Den spanske youtuberen Carles Tamayo har igjen truffet en nerve, med sin vanlige uformelle, morsomme og treffsikre stil. I den siste episoden av Se nos ha ido de las manos («Det har gått over styr»), en dokumentarserie som hadde premiere på spansk offentlig TV i april 2026, ser han på hvordan selskaper kjøper og selger personopplysninger.

Episoden, som har tittelen El activo eres tú («Du er eiendelen»), setter en ubehagelig problemstilling på bordet: Hvem har dataene våre, og hva blir gjort med dem? Og hva er vi villige til å gi opp mot løftet om noe gratis? Etter å ha fått søppelpostanrop fra selskaper som visste for mye om ham, gjorde Tamayo sitt eget produksjonsselskap om til en datamegler for å se innenfra hvordan personopplysninger samles inn og handles med.

Slik fungerer datameglervirksomheten, og hvilke rettigheter GDPR (personvernforordningen) gir deg.

Hva en datamegler er, og hvordan de tjener penger

En datamegler er et selskap som samler inn, analyserer og selger informasjon om personer og organisasjoner. Det som gjør informasjonen verdifull for kjøpere, er hvordan den kan kombineres og analyseres. Vaner, interesser, plasseringsdata og andre signaler kan sys sammen, i økende grad ved hjelp av KI, til noe brukbart. Datameglere selger råmaterialet som gjør det mulig å bygge en profil av nesten hvem som helst.

I reportasjen til Tamayo tilbyr for eksempel en datamegler ham informasjon om personer som nylig har fått barn. De nybakte foreldrene hadde gitt fra seg detaljene sine på sykehuset mot å være med i en trekning av produkter for nyfødte.

Datameglere samler vanligvis inn e-postadresser, IP-adresser(nytt vindu), omtrentlig plassering, nettkjøp, nettsøk, interesser som er valgt i en app, og enhetene noen bruker.

Har du noen gang fått en telefon fra et telefonselskap (eller et hvilket som helst selskap) og lurt på hvor de fikk nummeret ditt? Det er enklere enn du tror. Informasjonskapsler, mobilapper og nettskjemaer kan samle inn informasjon om deg og sende den videre til datameglere. Det samme kan kilder utenfor nettet, som fordelskort, trekninger og offentlige registre.

Hva informasjonskapsler er, og hva de brukes til

Du har sett dem på hvert nettsted du besøker: en liten sprett-opp som ber deg godta eller avvise informasjonskapsler. Du skummer sannsynligvis gjennom den, godtar informasjonskapsler(nytt vindu) og går videre, uten å noen gang spørre hva informasjonskapsler egentlig er(nytt vindu), eller hva du nettopp samtykket til at selskapene kan gjøre med dataene dine.

Informasjonskapsler er små filer som et nettsted lagrer i nettleseren din for å huske informasjon om besøket ditt. De datameglerne bryr seg om, er annonseinformasjonskapsler, utformet for å bygge atferdsprofiler og vise tilpassede annonser.

Men du kan nå spores med metoder som går langt utover informasjonskapsler. Nettleserfingeravtrykk lager for eksempel en unik signatur basert på egenskapene til enheten din, mens sporing på tvers av nettsteder følger aktiviteten din når du beveger deg mellom nettsteder. På mobil gjør annonse-ID-er noe lignende ved å knytte atferden din til en vedvarende identifikator.

Å avvise informasjonskapsler forbedrer personvernet ditt, men garanterer det ikke fullt ut. Og når du først begynner å spørre hvor dataene dine tar veien, hvem som har dem, og hvordan de brukes, kommer du uunngåelig inn på spørsmålet om handel med dataene dine i det hele tatt er lovlig.

Hvordan GDPR beskytter deg

GDPR er EUs regelverk for hvordan organisasjoner og selskaper samler inn, bruker, deler og lagrer personopplysninger til alle i EU. Det gjelder også selskaper utenfor EU som retter seg mot personer der. I Spania fører det spanske datatilsynet (AEPD) tilsyn med etterlevelsen, og det behandler også klager når et selskap bryter disse rettighetene.

GDPR fastsetter flere grunnleggende rettigheter:

Retten til innsyn: Finn ut hvilke personopplysninger et selskap har om deg, hva det bruker dem til, hvem det har delt dem med, og hvor det fikk dem fra. Du kan også be om en kopi.

Retten til retting: Få uriktig eller utdatert informasjon rettet.

Retten til sletting: Også kjent som «retten til å bli glemt», lar denne deg be om at dataene dine slettes når selskapet ikke lenger trenger dem, når du trekker tilbake samtykket eller protesterer mot bruken, eller når de ble behandlet ulovlig.

Retten til å protestere: Avvis visse typer behandling, for eksempel bruk av dataene dine til annonsering. For direktemarkedsføring er denne retten absolutt: Når du først protesterer, må selskapet slutte.

Retten til dataportabilitet: Motta personopplysningene du ga til et selskap, i et strukturert, vanlig brukt og maskinlesbart format, slik at du kan flytte dem til en annen tjenesteleverandør. Dette gjelder når selskapet behandler dataene dine basert på samtykket ditt eller en avtale, ved automatiserte midler.

GDPR gir folk rettigheter som kan håndheves, med bøter som virkemiddel, men mange er ikke klar over at de kan bruke disse rettighetene gratis. Et selskap kan bare kreve en avgift eller avslå når en forespørsel er åpenbart grunnløs eller urimelig.

Som reportasjen til Tamayo viser, er det et stort gap mellom garantiene loven gir, og det den vanlige borgeren vet om å beskytte personopplysningene sine. Dette gapet gjør det vanskeligere for folk å bruke de juridiske verktøyene som er tilgjengelige, og å ta tilbake kontrollen over dataene sine.

Slik bruker du GDPR-rettighetene dine mot datameglere

Rettighetene ovenfor fungerer bare hvis du bruker dem. Ingen av dem krever advokat eller et spesielt skjema: En e-post til selskapets personvernkontakt er nok.

Spør hvor dataene dine kom fra. Hvis et selskap kontakter deg og du aldri ga det detaljene dine, spør det om kilden. Etter innsynsretten må selskapet fortelle deg det, og svaret fører ofte rett til en datamegler.

Send en innsynsforespørsel. Spør selskapet eller datamegleren hvilke data de har om deg, hva de bruker dem til, og hvem de har delt dem med, og be om en kopi. Forespørselen er gratis, og selskapet må svare innen én måned. Det kan forlenge fristen med ytterligere to måneder ved komplekse forespørsler, men må informere deg om det.

Protester og be om sletting. I samme e-post kan du protestere mot at dataene dine brukes til markedsføring og be om at de slettes. Selskapet må også gi beskjed om slettingen til alle det har delt dataene dine med, med mindre det er umulig eller vil kreve uforholdsmessig mye arbeid.

Registrer deg på Lista Robinson. I Spania må selskaper som sender direktemarkedsføring, sjekke denne reservasjonslisten for reklame før de kontakter deg. Registreringen er gratis.

Klag til AEPD. Hvis et selskap ignorerer deg, avslår uten en gyldig grunn eller overskrider fristen, kan du sende inn en gratis klage til det spanske datatilsynet.

Begrens hva datameglere kan samle inn i utgangspunktet

GDPR-rettighetene dine rydder opp i det som allerede er der ute. Noen enkle vaner reduserer hvor mye nye data som når datameglere.

Gå gjennom apptillatelsene dine og slå av all tilgang en app ikke trenger for å fungere, spesielt apper med tilgang til plasseringen, kontaktene eller bildene dine.

Avvis informasjonskapsler som ikke er nødvendige. På EU-nettsteder skal det være like enkelt å avvise som å godta, og det blokkerer annonseinformasjonskapslene som fôrer atferdsprofiler.

Hold deg logget av nettsteder og tjenester når du bare surfer. Når du er logget på Google, YouTube, Amazon eller en nettavis, knyttes alt du søker på, ser på, leser eller kjøper, til kontoen din. Å surfe mens du er logget av gir selskapene mindre å koble til deg.

Bruk en personvernfokusert nettleser som Firefox eller Brave, som blokkerer mange sporere som standard. Du kan også utforske europeiske alternative nettlesere med fokus på personvern.

Bytt til Proton Mail, vår private og sikre e-posttjeneste som ikke kan lese e-postene dine og ikke skanner innboksen din for annonser, sporing eller overvåking. Den blokkerer også sporingspiksler, som markedsførere vanligvis bruker for å se når du åpner en melding (i tillegg til andre indikatorer).

Bruk et VPN(nytt vindu) for å skjule IP-adressen din for nettsteder, apper og annonsenettverk, slik at de ikke kan bruke den til å anslå plasseringen din eller koble aktiviteten din på tvers av nettsteder. Proton VPN har også en funksjon som heter NetShield, som blokkerer annonser og sporere før de lastes inn. Den har uavhengig reviderte retningslinjer mot loggføring(nytt vindu), så den fører ikke logg over hva du gjør på nettet.

Bruk en kryptert passordapp for å lage sterke, unike passord, slik at én konto som er rammet av datainnbrudd, ikke avslører resten. Proton Pass gir deg også hide-my-email-aliaser for nyhetsbrev, trekninger og nettbutikker. Hvis en av dem begynner å få søppelpost, kan du se hvem som kan ha delt eller lekket den, og deretter deaktivere aliaset.

Som reportasjen til Tamayo gjør tydelig, er datameglere en del av en forretningsmodell bygget på dataene våre. Men GDPR og verktøyene som beskytter personvernet vårt, gir oss måter å ta tilbake kontrollen på. Målet er ikke å forsvinne fra internett, men å være bevisst på hvem som får tilgang til dataene våre, og hvorfor.