ARTIKEL 29-ARBETSGRUPPEN FÖR SKYDD AV PERSONUPPGIFTER 01189/09/SV WP 163 Yttrande 5/2009 om sociala nätverk på Internet Antaget den 12 juni 2009 Arbetsgruppen inrättades enligt artikel 29 i direktiv 95/46/EG. Den är ett oberoende rådgivande EU-organ i frågor rörande dataskydd och integritet. Dess uppgifter beskrivs i artikel 30 i direktiv 95/46/EG och artikel 15 i direktiv 2002/58/EG. Gruppens sekretariat finns hos direktorat C (Civilrättsliga frågor, grundläggande rättigheter och medborgarskap) på Europeiska kommissionen, Generaldirektoratet för rättvisa, frihet och säkerhet, B-1049 Bryssel, Belgien, Kontor LX-46 01/06. Webbplats: http://ec.europa.eu/justice_home/fsj/privacy/index_en.htm
Innehållsförteckning Sammanfattning... 3 1. Inledning... 4 2. Definition av en social nätverkstjänst och affärsmodell... 4 3. Tillämpning av dataskyddsdirektivet... 5 3.1 Vem är registeransvarig?... 5 3.2 Säkerhet och standardinställningar för sekretess... 7 3.3 Information som ska lämnas av sociala nätverkstjänster... 7 3.4 Känsliga uppgifter... 8 3.5 Behandling av icke-medlemmars uppgifter... 8 3.6 Åtkomst för tredje part... 9 3.7 Rättslig grund för direkt marknadsföring... 10 3.8 Lagring av uppgifter... 10 3.9 Användares rättigheter... 11 4. Barn och underåriga... 12 5. Sammanfattning av skyldigheter/rättigheter... 13-2-
Sammanfattning Detta yttrande handlar om hur sociala nätverkssajter kan fungera på ett sätt som är förenligt med kraven i EU:s dataskyddslagstiftning. Avsikten är främst att ge ledning till leverantörer av sociala nätverkstjänster när det gäller de åtgärder som måste vidtas för att följa EUlagstiftningen. I yttrandet konstateras att leverantörer av sociala nätverkstjänster och, i många fall, leverantörer av tredjepartsprogram är registeransvariga med motsvarande ansvar gentemot användare av sociala nätverkstjänster. I yttrandet beskrivs hur många användare är verksamma på ett rent personligt plan och kontaktar människor som ett led i hanteringen av sitt privatliv eller sina familje- eller hushållsangelägenheter. I sådana fall anses i yttrandet att hushållsundantaget gäller och att bestämmelserna om registeransvariga inte är tillämpliga. I yttrandet anges också under vilka omständigheter verksamheten hos en användare av en social nätverkstjänst inte omfattas av hushållsundantaget. Spridning och användning av information på en social nätverkssajt för andra sekundära, oavsiktliga ändamål är en mycket viktig fråga för artikel 29-arbetsgruppen. I hela yttrandet förespråkas ordentliga säkerhetsoch integritetsfrämjande standardinställningar som den bästa utgångspunkten när det gäller alla tjänster som erbjuds. Åtkomst till profilinformation framstår som ett av de främsta problemområdena. Dessutom diskuteras frågor som behandling av känsliga uppgifter och bilder, annonsering och direkt marknadsföring på sociala nätverkssajter samt frågor som rör lagring av uppgifter. De huvudsakliga rekommendationerna gäller skyldigheterna för leverantörer av sociala nätverkstjänster att rätta sig efter dataskyddsdirektivet och att värna om och stärka användarnas rättigheter. Det är av yttersta vikt att leverantörer av sociala nätverkstjänster redan från början klargör sin identitet för användarna och beskriver alla olika ändamål för vilka de behandlar personuppgifter. Leverantörer av sociala nätverkstjänster bör iaktta särskild försiktighet när det gäller behandling av underårigas personuppgifter. I yttrandet rekommenderas att användare lägger upp bilder eller information om andra individer endast med den berörda personens samtycke. Leverantörer av sociala nätverkstjänster anses dessutom vara skyldiga att informera användarna om andras rätt till personlig integritet. -3-
ARBETSGRUPPEN FÖR SKYDD AV ENSKILDA MED AVSEENDE PÅ BEHANDLING AV PERSONUPPGIFTER HAR ANTAGIT DETTA ARBETSDOKUMENT med beaktande av Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995, genom vilket arbetsgruppen inrättades 1, med beaktande av artiklarna 29, 30.1 a och 30.3 i Europaparlamentets och rådets direktiv 95/46/EG samt artikel 15.3 i Europaparlamentets och rådets direktiv 2002/58/EG av den 12 juli 2002, med beaktande av artikel 255 i EG-fördraget och av Europaparlamentets och rådets förordning (EG) nr 1049/2001 av den 30 maj 2001 om allmänhetens tillgång till Europaparlamentets, rådets och kommissionens handlingar, och med beaktande av dess arbetsordning. 1. Inledning Uppkomsten av webbgemenskaper och värdbaserade tjänster som sociala nätverkstjänster är en relativt ny företeelse, och antalet användare på dessa webbplatser fortsätter att växa exponentiellt. Den personliga information som en användare lägger ut på Internet kan, tillsammans med uppgifter som beskriver användarens verksamhet och interaktion med andra människor, skapa en uttömmande bild av personens intressen och aktiviteter. Personuppgifter som offentliggörs på sociala nätverkssajter kan användas av tredje parter för en mängd olika ändamål, även kommersiella ändamål, och kan vara förenade med stora risker, t.ex. identitetsstöld, ekonomiska förluster, förlust av affärs- eller anställningsmöjligheter och fysisk skada. Den internationella Berlinarbetsgruppen för dataskydd inom telekommunikation antog i mars 2008 Rommemorandumet 2. I memorandumet analyseras de integritets- och säkerhetsrisker som sociala nätverk innebär, och riktlinjer utfärdas för lagstiftare, leverantörer och användare. I den nyligen antagna resolutionen om integritetsskydd i sociala nätverkstjänster 3 behandlas också de utmaningar som de sociala nätverkstjänsterna medfört. Arbetsgruppen beaktar dessutom ståndpunktsdokumentet Security Issues and Recommendations for Online Social Networks 4, som offentliggjordes av Europeiska byrån för nät- och informationssäkerhet i oktober 2007 och vände sig till lagstiftare och leverantörer av sociala nätverk. 2. Definition av en social nätverkstjänst och affärsmodell Sociala nätverkstjänster kan generellt definieras som kommunikationsplattformar på Internet som gör det möjligt för individer att gå med i eller skapa nätverk av likasinnade användare. I rättsligt avseende ingår sociala nätverk i informationssamhällets tjänster enligt definitionen i 1 2 3 4 EGT L 281, 23.11.1995, s. 31, http://europa.eu.int/comm/internal_market/en/media/dataprot/index.htm http://www.datenschutz-berlin.de/attachments/461/wp_social_network_services.pdf Antogs vid den 30:e internationella konferensen för ombudsmännen för dataskydd och integritet i Strasbourg, 17.10.2008, http://www.privacyconference2008.org/adopted_resolutions/strasbourg2008/resolution_social_networks_en.pdf http://www.enisa.europa.eu/doc/pdf/deliverables/enisa_pp_social_networks.pdf -4-
artikel 1.2 i direktiv 98/34/EG, ändrat genom direktiv 98/48/EG. Sociala nätverkstjänster har vissa gemensamma egenskaper: - Användare uppmanas att lämna personuppgifter som bildar en beskrivning av dem själva, en profil. - Sociala nätverkstjänster erbjuder också verktyg som ger användarna möjlighet att lägga ut eget material (användargenererat innehåll, t.ex. ett fotografi eller en dagboksanteckning, musik eller videoklipp eller länkar till andra webbplatser 5 ). - Socialt nätverkande möjliggörs med hjälp av verktyg som ger en lista över kontakter för varje användare, och som gör det möjligt för användarna att interagera. En stor del av intäkterna för sociala nätverkstjänster kommer från annonser som läggs ut på de webbsidor som användarna skapar och går in på. Användare som lämnar ut mycket information om sina intressen i sina profiler utgör en perfekt marknad för annonsörer som vill lägga ut riktade annonser på grundval av denna information. Det är därför viktigt att sociala nätverkstjänster fungerar på ett sätt som innebär att användarnas rättigheter och friheter respekteras. Användarna förväntar sig nämligen med rätta att de personuppgifter de lämnar ut ska behandlas i enlighet med EU:s och medlemsstaternas dataskydds- och integritetslagstiftning. 3. Tillämpning av dataskyddsdirektivet Bestämmelserna i dataskyddsdirektivet gäller i de flesta fall leverantörer av sociala nätverkstjänster, även om de har sitt säte utanför EES-området. Artikel 29-arbetsgruppen hänvisar till sitt tidigare yttrande om sökmotorer för ytterligare vägledning i frågor som rör etablering och användning av utrustning som bestämmande faktorer för tillämpligheten för dataskyddsdirektivet och de bestämmelser som senare tillkommit till följd av behandling av IP-adresser och användning av kakor. 6 3.1 Vem är registeransvarig? Leverantörer av sociala nätverkstjänster Leverantörer av sociala nätverkstjänster är registeransvariga enligt dataskyddsdirektivet. De tillhandahåller möjligheter till behandling av användaruppgifter och alla grundläggande tjänster i anslutning till användarhantering (t.ex. registrering och avslutande av konton). Leverantörer av sociala nätverkstjänster avgör också hur användaruppgifter får användas för annonserings- och marknadsföringsändamål även när det gäller annonser från tredje parter. Programleverantörer Programleverantörer kan också vara registeransvariga, om de utvecklar program som kan användas vid sidan av de program som den sociala nätverkstjänsten tillhandahåller och användarna beslutar att använda ett sådant program. 5 6 I sådana fall där sociala nätverkstjänster innefattar elektroniska kommunikationstjänster gäller även bestämmelserna i direktivet om integritet och elektronisk kommunikation, 2002/58/EG. WP148, Yttrande 1/2008 om dataskyddsfrågor med anknytning till sökmotorer. -5-
Användare I de flesta fall betraktas användare som registrerade. Direktivet ålägger inte en individ som behandlar personuppgifter som ett led i verksamhet av rent privat natur eller som har samband med hans hushåll en registeransvarigs skyldigheter hushållsundantaget. I vissa fall är det inte säkert att verksamheten hos en användare av sociala nätverkstjänster omfattas av hushållsundantaget, och användaren kan anses ha tagit på sig en del av det ansvar som ligger på en registeransvarig. Några av dessa fall beskrivs nedan. 3.1.1. Syfte och art En tilltagande trend när det gäller sociala nätverkstjänster är övergången från Web 2.0 for fun till Web 2.0 för produktivitet och tjänster 7 där verksamheten hos vissa användare av sociala nätverkstjänster kan gå utöver rent privat eller hushållsrelaterad verksamhet, t.ex. när den sociala nätverkstjänsten används som en samarbetsplattform för en sammanslutning eller ett företag. Om en användare av en social nätverkstjänst agerar för ett företag eller en sammanslutning, eller använder den sociala nätverkstjänsten främst som en plattform för kommersiella eller politiska ändamål eller för välgörenhet, gäller inte undantaget. I det fallet påtar sig användaren det fulla ansvaret för en registeransvarig som lämnar ut personuppgifter till en annan registeransvarig (den sociala nätverkstjänsten) och till tredje parter (andra användare av den sociala nätverkstjänsten eller potentiellt även andra registeransvariga med tillgång till uppgifterna). Under dessa omständigheter måste användaren ha de berörda personernas samtycke eller någon annan legitim grund enligt dataskyddsdirektivet. Åtkomsten till uppgifter från en användare (profildata, innehåll som lagts ut, artiklar osv.) är i normalfallet begränsad till självvalda kontakter. I vissa fall kan dock en användare skaffa ett stort antal tredjepartskontakter, varav han kanske inte ens känner en del. Ett stort antal kontakter skulle kunna vara en indikation på att hushållsundantaget inte gäller och att användaren därför skulle betraktas som registeransvarig. 3.1.2. Åtkomst till profilinformation Sociala nätverkstjänster bör ha integritetsfrämjande och kostnadsfria standardinställningar som begränsar åtkomsten till självvalda kontakter. När åtkomsten till profilinformation sträcker sig längre än till självvalda kontakter, t.ex. när en profil är tillgänglig för alla medlemmar av det sociala nätverket 8 eller uppgifterna kan indexeras av sökmotorer, är åtkomsten inte längre begränsad till den privata eller hushållsrelaterade sfären. På samma sätt inträder ansvar som registeransvarig om en användare fattar ett medvetet beslut att utöka åtkomsten till andra än självvalda vänner. I själva verket kommer då samma regelverk att gälla som när en person använder andra tekniska plattformar för att offentliggöra personuppgifter på Internet. 9 I flera medlemsstater innebär avsaknaden av åtkomstrestriktioner (och därmed den offentliga karaktären) att dataskyddsdirektivet är tillämpligt och att Internetanvändaren får ansvar som registeransvarig. 10 7 8 9 10 Internet of the future: Europe must be a key player, tal av Viviane Reding, ledamot av Europeiska kommissionen med ansvar för informationssamhälle och medier under mötet Future of the Internet initiative of the Lisbon Council, Bryssel den 2 februari 2009. Eller när det kan hävdas att inget egentligt urval görs när kontakter accepteras, dvs. användarna accepterar kontakter oavsett vilken förbindelse de har. T.ex. publiceringsplattformar som inte är sociala nätverkstjänster, eller egenvärdbaserad programvara. I EG-domstolens dom i Satamediamålet fastslås däremot följande i punkt 44: Härav följer att detta andra undantag ska tolkas så, att det endast avser verksamhet som utgör en del av enskildas privatliv eller familjeliv (se domen i det -6-
Även om hushållsundantaget inte gäller bör man minnas att en användare av sociala nätverkstjänster kan utnyttja andra undantag, t.ex. undantaget för journalistiska ändamål eller konstnärligt eller litterärt skapande. I dessa fall måste yttrandefriheten vägas mot rätten till personlig integritet. 3.1.3 Användares behandling av uppgifter från tredje part Tillämpningen av hushållsundantaget begränsas också av behovet av att garantera tredje parters rättigheter, särskilt när det gäller känsliga uppgifter. Dessutom bör det noteras att en användare kan hållas ansvarig enligt allmänna bestämmelser i nationell civil- eller strafflagstiftning (t.ex. ärekränkning, skadeståndsansvar för personlighetskränkning, straffrättsligt ansvar), även om hushållsundantaget gäller. 3.2 Säkerhet och standardinställningar för sekretess Säker informationshantering är grundläggande för förtroendet för sociala nätverkstjänster. Registeransvariga måste vidta lämpliga tekniska och organisatoriska åtgärder både när systemet för behandlingen utformas och när själva behandlingen sker för att garantera säkerheten och hindra otillåten behandling, med hänsyn till de risker som behandlingen innebär och uppgifternas art. 11 Ett viktigt inslag i integritetsinställningarna är åtkomsten till personuppgifter som publiceras i en profil. Om inga restriktioner gäller för denna åtkomst kan tredje parter koppla ihop en mängd intima detaljer om användarna, antingen som medlemmar av det sociala nätverket eller via sökmotorer. Det är dock bara en minoritet av de användare som ansluter sig till en tjänst som gör några ändringar av standardinställningarna. Sociala nätverkstjänster bör därför erbjuda integritetsfrämjande standardinställningar som ger användare möjlighet att fritt och specifikt samtycka till all åtkomst till deras profilinnehåll som sträcker sig längre än till deras självvalda kontakter, för att minska risken för olaglig behandling av tredje parter. Profiler med begränsad åtkomst bör inte kunna upptäckas av interna sökmotorer och bör inte vara sökbara med hjälp av parametrar som ålder eller plats. Beslut om utökad åtkomst får inte vara underförstådda 12, t.ex. genom ett undantag som erbjuds av den registeransvarige för den sociala nätverkstjänsten. 3.3 Information som ska lämnas av sociala nätverkstjänster Leverantörer av sociala nätverkstjänster bör informera användarna om sin identitet och de olika ändamål för vilka de behandlar personuppgifter i enlighet med bestämmelserna i artikel 10 i dataskyddsdirektivet, inklusive men inte begränsat till - användning av uppgifterna för direkt marknadsföring, - eventuell delning av uppgifterna med specificerade kategorier av tredje parter, - en översikt över profiler hur de skapas och de främsta datakällorna, - användningen av känsliga uppgifter. 11 12 ovannämnda målet Lindqvist, punkt 47). Detta är uppenbart inte fallet i fråga om den verksamhet som Markkinapörssi och Satamedia bedriver och som syftar till att ge ett obestämt antal personer kännedom om de insamlade uppgifterna. Artikel 17 och skäl 46 i dataskyddsdirektivet. I Report and Guidance on Privacy in Social Network Services ( Rommemorandumet ) talas om risker som det missvisande begreppet gemenskap (s. 2) och att man lämnar ut mer personlig information än man tror (s. 3). Ett datasäkerhetsföretag varnar en stor social nätverkstjänst för standardåtkomst för medlemmar inom samma geografiska område: http://www.sophos.com/pressoffice/news/articles/2007/10/facebook-network.html -7-
Arbetsgruppen rekommenderar att - leverantörer av sociala nätverkstjänster på lämpligt sätt varnar användarna för de integritetsrisker de utsätter sig själva och andra för när de lägger upp information på den sociala nätverkssajten, - användare av sociala nätverkstjänster även erinras om att det kan inkräkta på andra individers rätt till integritet och dataskydd att lägga upp uppgifter om dem, - leverantörer av sociala nätverkstjänster informerar användare om att de endast bör lägga upp bilder eller information om andra individer med samtycke från personen i fråga. 13 3.4 Känsliga uppgifter Uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiösa eller filosofiska övertygelser eller medlemskap i fackföreningar samt uppgifter om hälsa eller sexliv betraktas som känsliga. Känsliga personuppgifter får publiceras på Internet endast med uttryckligt samtycke från den registrerade eller om det står klart att den registrerade själv har offentliggjort uppgifterna. 14 I vissa EU-medlemsstater betraktas bilder av registrerade som en särskild kategori av personuppgifter, eftersom de kan användas för att skilja mellan olika raser/etniska ursprung eller för att dra slutsatser om religiösa övertygelser eller hälsouppgifter. Arbetsgruppen anser inte generellt sett att bilder på Internet utgör känsliga uppgifter 15, om det inte tydligt framgår att bilderna används för att avslöja känsliga uppgifter om individer. Som registeransvariga får leverantörer av sociala nätverkstjänster inte behandla några känsliga uppgifter om medlemmar av sociala nätverk eller om andra personer utan deras uttryckliga samtycke 16. Om en social nätverkstjänst har med frågor som rör känsliga uppgifter på användarens profilformulär måste det mycket tydligt framgå att det är helt frivilligt att besvara sådana frågor. 3.5 Behandling av icke-medlemmars uppgifter I många sociala nätverk kan användarna lägga in uppgifter om andra människor, t.ex. genom att skriva ett namn vid en bild, betygssätta en person eller räkna upp folk jag träffat/vill träffa vid evenemang. Genom sådana taggar kan även icke-medlemmar identifieras. För att den sociala nätverkstjänsten ska få behandla sådana uppgifter om icke-medlemmar måste dock något av kriterierna i artikel 7 i dataskyddsdirektivet vara uppfyllt. Skapande av förkonstruerade profiler för icke-medlemmar genom sammanställning av uppgifter som lämnas av enskilda användare av sociala nätverkstjänster, även relationsdata som hämtats från adressböcker som lagts upp, saknar dessutom rättslig grund. 17 13 14 15 16 17 Detta skulle kunna underlättas genom införande av verktyg för tagghantering på sociala nätverkssajter, t.ex. genom att ge utrymme i en personlig profil för att ange att en användares namn förekommer i taggade bilder eller videofilmer som väntar på samtycke, eller genom att ange förfallotider för taggar som inte fått samtycke av den taggade individen. Medlemsstaterna får föreskriva undantag från denna regel; se artikel 8.2 a andra meningen och artikel 8.4 i dataskyddsdirektivet. Offentliggörande av bilder på Internet innebär dock allt större integritetsproblem i takt med att tekniken för ansiktsigenkänning blir allt bättre. Samtycket ska vara frivilligt, informerat och specifikt. I skäl 38 i dataskyddsdirektivet anges följande: En korrekt behandling av uppgifter förutsätter att de registrerade kan få kännedom om behandlingen och att de när uppgifter samlas in hos dem kan få korrekt och fullständig information med hänsyn till de närmare omständigheterna vid insamlingen. Offentliggörande av profiler för icke-medlemmar påstås ha blivit ett viktigt sätt för vissa sociala nätverkstjänster att marknadsföra sina tjänster. -8-
Även om den sociala nätverkstjänsten hade möjlighet att kontakta icke-medlemmen och informera denne om förekomsten av personuppgifter om honom/henne skulle en eventuell e- postinbjudan att gå med i det sociala nätverket för att få åtkomst till dessa personuppgifter strida mot förbudet i artikel 13.4 i direktivet om integritet och elektronisk kommunikation mot att skicka icke begärda e-postmeddelanden för direkt marknadsföring. 3.6 Åtkomst för tredje part 3.6.1 Åtkomst via den sociala nätverkstjänsten Vid sidan av själva grundtjänsten erbjuder många sociala nätverkstjänster användarna ytterligare program som tillhandahålls av tredjepartsutvecklare som också behandlar personuppgifter. Leverantörer av sociala nätverkstjänster bör kunna se till att tredjepartsprogram uppfyller bestämmelserna i dataskyddsdirektivet och direktivet om integritet och elektronisk kommunikation. Det innebär framför allt att de måste ge tydlig och specifik information till användarna om behandlingen av deras personuppgifter och att de bara har tillgång till nödvändiga personuppgifter. Den sociala nätverkstjänsten bör därför erbjuda tredjepartsutvecklare skiktad åtkomst så att de kan välja ett åtkomstsätt som i sig självt är mer begränsat. Sociala nätverkstjänster bör dessutom se till att användarna enkelt kan rapportera farhågor när det gäller program. 3.6.2 Åtkomst för tredje part via användare Sociala nätverkstjänster ger ibland användarna möjlighet att få tillgång till och uppdatera sina uppgifter med hjälp av andra program. Användarna kan t.ex. ha möjlighet att - läsa och skicka meddelanden till nätverket från sin mobiltelefon, - synkronisera kontaktuppgifter för sina vänner i det sociala nätverket med sin adressbok på en stationär dator, - automatiskt uppdatera sin status eller vistelseort i det sociala nätverket med hjälp av en annan webbplats. Sociala nätverkstjänster offentliggör hur detta program kan skrivas i form av ett gränssnitt för tillämpningsprogram ( API ). På så sätt ges vilken tredje part som helst möjlighet att skriva program för att utföra dessa uppgifter, och användarna kan fritt välja mellan flera olika tredjepartsleverantörer. 18 En leverantör av en social nätverkstjänst som erbjuder ett API som möjliggör åtkomst till kontakters uppgifter bör - tillhandahålla en granularitet som tillåter användaren att välja en åtkomstnivå för den tredje parten som är precis tillräcklig för att en viss uppgift ska kunna utföras. När tredjepartstjänster ges åtkomst till personuppgifter via tredjeparts-api på en användares vägnar bör man - behandla och lagra uppgifter bara så länge som behövs för att utföra en viss uppgift, - inte använda importerade kontaktuppgifter från en användare för något annat ändamål än personligt bruk av den användare som lämnat uppgifterna. 18 API är en bred teknisk term, men här avser begreppet åtkomst på en användares vägnar, dvs. användarna måste ge sina inloggningsuppgifter till programmet för att det ska kunna agera på deras vägnar. -9-
3.7 Rättslig grund för direkt marknadsföring Direkt marknadsföring är ett grundläggande inslag i affärsmodellen för sociala nätverkstjänster, och olika marknadsföringsmodeller kan användas. Marknadsföring med hjälp av användares personuppgifter bör dock vara förenlig med tillämpliga bestämmelser i både dataskyddsdirektivet och direktivet om integritet och elektronisk kommunikation. 19 Kontextuell marknadsföring är anpassad till det innehåll som användaren tittar på eller har tillgång till. 20 Segmenterad marknadsföring består i att visa annonser för användare i en viss målgrupp 21. En användare placeras i en grupp med utgångspunkt i den information han har meddelat till det sociala nätverket. 22 Vid beteendebaserad marknadsföring, slutligen, väljs annonserna ut på grundval av observation och analys av användarnas aktivitet över tiden. Dessa metoder kan omfattas av olika rättsliga krav beroende på den tillämpliga rättsliga grunden och vilken teknik som används. Arbetsgruppen rekommenderar att känsliga uppgifter inte används vid beteendebaserad annonsering, om inte alla rättsliga krav är uppfyllda. Oavsett vilken modell eller vilken kombination av modeller som används kan annonser antingen läggas ut direkt av den sociala nätverkstjänsten (leverantören av den sociala nätverkstjänsten fungerar här som mellanhand) eller av en tredjepartsannonsör. I det första fallet behöver inte användarnas personuppgifter lämnas ut till tredje parter. I det andra fallet kan dock tredjepartsannonsören behandla personuppgifter om användarna exempelvis om man hanterar användarens IP-adress och en kaka som placerats på användarens dator. 3.8 Lagring av uppgifter Sociala nätverkstjänster omfattas inte av definitionen av elektroniska kommunikationstjänster i artikel 2 c i ramdirektivet (2002/21/EG). Leverantörer av sociala nätverkstjänster kan erbjuda tilläggstjänster som utgör elektroniska kommunikationstjänster, t.ex. en offentligt tillgänglig e-posttjänst. En sådan tjänst omfattas av bestämmelserna i direktivet om integritet och elektronisk kommunikation och direktivet om lagring av uppgifter. Vissa sociala nätverkstjänster tillåter sina användare att skicka inbjudningar till tredje parter. Förbudet mot användning av elektronisk post för direkt marknadsföring gäller inte personliga meddelanden. För att omfattas av undantaget för personlig kommunikation måste en social nätverkstjänst uppfylla följande kriterier: - Varken sändaren eller mottagaren ges någon uppmuntran. - Leverantören väljer inte meddelandets mottagare. 23 - Den sändande användarens identitet måste tydligt framgå. - Den sändande användaren måste känna till hela innehållet i det meddelandet som skickas på hans vägnar. 19 20 21 22 23 Arbetsgruppen kommer inom kort att behandla olika aspekter av Internetannonsering i ett separat dokument. Om t.ex. ordet Paris finns med på den sida som visas kan annonsen gälla en restaurang i den staden. Varje grupp definieras med hjälp av en uppsättning kriterier. T.ex. när han registrerade sig för tjänsten. Detta innebär att det inte är tillåtet att som vissa sociala nätverkstjänster gör godtyckligt skicka inbjudningar till alla kontakter i en användares adressbok. -10-
Vissa sociala nätverkstjänster lagrar också identifieringsuppgifter för användare som uteslutits från tjänsten, för att se till att de inte kan registrera sig på nytt. I sådana fall måste dessa användare informeras om att denna lagring sker. Den enda information som får lagras är dessutom identitetsinformation och inte information om skälen till att personen i fråga uteslöts. Informationen bör inte lagras längre än ett år. Personuppgifter som lämnas av en användare när han registrerar sig för en social nätverkstjänst bör raderas så snart antingen användaren eller leverantören av den sociala nätverkstjänsten beslutar sig för att avsluta kontot. 24 Information som raderas av en användare när han uppdaterar sitt konto bör inte heller lagras. Innan sådana åtgärder vidtas bör leverantörer av sociala nätverkstjänster underrätta användarna om lagringsperioderna med de medel som står till deras förfogande. Av säkerhetsskäl och rättsliga skäl kan det i vissa fall vara motiverat att lagra uppdaterade eller raderade uppgifter och konton under en fastställd tidsperiod för att bidra till att förhindra fientliga handlingar till följd av identitetsstöld och andra förseelser eller brott. Om en användare inte använder tjänsten under en fastställd tidsperiod bör profilen ges status som inaktiv, dvs. inte längre synlig för övriga användare eller omvärlden, och efter ytterligare en tid bör uppgifterna i det övergivna kontot raderas. Innan dessa åtgärder vidtas bör leverantörer av sociala nätverkstjänster underrätta användarna med de medel som står till deras förfogande. 3.9 Användares rättigheter Sociala nätverkstjänster bör respektera rättigheterna för de individer som berörs av behandlingen, i enlighet med bestämmelserna i artiklarna 12 och 14 i dataskyddsdirektivet. Användarnas rätt till tillgång och rättelse är inte begränsad till användarna av tjänsten utan gäller alla fysiska personer vars uppgifter behandlas. 25 Medlemmar och icke-medlemmar av sociala nätverk måste ha möjlighet att utöva sin rätt till tillgång, rättelse och radering. På hemsidan för sociala nätverkssajter bör det tydligt framgå att det finns en enhet för klagomålshantering som leverantören av den sociala nätverkstjänsten inrättat för att hantera frågor som gäller dataskydd och integritet och klagomål från både medlemmar och ickemedlemmar. Enligt artikel 6.1 c i dataskyddsdirektivet ska uppgifterna vara adekvata och relevanta och inte [ ] omfatta mer än vad som är nödvändigt med hänsyn till de ändamål för vilka de har samlats in och för vilka de senare behandlas. I detta sammanhang kan det konstateras att sociala nätverkstjänster kan behöva registrera en del identifieringsuppgifter om medlemmarna men inte behöver offentliggöra deras riktiga namn på Internet. Leverantörer av sociala nätverkstjänster bör därför noggrant överväga om det är motiverat att tvinga användarna att använda sin verkliga identitet i stället för en pseudonym. Det finns starka argument för att ge användarna valfrihet i detta avseende, och det är ett rättsligt krav i minst en medlemsstat. Argumenten är särskilt starka när det gäller sociala nätverk med ett stort antal medlemmar. Enligt artikel 17 i dataskyddsdirektivet ska den registeransvarige genomföra lämpliga tekniska och organisatoriska säkerhetsåtgärder för att skydda personuppgifter. Sådana säkerhetsåtgärder innefattar bl.a. åtkomstkontroll och autentiseringsmekanismer som kan genomföras även om pseudonymer används. 24 25 Enligt artikel 6.1 e i dataskyddsdirektivet ska uppgifterna förvaras på ett sätt som förhindrar identifiering av den registrerade under en längre tid än vad som är nödvändigt för de ändamål för vilka uppgifterna samlades in eller för vilka de senare behandlades. Det gäller exempelvis om en persons e-postadress använts av den sociala nätverkstjänsten för att skicka honom en inbjudan. -11-
4. Barn och underåriga En stor del av de sociala nätverkstjänsterna används av barn/underåriga. I arbetsgruppens yttrande WP147 26 behandlades tillämpningen av dataskyddsprinciper i skolan och skolmiljön. I yttrandet framhölls behovet av att ta hänsyn till barnets bästa, såsom också anges i FNkonventionen om barnets rättigheter. Arbetsgruppen vill betona vikten av denna princip även i samband med sociala nätverkstjänster. En del intressanta initiativ 27 har inletts av dataskyddsmyndigheter världen över, med fokus framför allt på att öka medvetenheten om sociala nätverkstjänster och eventuella risker. Arbetsgruppen uppmuntrar mer forskning om hur man ska hantera svårigheterna i samband med tillförlitlig ålderskontroll och bevis på informerat samtycke, för att bättre kunna lösa dessa frågor. Med utgångspunkt i de överväganden som gjorts hittills anser arbetsgruppen att en flerdimensionell strategi är lämplig för att hantera skyddet av barns uppgifter i samband med sociala nätverkstjänster. En sådan strategi kan grundas på - initiativ för ökad medvetenhet som är grundläggande för att säkra barns aktiva engagemang (via skolor, införande av DP-basics i läroplanerna, utformning av särskilt anpassade läromedel, samarbete med nationella behöriga organ), - korrekt och laglig behandling när det gäller underåriga, t.ex. att inte fråga efter känsliga uppgifter i registreringsformulär, inte rikta direkt marknadsföring specifikt mot underåriga, kräva föräldrars medgivande före registrering och införa en lämplig grad av logisk åtskillnad mellan gemenskaper för barn och vuxna, - införande av integritetsfrämjande teknik (t.ex. integritetsfrämjande standardinställningar, poppupprutor med varningar i lämpliga skeden, program för ålderskontroll), - självreglering av leverantörerna för att främja antagande av uppförandekoder som innefattar effektiva åtgärder för efterlevnad, även av disciplinär art, - vid behov, ad hoc-lagstiftning för att motverka ohederliga och/eller vilseledande metoder i samband med sociala nätverkstjänster. 26 27 http://ec.europa.eu/justice_home/fsj/privacy/docs/wpdocs/2008/wp147_en.pdf Exempelvis det portugisiska initiativet Dadus http://dadus.cnpd.pt/ och det danska initiativet Chat Check Badge, http://www.fdim.dk/ -12-
5. Sammanfattning av skyldigheter/rättigheter EG-direktivens tillämplighet 1. Dataskyddsdirektivet är generellt tillämpligt på sociala nätverkstjänsters behandling av personuppgifter, även om de har sitt säte utanför EES-området. 2. Leverantörer av sociala nätverkstjänster betraktas som registeransvariga enligt dataskyddsdirektivet. 3. Programleverantörer kan betraktas som registeransvariga enligt dataskyddsdirektivet. 4. Användare betraktas som registrerade i samband med behandling av deras uppgifter inom ramen för sociala nätverkstjänster. 5. Användares behandling av personuppgifter omfattas i de flesta fall av hushållsundantaget. Det finns fall när en användares verksamhet inte omfattas av detta undantag. 6. Sociala nätverkstjänster omfattas inte av definitionen av elektronisk kommunikationstjänst, och direktivet om lagring av uppgifter gäller därför inte sociala nätverkstjänster. Skyldigheter för sociala nätverkstjänster 7. Leverantörer av sociala nätverkstjänster bör informera användarna om sin identitet och tillhandahålla uttömmande och tydlig information om de olika sätt på vilka de kan komma att behandla personuppgifter samt för vilka ändamål. 8. Sociala nätverkstjänster bör erbjuda integritetsfrämjande standardinställningar. 9. Leverantörer av sociala nätverkstjänster bör ge användarna information och lämpliga varningar om integritetsrisker när de lägger upp uppgifter på den sociala nätverkssajten. 11. Leverantörer av sociala nätverkstjänster bör informera användarna om att bilder och information om andra individer endast bör läggas upp med den berörda personens samtycke. 12. Hemsidan för sociala nätverkstjänster bör som ett minimum innehålla en länk till en klagomålsinstans som hanterar dataskyddsfrågor för både medlemmar och icke-medlemmar. 13. Marknadsföringsverksamhet ska vara förenlig med reglerna i dataskyddsdirektivet och direktivet om integritet och elektronisk kommunikation. 14. Leverantörer av sociala nätverkstjänster ska fastställa maximiperioder för lagring av uppgifter om inaktiva användare. Övergivna konton ska raderas. 15. Leverantörer av sociala nätverkstjänster bör vidta lämpliga åtgärder för att minska riskerna för underåriga. -13-
Användares rättigheter 16. Både medlemmar och icke-medlemmar av sociala nätverk har i tillämpliga fall rättigheter som registrerade enligt bestämmelserna i artiklarna 10 14 i dataskyddsdirektivet. 17. Både medlemmar och icke-medlemmar bör ha tillgång till ett användarvänligt klagomålsförfarande som inrättas av leverantören av den sociala nätverkstjänsten. 18. Användare bör generellt sett tillåtas att använda en pseudonym. Bryssel den 12 juni 2009 På arbetsgruppens vägnar Ordförande Alex Türk -14-