sou · GNB3106 · 2000-01-01 00:00:00 — Detta kan ske genom att man erbjuder användarvänliga verktyg för att filtrera (dvs. avvisa eller förändra) mottagande, lagring eller överföring av " client persistent information" efter vissa kriterier (inklusive profiler, Internetserverns domän eller identitet, vilken typ av information som kommer att samlas in, lagras eller överföras och etc.). ·Det skall finnas alternativ i bläddraren så att användaren själv kan välja och specificera vilken information bläddraren får eller inte får samla in och överföra. ·I fråga om cookies skall användaren alltid ges möjlighet att acceptera eller tillbakavisa överföring eller lagring av cookien i sin helhet. Användaren skall också ges möjlighet att avgöra vilken information som skall sparas i en cookie eller avlägsnas, exempelvis beroende på hur länge cookien är aktiv eller hur länge den aktuella webbplatsen kommer att finnas. 5.I mjukvaru- och hårdvaruprodukter för Internet skall man ge användaren möjlighet att på ett enkelt sätt avlägsna " client persistent information" utan att avsändaren görs uppmärksam på detta. Om det inte går att avlägsna information måste det finnas tillförlitliga sätt att förhindra överföring och obehörig läsning av informationen. ·Cookies och annan "client persistent information" skall sparas på ett standar- diserat sätt och vara enkla att radera var för sig från klienten. En cookie är typisk client persistent information och samma sak gäller så kallade " privacy preferences". Personlig integritet vid marknadsföring på Internet 149 (rådets beslutande organ) antog en konvention till skydd för enskilda vid automatisk databehandling av personuppgifter, den s.k. dataskyddskonventionen.27 Till konventionen var fogad en förklarande rapport av den expertgrupp inom som utarbetat konventionstexten. Konventionen som trädde i kraft har numera ratificerats av bl.a. samtliga EU-länder, utom . Konventionens tillämpningsområde är enligt huvudregeln auto matise- rade personregister och automatisk databehandling av personuppgifter i allmän och enskild verksamhet. Varje konventionsstat kan dock göra vissa allmänna inskränkningar eller utvidgningar i tillämp ningsområdet för konventionen i dess helhet. Därutöver finns viss möj lighet till undantag från några enskilda bestämmelser. Reser vationer mot bestämmelserna i övrigt får inte göras. Däremot är det ingen ting som hindrar att registrerade personer tillerkänns ett mer omfattande skydd än som föreskrivs i konventionen. Personuppgifter som undergår automatisk databehandling skall inhämtas och behandlas på ett korrekt sätt och vara relevanta med hän- syn till ändamålet. Vissa typer av uppgifter får inte undergå automatisk databehandling, om inte den nationella lagen ger ett ändamålsenligt skydd. Det gäller uppgifter om ras, politiska åsikter, religiös tro eller annan övertygelse, hälsa, sexualliv samt brott. Lämpliga säkerhets åtgär- der skall vidtas för att skydda personuppgifter gentemot oavsiktlig eller otillåten förstörelse m.m. Vissa ytterligare skyddsåtgärder för registre- rade personer föreskrivs. Vidare föreskrivs bl.a. att alla som är registre- rade i ett personregister skall ha möjlighet till insyn i registret och möjlighet att få felaktiga uppgifter rättade. Enligt konventionen får vissa undantag göras i fråga om kraven på uppgifternas beskaffenhet och dylikt. För sådana avvikelser krävs dock dels att de har stöd i nationell lagstiftning, dels att de är nödvändiga i ett demokratiskt samhälle för att skydda statens säkerhet eller dylikt eller för att skydda den registrerades eller andra personers fri- och rättigheter. Rätten till insyn och rättelse m.m. får också i vissa fall inskränkas i fråga om personregister för statistikändamål eller veten skapliga forskningsändamål. Den nationella lagen skall också inne hålla lämpliga sanktioner och rättsmedel. Reglerna i konventionen om dataflödet över gränserna, syftar till att förena kraven på fritt informationsflöde och dataskydd. 27 Beskrivningen av konventionens innehåll är hämtad från SOU 1997:39 s. 172 ff. 150 Personlig integritet vid marknadsföring på Internet att överföring mellan konventionsstater skall vara fri. Det är inte tillåtet att ställa upp vare sig förbud eller krav på särskilt medgivande uteslutande i syfte att skydda den personliga integriteten. I två fall är det emellertid tillåtet att göra undantag från huvudregeln. Den ena grun den för undantag är att avsändarlandets lagstiftning innehåller sär skilda bestämmelser för vissa kategorier av personuppgifter men mot tagarlan- dets lagstiftning inte ger ett likvärdigt skydd. Den andra grunden är att det egentliga mottagarlandet står utanför konventionen men överföringen dit sker via en konventionsstat. I ett sådant fall är det möjligt för avsändarlandet att, för att undvika att dess lagstiftning kringgås, exempelvis kräva tillstånd för överföringen. Av intresse är även rekommendation om skydd för personuppgifter som används för direktreklamändamål . 28 har utan reservation ställt sig bakom rekommendationerna. Huvuddragen i rekommendationerna är att den enskilde skall ha rätt 1.vägra låta uppgifter som rör honom/henne ingå i marknads förings- listor, 2.vägra att uppgifter som finns med på marknadsföringslistor lämnas ut till tredje man, 3.ovillkorligen och på begäran få sådana uppgifter utplånade eller avlägsnade från flera eller alla de marknadsföringslistor som innehas av användaren, 4.ta del av och få rättat uppgifter som hänför sig till honom/henne. antog rekommenda- tioner för hur den personliga integriteten skall skyddas på Internet. 29 Rekommendationerna vänder sig både till användare och Inter netopera- tö rer och talar om hur dessa kan bete sig för att maximalt skydd för den personliga integriteten skall kunna upprätthållas även vid utlämnande av personuppgifter på Internet. Användare rekommenderas bl.a. att vara försiktiga med att lämna ut kreditkortsnummer och andra person- uppgifter på Internet samt att hålla sig à jour med de möjligheter som webbläsare erbjuder att stänga av mottagande av s.k. cookies m.m. ISP (Internet service providers, dvs. internetleverantörer) 30 rekommenderas R (85) 20 of the Committe of Ministers to the Member States on the Protection of used för the purpose of Direct Marketing. Rekommendationerna finns intagna som bilaga 3.2.3 i SOU 1993:10. 29Recommendation No R (99) 5 of the Committy of Ministers to Member States för the Protection of Privacy on the Internet. 30I rekommendationerna anges att med ISP likställs andra aktörer på Internet. Personlig integritet vid marknadsföring på Internet 151 bl.a. att informera sina kunder och prenumeranter om risker och säkerhetsnivån på systemen, att hålla uppgifterna uppdaterade och korrekta och att inte publicera personuppgifter på webbplats om det inte är nödvändigt. Rekommendationerna är tänkta att implementeras i särskilda föreskrifter i de länder som är med i . Rekommendationerna är uppdelade i två delar, en del som riktar sig till användarna/konsumenterna, och en del som vänder sig till internet- leverantörerna. Rekommendationerna till konsumenterna innehåller handfasta råd och det finns därför anledning att här redovisa dem i sin helhet. 1.Remember that the Internet is not secure. However, different means exist and are being developed enabling you to improve the protection of your data.31 Therefore, use all available means to protect your data and communications, such as legally available encryption for confidential e-mail, as well as access codes to your own personal computer.32 2.Remember that every transaction you make, every site you visit on the Internet leaves traces. These "electronic tracks" can be used, without your knowledge, to build a profile of what sort of person you are and your interests. If you do not wish to be profiled, you are encouraged to use the latest technical means which include the possibility of being informed every time you leave traces, and to reject such traces. You may also ask for information about the privacy policy of different programmes and sites and give preference to those which record few data or which can be accessed in an anonymous way. 3.Anonymous access to and use of services, and anonymous means of making payments, are the best protection of privacy. out about technical means to achieve anonymity, where appropriate.33 4.Complete anonymity may not be appropriate because of legal constraints. In those cases, if it is permitted by law, you may use a pseudonym so that your personal identity is known only to your ISP. 5.Only give your ISP, or any other person, such data as are necessary in order to fulfill a specific purpose you have been informed about. Be especially careful with credit card and account numbers, which can be used and abused very easily in the context of the Internet. 6.Remember that your e-mail address is personal data, and that others may wish to use it for different purposes, such as inclusion in 31The word data refers to personal data which concern you and other people. 32For example, use passwords and change them regularly. 33For example by using public Internet kiosks or pre-paid access and payment cards. 152 Personlig integritet vid marknadsföring på Internet directories or user lists. Do not hesitate to ask about the purpose of the directory or other use. You can request to be omitted if you do not want to be listed. 7.Be wary of sites which request more data than are necessary for accessing the site or for making a transaction, or which do not tell you why they want all these data from you. 8.Remember that you are legally responsible for the processing of data, for example, if you illicitly upload or download, and that everything may be traced back to you even if you use a pseudonym. 9.Do not send malicious mail. It can bounce back with legal consequences. 10.Your ISP is responsible for proper use of data. your ISP what data he/she collects, processes and stores, in what way and for what purpose. Repeat this request from time to time. Insist that your ISP change them if they are wrong or delete them if they are excessive, out of date or no longer required. the ISP to notify this modification to other parties to whom he or she has communicated your data.34 11.If you are not satisfied with the way your current ISP collects, uses, stores or communicates data, and he or she refuses to change his or her ways, then consider moving to another ISP. If you believe that your ISP does not comply with data protection rules, you can inform the competent authorities or take legal action. 12.Keep yourself informed of the privacy and security risks on the Internet as well as the methods available to reduce such risks. 13.If you intend to send data to another country, you should be aware that data may be less well protected there. If data about you are involved, you are free, of course, to communicate these data nevertheless. However, before you send data about others to another country, you should seek advice, for example from the authority of your country, on whether the transfer is permissible.35 You might have to ask the recipient to provide safeguards36 necessary to ensure protection of the 34Data protection laws, following Article 5 of on the Protection of Individuals with regards to Automatic Processing of (ETS No. 108), give responsibility for the accuracy and updating of data to the person who processes them. 35The laws of numerous European countries forbid transfers to countries which do not ensure an adequate or equivalent level of protection to that of you country. Exceptions are nevertheless provided for, in particular if the person concerned has concented to the transfer of his or her data to such countries. 36These safeguards may be developed and/or presented in particular in a contract on transborder data flows. Personlig integritet vid marknadsföring på Internet 153 antog riktlinjer avseende datoriserade personregister.37 Skyddet avser i första hand datoriserade personregister men kan utsträckas till att gälla även register. Riktlinjerna ställer upp de minimikrav som varje medlemsstat skall förse sin nationella lagstiftning med. Riktlinjerna tar närmast - liksom person- uppgiftslagens föregångare datalagen - sikte på personregister och inte på personuppgifter som sådana. Huvudprincipen är att information om personer inte får samlas in eller behandlas på något oetiskt eller olagligt sätt, och inte heller användas för något ändamål som strider mot syftet och principerna bakom om mänskliga rättigheter. Den som är ansvarig för insamling eller förvaring av personregister har en skyldighet att regelbundet kontrollera att personuppgifterna är korrekta, fullständiga och adekvata i relation till ändamålet med registret samt att uppgifterna så länge registret används är aktuella. Samman- ställningar av personuppgifter skall komma till den enskildes kännedom så att denna kan kontrollera att registret inte innehåller andra uppgifter än sådana som är adekvata utifrån ändamålet med registret, att uppgifterna inte används för andra ändamål än det specificerade samt att personuppgifterna inte sparas sedan ändamålet med registret uppnåtts. Varje enskild har rätt att efter ha identifierat sig, utan dröjsmål eller kostnad, få tillgång till uppgifter i personregister som berör honom/henne. Upptäcks fel eller onödiga uppgifter skall den enskilde ha rätt till korrigering. Vad som ibland kallas känsliga personuppgifter, t.ex. om etniskt ursprung, politisk uppfattning, religiös uppfattning, sexuell läggning, får inte ingå i personregister. Avvikelse från ovan får förekomma endast om det är motiverat utifrån nationell säkerhet, allmän ordning, allmän hälsa eller moral, eller för det fall uppgift i register skulle komma i konflikt med andras mänskliga rättigheter, såsom i fråga om t.ex. politiska flyktingar, förutsatt att sådana hänsyn föreskrivs av offentlig reglering. Avvikelse såvitt gäller skyddet för s.k. känsliga personuppgifter kräver dessutom att avvikelsen är förenlig med FN:s deklaration om mänskliga rättigheter och andra regelverk med motsvarande syfte. Befintliga register skall förvaras på ett säkert sätt, till skydd för t.ex. dataintrång och datavirus. Överföring av personuppgifter mellan olika länder får enligt huvudregeln ske endast om länderna har skydd motsvarande det här redovisade. I mina direktiv nämns UNCITRAL:s (FN:s ) s.k. modellag om elektronisk handel . 37 UN Guidelines for the Regulation of Files, resolution nr 45/95 (A/RES/45/95). 154 Personlig integritet vid marknadsföring på Internet regler som huvudsakligen tar sikte på att jämställa elektroniska meddelanden med fysiska dokument. – - grundades (dess föregångare var OEEC) med målsättningen att genom analys och utbyte av erfarenheter stimulera till långsiktig ekonomisk tillväxt och sysselsättning samt vidgad världshandel på multilateral och icke-diskriminerande basis.38 antog riktlinjer för skydd av den personliga integriteten.39 Samtliga medlemsländer, däribland , har godtagit rekommendationen och därmed åtagit sig att följa den. Enligt rekommendationen skall medlemsländerna i sin nationella lagstiftning beakta de principer om personlig integritet och individens grundläggande rättigheter som har presenterats i de riktlinjer som fogats till rekommendationen. Medlemsländerna skall vidare försöka undanröja opåkallade hinder för internationell datakommunikation som gäller personuppgifter och undvika att nya sådana skapas under förevändning av behov av skydd för personlig integritet. Samarbete skall bedrivas vid verkställigheten av riktlinjerna och så snart som möj ligt skall länderna avtala om särskilda procedurer för överläggningar och samarbete som gäller tillämpningen av riktlinjerna. Syftet med riktlinjerna är att söka undvika de risker för personlig integritet och individens frihet som personuppgifter kan utgöra på grund av det sätt på vilket de behandlas, på grund av uppgifternas natur eller på grund av det sammanhang i vilket de används. Riktlinjerna är tillämpliga på personuppgifter både inom den offentliga och den privata sektorn. De är tillämpliga både för uppgifter som lagras automatiskt och uppgifter som förs manuellt. Det finns inget hinder mot att man tillämpar olika skyddsåtgärder för olika slag av persondata, att man från riktlinjernas tillämpning undantar persondata som uppenbart inte innebär någon risk för personlig integritet eller att man tillämpar riktlinjerna endast på automatisk databehandling av personuppgifter. Undantagen från riktlinjernas grundläggande principer för nationell och internationell tillämpning skall vara så få som möjligt och göras kända för allmän- 38Nationalencyklopedin, 14:e bandet, 1994, s. 394. 39Guidelines Governing the Protection of Privacy and Transborder Flows of , . 40Beskrivningen av rekommendationen i detta avsnitt är hämtad från SOU 1997:39 s. Personlig integritet vid marknadsföring på Internet 155 Riktlinjerna skall betraktas som minimiregler, varför ingenting hindrar att integritetsskyddet görs mer omfattande. Riktlinjerna innehåller en särskild avdelning som behandlar åtta grundläggande principer rörande skyddet för personlig integritet, bl.a. om att insamlingen av personuppgifter, när det är skäligt, skall ske med den enskildes kännedom eller samtycke.41 En avdelning av riktlinjerna innehåller principer för internationell tillämpning. Här föreskrivs bl.a. att medlemsländerna skall vidta alla rimliga och lämpliga åtgärder för att se till att personuppgifter kan passera gränserna säkert och utan avbrott. Vidare skall medlems- länderna avhålla sig från att göra inskränkningar i fråga om flödet av personuppgifter från det egna landet till andra medlemsländer. Sådana inskränkningar är dock tillåtna i förhållande till ett annat land, om detta inte iakttar riktlinjerna eller om personuppgifter bara skall passera genom det andra landet till ett tredje land och avsändarlandets integritetslagstiftning därigenom kringgås. Ett medlemsland får också göra inskränkningar i fråga om personuppgifter för vilka den inhemska integritetslagstiftningen innehåller särskilda skyddsregler, om sådana uppgifter inte har ett likvärdigt skydd i mottagarlandet. Medlems- länderna skall undvika att - under åberopande av skydd för personlig integritet och individens friheter - i lag, tillämpning eller förfarande ställa upp hinder för flödet av personuppgifter över gränserna som går utöver vad som är nödvändigt för sådant skydd. Vid i antogs bl.a. en aktionsplan för elektronisk handel. 42 I aktionsplanen bekräftas princi- perna som ligger till grund för riktlinjerna . I ett annat officiellt dokument antaget i om konsumentskydd vid elektronisk handel43 behandlas bl.a. skyddet för den personliga integriteten i ett avsnitt som är av särskilt intresse. Det finns därför anledning att citera det i sin helhet: The growth of electronic commerce and the global expansion of digital and network technologies encourage information exchange, increase consumer choice, and facilitate the ways in which data can be generated, 41Principerna redovisas ingående i SOU 1997:39 s. 42A borderless world: Realising the potential of global electronic commerce action plan for electronic commerce, SG/EC(98)9/REV5. 43Consumer protection in the electronic marketplace, DSTI/CP(98)13/REV2. Se även Ministerial Declaration on the Protection of Privacy on , DSTI/ICCP/(98)10/FINAL 156 Personlig integritet vid marknadsföring på Internet accessed, compiled, processed, linked and stored on global networks. While this data processing offers benefits, it also allows the creation of detailed online user profiles that track online activities and electronic transactions that threaten privacy. As consumers become increasingly aware and concerned about the potential online threats to personal privacy, they need about the fair collection and use of their personal data. The interactive characteristics of digital and computer network technologies can help consumers to develop skills to protect themselves and exercise choice with respect to privacy protection online. However, technology alone will not provide consumers with sufficient online privacy protection. Both governments and the private sector have an important role to play to ensure that consumers benefit from seamless privacy protection on global networks. Governments, the private sector and consumer representatives should work to ensure that commercial activities conducted over global networks are at least consistant with the effective implementation of the 1980 Privacy Guidelines. Ställningstagandet i första stycket om elektroniska spår och skyddet för den personliga integriteten är särskilt viktigt. Personlig integritet vid marknadsföring på Internet 157 Chamber of Commerce - ICC - kom med allmänna riktlinjer avseende marknadsföringspraxis; Grundregler för reklam. Den senaste versionen kom . I dess inledning anges att medier är olika och att reklam som accepteras i ett medium inte nödvändigtvis är acceptabel i ett annat medium. Reklam skall därför bedömas utifrån dess sannolika påverkan på konsumenten i det specifika mediet. Grundreglernas huvudprincip är att all marknadsföring skall vara laglig, hederlig och vederhäftig. Med laglig skall förstås i överensstämmelse med regleringen i ursprungslandet. 44 Reklam och marknadsföring skall utformas med vederbörlig känsla av socialt ansvar och vara förenlig med vad som inom näringslivet uppfattas som god marknadsföringssed. Grundreglerna om reklam innehåller endast en artikel om integritetsskydd (artikel 9). Artikeln i fråga berör avbildande eller åberopande eller viss person eller dennas egendom vid marknads- föring utan tillstånd och saknar därför intresse i dessa sammanhang. Av större intresse är om direktmarknadsföring vilka kom i sin första upplaga (den senaste versionen kom ). Dessa grundregler gäller alla former av direktreklam, oavsett form och innehåll, och skall läsas i relation till ICC:s övriga rekom men- dationer rörande marknadsföring. När ICC använder begreppet konsu- ment avses inte enbart konsumenter i strikt bemärkelse, utan samtliga adressater av direktreklam. Med begreppet personuppgift avses varje uppgift som direkt eller indirekt kan hänföras till enskild. När personuppgifter samlas in från enskilda skall näringsidkaren tillförsäkra att den enskilde görs medveten om vem som behandlar personuppgifterna, syftet med insamlingen och eventuell avsikt att vidarebefordra uppgifterna till utomstående. Den enskilde skall informe- ras härom så snart det kan ske, i första hand i samband med insam- lingen. Enbart personuppgifter som är korrekta, adekvata, relevanta, nödvändiga och aktuella får behandlas och inom ramen för det specifi ce- rade syftet. Personuppgifter får bevaras bara så länge det är nöd vändigt för att uppfylla syftet med behandlingen. Enskilda skall ha rätt att säga nej till direktreklam och till att personuppgifter lämnas ut till utomstående. Enskilda skall vidare tillförsäkras möjlighet att korrigera felaktiga uppgifter. Vid e-post, fax eller annan kommunikation on-line skall särskild hänsyn tas för att minimera varje olägenhet som kan orsakas av obeställd reklam. Rekommendationer innehåller regler även 44 Begreppet laglig definieras inte i grundreglerna. Den här lämnade definitionen återfinns i . Begreppet får anses ha samma betydelse i grundreglerna. 158 Personlig integritet vid marknadsföring på Internet om säkerhet till skydd mot dataintrång etc. Vid överföring av personuppgifter till annat land skall särskild omsorg tas av den som behandlar personuppgifter för att försäkra sig om att skyddet i ICC- reglerna följs. Om det upprättats system till vilket enskilda kan vända sig för att anmäla att de inte önskar oadresserad direktreklam, skall detta respekteras av näringsidkaren. ICC antog riktlinjer specifika för reklam och marknads- föring på Internet.