sou · GNB3106 · 2000-01-01 00:00:00 — Det spelar ingen roll var eller för vilket ändamål personuppgifter behandlas, internt i ett företag eller mer offentligt i massmedia som t.ex. Internet. Behandlar någon personuppgifter är lagen tillämplig. Behandling av person- uppgifter som en fysisk person utför som ett led i en verksamhet av rent privat natur undantas dock från lagens tillämpningsområde. I artikel 4 i EG-direktivet finns det en i sina detaljer svårtolkad bestämmelse om det territoriella tillämpningsområdet för varje medlems- stats lagstiftning. Frågan om den närmare innebörden av artikeln har redan väckts av en särskild kommitté, vilken inrättats enligt artikel 31 i direktivet. Det är, för att undvika luckor och överlappningar, viktigt och nödvändigt att frågan löses i samförstånd mellan samtliga medlems- stater. Det får förutsättas att så sker. Den regel som återfinns i personuppgiftslagen (4 §) innehåller de huvudregler som otvetydigt framgår av artikeln,15 nämligen att lagen gäller för sådana person- uppgiftsansvariga16 som är etablerade i . Lagen är tillämplig också när den personuppgiftsansvarige är etablerad i tredje land, dvs. ett land utanför EU/EES, men för behandlingen av personuppgifter använder sig av utrustning som finns i . Vad som sagts gäller dock inte om utrustningen används för att överföra uppgifter endast mellan länder utanför EU/EES. Lagens definition av begreppet personuppgift är all slags informa- tion som direkt eller indirekt kan hänföras till en fysisk person som är i livet. Härmed avses uppgifter om en enskild person som t.ex. upplys- ningar om namn,17 personnummer, födelsedatum, nationalitet, utbildning, familj och anställningsförhållanden. Även andra uppgifter av mindre personlig karaktär räknas som personuppgifter. Enligt regeringen avses även uppgifter om en persons bostadsförhållanden, banktillgodo- havanden, fastighets- eller bilinnehav och upplysningar i övrigt om en 14EGT nr L 281, 23.11.1995, s. 31. Se även avsnitt 5.7 om för dataskydd. 1997/98:44 s. 55. 16Med personuppgiftsansvarig avses den som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen av personuppgifter. 17Lagen om namn och bild i reklam innehåller förbud för näringsidkare att vid marknadsföring företa reklamåtgärd som innebär utnyttjande av annans bild eller namn utan dennes samtycke, se m.fl., s. 296. Förbudet omfattar reklamåtgärder överhuvudtaget och alltså även t.ex. publicering av namn på webbsida i marknadsföringssyfte. 140 Personlig integritet vid marknadsföring på Internet persons ekonomiska ställning.18 En person kan vara identifierbar även genom en kombination av särskiljande kriterier (ålder, yrke, bostadsort etc.), vilka gör att personen kan kännas igen genom att den grupp han eller hon tillhör omfattar färre och färre personer. Krypterade uppgifter omfattas av lagen så länge någon kan göra uppgifterna läsbara och därmed identifiera individer. Också sådana i sig anonyma uppgifter som gör det möjligt med s.k. bakvägsidentifikation av en fysisk person omfattas. Det är tillräckligt att en fysisk person kan identifieras med hjälp av uppgifterna, inte att den personuppgiftsansvarige själv kan förfoga över samtliga uppgifter som gör identifieringen möjlig. 19 Frågan om en person är identifierbar är oberoende av kostnaden för att fastställa personens identitet. Definitionen omfattar även uppgifter om utseende, röst, fingeravtryck och genetiska karakteristika. Vid diskussionerna kring integriteten på nätet nämns ofta cookies (se avsnitt 5.3). Normalt torde en cookie inte utgöra en personuppgift. För det fall en cookie direkt eller indirekt, i eller utan kombination med annan information, kan knytas till en enskild person kan den utgöra en personuppgift. Begreppet behandling (av personuppgifter) är mycket vitt och definieras i lagen som varje åtgärd eller serie av åtgärder som vidtas i fråga om personuppgifter, vare sig det sker på automatisk väg eller inte, t.ex. insamling, registrering, organisering, lagring, bearbetning eller ändring, återvinning, inhämtande, användning, utlämnande genom översändande, spridning eller annat tillhandahållande av uppgifter, sammanställning eller samkörning, blockering, utplåning eller förstöring. Den behandling som träffas av den nya lagstiftningen är enligt huvudregeln sådan som är helt eller delvis automatiserad. Lagen gäller även för annan behandling av personuppgifter, om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Detta torde innebära att även register där det finns mer eller mindre utvecklade sökrutiner hamnar inom lagens tillämp- ningsområde. Bestämmelserna i är givetvis inte tillämpliga i den mån de skulle strida mot bestämmelserna om tryck- och yttrandefrihet i tryck- frihetsförordningen (TF) eller yttrandefrihetsgrundlagen (YGL). PuL är i stora delar inte heller tillämplig på sådan behandling av personuppgifter som sker uteslutande för journalistiska ändamål eller konstnärligt eller litterärt skapande. Detta undantag har varit föremål för stor uppmärk- 1997/98:44 s. 31. 19SOU 1997:39 s. 338. 20SOU 1997:39 s. Personlig integritet vid marknadsföring på Internet 141 samhet i media. Vad det är för journalistisk verksamhet (utöver den som faller under TF) som undantas får avgöras mot bakgrund av EG- direktivets syften. Utgångspunkten måste enligt vara att det handlar om vedertagen journalistik som bedrivs i den ordning som ställs upp i TF och YGL (med ansvarig utgivare osv.) När det gäller litterär verksamhet kan man enligt kommittén utgå från att verksamheten i regel faller under TF, men precis som när det gäller journalistisk verksamhet bör sådant som inte innefattas i grundlags- skyddet ändå omfattas av undantaget i PuL. Även annan konstnärlig verksamhet undantas, t.ex. revymakare som skriver manus i ett ordbehandlingsprogram.21 Grundläggande krav på behandling av personuppgifter är bl.a. att behandlingen skett i enlighet med god sed (9 §). Personuppgifter får enligt huvudregeln behandlas endast om den registrerade har lämnat sitt samtycke till behandlingen (10 § första punkten). Med samtycke avses i lagen varje slag av frivillig, särskild och otvetydig viljeyttring genom vilken den registrerade (dvs. i vårt fall konsumenten), efter att ha fått information, godtar behandling av personuppgifter som rör honom eller henne. Det synes alltså ställas krav på att samtycket i någon mening skall vara uttryckligt. 22 Det torde inte vara tillräckligt med ett underförstått eller presumerat samtycke. Inte heller ett konkludent samtycke torde svara mot lagens krav på frivillig, särskild och otvetydig viljeyttring.23 Lagen medger avsteg från kravet på samtycke (10 § a-f)) när behandlingen är nödvändig för att a)ett avtal med den registrerade skall kunna fullgöras eller åtgärder som den registrerade begärt skall kunna vidtas innan ett avtal träffas, b)den personuppgiftsansvarige skall kunna fullgöra en rättslig skyldighet, c)vitala intressen för den registrerade skall kunna skyddas, d)en arbetsuppgift av allmänt intresse skall kunna utföras, 21Se vidare SOU 1997:39 avsnitt 10.7.4. 22Denna uppfattning delas av , se SOU 1997:39 s. 341. I direktivet bakom PuL tycks tanken dock vara att en frivillig, särskild och otvetydig viljeyttring kan vara något annat än uttrycklig, jfr. kravet på uttryckligt samtycke när det gäller behandling av s.k. känsliga personuppgifter (artikel 8.2 resp. 15 § PuL). Hur en frivillig, särskild och otvetydig viljeyttring skall kunna manifesteras utan att vara uttrycklig nämns dock inte. 23Denna uppfattning delas av /i Personuppgiftslagen i praktiken, s. 102. Motsatt uppfattning har /i Personuppgiftslagen - En kommentar, s. 36, och i en debattartikel i . 142 Personlig integritet vid marknadsföring på Internet e)den personuppgiftsansvarige eller en tredje man till vilken person- uppgifter lämnas ut skall kunna utföra en arbetsuppgift i samband med myndighetsutövning, eller f)ett ändamål som rör ett berättigat intresse hos den personuppgifts- ansvarige eller hos en sådan tredje man till vilken personuppgifterna lämnas ut skall kunna tillgodoses, om detta intresse väger tyngre än den registrerades intresse av skydd mot kränkning av den personliga integriteten. Personuppgifter får, oavsett vad som sagts, inte behandlas för ändamål som rör direkt marknadsföring, om den registrerade hos den personuppgiftsansvarige skriftligen har anmält att han eller hon motsätter sig sådan behandling (11 §). Den enskilde har alltså en absolut rätt att slippa direktmarknadsföring oaktat endera av undantagen från kravet på samtycke i 10 § är uppfyllt. När det gäller s.k. känsliga personuppgifter ställer lagen upp ytterligare begränsningar i möjligheten till behandling (13-20 §§). Den som behandlar personuppgifter skall enligt lagen som regel lämna den enskilde information om behandlingen. För det fall uppgifter om en person samlas in från personen själv skall information lämnas i samband därmed. Om information hämtats från någon annan källa skall information lämnas senast när uppgifterna registreras eller för det fall uppgifterna är avsedda att lämnas ut till tredje man när så sker. I inget av fallen behöver dock näringsidkaren lämna information om sådan behandling som konsumenten redan känner till. Informationen skall omfatta bl.a. vilka uppgifter som skall behandlas, källan och ändamålet med behandlingen. Om personuppgifter hämtats från annan källa än konsumenten själv behöver information inte lämnas som sagts om detta skulle innebära en oproportionerligt stor arbets- insats. Information skall dock alltid lämnas senast då uppgifterna används för att vidta åtgärder som rör den registrerade, t.ex. i form av direktreklam. Om en konsumentprofil byggts upp utan att konsumenten varit medveten om det genom exempelvis s.k. cookies (begreppet ges en förklaring i avsnitt 5.3) torde uppgifterna anses hämtade från en annan källa än konsumenten själv. För det fall information hämtats från annan källa än konsumenten själv och det finns bestämmelser om registrerandet eller utlämnandet av personuppgifterna i en lag eller någon annan författning, gäller inte informationsskyldigheten. Enligt måste registre- ringen eller utlämnandet vara uttryckligen föreskrivet i författning. De regler som i utgör offentlighetsprincipen är enligt kommitténs mening inte så preciserade i fråga om till vilka personer uppgifterna skall lämnas ut eller vilka uppgifter som skall lämnas ut att de kan anses Personlig integritet vid marknadsföring på Internet 143 uppfylla kraven på en sådan uttrycklig föreskrift som avses i EG- direktivet. Den som hämtar in personuppgifter med stöd av offentlighets- principen måste således enligt kommittén informera de registrerade om sin vidare behandling av uppgifterna om inte något av de övriga undantagen är tillämpligt. Det skydd som EG-direktivet ger sträcker sig enligt huvudregeln inte utanför EU/EES. När det gäller behandling av personuppgifter, t.ex. genom uppbyggande av konsumentprofiler, utanför EU/EES är således skyddsnivån beroende av det enskilda landets reglering (eller avsaknad därav). I fråga om överföring av personuppgifter till land utanför EU/EES föreskriver PuL som huvudregel att det är förbjudet att till tredje land föra över personuppgifter som är under behandling. Förbudet gäller också överföring av personuppgifter för behandling i tredje land. Det är dock tillåtet att föra över personuppgifter för användning enbart i en stat som har anslutit sig till konvention om skydd för enskilda vid automatisk databehandling av personuppgifter. Dessutom får regeringen i fråga om automatiserad behandling av personuppgifter meddela föreskrifter om att överföring av personuppgifter till tredje land är tillåten, om överföringen regleras av ett avtal som ger tillräckliga garantier till skydd för de registrerades rättigheter. Förbudet är försett med ett antal ytterligare undantag, utan intresse i detta sammanhang, som delvis motsvarar de situationer i vilka samtycke inte krävs för behandling av personuppgift. Förbudet riktar sig till den som behandlar personuppgifter och tar inte sikte på den enskilde. Denna kan givetvis överföra personuppgifter om sig själv till vilket land han eller hon önskar. Detta resonemang torde vara direkt tillämpligt på Internet. Genom att publicera personuppgifter på en webbsida görs uppgifterna tillgängliga för alla som är uppkopplade mot nätet. Publicering av personuppgifter på Internet torde således vara liktydigt med överföring av personuppgifter till annat land. En förutsättning för att en marknadsförare skall göra sig skyldig till en kränkning av en konsuments personliga integritet vid marknadsföring på Internet är användning av en eller flera personuppgifter. Personuppgiftslagen ger konsumenten rätt att i princip helt kontrollera användningen av personuppgifter. Under förutsättning att per sonupp- giftslagen efterlevs vid marknadsföring på Internet torde således risken för att kränkningar av den personliga integriteten sker vara relativt liten. överlämnade Datainspektionen en rapport till rege- ringen med förslag till undantag från förbudet i 33 § PuL, dvs. huvud- regeln om att det är förbjudet att till tredje land föra över personuppgif- ter som är under behandling eller för behandling i tredje land. 24 Se SOU 1997:39 s. 387. 144 Personlig integritet vid marknadsföring på Internet anger Datainspektionen att publicering av personuppgifter på Internet är att likställa med överföring till tredje land eftersom vem som helst jorden runt med tillgång till Internet kan ta del av uppgifterna. Datainspektionen har föreslagit en särskild bestämmelse med ett generellt undantag för s.k. harmlösa uppgifter: För informationsspridning eller kommunikation får personuppgifter i löpande text föras över till tredje land via Internet eller annat nät om texten framställts för sådant ändamål och omständigheterna är sådana att det är uppenbart att det saknas risk för kränkning av den personliga integriteten. Förslaget är föremål för behandling i . överlämnade regeringen till lagrådet en remiss om ändringar i PuL. I lagrådsremissen föreslås att lagens bestämmelse om förbud mot överföring av personuppgifter ändras. Överföring av personuppgifter till ett land som inte ingår i EU eller är anslutet till EES (tredje land) skall inte längre var förbjuden om det tredje landet har en adekvat nivå för skyddet av personuppgifter. När det gäller att avgöra om skyddsnivån är adekvat skall enligt lagrådsremissen alla omständigheter kring överföringen beaktas. På initiativ av SWEDMA () har regler för användningen av personuppgifter m.m. vid direkt marknads- föring för försäljnings-, insamlings-, medlemsvärvningsändamål och lik- nande, tagits fram. Reglerna syftar till att mot bakgrund av gällande lag- stiftning och allmänt omfattande etiska värderingar närmare ange dels vad som kan anses vara god sed vid behandling av personuppgifter för direktmarknadsföringsändamål, dels det ansvar som åvilar företag, orga- nisationer eller den som annars utför sådan behandling. Förutom SWEDMA har vid utarbetandet av förslaget deltagit , , , Näringslivets Delegation för marknadsrätt, , . , , och . De etiska reglerna bygger på bl.a. àDirektivet bakom Pul (se avsnitt 5.5) àTeledataskyddsdirektivet (se avsnitt 7.8.2) àDistansavtalsdirektivet (se avsnitt 7.8.1) Personlig integritet vid marknadsföring på Internet 145 àPersonuppgiftslagen (PuL) àPersonuppgiftsförordningen ( PuF) () Grundregler för reklam, Regler för säljfrämjande åtgärder, Regler för Direktmarknadsföring samt Internetregler: riktlinjer för reklam och marknadsföring (se bl.a. avsnitt 5.11) àFEDMAs European principles for the use of the telephone as a marketing medium by business Reglerna är tillämpliga på behandling av personuppgifter som sker för direktmarknadsföringsändamål då marknadsföringen är avsedd att riktas mot enskilda individer i deras egenskap såväl som privatperson som befattningshavare vid företag, i organisation eller liknande och som avser den svenska marknaden såväl elektroniskt som i register. Förhållandet att reglerna antagits av branschorganisationer och andra frivilliga organisationer innebär att de inte i alla avseenden överens- stämmer med vad som följer av motsvarande regler i lagstiftning. De ger dock - givetvis - inte i något fall rätt att behandla personuppgifter på ett sätt som strider mot gällande lagstiftning, praxis enligt denna eller mot särskilda villkor meddelade av t.ex. Datainspektionen. Däremot går de längre än lagstiftningen, t.ex. genom att i vissa avseenden omfatta flera företeelser och verksamheter än motsvarande lagregler. Datainspektionen har granskat reglernas förenlighet med personupp- giftslagen. Härigenom är all behandling av personuppgifter som sker i överensstämmelse med branschöverenskommelsen undantagna från anmälningsskyldighet (enligt 36 § första stycket PuL) till Datainspek- tionen. 5.7EU:s Arbetsgrupp för dataskydd Med stöd i artikel 29 i direktivet bakom PuL (se avsnitt 5.5) har Rådet inrättat en Arbetsgrupp för skydd av enskilda med avseende på behandlingen av personuppgifter, vanligen benämnd Arbetsgruppen för dataskydd. Arbetsgruppen är tänkt att ha en rådgivande och självständig roll. Arbetsgruppen fick genom teledataskyddsdirektivet (se 7.8.2) sitt uppdrag vidgat. Arbetsgruppen skall bestå av en representant från varje medlemsstats tillsynsmyndighet, en företrädare för den eller de myndig- heter som har inrättats för gemenskapens institutioner och organ samt en representant från kommissionen. antog arbetsgruppen en rekommendation om osynlig och automatisk behandling av person- uppgifter på Internet med hjälp av mjukvara och hårdvara. 146 Personlig integritet vid marknadsföring på Internet Som bakgrund till rekommendationerna lämnar Arbetsgruppen följande beskrivning. är det nästan omöjligt att använda Internet utan att mötas av inslag som kränker den personliga integriteten och som behandlar personliga uppgifter utan att personen i fråga kan se detta. Internet- användaren är med andra ord inte medveten om att personuppgifterna har samlats in och behandlats och att de kan komma att användas för okända ändamål. En sådan användare känner inte till att databehandling pågår och kan själv inte fatta beslut i frågan. Ett exempel på denna teknik är den så kallade cookien. Den kan definieras som ett dataregister över information som skickas från en webbserver till en användares dator för senare identifiering av denna dator när användaren besöker samma webbplats. Bläddrare är applikationsprogram som bland annat grafiskt visar det material som finns på Internet. Bläddrare kommunicerar mellan användarens dator (klienten) och den dator där informationen finns lagrad (webbservern). Bläddraren skickar ofta mer information till webbservern än vad som är absolut nödvändigt för att etablera kontakt. Klassiska bläddrare skickar automatiskt ut uppgifter om bläddrarens typ och språk, andra applikationsprogram och systemprogram på användarens PC, via vilken länk användaren kommer, befintliga cookies etc. Sådana uppgifter kan bläddrarprogrammet också osynligt och systematiskt föra vidare till tredje part. Med denna teknik kan man skapa en "klickkarta" över Internetanvändaren. Denna karta innehåller informa tion om en persons beteende, vägar och val under ett besök på en webbplats. Kartan innehåller de länkar som en användare har följt och registreras på webbservern. EU:s direktiv om datasäkerhet 95/46/EG och 97/66/EG innehåller utförliga bestämmelser om individens säkerhet när det gäller skydd av personuppgifter. Bägge direktiven är relevanta för de situationer som tagits upp i denna rekommendation eftersom databehandlingen av Internetanvändarens personuppgifter sker i detta sammanhang. Cookies eller bläddrare kan innehålla eller ytterligare behandla sådana upp gifter med vilkas hjälp man direkt eller indirekt kan identifiera den enskilde Internetanvändaren. Tillämpningen av bestämmelserna om öppen databehandling, legitima skäl för behandling och användarens rätt att fatta beslut om databehandling av egna personuppgifter är aspekter som lett fram till denna rekommendation. Arbetsgruppen ser med särskild oro på de risker som är förknippade med behandling av personuppgifter om sådan användare som är helt omedvetna om denna behandling. Utformare av mjukvara och hårdvara uppmanas därför att ta hänsyn till och respektera principerna i dessa direktiv och därigenom förbättra skyddet av Internetanvändarnas personliga integritet. Personlig integritet vid marknadsföring på Internet 147 Arbetsgruppen lämnar följande direkta rekommendationer. 1.Arbetsgruppen uppmanar tillverkare av mjukvara och hårdvara att utveckla Internetprodukter som garanterar skydd av den personliga integriteten och som därmed överensstämmer med europeiska regler om datasäkerhet. Personuppgifter kan endast databehandlas på ett legitimt sätt när uppgiftslämnaren blivit informerad om sådan behandling och således är medveten om denna. Arbetsgruppen ser därför med särskild oro på alla typer av databehandling som genomförs med mjukvara och hårdvara på Internet utan berörd persons vetskap och således "osynligt" för honom eller henne. Typiska exempel på sådan osynlig behandling är chattering på HTTP-nivå25, automatiska hyperlänkar till tredje part, aktivt innehåll (t.ex. Java, ActiveX eller annan klientbaserad scripting- teknik) och "cookies" såsom dessa förs in via vanliga bläddrare. 2.I produkter med mjukvara och hårdvara för Internet skall man ge Internetanvändaren information om de uppgifter man bestämt sig för att samla in, lagra eller överföra och hur dessa uppgifter kommer att användas. I dessa produkter skall man också ge användaren möjligheter att på ett senare stadium lätt få tillgång till de uppgifter som samlats in om honom eller henne. Detta skulle exempelvis kunna innebära: ·När det gäller mjukvara för bläddrare skall användaren informeras om vilka uppgifter som skall överföras och för vilka ändamål när användaren fått kontakt med webbservern (när man skickar en förfrågan eller tar emot en webbsida). ·När det gäller alla slags hyperlänkar på en webbplats skall användaren i sin bläddrare kunna se dessa länkar. ·När det gäller cookies skall användaren informeras om när en sådan kommer att tas emot, lagras eller skickas ut av internetprogrammet. Av meddelandet skall det på ett enkelt sätt framgå vilket slags information som kommer att sparas i cookien och för vilka ändamål. 3.Standardinställningen i hård- och mjukvaruprodukter skall inte tillåta insamling, lagring eller överföring av så kallad " client persistent information".26 Några exempel: 25 Noten i rekommendationerna lyder: Detta innebär att protokollet innehåller mer information än vad som behövs för att ta kontakt med servern. 26 Noten i rekommendationen lyder: "Client persistent information" är en teknisk (och inte rättslig) term som rör sådan information på klienten (användarens PC) som finns kvar längre än under ett pass på datorutrustningen. Ett pass börjar när klienten skickar efter en sida från en viss webbplats och avslutas när klienten stänger av bläddrarprogrammet eller datorn eller skickar efter en ny sida från en 148 Personlig integritet vid marknadsföring på Internet ·Standardinställningen i mjukvara för bläddrare skall vara sådan att bara den information som är absolut nödvändig för Internetkontakt behandlas. Enligt standardinställningen skall det inte skickas eller lagras några cookies. ·Det utrymme i bläddraren som är till för att lagra och skicka information om användarens kommunikationsbeteende (användar- profil) får under installationen inte fyllas i automatiskt med uppgifter som tidigare lagrats på användarens utrustning. 4.Hård- och mjukvara för Internetprodukter skall ge den användare som är föremål för datainsamling friheten att själv välja hur behandlingen av dessa personuppgifter skall ske.