sou · H4B385 · 2016-12-15 00:00:00 — 4Här är värt att notera att prisdiskriminering skulle kunna leda till minskade välfärdsför- luster (”deadweight loss”). Dock räcker inte nödvändigtvis detta för att sådan i alla lägen ska ses som önskvärd. 5Information Commissioner’s Office Annual Track 2016. Digitaliseringen, förtroendet, företagen och konsumenterna anställda övervakats via smartphones eller GPS. Syftet med detta har varit att säkerställa att de hjälpbehövande verkligen har fått hjälp, ett ändamål som måste ses som angeläget. Metoden för att uppnå detta innebär dock att betydligt mer data än nödvändigt samlas in. Arbetsgivaren har då exempelvis kunnat följa exakt hur den an- ställde rört sig, om denne stannat för att köpa kaffe eller för att besöka toaletten. Samma resultat hade kunnat uppnås med betyd- ligt mindre datainsamling exempelvis genom att hemtjänstpersonalen scannade en streckkod hos personen de besökte när de kom och gick. Inte alla risker som kan associeras med kunddata handlar om att företagen medvetet missbrukar data. Kunder kan även drabbas om en tredje part kommer över data, exempelvis genom intrång. Kunder kan dock antas reagera negativt även i de fall deras data kommit på avvägar utan att det varit företagets avsikt. Däremot visar undersökningar att företag som snabbt infor- merar kunder om dataläckage inte med nödvändighet förlorar deras förtroende; det kan till och med leda till ökat förtroende. En under- sökning från visar att av kunderna som fått information om dataläckage upplevde att deras förtroende ökade när de informerades, något som kan bero på att de uppfattade att företaget då agerade i kundens intresse och genom att det signale- rade att företaget inte försökte dölja något. Ungefär lika många, av dem som fått en notifiering, upplevde att deras förtroende för företaget minskat (Deloitte 2016). För normalkunden torde de fördelar som riktade erbjudanden och rabatter eventuellt innebär inte uppväga de risker som omfat- tande insamling av kunduppgifter för med sig. Undersökningsdata visar exempelvis att de flesta amerikaner inte anser att data mot rabatter är ett rättvist byte (Turow et al., 2015). Frågan om riktad reklam är speciell då det finns undersökningar från reklambranschen som visar att många konsumenter inte har något emot att data används för att ta fram mer anpassade erbju- danden.6 finns andra undersökningar som visar på mot- satsen.7 Vidare indikerar kundernas beteende att de sannolikt inte 6Se exempelvis Insight Intelligence ”Delade meningar – Svenska folkets syn på digital inte- gritet 2015”. 7Information Commissioner’s Office Annual Track 2016. Digitaliseringen, förtroendet, företagen och konsumenterna uppskattar reklam som sådan. Exempelvis använder en betydande andel reklamblockerare (”adblockers”). I är det 2016 cirka var fjärde person som använder sådana.8 Den siffran motsvarar genom- snittet inom . Användningen varierar mellan länder: i och använder 38, respektive reklamblockerare medan det endast är i . Undersökningar från visar också att användningen av reklamblockerare är kunskapsdriven, ju mer datakunniga personerna är desto mer använder de reklam- blockerare.9 Användningen är också tydligt åldersdriven. I länder som , och använder varannan (eller mer än så) i åldersgruppen 18–reklamblockerare. Siffran är i nästan samtliga undersökta länder dubbelt så hög i gruppen 18–som i gruppen 55+.10 Om detta samband står sig kan andelen som blockerar reklam komma att öka i takt med att kunskapsnivån och datavanan höjs. Skälen att använda en reklamblockerare kan vara flera. Det van- ligaste uppgivna skälet är att man tycker att mängden reklam är besvärande, följt av att man vill undvika spårning och att webbsidor laddar snabbare utan reklam.11 Av studien framgår att den som väl laddat ner en reklamblockerare också kommer att använda den.12 Detta bekräftas i andra undersökningar. En brittisk surveyunder- sökning visar att vidareförsäljning av data för marknadsföringsända- mål hör till det som användarna är mest oroade av när det gäller dataskyddsbrister, efter stöld av personuppgifter av kriminella och att data används för störande telefonförsäljning.13 Oavsett varför användare använder reklamblockerare minskar an- vändningen av sådana möjligheten för företag att finansiera tjänster 8Dagens Media ”Skräcksiffran: 4 av 10 har adblockers”. Report 2016 visar att uppger sig använda reklamblockerare i , s. 21. 9Man kan också förvänta sig att de som inte ville ha reklam skulle vinna om detta ut- vecklades till en teknikstrid. Skulle mediaföretagen exempelvis införa adblockblockers skulle det sannolikt snabbt följas av att det utvecklades adblockblockerblockers som lät kunderna läsa utan reklam på skärmen. 10Reuters of journalism ”Report 2016”, s. 22. Nedbruten data för saknas. 11Reuters of journalism ”Report 2016”. 12Undersökningar visar också att ett växande antal konsumenter använder reklamblockerare i mobilen. av smartphone-användarna globalt använde reklamblockerare. Fram- för allt gäller det på tillväxtmarknader. I Asien-Stilla havsregionen använder exempelvis 36 pro- cent av smartphone-användare reklamblockerare, däremot är det relativt få som använder sådana i och (se PAGEFAIR 2016 Mobile Adblockning Report). Det finns även reklamblockerare som blockerar reklam inne i appar. 13Information Commissioner’s Office Annual Track 2016. Digitaliseringen, förtroendet, företagen och konsumenterna med reklam eller med datainsamling för reklamändamål. Utbredd användning av data för reklamändamål kan vara kontraproduktiv för företagen om den leder till att kunderna vidtar åtgärder för att slippa reklamen. Reklam eller datainsamling som kunderna inte upp- skattar kan därmed ses som en negativ externalitet som drabbar andra företags möjligheter att finansiera tjänster med reklam. Anseende är en allt viktigare strategisk fråga Tidigare studier som gällt företagsrisker som följd av digitalisering har främst fokuserat på risken att som etablerat företag slås ut av nya konkurrenter som är snabbare/bättre på att anamma ny teknik. Risken för anseendeskador kopplade till hantering av data finns emellertid både för existerande och nya företag. ses denna fråga inte alltid som strategisk för företagen. Att företags egna ageranden kan leda förtroendeskador av sådan omfattning att företaget går under är inte något som kommit med digitaliseringen. Ett företag som förlorar kundernas förtroende kan snabbt gå från att vara världsledande till konkursmässigt. Ett av de mest kända exemplen på hur förtroendeförlust kan sänka ett före- tag kommer från revisionsbranschen. var en av världens fem största revisionsbyråer tillsammans med PricewaterhouseCoopers, Deloitte & Touche Tohmatsu, och . lämnade företaget frivilligt in sin revi- sionslicens efter att ha befunnits skyldigt till kriminellt agerande i samband med att man reviderade företaget , ett stort globalt företag som året innan hade gått i konkurs, även det under uppmärk- sammade former efter förlorat anseende. Trots att senare friade hade deras anseende skadats så allvarligt att det omöjligen kunde återuppta sin revisionsverksam- het. Företaget hade med andra ord tagit en anseenderisk som kostade dem hela sin kärnverksamhet. Digitaliseringen innebär dock att företag löper större risk att drabbas av betydande anseendeskada även när de inte medvetet gjort något olagligt eller omoralisk. Det gäller exempelvis reaktioner på externa intrång. Det amerikanska detaljhandelsföretaget ut- sattes 2014 för ett intrång där kontouppgifter för minst 40 miljoner kunder spreds. Resultatet blev minskad försäljning med 2– Digitaliseringen, förtroendet, företagen och konsumenterna och att kvartalsvinsten sjönk jämfört med året innan. Target räknade också att intrånget skulle leda till stämningar från drabbade.14 Tagets börsvärde minskade också efter intrånget. Sammantaget bidrog detta till att företagets koncernchef fick lämna företaget.15 När data från uppemot fyra miljoner kunder till det brittiska tele- och bredbandsföretaget spreds efter ett intrång resulte- rade det i att man tappade över 100 000 kunder och att företagets börsvärde föll med en tiondel.16 Ny forskning (m.fl. 2016) visar att kunder och anställda reagerar starkt på missbruk av kunddata. I en stor surveyundersök- ning (n = 10 000) har de undersökt reaktioner på olika beteenden hos företag som kunde förväntas leda till negativa reaktioner. Av dessa var det bara om företag inte kontrollerar om underleverantörer använder sig av barnarbete som gav ett mer betydande negativa reaktioner än bristande dataskydd. På en skala från +100 till –100 fick bristande kontroll av barnarbete –69 och vidarespridning av kundinformation –65. m.fl. (2016) undersökte också i vilken utsträckning de negativa reaktionerna kunde dämpas genom kommunikation, dvs. om företagen kunde minska de negativa reaktionerna genom att förklara varför de gjorde som de gjorde, och/eller vilka positiva kon- sekvenser deras ageranden också hade. 14CNN Money ”Target: Hacking hit up to 110 million ”. 15Los “Target resigns as fallout from data breach continues”. 16The Telegraph ”TalkTalk share prices drop almost 11pc as Metropolitan investigation continues”. Digitaliseringen, förtroendet, företagen och konsumenterna Källa: et al., 2016, s. 118. Undersökningen visar att kommunikation i viss mån kunde minska den negativa påverkan, dock inte särskilt mycket. Effekten av kom- munikation var också mindre för bristande dataskydd än för barn- arbete. Vidare fann forskarna att de påtagligt negativa attityderna till vidarespridning av kunddata bestod även om kunderna godkänt denna genom att acceptera användaravtal. Även spridning av ano- nymiserad data uppfattas som negativt, också när data som sprids vidare är anonymiserad ger det ett negativt värde om –57. Under- sökningen visar att de negativa reaktionerna är stora i alla ålders- grupper och för båda könen. Forskningen indikerar att företagen inte kan utgå ifrån att kun- derna är nöjda med hur deras data hanteras bara för att de fortsätter att använda tjänsterna. För detta krävs dels att kunderna har känne- dom om hur data hanteras, dels att de har alternativ. Amerikansk forskning (Turow m.fl., 2015) har visat att många konsumenter resignerat och accepterar datainsamlingen endast i brist på alternativ. Digitaliseringen, förtroendet, företagen och konsumenterna I har SCB undersökt kunskaper och attityder till data- insamling och spårning på nätet. De fann att av befolkningen (för män och för kvinnor) känner till att cookies kan användas för att spåra människors inter- netvanor. När det gäller kunskaper om andra former av spårning saknas svenska data. Företagens möjligheter att avgöra om kunder- na accepterar den datainsamling och lagring de bedriver är begränsad. Även amerikansk forskning (Turow et al., 2015) visar att många konsumenter inte känner till omfattningen av företagens datainsam- ling eller vad företag får göra med insamlade data. tror exempelvis att företag som har en ”privacy policy” inte får lämna vidare data. tror att butiker inte får sälja vidare eller lämna ut information om kundens inköp utan kundens tillstånd. Enligt Nissenbaum (2009) uppfattar konsumenter att det är mindre problematiskt om ”deras butik”, där de gör sina dagliga inköp, samlar in kunddata än om andra butiker gör det. En anled- ning till att kunden valt en viss butik som ”sin” kan bero på att hon litar mer på att den inte missbrukar kunduppgifter. Det kan också vara så att kunden upplever att hon får mer i utbyte (t.ex. rabatter och extra service) av en viss handlare och därför är beredd att accep- tera datainsamling i utbyte mot detta, som detta inte gäller butiker i allmänhet. Forskning visar även att det kan finnas diskrepanser mellan hur konsumenter agerar och hur de tycker. De kan använda en tjänst eller handla hos en viss leverantör även om de inte är nöjda med hante- ringen av kunduppgifter eller deras sätt att rikta reklam så länge alternativ saknas. Det kan dock företag inte räkna med annat än på kort sikt. Hantering av kunddata är en fråga för företagsledningar Digitaliseringen gör att företagen blir mer beroende av kundernas och allmänhetens förtroende genom att tiden mellan ett förtroende- skadligt agerande och reaktionen förkortas, liksom att information Digitaliseringen, förtroendet, företagen och konsumenterna om agerandet får större och snabbare spridning.17 Därmed uppkom- mer också nya förtroenderisker. I branscher där produkterna är likvärdiga eller likartade (exempelvis molnlagring eller betalnings- förmedling) kan hanteringen av kunddata vara den differentierande faktorn och det företag som uppvisar brister kan snabbt förlora stora kundgrupper till en nyetablerad konkurrent som inte gör det. Detta medför att företagen bör se hantering av kunddata som affärs- kritiskt och brister inom dataskydd som verksamhetsrisker. Vad kan då företag göra för att minska riskerna? Redan insikten att de kan drabbas av anseendeskada som en följd av hur de han- terar data är sannolikt värdefull. En åtgärd som många företag direkt skulle kunna implementera är dataminimering, i synnerhet företag som inte har vidareförsäljning av data som affärsidé. Det innebär att endast uppgifter som är nödvändiga för verksamheten samlas in. Detta kan även kompletteras med lagringsminimering, dvs. att data- baser gallras . Principerna återfinns i EU:s data- skyddsförordning, men kan också användas frivilligt inom områden som inte omfattas av förordningen. Genom att inte samla in eller lagra mer uppgifter än vad som krävs minskar också risken för att känslig data sprids, exempelvis vid intrång. menar att data kan ses som en ”toxic asset” för företag och att det bästa sättet att skydda företaget ofta är att radera data som inte är oundgänglig.18 Eftersom brister i dataskydd snabbt kan sätta stora värden på spel genom förlorat anseende eller förlorade kunder borde frågan ses som strategisk. Många av de ovan beskrivna riskerna kan sanno- likt undvikas eller minskas om avvägningar görs på ledningsnivå. Hanteringen av kunddata bör således vara en strategisk fråga och inte något som delegeras till marknadsföringsavdelningen eller it- avdelningen. Det skulle också medföra att företag inte slentrian- mässigt lät funktionalitet i dataprogram styra vilka uppgifter som skulle samlas in och hur de ska lagras och bearbetas. Schneier (2015) menar att företag ofta använder identifiering när det skulle räcka med autentisering. 17Information om företags ageranden kan exempelvis spridas genom rejtingsajter, där miss- nöjda kunder kan ge företag dåliga betyg. 18CNN 2016.03.01 ”Data is a toxic asset, so why not throw it out?” Digitaliseringen, förtroendet, företagen och konsumenterna Genom att göra datainsamling och hantering av data till en led- ningsfråga tvingas företagen fatta uttryckliga beslut om vilka insam- lings- och lagringspolicyer som ska gälla. Det öppnar också för att olika intressen – exempelvis kunders eller anställdas – vägs in i analysen. Slutsatsen är inte med nödvändighet att företagen måste sluta samla in data om sina kunder, utan att de måste göra infor- merade beslut om det.19 Ett sådant förfarande skulle indikera att företaget tar frågan på allvar. Ett företag som tillämpar dataminimering och har adekvat skydd för kunduppgifter torde även kunna kommunicera detta till kunderna och därigenom skapa konkurrensfördelar. Även transparens kring intrång kan bli en konkurrensfördel för företag. Att vänta tills media uppmärksammar sådana problem är inte att rekommendera. Ett sådant agerande ger lätt intryck av att man har något att dölja. Digitaliseringen och de datadrivna tjänster som växer fram kommer att ställa nya krav på såväl företagsetik som på utformningen av regleringar. Ur ett samhällsperspektiv är det viktigt att notera att digitaliseringen kan ändra styrkeförhållanden mellan parter eller skapa informationsasymmetrier och ändrade incitamentsstrukturer. Det kan gynna konsumenter genom ökade valmöjligheter, bättre infor- mation och mer konkurrens. Det kan dock medföra att befintlig konsumentskyddslagstiftning inte längre tjänar sitt syfte. I många fall kan kunderna undvika ett företag genom att välja en annan leverantör. Men det finns områden där enbart konkurrens inte räcker för att upprätthålla en önskad nivå av konsumentskydd. Det handlar bland annat om fall där det finns informationsasymmetrier mellan företag och konsument (och där företaget inte har incitament att agera i kundens intressen) eller när tredje man är inblandad. 19 Schneier (2016) menar att datainsamling är en high risk-high reward-strategi som ofta används av startups (där misslyckande ändå betyder konkurs, och förtagen därför har råd att chansa – även genom att bryta mot lagar och regler kring dataskydd) behöver samhället se till att den typen av affärsmodeller inte blir så lockande. Han diskuterar exempelvis straff- ansvar för ledningspersoner i företag som bryter mot dataskyddsregler. Här bör också nämnas att ny EU-lagstiftning ställer krav på att företag skall ha dataskyddsombud, vilket kan komma att bidra till att frågorna lyfts till ledningsnivå. Digitaliseringen, förtroendet, företagen och konsumenterna gemensamma är att det handlar om områden där kunden har svårt att skydda sig eftersom denne inte med nödvändighet vet vad före- tagen gör. Ett exempel som berör de båda första områdena är när kunddata sprids utan att det är det insamlande eller lagrande företagets avsikt, exempelvis genom dataintrång eller slarv.20 Stölder av personupp- gifter skiljer sig på flera sätt från andra stölder som ett företag kan utsättas för genom att de drabbar företag och kund på ett annat sätt. Ett inbrott i en butik där varor stjäls drabbar företaget direkt men kunden lider normalt ingen skada. En stöld av kunddata be- höver däremot inte alls drabba företaget, men väl kunden. kan dock företagen skadas genom att kundernas förtroende för före- tagen minskar. Det kräver dock att kunderna känner till det, och det ligger inte alltid i företagens intresse att informera kunderna om att spridning av data skett. Exempelvis drabbades jobbsajten Linkedin 2012 av ett större intrång där över 100 miljoner användares e-postadresser och lösen- ord spreds. Åtkomsten av lösenorden i samband med intrånget möj- liggjordes av att företaget inte hade vidtagit några mer omfattande åtgärder för att hålla dem säkra än att kryptera dem med osaltad SHA-1, en form av hashning som är lätt att knäcka.21 Först förnekade företaget att några användardata alls hade kom- mit på drift, men efter att en lösenordsfil publicerats på en rysk hackersajt gick man ut med information och uppmanade sex miljoner av sina användare att byta. fann man att intrånget be- rörde ytterligare drygt 100 miljoner konton.22 Dessa asymmetrier kan även leda till att företagen underinveste- rar i säkerhetsfrämjande åtgärder. När det gäller fysisk säkerhet finns ett starka incitament för företagen att investera i exempelvis lås, larm och andra inbrottsskydd eftersom kostnaderna vid inbrott drabbar dem. När det gäller stöld av data gäller det motsatta; data- förluster drabbar endast indirekt företagen – i synnerhet om de inte 20Värt att notera är att de flesta dataförluster inte beror på intrång utan på slarv. Se t.ex. SOU 2015:23 för exempel. Åtgärder för bättre säkerhet kan dock ofta skydda både mot in- trång och spridning genom slarv. 21Computer World “Hackers crack more than of breeched Linkedin pass- words: Speed of hackers to crack passwords show weakness of security scheme used by Linkedin, researchers say”. 22The ”LinkedIn 2012 Data Breach Digitaliseringen, förtroendet, företagen och konsumenterna behöver tala om för kunderna att det skett ett intrång. Det gör att man frestas att underinvestera i it-säkerhet.23 Här skulle sannolikt krav på obligatorisk incidentrapportering ligga i konsumenternas intresse (se bland annat , 2008). Ju tidigare man får reda på att lösenord eller kontonummer kapats desto lättare är det att undvika skador genom att byta lösenord eller spärra kort. Även om den säkerhetskunnige vet att man inte ska ha samma lösenord på flera sajter är det vanligt att man gör så och en dataläcka på ett ställe kan därför medföra att även andra sajter komprometteras. Även när det gäller säkerhetsluckor som upptäckts men inte hunnit exploateras ligger det i konsumenternas (men inte nödvändigtvis företagens) intresse att de uppmärksammas så de kan åtgärdas. Post och , PTS föreslog också att det skulle göras obligatoriskt att rapportera sårbarheter (PTS, 2006).24 Även frågor som hur identifiering sköts i den digitala världen kan påverka konsumenters ställning vis-à-vis företag. Med vissa iden- tifikationsmetoder är det exempelvis kunden som bär risken om de missbrukas. När det gäller konsumenträtten har den digitala utvecklingen rent generellt inneburit en försvagning av konsumentens ställning. Detta beror enligt forskare på att konsumentintresset, och andra enskilda intressen, ofta kommit att definieras bort när man gjort av- vägningar mot andra intressen. Detta gäller både när det gäller rela- tionen till företag och till staten. Naarttijärvi tar upp detta i sin avhandling om proportionalitetskrav vid användning av tvångsmedel och menar att svensk lagstiftning där behandlar enskildas intressen som mindre viktiga (Naarttijärvi, 2013). Samma observation gjorde Arnbak i sin avhandling, men då rörande europeisk IT-säkerhets- lagstiftning (Arnbak, 2015). 23Skydd av kunddata kan ses som ett lockande område att spara in på då konsekvenserna för företaget, även om något händer, inte blir omedelbara. Det gör att exempelvis nystartade företag kan förväntas samla in mer data om kunderna och lägga mindre resurser på att skydda den än vad som ligger i samhällets intresse (Schneier 2016). 24Observera att sårbarhetsrapportering inte är det samma som incidentrapportering. För ägare av elektroniska kommunikationsnät är incidentrapportering obligatoriskt, detta regleras bland annat i EU:s förordning 2013/611 om åtgärder tillämpliga på anmälan av personsuppgiftsbrott enligt och rådets direktiv /58 EG vad gäller personlig integritet och elektronisk kommunikation. Digitaliseringen, förtroendet, företagen och konsumenterna Konsumenter skulle också tjäna på om företag var tvungna att inhämta kundernas godkännande innan insamlade data spreds vidare eller bearbetades på ett nytt sätt (exempelvis genom samkörning med andra register).25 Detta skulle stimulera företag att utforma sin verksamhet så att datainsamlingen och -bearbetningen skapade ett explicit mervärde för kunderna. Digitaliseringen och samhället: Tillbaka till dåtiden När datorerna blivit så vanliga att medborgarna skulle kunna komma att möta dem, eller resultatet av automatisk databehandling (ADB) uppstod också behov av en ändamålsenlig reglering av området. Flera statliga utredningar behandlade frågan (se exempelvis SOU 1973:6; 1976:36; 1979:93; 1981:17). Frågorna behandlades när datorer var maskiner i princip förbehållna storföre- tag och myndigheter, och sköttes av tekniker, och kom därför att behandlas ur ett mer abstrakt perspektiv än senare när de blivit var- dagsredskap. Dessa utredningar rörde frågor om hur datorisering skulle på- verka arbetets organisation (skulle vi behöva anpassa oss till hur datorerna eller de till oss, skulle datoriseringen ta ifrån oss jobben och arbetsglädjen eller bara de tråkiga och monotona arbetsupp- gifterna), men också andra frågor som handlade om förtroendet för olika institutioner som företag och myndigheter. Accepterar vi beslut som en dator fattat i stället för en mänsklig handläggare, och kom- mer vi att lita på att datorn tar samma hänsyn till mina särskilda behov som handlaren i butiken på hörnet? De generella perspektiv som då anlades är tillämpliga på dagens frågor. Profilering handlar exempelvis även det om att vi utlämnar oss till beslut av en dator. Då är frågan om vi är villiga att acceptera konsekvenserna av detta.