prop · H90385 · 2022-01-18 00:00:00 — ifråga- sätter vidare om utredningens syn på att konsumentens personuppgifter inte utgör ett betalningsmedel stämmer överens med direktivet och anser dessutom att undantaget för att uppfylla rättsliga krav bör förtydligas. anser att avtalstypen tillhandahållande av digitalt innehåll är svår att tillämpa på bestämmelserna i lagen och pekar på att flera av felpåföljderna, t.ex. att hålla inne betalning och prisavdrag, inte kan komma i fråga när motprestationen är personuppgifter. M efterlyser en reglering som tydliggör ägandeför- hållandet gällande den information om ett fordons skick och användning samt förarbeteenden som samlas in. och tar upp ett antal frågeställningar som rör förutsättningarna för att ett avtal ska ha ingåtts när konsumentens person- uppgifter behandlas av näringsidkaren. ser en risk för gränsdragningsproblem avseende de särskilda undantagen från lagen medan vill framhålla att förekomsten av öppna avtals- typer (agila avtal) ökar och kan få betydelse i konsumentledet. Skälen för regeringens förslag Lagen ska omfatta avtal om tillhandahållande av digitalt innehåll där konsumenten betalar eller tillhandahåller sina personuppgifter I artikel 3.1 i digitaldirektivet anges att direktivet ska tillämpas på varje avtal där näringsidkaren tillhandahåller eller åtar sig att tillhandahålla digitalt innehåll till konsumenten och konsumenten betalar eller åtar sig att betala ett pris. Regeringen föreslår därför att den nya lagen omfattar sådana avtal. Med pris avses ett penningbelopp eller en digital värde- representation (se artikel 2.7 i digitaldirektivet). I artikel 3.1 anges vidare att direktivet – med två undantag som behandlas nedan – också ska tillämpas när konsumenten, i stället för att betala, tillhandahåller eller åtar sig att tillhandahålla personuppgifter till närings- idkaren. Det kan t.ex. handla om att konsumenten registrerar ett konto på sociala medier och tillhandahåller namn och e-postadress som används för andra syften än de som omfattas av undantagen, eller när konsumenten lämnar sitt samtycke till att det som utgör personuppgifter, t.ex. inlägg som konsumenten laddar upp, kommer att kunna behandlas av näringsidkaren i marknadsföringssyfte (se skäl 24). tolkar direktivet som att ett tillhandahållande av personuppgifter ska ses som en form av betalningsmedel – en motprestation för näringsidkarens tillhanda- hållande av det digitala innehållet – och anser att utredningens förslag avviker från direktivet genom att inte betrakta tillhandahållandet av personuppgifter på det sättet, trots att utredningen är inne på att person- uppgifterna har ett ekonomiskt värde för näringsidkaren. Regeringen konstaterar att frågan om huruvida konsumentens person- uppgifter kan betraktas som ett betalningsmedel diskuterades ingående i EU-förhandlingarna, och skäl 24 i digitaldirektivet syftar till att klargöra situationen. I skälet anges att personuppgifter inte kan betraktas som en vara (eng. commodity), se även direktivets olika definitioner av pris och personuppgifter i artikel 2. Det understryks att direktivet ska säkerställa att konsumenter har rätt till avhjälpande åtgärder även inom ramen för affärsmodeller som innebär att konsumenten inte betalar utan i stället tillhandahåller näringsidkaren personuppgifter. Konsumenten ska alltså i den situationen ges det civilrättsliga konsumentskydd som direk- tivet, och därmed även den nya konsumentköplagen, uppställer. Det saknar därmed betydelse för tillämpningen av direktivets regler och konsument- skyddet att personuppgifter inte skulle utgöra ett betalningsmedel. Det är också den synen som utredningens lagförslag ger uttryck för. Enligt Lagrådet är det självklart att personuppgifter inte är ett betal- ningsmedel och att ett tillhandahållande av sådana uppgifter inte utgör betalning. Som framgår ovan likställs emellertid tillhandahållande av personuppgifter i stor utsträckning med ordinär betalning vid tillämp- ningen av de konsumentköprättsliga regler för digitalt innehåll som föreslås i denna proposition och användningen av personuppgifter i dessa sammanhang är vanligt förekommande. Regeringen anser därför att frågan inte är lika självklar som Lagrådet ger uttryck för. Regeringen kan hålla med om att det är naturligt att i detta sammanhang trots allt se på personuppgifterna som en form av mot- prestation från konsumenten i utbyte mot ett digitalt innehåll. Det ligger en fara ur ett integritetsskyddsperspektiv i att det annars kan uppfattas som att tillhandahållandet av det digitala innehållet är gratis. Även om Prop. 2021/22:85 konsumentens personuppgifter närmast bör förstås som en motprestation finns det enligt regeringens mening skäl att vidhålla direktivets syn på att tillhandahållande av personuppgifter inte bör betecknas som betalning. Det kan konstateras att direktivet innehåller vissa särregler för person- uppgifter, t.ex. när det gäller förutsättningarna för prisavdrag och återgång av prestation vid hävning. Att i lagen beteckna ett tillhandahållande av personuppgifter som betalning innefattar även en risk för att det vid tillämpning av annan lagstiftning kan uppfattas som att konsumenten genom köpet har ålagts en betalningsförpliktelse, se t.ex. 1 kap. 1 § utsök- ningsbalken. Mot den bakgrunden föreslår regeringen att den nya lagen, med nedan angivna undantag, även ska omfatta avtal där konsumenten, som motpresta- tion för digitalt innehåll, tillhandahåller personuppgifter till näringsidkaren. Att digitalt innehåll betalas med pengar innebär att tillhanda- hållandet trots allt skulle kunna betecknas som ett köp. För att närmare ansluta till direktivet och övrig konsumenträttslig lagstiftning bör dock detta uttryck i lagen förbehållas varuköp. Det kan tilläggas att om konsumenten som sin motprestation för digitalt innehåll både betalar och tillhandahåller personuppgifter bör lagen tillämpas på parternas avtal på grundval av att konsumentens motprestation utgörs av den monetära betalningen. Något om EU:s dataskyddsförordning och dess rättsliga grunder Digitaldirektivet reglerar inte villkoren för behandling av personuppgifter. De regleras i stället av unionsrätten om skydd av personuppgifter, i synner- het av EU:s dataskyddsförordning. Förordningen är direkt tillämplig och gäller även för privata rättssubjekt, t.ex. näringsidkare. Att dataskydds- förordningen är tillämplig innebär att varje behandling av personuppgifter i samband med ett avtal enligt digitaldirektivet är laglig endast om den är i överensstämmelse med förordningen, t.ex. när det gäller de rättsliga grunderna för behandlingen. Det gäller både vid behandling av de person- uppgifter som kan sägas utgöra konsumentens motprestation i avtalet och vid annan behandling av personuppgifter, t.ex. i samband med avtals- skrivande, fakturering eller marknadsföring (se skäl 38). En näringsidkare som behandlar personuppgifter inom ramen för ett avtal om tillhandahållande av digitalt innehåll enligt den nya lagen måste alltid säkerställa att det finns en laglig grund för behandlingen (se skäl 38). De rättsliga grunderna för behandling av personuppgifter regleras uttömmande i artikel 6.1 i EU:s dataskyddsförordning. Det är omständigheterna i det enskilda fallet som avgör om det föreligger en rättslig grund för behand- lingen, där bl.a. avtalets innehåll är av betydelse. De rättsliga grunderna är i viss mån överlappande och flera rättsliga grunder kan därför vara tillämpliga avseende en och samma behandling (prop. 2017/18:105 s. 46). En rättslig grund för behandling av personuppgifter är att den registrerade har lämnat sitt samtycke till att dennes personuppgifter behandlas för ett eller flera specifika ändamål (artikel 6.1 a, samtyckesgrunden). Att samtycke är en rättslig grund som kan aktualiseras när en näringsidkare behandlar personuppgifter i samband med ett avtal om tillhandahållande av digitalt innehåll är tydligt. Till exempel tas det i digitaldirektivet på flera ställen upp olika slags aspekter på samtycke som rättslig grund (se skälen 24 och 38– 2021/22:85 40). Närmare bestämmelser om samtycke finns i artikel 7 i den allmänna dataskyddsförordningen. Om behandlingen av personuppgifter grundar sig på samtycke, finns det i digitaldirektivet uttalanden om att direktivet inte reglerar giltigheten av ett sådant samtycke eller följderna av ett återkallat samtycke, se vidare avsnitt 7.6. Ytterligare en rättslig grund för personuppgiftsbehandling som kan aktualiseras i samband med avtal om tillhandahållande av digitalt innehåll, är att behandlingen är nödvändig för att fullgöra ett avtal i vilket den registrerade är part eller för att vidta åtgärder på begäran av den registrerade innan ett sådant avtal ingås (artikel 6.1 b, kontraktsgrunden). Under förhandlingarna av digitaldirektivet uttalade Europeiska datatillsyns- mannen att det förhållande att syftet med personuppgiftsbehandlingen omfattas av avtalsvillkor som utformats av näringsidkaren inte med automatik innebär att behandlingen är nödvändig för att fullgöra avtalet. Trots sitt namn är denna grund alltså inte generellt tillämplig enbart av det skälet att konsumentens tillhandahållande av sina personuppgifter är en del av avtalet. Bedömningen av vilken personuppgiftsbehandling som i det enskilda fallet är nödvändig för att fullgöra avtalet får avgöras i rätts- tillämpningen. Ytterligare en rättslig grund som kan aktualiseras vid behandling av personuppgifter i samband med ett avtal om tillhandahållande av digitalt innehåll är den om berättigat intresse (artikel 6.1 f). Den innebär att personuppgifter får behandlas om det är nödvändigt för ändamål som rör den personuppgiftsansvariges eller en tredje parts berättigade intressen, om inte den registrerades intressen eller grundläggande rättigheter och friheter väger tyngre och kräver skydd av personuppgifter. Vid en tillämpning av denna grund ska det således göras en intresseavvägning mellan näringsidkarens och konsumentens intressen. Grunden behandlas i skäl 47 i dataskydds- förordningen och där nämns att ett berättigat intresse kan finnas när det föreligger ett relevant och lämpligt förhållande mellan parterna, t.ex. när den registrerade är kund hos den personuppgiftsansvarige. Även behandling av personuppgifter för direktmarknadsföring kan betraktas som ett berättigat intresse (jfr även skäl 24 i digitaldirektivet). I skäl 47 uttalas att av betydelse vid intresseavvägningen är bl.a. om den enskilde rimligen kan förvänta sig att den aktuella personuppgiftsbehandlingen kan komma att ske. Vidare får personuppgifter behandlas om behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige (artikel 6.1 c). Den grunden behandlas närmare nedan. Det bör krävas ett avtal för att lagen ska vara tillämplig Som framgår av både det fullständiga namnet på digitaldirektivet och av tillämpningsområdet gäller direktivet avtal om tillhandahållande av digitalt innehåll (jfr även skäl 18 där det uttalas att direktivet bör tillämpas på varje avtal genom vilket näringsidkaren tillhandahåller eller åtar sig att tillhanda- hålla digitalt innehåll till konsumenten). Ett tillhandahållande som sker med konsumentens betalning som motprestation förutsätter alltid att en avtals- relation ingås. Att en konsument får tillgång till digitalt innehåll genom att tillhandahålla sina personuppgifter kan däremot ge upphov till tvekan om huruvida det i sig innebär att ett avtal har ingåtts. Några remissinstanser, bl.a. och , anser att det är svårt att förstå vad som krävs för att ett avtal om tillhandahållande av personuppgifter ska ha ingåtts och att avtalstypen är svår att tillämpa på övriga bestämmelser i lagen, t.ex. då vissa av de påföljder som kan göras gällande vid fel inte kan komma i fråga när konsumentens motprestation är att tillhandahålla personuppgifter. Enligt bl.a. bör lagen inte gälla när en näringsidkare, i samband med och som en förutsättning för användande av det digitala innehållet, samlar in och behandlar personuppgifter för t.ex. marknadsföringsändamål och konsumenten inte uttryckligen accepterar villkor som reglerar det digitala innehållet eller där konsumenten är okänd. Regeringen konstaterar att digitaldirektivet inte är tillämpligt på situa- tioner där näringsidkaren endast samlar in metadata, utom när denna situation betraktas som ett avtal enligt nationell rätt (skäl 25). Vidare påverkar direktivet inte nationella regler om utformningen, giltigheten och ogiltigheten eller verkningarna av ett avtal. Direktivet fastställer inte heller den rättsliga karaktären av avtal om tillhandahållande av digitalt innehåll, och frågan om huruvida sådana avtal utgör köpeavtal, tjänsteavtal, hyresavtal eller fristående avtal överlåts på nationell rätt (skäl 12). Regeringen delar utredningens bedömning att det bör krävas att ett civil- rättsligt bindande avtal har ingåtts mellan näringsidkaren och konsumen- ten för att lagen ska vara tillämplig. För ett sådant avtal krävs generellt i svensk rätt att några saker är uppfyllda. Parterna måste ha nått en överens- kommelse av något slag. Dessutom måste parternas avsikt med överens- kommelsen ha varit att åstadkomma rättsverkningar och ha det innehåll och den klarhet som krävs för att kunna uppnå detta. Om ett avtal inte har ingåtts liknar situationen den att en konsument t.ex. klickar på en nät- tidnings artikel mot att tidningen samlar in data i form av t.ex. konsumen- tens ip-adress eller webbhistorik. Det finns inte anledning att utvidga tillämpningsområdet till sådana situationer (jfr skäl 25). En förutsättning för att den nya lagen ska vara tillämplig är att konsumenten betalar ett pris eller tillhandahåller personuppgifter. Utrymmet för att konsumenten skulle vara okänd för näringsidkaren bör därför vara litet eftersom en person- uppgift i sig innebär att en fysisk person direkt eller indirekt kan identi- fieras och en näringsidkare som tar emot en betalning får förväntas veta från vem betalningen kommer. Det kan förutses att det kommer att uppstå situationer där det behöver bedömas om ett avtal ingåtts eller inte. Det är enligt regeringen inte möjligt eller lämpligt att i den nya lagen närmare reglera förutsättningarna för avtalets ingående i dessa fall utan detta får i stället avgöras i rättstillämp- ningen. Lagen är inte tillämplig när personuppgifterna enbart tillhandahålls på grund av rättsliga krav eller för att tillhandahålla det digitala innehållet Digitaldirektivet är tillämpligt där näringsidkaren tillhandahåller digitalt innehåll till konsumenten mot att konsumenten tillhandahåller person- uppgifter till näringsidkaren. Att tillhandahålla personuppgifter ger alltså konsumenten ett köprättsligt skydd. Det gäller dock inte i två särskilt angivna fall (artikel 3.1 andra stycket). Det första tar sikte på att de personuppgifter som konsumenten tillhandahåller behandlas av närings- 2021/22:85 idkaren enbart för att tillhandahålla det digitala innehållet i enlighet med direktivet. Det andra är att personuppgifterna tillhandahålls för att göra det möjligt för näringsidkaren att uppfylla de rättsliga krav som gäller för näringsidkaren och näringsidkaren inte behandlar personuppgifterna för något annat ändamål. Som utredningen föreslår bör dessa undantag komma till uttryck i lagens tillämpningsområde. anser att undantaget för att uppfylla rättsliga krav bör klargöras för att det ska vara någon skillnad mot EU:s dataskyddsförordning och föreslår dessutom att ledet ”som gäller för näringsidkaren” tas med i lagtexten. Medan direktivet använder uttrycket ”rättsligt krav” förekommer i stället ”rättslig förpliktelse” i förordningen (artikel 6.1 c). Enligt regeringen är det inte tydligt vilken, om någon, skillnad som avses. Det kan noteras att denna skillnad återfinns även i de engelska språkversionerna (legal requirement respektive legal obligation). Regeringen kan konstatera att digitaldirektivet och EU:s dataskydds- förordning har olika syften. Förordningen reglerar förutsättningarna för att personuppgiftsbehandlingen ska vara laglig och för detta också uppställer ett nödvändighetskrav. Digitaldirektivet har ett annat syfte, nämligen att i det aktuella avseendet klargöra om direktivet är tillämpligt eller inte. Genom att begreppen skiljer sig något åt uppnås den fördelen att det blir tydligare att direktivet inte reglerar en rättslig grund för personuppgifts- behandlingen. Det finns enligt regeringen därför inte anledning att anpassa lydelsen till dataskyddsförordningen i detta hänseende. Med detta sagt bör en behandling av personuppgifter som enbart sker med stöd av den rätts- liga grunden om rättsliga förpliktelser medföra att det nu föreslagna undantaget i lagen blir tillämpligt, i de fall konsumenten inte även betalar för det digitala innehållet. Regeringen delar Integritetsskyddsmyndig- hetens uppfattning att det bör tydliggöras i lagen att undantaget avser rättsliga krav för näringsidkaren. Vad gäller undantaget att personuppgifterna behandlas enbart för att näringsidkaren ska tillhandahålla det digitala innehållet tar det sikte på att uppgifterna krävs för att näringsidkaren ska kunna fullgöra sin del av avtalet. I EU-förhandlingarna exemplifierades detta med att en närings- idkare som tillhandahåller en gps, måste samla in uppgifter om konsumen- tens geografiska position för att fullgöra avtalet (se även skäl 25). Även om utredningens uttalade ambition är att formulera undantaget i nära anslutning till direktivets ordalydelse, kan det konstateras att utredningens lagförslag inte är så utformat utan mer i linje med hur dataskydds- förordningen beskriver en rättslig grund för personuppgiftshandling (den s.k. kontraktsgrunden, som beskrivs ovan). Enligt regeringen bör en sådan språklig koppling undvikas, både för att inte ge sken av att den nya lagen reglerar rättsliga grunder och för att inte begränsa en tillämpning av just den grunden. Undantaget bör därför i lagen utformas som i direktivet. Lagens tillämpningsområde i förhållande till blandade avtal När ett och samma avtal mellan en näringsidkare och en konsument innefattar både digitalt innehåll och varor eller andra tjänster än digitala (paketavtal eller blandade avtal), är digitaldirektivet, enligt artikel 3.6 första stycket, endast tillämpligt på den del av avtalet som gäller det digitala innehållet (se även skäl 34). Det bör i och för sig inte vara nöd- vändigt att reglera detta för att det ska gälla men, som utredningen anför, Prop. 2021/22:85 finns det ett värde i att i lag tydliggöra vad som gäller vid denna typ av Regeringen föreslår därför att det anges i den nya lagen att det endast är den delen av ett blandat avtal som avser tillhandahållande av digitalt innehåll som omfattas av lagens bestämmelser om sådant till- handahållande. I artikel 3.6 tredje stycket i digitaldirektivet anges att de följder som en uppsägning av en del av ett paketavtal kan ha på de övriga delarna av paketet ska regleras i nationell rätt. De följder som en uppsägning har på den delen av avtalet som avser tillhandahållande av ett digitalt innehåll kommer att regleras i den nya lagen. I vilken utsträckning en uppsägning får effekter på övriga delar av ett paketavtal, eller om en uppsägning av en annan del av avtalet får effekt på den del som avser tillhandahållande av ett digitalt innehåll, är en fråga som normalt kommer att bero på avtalets utformning och innehåll. Vid avsaknad av uttryckliga villkor i avtalet framstår det som lämpligt att en bedömning görs utifrån allmänna avtalsrättsliga principer. Regeringen anser därför att det inte behöver införas någon särskild bestämmelse i den nya lagen som reglerar detta. Det kan i sammanhanget noteras att artikel 3.6 tredje stycket uttryckligen anger att artikel 107.2 i direktivet (EU) 2018/1972 om inrättande av en europeisk kodex för elektronisk kommunikation inte påverkas. Av det direktivet följer att när en konsument med stöd av unionsrätt eller nationell rätt har rätt att säga upp någon del av paketet på grund av fel eller näringsidkarens dröjsmål, ska konsumenten ha rätt att säga upp även övriga delar av paketet. Regeringen har i lagrådsremissen Genom- förande av direktivet om inrättande av en europeisk kodex för elektronisk kommunikation lämnat förslag på hur det direktivet bör genomföras i svensk rätt. Digitaldirektivet är, med ett par undantag, tillämpligt på digitalt innehåll på fysiska medier som endast fungerar som bärare av digitalt innehåll (artikel 3.3). Som exempel på sådana fysiska medier anges i skäl 20 dvd- skivor, minnesstickor och minneskort. Motsatsvis framgår det av varu- direktivet att denna typ av produkter faller utanför det direktivets tillämp- ningsområde (artikel 3.4 och skäl 13). De produkter som avses har i svensk rätt betraktats som varor och omfattas av den nuvarande konsument- köplagens tillämpningsområde. Det bör mot den bakgrunden klargöras i den nya lagen att dessa bärare fortsättningsvis som utgångspunkt kommer att omfattas av lagens bestämmelser om avtal om tillhandahållande av digitalt innehåll. Bestämmelser i annan unionsrättslig lagstiftning I artikel 3.7 i digitaldirektivet föreskrivs att om en bestämmelse i direktivet strider mot en bestämmelse i en annan unionsakt som reglerar en särskild sektor eller ett särskilt ämne, ska bestämmelsen i den andra unionsakten ha företräde framför direktivet. I artikel 3.8 anges att unionsrätten om skydd av personuppgifter är tillämplig på alla personuppgifter som behandlas i samband med sådana avtal som träffas av direktivet och att direktivet i synnerhet inte påverkar tillämpningen av den allmänna dataskyddsförord- ningen och och rådets direktiv (2002/58/EG) om behandling av personuppgifter och integritetsskydd inom sektorn för elektronisk kommunikation (e-dataskyddsdirektivet). påverkar direktivet inte tillämpningen av unionsrätt och nationell rätt om upphovsrätt eller närstående rättigheter. Gemensamt för de tre artikelbestämmelserna i direktivet är att de föreskriver att annan unionsrätt och viss nationell rätt ska ha företräde framför direktivets reglering. Utredningen föreslår att det införs en bestämmelse i den nya lagen som anger att om det i annan författning finns avvikande bestämmelser, ska dessa ha företräde, om de har sin grund i När det gäller upphovsrätten och sektorslagstiftning enligt artikel 3.7 och 3.9 anser regeringen, till skillnad från utredningen, att lagens subsi- diaritet i just dessa specifika avseenden inte behöver regleras uttryckligen. Att i svensk lag föreskriva att grunderna för en annan svensk lag ska avgöra en normkonflikt bör undvikas. Om speciallagstiftning i något fall skulle komma att överlappa generell lagstiftning, ges i regel den förra företräde även utan att det anges. I detta fall synes det dessutom inte finnas någon existerande lagkonflikt och det får närmast bli en uppgift vid införandet av eventuell framtida lagstiftning att överväga behovet av När det gäller dataskydd innebär artikel 3.8 i digitaldirektivet att den allmänna dataskyddsförordningen ska tillämpas när ett avtal om tillhanda- hållande av digitalt innehåll innebär att konsumenten ska tillhandahålla Dataskyddsförordningen är bindande och direkt Det framstår emellertid som lämpligt att i den nya lagen klargöra att dataskyddsförordningen gäller för tillhandahållande av digitalt innehåll i utbyte mot konsumentens personuppgifter. föreskrivas att vid behandling av personuppgifter som omfattas av förord- ningen gäller även den kompletterande svenska lagstiftningen på området, lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning och föreskrifter som har meddelats i anslutning till För sådana elektroniska kommunikationstjänster i form av nummer- oberoende interpersonella kommunikationstjänster som omfattas av digital- direktivet gäller även e-dataskyddsdirektivet. Vid behandling av person- uppgifter i samband med ett avtal om en sådan kommunikationstjänst måste näringsidkaren därför även beakta reglerna i det direktivet.