sou · H4B341 · 2016-06-07 00:00:00 — 22 Artikel 29-gruppens yttrande 2/2010 om beteendebaserad reklam på Internet. När enskilda personer rör sig i den fysiska världen lämnar de allt fler digitala spår efter sig. Spåren lämnas genom teknik som många bär med sig, som t.ex. mobiltelefoner eller smarta kort till lokaltrafiken. Spåren lämnas också genom teknik som finns utplacerad i stadsmil- jön, som t.ex. övervakningskameror, i bland kombinerade med pro- gram för bildanalys. Om utrustningen är placerad tillräckligt tätt, skapas ett finmaskigt nät som gör det möjligt att följa enskilda indi- viders rörelser över större områden. Precisionen i kartläggningen av enskildas rörelser varierar beroende på syfte. System för automatiska vägtullar läser av registreringsskyltar på de fordon som passerar tullstationerna och samlar på så vis in information om rörelserna i en stad på makronivå. En butiksägare som vill veta hur kunderna rör sig bland hyllorna kan montera små Bluetooth-sändare som kommuni- cerar med kundernas mobiltelefoner, och på så sätt få rörelsemönster på mikronivå. Smarta telefoner vars wifi-sändare inte har stängts av, söker efter trådlösa nätverk genom att sända ut uppgifter med bl.a. telefonens unika MAC-adress. Uppgifterna kan tas emot av anslut- ningspunkter i exempelvis publika trådlösa nätverk eller av anslut- ningspunkter som upprättas bara i syfte att ta emot signalerna. Genom att känna till var anslutningspunkterna är placerade, blir det möjligt att lokalisera telefonen som sände ut uppgifterna, samt att följa hur telefonen rör sig mellan olika anslutningspunkter i nätver- ket. Sådan lokalisering går ibland under benämningen wifi-tracking. Tekniken möjliggör en så detaljerad kartläggning att den används av butiker som vill veta hur kunderna rör sig inne i butiken, framför vilka hyllor de stannar, om det är en återkommande kund, hur länge 23 Wifi används numera oftast som beteckning på trådlösa, lokala nätverk för signalöverföring (s.k. WLAN). kunden tillbringar inne i butiken osv. Enligt uppgifter i media använ- der sig vissa butiker i av wifi-tracking för att få veta hur kunder rör sig i butikerna.24 Tekniken används också i kommuner, eller närmare bestämt av samverkansorganisationer (s.k. citysamverkan) där handlare och fastighetsägare ingår och kommunerna finns med som samarbets- partners. I ett tiotal svenska kommuner planerade man att börja använda tekniken för att få veta mer om hur besökare rör sig genom städerna.25 Datainspektionen granskade därför användningen av wifi-tracking i (genom Citysamverkan).26 Granskningen visade att de så kallade MAC-adresser, som samlades in, är personuppgifter och att Citysamverkan därför måste följa reglerna i personuppgiftslagen. Datainspektionen kom bl.a. fram till att behandlingen av personuppgifterna innebar en sådan kartläggning av enskilda, att dessas intresse av skydd mot kränk- ningar av den personliga integriteten vägde tyngre än Citysamverkans intresse av att behandla personuppgifterna. De enskilda måste också få information om vem som samlade in deras uppgifter och varför. I stort sett alla smarta telefoner är försedda med wifi-teknik, och många användare har ständigt wifi-funktionen aktiverad på sina telefoner. Det innebär att wifi-tracking möjliggör positionering och kartläggning av en relativt stor del av befolkningen. Både wifi- och Bluetooth-teknikanvändning innebär således en risk för omfattande kartläggning av innehavarnas rörelsemönster, utan att de berörda enskilda har en aning om det och därmed inte heller kan vidta åtgärder för att skydda sig. Det finns också en risk för att användaren varken får veta vilka som hanterar uppgifter om honom eller henne eller vilka uppgifter som hanteras. 24 Köpvanor kartläggs med hjälp av wifi, publicerad på 25 och , Städer vill kartlägga dig genom din mobil, publice- rad på . 26 Datainspektionens beslut i dnr 2729-2014. Citysamverkan vidtog efter beslutet åtgärder som innebar att det inte längre gick att följa hur enskilda personer rör sig i stadskärna. En relativt ny teknisk lösning är små Bluetooth-sändare som har utvecklats för att finnas i t.ex. offentliga miljöer och där kommuni- cera med mobiltelefoner som kommer inom räckhåll. Tanken är bland annat att använda tekniken för att skicka reklamerbjudanden, men också att registrera hur besökare eller kunder rör sig i exempel- vis ett köpcenter. Sändarna gör det möjligt att skapa en motsvarighet till webbens cookies i den fysiska världen, och kan skicka erbjudan- den till återkommande besökare. Bluetooth är en standard för trådlös kommunikation för överfö- ring av data över korta avstånd. Tekniken finns i smarta telefoner och har blivit mycket vanlig för att koppla ihop telefonerna med olika andra enheter, som exempelvis hörsnäckor och persondatorer. Alla enheter med Bluetoothfunktionerna (eller wifi-funktionerna) akti- verade kan spåras när de sänder ut uppgifter om enheten. Version 4 av Bluetooth-standarden innehåller en särskild funk- tion för lågenergienheter, kallad för Bluetooth low energy (BLE). BLE möjliggör för enheter att kommunicera med varandra med en energiåtgång som bara är en bråkdel av vad som krävs för vanlig Bluetooth-kommunikation. Det antas att BLE-enheter kan vara i drift med ström bara från knappcellsbatterier. BLE tillåter emellertid inte överföring av exempelvis ljud, utan möjliggör endast överföring av små datapaket. Tidiga med att utnyttja BLE var som tog fram sin s.k. iBeacon. I Apples tillämpning skickar små sändare (beacons, dvs. fyrar) ut datapaket av liten storlek som mobiltelefonen kan känna igen. Telefonen svarar sedan sändaren med motsvarande små datapa- ket. Apples fyrar kan fungera både med iPhones och vissa Androidtelefoner. iBeacon-tekniken har en rad olika användningar. Exempelvis kan fyrarna positionera mobilerna, sända individanpas- sade reklamerbjudanden till mobilen, och möjliggör även trådlösa betalningar som exempelvis PayPals betaltjänst PayPal Beacon. Den är tänkt som ett smidigare och energisnålare alternativ till betalkort- terminaler och NFC-baserade betalsystem (Near field communica- tion, se nedan delavsnitt 12.4 om elektroniska betalningar).27 iBea- con-tekniken har en räckvidd vilket vida överstiger NFC-baserade tekniker. BLE-enheter är billiga både att tillverka och att ha i drift. Det gör BLE till en attraktiv kommunikationsteknik. Det finns en stor mängd apparater på marknaden med BLE-teknik inbyggd. Troligen kommer BLE-funktionalitet vara mycket vanlig i mobiltelefoner, smarta TV-apparater, wearables och även i bilar. BLE-enheter är små och mycket energisnåla och kan därför enkelt byggas in i produkter och kommunicera med mobiltelefoner utan att produktens innehavare ser eller på annat sätt blir medveten om det. Det finns också en risk för s.k. Bluejacking som innebär att en sän- dare skickar oönskade meddelanden med skadlig kod till en enhet med aktiverad Bluetooth-funktion. I ett samarbete med hjälp av Bluetooth mellan en dagstidning och en matvaruproducent användes begreppet ”fysisk retargeting” för att beskriva reklamkampanjen.28 Retargeting är ett begrepp hämtat från webben, och används för att beskriva det som alla nätanvändare har varit med om: Efter att ha tittat på varor i en nätbutik dyker det direkt upp annonser för samma produkter på exempelvis Facebook. Detta är möjligt eftersom cookies utnyttjas för att annonssystemen ska veta vilka varor en användare har visat intresse för. Det som dagstidningen och matvaruproducenten gjorde, var att utnyttja Bluetooth-sändare på ett liknande sätt. Matvaruproducenten ställde upp en foodtruck, där förbipasserande bjöds på gratis varuprover. Men i bilen fanns också Bluetooth-sändare som letade efter dagstid- ningens app i gratisätarnas telefoner, utan att någon information om detta gavs. skickades ett meddelande till gratisätarnas telefo- ner, där mottagarna erbjöds att hämta ytterligare ett varuprov i en butik. 27 , PayPal Debuts Its Newest Hardware, Beacon, A Bluetooth LE Enabled Device For Hands-Free Check Ins And Payments, publicerad på www.tech- . 28 , : ”Vi är först i med fysisk retargeting”, publicerad på RFID är en förkortning för Radio-frequency Identification. Som framgår av namnet är det en radiobaserad teknik för att identifiera och positionera det föremål som RFID-taggen är fäst vid och för att lagra viss annan information om förmålet i fråga. En RFID-tagg består av ett minne som innehåller informationen och en antenn som kan användas för att skicka informationen till en s.k. läsare (ett slags aktiv mottagare). Det finns passiva taggar som saknar eget batteri och drivs av en radiosignal från läsaren, dvs. att de behöver väckas till liv av mottaga- ren. Passiva taggar kan väckas till liv efter att de placerades på ett föremål men har relativt kort räckvidd (). Passiva RFID-taggar kan göras mycket små och kapslas in i material som passar för användningsområdet, exempelvis kan de finnas i självhäftande plast- eller pappersetiketter. Det är även vanligt att kapsla in RFID-taggar i ett sterilt glashölje, som är så litet att det ryms inuti en injektionsnål, för märkning av boskap, hästar och säll- skapsdjur.29 Aktiva RFID-taggar har eget batteri och därmed längre räckvidd (upp till flera ) och är större än passiva taggar. De behö- ver inte vänta på att väckas till liv av en läsare, utan kan själva påbörja informationsöverföringen. Det finns ett stort antal olika RFID-kretsar på marknaden. De enklaste lagrar endast ett unikt serienummer, ofta långt, som bränns in vid tillverkningen och därefter endast kan läsas. Mer avan- cerade kretsar kan ersätta inte bara magnetkort och streckkoder, utan även smarta kort och erbjuder dubbelriktad kommunikation med kryptering och ett skrivbart minne.30 RFID-tekniken ansluts ofta till större system och till internet via någon form av terminalserver. RFID-taggar används numera i många olika sammanhang, och är vanliga när det gäller att följa varor som är under förflyttning hos handlare eller hos transportföretag. Men RFID-teknik används även 29 i internetguide, nr 19 (version 1.0 2009) Uppkopplade prylar – En rapport om Internets framtid och hur apparaterna går online, av , , , och . 30 i internetguide, nr 19 (version 1.0 2009) Uppkopplade prylar – En rapport om Internets framtid och hur apparaterna går online, av , , , och . för märkning av kläder i butik, i elektroniska biljetter i kollektivtrafi- ken, i elektroniska nycklar, för märkning av både bagage och boar- dingkort på flygplatser, i pass, i biblioteksböcker och så vidare. Således kommer RFID-taggar till användning på en rad olika områden, och de uppfattas som en billig och praktisk teknik. Även RFID-teknik möjliggör kartläggning av enskilda personer – både genom positionering och genom att RFID-taggen kan lagra och avslöja mer detaljerad information om en person eller ett föremål i personens närhet. Det finns en risk för att de enskilda inte har en aning om och hur de kan kartläggas med hjälp av RFID-taggar. Kartläggningen kan göras både avsiktligen och oavsiktligen. Ett exempel på det förra är att RFID-taggar på boardingkort kan avslöja hur passagerare rör sig på en flygplats och därmed vilka andra resenä- rer de möter och umgås med. Ett exempel på det senare är om RFID- taggar inte avlägsnas från en produkt när den säljs till enskilda kon- sumenter. En klädaffär skulle då kunna läsa av de gamla taggarna i en besökares kläder och på så sätt fastställa vilken prisgrupp kläderna tillhör för att därmed göra antaganden om vilken slags konsument besökaren är. RFID-taggar som lagrar känslig information om enskilda kan läcka informationen om den inte är skyddad på ett tillräckligt sätt. Detta skulle kunna inträffa om RFID-taggar används inom hälso- och sjukvården för att lagra hälsorelaterad information om sina bärare. RFID-teknik är användbar och relativt billig och kan därför antas öka i användning på många olika områden. Artikel 29-gruppen har uppmärksammat RFID-teknikens risker för den personliga integriteten.31 31 WP 105, Working document on data protection issues related to RFID technology, den 19 2005. Vid sidan av den positionering av en mobiltelefon som görs i mobil- näten har telefonerna själva också teknik som gör det möjligt att avgöra var i världen de befinner sig. Alla moderna telefoner har en inbyggd GPS, förutom att också wifi-funktionen kan användas för positionering. Det finns appar att installera som loggar eller i realtid rapporterar var telefonen befinner sig. I somliga av apparna går det att ställa in så kallade geo-fence, vilket är virtuella staket där ett larm ska skickas om telefonen passerar gränsen. Vidare har både iPhone och de telefoner som använder operativ- systemet Android, funktioner som automatiskt registrerar var de befinner sig. Detta används bland annat i reklamsyfte, för att använ- daren ska få annonser baserade på sin fysiska position. Det används också för att ta fram sökresultat så att användaren ska få förslag baserade på sin fysiska position, och för att användaren ska kunna hitta sin telefon om den har tappats bort. Men det innebär också att en person som får tillgång till telefonen (eller till uppgifter från tele- fonen som lagras i en molntjänst) kan se var den egentlige användaren brukar befinna sig eller till och med kan spåra användarens rörelser bakåt i tiden och se var han eller hon befunnit sig timme för timme. Till detta kommer möjligheten att förse andra föremål eller perso- ner med en GPS-sändare. Det finns exempelvis batteridrivna GPS- sändare att placera i ett barns ryggsäck, eller GPS-sändare att sätta i en bil för att automatiskt skapa färdloggar och därmed spåra hur bilen rör sig. I en uppmärksammad artikel kunde i detalj visa hur mycket information mobiloperatö- rerna har om hur deras kunder rör sig. Reportern hade begärt ut den information som hans operatör hade lagrat under det senaste halv- året. Det är så länge informationen, enligt datalagringsdirektivet, ska 32 Förkortningen GPS står för engelskans , och är enligt beskrivning ett satellitnavigationssystem för bestämning av positioner med mycket stor noggrannhet hos exempelvis båtar, flygplan, landfordon eller till och med personer. få finnas kvar innan den får raderas. Informationen får bara begäras ut av brottsbekämpande myndigheter, något som enligt DN:s gran- sking gjordes för 2 022 brottsmisstänkta personer under 2014.33 Över 10 000 datapunkter om var DN-reporterns telefon hade befunnit sig fanns lagrade hos operatören, i snitt en dygnet runt. Uppgifterna innehåller koordinater för de basstationer som mobiltelefonen är uppkopplad till. Eftersom basstationerna i stadsmiljö sitter väldigt tätt innebär det att uppgif- terna är mycket detaljerade. I en granskning som gjordes någon månad tidigare hade avslöjat ett fall hos en teleope- ratör, där en anställd förföljde en kund via dennes mobiltelefon. Enligt huvudregeln i 6 kap. 18 § lagen om elektronisk kommunika- tion ska alla som besöker en webbplats med kakor få tillgång till information om att webbplatsen innehåller kakor och ändamålet med användningen av kakor. Besökaren ska också ge sitt samtycke till att kakor används på detta sätt. Bestämmelsen ska dock enligt Datainspektionen inte tillämpas på överföringen av datapaket från och till mobiler vid wifi-tracking.34 Personuppgiftslagens bestämmelser gäller för hanteringen av personuppgifter i samband med positionering. Av särskild betydelse är i detta sammanhang personuppgiftslagens bestämmelser om ända- målsbegränsning, samtycke, information och säkerhetsåtgärder. 12.3.8Risker för den personliga integriteten Den långtgående positionering som görs med hjälp av elektronisk utrustning som enskilda bär med sig eller som finns i omvärlden, innebär att det kan utföras en omfattande kartläggning av enskildas rörelsemönster. Kunskap om vilka platser den enskilde besöker, och när besöken görs, kan avslöja mycket om den enskildes intressen, vanor, sociala kontakter och en uppsjö av annan information om den enskilde. 33 och , Mobilen spårar dig – överallt, publicerad den 31 au- gusti 2015 på . 34 Datainspektionens beslut i dnr 2729-2014. Den enskilde som inte är beredd att vidta radikala åtgärder – som att undvika platser som är övervakade, avstå från att använda modern utrustning eller att genomgående endast använda utrustning och tjänster som möjliggör anonymitet, kommer att få det allt svårare att värja sig mot vardagens alla positioneringstekniker. Slaget om framtidens betalningslösningar blir allt mer intensivt. har det talats om alternativa betalningslösningar, med olika former av mobilbetalning som de främsta kandidaterna. Det är ban- ker, kortföretag, it-företag och andra aktörer som tävlar om att bli den ledande och mest populära betalningslösningen. Samma utveck- ling kan ses både i och internationellt.35 Elektroniska betalningar kan göras i nätbutiker, fysiska butiker och mellan privatpersoner. Det finns en rad olika tekniska lösningar för digitala betalningar på marknaden. De uppgifter som behöver utbytas för att genomföra betalningen, kan skickas över internet, i telenätet som sms eller direkt mellan enheterna genom NFC-teknik. Många lösningar involverar kunder- nas mobiltelefoner. Vanligen krävs då att kunden först laddar ner en app till telefonen. NFC (Near field communication) är en överföringsmetod för kontaktlöst utbyte av data över korta sträckor, i allmänhet som mest (det finns dock särskilda, mycket känsliga mottagare som kan avläsa signaler på ett avstånd av upp till en meter). Både mobiltelefoner och betalkort kan ha en inbyggd NFC-krets och användas för elektroniska betalningar utan att det behövs en pin- kod för att genomföra transaktionen. Även i finns det företag som tillhandahåller tjänster för förmedling av elektroniska betalningar. granskade Datainspektionen fyra sådana företag. I avsnittet nedan om riskerna för den personliga integriteten, återkommer vi till resultatet av den granskningen. 35 , i ”betalningskrig” med , publicerad på och , Allt fler operatörer planerar mobilbetalning, publicerad på . I avsnitt 15.3 beskriver vi hanteringen av personuppgifter i sam- band med användningen av kreditkort och vid betaltransaktioner som görs över nätet. Personuppgiftslagens bestämmelser gäller för hanteringen av personuppgifter i samband med digitala betalningar. Av särskild bety- delse är i detta sammanhang personuppgiftslagens bestämmelser om ändamålsbegränsning, samtycke, information och säkerhetsåtgärder. 12.4.3Risker för den personliga integriteten Överlag innebär elektroniska betalningar i jämförelse med kontant- betalningar helt nya möjligheter till kartläggning av kunder. Det är nu – i teorin och ofta även i praktiken – möjligt att koppla samman alla uppgifter om köparen, den köpta varan eller tjänsten, tidpunkten för köpet, platsen och i vilken butik som köpet genomfördes. Elektroniska betalningar mellan privatpersoner gör det också möjligt att kartlägga ekonomiska relationer och beroendeförhållanden av mer privat karaktär som inte involverar något köp. När det går att koppla samman uppgifter om riktad och individanpassad reklam på nätet, med uppgifter om faktiskt utförda köp, blir det också möjligt att på en mycket detaljerad nivå mäta effekten av marknadsföringsin- satser: köpte personen i fråga den marknadsförda produkten eller tjänsten? I ett uppmärksammat forskningsprojekt kom en grupp forskare fram till att det med utgångspunkt i endast fyra ”anonyma” elektroniska betaltransaktioner är möjligt att identifiera en enskild köpare. I undersökningen analyserades kontokortstransaktioner från 1,1 miljoner personers köp i 10 000 affärer i ett och samma land . Underlaget innehöll varken namn, kredit- kortsnummer, adresser eller exakta tider. Den enda information som forskarna hade att tillgå var köpets belopp, i vilken typ av affär köpet gjorts och en kod som representerade varje person. I nio av tio fall lyckades forskarna identifiera personen som gjort köpen. Identifieringen kunde göras med hjälp av bl.a. uppgifter om taxiresor som läckt ut på nätet och andra uppgifter som de flesta personer genererar , exempelvis från geolokaliserade tweets eller mobil- appar som samlar in lokaliseringsdata.36 I ett berömt exempel visste matvarukedjan i att en av deras underåriga kunder var gravid, baserat på hennes köpbeteende, innan hennes familj ens hade fått veta det. Target hade räknat ut att gravida i en viss månad plötsligt ändrar sina köpvanor på några avgörande punkter. Exempelvis börjar många gravida köpa oparfymerade produkter och vissa koststillskott. Informationen om graviditeten var värdefull för Target, eftersom de då kunde ligga ste- get före alla andra som riktar marknadsföring till nyblivna föräldrar först när barnet är fött. I exemplet blev flickans föräldrar upprörda på Target eftersom de trodde att Target utan anledning skickat deras dotter babyrelaterad reklam. I sammanhanget förtjänar att uppmärk- sammas att Targets profilering inte gjordes med hjälp av amatörmäs- siga gissningar, utan baserades på ett omfattande och långvarigt arbete av statistiker och matematiker som haft stora databaser om kunderna att utgå från.37 Target är inte unika med att göra så stora satsningar för att få mer kunskap om kunderna. I förhållande till det skyddande regelverket, bör följande risker särskilt lyftas fram när det gäller elektroniska betalningar. Uppgifter om enskilda personer kan komma att hanteras för ändamål som de enskilda inte känner till eller har samtyckt till. Exempelvis kan före- taget som förmedlar den elektroniska betalningen lämna ut uppgifter till tredje part utan att ge tillräcklig information till de enskilda och utan att inhämta ett verkligt samtycke eller ge okända tredjeparts- applikationer åtkomst till uppgifter. Vidare finns det en risk för att de enskilda inte kan få information om vem som faktiskt hanterar deras uppgifter och vilka uppgifter dessa okända personuppgiftsansvariga får åtkomst till. Det kan också förekomma att uppgifter om enskilda användare sprids till underle- verantörer utanför EES i länder med en dataskyddsreglering som inte når upp till en tillfredsställande skyddsnivå. 36 , Forskarlarm: Tre inköp avslöjar din identitet, publicerad på , samt , Credit card study blows holes in anonymity, Science, , vol. 347, nr 6221, s. 468. 37 , Learn Your Secrets, publicerad på . Dessa risker konstaterades också reellt föreligga vid Data inspektionens ovan nämnda granskning av fyra företag som tillhan- dahåller tjänster för förmedling av elektroniska betalningar.38 I granskningen riktade Datainspektionen kritik mot att kund- uppgifter från ett företag lämnades ut till ett annat företag utanför EES (som antogs vara personuppgiftsbiträde, fastän avtal om detta saknades) utan att det fanns tillräckliga begränsningar i avtalet med detta andra företag om vad kunduppgifterna fick användas till. Vidare skulle tvister med det andra företaget lösas med tillämpning av den federala och delstatliga lagstiftning som gäller i . Det personuppgiftsansvariga företaget fick heller inte veta i vad mån kunduppgifterna skulle lämnas vidare från det andra företaget till dess underleverantörer. Det sagda innebar förstås att de enskilda kunderna i , vars uppgifter det var frågan om, fick veta ännu mindre och hade ännu mindre kontroll över hanteringen än det svenska företaget. Betallösningar som använder sig av NFC-teknik innebär vissa särskilda risker. Enheter som har NFC-funktionen aktiverad kom- municerar med varandra utan andra begränsningar än sådana som är inbyggda i programvaran som finns installerad på enheten. Det innebär en risk för att enheten, utan innehavarens samtycke eller vetskap, via NFC instrueras att lämna exempelvis ut de kontaktlistor som finns lagrade på telefonen. Eftersom en enhet med NFC-funktionen aktiverad sänder ut radiosignaler , finns det också en risk för ständig och detal- jerad positionering av enhetens innehavare, även när inga köp genomförs. 12.5Sakernas internet (Internet of Things)