SV Europeiska unionens officiella tidning C 233/8

Sammanfattning av Europeiska datatillsynsmannens yttrande om manipulation via internet och personuppgifter

(Den fullständiga texten till detta yttrande finns på engelska, franska och tyska på Europeiska datatillsynsmannens webbplats www.edps.europa.eu)

(2018/C 233/06)

Digitaliseringen av samhället och ekonomin har en blandad inverkan på medborgarnas engagemang i beslutsfattandet och på hindren för allmänhetens deltagande i demokratiska processer.

Analys av stordata och system med artificiell intelligens har gjort det möjligt att samla in, kombinera, analysera och lagra oändligt stora mängder data. Under de senaste två decennierna har en dominerande affärsmodell för de flesta webbaserade tjänster vuxit fram som bygger på spårning av människor på nätet och insamling av uppgifter om deras egenskaper, hälsa, relationer, tankar och åsikter i syfte att generera intäkter från digital reklam. Dessa digitala marknader har koncentrerats kring ett fåtal företag som fungerar som effektiva grindvakter till internet och som har högre inflationsjusterade börsvärden än något annat företag tidigare i historien.

Detta digitala ekosystem har kopplat samman människor världen över. Mer än 50 procent av jordens befolkning använder internet, om än väldigt ojämnt fördelat beroende på geografiskt område, välstånd och kön. Den inledande optimismen om internets och sociala mediers potential att öka medborgarengagemanget har gett vika för en oro över att människor manipuleras, dels genom en konstant utvinning av ofta privat information om dem, dels genom kontroll över den information de ser på nätet beroende på i vilken kategori de placerats. Viral upprördhet är för många algoritmdrivna tjänster en nyckelfaktor för att skapa värde, med produkter och tillämpningar som är avsedda att maximera uppmärksamheten och beroendet. Sammankopplingen har, åtminstone med nuvarande modell, lett till motsättningar.

Den efterföljande debatten har kretsat kring den vilseledande, felaktiga eller grovkorniga information (”innehåll”) som matas ut till människor i avsikt att påverka det politiska samtalet och politiska val, ett fenomen som har kommit att kallas ”falska nyheter” eller desinformation på nätet. Lösningarna har inriktats på åtgärder för öppenhet, som exponerar informationskällan samtidigt som ansvarsskyldigheten hos de aktörer i ekosystemet som drar vinning av skadligt beteende förbises. Under tiden utgör marknadskoncentrationen och uppkomsten av dominerande plattformar ett nytt hot mot mediemångfalden. Enligt EDPS illustrerar denna förtroendekris för det digitala ekosystemet det ömsesidiga beroendeförhållandet mellan integritet och yttrandefrihet. Minskningen av det privata utrymme som är tillgängligt för folk, som ett resultat av omöjligheten att undgå övervakning från företag och regeringar, har en nedkylande effekt på människors förmåga och vilja att uttrycka sig och fritt bilda relationer, inbegripet i den medborgerliga sfären, som är så nödvändig för demokratins välmående. Detta yttrande handlar därför om det sätt på vilket uppgifter av individuell karaktär används för mikroinriktning (”microtargeting”) av specifikt innehåll till enskilda och grupper, de grundläggande rättigheter och värden som står på spel och den lagstiftning som är relevant för att minska hoten.

EDPS har i flera års tid argumenterat för ett ökat samarbete mellan dataskyddsmyndigheter och andra tillsynsmyndigheter i syfte att skydda den enskildes rättigheter och intressen i det digitala samhället, vilket var skälet till att vi år 2017 lanserade ett ”Digital Clearinghouse”. Mot bakgrund av oron för att det digitala utrymmet kan utnyttjas inom ramen för politiska kampanjer i syfte att kringgå befintlig lagstiftning (1), anser vi att det nu är dags att utvidga detta samarbete till de myndigheter som utövar tillsyn över val och myndigheter inom det audiovisuella området.

1. VARFÖR AVGER VI DETTA YTTRANDE

i. En intensiv pågående offentlig debatt

För närvarande pågår en intensiv offentlig debatt om hur dagens vidsträckta och komplexa ekosystem av digital information inverkar inte endast på marknadsekonomin utan också på den politiska ekonomin och om hur den politiska miljön växelverkar med ekonomin. De största plattformarna befinner sig i centrum av detta ekosystem, de erhåller en oproportionerligt stor vinst från tillväxten inom digital reklam och ökar sin relativa makt allteftersom ekosystemet utvecklas. Personuppgifter behövs för att segmentera, inrikta och skräddarsy meddelanden som matas ut till enskilda, men de flesta annonsörer är omedvetna om hur sådana beslut fattas och de flesta enskilda är omedvetna om hur uppgifterna används. Systemet belönar sensationellt och viralt innehåll och skiljer i allmänhet inte mellan annonsörer och huruvida de är kommersiella eller politiska. Avslöjanden av hur avsiktlig desinformation (”falska nyheter”) har spridits via detta system har lett till en rädsla för att den demokratiska integriteten kan vara hotad. System med artificiell intelligens – vilkas marknad också kännetecknas av koncentration – drivs själva av data och kommer – om de inte kontrolleras – att öka avlägsenheten och bristen på ansvarsskyldighet i beslutsfattandet i denna miljö.

ii. Dataskyddslagstiftningens relevans och politiska kampanjer

De grundläggande rättigheterna till integritet och skydd av personuppgifter är helt klart en avgörande faktor när det gäller att åtgärda denna situation, vilket gör denna fråga till en strategisk prioritet för alla oberoende dataskyddsmyndigheter. I sin resolution från år 2005 med titeln Resolution on the Use of Personal Data for Political Communication uttalade dataskyddstillsynsmyndigheter från hela världen sin oro över skyddet av nyckeldata i samband med den ökade behandling av personuppgifter som utförs av icke-kommersiella aktörer. I resolutionen hänvisades särskilt till behandlingen av ”känsliga uppgifter som rör verkliga eller förmodade etiska och politiska övertygelser eller aktiviteter, eller röstningsbeteenden” och ”inkräktande profilering av olika personer som för närvarande – ibland felaktigt eller på grundval av en ytlig kontakt – klassificeras som sympatisörer, supportrar, anhängare eller medlemmar” (2). I den internationella resolutionen manades till ett striktare genomförande av dataskyddsreglerna om uppgiftsminimering, laglig behandling, samtycke, öppenhet, den registrerades rättigheter, ändamålsbegränsning och datasäkerhet. Det kan nu vara dags att förnya denna uppmaning.

EU:s lagstiftning om dataskydd och konfidentialitet för elektronisk kommunikation är tillämplig på insamling av uppgifter, profilering och mikroinriktning och bör, om den tillämpas korrekt, bidra till att minimera skadorna från försöken att manipulera enskilda och grupper. Politiska partier som behandlar uppgifter om väljare i EU omfattas av tillämpningsområdet för den allmänna dataskyddsförordningen. Personuppgifter som avslöjar politiska åsikter definieras i den allmänna dataskyddsförordningen som en särskild kategori av personuppgifter. Behandling av sådana uppgifter är i allmänhet förbjuden, om inte något av de angivna undantagen är tillämpligt. När det gäller politiskt kampanjarbete är följande två undantag särskilt relevanta och förtjänar att citeras i sin helhet:

”d) Behandlingen utförs inom ramen för berättigad verksamhet med lämpliga skyddsåtgärder hos en stiftelse, en förening eller ett annat icke vinstdrivande organ, som har ett politiskt, filosofiskt, religiöst eller fackligt syfte, förutsatt att behandlingen enbart rör sådana organs medlemmar eller tidigare medlemmar eller personer som på grund av organets ändamål har regelbunden kontakt med detta och personuppgifterna inte lämnas ut utanför det organet utan den registrerades samtycke.

e) Behandlingen rör personuppgifter som på ett tydligt sätt har offentliggjorts av den registrerade. (…)

g) (Behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse, på grundval av unionsrätten eller medlemsstaternas nationella rätt, vilken ska stå i proportion till det eftersträvade syftet, vara förenligt med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen.”

I skäl 56 förtydligas artikel 9.2 g: ”Om det för att det demokratiska systemet ska fungera i samband med allmänna val är nödvändigt att politiska partier i vissa medlemsstater samlar in personuppgifter om fysiska personers politiska uppfattningar, får behandling av sådana uppgifter tillåtas med hänsyn till ett allmänt intresse, på villkor att lämpliga skyddsåtgärder fastställs.”

Flera dataskyddsmyndigheter har utarbetat regler eller vägledningar om personuppgiftsbehandling som utförs för politiska syften:

— I mars 2014 antog den italienska dataskyddsmyndigheten regler om politiska partiers behandling av personuppgifter. I reglerna belystes det allmänna förbudet mot att använda personuppgifter som offentliggjorts på internet, till exempel på sociala nätverk eller forum, för politisk kommunikation, om uppgifterna insamlats för andra syften (3).

— I november 2016 gav den franska dataskyddsmyndigheten (CNIL) ut ytterligare riktlinjer till sina rekommendationer från år 2012 om politisk kommunikation och specificerade vilka regler som gäller vid behandling av personuppgifter på sociala nätverk. CNIL betonade särskilt att aggregering av väljares personuppgifter i syfte att profilera dem och rikta in sig på dem på sociala nätverk är lagligt endast om samtycke till att uppgifterna behandlas har erhållits (4).

— I april 2017 utfärdade brittiska Information Commissioner’s Office (ICO) en uppdatering av sin vägledning Guidance on political campaigning och inkluderade också riktlinjer om användningen av dataanalys i politiskt kampanjarbete. ICO förklarade att när en politisk organisation lägger ut analysarbetet på ett företag, är företaget sannolikt personuppgiftsbiträde, medan organisationen är personuppgiftsansvarig. Särskilda bestämmelser i dataskyddslagstiftningen om förhållandet mellan personuppgiftsansvarig och personuppgiftsbiträde måste uppfyllas för att behandlingen ska vara lagenlig (5).

De nationella dataskyddsmyndigheternas riktlinjer har potential att tillhandahålla ytterligare auktoritativa tolkningar av lagbestämmelserna om skydd av personuppgifter och integritet, som förklarar skillnaderna i organisationen av de nationella politiska systemen (6).

iii. Syftet med detta yttrande från Europeiska datatillsynsmannen

EDPS eftersträvar att hjälpa EU att föregå med gott exempel i den globala dialogen om dataskydd och integritet i den digitala åldern, genom att identifiera tvärdisciplinära politiska lösningar på utmaningarna med stordata och utveckla en etisk dimension av behandlingen av uppgifter av individuell karaktär (7). Vi har uppmanat till att den registrerade ska behandlas ”som en individ, inte endast som konsument eller användare” och har belyst etiska frågor kring effekterna av förutsägande profilering och algoritmstyrd personalisering (8). Vi har uppmanat till en ansvarstagande och hållbar utveckling av det digitala samhället baserad på den enskildes kontroll över sina personuppgifter, integritetsmedveten utveckling av produkter och tjänster samt ansvarsskyldighet och ett enhetligt genomförande (9). EDPS rådgivande grupp för etiska frågor påpekade i sin rapport i januari 2018 att ”när mikroinriktning används för att värva röster ändras reglerna för det offentliga talet, vilket minskar utrymmet för debatt och utbyte av idéer”, och att det därför ”behövs en brådskande demokratisk debatt om användningen och utnyttjandet av data för politiskt kampanjarbete och beslutsfattande” (10).

Problemet med att information och personuppgifter används för att manipulera människor och politik går naturligtvis långt utöver rätten till skydd av personuppgifter. En personaliserad, mikroinriktad miljö på nätet skapar ”filterbubblor”, där människor exponeras för mer av samma information och möter färre åsikter, vilket leder till en ökad politisk och ideologisk polarisering (11). Det ökar genomslagskraften och det övertygande i falska historier och konspirationer (12). Enligt forskningen kan manipulationen av människors nyhetsflöde eller sökresultat påverka deras röstningsbeteende (13).

EDPS vill bidra till att säkerställa att behandlingen av personuppgifter utformas så att den tjänar människor, för att använda en formulering ur den allmänna dataskyddsförordningen, och inte tvärtom (14). Tekniska framsteg bör inte hindras utan snarare styras i enlighet med våra värderingar. Respekt för de grundläggande rättigheterna, inbegripet en rätt till skydd av personuppgifter, är av avgörande betydelse för att säkerställa rättvisa val, särskilt som vi närmar oss valet till Europaparlamentet 2019 (15). Detta yttrande är det senaste i en rad yttranden från EDPS om hur dataskyddet bör tillämpas för att åtgärda de mest brådskande hoten mot allmän ordning. Yttrandet bygger vidare på EDPS tidigare arbeten om stordata och digital etik och behovet att samordna regleringen av konkurrensutsatta och rättvisa marknader (16). I yttrandet sammanfattas först den process där personuppgifter fungerar som bränsle för och begränsar den rådande cykeln med digital spårning, mikroinriktning och manipulation. Därefter behandlas de olika aktörernas roll i det digitala informationsekosystemet. Sedan behandlas de grundläggande rättigheter som står på spel, relevanta dataskyddsprinciper och andra relevanta rättsliga skyldigheter. Som avslutning konstateras att problemet med manipulation via internet sannolikt endast kommer att förvärras samt att det inte finns någon tillsynsstrategi som i sig är tillräcklig och att tillsynsmyndigheterna därför behöver inleda ett brådskande samarbete för att angripa inte endast det begränsade missbruket utan också de strukturella snedvridningar som orsakas av en alltför stor marknadskoncentration.

7. SLUTSATS

Manipulation via nätet utgör ett hot mot samhället, eftersom filterbubblor och muromgärdade gemenskaper gör det svårare för människor att förstå varandra och utbyta erfarenheter. Försvagningen av detta ”sociala lim” kan undergräva demokratin och även flera andra grundläggande rättigheter och friheter. Manipulation via nätet är också ett symtom på bristen på insyn och ansvarsskyldighet i det digitala ekosystemet. Problemet är verkligt och brådskande och kommer sannolikt att förvärras allteftersom fler människor och saker ansluts till internet och systemen med artificiell intelligens får en mer framträdande roll. Roten till problemet är delvis den oansvariga, olagliga eller oetiska användningen av uppgifter av individuell karaktär. Öppenhet är nödvändigt, men är inte tillräckligt. Styrning av innehållet kan bli nödvändigt, men kan inte tillåtas äventyra de grundläggande rättigheterna. En del av lösningen är därför att de befintliga reglerna, särskilt den allmänna dataskyddsförordningen, genomförs rigoröst, samtidigt med andra normer avseende val och mediemångfald.

Som ett bidrag till att föra debatten vidare kommer EDPS under våren 2019 att anordna en workshop där nationella tillsynsmyndigheter inom området dataskydd, vallagstiftning och lagstiftning på det audiovisuella området kommer att kunna utforska samspelet mellan dessa områden ytterligare, diskutera de utmaningar man står inför och överväga möjligheter till gemensamma åtgärder, även med beaktande av det kommande valet till Europaparlamentet.

I detta yttrande har det hävdats att tekniken och marknadsbeteendet orsakar skada på grund av strukturell obalans och snedvridningar. Vi har uppmanat till en justering av incitamenten för innovation. Teknikjättarna och teknikpionjärerna har hittills gynnats av att kunna verka i en relativt oreglerad miljö. Traditionella branscher och grundläggande begrepp såsom territoriell behörighet och suveränitet samt även sociala normer, inbegripet demokratin, påverkas. Dessa värden är beroende av att det finns en mångfald röster och en jämvikt mellan partierna. En enda aktör eller sektor kan inte ensam lösa detta. Skydd av uppgifter är en del av lösningen och kanske en viktigare del än väntat. Det räcker inte att förlita sig på den goda viljan hos kommersiella och i slutänden icke-ansvarsskyldiga aktörer. Vi måste ingripa nu för att sprida digitaliseringens fördelar mer rättvist.

Utfärdad av Bryssel den 19 mars 2018. Giovanni BUTTARELLI Europeisk datatillsynsman

(1) Se exempelvis http://www.independent.co.uk/news/uk/politics/election-2017-facebook-ads-marginal-seats-tories-labour-outdated-election-spending-rules-a7733131.html (hämtad den 18 mars 2018).

(2) Resolutionen finns på https://icdppc.org/wp-content/uploads/2015/02/Resolution-on-Use-of-Personal-Data-for-Polictical-Communication.pdf (hämtad den 18 mars 2018).

(3) http://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/3013267 Provvedimento in materia di trattamento di dati presso i partiti politici e di esonero dall’informativa per fini di propaganda elettorale, offentliggjord i den italienska dataskyddsmyndighetens officiella tidning nr 71 av den 26 mars 2014 (dok. webbnr 3013267).

(4) https://www.cnil.fr/fr/communication-politique-quelles-sont-les-regles-pour-lutilisation-des-donnees-issues-des-reseaux Communication politique: quelles sont les règles pour l’utilisation des données issues des réseaux sociaux?, offentliggjord av Commission Nationale de l’informatique et des libertés den 8 november 2016.

(5) https://ico.org.uk/media/for-organisations/documents/1589/promotion_of_a_political_party.pdf Information Commissioner’s Office: Guidance on political campaigning (20170426).

(6) Enligt artikel 57.1 d i den allmänna dataskyddsförordningen ska varje tillsynsmyndighet på sitt territorium ansvara för att öka personuppgiftsansvarigas och personuppgiftsbiträdens medvetenhet om sina skyldigheter enligt denna förordning.

(7) Se Leading by Example: The EDPS Strategy 2015–2019, s. 17. Med stordata avses enligt vår mening bruket att slå ihop enorma mängder uppgifter från en rad olika källor och att analysera dem för att få fram ett beslutsunderlag, ofta med hjälp av självlärande algoritmer. Något av det mest värdefulla som företag och regeringar får ut av stordata hämtas dock från övervakningen av mänskligt beteende, kollektivt eller individuellt, och detta värde ligger i möjligheten att göra förutsägelser. EDPS yttrande 4/2015, Mot en ny digital etik: data, värdighet och teknik, 11.9.2015, s. 6.

(8) Profiler som används för att förutsäga människors beteende kan leda till stigmatisering och förstärka befintliga stereotyper, social och kulturell segregering och utslagning, där denna ”kollektiva information” undergräver individens valmöjligheter och lika möjligheter. Den här typen av ”filterbubblor” eller ”personliga ekokammare” kan i slutänden strypa just den kreativitet, innovation och yttrande- och organisationsfrihet som har gjort det möjligt för den digitala tekniken att blomstra. EDPS yttrande 4/2015, s. 13 (hänvisningarna har utelämnats).

(9) EDPS yttrande 7/2015, Att möta utmaningarna från stordata, s. 9.

(10) Rapport från EDPS rådgivande grupp för etiska frågor, januari 2018, s. 28.

(11) Se till exempel The Economist, ”How the World Was Trolled” (4–10 november, 2017), vol. 425, nr 9065, s. 21–24.

(12) Allcott H. och Gentzkow M., ”Social Media and Fake News in the 2016 Election” (våren 2017). Stanford University, Journal of Economic Perspectives, vol. 31, nr 2, s. 211–236. https://web.stanford.edu/~gentzkow/research/fakenews.pdf, s. 219.

(13) I ett av experimenten fick användare av sociala plattformar veta hur deras vänner hade sagt att de hade röstat, vilket ledde till en statistiskt betydande ökning av det segment av befolkningen (0,14 procent av befolkningen i röstberättigad ålder eller omkring 340 000 väljare) som röstade i halvtidsvalet till kongressen 2010; Allcott H. och Gentzkow M., ”Social Media and Fake News in the 2016 Election” (våren 2017), Stanford University, Journal of Economic Perspectives, vol. 31, nr 2, s. 211–236., s. 219). I en annan studie hävdade forskarna att skillnader i sökresultaten på Google förmådde ändra röstpreferenserna hos osäkra väljare med 20 procent; Zuiderveen Borgesius, F. & Trilling, D. & Möller, J. & Bodó, B. & de Vreese, C. & Helberger, N. (2016). ”Should we worry about filter bubbles?”, Internet Policy Review, 5(1). DOI: 10.14763/2016.1.401, s. 9.

(14) Skäl 4 i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (nedan kallad den allmänna dataskyddsförordningen).

(15) Som Europeiska domstolen för de mänskliga rättigheterna konstaterade i domen i målet Orlovskaya Iskra mot Ryssland ”bildar fria val och yttrandefriheten, särskilt friheten till politisk debatt, tillsammans grundvalen för varje demokratiskt system. Dessa två rättigheter hänger samman med och förstärker varandra: till exempel är yttrandefriheten ett av de ’förhållanden’ som ’tillförsäkrar folket rätten att fritt ge uttryck åt sin mening beträffande sammansättningen av den lagstiftande församlingen’. Av detta skäl är det särskilt viktigt att åsikter och information av alla slag tillåts cirkulera fritt under perioden före ett val. Vid valdebatter är det särskilt viktigt att kandidaterna utan hinder kan utöva sin yttrandefrihet” (hänvisningarna har utelämnats), punkt 110. http://hudoc.echr.coe.int/eng?i=001-171525.

(16) 2014 – Preliminärt yttrande: Privacy and Competitiveness in the Age of Big Data (Privatliv och konkurrenskraft i stordataåldern); 2015 – Yttrande 4/2015 Towards a new digital ethics. Data, dignity and technology (Mot en ny digital etik: data, värdighet och teknik); 2015 – Yttrande 7/2015, Meeting the challenges of big data. A call for transparency, user control, data protection by design and accountability (Att möta utmaningarna från stordata. Behov av insyn, användarkontroll, inbyggt uppgiftsskydd och ansvarighet); 2016 – Yttrande 8/2016, EDPS Opinion on coherent enforcement of fundamental rights in the age of big data (EDPS yttrande om enhetligt genomförande av de grundläggande rättigheterna i stordataåldern).