sou · H4B341 · 2016-06-07 00:00:00 — Apparna organiserar informationen på ett sätt som är särskilt anpassat för enhetens specifika egenskaper. Apparna samverkar ofta nära med hårdvaran och det operativsystem som finns på enheterna. Det finns hundratusentals olika appar att ladda ner från olika appbutiker för varje typ av smart enhet. Appar används till olika saker, som webbläsning, kommunikation (e-post, telefoni och med- delanden via internet), underhållning (spel, filmer/videoklipp, musik), socialt nätverkande, banktjänster och platsbaserade tjänster. Enligt IIS internetstatistik för har två av tre smartmobil- användare (av befolkningen) börjat använda Mobilt BankID och nästan fyra av tio använder Swish. Fyra av tio (29 pro- cent av befolkningen) publicerar åtminstone ibland var de är via mobilen och drygt var tredje (av befolkningen) har någon form av sensorförsedd utrustning som via en app registrerar hur de tränar. Enligt IIS internetstatistik för hör just hälso- och träningsappar till populära nyheter som presenterats . Det är unga kvinnor som är flitigast att använda hälso- och träningsappar, långt mer än unga män. Hälften av de unga kvinnorna i åldern 16–har en sådan app. 58 Detta delavsnitt bygger i huvudsak på Artikel 29-gruppens yttrande 2/2013 om appar på smarta enheter. Mest använd enligt IIS statistik för är Facebook-appen som används av av alla personer som laddar ner appar. Sedan kommer bankappar (), tidningsappar () väderappar (), spelappar (), Instagramappen (), Spotifyappen () och res- hjälpsappar med tidtabeller (). Appar erbjuds ofta till låga eller inga kostnader och kan ha ett fåtal eller flera miljoner användare. I är användning av en app det vanligaste sättet att få åtkomst till internet.59 Exempel på vilka slags personuppgifter som kan komma att han- teras i en app som laddas ner i en mobiltelefon är: användarens posi- tion, lagrade kontakter, unika identifieringsnummer för enheten, användarens namn, kreditkorts- och betalningsinformation, loggar över telefonsamtal och sms, webbläsarhistorik, användarens inlägg på sociala medier, e-post, bilder, videofilmer samt biometriska upp- gifter (genom t.ex. ansiktsigenkänning och fingeravtryck). Det bör dock noteras att alla appar inte begär åtkomst till samtliga ovanstående uppgifter. Det är också så att en app som begär åtkomst till uppgifter, inte nödvändigtvis skickar dessa vidare från telefonen. Det är flera olika aktörer som kan ha möjlighet att ta del av upp- gifter som samlas in från en smart enhet genom en app: apputveckla- ren, appbutiken, operativsystemets tillverkare, enhetens tillverkare, företag som publicerar reklam i appen och företag som tillhandahål- ler analystjänster som hjälper apputvecklarna att ta reda på hur apparna används. När den norska konsumentorganisationen undersökte hur 20 populära appar (varav många är populära även i ) hanterar uppgifter, var resultatet tydligt och oroväckande.60 De flesta apparna kunde ändra användarvillkoren utan att förväg meddela kunderna på lämpligt sätt (med lämpligt sätt avses i under- sökningen att på något aktivt sätt uppmärksamma kunderna på änd- ringarna, t.ex. genom att skicka ett mejl eller ha pop-up-fönster i tjänsten, dvs. inte bara att ändra villkoren på sin webbsida). Vissa appar hade otydliga definitioner av vad de anser vara personuppgifter och andra hade definitioner som inte är förenliga med dataskyddsbe- 59 In the US, Time Spent With Mobile Apps Now Exceeds Desktop Web Access, http://www. /online/in-the-us-time-spent-with-mobile-apps-now-exceeds-the- desktop-web-41153/ Hämtat . 60 Rapporten , Threats to Consumers in Mobile Apps, , . stämmelserna (dvs. att apparna hanterade personuppgifter som om det hade rört sig om uppgifter som inte går att härleda till enskilda personer). Överlag innehöll användarvillkoren många otydliga eller svåra begrepp. Elva av de granskade apparna begärde att få åtkomst till uppgifter som menar inte rimligen kan behövas för den aktuella tjänsten. Ett flertal av apparna förbehöll sig rätten att anlita ospecificerade underleverantörer för sina tjänster, vilket enligt villkoren innefattade rätten att till dessa underleverantörer sprida uppgifter om kunderna. granskning hittade även brister när det gällde bl.a. gallring (dvs. att uppgifter om kun- derna kunde sparas för länge), möjligheten att ta tillbaka ett samtycke och diskrepanser mellan vad som sades i användarvillkoren och den faktiska hanteringen (t.ex. att uppgifter faktiskt lämnades ut till tredje part utan att detta nämndes i användarvillkoren eller att posi- tionering gjordes även när appen inte var i bruk, vilket inte nämndes i användarvillkoren). I har Råd & Rön61 gjort en granskning av tolv populära löparappar avseende bl.a. hur användarnas personuppgifter skyd- das.62 I granskningen framkom bl.a. att det fanns brister i krypte- ringsskyddet (som skyddar mot avlyssning) vid överföring av upp- gifter från apparna. Organisationen anmälde ett företag som ligger bakom en träningsapp till för oskäliga avtalsvillkor och till Datainspektionen för att appens använ- darvillkor inte är förenliga med personuppgiftslagen. Organisationen grundar anmälan bl.a. på att användarvillkoren omfattar hela 38 sidor. Enligt konsumenter kan det inte vara rimligt att förvänta sig att konsumenter ska läsa och sätta sig in i så omfattande användar- villkor när man skaffar sig något så trivialt som en träningsapp. Även innehållet i användarvillkoren ligger till grund för anmälan, bl.a. avseende rätten att sprida uppgifter till tredje part. 61 Organisationen tidning. 62 (testansvarig ), Bra funktion men dålig säkerhet, publicerad i Råd & Rön nr 3 2016. Personuppgiftslagens bestämmelser gäller för hanteringen av per- sonuppgifter genom användning av appar. Av särskild betydelse är i detta sammanhang personuppgiftslagens bestämmelser om ända- målsbegränsning, samtycke, information och säkerhetsåtgärder. 12.8.3Risker för den personliga integriteten Genom att appar samverkar så nära med operativsystemet får de åtkomst till betydligt mer uppgifter än en vanlig webbläsare. Apparna kan samla in och sprida stora mängder uppgifter från enheten och behandla dessa för att kunna erbjuda användaren olika tjänster. En betydande risk med appar är bristen på information. Många appar informerar inte på ett meningsfullt sätt sina potentiella använ- dare om vilken typ av personuppgifter appen kan behandla, i vilka syften och av vem. Bristen på öppenhet och insyn gäller inte bara gratisappar eller appar som tagits fram av oerfarna utvecklare. Bristen på information hänger nära samman med en brist på informerat samtycke. När appen väl har laddats ned, ges samtycket vanligtvis bara genom att användaren får kryssa i en ruta för att god- känna villkoren, utan att det finns ett ”nej tack”-alternativ. Enligt en studie ville av appanvändarna ha ett mer detaljerat val.63 Det finns också en risk för att bristfälliga säkerhetsåtgärder i apparna kan leda till otillåten hantering av personuppgifter, exempel- vis om en apputvecklare råkar ut för dataintrång eller om själva appen läcker ut personuppgifter. En annan risk är att personuppgifter som samlas in av appar kan spridas till ett antal tredjeparter och hos dessa användas för odefini- erade eller mycket vida ändamål som exempelvis ”marknadsunder- sökning”. Vidare förekommer inte sällan att appar samlar in mängder av uppgifter från telefonerna, utan att uppgifterna har något egentligt samband med appens funktion. 63 Rapport från företaget : User perspectives on mobile privacy Summary of research findings, . En ny företeelse , som snarare är av organisatorisk och affärsmässig natur än teknisk, är s.k. peer-to-peer-plattformar (inte att förväxla med peer-to-peer-nätverk som är en nätverksteknisk företeelse). Företeelsen är en del av delningsekonomins framväxt och är av intresse ur ett integritetsperspektiv, eftersom den bygger på tillgång till detaljerade och ständigt uppdaterade uppgiftssamlingar om både konsumenterna och om dem som utför tjänsterna. Peer-to-peer-plattformar erbjuder plattformar för privatpersoner och företag att utbyta tjänster med varandra samt för att utvärdera och spåra dem som levererar med god kvalitet. Sådana plattformar av olika slag har funnits , men börjar nu på allvar etablera sig som stora och seriösa aktörer. Två aktuella och omtalade exempel är Uber och AirBNB. Plattformarna förlitar sig på data från sina kunder och leverantö- rer för att kunna tillhandahålla sina tjänster. I många fall är både kunder och leverantörer vanliga privatpersoner. Peer-to-peer- tjänsterna samlar därmed mycket information om enskilda personer. Exempelvis kan en peer-to-peer-baserad tjänst för persontran- sporter gå ut på att sätta kunder i kontakt med förare med hjälp av en särskild app. I appen (dvs. hos företaget bakom tjänsten) hanteras alla nödvändiga data: resenärens och förarens identiteter, deras posi- tioner, kreditkortsuppgifter och dylikt.64 Personuppgiftslagens bestämmelser gäller för hanteringen av per- sonuppgifter i samband med peer-to-peer-plattformar. Av särskild betydelse är i detta sammanhang personuppgiftslagens bestämmelser om personuppgiftsansvar, ändamålsbegränsning, samtycke, infor- mation och säkerhetsåtgärder. 64 , Uber vill starta priskrig i , publicerad på . 12.9.3Risker för den personliga integriteten Det finns en risk att företagen bakom tjänsterna använder person- uppgifterna för nya ändamål, som kunden eller den som utövar en verksamhet inte har informerats om, som de inte har godkänt och som de inte heller hade kunnat föreställa sig då de ingick avtalet med företaget i fråga. Enligt uppgifter i media ska det exempelvis ha inträffat att peer- to-peer-företag använt uppgifter för att tysta kritiska journalister, för att bedriva egna undersökningar på kundddata och förevisa kunddata som underhållning på personalfester.65 Efter den mediala uppmärksamheten har det aktuella företaget uppgett att man åtgär- dat problemen.66 Även om sådan användning är extrem och knappast är representa- tiv för branschen, illustrerar exemplet ändå på ett tydligt sätt vad som faktiskt kan hända. 12.10Kommitténs samlade bedömning av området De senare årens teknikutveckling i kombination med nya använd- ningsområden och nya vanor, har inneburit att det genereras allt mer data om våra konsumtionsrelaterade beteenden. Det är en allt mindre del av all data i världen som skrivs in eller på annat sätt medvetet genereras direkt av användarna. Mer och mer data genereras i stället rent maskinellt, utan mänsklig inblandning. Utvecklingen har också inneburit att alla dessa uppgifter i större utsträckning faktiskt går att bearbeta och analysera samlat i realtid. Den här utvecklingen kan självklart vara till nytta för den enskilde konsumenten på många sätt, men möjliggör en allt mer omfattande kartläggning på individnivå. Kartläggningen ökar både på bredden och på djupet genom att fler och nya slags uppgifter samlas in och samkörs. Ett grundläggande problem är att enskilda användare – trots ett i många delar tydligt regelverk – inte informeras om den ökande han- teringen på ett heltäckande men ändå lättfattligt sätt. 65 , Is Uber’s rider database a sitting duck for hackers?, publicerad den 1 decem- ber 2014 på . 66 , What Uber Still ’t , publicerad på . att det rent allmänt finns en relativt låg medvetenhet i befolkningen om hur vardagsgöromål som inte uppfattas som ett uppgiftsläm- nande, faktiskt genererar elektroniska spår och hur dessa spår samlas in, sparas och används. Det finns inte heller någon större medveten- het om att personuppgifter faktiskt är en värdefull handelsvara, sär- skilt i tjänster som marknadsförs som ”gratis”. Ett annat grundläggande problem är att uppgifter i allt större utsträckning börjar användas för andra ändamål än dem för vilka de ursprungligen samlades in, vilket brukar kallas för ”ändamålsglid- ning”. Det är inte förenligt med personuppgiftslagen, om det nya ändamålet är oförenligt med det ursprungliga. När ett stort antal i sig harmlösa uppgifter från olika sammanhang bearbetas och analyseras samlat, kan de tillsammans ge nya och tidigare oanade kunskaper om enskildas personligheter och användas för att göra antaganden om deras framtida beteende. Dessa nya kunskaper kan i sin tur väcka intresse för uppgifterna hos aktörer som exempelvis försäkringsbo- lag och kreditgivare. Frågan om ändamålet med en hantering är nära förknippad med frågan om de samtycken som enskilda lämnar i olika sammanhang. Det sägs ibland vara den vanligaste lögnen på internet att svara ja på frågan om man läst och förstått företagets (dvs. webbplatsens, kund- klubbens, betalningsföretagets, appleverantörens) användarvillkor och därmed samtyckt till hur ens personuppgifter kommer hante- ras.67 De långa och invecklade användarvillkoren kan vara i stort sett omöjliga att förstå för gemene man, och särskilt för barn eller perso- ner som har en funktionsnedsättning. En viktig faktor i sammanhanget är de inblandade aktörernas intresse att samla in så mycket data som möjligt om användarna. Det finns en allmänt spridd och mycket stark tro på att även data som egentligen inte kan användas på något vettigt sätt, kan förvandlas till avgörande tillgångar, både rent affärsmässigt och för att lösa svåra problem i samhället. Det har uppstått nya affärsmodeller och nya aktörer som har personupp gifter som främsta eller enda handelsvara, som exempelvis datamäk- lare. 67 En studie visade att en genomsnittlig användare skulle behöva för att läsa igenom samtliga användarvillkor för de sajter hon eller han besökte under loppet av . I har presidentens vetenskaps- och teknologiråd sammanfattat situationen med att det bara är i en fantasivärld som enskilda faktiskt läser och förstår villkoren och klickar i att de samtycker. Intresset av att samla in så stora mängder uppgifter som möjligt är således mycket starkt. Det framstår därmed inte som sannolikt att aktörerna eller marknaden på eget initiativ skulle begränsa kartlägg- ningen av konsumenter och ge enskilda reell insyn i hur deras upp- gifter hanteras och ge dem möjlighet att påverka hanteringen. En annan risk för konsumenter avser informationssäkerhet. Som framgått av detta avsnitt är det inte alltid som nya teknikanvänd- ningar möjliggör ett tillräckligt starkt skydd för personuppgifterna. Det finns emellertid vissa tecken på att allmänheten i samband med avslöjanden kan ha blivit något mer medve- ten när det gäller informationssäkerhetsfrågor och skyddet för de egna personuppgifterna i olika webbtjänster. Avslöjandena har även föranlett många tjänsteleverantörer att förbättra skyddet i sina tjäns- ter genom att exempelvis införa kryptering som bara kunden har nyckeln till.68 Men även om det finns enstaka, lovvärda initiativ från aktörerna till att stärka integritetsskyddet för konsumenter, är dessa inte till- räckliga om man betraktar den pågående utvecklingen i sin helhet. Det krävs mer systemövergripande och grundläggande åtgärder för att stärka skyddet – och ännu mer . Det kan också konstateras att flertalet företeelser som nämns i det här kapitlet inte har granskats ur ett integritetsskyddsperspektiv . De granskningar som görs av (kakor) och av Datainspektionen (elektroniska betalningar och WiFi- tracking) är tillsynsaktiviteter riktade mot vissa specifika aktörer. omnämner i sin omvärldsrapport för digitaliseringens påverkan på konsumenternas ställning, men har därutöver inte varit aktivt när det gäller integritetsskyddsfrå- gor, t.ex. beträffande frågor om de sociala mediernas avtalsvillkor om personuppgifter.69 Det finns således ingen myndighet eller organisation som har en uppdaterad och allmän överblick över vilka företeelser som innebär risker för konsumenter, hur spridda företeelserna är, vilka aktörer de används av osv. och som därmed kan sägas ha en överblick över utvecklingen för konsumenters personliga integritet. 68 Norska och Datatilsynets gemensamma rapport 2015 – tillstand og trender, . 69 2014:13, Vår omvärld 2014 – rapport till regeringen . En tillkommande risk är att alla uppgifter som genereras av saker- nas internet, kan komma att begäras in av olika företag, som exem- pelvis försäkringsbolag. När de många och detaljerade uppgifterna väl finns, kommer de att attrahera många olika intressenter. Det är mycket svårt att som konsument använda sig av digitaliseringens och teknikutvecklingens alla fördelar utan att, mer eller mindre ofrivilligt, kartläggas på en detaljerad nivå. Det finns en överhängande risk för att det kommer att bli ännu svå- rare. Bristen på information, samtyckets urholkning, den stora sprid- ningen av uppgifter för nya ändamål och den ökade totala mängden av uppgifter om den enskilde, innebär att kommittén sammantaget anser att det finns allvarliga risker för konsumenters personliga inte- gritet. måste beaktas att utvecklingen för med sig stora förde- lar för den enskilde konsumenten, exempelvis i form av nya tjänster, ökad tillgång till produkter samt större möjlighet till delaktighet och till att själv skapa tjänster och produkter. Utvecklingen visar också vissa tecken på att enskilda blivit mer medvetna och bättre på att tillvarata de möjligheter som faktiskt finns att vidta egna åtgärder för att skydda sin personliga integritet. 13 Sociala medier och e-post Kommitténs bedömning: Användning av vissa sociala medier innebär en allvarlig risk för den personliga integriteten. Användning av e-post innebär en påtaglig risk för den personliga integriteten. Sociala medier som företeelse har redan berörts i kapitlen om skolan, arbetsliv och konsumentområdet. Myndigheters användning av sociala medier behandlas i kapitel 11 om e-förvaltning. I det här kapitlet behandlas de övergripande egenskaperna hos sociala medier. Kapitlet tar i huvudsak upp hantering av uppgifter hos företag och organisationer som tillhandahåller olika slags sociala medier. Även hur enskilda personer med hjälp av sociala medier hanterar uppgifter om andra personer, behandlas till viss del. Emellertid berörs inte den straffrättsliga aspekten av enskildas han- tering av personuppgifter i sociala medier, eftersom den frågan nyli- gen behandlats av Utredningen om ett modernt och starkt straff- rättsligt skydd för den personliga integriteten. Utredningen lämnade betänkandet Integritet och straffskydd.1 Även avsnitt 21.1 om molntjänster är av relevans när det gäller den personliga integriteten i sociala medier, eftersom sociala medier i allmänhet bygger på olika slags molntjänster. 1 Utredningens om ett modernt och starkt straffrättsligt skydd för den personliga integriteten betänkande Integritet och straffskydd, SOU 2016:7. Sociala medier och e-post Begreppet sociala medier används för att särskilja en relativt ny typ av nätbaserade tjänster från det som ibland kallas för traditionella medier. I traditionella medier finns en tydlig avsändare och en stor publik. I de sociala medierna har alla användare möjlighet att själva välja vilken roll de vill ha, och att växla mellan rollerna. Ena stunden skriver användaren en text eller spelar in en film som han eller hon delar med sina vänner, i nästa stund kommenterar användaren en statusuppdatering eller ett foto som en bekant har publicerat. Andra gånger är användaren mer passiv och läser, tittar och lyssnat utan att själv bidra med något innehåll. Spännvidden i de sociala medierna är stor. Till kategorin kan man bland annat räkna bloggar, diskussionsforum och artikelkommenta- rer. Även många on-line-spel innehåller diskussionsforum eller chat- tar som ger dem karaktär av sociala medier. Till de sociala medierna räknas givetvis den typ av tjänster som brukar benämnas som sociala nätverkssajter. Till den sistnämnda kategorin hör bland annat tjäns- ter som Facebook, Twitter, Instagram, Kik, och . I detta kapitel används beteckningen sociala medier i bred bemärkelse, som ett samlingsbegrepp för de olika former av sociala medier som finns . Beteckningen används här såväl för de sociala medierna i sig, som för de företag som tillhandahåller de sociala medierna. Användningen av sociala medier bland befolkningen undersöks med jämna mellanrum. Det visar sig då att användningen varierar beroende på bl.a. ålder och kön. Exempelvis är sociala nätverkssajter något mer populära bland flickor i åldern 11–, jämfört med poj- kar i samma ålder vilka gärna ägnar sig åt spel på nätet, vilket i sin tur inte alls är lika populärt bland flickor i samma åldersgrupp.2 I en annan rapport finns generella siffror om användningen av sociala medier.3 Enligt denna undersökning är Facebook fortfarande det sociala nätverk som dominerar. av internetan- vändarna använder Facebook åtminstone och nästan alla som besöker sociala nätverk besöker också Facebook. Bildbaserade nätverk får allt större spridning, särskilt bland de unga. Instagram ökar mest, totalt av internetanvändarna använder nu 2 Rapport från i , Eleverna och internet 2015, av och . 3 Rapport från i , Svenskarna och internet – undersökning av svenska folkets internetvanor, av och . Sociala medier och e-post Snapchat används däremot främst av tonåringar. Både Twitter och LinkedIn används av en av fem internetanvändare. Men ännu är det traditionell e-post och korta snabbmeddelanden som dominerar den dagliga kommunikationen på internet. över alla åldrar är kvinnor mer aktiva än män när det gäller att kommunicera över internet och besöka sociala medier.4 Det gäller framför allt i den dagliga användningen. Skillnaderna är särskilt stora vad gäller dagliga besök på Instagram (av kvinnorna respektive av männen), Facebook (respektive ), bloggar (respektive ), SMS (respektive ) och dagliga besök på sociala medier med mobilen (respektive ). Det är också något vanligare att kvinnor publicerar var de befinner sig (respektive minst ). Siffrorna avser procent av den del av befolkningen tillhörande respektive kön som över huvud taget använder sig av internet. Men det föreligger inga stora skillnader mellan män och kvinnor i hur ofta de använder e-post, Twitter, Instant messaging, besöker chattrum eller skickar mms. Att utvecklingen och användningen av sociala medier formligen har exploderat är närmast en truism. Siffrorna som anger hur mycket data som användare lägger ut på sociala medier varierar, men är alltid mer eller mindre svindlande. Exempelvis har ett it-företag gjort beräkningar som visar att det varje minut delades innehåll 2,5 miljoner gånger på Facebook, tweetades 300 000 gånger, postades 220 000 nya bilder på Instagram och lades upp nytt videoinnehåll på Youtube. När det kommer till att använda denna enorma datamassa är uppfinningsrikedomen mycket stor och på ständig frammarsch. Bara som ett exempel rapporterades att Google försöker utveckla en teknik för att utifrån bilder på maträtter kunna utläsa hur många kalorier dessa innehåller, vilket ska ses mot bakgrund av att de flesta bilder i sociala medier går att härleda till enskilda individer.5 Till utseende och funktion skiljer de olika tjänsterna sig åt, men många funktioner återkommer, däribland dessa: –– möjlighet finns att skapa ett eget lösenordskyddat konto, 4 Rapport från i , Svenskarna och internet 2014, av . 5 , Google hopes to count the calories in your food photos, publicerad på . Sociala medier och e-post ––möjlighet finns att leta upp vänner och bekanta och lägga till dem på en kontaktlista för att underlätta kontakten med dem, ––möjlighet finns att skapa eller ladda upp eget material. Det kan vara korta statusuppdateringar eller längre texter, det kan vara bil- der och filmsekvenser, det kan vara ljud eller annat, ––möjlighet finns att göra inställningar som styr vilka andra perso- ner som kan se det som laddas upp, ––möjlighet finns att se innehåll som andra användare har skapat, att lämna kommentarer eller på andra sätt interagera och ibland även dela med andra användare. Det finns studier som gör gällande att användningen av sociala me- dier är starkt beroendeframkallande.6 Beroendet har beskrivits på följande sätt: