du er aktivet”), lægger et ubehageligt spørgsmål på bordet: Hvem har vores data, og hvad bliver der gjort ved dem? Og hvad er vi villige til at opgive til gengæld for løftet om noget gratis? Efter at have fået spamopkald fra virksomheder, der vidste for meget om ham, omdannede Tamayo sit eget produktionsselskab til en datamægler for indefra at se, hvordan personoplysninger indsamles og handles.

Her er, hvordan datamæglerbranchen fungerer og hvilke rettigheder GDPR (databeskyttelsesforordningen) giver dig.

Hvad en datamægler er og hvordan de tjener penge

En datamægler er en virksomhed, der indsamler, analyserer og sælger oplysninger om personer og organisationer. Det, der gør oplysningerne værdifulde for købere, er, hvordan de kan kombineres og analyseres. Vaner, interesser, placeringsdata og andre signaler kan syes sammen, i stigende grad ved hjælp af AI, til noget brugbart. Datamæglere sælger råmaterialet, der gør det muligt at opbygge en profil af næsten hvem som helst.

I Tamayos reportage tilbyder en datamægler ham for eksempel oplysninger om personer, der for nylig har fået en baby. De nye forældre havde afgivet deres detaljer på hospitalet til gengæld for at være med i en lodtrækning om produkter til nyfødte.

Datamæglere indsamler typisk e-mailadresser, IP-adresser(nyt vindue), omtrentlig placering, onlinekøb, internetsøgninger, interesser, der er valgt i en app, og de enheder, en person bruger.

Har du nogensinde fået et opkald fra et telefonselskab – eller en hvilken som helst virksomhed – og undret dig over, hvor de fik dit nummer fra? Det er enklere, end du tror. Cookies, mobilapps og onlineformularer kan indsamle dine oplysninger og videregive dem til datamæglere. Det kan offlinekilder som loyalitetskort, lodtrækninger og offentlige registre også.

Hvad cookies er og hvad de bruges til

Du har set dem på alle de websteder, du besøger: en lille pop-up, der beder dig acceptere eller afvise cookies. Du læser den sikkert kun overfladisk, accepterer cookies(nyt vindue) og går videre uden nogensinde at spørge, hvad cookies egentlig er(nyt vindue) eller hvad du netop har sagt ja til, at virksomheder må gøre med dine data.

Cookies er små filer, som et websted gemmer i din browser for at huske oplysninger om dit besøg. Dem, datamæglere er interesserede i, er reklamecookies, der er designet til at opbygge adfærdsprofiler og vise personaliserede annoncer.

Men du kan nu spores med metoder, der rækker langt ud over cookies. Browser-fingerprinting skaber for eksempel en unik signatur ud fra kendetegnene ved din enhed, mens sporing på tværs af websteder følger din aktivitet, når du bevæger dig mellem websteder. På mobil gør reklame-ID’er noget lignende ved at knytte din adfærd til en vedvarende identifikator.

At afvise cookies forbedrer dit privatliv, men garanterer det ikke fuldt ud. Og når du begynder at spørge, hvor dine data ender, hvem der har dem, og hvordan de bliver brugt, støder du uundgåeligt på spørgsmålet om, hvorvidt handel med dine data overhovedet er lovlig.

Hvordan GDPR beskytter dig

GDPR er EU’s regelsæt for, hvordan organisationer og virksomheder indsamler, bruger, deler og opbevarer personoplysninger om alle i EU. Det gælder også for virksomheder uden for EU, der retter sig mod personer i EU. I Spanien føres tilsynet af Det Spanske Databeskyttelsesagentur (AEPD), som også behandler klager, når en virksomhed overtræder disse rettigheder.

GDPR fastlægger flere grundlæggende rettigheder:

Ret til indsigt: Find ud af, hvilke personoplysninger en virksomhed har om dig, hvad den bruger dem til, hvem den har delt dem med, og hvor den har fået dem fra. Du kan også anmode om en kopi.

Ret til berigtigelse: Få rettet forkerte eller forældede oplysninger.

Ret til sletning: Kendt som ”retten til at blive glemt” giver den dig mulighed for at anmode om, at dine data slettes, når virksomheden ikke længere har brug for dem, når du trækker dit samtykke tilbage eller gør indsigelse mod brugen, eller når de er blevet behandlet ulovligt.

Ret til at gøre indsigelse: Afvis visse former for behandling, for eksempel brug af dine data til reklame. Ved direkte markedsføring er denne ret absolut: Når du først har gjort indsigelse, skal virksomheden stoppe.

Ret til dataportabilitet: Modtag de personoplysninger, du har givet en virksomhed, i et struktureret, almindeligt anvendt og maskinlæsbart format, så du kan flytte dem til en anden tjenesteudbyder. Det gælder, når virksomheden behandler dine data på grundlag af dit samtykke eller en kontrakt og ved automatiserede midler.

GDPR giver folk rettigheder, der kan håndhæves, og som understøttes af bøder, men mange er ikke klar over, at de kan udøve disse rettigheder gratis. En virksomhed kan kun opkræve et gebyr eller afvise, når en anmodning er åbenbart grundløs eller urimelig.

Som Tamayos reportage viser, er der et stort gab mellem de garantier, loven giver, og det, den gennemsnitlige borger ved om at beskytte sine personlige oplysninger. Det gab gør det sværere for folk at bruge de juridiske værktøjer, de har til rådighed, og at tage kontrollen over deres data tilbage.

Sådan bruger du dine GDPR-rettigheder mod datamæglere

Rettighederne ovenfor virker kun, hvis du bruger dem. Ingen af dem kræver en advokat eller en særlig formular: En e-mail til virksomhedens kontaktperson for privatliv er nok.

Spørg, hvor dine data kommer fra. Hvis en virksomhed kontakter dig, og du aldrig har givet den dine oplysninger, så spørg den, hvor den har dem fra. Ifølge indsigtsretten skal den fortælle dig det, og svaret fører ofte direkte til en datamægler.

Send en anmodning om indsigt. Spørg virksomheden eller datamægleren, hvilke data den har om dig, hvad den bruger dem til, og hvem den har delt dem med, og bed om en kopi. Anmodningen er gratis, og virksomheden skal svare inden for en måned. Den kan forlænge fristen med yderligere to måneder ved komplekse anmodninger, men skal fortælle dig det.

Gør indsigelse og bed om sletning. I samme e-mail kan du gøre indsigelse mod, at dine data bruges til markedsføring, og bede om, at de slettes. Virksomheden skal også sørge for, at sletningen bliver gennemført hos alle, den har delt dine data med, medmindre det er umuligt eller vil kræve uforholdsmæssigt store anstrengelser.

Tilmeld dig Lista Robinson. I Spanien skal virksomheder, der sender direkte markedsføring, tjekke denne fravalgsliste for reklame, før de kontakter dig. Det er gratis at tilmelde sig.

Klag til AEPD. Hvis en virksomhed ignorerer dig, afviser uden en gyldig grund eller overskrider fristen, kan du indgive en gratis klage til Det Spanske Databeskyttelsesagentur.

Begræns, hvad datamæglere overhovedet kan indsamle

Dine GDPR-rettigheder rydder op i det, der allerede er derude. Et par enkle vaner begrænser, hvor mange nye data der når frem til datamæglere.

Gennemgå dine apptilladelser og slå enhver adgang fra, som en app ikke har brug for at fungere, især de tilladelser, der giver adgang til din placering, dine kontakter eller dine billeder.

Afvis ikke-nødvendige cookies. På EU-websteder bør det være lige så nemt at afvise som at acceptere, og det blokerer de reklamecookies, som bruges til at opbygge adfærdsprofiler.

Forbliv logget ud af websteder og tjenester, når du kun browser. Når du er logget ind på Google, YouTube, Amazon eller et nyhedswebsted, er alt, hvad du søger efter, ser, læser eller køber, knyttet til din konto. Når du browser, mens du er logget ud, får virksomhederne mindre at knytte til dig.

Brug en browser med fokus på privatliv som Firefox eller Brave, der blokerer mange trackere som standard. Du kan også se nærmere på europæiske alternative webbrowsere med fokus på privatliv.

Skift til Proton Mail, vores private og sikre e-mail-tjeneste, som ikke kan læse dine e-mails og ikke scanner din indbakke for annoncer, sporing eller overvågning. Den blokerer også sporingspixels, som markedsførere typisk bruger til at se, hvornår du åbner en besked, samt andre indikatorer.

Brug en VPN(nyt vindue) til at skjule din IP-adresse for websteder, apps og annoncenetværk, så de ikke kan bruge den til at anslå din placering eller knytte din aktivitet på tværs af websteder. Proton VPN har også en funktion, der hedder NetShield, som blokerer annoncer og trackere, før de indlæses. Den har en uafhængigt revideret politik om ingen logning(nyt vindue), så den fører ikke register over, hvad du laver online.

Brug en krypteret adgangskodeadministrator til at oprette stærke, unikke adgangskoder, så en kompromitteret konto ikke blotlægger resten. Proton Pass giver dig også hide-my-email-aliaser til nyhedsbreve, lodtrækninger og onlinebutikker. Hvis et af dem begynder at modtage spam, kan du se, hvem der kan have delt eller lækket det, og derefter deaktivere aliaset.

Som Tamayos reportage viser med al tydelighed, er datamæglere en del af en forretningsmodel, der er bygget på vores data. Men GDPR og de værktøjer, der beskytter vores privatliv, giver os måder at tage kontrollen tilbage på. Målet er ikke at forsvinde fra internettet, men at være bevidst om, hvem der får adgang til vores data og hvorfor.