SV Europeiska unionens officiella tidning C 2/2

Yttrande från Europeiska datatillsynsmannen om förslaget till Europaparlamentets och rådets beslut om inrättande av ett flerårigt gemenskapsprogram för att skydda barn som använder Internet och annan kommunikationsteknik

(2009/C 2/02)

EUROPEISKA DATATILLSYNSMANNEN HAR ANTAGIT DETTA YTTRANDE

med beaktande av fördraget om upprättandet av Europeiska gemenskapen, särskilt artikel 286,

med beaktande av Europeiska unionens stadga om de grundläggande rättigheterna, särskilt artikel 8,

med beaktande av Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (1),

med beaktande av Europaparlamentets och rådets förordning (EG) nr 45/2001 av den 18 december 2000 om skydd för enskilda då gemenskapsinstitutionerna och gemenskapsorganen behandlar personuppgifter och om den fria rörligheten för sådana uppgifter (2), särskilt artikel 41, och

med beaktande av den begäran om ett yttrande i enlighet med artikel 28.2 i förordning (EG) nr 45/2001 som datatillsynsmannen den 4 mars 2008 mottog från Europeiska kommissionen.

HÄRIGENOM FRAMFÖRS FÖLJANDE:

I INLEDNING

Samråd med datatillsynsmannen

1. Den 4 mars 2008 översände kommissionen förslaget till Europaparlamentets och rådets beslut om inrättande av ett flerårigt gemenskapsprogram för att skydda barn som använder Internet och annan kommunikationsteknik (nedan kallat förslaget) till Europeiska datatillsynsmannen för samråd i enlighet med artikel 28.2 i förordning (EG) nr 45/2001. Detta samråd bör uttryckligen nämnas i ingressen till beslutet.

Förslaget i sitt sammanhang

2. Det nya fleråriga programmet (nedan kallat programmet) läggs fram som en fortsättning på handlingsplanen för ett säkrare Internet (1999–2004) och programmet ”Safer Internet plus” (2005–2008).

3. Fyra inriktningar definieras: — att minska det olagliga innehållet och bekämpa skadligt beteende online, — att främja en säkrare online-miljö, — att öka medvetenheten hos allmänheten, — att inrätta en kunskapsdatabas.

4. Programmet uppges vara förenligt med gemenskapens berörda politik, program och insatser, som det ska komplettera. Med tanke på det nuvarande antalet regleringsåtgärder för att skydda barn i samband med ny teknik är detta program mer inriktat på åtgärder än på reglering. Tyngdpunkten ligger på de planerade initiativens effektivitet och ändamålsenlighet och anpassning till framväxten av ny teknik. Man räknar i detta sammanhang med att utbytet av information och bästa praxis ska öka.

5. Eftersom programmet är ett raminstrument går man inte närmare in på de åtgärder som ska vidtas, men lämnar utrymme för inbjudningar att lämna förslag och anbudsförfaranden avseende de fyra fastställda inriktningarna.

Yttrandets fokus

6. Programmets allmänna inriktningar behandlar skyddet av barn som använder Internet och annan kommunikationsteknik utan särskild tonvikt på integritetsaspekterna (3). Datatillsynsmannen stöder helt och hållet förslagets syfte men vill i detta yttrande lyfta fram dessa integritetsaspekter.

7. Datatillsynsmannen anser det vara viktigt att de planerade initiativen är förenliga med det gällande regelverket såsom det anförs i förslaget (4), särskilt direktiv 2000/31 om elektronisk handel, direktiv 2002/58 om integritet och elektronisk kommunikation och direktiv 95/46 om skyddet av uppgifter (5).

8. Skyddet av personuppgifter bör beaktas med avseende på de olika aspekter och aktörer som ska ingår i programmet: Huvudsyftet är naturligtvis att skydda barns personuppgifter, men detta är inte det enda syftet. Även personuppgifter avseende personer och innehåll som övervakas för att skydda barn bör beaktas.

9. Dessa frågor kommer att tas upp på följande sätt i detta yttrande: — i avsnitt II diskuteras kopplingen mellan uppgiftsskydd och barns säkerhet med betoning på att skyddet av barns uppgifter är ett nödvändigt steg mot ökad säkerhet och förhindrande av missbruk, — i avsnitt III i yttrandet betonas att behandlingen av personuppgifter är en oskiljaktig del av rapportering, filtrering eller blockering av misstänkt innehåll eller misstänkta personer på Internet: — först utreds frågan om rapportering av misstänkta personer eller sakförhållanden ur ett uppgiftsskyddsperspektiv, — därefter belyses de tekniska verktygens roll, — slutligen diskuteras branschens ansvar i fråga om dess kontroll över användarnas uppgifter och uppgifter om innehåll.

II BEHANDLING AV PERSONUPPGIFTER OCH BARNENS SÄKERHET

10. Europeiska datatillsynsmannen stöder helt och hållet programmet och de riktlinjer som anges för att förbättra skyddet av barn på nätet. Särskilt gäller att en minskning av det olagliga eller skadliga innehållet och en ökad medvetenhet hos barn och andra aktörer är avgörande åtgärder som bör vidareutvecklas.

11. Datatillsynsmannen vill erinra om att ett lämpligt skydd av den personliga information om barn är en viktig första åtgärd för att sörja för säkerhet när på nätet. Detta samband mellan barns integritet och säkerhet framhålls uttryckligen i ministerkommitténs uttalande nyligen om skyddet av barns värdighet, säkerhet och integritet när de använder Internet (6). I uttalandet erinras om att barn har rätt till värdighet, särskilt skydd och den omsorg som krävs för deras välbefinnande liksom ”skydd mot alla former av diskriminering eller godtycklig eller olaglig inblandning i sina privatliv och mot alla olagliga angrepp mot deras heder eller rykte”.

12. Som exempel på risker när det gäller att skydda barns integritet nämns i uttalandet möjligheten att spåra barns aktiviteter, vilket kan medföra risker för att de blir föremål för brottslig verksamhet som till exempel sexuell antastning eller annan olaglig verksamhet. Profilering och lagring av personuppgifter om barns aktiviteter uppges också medföra risk för missbruk i t.ex. kommersiellt syfte eller genom utbildningsanstalters och framtida arbetsgivares sökningar. I uttalandet krävs därför att innehåll och spår som härrör från barn på nätet ska avlägsnas eller raderas efter rimligt kort tid och att information riktad till barn ska tas fram och främjas, särskilt information om kompetent användning av verktyg som ger tillgång till information, utveckling av förmågan till kritisk analys av innehåll och inhämtning av tillräckliga kommunikationskunskaper.

13. Europeiska datatillsynsmannen stöder dessa slutsatser. Han anser i synnerhet att det är viktigt att öka barnets medvetenhet om riskerna i samband med att man spontant tillhandahåller sådana personuppgifter som verkligt namn, ålder och bostadsort.

14. Punkt 3 i de åtgärder (7) som föreslås i det fleråriga programmet är särskilt avsedda att ”öka medvetenheten hos allmänheten” genom åtgärder som riktar sig till barn, föräldrar, vårdnadshavare och lärare och rör möjligheter och risker i samband med användningen av onlineteknik samt ”hur man kan ta sig fram säkert på Internet”. Bland de metoder som nämns i förslaget är spridningen av lämplig information och tillhandahållandet av kontaktpunkter där föräldrar och barn kan få svar på frågor om hur man sörjer för sin säkerhet på nätet två användbara verktyg som uttryckligen bör omfatta denna dimension av skyddet av barns personuppgifter.

15. Europeiska datatillsynsmannen vill betona att dataskyddsmyndigheterna är relevanta samtalspartner i detta sammanhang. De bör omnämnas i denna egenskap i förslaget, särskilt när tanken är att samarbete och utbyte av information, erfarenheter och god praxis ska främjas nationellt och på europeisk nivå (8).

16. Flera initiativ kan nämnas för att illustrera de insatser som gjorts med denna inriktning på senare tid i medlemsstaterna eller EES-länderna. Den svenska dataskyddsmyndigheten utför en årlig undersökning om barn och ungdomars inställning till Internet och övervakning, precis som den brittiska dataskyddsmyndigheten, (9) som genomfört en enkät riktad till 2 000 barn mellan 14 och 21 år. Den norska dataskyddsmyndigheten inledde i januari 2007 tillsammans med kunskapsdepartementet en utbildningskampanj riktad till skolorna (10). I Portugal har ett protokoll undertecknats mellan dataskyddsmyndigheten och utbildningsministeriet om att främja dataskyddstänkande på Internet och särskilt i sociala nätverk (11). Detta projekt har lett till att de portugisiska sociala nätverken har integrerat ett gränssnitt och en maskot som särskilt riktar sig till barn mellan 10 och 15 år.

17. Dessa exempel visar den aktiva och avgörande roll som aktörerna inom dataskyddet spelar när det gäller att skydda barn på nätet och behovet att uttryckligen se dem som samtalspartner i de fleråriga programmen.

III SKYDD AV PERSONUPPGIFTER OCH ÖVRIGA INTRESSENTERS RÄTTIGHETER

I Rapportering och utbyte av information

18. Den första punkten i förslaget (Minska det olagliga innehållet och bekämpa skadligt beteende online (12)) innehåller som en huvudåtgärd att man ska erbjuda kontaktpunkter för rapportering av olagligt innehåll och skadligt beteende på nätet. Det råder ingen tvekan om att de behöriga myndigheterna måste få kännedom om olagligt innehåll eller skadligt beteende om det ska kunna bekämpas. Kontaktpunkter har redan skapats för skydd av barn, men också för att bekämpa skräppost (13).

19. Europeiska datatillsynsmannen noterar dock att det fortfarande är oklart vad som avses med skadligt innehåll: Det saknas uppgift om vem som ska ansvara för att definiera skadligt innehåll och om vilka kriterier som ska gälla. Detta är än mer oroväckande med tanke på konsekvenserna av en eventuell rapportering av sådant innehåll.

20. Såsom redan framhållits berörs inom ramen för ett program av denna typ inte bara barns personuppgifter utan även personuppgifter för samtliga personer som på ett eller annat sätt har anknytning till den information som sprids på nätet. Det kan till exempel röra sig om den person som misstänks för oegentligheter och har rapporterats som misstänkt, men även den som rapporterat misstänkt beteende eller innehåll eller den som drabbats av missbruket. Denna information är visserligen nödvändig för ett effektivt rapporteringssystem, men Europeiska datatillsynsmannen anser det vara viktigt att erinra om att den alltid bör behandlas i enlighet med dataskyddsprinciperna.

21. En del berörda uppgifter kan till och med vara i behov av särskilt skydd, om de kan anses vara känsliga uppgifter enligt artikel 8 i direktiv 95/46/EG. Så kan vara fallet när det gäller uppgifter om dem som begått överträdelser och offer för missbruk, särskilt i fråga om barnpornografi. Det bör noteras att vissa rapporteringssystem på nationell nivå har krävt en ändring av dataskyddslagstiftningen för att rättsliga uppgifter om misstänkta brottslingar eller offer ska få behandlas (14). Europeiska datatillsynsmannen insisterar på att de rapporteringssystem som införs måste ta hänsyn till gällande regelverk om dataskydd. Om detta regelverk ska följas är det av avgörande betydelse att principiellt brottsbekämpningsmyndigheterna kan påvisa ett allmänintresse och ge garantier för att systemet övervakas.

II De tekniska verktygens roll ur ett integritetsperspektiv.

22. Användning av tekniska verktyg främjas som en av lösningarna för att komma till rätta med olagligt innehåll och skadligt beteende (15). Exempel på sådana verktyg ges i konsekvensbedömningen (16), bland annat fastställande av ålder, identifiering av ansikten (för brottsbekämpningsmyndigheters identifiering av offer) eller filtreringsteknik. Dessa verktyg bör enligt förslaget bättre anpassas till de praktiska behoven och vara åtkomliga för de berörda intressenterna.

23. Europeiska datatillsynsmannen har redan tydligt tagit ställning (17) för att ny teknik används för att stärka skyddet av de enskildas rättigheter. Han anser att principen om att skydd av privatlivet ska ingå som en del av utformningen bör vara en integrerade del i den tekniska utveckling som innebär behandling av personuppgifter. Datatillsynsmannen stöder därför beslutsamt utvecklingen av projekt som syftar till framtagande av sådan teknik.

24. Det är särskilt viktigt att ta fram system som så långt som möjligt begränsar exponeringen av barns personuppgifter och ger dem tillräckligt skydd, samt att i enlighet därmed ge dem möjlighet att använda nya verktyg i informationssamhället som sociala nätverk på ett säkrare sätt.

25. Det bör icke desto mindre erinras om att tekniska verktyg, beroende på hur de används, kan påverka människor på vitt skilda sätt. Om de används för att filtrera eller blockera information kan de hindra att barn får tillgång till innehåll som kan vara skadligt, men de kan även hindra människor från att ta del av berättigad information.

26. Även om det stora problemet här handlar om fri tillgång till information påverkas ändå integriteten. Filtrering kan i synnerhet i sin nyaste form med identitetshantering fungera på grundval av bestämda kriterier, bland annat personuppgifter som den uppkopplades ålder (för att hindra att vuxna eller barn kommer åt visst innehåll), informationsinnehållet och trafikuppgifter med anknytning av upphovsmannens identitet. Beroende på hur denna personliga information behandlas – vilket sker automatiskt – kan den enskildes rätt att kommunicera på nätet påverkas.

27. Användningen av filtrerings- eller blockeringsverktyg för kontroll av åtkomsten till nät måste därför användas återhållsamt, med beaktande av deras eventuella negativa följder och med full användning av de integritetsstärkande möjligheter som tekniken erbjuder.

28. Europeiska datatillsynsmannen välkomnar den precisering som ges i konsekvensbedömningen (18) om att inget av de föreslagna alternativen får påverka rätten till integritet och yttrandefriheten. Han delar också den däri framförda uppfattningen att ett av huvudmålen är egenmakt för användaren, dvs. de egna möjligheterna att göra bättre val och vidta lämpliga åtgärder för att skydda barn (19).

III Tjänsteleverantörernas ansvar

29. Enligt förslaget måste alla intressenter samarbeta om man vill öka skyddet för barn när de använder kommunikationsteknik. Man räknar i förslaget (20) med att dessa intressenter samarbetar och deltar genom i synnerhet självreglering inom branschen.

30. Eftersom branschen ansvarar för tillhandahållandet av tele- och innehållstjänster, kan den i viss mån påverka rapporteringen, filtreringen eller blockeringen av information som anses olaglig eller skadlig. Ur rättslig synvinkel kan det emellertid diskuteras i vilken omfattning den faktiskt kan anförtros denna uppgift.

31. Samarbetet inom branschen när det gäller att skapa medvetenhet bland barn och andra aktörer, t.ex. föräldrar eller lärare, är naturligtvis positivt. Att inrätta varningssystem och värdar på nätplatser, så att olämpligt innehåll kan hållas borta, är också en viktig aspekt av tjänsteleverantörernas ansvar.

32. När det gäller leverantörerna av teletjänster, kan man emellertid ifrågasätta övervakningen av telekommunikationer med inriktning antingen på kontroll över innehåll som är immaterialrättsligt skyddad eller annat olagligt innehåll. Problemet leder till frågan om huruvida en näringsidkare som erbjuder en viss tjänst (telekommunikation) bör ingripa på ett område där den i princip bör avstå från ingripande, dvs. i och med att det rör kontroll av telekommunikationens innehåll. Europeiska datatillsynsmannen erinrar om att denna kontroll i princip inte bör utföras av tjänsteleverantörer och i vilket fall inte systematiskt. När detta under vissa omständigheter är nödvändigt, bör det i princip vara brottsbekämpningsmyndigheternas uppgift.

33. Artikel 29-gruppen har i denna fråga i sitt yttrande av den 18 januari 2005 (21) erinrat om att enligt artikel 15 i direktiv 2000/31/EG om elektronisk handel får Internetleverantörer inte åläggas någon systematisk övervaknings- och samarbetsskyldighet. Man framhåller att enligt artikel 8 i direktivet om skydd av uppgifter får behandling av uppgifter om lagöverträdelser, brottmålsdomar eller säkerhetsåtgärder endast utföras på stränga villkor i enlighet med medlemsstaternas tillämpning. Enskilda personer har naturligtvis rätt att behandla rättsliga uppgifter som part i ett rättsligt förfarande, men principen är inte tillräckligt omfattande för att tredje man ska få utföra närmare utredningar, insamling och centralisering av personuppgifter, vilket i synnerhet gäller systematisk generell sökning genom t.ex. genomsökning av Internet. För denna typ av utredningar, framhåller man, är det de rättsliga myndigheterna som har behörighet.

34. På ett område som är avgörande för yttrandefriheten, tillgången till information, integritet och andra rättigheter aktualiseras frågan om proportionaliteten hos de metoder som används. Europaparlamentet antog nyligen en resolution där man betonar behovet av en lösning som är förenlig med de personliga grundläggande rättigheterna (22). I punkt 23 i resolutionen framhåller parlamentet att ”Internet erbjuder en bred plattform för kulturyttringar samt tillgång till kunskaper och demokratiskt deltagande i utövandet av Europas skaparkraft och sammanför generationerna genom informationssamhället. Parlamentet uppmanar därför kommissionen och medlemsstaterna att avhålla sig från att vidta åtgärder som strider mot de medborgerliga friheterna och de mänskliga rättigheterna och principerna om proportionalitet, effektivitet och avskräckande verkan, exempelvis avstängning av tillträdet till Internet”.

35. Europeiska datatillsynsmannen anser att det måste göras en avvägning mellan det berättigade syftet att bekämpa olagligt innehåll och de använda metodernas lämplighet. Han påminner om att det bör vara brottsbekämpningsmyndigheternas uppgift att vid behov i enskilda fall vidta eventuella åtgärder för att övervaka telenäten.

IV SLUTSATS

36. Europeiska datatillsynsmannen stöder förslaget om ett flerårigt program för att skydda barn som använder Internet och annan kommunikationsteknik. Han välkomnar att detta program är tänkt att fokusera på utvecklingen av ny teknik och utformningen av konkreta åtgärder för att effektivare skydda barnen.

37. Datatillsynsmannen erinrar om att skyddet av personuppgifter är en viktig förutsättning för barns säkerhet online. Missbruket av barns personliga information måste förhindras genom de riktlinjer som föreslås i programmet, särskilt följande: — att sörja för medvetenhet hos barn och andra aktörer som föräldrar och lärare, — att främja branschens utveckling av bästa praxis, — att främja utvecklingen av tekniska verktyg som motsvarar integritetsbehovet, — att gynna utbyte av bra praxis och praktiska erfarenheter mellan berörda myndigheter, inbegripet dataskyddsmyndigheterna.

38. Dessa åtgärder bör utarbetas utan att förbise det faktum att skyddet av barn genomförs i en miljö där andra rättigheter kan hotas. Initiativ till insamling, blockering eller rapportering av information bör tas endast med iakttagande av alla inblandade människors grundläggande rättigheter och i enlighet med dataskyddsregelverket. Han påminner särskilt om att det bör vara brottsbekämpningsmyndigheternas uppgift att vid behov under specifika omständigheter vidta eventuella åtgärder för att övervaka telenäten.

39. Europeiska datatillsynsmannen noterar att programmet ger en allmän ram för fortsatta konkreta insatser. Han anser att vissa iakttagelser i detta yttrande utgör ett första steg som kan utvecklas praktiskt genom hänvisning till de projekt som återstår att förverkliga, i linje med programmets inriktning. Han rekommenderar en nära medverkan av dataskyddsmyndigheterna när dessa praktiska projekt ska fastställas. Han hänvisar också till artikel 29-gruppens arbete på området, särskilt arbetsgruppens nuvarande arbete med de sociala nätverken (23).

Utfärdat i Bryssel den 23 juni 2008. Peter HUSTINX Europeisk datatillsynsman

(1) EUT L 281, 23.11.1995, s. 31.

(2) EUT L 8, 12.1.2001, s. 1.

(3) Vissa hänvisningar till integritetsfrågorna finns i konsekvensbedömningen (3.2 om särskilda risker – röjande av personuppgifter, 3.3 om målgrupper, 5.2 om analysen av strategiernas inverkan) men de utreds inte närmare.

(4) Punkt 2.1 i motiveringen, Lagstiftningsområdet, och punkt 1.2 i sammanfattningen av konsekvensanalysen om det nuvarande läget inom lagstiftningen.

(5)

— Europaparlamentets och rådets direktiv 2000/31/EG av den 8 juni 2000 om vissa rättsliga aspekter på informationssamhällets tjänster, särskilt elektronisk handel, på den inre marknaden (direktiv om elektronisk handel) (EGT L 178, 17.7.2000, s. 1),

— Europaparlamentets och rådets direktiv 2002/58/EG av den 12 juli 2002 om behandling av personuppgifter och integritetsskydd inom sektorn för elektronisk kommunikation (direktiv om integritet och elektronisk kommunikation) (EGT L 201, 31.7.2002, s. 37),

— Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (EGT L 281, 23.11.1995, s. 31).

(6) Uttalande antaget av Europarådets ministerkommittés den 20 februari 2008 vid det 1018:e mötet mellan ministrarnas ställföreträdare. Uttalandet återfinns på adressen wcd.coe.int/ViewDoc.jsp?Ref=Decl(20.02.2008)&Ver=0001

(7) Bilaga 1, Åtgärder, punkt 3.

(8) Bilaga 1, Åtgärder, punkt 1.

(9) Se www.ico.gov.uk/youngpeople

(10) Se www.dubestemmer.no

(11) Se dadus.cnpd.pt/

(12) Bilaga 1 i förslaget.

(13) Se till exempel den nätplats som de belgiska myndigheterna tagit fram för detta ändamål: www.ecops.be

(14) Se artikel 3.6 om behandling av uppgifter vid centrumet för rapportering av försvunna barn och sexuellt utnyttjade barn i den belgiska dataskyddslagen av den 8 december 1992.

(15) Bilaga 1, Åtgärder, punkt 1.

(16) Punkt 3.1 i konsekvensbedömningen.

(17) Avsnitt 3.5.1, Nya tendenser, i Europeiska datatillsynsmannens årsrapport för 2006.

(18) Punkt 5.2 i konsekvensbedömningen.

(19) I denna bemärkelse är filtren tänkta att aktiveras av föräldrarna och kunna stängas av, så att de vuxna hela tiden har full kontroll över filtreringseffekten.

(20) Skäl 8 i ingressen. Bilaga 1, punkt 1.4. Sammanfattningen av konsekvensanalysen, punkt 3.1.

(21) Artikel 29-gruppens Working document on data protection issues related to intellectual property rights, WP 104.

(22) Punkt 23 i Europaparlamentets resolution av den 10 april 2008 om kulturindustrin i Europa (2007/2153(INI)).

(23) Se Working Document 1/2008 on the protection of children's personal data, WP 147, och arbetsgruppens arbetsprogram för 2008–2009 som omfattar sociala nätverk. Dokumenten kan hämtas på nätadressen

http://ec.europa.eu/justice_home/fsj/privacy/workinggroup/wpdocs/2008_en.htm