sou · GNB3106 · 2000-01-01 00:00:00 — En av grundtankarna i dessa rekommendationer är att Internets karaktär möjliggör för konsumenten att lämna adekvat information om sig själv, och därigenom få tillgång till relevant produktinformation. Reklam och marknadsföring får inte utformas eller överföras på ett sätt som kan skada allmänhetens förtroende för Internet som medium och marknadsplats. Internetreglerna anger att marknadsförare till den enskilde skall ange syftet eller syftena med insamlingen och användningen av personuppgifter. Dessa får inte användas annat än i enlighet med syftet med insamlingen. Informationen, dvs. i detta sammanhang närmast en konsumentprofil, skall vara korrekt, komplett och aktuell. Liksom enligt om direktmarknadsföring skall den enskilde ha rätt att få del av personuppgifterna samt kunna få till stånd rättelse av felaktig eller ofullständig information. Den enskilde skall även kunna förhindra användningen av personuppgifter, dock utan att det närmare anges under vilka förutsättningar den enskilde skall kunna förhindra användning eller vilka kategorier av personuppgifter som avses. Den som behandlar personuppgifter skall vidta rimliga åtgärder för att skydda informa- tionen. Enskilda skall ha möjlighet att neka till vidarebefordran av personuppgifter till utomstående. Undantag härifrån gäller om vidare- befordran medges i lag. I internetreglerna uppmanas marknadsförare att på hemsidor redovisa, och göra lätt tillgänglig, deras inställning till frågan om skyddet för den personliga integriteten. Elektroniska online- funktioner skall installeras så att användare kan utnyttja sin rätt att invända mot att personuppgifter lämnas ut. Även i andra ICC-riktlinjer berörs skyddet för den personliga integriteten, se t.ex. om säljfrämjande åtgärder. I sak innehåller dessa riktlinjer dock inget utöver vad som redovisats. MarknadsEtiska Rådet (MER) svarar för tolkning och tillämpning av ICC:s marknadsföringskoder i . MER:s uppgift är främst att genom prövning av principärenden göra uttalanden om vad som är eller bör anses vara god affärssed. ICC har tillsammans med ESOMAR tagit fram regler för marknadsundersökningar (se avsnitt 5.12). Personlig integritet vid marknadsföring på Internet 159 - ESOMAR - är den internationellt ledande sammanslutningen för marknads- och opinionsundersökningar. Dylika undersökningar utgör inte marknads- föring i egentlig mening utan närmast, i vissa fall, förarbetet inför marknadsföringsåtgärder. Här redovisas kort den praxis som gäller på området för marknads- och opinionsundersökningar, eftersom sådana ur konsumenternas synvinkel kan uppfattas som en del av marknads- föringen och då dylika undersökningar innefattar behandling av per son- uppgifter. Det kan därför vara a v intresse att göra en jämförelse med de etiska regler denna bransch infört i fråga om skyddet för den personliga integriteten. Av intresse är först ESOMAR/ICC-reglerna om marknads- undersökningar generellt. Marknadsundersökningar skiljer sig från andra former av insamling av information, såtillvida att identiteten hos den som försett undersökningsinstitutet med information är hemlig för beställaren. Den som deltar i en marknadsundersökning skall göra det frivilligt och måste således vara medveten om att det är fråga om en marknads- undersökning. Marknadsundersökningar får således inte utföras utan att konsumenten är medveten om det, t.ex. genom registrering på teknisk väg av konsumentens beteende på Internet. Om intervju gjorts och denna upptagits på teknisk eller annan väg, skall upptagningen eller motsvarande förstöras eller raderas om den enskilde så önskar. Personuppgifter som samlas in inom ramen för en marknadsunder- sökning får behandlas endast inom ramen för syftet med denna. All information om den enskildes identitet skall fysiskt förvaras separat från den information den enskilde lämnat. Undantag får göras om den enskilde medgett det eller det är nödvändigt för fortsatt bearbetning av undersökningsresultatet. Personuppgifter får inte vidarebefordras utan den enskildes samtycke såvida inte offentlig reglering medger det. Om den enskilde samtyckt till vidarebefordran får mottagaren använda person-uppgifterna enbart till ändamål i enlighet med dessa regler. ESOMAR har på egen hand tagit fram regler för marknads- och opinionsundersökningar på Internet. I ingressen sägs att alla sådana undersökningar skall beakta, förutom ESOMAR/ICC-reglerna, såväl nationella som internationella regler till skydd för den personliga integriteten. Liksom tidigare poängteras skyddet för den enskilde och att dennes medverkan alltid skall vara frivillig. Särskilt för undersökningar via Internet är bl.a. att deltagare skall informeras om eventuella kostnader som kan följa t.ex. för den tid den enskilde är uppkopplad och 160 Personlig integritet vid marknadsföring på Internet att undersökningsinstitut skall vidta särskilda åtgärder för att skydda sig mot dataintrång, exempelvis genom s.k. brandväggar. De nordiska konsumentombudsmännen lade fram en gemensam ståndpunkt om handel och marknadsföring på Internet. Ståndpunkten innehåller följande rekommendationer när det gäller registrering och behandling av upplysningar. (i) Konsumenten bör kunna operera fritt på Internet. Det bör endast förekomma registrering av personuppgifter om konsumenten särskilt har lämnat sitt samtycke. (ii) Näringsidkare som registrerar uppgifter på Internet bör på Internet lämna upplysningar om hur denna registrerar och behandlar person- uppgifterna. Denna information bör lämnas för registrering och behandling av både personanknutna och icke personanknutna uppgifter. Näringsidkare bör härvid informera om vilka upplysningar som registreras, hur upplysningarna registreras, vad det registrerade används till, hur länge upplysningarna sparas, om upplysningarna vidare- befordras och i sådana fall till vem samt andra omständigheter av relevans för konsumenten. (iii) Näringsidkare som registrerar person- uppgifter på Internet bör ge utrymme för att de rättigheter konsumenten har enligt datalagstiftningen kan göras gällande vid en elektronisk förfrågan. Näringsidkaren bör lämna tydlig och tillräcklig information om dessa rättigheter. Vidare rekommenderas näringsidkare i riktlinjerna att se till att personuppgifter som skall användas för särskilt riktad marknadsföring företrädesvis inhämtas genom upplysningar från konsumenten själv. På så sätt tillförsäkras enligt riktlinjerna att konsumenten själv har inflytande över vilka kriterier personuppgifter databehandlas utifrån. 5.14De nordiska konsumentministrarnas resolution De nordiska konsumentministrarna antog en resolution och ståndpunkt om marknadsföring på Internet riktad till barn och unga. Ståndpunkten preciseras i nio punkter som finns i en bilaga till resolutionen. I bilagan finns även kommentarer till de enskilda punkterna. Personlig integritet vid marknadsföring på Internet 161 Av särskilt intresse i detta sammanhang är punkten 6. Barn och ungdomar bör inte uppmanas att lämna upplysningar om sig själva, hushållet eller andra personer. Det bör inte förekomma att barn och ungdomar avkrävs uppgifter som villkor för att få tillgång till innehållet i marknadsföringen. Punkten ges i bilagan till resolutionen följande kommentar. Konsumenter bör kunna operera fritt på Internet. Det bör endast förekomma registrering av personuppgifter, om konsumenten särskilt lämnat sitt samtycke. Näringsidkare som registrerar uppgifter på Internet bör på Internet lämna upplysningar om hur denne registrerar och behandlar uppgifterna. Denna information bör lämnas för registrering och behandling av både personanknutna och icke personanknutna uppgifter. Näringsidkare bör härvid informera om vilka upplysningar som registreras, hur upplysningarna registreras, vad det registrerade används till, hur länge upplysningarna sparas, om upplysningarna vidarebefordras och i sådana fall till vem samt andra omständigheter av relevans för konsumenten. Vad sålunda anförts anses vara uttryck för god sed vid behandling av personuppgifter och upplysningar som har samband med enskilda personer. Det anförda får än större relevans när personkretsen utgörs av barn och ungdomar. Denna grupp bör därför inte uppmanas via Internet att lämna upplysningar om sig själv, hushållet eller andra personer. Det bör inte heller förekomma att barn och ungdomar avkrävs uppgifter som förutsättning för att uppehålla sig på eller delta i aktiviteter på Internet. 162 Personlig integritet vid marknadsföring på Internet 5.15.1Kränks den personliga integriteten på Internet? Min bedömning: I takt med att fler och fler får tillgång till Internet och att marknadsföringen på Internet liksom den elektroniska handeln utvecklas, kommer mängden personuppgifter som överförs via Internet att öka. Så länge konsumenterna inte har fullständig kontroll över användningen av personuppgifter kommer risken för att personuppgifter behandlas på ett för konsumenterna kränkande sätt sannolikt att bli allt större i takt med att mängden personuppgifter som överförs via Internet ökar. Tekniker varigenom personuppgifter samlas in på Internet är i många fall antingen nödvändiga för eller underlättar den elektroniska handeln (se avsnitt 5.3). Såvitt jag kunnat finna har inga svenska studier gjorts över hur många webbplatser som samlar in personuppgifter och vad de använder uppgifterna till. Jag har inte heller kunnat finna något stöd för att kränkningar av den personliga integriteten sker i större utsträckning vid marknadsföring på Internet jämfört med marknadsföring i andra media. I en amerikansk undersökning, i vilken mer än 1.400 nätplatser i studerats, ges en fingervisning om frekvensen av insamlandet. Studien visar att av nätplatserna samlade in personuppgifter, att av dessa informerar den enskilde om insamlandet och att endast ett par procent av nätplatserna hade en genomarbetad policy i fråga om skyddet för den personliga integriteten. Procenten av nätplatser som samlade in personuppgifter var högre när det gällde de drygt 200 nätplatser som riktade sig till barn (och yngre). Av de mest populära adresserna hade en uttrycklig integritetspolicy.45 En slutsats man skulle kunna dra är att det lönar sig att informera konsumenterna om vilka principer man har i fråga om skyddet för den personliga integriteten. Visserligen är förhållandena i förmodligen speciella med hänsyn bl.a. till dess långa tradition av icke-reglering på området, men har FN:s, och och andra liknande rekommendationer i fråga om skyddet för den personliga integriteten funnits . Enligt dessa internationella riktlinjer krävs bl.a. att insamlade uppgifter regelbundet kontrolleras så att de är korrekta och adekvata för ändamålet (FN:s riktlinjer, se avsnitt 5.9) och att näringsidkaren tillförsäkrar sig om att den enskilde är medveten om 45 Se Privacy Online: A Report to Congress, FTC, , . Personlig integritet vid marknadsföring på Internet 163 insamlingen (ICC:s riktlinjer, se avsnitt 5.11). Av den amerikanska undersökningen kan man dra slutsatsen att dessa rekommendationer uppenbarligen inte haft önskad genomslagskraft. I takt med att fler och fler svenska konsumenter får tillgång till Internet och med hänsyn till att marknadsföringen på Internet liksom den elektroniska handeln utvecklas, vilket bl.a. sannolikt kommer att medföra att nya elektroniska betalningsmetoder införs, kommer mäng den personuppgifter om svenska konsumenter som överförs via Internet att öka. Med hän syn även till att konsumenterna i många fall är omedvetna om insamlingen, är det min uppfattning att risken för att personuppgifter vid marknadsföring på Internet behandlas på ett för konsumenterna kränkande sätt kommer att bli allt större. Denna uppfattning vinner stöd i den bakgrund som för dataskydd lämnat till sina rekommendationer (avsnitt 5.7) liksom i de rekommendationer som antagit (avsnitt 5.8). 5.15.2Hur kan risken för kränkningar minskas? Mitt förslag: Regeringen tar fram och verkställer en långsiktig informationsplan om frågor som rör behandling av personuppgifter vid marknadsföring på Internet samt följer frågorna uppmärksamt. Utvecklingen av Internet som marknadsplats står vid ett vägskäl. Om frågan om konsumenternas förtroende och skyddet för den personliga integriteten inte uppmärksammas ytterligare, kommer den elektroniska marknaden sannolikt inte att nå sin största potential. I mina direktiv sägs att det är angeläget att konsumenten inser konsekvenserna av att personuppgifter om honom eller henne samlas in. Ett fullgott skydd för den personliga integriteten leder inte enbart till att konsumenterna skyddas, utan även till att konsumenternas förtroende för Internet ökar till förmån för den elektroniska handeln. Oavsett hur information samlas in torde det vara klart att så länge konsumenten är införstådd med att personuppgifter samlas in och att insamlingen har ett klart syfte, kan denna form av samspel mellan marknadsföraren och konsumenten vara till fördel för båda parter. Säljaren får veta vad den enskilda kunden vill ha och kunden kan precisera sina önskemål. Risken för kränkningar av den personliga integriteten torde i denna situation vara minimal. När det däremot inte råder en jämvikt mellan parterna får säljaren ett övertag som kan utnyttjas i otillbörligt syfte. Exempel på fall där det kan råda obalans är när konsumenten är ung eller ett barn eller när uppgifterna 164 Personlig integritet vid marknadsföring på Internet om konsumenten samlas in under falska förespeglingar eller om konsumenten är omedveten om att uppgifter samlas in. Frågan är då om det finns ett fullgott skydd mot kränkningar av den personliga integriteten. Om inte hur kan ett sådant skydd uppnås? Som framgår av redovisningen i avsnitt 5.5 ger personuppgiftslagen konsumenter inom EU/EES ett visst skydd. Om näringsidkarna följer regleringen i personuppgiftslagen har enskilda ett etiskt godtagbart skydd mot kränkningar av den personliga integriteten. Lagen är dock inte tillämplig på behandling av personuppgifter som sker utanför EU/EES och de fall då konsumenter medvetet eller omedvetet lämnar person- uppgifter vid besök på webbplatser i tredje land, t.ex. . Lagen är dessutom ny och inte okontroversiell. Det kvarstår många frågetecken när det gäller lagens tillämpning. De internationella överstatliga överenskommelser liksom de internationella etiska koderna som finns på området har inte haft önskad genomslagskraft. De internationella organen bakom de överstatliga överenskommelserna är olika till sin karaktär och sina syften, vilket i många fall leder till regelverk som är svåra att tillämpa i kombination med andra liknande regelverk. Flera länder är medlemmar både i EU och i och har åtagit sig att följa konvention. EG-direktivet bakom person- uppgiftslagen förbjuder i princip överföring av personuppgifter till tredje land om inte regeringen i föreskrift ansett landets skydd motsvara EG- direktivets46 (jfr. lagrådsremissen om ändringar i PuL, avsnitt 5.5) Enligt konvention är det, när det gäller informationsflödet mellan konventionsländerna, som regel inte tillåtet att ställa upp vare sig förbud eller krav på särskilt medgivande uteslutande i syfte att skydda den personliga integriteten. I riktlinjer återfinns en liknande princip. När det gäller konflikten mellan EG-direktivet och konvention har frågan formellt lösts på så sätt att EG-direktivet, genom en uttrycklig bestämmelse, gjorts subsidiärt i förhållande till Europa- rådets konvention. Detta innebär att EG-direktivet urholkats i ett väsentligt avseende. EG-direktivets skydd, som nog får sägas vara det starkaste, gäller således inte vid överföring mellan EU-länder som följer konvention. Frågan hur de EU-länder som är medlemmar i skall förhålla sig till riktlinjer i nu aktuellt avseende är formellt inte löst, och torde i praktiken medföra svårigheter. Samma gäller för de som även åtagit sig att följa 46 Enligt förslaget till direktiv om e-handel (se avsnitt 2.4) skall detta förslag inte vara tillämpligt på det område som omfattas av EG-direktivet om skydd för personuppgifter, dvs. Enligt förslaget till e-handelsdirektiv kan vissa konflikter uppstå mellan detta och PuL. I sådana situationer skall PuL ha företräde. Personlig integritet vid marknadsföring på Internet 165 Ett annat problem är att olika länders tillämpning av en internationell överenskommelse ofta skiljer sig åt på grund av olika rättskulturer etc. Såvitt gäller de internationella regelverken kvarstår således flera svårhanterliga praktiska och juridiska problem. När det sedan gäller de etiska regler som antagits av näringslivet på internationell nivå är problemet dess karaktär av frivillighet. Själv regle- ring är inte i någon rättslig mening bindande för näringsidkarna annat än om regelverket görs till en del av avtal med konsumenterna. En ytterligare aspekt är att det finns många företag som inte deltar i de olika branschorganisationerna och många som inte följer de etiska regler som ställs upp. Det går därför inte att göra nivån för skyddet mot kränkningar av den personliga integriteten beroende av enbart självregle- ring. I läggs mycket arbete ner på frivilliga lösningar. Exempel på organisationer som arbetar med sådana är TRUSTe och BBB Online (). Huvudtanken bakom deras respektive arbete är ett granskat webbsideinnehåll och en godkänd näringsidkare. Med lem- marna får förse sina webbsidor med ett märke, ett inte gritetsskyddssigill, under förutsättning att de följer vissa riktlinjer för bl.a. mark nadsföring. BBB Online har ett särskilt märke för webbsidor som riktar sig till barn. Det krävs bl.a. att medlemsföretaget förvissar sig om att barn har föräldrarnas tillstånd att göra inköp. 47 Inte heller dessa eller liknande lösningar kan enligt min mening göra annat än att bidra till en etiskt godtagbar nivå för skyddet av den personliga inte griteten vid marknadsföring på Internet. Slutsatsen är att lagstiftningen, de överstatliga överenskommelserna, näringslivets etiska riktlinjer och tekniken inte räcker till för att ge konsumenterna ett fullgott skydd mot kränkningar av den personliga integriteten vid marknadsföring på Internet. Grundprinciperna för ett fullgott skydd för den personliga integriteten vid marknadsföring i detta medium är att konsumenterna görs medvetna om hur personuppgifter samlas in, att konsumenterna ges rätt att bestämma över vilka per son- uppgifter och i vilka syften dessa får behandlas samt att personuppgif- terna skyddas mot utlämnande utan den enskildes samtycke genom ade- kvata säkerhetsåtgärder. Ett fullgott skydd kräver global reglering och sannolikheten att sådan uppnås är inte särskilt stor. Konsumenterna, inte bara de som är känsliga för användning av personuppgifter och kränkning av den personliga integriteten, kan dock informeras om hur man kan skydda sig, t.ex. genom att vägra ta emot cookies. Ett acceptabelt skydd mot kränkningar av den personliga integriteten vid 47 Se respektive , se även nyheter på nätet . 166 Personlig integritet vid marknadsföring på Internet marknadsföring på Internet kan uppnås genom kombinationen nationell lagstiftning, internationella regelverk och etiska riktlinjer, tekniska lösningar samt information till enskilda. Jag före slår att regeringen tar fram och verkställer en långsiktig informationsplan om behandling av personuppgifter vid marknadsföring på Internet samt följer frågan uppmärksamt. En bra utgångspunkt för informa tionsinsatserna är innehållet i rekommendationerna från Europeiska Rådets Arbetsgrupp för dataskydd (avsnitt 5.7), från (avsnitt 5.8) och från de nordiska konsumentministrarna (avsnitt 5.14). Ansvaret för att genomföra sådana informationsinsatser kan t.ex. läggas på , Datainspektionen eller en konsumentorganisation, förutsatt att erforderliga resurser för ändamålet ställs till förfogande. Informationen bör nå ut till hem, skolor, daghem, förskolor, etc. Det förhållande att konsumenterna blir upplysta kan inte helt förhindra att kränkningar av den personliga integriteten sker. Information kan dock bidra till att göra konsumenterna medvetna om de risker som finns. Därigenom kan spridningen av personuppgifter på nätet begränsas och risken för kränkningar minskas. sker för svenska konsumenters vidkommande en avgörande del av den elektroniska handeln inom EU och med . I finns ingen heltäckande lagstiftning vad avser skyddet vid behandling av personuppgifter. I stället finns det en blandning av lagstiftning, administrativa föreskrifter och självreglerande åtgärder. De s.k. safe harbor-principerna kan betraktas som sådana självreglerande åtgärder. Det rör sig om ett antal principer avseende dataskydd som har utarbetat i samråd med näringslivet och allmänheten för att underlätta handel mellan och EU. Det är frivilligt att ansluta sig till principerna.48 Det pågår en dialog mellan och EU liksom mellan branschorganisationer i och i samt mellan konsumentorganisationer på båda sidor av . Syftet och förhoppningen är att EU och kan enas om ett gemensamt system där riskerna för att konsumenterna utsätts för kränkningar av den personliga integriteten vid behandling av personuppgifter minskar. Även inom pågår arbete med att se över behovet av regler för marknadsföring på Internet, bl.a. av () som lade fram ett förslag till lagstiftning om marknadsföring på Internet. 48 Principerna redovisas i sin helhet i Datainspektionens rapport integritetsskydd på Internet (1999:2) som finns tillgänglig på http:// (under nyheter ) SOU 1999:106 Personlig integritet vid marknadsföring på Internet 167 Barn och unga är en särskilt utsatt konsumentgrupp även när det gäller skyddet för den personliga integriteten (se kapitel 6 om marknadsföring till barn och unga). Barn är oerfarna och godtrogna och att det är därför lätt att locka av dem information om sig själv och sin familj. Mycket talar för att det bästa skyddet för barns och ungas personliga integritet är en välinformerad familj. I detta avseende behövs särskilda informationsinsatser riktade mot barnfamiljer. Nämnas kan det arbete som sker i inom olika organisationer som t.ex. () och Unit (CARU). Båda organisationerna har gjort undersökningar och tagit fram riktlinjer för marknadsföring till barn och unga på Internet, som syftar till att göra barn och unga och föräldrar medvetna om bl.a. hur marknadsföringen används för att på olika sätt samla in person- uppgifter.50 50 Se t.ex. och , Web of Deception - Threats to Children from Online Marketing, och Tapscott, Growing up digital, 1998, s. Marknadsför ing på Internet till... 169 6Marknadsföring på Internet till särskilt utsatta konsumentgrupper I mina direktiv sägs följande under rubriken marknadsföring (s. 8f): Beträffande IT som reklammedium aktualiseras särskilda fråge ställ- ningar som kan vara problematiska sett från konsumentsynpunkt. Det interaktiva inslaget, dvs. samspelet mellan användaren och datorn vid användningen, är t.ex. en sådan fråga som bör upp märksammas genom att den får särskild verkan mot exempelvis barn och unga, som är speciellt påverkbara och utsatta som konsumenter. Det finns därför behov av att särskilt undersöka om det finns spe ciella problem förknippade med reklam i de nya medierna riktad till denna grupp. Även andra slag av konsumentproblem i detta sammanhang kan behöva belysas. Man brukar allmänt nämna barn och unga som en konsumentgrupp som är särskilt utsatt vid marknadsföring eftersom dessa har svårare att värdera och förstå den information reklamen innehåller. Till kategorin särskilt utsatta bör dock även föras sjuka som i vissa situationer kan vara särskilt mottagliga för vilseledande information. I de följande avsnitten lämnas en beskrivning av bl.a. begreppet inter- aktivitet och Internet som reklammedium samt en översiktlig redovisning av regleringen och näringslivets etiska normer på områ det. Därpå följer en redovisning av den hittillsvarande forskningen om reklam till barn och unga samt en jämförelse med reklam till barn och unga i tv, köp-tv och på bio liksom regleringen på de områdena.