Promoting trust in the Information Society

16.10.2010 Europeiska SV unionens officiella tidning C 280/1

I

(Resolutioner, rekommendationer och yttranden)

YTTRANDEN

EUROPEISKA DATATILLSYNSMANNEN

Yttrande från Europeiska datatillsynsmannen om att främja förtroendet för informationssamhället genom stärkt data- och integritetsskydd

(2010/C 280/01)

EUROPEISKA DATATILLSYNSMANNEN HAR ANTAGIT DETTA med varandra och utbildar oss. IKT är av avgörande be­ YTTRANDE tydelse för dagens informationsekonomi och för samhället i stort.

med beaktande av fördraget om Europeiska unionens funktions­ sätt, särskilt artikel 16, 2. Europeiska unionen är en global kraft på området avan­ cerad informations- och kommunikationsteknik, en ställ­ ning den är fast besluten att behålla. För att möta denna med beaktande av Europeiska unionens stadga om de grund­ utmaning förväntas Europeiska kommissionen inom kort läggande rättigheterna, särskilt artiklarna 7 och 8, att anta en ny digital dagordning för Europa, något som kommissionsledamot Neelie Kroes har bekräftat som sin prioritet ( 4 ). med beaktande av Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och 1 ), 3. Datatillsynsmannen erkänner de fördelar som IKT för med om det fria flödet av sådana uppgifter ( sig och håller med om att EU bör göra sitt yttersta för att främja utvecklingen av IKT och se till att denna teknik införs på bred front. Datatillsynsmannen delar vidare fullt med beaktande av Europaparlamentets och rådets direktiv ut kommissionsledamöterna Kroes och Redings åsikt om 2002/58/EG av den 12 juli 2002 om behandling av person­ att individerna bör sättas i centrum i denna nya miljö ( 5 ). uppgifter och integritetsskydd inom sektorn för elektronisk Enskilda personer bör kunna lita på informations- och kommunikation ( 2 ), kommunikationsteknikens förmåga att skydda deras upp­ gifter och kontrollera hur de används, samt att deras rät­ tigheter till integritets- och dataskydd kommer att respek­ med beaktande av Europaparlamentets och rådets förordning teras i den digitala världen. Att dessa rättigheter respekte­ (EG) nr 45/2001 av den 18 december 2000 om skydd för ras är avgörande för att skapa ett förtroende hos kon­ enskilda då gemenskapsinstitutionerna och gemenskapsorganen sumenterna och ett sådant förtroende är i sin tur avgö­ behandlar personuppgifter och om den fria rörligheten för så­ rande för att medborgarna ska acceptera nya tjänster ( 6 ). dana uppgifter ( 3 ), särskilt artikel 41.

C 280/2 SV Europeiska unionens officiella tidning 16.10.2010

4. EU har en stark rättslig ram för data- och integritetsskyd­ dataskyddsdirektivet, yttrandet av den 20 december 2007 det, vars principer tillämpas fullt ut även i den digitala om RFID och de två yttrandena om direktivet om integ­ tidsåldern. Därmed inte sagt att det går att slå sig till ro. I ritet och elektronisk kommunikation ( 2 ). flera fall ger IKT upphov till nya frågeställningar som inte omfattas av den befintliga ramen, vilket gör det nödvän­ digt att vidta åtgärder för att se till att enskilda personers rättigheter, enligt vad som fastställs i EU:s lagstiftning, också framöver omfattas av ett effektivt skydd även i II. IKT ERBJUDER NYA MÖJLIGHETER MEN SKAPAR denna nya miljö.

8. IKT har jämförts med andra banbrytande uppfinningar, t.ex. elektriciteten. Även om det kanske är för tidigt att bedöma den konkreta effekten på vår historia, finns det ett klart samband mellan IKT och ekonomisk tillväxt i utvecklade länder. IKT har skapat sysselsättning, ekono­ miska fördelar och bidragit till länders allmänna välfärd. 5. I det här yttrandet diskuteras de åtgärder som Europeiska Effekterna av IKT går utöver de rent ekonomiska, eftersom unionen skulle kunna främja eller vidta för att säkerställa den har spelat en viktig roll för att främja innovation och enskilda personers data- och integritetsskydd i en fortsatt kreativitet. teknikdriven globaliserad värld. Yttrandet tar upp lagstif­ tande och icke lagstiftande instrument.

9. IKT har dessutom förändrat det sätt på vilket vi arbetar, umgås och interagerar med varandra. Människor använder sig till exempel i allt högre grad av IKT i sina ekonomiska och sociala liv. Enskilda personer kan i allt större utsträck­ ning använda en lång rad nya IKT-tillämpningar, t.ex. ehälsovård, e-transport, e-förvaltning samt innovativa inter­ 6. Efter att först ha gett en översikt över IKT som en ny aktiva system för underhållning och inlärning. teknikutveckling som skapar möjligheter men även ger upphov till risker, går yttrandet vidare till att diskutera behovet av att data- och integritetsskyddet finns med re­ dan när ny informations- och kommunikationsteknik ut­ formas (nedan kallat principen om ”privacy by design”). För att säkerställa att denna princip iakttas diskuterar yttrandet 10. Mot bakgrund av dessa fördelar har samtliga av de euro­ behovet att införliva principen om ”privacy by design” i peiska institutionerna förbundit sig att stödja IKT som ett den rättsliga ramen för dataskydd på minst två olika sätt. nödvändigt verktyg för att förbättra den europeiska indu­ För det första genom att införliva den som en allmän, strins konkurrenskraft och för att skynda på Europas eko­ bindande princip och, för det andra, genom att införliva nomiska återhämtning. I augusti 2009 antog kommissio­ den inom särskilda IKT-områden där de särskilda risker nen sitt meddelande Europeisk rapport om digital konkurrens­ för data- och integritetsskyddet som uppstår kan reduceras kraft ( 3 ) och inledde ett offentligt samråd om lämpliga genom lämplig teknisk arkitektur och design. Det rör sig framtida strategier för att främja IKT. Den 7 december om följande områden: RFID (Radio Frequency Identifica­ 2009 lade rådet fram ett bidrag till detta tion), mötesplatser på nätet och tillämpningar via webb­ samråd genom sina slutsatser: Post i2010-strategin – Mot läsare. Slutligen lägger yttrandet fram förslag på andra ett öppet, grönt och konkurrenskraftigt verktyg och principer som syftar till att skydda enskilda kunskapssamhälle ( 4 ). Europaparlamentet har nyligen personers integritets- och dataskydd inom IKT-sektorn. ( 2 ) Yttrande av den 25 juli 2007 om meddelandet från kommissionen till Europaparlamentet och rådet om uppföljningen av arbetspro­ grammet för ett bättre genomförande av dataskyddsdirektivet, EUT C 255, 27.10.2007, s. 1. Yttrande av den 20 december 2007 kom­ missionens meddelande till Europaparlamentet, rådet, Europeiska ekonomiska och sociala kommittén och Regionkommittén om Ra­ diofrekvensidentifiering (RFID) i Europa: på väg mot en strategi, (KOM(2007) 96), EUT C 101, 23.4.2008, s. 1. Yttrande av den 10 april 2008 om förslaget till Europaparlamentets och rådets di­ 7. Genom att ta upp dessa frågor behandlar datatillsynsman­ rektiv om ändring av bland annat direktiv 2002/58/EG om behand­ nen i detta yttrande några av de åsikter som artikel 29- ling av personuppgifter och integritetsskydd inom sektorn för elek­ arbetsgruppen lagt fram i sitt bidrag till det offentliga tronisk kommunikation (direktiv om integritet och elektronisk kom­ samrådet om det framtida integritetsskyddet ( 1 ). Yttrandet munikation), EUT C 181, 18.7.2008, s. 1. Andra yttrandet av den bygger även på tidigare yttranden från datatillsynsmannen, 9 januari 2009 om översynen av direktiv 2002/58/EG om behand­ ling av personuppgifter och integritetsskydd inom sektorn för elek­ t.ex. yttrandet av den 25 juli 2007 om genomförandet av tronisk kommunikation. ( 3 ) Europeisk rapport om digital konkurrenskraft – De största landvin­ ( 1 ) Artikel 29-arbetsgruppens yttrande 168 om ”The Future of Privacy, ningarna för strategin i2010 under 2005–2009, (SEC (2009) 1060). Joint contribution to the Consultation of the European Commission ( 4 ) Rådets slutsatser: Post i2010-strategin – Mot ett öppet, grönt och on the legal framework for the fundamental right to protection of konkurrenskraftigt kunskapssamhälle, (17107/09), antagna den personal data”, antaget den 1 december 2009. 18.12.2009. 16.10.2010 Europeiska SV unionens officiella tidning C 280/3 antagit ett betänkande som syftar till att ge kommissionen 15. För att sammanfatta är det sannolikt att det alltid kommer vägledning för att definiera en digital agenda ( 1 ). att finnas en viss kvarstående risk, även efter korrekta bedömningar och tillämpning av nödvändiga åtgärder. Samtidigt som det skulle vara orealistiskt att förvänta sig en helt riskfri situation kan och måste emellertid åtgärder vidtas för att minska sådana risker till lämpliga nivåer (se 11. Vid sidan av de möjligheter och fördelar som utvecklingen nedan). av IKT för med sig skapas även nya risker, särskilt med avseende på den personliga integriteten och skyddet av enskilda personers personuppgifter. IKT leder ofta till att den mängd information som samlas in, sorteras, filtreras, III. ”PRIVACY BY DESIGN” SOM ETT AVGÖRANDE överförs eller på annat sätt behålls sprids (ofta på sätt som enskilda personer inte är medvetna om), vilket innebär att de risker som är förknippade med detta ökar.

16. Frukterna av de potentiella fördelarna med IKT kan endast skördas om denna teknik kan skapa ett förtroende, dvs. om den kan få användarna att vilja utnyttja IKT till följd av denna tekniks egenskaper och fördelar. Ett sådant för­ 12. Ett exempel på detta är de RFID-taggar som nu ersätter troende kommer endast att kunna vinnas om infor­ streckkoder på (vissa) konsumentprodukter. Genom att mations- och kommunikationstekniken är tillförlitlig och förbättra informationsflödet i försörjningskedjan (och däri­ säker, om enskilda personer har kontroll över den och om genom kunna minska behovet av ”säkerhets”-lager, tillhan­ skyddet av individernas personuppgifter och integritet ga­ dahålla mer korrekta prognoser etc.) förväntas det nya ranteras. systemet gynna både företagen och konsumenterna. Sam­ tidigt ökar detta emellertid på ett oroväckande sätt möj­ ligheten att spåra enskilda personer, av olika skäl och av olika enheter, genom taggade personliga ägodelar. 17. Sådana omfattande risker och misslyckanden som de som beskrivits ovan kommer, särskilt om de inbegriper miss­ bruk av personuppgifter eller överträdelser av personupp­ giftsbestämmelser som exponerar enskilda personers pri­ 13. Ett annat exempel är ”cloud computing” (s.k. datormoln), vatliv, sannolikt att äventyra användarnas förtroende för vilket i stort sett går ut på att tillhandahålla webbapplika­ informationssamhället. Detta skulle allvarligt kunna skada tioner till privatpersoner och företag över Internet. Det utvecklingen av och fördelarna med IKT. kan röra sig om allt från fotobibliotek, kalendrar, webb­ mail och kunddatabaser till mer komplexa företagstjänster. Fördelarna för både företag och privatpersoner är tydliga: kostnadsreducering (inkrementella kostnader), platsobero­ ende åtkomlighet (enkelt tillgång till information var som 18. Att eliminera dessa risker med avseende på data- och helst i världen), automation (inget behov av särskilda IT- integritetsskyddet genom att undanröja, exkludera eller resurser eller av uppdateringar av programvara) etc. Sam­ vägra att använda eller främja IKT är dock inte ett alter­ tidigt föreligger mycket konkreta risker för säkerhetsglapp nativ. Det skulle varken vara genomförbart eller realistiskt och hacking. Det finns också en oro för att man ska och hindra enskilda personer från att dra nytta av för­ förlora tillgången till och kontrollen över sina egna data. delarna med IKT samt allvarligt begränsa de övergripande fördelarna med denna teknik.

14. Fördelar och risker har visat sig samexistera inom andra områden där man använder sig av IKT-tillämpningar. Ta 19. Europeiska datatillsynsmannen anser att en mer positiv till exempel e-hälsovård, som kan förbättra effektiviteten, lösning är att utforma och utveckla IKT på ett sätt som sänka kostnaderna, öka tillgängligheten och allmänt för­ respekterar data- och integritetsskyddet. Det är därför av bättra kvaliteten på hälsovårdstjänster. E-hälsovård ger allra största vikt att detta skydd finns med under tek­ emellertid också upphov till frågan om legitimiteten hos nikens hela livscykel, från utformningsstadiet fram till sekundär användning av hälsouppgifter, vilket kräver en dess att den slutligen tas i bruk och så småningom skro­ ingående analys av syftena med eventuell sekundär an­ tas. Detta kallas normalt ”privacy by design” och diskute­ vändning ( 2 ). Eftersom elektroniska patientjournalen nu ras vidare nedan. används i allt större utsträckning har systemen själva drab­ bats av skandaler där man i flera fall avslöjat hackers som olagligt tagit sig in i elektroniska patientjournaler. 20. ”Privacy by design” kan inbegripa flera olika åtgärder, be­ ( 1 ) Betänkande om fastställandet av en ny digital agenda för Europa: roende på det särskilda fallet eller tillämpningen. I vissa från i2010 till digital.eu (2009/2225 (INI)), antaget den 18.3.2010. fall kan det till exempel krävas att personuppgifter tas ( 2 ) Försäljning eller användning av hälsouppgifter som samlats in i syfte bort/reduceras eller att onödig och/eller oönskad behand­ att behandla en patient får exempelvis inte användas för att välja ling av personuppgifter förhindras. I andra fall kan ”pri­ platser för satellitkliniker, att etablera ambulerande kirurgi, och på andra sätt planera framtida aktiviteter med finansiella konsekvenser vacy by design” innebära att man tillhandahåller verktyg skulle kräva noggrann granskning. som ökar användarnas kontroll över sina personuppgifter. C 280/4 SV Europeiska unionens officiella tidning 16.10.2010 Sådana åtgärder skulle kunna övervägas vid definitionen III.2 Otillräckligt utnyttjande av IKT som tillämpar av standarder och/eller bästa metoder. De skulle också ”privacy by design” kunna införlivas i informations- och kommunikations­ systemens arkitektur, eller i de strukturella organisatio­ 24. En viktig fråga är huruvida ekonomiska aktörer, tillver­ nerna hos de enheter som behandlar personuppgifter. kare/tillhandahållare av IKT och registeransvariga har ett intresse av att marknadsföra och genomföra principen om ”privacy by design” inom IKT. I detta sammanhang är det också viktigt att bedöma användarnas behov av ”privacy by design”. III.1 Tillämpning av principen om ”privacy by de­ sign” inom olika IKT-områden och effekten av detta

25. Under 2007 utfärdade kommissionen ett meddelande i 21. Det finns ett behov av principen om ”privacy by design” vilket den uppmanade företag att använda sin förmåga inom en rad olika IKT-områden. Inom till exempel hälsotill innovation för att utveckla och genomföra integra­ och sjukvårdssektorn används i allt högre grad IKT-infra­ tionsfrämjande teknik för att förbättra data- och integri­ strukturer som ofta inbegriper en centraliserad lagring av tetsskyddet redan från början av utvecklingscykeln ( 2 ). patientjournaler. En tillämpning av principen om ”privacy by design” inom hälso- och sjukvårdssektorn skulle kräva en bedömning av olika åtgärders lämplighet, t.ex. möjlig­ heten att minimera data som lagras centralt eller en be­ gränsning av sådana data till ett index, användning av krypteringsverktyg, att endast ge de som absolut behöver 26. Hittills har emellertid tillgängliga uppgifter visat att varken det tillträdesrätt, en anonymisering av data när de inte IKT-tillverkare eller registeransvariga (varken inom den längre behövs etc. privata eller offentliga sektorn) konsekvent har lyckats genomföra eller marknadsföra principen om ”privacy by design”. Man har lagt fram olika skäl till detta, bland annat bristen på ekonomiska incitament och institutionellt stöd, otillräcklig efterfrågan etc ( 3 ).

22. Inom transportsektorn förses transportsystem allt oftare automatiskt med avancerade IKT-tillämpningar som inte­ ragerar med fordonet och dess miljö för olika syften och 27. Samtidigt har användarna ställt relativt låga krav på ”pri­ funktioner. Bilar utrustas till exempel i allt högre grad vacy by design”. Användare av IKT-produkter och IKTmed nya IKT-funktioner (GPS, GSM, nätverk av sensorer tjänster kanske med rätta tar för givet att deras personliga etc.) som inte bara visar var fordonet befinner sig utan integritet och personuppgifter är skyddade fastän det i även dess tekniska förhållanden i realtid. Denna infor­ flera fall inte är på det viset. I vissa fall har användarna mation skulle kunna användas för att exempelvis ersätta helt enkelt inte möjlighet att vidta de säkerhetsåtgärder befintliga vägskattesystem med vägavgifter som är kopp­ som är nödvändiga för att skydda sina egna eller andras lade till utnyttjandet av olika vägar. Att tillämpa principen personuppgifter. I flera fall beror detta på att de inte helt om ”privacy by design” vid utformningen av arkitekturen eller ens delvis känner till riskerna. Ungdomar bryr sig för sådana system skulle innebära att så få personuppgifter exempelvis i allmänhet inte om de risker för den person­ som möjligt behandlades och skickades vidare ( 1 ). I enlig­ liga integriteten som är förknippade med att lägga ut het med denna princip skulle en decentraliserad eller del­ personuppgifter på nätet och struntar ofta i sekretess­ vis decentraliserad systemarkitektur som begränsar sprid­ inställningarna. Andra användare kanske är medvetna ning av lokaliseringsuppgifter till en central punkt vara att om riskerna men har inte den tekniska kunskap som föredra framför en centraliserad systemarkitektur. krävs för att kunna tillämpa den säkerhetsteknik som finns tillgänglig, t.ex. teknik som skyddar deras internet­ anslutning eller som används för att ändra inställningarna i webbläsaren i syfte att minimera användarprofilering som grundas på övervakning av deras internetsurfande.

23. Av ovan nämnda exempel framgår att när informationsoch kommunikationsteknik bygger på principen om ”pri­ vacy by design” är det möjligt att kraftigt minska riskerna 28. Riskerna i fråga om data- och integritetsskyddet är emel­ med avseende på data- och integritetsskyddet. lertid ofta mycket påtagliga. Om detta skydd inte beaktas från första början är det ofta för sent och allt för ekono­ ( 1 ) Se yttrande från Europeiska datatillsynsmannen av den 22 juli 2009 miskt betungande att fixa systemen, och ofta för sent att om kommissionens meddelande om en handlingsplan för införande av intelligenta transportssystem i EU och det åtföljande förslaget till Europaparlamentets och rådets direktiv om en ram för införande av ( 2 ) Meddelande från kommissionen till Europaparlamentet och rådet om intelligenta transportsystem på vägtransportområdet och för gräns­ främjande av dataskydd genom integritetsfrämjande teknik, snitt mot andra transportsätt, tillgänglig på: http://www.edps.europa. KOM(2007) 228 slutlig, 2.5.2007. eu/EDPSWEB/webdav/site/mySite/shared/Documents/Consultation/ ( 3 ) ”Study on the economic benefits of privacy enhancing technologies Opinions/2009/09-07-22_Intelligent_Transport_Systems_EN.pdf (PETS)”, jls/2008/D4/036. 16.10.2010 Europeiska SV unionens officiella tidning C 280/5 reparera den skada som redan skett. Det ökade antalet 33. Det befintliga dataskyddsdirektivet innehåller inte något dataintrång på senare tid visar tydligt på detta problem uttryckligt krav på ”privacy by design”. Däremot innehåller och understryker behovet av ”privacy by design”. det bestämmelser som indirekt, i olika situationer, mycket väl skulle kunna kräva genomförandet av principen om ”privacy by design”. Enligt artikel 17 krävs bland annat att registeransvariga ska genomföra lämpliga tekniska och or­ 29. Av ovan framgår tydligt att tillverkare och tillhandahållare ganisatoriska åtgärder för att förhindra otillåten behand­ av informations- och kommunikationsteknik som syftar ling av uppgifter ( 5 ). ”Privacy by design” täcks följaktligen till att behandla personuppgifter bör, tillsammans med på ett mycket allmänt sätt. Dessutom riktar sig bestäm­ registeransvariga, ha ett ansvar att utforma denna teknik melserna i direktivet främst till registeransvariga och det med inbyggda skyddsåtgärder för data- och integritets­ sätt på vilket de behandlar personuppgifter. Bestämmel­ skyddet. I flera fall skulle detta innebära att denna teknik serna kräver inte uttryckligen att data- och integritetsskyd­ redan från början utformas med förvalda inställningar för det måste byggas in i informations- och kommunikations­ sekretess. tekniken – detta skulle kräva att de även riktar sig till utvecklare och tillverkare av IKT, inbegripet de verksam­ heter som utförs under standardiseringsfasen.

30. Mot denna bakgrund måste vi överväga vilka åtgärder beslutsfattarna bör vidta för att främja ”privacy by design” i utvecklingen av IKT. En första fråga är huruvida den befintliga rättsliga ramen för dataskyddet innehåller till­ räckliga bestämmelser för att säkerställa att både register­ 34. Direktivet om integritet och elektronisk kommunikation ansvariga och tillverkare/utvecklare genomför principen är mer utförligt. I artikel 14.3 föreskrivs följande: ”När så om ”privacy by design”. En andra fråga man måste ställa krävs får åtgärder vidtas för att säkerställa att terminal­ sig är vad som bör göras inom ramen för den digitala utrustning är konstruerad så att den är förenlig med an­ dagordningen för Europa för att se till att IKT-sektorn vändarnas rätt till skydd och kontroll av sina personupp­ skapar förtroende hos konsumenterna. gifter i enlighet med direktiv 1999/5/EG och rådets beslut 87/95/EEG av den 22 december 1986 om standardisering inom området informationsteknologi och telekommunika­ tion.” Denna bestämmelse har emellertid aldrig använts ( 6 ). IV. ATT INFÖRLIVA PRINCIPEN OM ”PRIVACY BY DE­ IV.1 Den befintliga rättsliga ramen för data- och in­ tegritetsskyddet

35. Även om de ovan nämnda bestämmelserna i de två di­ 31. EU har ett starkt ramverk för data- och integritetsskyddet rektiven bidrar till att främja ”privacy by design”, har de i som fastställs i direktiv 95/46/EG ( 1 ), direktiv praktiken inte varit tillräckliga för att säkerställa att skydds­ 2002/58/EG ( 2 ) samt i rättspraxis från Europeiska dom­ mekanismer för den personliga integriteten byggs in i IKT. stolen för de mänskliga rättigheterna ( 3 ) och EG-domsto­ len.

32. Dataskyddsdirektivet är tillämpligt på ”åtgärd eller serie av 36. Lagen kräver alltså inte på ett tillräckligt klart sätt att IKT åtgärder som vidtas beträffande personuppgifter” (insam­ utformas i enlighet med principen om ”privacy by design”. ling, lagring, utlämnande etc.). I direktivet föreskrivs att de Dessutom har dataskyddsmyndigheter inte tillräckliga be­ som behandlar personuppgifter (”registeransvariga”) måste fogenheter för att säkerställa ett införlivande av principen iaktta vissa principer och skyldigheter. Vidare fastställs om ”privacy by design”. Detta leder till ineffektivitet. Da­ enskilda personers rättigheter, t.ex. rätten att få tillgång taskyddsmyndigheter skulle exempelvis kunna införa på­ till sina egna personuppgifter. Direktivet om integritet följder i fall där förfrågningar om tillgång från enskilda och elektronisk kommunikation behandlar särskilt integ­ personer inte besvaras och har befogenhet att kräva att ritetsskyddet inom sektorn för elektronisk kommunika­ tion ( 4 ). ( 5 ) Artikel 17 lyder enligt följande: ”Medlemsstaterna skall föreskriva att den registeransvarige skall genomföra lämpliga tekniska och organi­ ( 1 ) Europaparlamentets och rådets direktiv 95/46/EG (dataskyddsdirek­ satoriska åtgärder för att skydda personuppgifter från förstöring tivet). genom olyckshändelse eller otillåtna handlingar eller förlust genom ( 2 ) Europaparlamentets och rådets direktiv 2002/58/EG (direktivet om olyckshändelse samt mot ändringar, otillåten spridning av eller otill­ e-integritet). låten tillgång till uppgifterna, särskilt om behandlingen innefattar ( 3 ) Tolkning av de viktigaste delarna och villkoren i artikel 8 i Europe­ överföring av uppgifter i ett nätverk, och mot varje annat slag av iska konventionen om skydd för de mänskliga rättigheterna och de otillåten behandling.” Detta kompletteras med skäl 46: ”Skyddet för grundläggande friheterna, antagen i Rom den 4 november 1950, i de registrerades fri- och rättigheter förutsätter så vitt avser behand­ deras olika tillämpningar. ling av personuppgifter att lämpliga tekniska och organisatoriska ( 4 ) Lissabonfördraget har förstärkt detta skydd genom att erkänna re­ åtgärder vidtas både när systemet för behandlingen utformas och spekten för privatlivet och skyddet av personuppgifter som separata när själva behandlingen sker, särskilt för att garantera säkerheten grundläggande rättigheter i artiklarna 7 och 8 i EU:s stadga om de och för att på så sätt hindra all otillåten behandling.” grundläggande rättigheterna som blev bindande när Lissabonfördra­ ( 6 ) Kommissionen har meddelat sin avsikt att uppdatera direktiv get trädde i kraft. 1999/5/EG i slutet av 2010. C 280/6 SV Europeiska unionens officiella tidning 16.10.2010 vissa åtgärder vidtas för att förhindra otillåten behandling d) Att införa ”privacy by design” som en princip i andra av uppgifter. Det står emellertid inte alltid klart om deras EU-initiativ (främst icke lagstiftande). befogenheter sträcker sig så långt som till att kräva att ett system utformas på ett sätt som främjar enskilda perso­ ners personuppgiftsskydd ( 1 ). Av de befintliga rättsliga be­ stämmelserna framgår till exempel inte om man har rätt att kräva att en informationssystemarkitektur utformas på ett sätt som gör det enklare för företag att besvara förfråg­ En allmän bestämmelse om ”privacy by design” ningar om tillgång från enskilda personer så att sådana förfrågningar kan hanteras automatiskt och snabbare. Des­ 39. Europeiska datatillsynsmannen föreslår att principen om sutom kan senare försök att ändra tekniken när den väl ”privacy by design” uttryckligen och entydigt inkluderas i har utvecklats eller satts i bruk leda till ett lapptäcke av den befintliga rättsliga ramen för dataskydd. Detta skulle lösningar som inte fungerar fullt ut, och dessutom vara förstärka denna princip, göra den mer uttrycklig och ekonomiskt betungande. tvinga fram ett effektivt genomförande av den, samtidigt som det ger tillsynsmyndigheterna ökade befogenheter att kräva att den faktiskt tillämpas i praktiken. Detta är fram­ för allt nödvändigt mot bakgrund av det som angivits ovan, inte bara eftersom principen i sig är ett viktigt verktyg för att främja ett förtroende, utan även som ett 37. Enligt Europeiska datatillsynsmannens åsikt, som delas av incitament för berörda aktörer att genomföra ”privacy by artikel 29-arbetsgruppen ( 2 ), finns det utrymme i den gäl­ design” och stärka de garantier som föreskrivs i den be­ lande rättsliga ramen för ett mer uttryckligt godkännande fintliga rättsliga ramen. av principen om ”privacy by design”.

40. Detta förslag bygger på artikel 29-arbetsgruppens rekom­ IV.2 Att införliva ”privacy by design” på olika nivåer mendation att införa principen om ”privacy by design” som en allmän princip i den rättsliga ramen för datas­ 38. Mot bakgrund av ovanstående rekommenderar Europeiska kydd, däribland dataskyddsdirektivet. Enligt artikel 29-ar­ datatillsynsmannen att kommissionen följer fyra hand­ betsgruppen bör denna princip vara bindande för teknik­ lingslinjer: utvecklare och tillverkare samt för registeransvariga som ska besluta om förvärv och användning av IKT. De bör åläggas att ta hänsyn till tekniken för dataskydd redan vid planeringsstadiet för informationstekniska förfaranden och system. Tillhandahållare av sådana system eller tjänster samt registeransvariga bör kunna visa att de har vidtagit a) Att lägga fram ett förslag som inkluderar en allmän alla åtgärder som krävs för att iaktta dessa krav. bestämmelse om ”privacy by design” i den rättsliga ramen för dataskydd.

41. Europeiska datatillsynsmannen välkomnar vidare kommis­ sionsledamot Viviane Redings stöd för principen om ”pri­ b) Att vidareutveckla denna allmänna bestämmelse i sär­ vacy by design”, som hon gav uttryck för i samband med skilda bestämmelser i samband med att förslag till sär­ meddelandet om granskningen av dataskyddsdirektivet ( 3 ). skilda rättsliga instrument för olika sektorer läggs fram. Dessa särskilda bestämmelser skulle redan nu kunna inkluderas i rättsliga instrument, på grundval av artikel 17 i dataskyddsdirektivet (och annan befintlig lagstiftning). 42. Vad gäller innehållet i en sådan reglering är det första och viktigaste att en allmän princip om ”privacy by design” är teknikneutral. Principen bör inte ha för avsikt att reglera tekniken och bör alltså inte föreskriva särskilda tekniska lösningar utan i stället att befintliga principer för integri­ c) Att inkludera ”privacy by design” som en vägledande tets- och dataskyddet ska integreras i informations- och princip i den digitala dagordningen för Europa. ( 3 ) ” ’Privacy by design’ är en princip som ligger i både medborgarnas ( 1 ) Se den brittiska informationskommissionärens rapport Privacy by och företagens intresse. ’Privacy by design’ kommer att leda till ett Design, publicerad i november 2008. bättre skydd för enskilda personer, samt till ett förtroende för och en ( 2 ) Se artikel 29-gruppens yttrande om ”The Future of Privacy: Joint tillit till nya tjänster och produkter, vilket i sin tur kommer att ha en contribution to the Consultation of the European Commission on positiv inverkan på ekonomin. Det finns flera uppmuntrande exem­ the legal framework for the fundamental right to protection of pel, men fortfarande återstår mycket arbete.” Huvudtal vid datas­ personal data”, antaget den 1 december 2009. kyddsdagen den 28 januari 2010, Europaparlamentet, Bryssel. 16.10.2010 Europeiska SV unionens officiella tidning C 280/7 kommunikationssystem och lösningar. Detta skulle göra ”Privacy by design” som en vägledande princip i den digitala det möjligt för berörda parter, tillverkare, registeransvariga dagordningen för Europa och dataskyddsmyndigheter att i varje enskilt fall tolka innebörden i principen. För det andra skulle ett iaktta­ 46. Informations- och kommunikationstekniken blir alltmer gande av principen vara obligatoriskt i alla steg, från ut­ komplex och medför allt större risker för data- och in­ formningen av standarder och arkitektur till dess att de tegritetsskyddet. Rent generellt är digitaliserad infor­ genomförs av registeransvariga. mation, som är lättare att få tillgång till, kopiera och överföra, exponerad för mycket högre risker än pappers­ baserad information. I takt med att utvecklingen går mot nät av sammankopplade ting kommer riskerna att öka. Ju större riskerna för data- och integritetsskyddet är, desto större kommer efterfrågan på förbättrade säkerhets­ Bestämmelser i särskilda rättsinstrument mekanismer för data- och integritetsskyddet att bli. Det berättigade behovet att genomföra ”privacy by design” är 43. Befintliga och framtida lagstiftningsinstrument måste inte­ följaktligen mer påtagligt inom IKT-sektorn. Dessutom, grera principen om ”privacy by design” på grundval av vilket diskuteras ovan, är enskilda personers förtroende den befintliga rättsliga ramen och, efter antagandet av för IKT avgörande för att medborgarna ska acceptera den ovan föreslagna allmänna bestämmelsen, på grundval dessa nya tjänster, och data- och integritetsskyddet är nyc­ av den bestämmelsen. Enligt exempelvis de befintliga ini­ kelfaktorer för ett sådant förtroende. tiativen rörande intelligenta transportsystem kommer kommissionen inledningsvis att ha ett särskilt ansvar vid fastställandet av åtgärder, standardiseringsinitiativ, för­ faranden och bästa metoder. ”Privacy by design” bör vara en vägledande princip vid utförandet av dessa upp­ gifter. 47. En utvecklingsstrategi för IKT måste följaktligen bekräfta behovet att utforma denna teknik med inbyggda meka­ nismer för data- och integritetsskydd, dvs. med hänsyn till principen om ”privacy by design”.

44. Europeiska datatillsynsmannen konstaterar vidare att prin­ cipen om ”privacy by design” även har stor betydelse inom området med frihet, säkerhet och rättvisa, särskilt i förhållande till målen i strategin för informationshante­ 48. Den digitala dagordningen för Europa bör följaktligen ut­ ring, enligt vad som förutses i Stockholmsprogrammet ( 1 ). tryckligen stödja principen om ”privacy by design” som ett I sitt yttrande om Stockholmsprogrammet underströk da­ nödvändigt inslag för att säkerställa medborgarnas förtro­ tatillsynsmannen att strukturen för informationsutbytet ende för IKT och onlinetjänster. Den bör erkänna att bör grundas på ”privacy by design” ( 2 ). ”Mer konkret in­ personlig integritet och förtroende går hand i hand, och nebär detta att informationssystem som utformas för att att ”privacy by design” bör vara en vägledande faktor vid tillgodose allmänna säkerhetsbehov alltid ska utformas i utvecklingen av en förtroendeingivande IKT-sektor. enlighet med principen om ’privacy by design’ ”. ”Privacy by design” som en princip i andra EU-initiativ

45. I artikel 29-arbetsgruppens yttrande om det framtida in­ 3 ) förespråkas mer explicit att inom om 49. ”Privacy by design” bör vara en vägledande princip när tegritetsskyddet ( ­ kommissionen genomför politik, åtgärder och initiativ rådet med frihet, säkerhet och rättvisa – där myndighe­ terna är huvudaktörer och där åtgärder som ökar över­ inom särskilda IKT-sektorer, inklusive e-hälsovård, e-upp­ vakningen direkt påverkar den grundläggande rätten till handling, e-socialförsäkring, e-lärande etc. Många av dessa data- och integritetsskydd – bör krav på inbyggda skydds­ initiativ kommer att ingå som åtgärdspunkter i den digi­ mekanismer för personlig integritet göras obligatoriska. tala dagordningen för Europa. Genom att införa dessa krav i informationssystem skulle regeringarna dessutom stimulera ”privacy by design” i egenskap av pilotkunder. C 280/8 SV Europeiska unionens officiella tidning 16.10.2010

51. Detta omfattar även områden där kommissionen ansvarar följa människors rörelser och att lägga upp profiler över för de storskaliga IT-systemen, t.ex. SIS och VIS, samt de deras beteenden för olika syften. Detta kan ske utan att fall där kommissionens ansvar är begränsat till utveck­ den enskilda personen vet om det ( 1 ). lingen och underhållet av den gemensamma infrastruk­ turen för sådana system, t.ex. Europeiska informations­ systemet för utbyte av uppgifter ur kriminalregister (Ecris).

57. Ett effektivt skydd av personuppgifter, privatlivet och de därmed förbundna etiska aspekterna är avgörande för all­ mänhetens godtagande av radiofrekvensidentifiering och 52. Exakt hur principen om ”privacy by design” kommer att det framtida ”sakernas Internet”. Endast då kan tekniken utvecklas kommer att vara beroende av varje enskild sek­ leverera sina många ekonomiska och samhälleliga fördelar. tor och situation. När exempelvis kommissionens initiativ åtföljs av lagstiftningsförslag för en särskilt IKT-sektor, kommer det i flera fall att vara lämpligt att inkludera en uttrycklig hänvisning till den definition av ”privacy by design” som är tillämplig för den särskilda IKT-tillämp­ V.1 Bristerna i den tillämpliga rättsliga ramen för ningen/-systemet. Om åtgärdsplaner för ett särskilt om­ uppgiftsskydd råde utformas bör de systematiskt säkerställa tillämp­ ningen av den rättsliga ramen och närmare bestämt ga­ 58. Dataskyddsdirektivet och direktivet om e-integritet är till­ rantera att den relevanta IKT-tekniken utvecklas med hän­ lämpliga på insamlingen av data genom RFID-tillämp­ syn till ”privacy by design”. ningar ( 2 ). I dessa direktiv föreskrivs bland annat att till­ räckliga säkerhetsåtgärder för att skydda den personliga integriteten ska införas för att driva RFID-tillämpningar ( 3 ).

53. När det gäller forskning bör det sjunde ramprogrammet och de följande programmen användas som verktyg för att stödja projekt som syftar till att analysera standarder, 59. Denna rättsliga ram behandlar emellertid inte fullt ut alla IKT-teknik och IKT-arkitektur som bättre tjänar integrite­ de frågor avseende data- och integritetsskyddet som denna ten och särskilt principen om ”privacy by design”. Des­ teknik ger upphov till. Detta beror på att direktiven inte är sutom bör ”privacy by design” även vara ett nödvändigt tillräckligt detaljerade när det gäller den typ av säkerhets­ inslag att överväga i bredare IKT-projekt som syftar till att skydd som bör genomföras i RFID-tillämpningar. Det är behandla enskilda personers personuppgifter. nödvändigt att komplettera de befintliga reglerna med nya 16.10.2010 Europeiska SV unionens officiella tidning C 280/9 som föreskriver särskilda säkerhetsskydd, och framför allt RFID-tillämpningar kan känna sig frestade att i alltför stor då att göra det obligatoriskt att bygga in tekniska lös­ utsträckning förlita sig på undantaget och därmed lämna ningar (”privacy by design”) i RFID-teknik. Detta gäller taggen operativ efter försäljningstillfället. för taggar som lagrar personuppgifter, som bör förses med ett avaktiveringskommando (ett s.k. kill command), samt användning av kryptografi i taggar som lagrar vissa 64. Om detta sker kanske det är för sent att minska riskerna typer av personuppgifter. för enskilda personers data- och integritetsskydd, som vid detta skede kanske redan har påverkats. Med tanke på självregleringens karaktär kanske dessutom nationella till­ V.2 Självreglering som ett första steg synsmyndigheter har en svagare ställning i fråga om att ställa krav på att operatörer av RFID-tillämpningar till­ 60. I mars 2007 antog kommissionen ett meddelande ( 1 ) i lämpar särskilda åtgärder för ”privacy by design”. vilket den bland annat erkände att det kunde bli nödvän­ digt att ge detaljerade riktlinjer för den praktiska tillämp­ ningen av RFID samt att det var önskvärt att anta kon­ struktionskriterier för att förhindra risker för privatlivet 65. Europeiska datatillsynsmannen uppmanar därför kommis­ och säkerheten. sionen att, om ett effektivt genomförande av den gällande rättsliga ramen misslyckas, vara beredd att lägga fram förslag till lagstiftning som reglerar huvudfrågorna för 61. För att uppnå dessa mål antog kommissionen i maj 2009 användningen av RFID-tekniken. Kommissionens bedöm­ en rekommendation om genomförandet av principerna ning bör genomföras utan oskäligt dröjsmål. En senare­ om integritets- och dataskyddet i tillämpningar som stöds läggning skulle utsätta enskilda personer för risk och även av radiofrekvensidentifiering (RFID) ( 2 ). När det gäller vara kontraproduktivt för branschen eftersom rättsosäker­ RFID-tillämpningar som används i detaljhandeln måste heten är alltför hög och det sannolikt kommer att vara taggar avaktiveras vid försäljningsstället om inte kon­ svårare och dyrare att korrigera djupt rotade problem. sumenten gett sitt samtycke. Detta gäller emellertid inte om man i konsekvensanalysen avseende data- och integ­ ritetsskyddet drar slutsatsen att taggarna inte utgör ett 66. Inom ramen för de åtgärdsförslag som kanske visar sig bli sannolikt hot mot skyddet av privatlivet eller personupp­ nödvändiga rekommenderar Europeiska datatillsynsman­ gifter, i vilket fall de fortsätter att vara operativa efter nen att man inför principen om frivilligt deltagande vid försäljningstillfället såvida inte konsumenten väljer att tag­ försäljningsstället, vilket innebär att alla RFID-taggar på gen ska avaktiveras utan kostnad. konsumentprodukter automatiskt avaktiveras vid kassan. Det kanske inte skulle vara nödvändigt för kommissionen att specificera den konkreta teknik som skulle användas 62. Europeiska datatillsynsmannen stöder kommissionens för detta. I stället måste EU-lagstiftningen fastställa en strategi att använda självreglerande instrument. Som ytter­ rättslig skyldighet att erhålla frivilligt deltagande, och ligare redogörs för nedan är det emellertid möjligt att de låta operatörerna besluta hur detta krav ska mötas. förväntade resultaten inte kommer att kunna uppnås ge­ nom självreglering, och datatillsynsmannen uppmanar därför kommissionen att vara beredd att vidta alternativa åtgärder. V.4 Ytterligare frågor som bör övervägas: Reglering av ”sakernas Internet”

67. Information som produceras av RFID-taggar – exempelvis V.3 Områden av särskild vikt och eventuella ytterli­ produktinformation – kan så småningom eventuellt sam­ gare åtgärder om självreglering inte fungerar mankopplas till ett globalt nätverk av kommunikations­ 63. Europeiska datatillsynsmannen är bekymrad över att or­ infrastruktur. Detta kallas normalt ”sakernas Internet”. Frå­ ganisationer som driver RFID-tillämpningar inom detalj­ gorna avseende data- och integritetsskyddet uppstår efter­ handeln kanske överser med att RFID-taggar eventuellt som föremål i den verkliga världen kan identifieras genom kan övervakas av icke önskade tredje parter. En sådan RFID-taggar som utöver produktinformation även kan in­ övervakning kan avslöja personuppgifter som är lagrade nehålla personuppgifter. på taggen (om några), men även göra det möjligt för en tredje part att följa eller känna igen en person över tiden genom att helt enkelt använda den unika identifiering som 68. Det finns många öppna frågor om vem som kommer att finns i en eller flera taggar som den enskilda personen har hantera lagringen av information som rör taggade före­ på sig, i en miljö som kanske till och med ligger utanför mål. Hur kommer den att organiseras? Vem kommer att RFID-tillämpningens verksamhetsområde. Datatillsyns­ ha tillgång till denna information? I juni 2009 antog mannen hyser dessutom farhågor att operatörer av kommissionen ett meddelande om ”sakernas Internet” ( 3 ) som explicit identifierade de potentiella problem i fråga ( 1 ) Meddelande från kommissionen till Europaparlamentet, rådet, Euro­ om data- och integritetsskyddet som detta fenomen kan peiska ekonomiska och sociala kommittén och Regionkommittén – ge upphov till. Radiofrekvensidentifiering (RFID) i Europa: på väg mot en strategi, 15.3.2007, KOM(2007) 96 slutlig. ( 2 ) Kommissionens rekommendation av den 12.5.2009 om genom­ ( 3 ) Meddelande från kommissionen till Europaparlamentet, rådet, Euro­ förandet av principerna om integritets- och dataskydd i tillämp­ peiska ekonomiska och sociala kommittén samt Regionkommittén – ningar som stöds av radiofrekvensidentifiering (RFID), (C (2009) Sakernas Internet: en handlingsplan för Europa, 18.6.2009, KOM(2009) 3200 slutlig). 278 slutlig. C 280/10 SV Europeiska unionens officiella tidning 16.10.2010

69. Europeiska datatillsynsmannen vill belysa några av de frå­ kyddsdirektivet för de uppgifter de lägger ut ( 2 ). I de flesta gor som togs upp i detta meddelande och som enligt fall omfattas emellertid en sådan behandling av ”hushålls­ datatillsynsmannen måste ges stor uppmärksamhet i takt undantaget” enligt artikel 3.2 i direktivet. Samtidigt be­ med att ”sakernas Internet” utvecklas. För det första kan traktas leverantörer av sociala nätverkstjänster som regis­ behovet av decentraliserade strukturer underlätta ansvarig­ teransvariga i den mån de tillhandahåller möjligheter till het samt upprätthållande av EU:s rättsliga ram. För det behandling av användaruppgifter och alla grundläggande andra bör enskilda personers rättighet att inte bli spårade tjänster i anslutning till användarhantering (t.ex. registre­ upprätthållas i möjligaste mån. Det bör med andra ord ring och avslutande av konton). endast i begränsade fall vara möjligt att spåra människor genom RFID-taggar där de inte gett sitt medgivande. Ett sådant medgivande bör vara uttryckligt. Detta kallas nor­ malt ”taggens tystnad” och individens rätt om att bli läm­ nad ifred. Slutligen bör, vid utformning av ”sakernas In­ 74. I rättsligt hänseende innebär detta att Internetanvändare ternet”, principen om ”privacy by design” vara en vägle­ och sociala nätverkstjänster har ett gemensamt ansvar för dande princip. Detta skulle till exempel kräva att konkreta behandlingen av personuppgifter i egenskap av ”register­ RFID-tillämpningar med inbyggda mekanismer som ger ansvariga” i den mening som avses i artikel 2 d i direk­ användarna kontroll utformas med förvalda inställningar tivet, om än i olika omfattningar och utifrån olika skyl­ för sekretess. digheter.

70. Europeiska datatillsynsmannen förväntar sig att bli hörd i 75. Användare bör följaktligen vara medvetna om och förstå samband med att kommissionen vidtar de åtgärder som att när de behandlar sina egna och andras personuppgifter förutses i meddelandet, särskilt under utformningen av omfattas de av bestämmelserna i EU:s lagstiftning om meddelandet om personlig integritet och förtroende i dataskydd som bland annat föreskriver att man måste få det allmänt utbredda informationssamhället. ett informerat samtycke från de vars uppgifter läggs upp och ge berörda personer möjlighet att utöva sin rätt till rättelse och rätten att göra invändningar etc. På samma sätt måste sociala nätverkstjänster bland annat vidta lämp­ liga tekniska och organisatoriska åtgärder för att hindra VI. MÖTESPLATSER PÅ NÄTET OCH BEHOVET AV FÖR­ otillåten behandling, med hänsyn till de risker som be­ VALDA INSTÄLLNINGAR FÖR SEKRETESS handlingen innebär och uppgifternas art. Sociala nätverk­ stjänster bör därför tillhandahålla integritetsfrämjande 71. Mötesplatser på nätet är ”månadens smak” och verkar i standardinställningar, inbegripet inställningar som begrän­ dag vara populärare än e-post. De för samman människor sar åtkomsten till användarnas profilinnehåll till deras som delar liknande intressen och/eller aktiviteter. Männi­ egna självvalda kontakter. Inställningarna bör också kräva skor kan lägga upp sina profiler på webben och dela med användarens specifika samtycke innan något profilinnehåll sig av sådana mediafiler som videos, foton, musik samt görs tillgängligt för andra tredje parter, och profiler med yrkesprofiler. begränsad åtkomst bör inte kunna upptäckas av interna sökmotorer.

72. Ungdomar har snabbt tagit till sig mötesplatser på nätet – en trend som ökar. Den genomsnittliga åldern på Internet­ 76. Tyvärr finns det ett gap mellan de rättsliga kraven och hur användare i Europa har sjunkit de senaste åren: I dag de tillämpas i praktiken. Samtidigt som Internetanvändare kopplar 9–10-åringar upp sig på nätet flera gånger i vec­ i rättsligt hänseende betraktas som registeransvariga och kan och 12–14-åringar är ute på nätet varje dag, ofta i en är skyldiga att iaktta EU:s dataskyddsbestämmelser, är de i till tre timmar. verkligheten ofta omedvetna om detta. De förstår i all­ mänhet inte att de behandlar personuppgifter eller är medvetna om de risker för data- och integritetsskyddet som är förenade med att lägga ut sådana uppgifter. Sär­ skilt ungdomar som lägger ut innehåll på webben under­ skattar följderna av detta för sig själva och andra, till VI.1 Mötesplatser på nätet och den tillämpliga rätts­ exempel konsekvenserna av detta senare i livet vid inskriv­ liga ramen för data- och integritetsskyddet ning vid högre utbildning eller jobbansökningar. 73. Utvecklingen av mötesplatser på nätet har gjort det möj­ ligt för användare att lägga ut information om sig själva ( 2 ) I direktivet avses med ”registeransvarig: den fysiska eller juridiska och tredje parter på Internet. När de gör så agerar Inter­ person, den myndighet, den institution eller det andra organ som netanvändare enligt artikel 29-arbetsgruppen ( 1 ) som regis­ ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter. När ändamålen och teransvariga i den mening som avses i artikel 2 d i datas­ medlen för behandlingen bestäms av nationella lagar och andra författningar eller av gemenskapsrätten kan den registeransvarige ( 1 ) Se artikel 29-arbetsgruppens yttrande 163, 5/2009, om sociala nät­ eller de särskilda kriterierna för att utse honom anges i nationell verk på Internet, antaget den 12 juni 2009. rätt eller i gemenskapsrätten”. 16.10.2010 Europeiska SV unionens officiella tidning C 280/11

77. Samtidigt tillämpar tillhandahållare av mötesplatser på nä­ som kan indexera dem och därmed tillhandahålla direkta tet ofta förvalda inställningar för sekretess som grundas på länkar till uppgifterna. Å andra sidan kan uppgifterna s.k. opt-outs (dvs. att man själv måste ändra sina sek­ begränsas till ”självvalda vänner” eller hållas helt privata. retessinställningar), vilket underlättare utlämnandet av per­ Tillstånden för åtkomst till profiler och den terminologi sonuppgifter. Vissa förvalda inställningar för sekretess gör som används skiljer sig uppenbarligen från sajt till sajt. det möjligt för t.ex. sökmotorer att komma åt personliga profiler. Detta väcker frågor om huruvida enskilda perso­ ner verkligen har gett sitt samtycke till att uppgifterna lämnas ut, samt huruvida mötesplatser på nätet har ge­ 83. Som beskrivits ovan är det emellertid inte särskilt många nomfört bestämmelserna i artikel 17 i direktivet (beskrivet av de som använder sig av sociala nätverkstjänster som ovan) enligt vilka de ska genomföra lämpliga tekniska och vet hur de ska göra för att kontrollera åtkomsten till de organisatoriska åtgärder för att hindra otillåten behand­ uppgifter de lägger ut, och framför allt inte hur de ändrar ling. sekretessinställningarna. Dessa förblir ofta oförändrade ef­ tersom användarna inte är medvetna om konsekvenserna av att inte ändra dem eller kanske inte vet hur man gör. I de flesta fall innebär därför det faktum att inte sekretess­ VI.2 Risker med mötesplatser på nätet och förslag till inställningarna ändras inte att användarna har fattat ett åtgärder för att ta itu med dessa informerat beslut om att dela med sig av uppgifterna. I detta sammanhang är det mycket viktigt att sådana tredje 78. Det ovan beskrivna leder till ökad risk för enskilda per­ parter som sökmotorer inte länkar till enskilda personers soners data- och integritetsskydd. Det utsätter Internet­ profiler under antagandet att användarna automatiskt (ge­ användare och enskilda personer vars personuppgifter nom att inte ändra sekretessinställningarna) har samtyckt har lagts ut för uppenbar kränkning av deras data- och till att göra uppgifterna tillgängliga utan begränsningar. integritetsskydd.

79. Kommissionen bör därför fråga sig vad som kan och 84. Även om utbildning av användarna kan bidra till att ta itu måste göras för att ta itu med denna situation. Detta med denna situation, kommer detta i sig inte vara till­ yttrande ger inte något uttömmande svar på den frågan räckligt. Som rekommenderas av artikel 29-arbetsgruppen utan lägger fram några förslag för vidare övervägande. i yttrandet om mötesplatser på nätet bör sociala nätverk­ stjänster erbjuda integritetsfrämjande och kostnadsfria standardinställningar. Detta skulle göra användare mer medvetna om vad de gör, och göra det möjligt för dem Att investera i att ”utbilda” Internetanvändarna att fatta bättre beslut i fråga om huruvida de vill dela med 80. Det första förslaget går ut på att investera i ”utbildning” av sig av sina uppgifter och med vem. Internetanvändarna. I detta avseende bör EU:s institutioner samt nationella myndigheter investera i att utbilda använ­ darna och göra dem mer medvetna om de risker som är förenade med sociala nätverk på Internet. GD Infor­ Självregleringens roll mationssamhället har till exempel drivit programmet för 85. Kommissionen har undertecknat ett avtal med 20 företag ett säkrare Internet (”Safer Internet Programme”) som syf­ som tillhandahåller mötesplatser på nätet (”Principerna om tar till att skydda barn och ungdomar som använder In­ förbättrad säkerhet på mötesplatser på nätet”) ( 2 ). Syftet ternet genom bland annat projekt för att öka medveten­ 1 med avtalet är att förbättra säkerheten för minderåriga heten ( ). EU:s institutioner lanserade nyligen kampanjen när de använder mötesplatser på nätet i Europa. Dessa ”Think before you post” för att öka medvetenheten om principer inkluderar flera av de krav som härleds från till­ riskerna med att dela med sig av personuppgifter med lämpningen av den rättsliga ram för dataskydd som be­ främlingar. skrivs ovan, bland annat kravet att genom verktyg och teknik säkerställa att användarna kan kontrollera hur deras personuppgifter används och sprids. Det inbegriper också 81. Europeiska datatillsynsmannen uppmanar kommissionen behovet att tillhandahålla förvalda inställningar för sek­ att fortsätta att stödja denna typ av verksamhet. Tillhan­ retess. dahållare av mötesplatser på nätet bör emellertid även själva kunna spela en aktiv roll, eftersom de har ett rätts­ ligt och socialt ansvar att upplysa användarna om hur de ska använda deras tjänster på ett säkert och integritets­ 86. I början av januari 2010 offentliggjorde kommissionen främjande sätt. resultaten av detta i en rapport där genomförandet av principerna utvärderades ( 3 ). Europeiska datatillsynsman­ nen är bekymrad över att denna rapport visar att sam­ tidigt som vissa åtgärder har vidtagits, har flera andra inte 82. Automatisk åtkomst till uppgifter som läggs ut på mö­ tesplatser på nätet varierar alltså beroende på inställning­ ( 2 ) Principerna finns på http://ec.europa.eu/information_society/ arna för sekretess. Uppgifter kan till exempel göras till­ activities/social_networking/docs/sn_principles.pdf gängliga för allmänheten i stort, inklusive sökmotorer, ( 3 ) Se rapporten ”Evaluation of the Implementation of the Safer Social Networking Principles for the EU” på http://ec.europa.eu/ ( 1 ) Information om sådana program finns på http://ec.europa.eu/ information_society/activities/social_networking/docs/final_report/ information_society/activities/sip/index_en.htm first_part.pdf C 280/12 SV Europeiska unionens officiella tidning 16.10.2010 gjort det. Enligt rapporten förelåg till exempel problem b) Att säkerställa att profiler med begränsad åtkomst inte med avseende på kommunikationen om de säkerhets­ kan upptäckas av interna/externa sökmotorer. åtgärder och verktyg som finns tillgängliga på sajterna. Vidare konstaterades att mindre än hälften av de som undertecknat avtalet begränsade åtkomsten till minderåri­ gas profiler till att endast omfatta deras vänner. 91. Förutom att föreskriva om obligatoriska förvalda inställ­ ningar för sekretess återstår frågan om det även är lämp­ ligt med ytterligare specifikt dataskydd samt andra åtgär­ Behovet av obligatoriska förvalda inställningar för sekretess der (t.ex. avseende skyddet av minderåriga). Detta aktuali­ serar den mer allmänna frågan om det skulle vara lämpligt 87. I detta sammanhang är den avgörande frågan huruvida det att skapa en särskild ram för dessa typer av tjänster som, är nödvändigt att vidta ytterligare politiska åtgärder för att förutom att föreskriva om obligatoriska förvalda inställ­ säkerställa att mötesplatser på nätet tillhandahåller sina ningar för sekretess, skulle reglera andra aspekter. Data­ tjänster med förvalda inställningar för sekretess. Denna tillsynsmannen uppmanar kommissionen att överväga fråga togs upp av Viviane Reding, kommissionsledamot detta. med f.d. ansvar för informationssamhället, som påpekade att det skulle kunna bli nödvändigt med lagstiftning. ( 1 ) I samma anda konstaterade Europeiska ekonomiska och sociala kommittén att utöver självreglering bör minimis­ kyddsstandarder föreskrivas i lag ( 2 ). VII. FÖRVALDA INSTÄLLNINGAR FÖR SEKRETESS I

88. Som konstaterats ovan kan skyldigheten för tillhandahål­ 92. Annonsnätverk använder sig av cookies och andra verktyg lare av mötesplatser på nätet att tillämpa förvalda inställ­ för att bevaka enskilda användares beteende när de surfar ningar för sekretess utläsas indirekt ur artikel 17 i datas­ på Internet i syfte att kartlägga deras intressen och skapa kyddsdirektivet ( 3 ) enligt vilken registeransvariga måste profiler. Denna information används sedan för att skicka vidta lämpliga tekniska och organisatoriska åtgärder (”både riktad reklam till dem ( 4 ). när systemet för behandlingen utformas och när själva behandlingen sker”) för att garantera säkerheten och hindra otillåten behandling, med hänsyn till de risker som behandlingen innebär och uppgifternas art. VII.1 Återstående utmaningar och risker inom den befintliga ramen för data- och integritetsskydd

89. Denna artikel är emellertid alldeles för allmänt formulerad 93. Denna behandling omfattas av dataskyddsdirektivet (i den och saknar närmare bestämmelser, även i detta samman­ mån personuppgifter berörs) samt artikel 5.3 i direktivet hang. Den fastställer inte uttryckligen vad som avses med om integritet och elektronisk kommunikation. I den arti­ lämpliga tekniska och organisatoriska åtgärder i samband keln fastställs särskilt att en användare ska informeras och med mötesplatser på nätet. Följaktligen råder för närva­ ges möjlighet att reagera genom att antingen ge sitt sam­ rande rättsosäkerhet, vilket ställer till problem för både tycke till eller vägra att sådana anordningar som cookies lagstiftare och enskilda personer vars integritet och per­ etc. lagras i användarens dator eller någon annan anord­ sonuppgifter inte skyddas fullt ut. ning ( 5 ).

90. Europeiska datatillsynsmannen uppmanar följaktligen kommissionen att utarbeta lagstiftning som åtminstone 94. Hittills har annonsnätverk förlitat sig på webbläsarinställ­ inkluderar en övergripande bestämmelse som kräver obli­ ningar och integritetspolicys för att informera användarna gatoriska förvalda inställningar för sekretess, tillsammans och göra det möjligt för dem att acceptera eller vägra med mer specifika krav: cookies. De har i sin integritetspolicy beskrivit hur man 16.10.2010 Europeiska SV unionens officiella tidning C 280/13 helt väljer bort cookies alternativ accepterar dem från fall för första gången installerar eller när de uppdaterar webb­ till fall. Genom att göra detta uppfyller de faktiskt sin läsaren. Det finns ett behov av mer detaljerad och tydlig skyldighet att ge användare rätten att vägra cookies. information om de olika typerna av cookies och för­ delarna med några av dem. De användare som är villiga att låta sig övervakas i syfte att ta emot reklam skulle i vederbörlig ordning informeras om detta och skulle be­ 95. Medan denna metod rent teoretiskt (via webbläsaren) i höva ändra sina webbläsarinställningar. Detta skulle ge praktiken faktiskt skulle kunna tillhandahålla ett menings­ dem ökad kontroll över sina personuppgifter och sin per­ fullt informerat samtycke förhåller det sig inte på det viset. sonliga integritet och skulle, enligt Europeiska datatillsyns­ Användarna känner i allmänhet inte alls till hur insam­ mannen, vara ett effektivt sätt att respektera och värna om lingen av uppgifter fungerar, och ännu mindre insam­ användarnas samtycke ( 1 ). lingen från tredje parter, inte heller värdet av sådana upp­ gifter, hur de används, hur tekniken fungerar eller mer närmare hur och var man stänger av cookies. De steg som användarna måste vidta för att stänga av cookies förefaller inte bara komplicerade utan även omfattande 101. Med hänsyn till å ena sidan omfattningen av detta pro­ (användaren måste först ställa in sin webbläsare så att blem, dvs. det stora antal Internetanvändare som för när­ den accepterar cookies, sedan välja att stänga av dem). varande övervakas på grundval av ett illusoriskt samtycke och, å andra sidan, de mer omfattande intressen som står på spel, blir behovet av ytterligare säkerställande åtgärder mer akut. Genomförandet av principen om ”privacy by 96. Följaktligen väljer inte särskilt många att stänga av cookies design” i webbläsartillämpningar skulle kunna göra en – inte för att de har fattat ett informerat beslut att god­ mycket stor skillnad när det gäller att ge enskilda personer känna beteendestyrd annonsering, utan snarare eftersom kontroll över de förfaranden som tillämpas för att samla de inte inser att de genom att inte välja att stänga av dem in uppgifter för annonseringsändamål. accepterar cookies.

97. Även om artikel 5.3 i direktivet om e-integritet därför i 102. Europeiska datatillsynsmannen uppmanar därför kommis­ rättsligt hänseende ger ett effektivt skydd, tvingas Internet­ sionen att överväga rättsliga åtgärder som kräver obligato­ användare i praktiken att samtycka till att övervakas när riska förvalda inställningar för sekretess på webbläsare och det gäller att skicka beteendestyrd reklam även om de i tillhandahållande av relevant information. själva verket i många, om inte alla, fall är helt omedvetna om den övervakning som sker. stämmelser om obligatoriska förvalda inställningar säkerhetsöverträdelser som skulle vara tillämpligt inom för sekretess alla sektorer.

99. Som beskrivits ovan tillåter webbläsare normalt kontroll över vissa typer av cookies. De flesta webbläsare har en förvald inställning som gör att de accepterar alla cookies. En webbläsares förvalda inställningar tillåter med andra VIII.1 Principen om ansvarighet för att säkerställa ord alla cookies oavsett syftet. För att förhindra cookies iakttagande av principen om ”privacy by design” måste användaren alltså ändra inställningarna på sin webbläsare, vilket enligt vad som angetts ovan väldigt få 104. I artikel 29-arbetsgruppens yttrande om ”The Future of Privacy” ( 2 ) rekommenderas att principen om ansvarighet användare gör. Dessutom finns det ingen guide (wizard) för sekretessinställningar vid den första installationen eller vid uppdateringar av webbläsartillämpningar. ( 1 ) Datatillsynsmannen är samtidigt medveten om att detta inte helt skulle lösa problemet eftersom det finns cookies som inte går att kontrollera genom webbläsaren, t.ex. s.k. flash cookies. För att komma till bukt med detta skulle det krävas att utvecklare av webb­ 100. Ett sätt att minska detta problem skulle vara att förse läsare ser till att kontroller över flash cookies finns integrerade i webbläsaren med förvalda inställningar för sekretess. deras kontroller över cookies redan när nya webbläsare släpps ut på marknaden. Den skulle följaktligen vara inställd på ”accepterar inte ( 2 ) Artikel 29-arbetsgrupens yttrande 168 om ”The Future of Privacy: cookies från tredje parter”. För att komplettera detta och Joint contribution to the Consultation of the European Commission göra det mer effektivt skulle webbläsaren kräva att använ­ on the legal framework for the fundamental right to protection of darna använde en guide för sekretessinställningar när de personal data”, antaget den 1 december 2009. C 280/14 SV Europeiska unionens officiella tidning 16.10.2010 införlivas i dataskyddsdirektivet. Denna princip, som er­ är tillämpliga inom alla sektorer. När det gäller innehållet i känns i vissa multinationella instrument för dataskydd ( 1 ), ett sådant regelverk anser Europeiska datatillsynsmannen kräver att organisationer genomför förfaranden för att att den rättsliga ram för säkerhetsöverträdelser som anta­ iaktta gällande lagar samt inför metoder för att bedöma gits i direktivet om e-integritet garanterar en tillräcklig och påvisa överensstämmelse med lagar och andra bin­ balans mellan skyddet av enskilda personers rättigheter, dande instrument. däribland deras rättigheter avseende personuppgifter och integritet, och skyldigheterna för de enheter som omfattas. Denna rättsliga ram är dessutom långtifrån tandlös efter­ 105. Europeiska datatillsynsmannen stöder fullt ut artikel 29- som den backas upp av meningsfulla genomförande­ arbetsgruppens rekommendation. Datatillsynsmannen an­ bestämmelser som ger myndigheterna tillräckliga befogen­ ser att denna princip kommer att vara mycket relevant för heter att undersöka och införa påföljder i fall av bristande att främja en effektiv tillämpning av principer och skyl­ efterlevnad. digheter med avseende på dataskydd. Ansvarighet kom­ mer att kräva att registeransvariga visar att de har infört de mekanismer som krävs för att iaktta tillämplig datas­ 109. Europeiska datatillsynsmannen uppmanar därför kommis­ kyddslagstiftning. Detta kommer sannolikt att bidra till ett sionen att anta ett lagstiftningsförslag för att tillämpa effektivt genomförande av principen om ”privacy by de­ denna ram inom alla sektorer, vid behov med nödvändiga sign” i IKT som ett i synnerhet lämpligt inslag för att anpassningar. Detta skulle dessutom säkerställa att samma påvisa ansvarighet. standarder och förfaranden tillämpades inom alla sektorer.

106. För att mäta och påvisa ansvarighet skulle registeransva­ Att genom kommittéförfaranden fullgöra den rättsliga ram som riga kunna använda interna förfaranden samt anlita tredje finns i direktivet om integritet och elektronisk kommunikation parter som skulle kunna utföra revisioner eller andra typer av kontroller och verifikationer och till följd av dessa 110. Det reviderade direktivet om e-integritet ger kommissio­ utfärda märkning eller utmärkelser. I detta sammanhang nen rätt att anta tekniska genomförandeåtgärder, dvs. de­ uppmanar Europeiska datatillsynsmannen med kraft kom­ taljerade åtgärder som rör anmälningar av säkerhetsöver­ missionen att överväga huruvida, utöver en allmän ansva­ trädelser, genom ett kommittéförfarande. ( 2 ) Denna befo­ righetsprincip, det skulle kunna vara värdefullt att i lag genhet är berättigad för att säkerställa ett konsekvent ge­ fastställa särskilda ansvarighetsåtgärder, exempelvis beho­ nomförande och tillämpning av den rättsliga ramen för vet att utarbeta konsekvensanalyser för data- och integri­ säkerhetsöverträdelse. Ett konsekvent genomförande bi­ tetsskyddet och under vilka omständigheter. drar till att ge enskilda personer i hela gemenskapen samma höga skyddsnivå och till att de enheter som om­ fattas inte belastas med olika anmälningskrav. VIII.2 Säkerhetsöverträdelse: att färdigställa den rätts­ liga ramen

111. Direktivet om e-integritet antogs i november 2009. Det 107. Genom de ändringar av direktivet om e-integritet och som tycks inte finnas någon anledning att skjuta upp inledan­ genomfördes förra året infördes ett krav att anmäla per­ det av arbetet för att anta de tekniska genomförandeåtgär­ sonuppgiftsbrott till de enskilda personer som påverkas derna. Europeiska datatillsynsmannen har organiserat två samt till de berörda myndigheterna. Ett personupp­ seminarier som syftade till att dela med sig av och samla giftsbrott definieras generellt som ett brott som leder till in erfarenheter om anmälningar av överträdelser av datas­ utplåning, förlust, avslöjande etc. av personuppgifter som kyddet. Datatillsynsmannen skulle med glädje dela med sig överförs, lagras eller på annat sätt behandlas i samband resultaten av dessa seminarier och ser fram mot att arbeta med tillhandahållandet av tjänsten. Om personupp­ tillsammans med kommissionen och andra berörda parter giftsbrottet kan antas inverka menligt på en enskild per­ för att finjustera den övergripande rättsliga ramen för sons personuppgifter eller integritet måste den enskilda personuppgiftsbrott. personen underrättas om detta brott. Detta kan vara fallet om brottet skulle kunna medföra identitetsstöld eller be­ tydande förnedring eller skadat rykte. Vid ett personupp­ 112. Europeiska datatillsynsmannen uppmanar kommissionen giftsbrott föreligger en skyldighet att anmäla detta till de att inom kort vidta de åtgärder som krävs. Innan tekniska behöriga myndigheterna, oavsett om det föreligger en risk genomförandeåtgärder antas måste kommissionen genom­ för enskilda personer. föra ett omfattande samråd med deltagande av Europeiska byrån för nät- och informationssäkerhet (Enisa), Europe­ iska datatillsynsmannen och artikel 29-arbetsgruppen. Att tillämpa skyldigheter i fråga om säkerhetsöverträdelser inom Detta samråd måste dessutom inbegripa andra ”berörda alla sektorer parter”, framför allt för att få information om bästa till­ gängliga tekniska och ekonomiska medel för genomföran­ 108. Tyvärr gäller denna skyldighet endast för leverantörer av det. allmänt tillgängliga elektroniska kommunikationstjänster, t.ex. telefonbolag, Internetleverantörer, e-postleverantörer ( 2 ) Kommittéförfaranden innebär att tekniska genomförandeåtgärder an­ etc. Europeiska datatillsynsmannen uppmanar kommissio­ tas av en kommitté som består av företrädare för medlemsstaterna nen att lägga fram förslag om säkerhetsöverträdelser som och som har en företrädare för kommissionen som ordförande. När det gäller direktivet om e-integritet är det s.k. förfarandet med kont­ ( 1 ) OECD:s riktlinjer från 1980 om integritetsskydd och persondataf­ roll tillämpligt, vilket innebär att Europaparlamentet, samt rådet, kan löde; Madrid Privacy Declaration on Global Privacy Standards for a motsätta sig förslag till åtgärder som kommissionen lägger fram. Se Global World, av den 3 november 2009. även http://europa.eu/scadplus/glossary/comitology_en.htm 16.10.2010 Europeiska SV unionens officiella tidning C 280/15 IX. SLUTSATSER a) På området för RFID: att, om ett effektivt genom­ förande av den gällande rättsliga ramen misslyckas, 113. Förtroende, eller snarare bristen på förtroende, har identi­ lägga fram förslag till rättsliga åtgärder som reglerar fierats som en huvudfråga i uppkomsten och en fram­ huvudfrågorna för användningen av RFID-tekniken. gångsrik användning av informations- och kommunika­ Att i synnerhet införa principen om frivilligt delta­ tionsteknik. Om människor inte har förtroende för IKT gande vid försäljningsstället, vilket innebär att alla kommer denna teknik med all sannolikhet att misslyckas. RFID-taggar på konsumentprodukter automatiskt Ett förtroende för IKT är beroende av flera olika faktorer skulle avaktiveras vid kassan. varav en nyckelfaktor är att se till att en sådan teknik inte urholkar enskilda personer grundläggande rätt till integri­ b) På området för mötesplatser på nätet: att utarbeta lags­ tets- och personuppgiftsskydd. tiftning som åtminstone inkluderar en övergripande bestämmelse som kräver obligatoriska förvalda inställ­ 114. För att ytterligare stärka den rättsliga ramen för data- och ningar för sekretess, tillsammans med mer specifika integritetsskydd, vars principer förblir fullständigt giltiga i krav som begränsar åtkomsten till användarens profil informationssamhället, föreslår Europeiska datatillsyns­ till användarens självvalda kontakter samt säkerställer mannen att kommissionen införlivar ”privacy by design” att profiler med begränsad åtkomst inte kan upptäckas på olika lagstiftningsnivåer och nivåer i beslutsfattandet. av interna/externa sökmotorer.

115. Datatillsynsmannen rekommenderar att kommissionen c) På området för riktad reklam: att överväga lagstiftning följer fyra handlingslinjer: som gör det obligatoriskt med förvalda inställningar på webbläsaren som vägrar cookies från tredje parter och a) Att lägga fram ett förslag som inkluderar en allmän som kräver att användarna använder en inställnings­ bestämmelse om ”privacy by design” i den rättsliga guide när de första gången installerar eller när de upp­ ramen för dataskydd. Denna bestämmelse skulle vara daterar webbläsaren. teknikneutral och iakttagelse skulle vara obligatoriskt i olika stadier. 117. Slutligen uppmanar Europeiska datatillsynsmannen att kommissionen: b) Att vidareutveckla denna allmänna bestämmelse i sär­ skilda bestämmelser i samband med att förslag till sär­ skilda rättsliga instrument för olika sektorer läggs fram. a) överväger att införliva principen om ansvarighet i det Dessa särskilda bestämmelser skulle redan nu kunna befintliga dataskyddsdirektivet, och inkluderas i rättsliga instrument, på grundval av artikel 17 i dataskyddsdirektivet (och annan befintlig b) utvecklar ett regelverk av regler och förfaranden för att lagstiftning). genomföra bestämmelserna om anmälningar av säker­ hetsöverträdelser i direktivet om e-integritet, och att c) Att inkludera ”privacy by design” som en vägledande utvidga dem så att de gäller generellt för alla register­ princip i den digitala dagordningen för Europa. ansvariga. d) Att införa ”privacy by design” som en princip i andra EU-initiativ (främst icke lagstiftande). Utfärdat i Bryssel den 18 mars 2010.

116. Inom tre särskilda IKT-områden rekommenderar Europe­ iska datatillsynsmannen att kommissionen utvärderar be­ Peter HUSTINX hovet att lägga fram förslag som genomför principen om ”privacy by design” på olika sätt: Europeiska datatillsynsmannen