text: ( 4 ) Svar på Europaparlamentets skriftliga frågor till kommissionsledamot Neelie Kroes i samband med Europaparlamentets utfrågningar inför HÄRIGENOM FRAMFÖRS FÖLJANDE. kommissionsledamotens utnämning. ( 5 ) Svar på Europaparlamentets skriftliga frågor till kommissionsledamot Neelie Kroes i samband med Europaparlamentets utfrågningar inför kommissionsledamotens utnämning. Kommissionsledamot Viviane I. INLEDNING Redings tal på ämnet ”A European Digital Agenda for the New Digital Consumer” vid BEUC:s ”Multi-stakeholder Forum on Consu

text: Informations- och kommunikationsteknik (IKT) öppnar mer Privacy and Online Marketing: Market Trends and Policy Pers upp för enorma möjligheter inom praktiskt taget alla delar pectives” i Bryssel den 12 november 2009. ( 6 ) Se t.ex. RISEPTIS rapport Trust in the Information Society, en rapport av våra liv – hur vi arbetar, tillbringar vår fritid, umgås från den rådgivande nämnden, RISEPTIS (Research and Innovation on Security, Privacy and Trustworthiness in the Information Society) ( 1 ) EGT L 281, 23.11.1995, s. 31. på http://www.think-trust.eu/general/news-events/riseptis-report.html. ( 2 ) EGT L 201, 31.7.2002, s. 37. Se även J. B Horrigan, ”Broadband Adoption and Use in America”, ( 3 ) EGT L 8, 12.1.2001, s. 1. FCC Omnibus Broadband Initiative, OBI Working Paper Series No 1.

text: OCKSÅ NYA RISKER

text: VERKTYG FÖR ATT SKAPA FÖRTROENDE FÖR IKT

text: HOS ENSKILDA PERSONER

text: SIGN” I EU:s LAGSTIFTNING OCH POLITIK

text: ( 1 ) Stockholmsprogrammet – Ett öppet och säkert Europa i medborgar 50. Detta innebär till exempel att initiativ för att säkerställa nas tjänst och för deras skydd, godkänt av Europeiska rådet i de cember 2009. mer effektiva och moderna förvaltningstillämpningar som ( 2 ) Yttrande av den 10 juli 2009 om kommissionens meddelande till gör det enklare för enskilda personer att interagera med Europaparlamentet och rådet om ett område med frihet, säkerhet förvaltningar bör inbegripa ett krav på att de utformas och rättvisa i allmänhetens tjänst, EUT C 276, 17.11.2009, s. 8, och drivs i enlighet med principen om ”privacy by de punkt 60. sign”. Samma sak gäller för kommissionens politik och ( 3 ) Artikel 29-arbetsgruppens yttrande 168 om ”The Future of Privacy, insatser för att främja snabbare Internet, digitalt innehåll Joint contribution to the Consultation of the European Commission on the legal framework for the fundamental right to protection of eller ett allmänt främjande av fast och trådlös kommuni personal data”, antaget den 1 december 2009. kation och dataöverföring.

text: ( 1 ) RFID står för Radio Frequency Identification (radiofrekvensidentifie ring). Huvudkomponenterna för RFID-teknik eller RFID-infrastruktur är en tagg (dvs. ett mikrochip), en läsare och en applikation kopplad Områden av särskild vikt till taggarna och läsarna genom mellanprogram och bearbetning av de framtagna uppgifterna. Själva taggarna består av en elektronisk 54. I några fall kan det, till följd av de särskilda riskerna för krets som lagrar uppgifter och en antenn som överför uppgifterna enskilda personers data- och integritetsskydd eller på via radiovågor. Läsaren har en antenn och en demodulator som översätter den inkommande analoga informationen från radiolänken grund av andra faktorer (en motvilja från industrin att till digitala uppgifter. Informationen kan sedan skickas via nätverk tillhandahålla produkter som innefattar ”privacy by de till databaser och servrar för att bearbetas av en dator. sign”, konsumenternas efterfrågan etc.), bli nödvändigt ( 2 ) I direktivet om e-integritet hänvisas till RFID i

text: artikel 3

text: : ”Detta att mer uttryckligen och ingående definiera åtgärder för direktiv ska tillämpas på behandling av personuppgifter i samband utformningen av ”privacy by design” som måste införlivas med att allmänt tillgängliga elektroniska kommunikationstjänster till i en viss typ av informations- och kommunikationspro handahålls i allmänna kommunikationsnät inom gemenskapen, in begripet allmänna kommunikationsnät som stöder datainsamling dukt/-teknik, eventuellt genom rättsliga instrument. och identifieringsutrustning.” Detta kompletteras genom skäl 56: ”Tekniska framsteg tillåter utvecklingen av nya tillämpningar base rade på utrustning för datainsamling och identifiering, vilket kan vara trådlös utrustning som använder radiofrekvenser. Till exempel utrustning för radiofrekvensidentifiering (RFID) använder radiofre 55. Europeiska datatillsynsmannen har identifierat olika om kvenser för att fånga data från unikt identifierade taggar, som kan råden (RFID, mötesplatser på nätet och tillämpningar via sändas över existerande kommunikationsnät. Den utbredda använd ningen av sådana tekniker kan ge avsevärda ekonomiska och sociala webbläsare) som enligt datatillsynsmannens åsikt i det här fördelar och därmed bidra betydelsefullt till den inre marknaden om skedet förtjänar kommissionens noggranna övervägande medborgarna accepterar användningen av dem. För att uppnå detta och de mer praktiska ingripanden som förespråkas ovan. mål är det nödvändigt att säkerställa att individernas grundläggande Dessa tre områden diskuteras mer ingående nedan. rättigheter, inbegripet rätten till dataskydd och integritetsskydd, ga ranteras. När sådan utrustning ansluts till allmänna elektroniska kommunikationsnät eller används i elektroniska kommunikations tjänster som en grundläggande infrastruktur bör de relevanta be stämmelserna i direktiv

text: (direktivet om integritet och elektronisk kommunikation), inklusive dem om säkerhet, trafik, lo V. RADIOFREKVENSIDENTIFIERING – RFID kaliseringsuppgifter och konfidentialitet, tillämpas.” ( 3 ) I exempelvis artikel 17 i dataskyddsdirektivet föreskrivs en skyldighet 56. RFID-taggar kan placeras i eller på föremål, djur och män att genomföra lämpliga tekniska och organisatoriska åtgärder för att niskor. De kan användas för att samla och lagra person skydda personuppgifter från förstöring genom olyckshändelse eller uppgifter, t.ex. uppgifter i patientjournaler, att spåra och otillåtna handlingar samt otillåten spridning av uppgifterna.

text: WEBBLÄSARNA SOM GARANTERAR INFORMERAT SAMTYCKE ATT TA EMOT REKLAM

text: ( 4 ) En cookie är en liten textfil som innehåller en unik identifierare. Normalt placerar annonsnätverk (samt operatörer av webbsajter eller a) Att tillhandahålla inställningar som begränsar åtkoms utgivare) cookies på besökarens hårddisk, framför allt på Interanvän ten till användarens profil till användarens självvalda darnas webbläsare, när användarna första gången besöker webbplat kontakter. Inställningarna ska vidare kräva användarens ser som innehåller reklam som ingår i deras nätverk. Cookien kom specifika samtycke innan något profilinnehåll görs till mer att göra det möjligt för annonsnätverket att känna igen en tidigare besökare som återvänder till webbplatsen eller besöker en gängligt för tredje parter. webbplats som är en partner till annonsnätverk. Sådana upprepade besök kommer att göra det möjligt för annonsnätverket att skapa en ( 1 ) Viviane Reding, ledamot av Europeiska kommissionen med ansvar profil över besökaren. för frågor om informationssamhället och medier: ”Think before you ( 5 )

text: Artikel 5.3 i direktivet

text: om e-integritet ändrades nyligen för att förs post! How to make social networking sites safer for children and tärka skyddet mot att fånga upp användarnas kommunikation ge teenagers?” Safer Internet Day Strasbourg, den 9 februari 2010. nom användningen av – exempelvis – spionprogramvara och coo ( 2 ) Europeiska ekonomiska och sociala kommitténs yttrande av den kies som lagras på en användares dator eller annan anordning. Inom 4 november 2009 om de sociala nätverkssajternas inverkan på med ramen för det nya direktivet bör användare erbjudas bättre infor borgare/konsumenter. mation om och enklare sätt att kontrollera om de vill att cookies ( 3 ) Se även i punkt 33 i detta dokument. lagras i deras terminalutrustning.

text: VIII. ANDRA PRINCIPER SOM SYFTAR TILL ATT 98. Artikel 29-arbetsgruppen håller på att utarbeta ett ytt SKYDDA ENSKILDA PERSONERS DATA- OCH INTEGRI rande som syftar till att klargöra de rättsliga krav som TETSSKYDD råder för beteendestyrd annonsering, vilket välkomnas. En tolkning kanske emellertid inte är tillräckligt för att 103. Samtidigt som principen om ”privacy by design” har stor lösa denna situation och det kanske blir nödvändigt för potential att förbättra enskilda personers data- och integ Europeiska unionen att vidta ytterligare åtgärder. ritetsskydd är det nödvändigt att i lag utforma och ge nomföra kompletterande principer för att säkerställa kon sumenternas förtroende för IKT. Mot denna bakgrund tar Europeiska datatillsynsmannen upp principen om ansva VII.2 Behov av ytterligare åtgärder, framför allt be righet och färdigställandet av ett obligatoriskt regelverk för

amnesord:
ePrivacy Directive
Privacy by Design
Privacy by Default
Accountability
Technologies
Social Networks

title: Promoting trust in the Information Society

text: 16.10.2010 Europeiska SV unionens officiella tidning C 280/1

text: I

text: (Resolutioner, rekommendationer och yttranden)

text: YTTRANDEN

text: EUROPEISKA DATATILLSYNSMANNEN

text: Yttrande från Europeiska datatillsynsmannen om att främja förtroendet för informationssamhället genom stärkt data- och integritetsskydd

text: (2010/C 280/01)

text: EUROPEISKA DATATILLSYNSMANNEN HAR ANTAGIT DETTA med varandra och utbildar oss. IKT är av avgörande be YTTRANDE tydelse för dagens informationsekonomi och för samhället i stort.

text: med beaktande av fördraget om Europeiska unionens funktions sätt, särskilt artikel 16, 2. Europeiska unionen är en global kraft på området avan cerad informations- och kommunikationsteknik, en ställ ning den är fast besluten att behålla. För att möta denna med beaktande av Europeiska unionens stadga om de grund utmaning förväntas Europeiska kommissionen inom kort läggande rättigheterna, särskilt artiklarna 7 och 8, att anta en ny digital dagordning för Europa, något som kommissionsledamot Neelie Kroes har bekräftat som sin prioritet ( 4 ). med beaktande av

text: Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995

text: om skydd för enskilda personer med avseende på behandling av personuppgifter och 1 ), 3. Datatillsynsmannen erkänner de fördelar som IKT för med om det fria flödet av sådana uppgifter ( sig och håller med om att EU bör göra sitt yttersta för att främja utvecklingen av IKT och se till att denna teknik införs på bred front. Datatillsynsmannen delar vidare fullt med beaktande av Europaparlamentets och rådets direktiv ut kommissionsledamöterna Kroes och Redings åsikt om

text: av den 12 juli 2002 om behandling av person att individerna bör sättas i centrum i denna nya miljö ( 5 ). uppgifter och integritetsskydd inom sektorn för elektronisk Enskilda personer bör kunna lita på informations- och kommunikation ( 2 ), kommunikationsteknikens förmåga att skydda deras upp gifter och kontrollera hur de används, samt att deras rät tigheter till integritets- och dataskydd kommer att respek med beaktande av Europaparlamentets och rådets förordning teras i den digitala världen. Att dessa rättigheter respekte

text: (EG) nr 45/2001

text: av den 18 december 2000 om skydd för ras är avgörande för att skapa ett förtroende hos kon enskilda då gemenskapsinstitutionerna och gemenskapsorganen sumenterna och ett sådant förtroende är i sin tur avgö behandlar personuppgifter och om den fria rörligheten för så rande för att medborgarna ska acceptera nya tjänster ( 6 ). dana uppgifter ( 3 ), särskilt

text: artikel 41

text: C 280/2 SV Europeiska unionens officiella tidning 16.10.2010

text: 4. EU har en stark rättslig ram för data- och integritetsskyd dataskyddsdirektivet, yttrandet av den 20 december 2007 det, vars principer tillämpas fullt ut även i den digitala om RFID och de två yttrandena om direktivet om integ tidsåldern. Därmed inte sagt att det går att slå sig till ro. I ritet och elektronisk kommunikation ( 2 ). flera fall ger IKT upphov till nya frågeställningar som inte omfattas av den befintliga ramen, vilket gör det nödvän digt att vidta åtgärder för att se till att enskilda personers rättigheter, enligt vad som fastställs i EU:s lagstiftning, också framöver omfattas av ett effektivt skydd även i II. IKT ERBJUDER NYA MÖJLIGHETER MEN SKAPAR denna nya miljö.

text: 8. IKT har jämförts med andra banbrytande uppfinningar, t.ex. elektriciteten. Även om det kanske är för tidigt att bedöma den konkreta effekten på vår historia, finns det ett klart samband mellan IKT och ekonomisk tillväxt i utvecklade länder. IKT har skapat sysselsättning, ekono miska fördelar och bidragit till länders allmänna välfärd. 5. I det här yttrandet diskuteras de åtgärder som Europeiska Effekterna av IKT går utöver de rent ekonomiska, eftersom unionen skulle kunna främja eller vidta för att säkerställa den har spelat en viktig roll för att främja innovation och enskilda personers data- och integritetsskydd i en fortsatt kreativitet. teknikdriven globaliserad värld. Yttrandet tar upp lagstif tande och icke lagstiftande instrument.

text: 9. IKT har dessutom förändrat det sätt på vilket vi arbetar, umgås och interagerar med varandra. Människor använder sig till exempel i allt högre grad av IKT i sina ekonomiska och sociala liv. Enskilda personer kan i allt större utsträck ning använda en lång rad nya IKT-tillämpningar, t.ex. ehälsovård, e-transport, e-förvaltning samt innovativa inter 6. Efter att först ha gett en översikt över IKT som en ny aktiva system för underhållning och inlärning. teknikutveckling som skapar möjligheter men även ger upphov till risker, går yttrandet vidare till att diskutera behovet av att data- och integritetsskyddet finns med re dan när ny informations- och kommunikationsteknik ut formas (nedan kallat principen om ”privacy by design”). För att säkerställa att denna princip iakttas diskuterar yttrandet 10. Mot bakgrund av dessa fördelar har samtliga av de euro behovet att införliva principen om ”privacy by design” i peiska institutionerna förbundit sig att stödja IKT som ett den rättsliga ramen för dataskydd på minst två olika sätt. nödvändigt verktyg för att förbättra den europeiska indu För det första genom att införliva den som en allmän, strins konkurrenskraft och för att skynda på Europas eko bindande princip och, för det andra, genom att införliva nomiska återhämtning. I augusti 2009 antog kommissio den inom särskilda IKT-områden där de särskilda risker nen sitt meddelande Europeisk rapport om digital konkurrens för data- och integritetsskyddet som uppstår kan reduceras kraft ( 3 ) och inledde ett offentligt samråd om lämpliga genom lämplig teknisk arkitektur och design. Det rör sig framtida strategier för att främja IKT. Den 7 december om följande områden: RFID (Radio Frequency Identifica 2009 lade rådet fram ett bidrag till detta tion), mötesplatser på nätet och tillämpningar via webb samråd genom sina slutsatser: Post i2010-strategin – Mot läsare. Slutligen lägger yttrandet fram förslag på andra ett öppet, grönt och konkurrenskraftigt verktyg och principer som syftar till att skydda enskilda kunskapssamhälle ( 4 ). Europaparlamentet har nyligen personers integritets- och dataskydd inom IKT-sektorn. ( 2 ) Yttrande av den 25 juli 2007 om meddelandet från kommissionen till Europaparlamentet och rådet om uppföljningen av arbetspro grammet för ett bättre genomförande av dataskyddsdirektivet, EUT C 255, 27.10.2007, s. 1. Yttrande av den 20 december 2007 kom missionens meddelande till Europaparlamentet, rådet, Europeiska ekonomiska och sociala kommittén och Regionkommittén om Ra diofrekvensidentifiering (RFID) i Europa: på väg mot en strategi, (KOM(2007) 96), EUT C 101, 23.4.2008, s. 1. Yttrande av den 10 april 2008 om förslaget till Europaparlamentets och rådets di 7. Genom att ta upp dessa frågor behandlar datatillsynsman rektiv om ändring av bland annat direktiv

text: om behand nen i detta yttrande några av de åsikter som

text: artikel 29

text: - ling av personuppgifter och integritetsskydd inom sektorn för elek arbetsgruppen lagt fram i sitt bidrag till det offentliga tronisk kommunikation (direktiv om integritet och elektronisk kom samrådet om det framtida integritetsskyddet ( 1 ). Yttrandet munikation), EUT C 181, 18.7.2008, s. 1. Andra yttrandet av den bygger även på tidigare yttranden från datatillsynsmannen, 9 januari 2009 om översynen av direktiv

text: om behand ling av personuppgifter och integritetsskydd inom sektorn för elek t.ex. yttrandet av den 25 juli 2007 om genomförandet av tronisk kommunikation. ( 3 ) Europeisk rapport om digital konkurrenskraft – De största landvin ( 1 ) Artikel 29-arbetsgruppens yttrande 168 om ”The Future of Privacy, ningarna för strategin i2010 under 2005–2009, (SEC (2009) 1060). Joint contribution to the Consultation of the European Commission ( 4 ) Rådets slutsatser: Post i2010-strategin – Mot ett öppet, grönt och on the legal framework for the fundamental right to protection of konkurrenskraftigt kunskapssamhälle, (17107/09), antagna den personal data”, antaget den 1 december 2009. 18.12.2009. 16.10.2010 Europeiska SV unionens officiella tidning C 280/3 antagit ett betänkande som syftar till att ge kommissionen 15. För att sammanfatta är det sannolikt att det alltid kommer vägledning för att definiera en digital agenda ( 1 ). att finnas en viss kvarstående risk, även efter korrekta bedömningar och tillämpning av nödvändiga åtgärder. Samtidigt som det skulle vara orealistiskt att förvänta sig en helt riskfri situation kan och måste emellertid åtgärder vidtas för att minska sådana risker till lämpliga nivåer (se 11. Vid sidan av de möjligheter och fördelar som utvecklingen nedan). av IKT för med sig skapas även nya risker, särskilt med avseende på den personliga integriteten och skyddet av enskilda personers personuppgifter. IKT leder ofta till att den mängd information som samlas in, sorteras, filtreras, III. ”PRIVACY BY DESIGN” SOM ETT AVGÖRANDE överförs eller på annat sätt behålls sprids (ofta på sätt som enskilda personer inte är medvetna om), vilket innebär att de risker som är förknippade med detta ökar.

text: 16. Frukterna av de potentiella fördelarna med IKT kan endast skördas om denna teknik kan skapa ett förtroende, dvs. om den kan få användarna att vilja utnyttja IKT till följd av denna tekniks egenskaper och fördelar. Ett sådant för 12. Ett exempel på detta är de RFID-taggar som nu ersätter troende kommer endast att kunna vinnas om infor streckkoder på (vissa) konsumentprodukter. Genom att mations- och kommunikationstekniken är tillförlitlig och förbättra informationsflödet i försörjningskedjan (och däri säker, om enskilda personer har kontroll över den och om genom kunna minska behovet av ”säkerhets”-lager, tillhan skyddet av individernas personuppgifter och integritet ga dahålla mer korrekta prognoser etc.) förväntas det nya ranteras. systemet gynna både företagen och konsumenterna. Sam tidigt ökar detta emellertid på ett oroväckande sätt möj ligheten att spåra enskilda personer, av olika skäl och av olika enheter, genom taggade personliga ägodelar. 17. Sådana omfattande risker och misslyckanden som de som beskrivits ovan kommer, särskilt om de inbegriper miss bruk av personuppgifter eller överträdelser av personupp giftsbestämmelser som exponerar enskilda personers pri 13. Ett annat exempel är ”cloud computing” (s.k. datormoln), vatliv, sannolikt att äventyra användarnas förtroende för vilket i stort sett går ut på att tillhandahålla webbapplika informationssamhället. Detta skulle allvarligt kunna skada tioner till privatpersoner och företag över Internet. Det utvecklingen av och fördelarna med IKT. kan röra sig om allt från fotobibliotek, kalendrar, webb mail och kunddatabaser till mer komplexa företagstjänster. Fördelarna för både företag och privatpersoner är tydliga: kostnadsreducering (inkrementella kostnader), platsobero ende åtkomlighet (enkelt tillgång till information var som 18. Att eliminera dessa risker med avseende på data- och helst i världen), automation (inget behov av särskilda IT- integritetsskyddet genom att undanröja, exkludera eller resurser eller av uppdateringar av programvara) etc. Sam vägra att använda eller främja IKT är dock inte ett alter tidigt föreligger mycket konkreta risker för säkerhetsglapp nativ. Det skulle varken vara genomförbart eller realistiskt och hacking. Det finns också en oro för att man ska och hindra enskilda personer från att dra nytta av för förlora tillgången till och kontrollen över sina egna data. delarna med IKT samt allvarligt begränsa de övergripande fördelarna med denna teknik.

text: 14. Fördelar och risker har visat sig samexistera inom andra områden där man använder sig av IKT-tillämpningar. Ta 19. Europeiska datatillsynsmannen anser att en mer positiv till exempel e-hälsovård, som kan förbättra effektiviteten, lösning är att utforma och utveckla IKT på ett sätt som sänka kostnaderna, öka tillgängligheten och allmänt för respekterar data- och integritetsskyddet. Det är därför av bättra kvaliteten på hälsovårdstjänster. E-hälsovård ger allra största vikt att detta skydd finns med under tek emellertid också upphov till frågan om legitimiteten hos nikens hela livscykel, från utformningsstadiet fram till sekundär användning av hälsouppgifter, vilket kräver en dess att den slutligen tas i bruk och så småningom skro ingående analys av syftena med eventuell sekundär an tas. Detta kallas normalt ”privacy by design” och diskute vändning ( 2 ). Eftersom elektroniska patientjournalen nu ras vidare nedan. används i allt större utsträckning har systemen själva drab bats av skandaler där man i flera fall avslöjat hackers som olagligt tagit sig in i elektroniska patientjournaler. 20. ”Privacy by design” kan inbegripa flera olika åtgärder, be ( 1 ) Betänkande om fastställandet av en ny digital agenda för Europa: roende på det särskilda fallet eller tillämpningen. I vissa från i2010 till digital.eu (2009/2225 (INI)), antaget den 18.3.2010. fall kan det till exempel krävas att personuppgifter tas ( 2 ) Försäljning eller användning av hälsouppgifter som samlats in i syfte bort/reduceras eller att onödig och/eller oönskad behand att behandla en patient får exempelvis inte användas för att välja ling av personuppgifter förhindras. I andra fall kan ”pri platser för satellitkliniker, att etablera ambulerande kirurgi, och på andra sätt planera framtida aktiviteter med finansiella konsekvenser vacy by design” innebära att man tillhandahåller verktyg skulle kräva noggrann granskning. som ökar användarnas kontroll över sina personuppgifter. C 280/4 SV Europeiska unionens officiella tidning 16.10.2010 Sådana åtgärder skulle kunna övervägas vid definitionen III.2 Otillräckligt utnyttjande av IKT som tillämpar av standarder och/eller bästa metoder. De skulle också ”privacy by design” kunna införlivas i informations- och kommunikations systemens arkitektur, eller i de strukturella organisatio 24. En viktig fråga är huruvida ekonomiska aktörer, tillver nerna hos de enheter som behandlar personuppgifter. kare/tillhandahållare av IKT och registeransvariga har ett intresse av att marknadsföra och genomföra principen om ”privacy by design” inom IKT. I detta sammanhang är det också viktigt att bedöma användarnas behov av ”privacy by design”. III.1 Tillämpning av principen om ”privacy by de sign” inom olika IKT-områden och effekten av detta

text: 25. Under 2007 utfärdade kommissionen ett meddelande i 21. Det finns ett behov av principen om ”privacy by design” vilket den uppmanade företag att använda sin förmåga inom en rad olika IKT-områden. Inom till exempel hälsotill innovation för att utveckla och genomföra integra och sjukvårdssektorn används i allt högre grad IKT-infra tionsfrämjande teknik för att förbättra data- och integri strukturer som ofta inbegriper en centraliserad lagring av tetsskyddet redan från början av utvecklingscykeln ( 2 ). patientjournaler. En tillämpning av principen om ”privacy by design” inom hälso- och sjukvårdssektorn skulle kräva en bedömning av olika åtgärders lämplighet, t.ex. möjlig heten att minimera data som lagras centralt eller en be gränsning av sådana data till ett index, användning av krypteringsverktyg, att endast ge de som absolut behöver 26. Hittills har emellertid tillgängliga uppgifter visat att varken det tillträdesrätt, en anonymisering av data när de inte IKT-tillverkare eller registeransvariga (varken inom den längre behövs etc. privata eller offentliga sektorn) konsekvent har lyckats genomföra eller marknadsföra principen om ”privacy by design”. Man har lagt fram olika skäl till detta, bland annat bristen på ekonomiska incitament och institutionellt stöd, otillräcklig efterfrågan etc ( 3 ).

text: 22. Inom transportsektorn förses transportsystem allt oftare automatiskt med avancerade IKT-tillämpningar som inte ragerar med fordonet och dess miljö för olika syften och 27. Samtidigt har användarna ställt relativt låga krav på ”pri funktioner. Bilar utrustas till exempel i allt högre grad vacy by design”. Användare av IKT-produkter och IKTmed nya IKT-funktioner (GPS, GSM, nätverk av sensorer tjänster kanske med rätta tar för givet att deras personliga etc.) som inte bara visar var fordonet befinner sig utan integritet och personuppgifter är skyddade fastän det i även dess tekniska förhållanden i realtid. Denna infor flera fall inte är på det viset. I vissa fall har användarna mation skulle kunna användas för att exempelvis ersätta helt enkelt inte möjlighet att vidta de säkerhetsåtgärder befintliga vägskattesystem med vägavgifter som är kopp som är nödvändiga för att skydda sina egna eller andras lade till utnyttjandet av olika vägar. Att tillämpa principen personuppgifter. I flera fall beror detta på att de inte helt om ”privacy by design” vid utformningen av arkitekturen eller ens delvis känner till riskerna. Ungdomar bryr sig för sådana system skulle innebära att så få personuppgifter exempelvis i allmänhet inte om de risker för den person som möjligt behandlades och skickades vidare ( 1 ). I enlig liga integriteten som är förknippade med att lägga ut het med denna princip skulle en decentraliserad eller del personuppgifter på nätet och struntar ofta i sekretess vis decentraliserad systemarkitektur som begränsar sprid inställningarna. Andra användare kanske är medvetna ning av lokaliseringsuppgifter till en central punkt vara att om riskerna men har inte den tekniska kunskap som föredra framför en centraliserad systemarkitektur. krävs för att kunna tillämpa den säkerhetsteknik som finns tillgänglig, t.ex. teknik som skyddar deras internet anslutning eller som används för att ändra inställningarna i webbläsaren i syfte att minimera användarprofilering som grundas på övervakning av deras internetsurfande.

text: 23. Av ovan nämnda exempel framgår att när informationsoch kommunikationsteknik bygger på principen om ”pri vacy by design” är det möjligt att kraftigt minska riskerna 28. Riskerna i fråga om data- och integritetsskyddet är emel med avseende på data- och integritetsskyddet. lertid ofta mycket påtagliga. Om detta skydd inte beaktas från första början är det ofta för sent och allt för ekono ( 1 ) Se yttrande från Europeiska datatillsynsmannen av den 22 juli 2009 miskt betungande att fixa systemen, och ofta för sent att om kommissionens meddelande om en handlingsplan för införande av intelligenta transportssystem i EU och det åtföljande förslaget till Europaparlamentets och rådets direktiv om en ram för införande av ( 2 ) Meddelande från kommissionen till Europaparlamentet och rådet om intelligenta transportsystem på vägtransportområdet och för gräns främjande av dataskydd genom integritetsfrämjande teknik, snitt mot andra transportsätt, tillgänglig på: http://www.edps.europa. KOM(2007) 228 slutlig, 2.5.2007. eu/EDPSWEB/webdav/site/mySite/shared/Documents/Consultation/ ( 3 ) ”Study on the economic benefits of privacy enhancing technologies Opinions/2009/09-07-22_Intelligent_Transport_Systems_EN.pdf (PETS)”, jls/2008/D4/036. 16.10.2010 Europeiska SV unionens officiella tidning C 280/5 reparera den skada som redan skett. Det ökade antalet 33. Det befintliga dataskyddsdirektivet innehåller inte något dataintrång på senare tid visar tydligt på detta problem uttryckligt krav på ”privacy by design”. Däremot innehåller och understryker behovet av ”privacy by design”. det bestämmelser som indirekt, i olika situationer, mycket väl skulle kunna kräva genomförandet av principen om ”privacy by design”. Enligt

text: artikel 17

text: krävs bland annat att registeransvariga ska genomföra lämpliga tekniska och or 29. Av ovan framgår tydligt att tillverkare och tillhandahållare ganisatoriska åtgärder för att förhindra otillåten behand av informations- och kommunikationsteknik som syftar ling av uppgifter ( 5 ). ”Privacy by design” täcks följaktligen till att behandla personuppgifter bör, tillsammans med på ett mycket allmänt sätt. Dessutom riktar sig bestäm registeransvariga, ha ett ansvar att utforma denna teknik melserna i direktivet främst till registeransvariga och det med inbyggda skyddsåtgärder för data- och integritets sätt på vilket de behandlar personuppgifter. Bestämmel skyddet. I flera fall skulle detta innebära att denna teknik serna kräver inte uttryckligen att data- och integritetsskyd redan från början utformas med förvalda inställningar för det måste byggas in i informations- och kommunikations sekretess. tekniken – detta skulle kräva att de även riktar sig till utvecklare och tillverkare av IKT, inbegripet de verksam heter som utförs under standardiseringsfasen.

text: 30. Mot denna bakgrund måste vi överväga vilka åtgärder beslutsfattarna bör vidta för att främja ”privacy by design” i utvecklingen av IKT. En första fråga är huruvida den befintliga rättsliga ramen för dataskyddet innehåller till räckliga bestämmelser för att säkerställa att både register 34. Direktivet om integritet och elektronisk kommunikation ansvariga och tillverkare/utvecklare genomför principen är mer utförligt. I

text: artikel 14.3

text: föreskrivs följande: ”När så om ”privacy by design”. En andra fråga man måste ställa krävs får åtgärder vidtas för att säkerställa att terminal sig är vad som bör göras inom ramen för den digitala utrustning är konstruerad så att den är förenlig med an dagordningen för Europa för att se till att IKT-sektorn vändarnas rätt till skydd och kontroll av sina personupp skapar förtroende hos konsumenterna. gifter i enlighet med direktiv

text: och

text: rådets beslut 87/95/EEG av den 22 december 1986

text: om standardisering inom området informationsteknologi och telekommunika tion.” Denna bestämmelse har emellertid aldrig använts ( 6 ). IV. ATT INFÖRLIVA PRINCIPEN OM ”PRIVACY BY DE IV.1 Den befintliga rättsliga ramen för data- och in tegritetsskyddet

text: 35. Även om de ovan nämnda bestämmelserna i de två di 31. EU har ett starkt ramverk för data- och integritetsskyddet rektiven bidrar till att främja ”privacy by design”, har de i som fastställs i direktiv

text: ( 1 ), direktiv praktiken inte varit tillräckliga för att säkerställa att skydds

text: ( 2 ) samt i rättspraxis från Europeiska dom mekanismer för den personliga integriteten byggs in i IKT. stolen för de mänskliga rättigheterna ( 3 ) och EG-domsto len.

text: 32. Dataskyddsdirektivet är tillämpligt på ”åtgärd eller serie av 36. Lagen kräver alltså inte på ett tillräckligt klart sätt att IKT åtgärder som vidtas beträffande personuppgifter” (insam utformas i enlighet med principen om ”privacy by design”. ling, lagring, utlämnande etc.). I direktivet föreskrivs att de Dessutom har dataskyddsmyndigheter inte tillräckliga be som behandlar personuppgifter (”registeransvariga”) måste fogenheter för att säkerställa ett införlivande av principen iaktta vissa principer och skyldigheter. Vidare fastställs om ”privacy by design”. Detta leder till ineffektivitet. Da enskilda personers rättigheter, t.ex. rätten att få tillgång taskyddsmyndigheter skulle exempelvis kunna införa på till sina egna personuppgifter. Direktivet om integritet följder i fall där förfrågningar om tillgång från enskilda och elektronisk kommunikation behandlar särskilt integ personer inte besvaras och har befogenhet att kräva att ritetsskyddet inom sektorn för elektronisk kommunika tion ( 4 ). ( 5 )

text: Artikel 17

text: lyder enligt följande: ”Medlemsstaterna skall föreskriva att den registeransvarige skall genomföra lämpliga tekniska och organi ( 1 )

text: Europaparlamentets och rådets direktiv 95/46/EG

text: (dataskyddsdirek satoriska åtgärder för att skydda personuppgifter från förstöring tivet). genom olyckshändelse eller otillåtna handlingar eller förlust genom ( 2 )

text: Europaparlamentets och rådets direktiv 2002/58/EG

text: (direktivet om olyckshändelse samt mot ändringar, otillåten spridning av eller otill e-integritet). låten tillgång till uppgifterna, särskilt om behandlingen innefattar ( 3 ) Tolkning av de viktigaste delarna och villkoren i artikel 8 i Europe överföring av uppgifter i ett nätverk, och mot varje annat slag av iska konventionen om skydd för de mänskliga rättigheterna och de otillåten behandling.” Detta kompletteras med skäl 46: ”Skyddet för grundläggande friheterna, antagen i Rom den 4 november 1950, i de registrerades fri- och rättigheter förutsätter så vitt avser behand deras olika tillämpningar. ling av personuppgifter att lämpliga tekniska och organisatoriska ( 4 ) Lissabonfördraget har förstärkt detta skydd genom att erkänna re åtgärder vidtas både när systemet för behandlingen utformas och spekten för privatlivet och skyddet av personuppgifter som separata när själva behandlingen sker, särskilt för att garantera säkerheten grundläggande rättigheter i artiklarna 7 och 8 i EU:s stadga om de och för att på så sätt hindra all otillåten behandling.” grundläggande rättigheterna som blev bindande när Lissabonfördra ( 6 ) Kommissionen har meddelat sin avsikt att uppdatera direktiv get trädde i kraft.

text: i slutet av 2010. C 280/6 SV Europeiska unionens officiella tidning 16.10.2010 vissa åtgärder vidtas för att förhindra otillåten behandling d) Att införa ”privacy by design” som en princip i andra av uppgifter. Det står emellertid inte alltid klart om deras EU-initiativ (främst icke lagstiftande). befogenheter sträcker sig så långt som till att kräva att ett system utformas på ett sätt som främjar enskilda perso ners personuppgiftsskydd ( 1 ). Av de befintliga rättsliga be stämmelserna framgår till exempel inte om man har rätt att kräva att en informationssystemarkitektur utformas på ett sätt som gör det enklare för företag att besvara förfråg En allmän bestämmelse om ”privacy by design” ningar om tillgång från enskilda personer så att sådana förfrågningar kan hanteras automatiskt och snabbare. Des 39. Europeiska datatillsynsmannen föreslår att principen om sutom kan senare försök att ändra tekniken när den väl ”privacy by design” uttryckligen och entydigt inkluderas i har utvecklats eller satts i bruk leda till ett lapptäcke av den befintliga rättsliga ramen för dataskydd. Detta skulle lösningar som inte fungerar fullt ut, och dessutom vara förstärka denna princip, göra den mer uttrycklig och ekonomiskt betungande. tvinga fram ett effektivt genomförande av den, samtidigt som det ger tillsynsmyndigheterna ökade befogenheter att kräva att den faktiskt tillämpas i praktiken. Detta är fram för allt nödvändigt mot bakgrund av det som angivits ovan, inte bara eftersom principen i sig är ett viktigt verktyg för att främja ett förtroende, utan även som ett 37. Enligt Europeiska datatillsynsmannens åsikt, som delas av incitament för berörda aktörer att genomföra ”privacy by artikel 29-arbetsgruppen ( 2 ), finns det utrymme i den gäl design” och stärka de garantier som föreskrivs i den be lande rättsliga ramen för ett mer uttryckligt godkännande fintliga rättsliga ramen. av principen om ”privacy by design”.

text: 40. Detta förslag bygger på artikel 29-arbetsgruppens rekom IV.2 Att införliva ”privacy by design” på olika nivåer mendation att införa principen om ”privacy by design” som en allmän princip i den rättsliga ramen för datas 38. Mot bakgrund av ovanstående rekommenderar Europeiska kydd, däribland dataskyddsdirektivet. Enligt

text: artikel 29

text: -ar datatillsynsmannen att kommissionen följer fyra hand betsgruppen bör denna princip vara bindande för teknik lingslinjer: utvecklare och tillverkare samt för registeransvariga som ska besluta om förvärv och användning av IKT. De bör åläggas att ta hänsyn till tekniken för dataskydd redan vid planeringsstadiet för informationstekniska förfaranden och system. Tillhandahållare av sådana system eller tjänster samt registeransvariga bör kunna visa att de har vidtagit a) Att lägga fram ett förslag som inkluderar en allmän alla åtgärder som krävs för att iaktta dessa krav. bestämmelse om ”privacy by design” i den rättsliga ramen för dataskydd.

text: 41. Europeiska datatillsynsmannen välkomnar vidare kommis sionsledamot Viviane Redings stöd för principen om ”pri b) Att vidareutveckla denna allmänna bestämmelse i sär vacy by design”, som hon gav uttryck för i samband med skilda bestämmelser i samband med att förslag till sär meddelandet om granskningen av dataskyddsdirektivet ( 3 ). skilda rättsliga instrument för olika sektorer läggs fram. Dessa särskilda bestämmelser skulle redan nu kunna inkluderas i rättsliga instrument, på grundval av artikel 17 i dataskyddsdirektivet (och annan befintlig lagstiftning). 42. Vad gäller innehållet i en sådan reglering är det första och viktigaste att en allmän princip om ”privacy by design” är teknikneutral. Principen bör inte ha för avsikt att reglera tekniken och bör alltså inte föreskriva särskilda tekniska lösningar utan i stället att befintliga principer för integri c) Att inkludera ”privacy by design” som en vägledande tets- och dataskyddet ska integreras i informations- och princip i den digitala dagordningen för Europa. ( 3 ) ” ’Privacy by design’ är en princip som ligger i både medborgarnas ( 1 ) Se den brittiska informationskommissionärens rapport Privacy by och företagens intresse. ’Privacy by design’ kommer att leda till ett Design, publicerad i november 2008. bättre skydd för enskilda personer, samt till ett förtroende för och en ( 2 ) Se artikel 29-gruppens yttrande om ”The Future of Privacy: Joint tillit till nya tjänster och produkter, vilket i sin tur kommer att ha en contribution to the Consultation of the European Commission on positiv inverkan på ekonomin. Det finns flera uppmuntrande exem the legal framework for the fundamental right to protection of pel, men fortfarande återstår mycket arbete.” Huvudtal vid datas personal data”, antaget den 1 december 2009. kyddsdagen den 28 januari 2010, Europaparlamentet, Bryssel. 16.10.2010 Europeiska SV unionens officiella tidning C 280/7 kommunikationssystem och lösningar. Detta skulle göra ”Privacy by design” som en vägledande princip i den digitala det möjligt för berörda parter, tillverkare, registeransvariga dagordningen för Europa och dataskyddsmyndigheter att i varje enskilt fall tolka innebörden i principen. För det andra skulle ett iaktta 46. Informations- och kommunikationstekniken blir alltmer gande av principen vara obligatoriskt i alla steg, från ut komplex och medför allt större risker för data- och in formningen av standarder och arkitektur till dess att de tegritetsskyddet. Rent generellt är digitaliserad infor genomförs av registeransvariga. mation, som är lättare att få tillgång till, kopiera och överföra, exponerad för mycket högre risker än pappers baserad information. I takt med att utvecklingen går mot nät av sammankopplade ting kommer riskerna att öka. Ju större riskerna för data- och integritetsskyddet är, desto större kommer efterfrågan på förbättrade säkerhets Bestämmelser i särskilda rättsinstrument mekanismer för data- och integritetsskyddet att bli. Det berättigade behovet att genomföra ”privacy by design” är 43. Befintliga och framtida lagstiftningsinstrument måste inte följaktligen mer påtagligt inom IKT-sektorn. Dessutom, grera principen om ”privacy by design” på grundval av vilket diskuteras ovan, är enskilda personers förtroende den befintliga rättsliga ramen och, efter antagandet av för IKT avgörande för att medborgarna ska acceptera den ovan föreslagna allmänna bestämmelsen, på grundval dessa nya tjänster, och data- och integritetsskyddet är nyc av den bestämmelsen. Enligt exempelvis de befintliga ini kelfaktorer för ett sådant förtroende. tiativen rörande intelligenta transportsystem kommer kommissionen inledningsvis att ha ett särskilt ansvar vid fastställandet av åtgärder, standardiseringsinitiativ, för faranden och bästa metoder. ”Privacy by design” bör vara en vägledande princip vid utförandet av dessa upp gifter. 47. En utvecklingsstrategi för IKT måste följaktligen bekräfta behovet att utforma denna teknik med inbyggda meka nismer för data- och integritetsskydd, dvs. med hänsyn till principen om ”privacy by design”.

text: 44. Europeiska datatillsynsmannen konstaterar vidare att prin cipen om ”privacy by design” även har stor betydelse inom området med frihet, säkerhet och rättvisa, särskilt i förhållande till målen i strategin för informationshante 48. Den digitala dagordningen för Europa bör följaktligen ut ring, enligt vad som förutses i Stockholmsprogrammet ( 1 ). tryckligen stödja principen om ”privacy by design” som ett I sitt yttrande om Stockholmsprogrammet underströk da nödvändigt inslag för att säkerställa medborgarnas förtro tatillsynsmannen att strukturen för informationsutbytet ende för IKT och onlinetjänster. Den bör erkänna att bör grundas på ”privacy by design” ( 2 ). ”Mer konkret in personlig integritet och förtroende går hand i hand, och nebär detta att informationssystem som utformas för att att ”privacy by design” bör vara en vägledande faktor vid tillgodose allmänna säkerhetsbehov alltid ska utformas i utvecklingen av en förtroendeingivande IKT-sektor. enlighet med principen om ’privacy by design’ ”. ”Privacy by design” som en princip i andra EU-initiativ

text: 45. I artikel 29-arbetsgruppens yttrande om det framtida in 3 ) förespråkas mer explicit att inom om 49. ”Privacy by design” bör vara en vägledande princip när tegritetsskyddet (  kommissionen genomför politik, åtgärder och initiativ rådet med frihet, säkerhet och rättvisa – där myndighe terna är huvudaktörer och där åtgärder som ökar över inom särskilda IKT-sektorer, inklusive e-hälsovård, e-upp vakningen direkt påverkar den grundläggande rätten till handling, e-socialförsäkring, e-lärande etc. Många av dessa data- och integritetsskydd – bör krav på inbyggda skydds initiativ kommer att ingå som åtgärdspunkter i den digi mekanismer för personlig integritet göras obligatoriska. tala dagordningen för Europa. Genom att införa dessa krav i informationssystem skulle regeringarna dessutom stimulera ”privacy by design” i egenskap av pilotkunder. C 280/8 SV Europeiska unionens officiella tidning 16.10.2010

text: 51. Detta omfattar även områden där kommissionen ansvarar följa människors rörelser och att lägga upp profiler över för de storskaliga IT-systemen, t.ex. SIS och VIS, samt de deras beteenden för olika syften. Detta kan ske utan att fall där kommissionens ansvar är begränsat till utveck den enskilda personen vet om det ( 1 ). lingen och underhållet av den gemensamma infrastruk turen för sådana system, t.ex. Europeiska informations systemet för utbyte av uppgifter ur kriminalregister (Ecris).

text: 57. Ett effektivt skydd av personuppgifter, privatlivet och de därmed förbundna etiska aspekterna är avgörande för all mänhetens godtagande av radiofrekvensidentifiering och 52. Exakt hur principen om ”privacy by design” kommer att det framtida ”sakernas Internet”. Endast då kan tekniken utvecklas kommer att vara beroende av varje enskild sek leverera sina många ekonomiska och samhälleliga fördelar. tor och situation. När exempelvis kommissionens initiativ åtföljs av lagstiftningsförslag för en särskilt IKT-sektor, kommer det i flera fall att vara lämpligt att inkludera en uttrycklig hänvisning till den definition av ”privacy by design” som är tillämplig för den särskilda IKT-tillämp V.1 Bristerna i den tillämpliga rättsliga ramen för ningen/-systemet. Om åtgärdsplaner för ett särskilt om uppgiftsskydd råde utformas bör de systematiskt säkerställa tillämp ningen av den rättsliga ramen och närmare bestämt ga 58. Dataskyddsdirektivet och direktivet om e-integritet är till rantera att den relevanta IKT-tekniken utvecklas med hän lämpliga på insamlingen av data genom RFID-tillämp syn till ”privacy by design”. ningar ( 2 ). I dessa direktiv föreskrivs bland annat att till räckliga säkerhetsåtgärder för att skydda den personliga integriteten ska införas för att driva RFID-tillämpningar ( 3 ).

text: 53. När det gäller forskning bör det sjunde ramprogrammet och de följande programmen användas som verktyg för att stödja projekt som syftar till att analysera standarder, 59. Denna rättsliga ram behandlar emellertid inte fullt ut alla IKT-teknik och IKT-arkitektur som bättre tjänar integrite de frågor avseende data- och integritetsskyddet som denna ten och särskilt principen om ”privacy by design”. Des teknik ger upphov till. Detta beror på att direktiven inte är sutom bör ”privacy by design” även vara ett nödvändigt tillräckligt detaljerade när det gäller den typ av säkerhets inslag att överväga i bredare IKT-projekt som syftar till att skydd som bör genomföras i RFID-tillämpningar. Det är behandla enskilda personers personuppgifter. nödvändigt att komplettera de befintliga reglerna med nya 16.10.2010 Europeiska SV unionens officiella tidning C 280/9 som föreskriver särskilda säkerhetsskydd, och framför allt RFID-tillämpningar kan känna sig frestade att i alltför stor då att göra det obligatoriskt att bygga in tekniska lös utsträckning förlita sig på undantaget och därmed lämna ningar (”privacy by design”) i RFID-teknik. Detta gäller taggen operativ efter försäljningstillfället. för taggar som lagrar personuppgifter, som bör förses med ett avaktiveringskommando (ett s.k. kill command), samt användning av kryptografi i taggar som lagrar vissa 64. Om detta sker kanske det är för sent att minska riskerna typer av personuppgifter. för enskilda personers data- och integritetsskydd, som vid detta skede kanske redan har påverkats. Med tanke på självregleringens karaktär kanske dessutom nationella till V.2 Självreglering som ett första steg synsmyndigheter har en svagare ställning i fråga om att ställa krav på att operatörer av RFID-tillämpningar till 60. I mars 2007 antog kommissionen ett meddelande ( 1 ) i lämpar särskilda åtgärder för ”privacy by design”. vilket den bland annat erkände att det kunde bli nödvän digt att ge detaljerade riktlinjer för den praktiska tillämp ningen av RFID samt att det var önskvärt att anta kon struktionskriterier för att förhindra risker för privatlivet 65. Europeiska datatillsynsmannen uppmanar därför kommis och säkerheten. sionen att, om ett effektivt genomförande av den gällande rättsliga ramen misslyckas, vara beredd att lägga fram förslag till lagstiftning som reglerar huvudfrågorna för 61. För att uppnå dessa mål antog kommissionen i maj 2009 användningen av RFID-tekniken. Kommissionens bedöm en rekommendation om genomförandet av principerna ning bör genomföras utan oskäligt dröjsmål. En senare om integritets- och dataskyddet i tillämpningar som stöds läggning skulle utsätta enskilda personer för risk och även av radiofrekvensidentifiering (RFID) ( 2 ). När det gäller vara kontraproduktivt för branschen eftersom rättsosäker RFID-tillämpningar som används i detaljhandeln måste heten är alltför hög och det sannolikt kommer att vara taggar avaktiveras vid försäljningsstället om inte kon svårare och dyrare att korrigera djupt rotade problem. sumenten gett sitt samtycke. Detta gäller emellertid inte om man i konsekvensanalysen avseende data- och integ ritetsskyddet drar slutsatsen att taggarna inte utgör ett 66. Inom ramen för de åtgärdsförslag som kanske visar sig bli sannolikt hot mot skyddet av privatlivet eller personupp nödvändiga rekommenderar Europeiska datatillsynsman gifter, i vilket fall de fortsätter att vara operativa efter nen att man inför principen om frivilligt deltagande vid försäljningstillfället såvida inte konsumenten väljer att tag försäljningsstället, vilket innebär att alla RFID-taggar på gen ska avaktiveras utan kostnad. konsumentprodukter automatiskt avaktiveras vid kassan. Det kanske inte skulle vara nödvändigt för kommissionen att specificera den konkreta teknik som skulle användas 62. Europeiska datatillsynsmannen stöder kommissionens för detta. I stället måste EU-lagstiftningen fastställa en strategi att använda självreglerande instrument. Som ytter rättslig skyldighet att erhålla frivilligt deltagande, och ligare redogörs för nedan är det emellertid möjligt att de låta operatörerna besluta hur detta krav ska mötas. förväntade resultaten inte kommer att kunna uppnås ge nom självreglering, och datatillsynsmannen uppmanar därför kommissionen att vara beredd att vidta alternativa åtgärder. V.4 Ytterligare frågor som bör övervägas: Reglering av ”sakernas Internet”

text: 67. Information som produceras av RFID-taggar – exempelvis V.3 Områden av särskild vikt och eventuella ytterli produktinformation – kan så småningom eventuellt sam gare åtgärder om självreglering inte fungerar mankopplas till ett globalt nätverk av kommunikations 63. Europeiska datatillsynsmannen är bekymrad över att or infrastruktur. Detta kallas normalt ”sakernas Internet”. Frå ganisationer som driver RFID-tillämpningar inom detalj gorna avseende data- och integritetsskyddet uppstår efter handeln kanske överser med att RFID-taggar eventuellt som föremål i den verkliga världen kan identifieras genom kan övervakas av icke önskade tredje parter. En sådan RFID-taggar som utöver produktinformation även kan in övervakning kan avslöja personuppgifter som är lagrade nehålla personuppgifter. på taggen (om några), men även göra det möjligt för en tredje part att följa eller känna igen en person över tiden genom att helt enkelt använda den unika identifiering som 68. Det finns många öppna frågor om vem som kommer att finns i en eller flera taggar som den enskilda personen har hantera lagringen av information som rör taggade före på sig, i en miljö som kanske till och med ligger utanför mål. Hur kommer den att organiseras? Vem kommer att RFID-tillämpningens verksamhetsområde. Datatillsyns ha tillgång till denna information? I juni 2009 antog mannen hyser dessutom farhågor att operatörer av kommissionen ett meddelande om ”sakernas Internet” ( 3 ) som explicit identifierade de potentiella problem i fråga ( 1 ) Meddelande från kommissionen till Europaparlamentet, rådet, Euro om data- och integritetsskyddet som detta fenomen kan peiska ekonomiska och sociala kommittén och Regionkommittén – ge upphov till. Radiofrekvensidentifiering (RFID) i Europa: på väg mot en strategi, 15.3.2007, KOM(2007) 96 slutlig. ( 2 ) Kommissionens rekommendation av den 12.5.2009 om genom ( 3 ) Meddelande från kommissionen till Europaparlamentet, rådet, Euro förandet av principerna om integritets- och dataskydd i tillämp peiska ekonomiska och sociala kommittén samt Regionkommittén – ningar som stöds av radiofrekvensidentifiering (RFID), (C (2009) Sakernas Internet: en handlingsplan för Europa, 18.6.2009, KOM(2009) 3200 slutlig). 278 slutlig. C 280/10 SV Europeiska unionens officiella tidning 16.10.2010

text: 69. Europeiska datatillsynsmannen vill belysa några av de frå kyddsdirektivet för de uppgifter de lägger ut ( 2 ). I de flesta gor som togs upp i detta meddelande och som enligt fall omfattas emellertid en sådan behandling av ”hushålls datatillsynsmannen måste ges stor uppmärksamhet i takt undantaget” enligt

text: artikel 3.2 i direktivet

text: . Samtidigt be med att ”sakernas Internet” utvecklas. För det första kan traktas leverantörer av sociala nätverkstjänster som regis behovet av decentraliserade strukturer underlätta ansvarig teransvariga i den mån de tillhandahåller möjligheter till het samt upprätthållande av EU:s rättsliga ram. För det behandling av användaruppgifter och alla grundläggande andra bör enskilda personers rättighet att inte bli spårade tjänster i anslutning till användarhantering (t.ex. registre upprätthållas i möjligaste mån. Det bör med andra ord ring och avslutande av konton). endast i begränsade fall vara möjligt att spåra människor genom RFID-taggar där de inte gett sitt medgivande. Ett sådant medgivande bör vara uttryckligt. Detta kallas nor malt ”taggens tystnad” och individens rätt om att bli läm nad ifred. Slutligen bör, vid utformning av ”sakernas In 74. I rättsligt hänseende innebär detta att Internetanvändare ternet”, principen om ”privacy by design” vara en vägle och sociala nätverkstjänster har ett gemensamt ansvar för dande princip. Detta skulle till exempel kräva att konkreta behandlingen av personuppgifter i egenskap av ”register RFID-tillämpningar med inbyggda mekanismer som ger ansvariga” i den mening som avses i artikel 2 d i direk användarna kontroll utformas med förvalda inställningar tivet, om än i olika omfattningar och utifrån olika skyl för sekretess. digheter.

text: 70. Europeiska datatillsynsmannen förväntar sig att bli hörd i 75. Användare bör följaktligen vara medvetna om och förstå samband med att kommissionen vidtar de åtgärder som att när de behandlar sina egna och andras personuppgifter förutses i meddelandet, särskilt under utformningen av omfattas de av bestämmelserna i EU:s lagstiftning om meddelandet om personlig integritet och förtroende i dataskydd som bland annat föreskriver att man måste få det allmänt utbredda informationssamhället. ett informerat samtycke från de vars uppgifter läggs upp och ge berörda personer möjlighet att utöva sin rätt till rättelse och rätten att göra invändningar etc. På samma sätt måste sociala nätverkstjänster bland annat vidta lämp liga tekniska och organisatoriska åtgärder för att hindra VI. MÖTESPLATSER PÅ NÄTET OCH BEHOVET AV FÖR otillåten behandling, med hänsyn till de risker som be VALDA INSTÄLLNINGAR FÖR SEKRETESS handlingen innebär och uppgifternas art. Sociala nätverk stjänster bör därför tillhandahålla integritetsfrämjande 71. Mötesplatser på nätet är ”månadens smak” och verkar i standardinställningar, inbegripet inställningar som begrän dag vara populärare än e-post. De för samman människor sar åtkomsten till användarnas profilinnehåll till deras som delar liknande intressen och/eller aktiviteter. Männi egna självvalda kontakter. Inställningarna bör också kräva skor kan lägga upp sina profiler på webben och dela med användarens specifika samtycke innan något profilinnehåll sig av sådana mediafiler som videos, foton, musik samt görs tillgängligt för andra tredje parter, och profiler med yrkesprofiler. begränsad åtkomst bör inte kunna upptäckas av interna sökmotorer.

text: 72. Ungdomar har snabbt tagit till sig mötesplatser på nätet – en trend som ökar. Den genomsnittliga åldern på Internet 76. Tyvärr finns det ett gap mellan de rättsliga kraven och hur användare i Europa har sjunkit de senaste åren: I dag de tillämpas i praktiken. Samtidigt som Internetanvändare kopplar 9–10-åringar upp sig på nätet flera gånger i vec i rättsligt hänseende betraktas som registeransvariga och kan och 12–14-åringar är ute på nätet varje dag, ofta i en är skyldiga att iaktta EU:s dataskyddsbestämmelser, är de i till tre timmar. verkligheten ofta omedvetna om detta. De förstår i all mänhet inte att de behandlar personuppgifter eller är medvetna om de risker för data- och integritetsskyddet som är förenade med att lägga ut sådana uppgifter. Sär skilt ungdomar som lägger ut innehåll på webben under skattar följderna av detta för sig själva och andra, till VI.1 Mötesplatser på nätet och den tillämpliga rätts exempel konsekvenserna av detta senare i livet vid inskriv liga ramen för data- och integritetsskyddet ning vid högre utbildning eller jobbansökningar. 73. Utvecklingen av mötesplatser på nätet har gjort det möj ligt för användare att lägga ut information om sig själva ( 2 ) I direktivet avses med ”registeransvarig: den fysiska eller juridiska och tredje parter på Internet. När de gör så agerar Inter person, den myndighet, den institution eller det andra organ som netanvändare enligt artikel 29-arbetsgruppen ( 1 ) som regis ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter. När ändamålen och teransvariga i den mening som avses i artikel 2 d i datas medlen för behandlingen bestäms av nationella lagar och andra författningar eller av gemenskapsrätten kan den registeransvarige ( 1 ) Se artikel 29-arbetsgruppens yttrande 163, 5/2009, om sociala nät eller de särskilda kriterierna för att utse honom anges i nationell verk på Internet, antaget den 12 juni 2009. rätt eller i gemenskapsrätten”. 16.10.2010 Europeiska SV unionens officiella tidning C 280/11

text: 77. Samtidigt tillämpar tillhandahållare av mötesplatser på nä som kan indexera dem och därmed tillhandahålla direkta tet ofta förvalda inställningar för sekretess som grundas på länkar till uppgifterna. Å andra sidan kan uppgifterna s.k. opt-outs (dvs. att man själv måste ändra sina sek begränsas till ”självvalda vänner” eller hållas helt privata. retessinställningar), vilket underlättare utlämnandet av per Tillstånden för åtkomst till profiler och den terminologi sonuppgifter. Vissa förvalda inställningar för sekretess gör som används skiljer sig uppenbarligen från sajt till sajt. det möjligt för t.ex. sökmotorer att komma åt personliga profiler. Detta väcker frågor om huruvida enskilda perso ner verkligen har gett sitt samtycke till att uppgifterna lämnas ut, samt huruvida mötesplatser på nätet har ge 83. Som beskrivits ovan är det emellertid inte särskilt många nomfört bestämmelserna i

text: artikel 17 i direktivet

text: (beskrivet av de som använder sig av sociala nätverkstjänster som ovan) enligt vilka de ska genomföra lämpliga tekniska och vet hur de ska göra för att kontrollera åtkomsten till de organisatoriska åtgärder för att hindra otillåten behand uppgifter de lägger ut, och framför allt inte hur de ändrar ling. sekretessinställningarna. Dessa förblir ofta oförändrade ef tersom användarna inte är medvetna om konsekvenserna av att inte ändra dem eller kanske inte vet hur man gör. I de flesta fall innebär därför det faktum att inte sekretess VI.2 Risker med mötesplatser på nätet och förslag till inställningarna ändras inte att användarna har fattat ett åtgärder för att ta itu med dessa informerat beslut om att dela med sig av uppgifterna. I detta sammanhang är det mycket viktigt att sådana tredje 78. Det ovan beskrivna leder till ökad risk för enskilda per parter som sökmotorer inte länkar till enskilda personers soners data- och integritetsskydd. Det utsätter Internet profiler under antagandet att användarna automatiskt (ge användare och enskilda personer vars personuppgifter nom att inte ändra sekretessinställningarna) har samtyckt har lagts ut för uppenbar kränkning av deras data- och till att göra uppgifterna tillgängliga utan begränsningar. integritetsskydd.

text: 79. Kommissionen bör därför fråga sig vad som kan och 84. Även om utbildning av användarna kan bidra till att ta itu måste göras för att ta itu med denna situation. Detta med denna situation, kommer detta i sig inte vara till yttrande ger inte något uttömmande svar på den frågan räckligt. Som rekommenderas av artikel 29-arbetsgruppen utan lägger fram några förslag för vidare övervägande. i yttrandet om mötesplatser på nätet bör sociala nätverk stjänster erbjuda integritetsfrämjande och kostnadsfria standardinställningar. Detta skulle göra användare mer medvetna om vad de gör, och göra det möjligt för dem Att investera i att ”utbilda” Internetanvändarna att fatta bättre beslut i fråga om huruvida de vill dela med 80. Det första förslaget går ut på att investera i ”utbildning” av sig av sina uppgifter och med vem. Internetanvändarna. I detta avseende bör EU:s institutioner samt nationella myndigheter investera i att utbilda använ darna och göra dem mer medvetna om de risker som är förenade med sociala nätverk på Internet. GD Infor Självregleringens roll mationssamhället har till exempel drivit programmet för 85. Kommissionen har undertecknat ett avtal med 20 företag ett säkrare Internet (”Safer Internet Programme”) som syf som tillhandahåller mötesplatser på nätet (”Principerna om tar till att skydda barn och ungdomar som använder In förbättrad säkerhet på mötesplatser på nätet”) ( 2 ). Syftet ternet genom bland annat projekt för att öka medveten 1 med avtalet är att förbättra säkerheten för minderåriga heten ( ). EU:s institutioner lanserade nyligen kampanjen när de använder mötesplatser på nätet i Europa. Dessa ”Think before you post” för att öka medvetenheten om principer inkluderar flera av de krav som härleds från till riskerna med att dela med sig av personuppgifter med lämpningen av den rättsliga ram för dataskydd som be främlingar. skrivs ovan, bland annat kravet att genom verktyg och teknik säkerställa att användarna kan kontrollera hur deras personuppgifter används och sprids. Det inbegriper också 81. Europeiska datatillsynsmannen uppmanar kommissionen behovet att tillhandahålla förvalda inställningar för sek att fortsätta att stödja denna typ av verksamhet. Tillhan retess. dahållare av mötesplatser på nätet bör emellertid även själva kunna spela en aktiv roll, eftersom de har ett rätts ligt och socialt ansvar att upplysa användarna om hur de ska använda deras tjänster på ett säkert och integritets 86. I början av januari 2010 offentliggjorde kommissionen främjande sätt. resultaten av detta i en rapport där genomförandet av principerna utvärderades ( 3 ). Europeiska datatillsynsman nen är bekymrad över att denna rapport visar att sam tidigt som vissa åtgärder har vidtagits, har flera andra inte 82. Automatisk åtkomst till uppgifter som läggs ut på mö tesplatser på nätet varierar alltså beroende på inställning ( 2 ) Principerna finns på http://ec.europa.eu/information_society/ arna för sekretess. Uppgifter kan till exempel göras till activities/social_networking/docs/sn_principles.pdf gängliga för allmänheten i stort, inklusive sökmotorer, ( 3 ) Se rapporten ”Evaluation of the Implementation of the Safer Social Networking Principles for the EU” på http://ec.europa.eu/ ( 1 ) Information om sådana program finns på http://ec.europa.eu/ information_society/activities/social_networking/docs/final_report/ information_society/activities/sip/index_en.htm first_part.pdf C 280/12 SV Europeiska unionens officiella tidning 16.10.2010 gjort det. Enligt rapporten förelåg till exempel problem b) Att säkerställa att profiler med begränsad åtkomst inte med avseende på kommunikationen om de säkerhets kan upptäckas av interna/externa sökmotorer. åtgärder och verktyg som finns tillgängliga på sajterna. Vidare konstaterades att mindre än hälften av de som undertecknat avtalet begränsade åtkomsten till minderåri gas profiler till att endast omfatta deras vänner. 91. Förutom att föreskriva om obligatoriska förvalda inställ ningar för sekretess återstår frågan om det även är lämp ligt med ytterligare specifikt dataskydd samt andra åtgär Behovet av obligatoriska förvalda inställningar för sekretess der (t.ex. avseende skyddet av minderåriga). Detta aktuali serar den mer allmänna frågan om det skulle vara lämpligt 87. I detta sammanhang är den avgörande frågan huruvida det att skapa en särskild ram för dessa typer av tjänster som, är nödvändigt att vidta ytterligare politiska åtgärder för att förutom att föreskriva om obligatoriska förvalda inställ säkerställa att mötesplatser på nätet tillhandahåller sina ningar för sekretess, skulle reglera andra aspekter. Data tjänster med förvalda inställningar för sekretess. Denna tillsynsmannen uppmanar kommissionen att överväga fråga togs upp av Viviane Reding, kommissionsledamot detta. med f.d. ansvar för informationssamhället, som påpekade att det skulle kunna bli nödvändigt med lagstiftning. ( 1 ) I samma anda konstaterade Europeiska ekonomiska och sociala kommittén att utöver självreglering bör minimis kyddsstandarder föreskrivas i lag ( 2 ). VII. FÖRVALDA INSTÄLLNINGAR FÖR SEKRETESS I

text: 88. Som konstaterats ovan kan skyldigheten för tillhandahål 92. Annonsnätverk använder sig av cookies och andra verktyg lare av mötesplatser på nätet att tillämpa förvalda inställ för att bevaka enskilda användares beteende när de surfar ningar för sekretess utläsas indirekt ur artikel 17 i datas på Internet i syfte att kartlägga deras intressen och skapa kyddsdirektivet ( 3 ) enligt vilken registeransvariga måste profiler. Denna information används sedan för att skicka vidta lämpliga tekniska och organisatoriska åtgärder (”både riktad reklam till dem ( 4 ). när systemet för behandlingen utformas och när själva behandlingen sker”) för att garantera säkerheten och hindra otillåten behandling, med hänsyn till de risker som behandlingen innebär och uppgifternas art. VII.1 Återstående utmaningar och risker inom den befintliga ramen för data- och integritetsskydd

text: 89. Denna artikel är emellertid alldeles för allmänt formulerad 93. Denna behandling omfattas av dataskyddsdirektivet (i den och saknar närmare bestämmelser, även i detta samman mån personuppgifter berörs) samt

text: artikel 5.3 i direktivet

text: hang. Den fastställer inte uttryckligen vad som avses med om integritet och elektronisk kommunikation. I den arti lämpliga tekniska och organisatoriska åtgärder i samband keln fastställs särskilt att en användare ska informeras och med mötesplatser på nätet. Följaktligen råder för närva ges möjlighet att reagera genom att antingen ge sitt sam rande rättsosäkerhet, vilket ställer till problem för både tycke till eller vägra att sådana anordningar som cookies lagstiftare och enskilda personer vars integritet och per etc. lagras i användarens dator eller någon annan anord sonuppgifter inte skyddas fullt ut. ning ( 5 ).

text: 90. Europeiska datatillsynsmannen uppmanar följaktligen kommissionen att utarbeta lagstiftning som åtminstone 94. Hittills har annonsnätverk förlitat sig på webbläsarinställ inkluderar en övergripande bestämmelse som kräver obli ningar och integritetspolicys för att informera användarna gatoriska förvalda inställningar för sekretess, tillsammans och göra det möjligt för dem att acceptera eller vägra med mer specifika krav: cookies. De har i sin integritetspolicy beskrivit hur man 16.10.2010 Europeiska SV unionens officiella tidning C 280/13 helt väljer bort cookies alternativ accepterar dem från fall för första gången installerar eller när de uppdaterar webb till fall. Genom att göra detta uppfyller de faktiskt sin läsaren. Det finns ett behov av mer detaljerad och tydlig skyldighet att ge användare rätten att vägra cookies. information om de olika typerna av cookies och för delarna med några av dem. De användare som är villiga att låta sig övervakas i syfte att ta emot reklam skulle i vederbörlig ordning informeras om detta och skulle be 95. Medan denna metod rent teoretiskt (via webbläsaren) i höva ändra sina webbläsarinställningar. Detta skulle ge praktiken faktiskt skulle kunna tillhandahålla ett menings dem ökad kontroll över sina personuppgifter och sin per fullt informerat samtycke förhåller det sig inte på det viset. sonliga integritet och skulle, enligt Europeiska datatillsyns Användarna känner i allmänhet inte alls till hur insam mannen, vara ett effektivt sätt att respektera och värna om lingen av uppgifter fungerar, och ännu mindre insam användarnas samtycke ( 1 ). lingen från tredje parter, inte heller värdet av sådana upp gifter, hur de används, hur tekniken fungerar eller mer närmare hur och var man stänger av cookies. De steg som användarna måste vidta för att stänga av cookies förefaller inte bara komplicerade utan även omfattande 101. Med hänsyn till å ena sidan omfattningen av detta pro (användaren måste först ställa in sin webbläsare så att blem, dvs. det stora antal Internetanvändare som för när den accepterar cookies, sedan välja att stänga av dem). varande övervakas på grundval av ett illusoriskt samtycke och, å andra sidan, de mer omfattande intressen som står på spel, blir behovet av ytterligare säkerställande åtgärder mer akut. Genomförandet av principen om ”privacy by 96. Följaktligen väljer inte särskilt många att stänga av cookies design” i webbläsartillämpningar skulle kunna göra en – inte för att de har fattat ett informerat beslut att god mycket stor skillnad när det gäller att ge enskilda personer känna beteendestyrd annonsering, utan snarare eftersom kontroll över de förfaranden som tillämpas för att samla de inte inser att de genom att inte välja att stänga av dem in uppgifter för annonseringsändamål. accepterar cookies.

text: 97. Även om

text: artikel 5.3 i direktivet

text: om e-integritet därför i 102. Europeiska datatillsynsmannen uppmanar därför kommis rättsligt hänseende ger ett effektivt skydd, tvingas Internet sionen att överväga rättsliga åtgärder som kräver obligato användare i praktiken att samtycka till att övervakas när riska förvalda inställningar för sekretess på webbläsare och det gäller att skicka beteendestyrd reklam även om de i tillhandahållande av relevant information. själva verket i många, om inte alla, fall är helt omedvetna om den övervakning som sker. stämmelser om obligatoriska förvalda inställningar säkerhetsöverträdelser som skulle vara tillämpligt inom för sekretess alla sektorer.

text: 99. Som beskrivits ovan tillåter webbläsare normalt kontroll över vissa typer av cookies. De flesta webbläsare har en förvald inställning som gör att de accepterar alla cookies. En webbläsares förvalda inställningar tillåter med andra VIII.1 Principen om ansvarighet för att säkerställa ord alla cookies oavsett syftet. För att förhindra cookies iakttagande av principen om ”privacy by design” måste användaren alltså ändra inställningarna på sin webbläsare, vilket enligt vad som angetts ovan väldigt få 104. I artikel 29-arbetsgruppens yttrande om ”The Future of Privacy” ( 2 ) rekommenderas att principen om ansvarighet användare gör. Dessutom finns det ingen guide (wizard) för sekretessinställningar vid den första installationen eller vid uppdateringar av webbläsartillämpningar. ( 1 ) Datatillsynsmannen är samtidigt medveten om att detta inte helt skulle lösa problemet eftersom det finns cookies som inte går att kontrollera genom webbläsaren, t.ex. s.k. flash cookies. För att komma till bukt med detta skulle det krävas att utvecklare av webb 100. Ett sätt att minska detta problem skulle vara att förse läsare ser till att kontroller över flash cookies finns integrerade i webbläsaren med förvalda inställningar för sekretess. deras kontroller över cookies redan när nya webbläsare släpps ut på marknaden. Den skulle följaktligen vara inställd på ”accepterar inte ( 2 )

text: Artikel 29

text: -arbetsgrupens yttrande 168 om ”The Future of Privacy: cookies från tredje parter”. För att komplettera detta och Joint contribution to the Consultation of the European Commission göra det mer effektivt skulle webbläsaren kräva att använ on the legal framework for the fundamental right to protection of darna använde en guide för sekretessinställningar när de personal data”, antaget den 1 december 2009. C 280/14 SV Europeiska unionens officiella tidning 16.10.2010 införlivas i dataskyddsdirektivet. Denna princip, som er är tillämpliga inom alla sektorer. När det gäller innehållet i känns i vissa multinationella instrument för dataskydd ( 1 ), ett sådant regelverk anser Europeiska datatillsynsmannen kräver att organisationer genomför förfaranden för att att den rättsliga ram för säkerhetsöverträdelser som anta iaktta gällande lagar samt inför metoder för att bedöma gits i direktivet om e-integritet garanterar en tillräcklig och påvisa överensstämmelse med lagar och andra bin balans mellan skyddet av enskilda personers rättigheter, dande instrument. däribland deras rättigheter avseende personuppgifter och integritet, och skyldigheterna för de enheter som omfattas. Denna rättsliga ram är dessutom långtifrån tandlös efter 105. Europeiska datatillsynsmannen stöder fullt ut

text: artikel 29

text: - som den backas upp av meningsfulla genomförande arbetsgruppens rekommendation. Datatillsynsmannen an bestämmelser som ger myndigheterna tillräckliga befogen ser att denna princip kommer att vara mycket relevant för heter att undersöka och införa påföljder i fall av bristande att främja en effektiv tillämpning av principer och skyl efterlevnad. digheter med avseende på dataskydd. Ansvarighet kom mer att kräva att registeransvariga visar att de har infört de mekanismer som krävs för att iaktta tillämplig datas 109. Europeiska datatillsynsmannen uppmanar därför kommis kyddslagstiftning. Detta kommer sannolikt att bidra till ett sionen att anta ett lagstiftningsförslag för att tillämpa effektivt genomförande av principen om ”privacy by de denna ram inom alla sektorer, vid behov med nödvändiga sign” i IKT som ett i synnerhet lämpligt inslag för att anpassningar. Detta skulle dessutom säkerställa att samma påvisa ansvarighet. standarder och förfaranden tillämpades inom alla sektorer.

text: 106. För att mäta och påvisa ansvarighet skulle registeransva Att genom kommittéförfaranden fullgöra den rättsliga ram som riga kunna använda interna förfaranden samt anlita tredje finns i direktivet om integritet och elektronisk kommunikation parter som skulle kunna utföra revisioner eller andra typer av kontroller och verifikationer och till följd av dessa 110. Det reviderade direktivet om e-integritet ger kommissio utfärda märkning eller utmärkelser. I detta sammanhang nen rätt att anta tekniska genomförandeåtgärder, dvs. de uppmanar Europeiska datatillsynsmannen med kraft kom taljerade åtgärder som rör anmälningar av säkerhetsöver missionen att överväga huruvida, utöver en allmän ansva trädelser, genom ett kommittéförfarande. ( 2 ) Denna befo righetsprincip, det skulle kunna vara värdefullt att i lag genhet är berättigad för att säkerställa ett konsekvent ge fastställa särskilda ansvarighetsåtgärder, exempelvis beho nomförande och tillämpning av den rättsliga ramen för vet att utarbeta konsekvensanalyser för data- och integri säkerhetsöverträdelse. Ett konsekvent genomförande bi tetsskyddet och under vilka omständigheter. drar till att ge enskilda personer i hela gemenskapen samma höga skyddsnivå och till att de enheter som om fattas inte belastas med olika anmälningskrav. VIII.2 Säkerhetsöverträdelse: att färdigställa den rätts liga ramen

text: 111. Direktivet om e-integritet antogs i november 2009. Det 107. Genom de ändringar av direktivet om e-integritet och som tycks inte finnas någon anledning att skjuta upp inledan genomfördes förra året infördes ett krav att anmäla per det av arbetet för att anta de tekniska genomförandeåtgär sonuppgiftsbrott till de enskilda personer som påverkas derna. Europeiska datatillsynsmannen har organiserat två samt till de berörda myndigheterna. Ett personupp seminarier som syftade till att dela med sig av och samla giftsbrott definieras generellt som ett brott som leder till in erfarenheter om anmälningar av överträdelser av datas utplåning, förlust, avslöjande etc. av personuppgifter som kyddet. Datatillsynsmannen skulle med glädje dela med sig överförs, lagras eller på annat sätt behandlas i samband resultaten av dessa seminarier och ser fram mot att arbeta med tillhandahållandet av tjänsten. Om personupp tillsammans med kommissionen och andra berörda parter giftsbrottet kan antas inverka menligt på en enskild per för att finjustera den övergripande rättsliga ramen för sons personuppgifter eller integritet måste den enskilda personuppgiftsbrott. personen underrättas om detta brott. Detta kan vara fallet om brottet skulle kunna medföra identitetsstöld eller be tydande förnedring eller skadat rykte. Vid ett personupp 112. Europeiska datatillsynsmannen uppmanar kommissionen giftsbrott föreligger en skyldighet att anmäla detta till de att inom kort vidta de åtgärder som krävs. Innan tekniska behöriga myndigheterna, oavsett om det föreligger en risk genomförandeåtgärder antas måste kommissionen genom för enskilda personer. föra ett omfattande samråd med deltagande av Europeiska byrån för nät- och informationssäkerhet (Enisa), Europe iska datatillsynsmannen och artikel 29-arbetsgruppen. Att tillämpa skyldigheter i fråga om säkerhetsöverträdelser inom Detta samråd måste dessutom inbegripa andra ”berörda alla sektorer parter”, framför allt för att få information om bästa till gängliga tekniska och ekonomiska medel för genomföran 108. Tyvärr gäller denna skyldighet endast för leverantörer av det. allmänt tillgängliga elektroniska kommunikationstjänster, t.ex. telefonbolag, Internetleverantörer, e-postleverantörer ( 2 ) Kommittéförfaranden innebär att tekniska genomförandeåtgärder an etc. Europeiska datatillsynsmannen uppmanar kommissio tas av en kommitté som består av företrädare för medlemsstaterna nen att lägga fram förslag om säkerhetsöverträdelser som och som har en företrädare för kommissionen som ordförande. När det gäller direktivet om e-integritet är det s.k. förfarandet med kont ( 1 ) OECD:s riktlinjer från 1980 om integritetsskydd och persondataf roll tillämpligt, vilket innebär att Europaparlamentet, samt rådet, kan löde; Madrid Privacy Declaration on Global Privacy Standards for a motsätta sig förslag till åtgärder som kommissionen lägger fram. Se Global World, av den 3 november 2009. även http://europa.eu/scadplus/glossary/comitology_en.htm 16.10.2010 Europeiska SV unionens officiella tidning C 280/15 IX. SLUTSATSER a) På området för RFID: att, om ett effektivt genom förande av den gällande rättsliga ramen misslyckas, 113. Förtroende, eller snarare bristen på förtroende, har identi lägga fram förslag till rättsliga åtgärder som reglerar fierats som en huvudfråga i uppkomsten och en fram huvudfrågorna för användningen av RFID-tekniken. gångsrik användning av informations- och kommunika Att i synnerhet införa principen om frivilligt delta tionsteknik. Om människor inte har förtroende för IKT gande vid försäljningsstället, vilket innebär att alla kommer denna teknik med all sannolikhet att misslyckas. RFID-taggar på konsumentprodukter automatiskt Ett förtroende för IKT är beroende av flera olika faktorer skulle avaktiveras vid kassan. varav en nyckelfaktor är att se till att en sådan teknik inte urholkar enskilda personer grundläggande rätt till integri b) På området för mötesplatser på nätet: att utarbeta lags tets- och personuppgiftsskydd. tiftning som åtminstone inkluderar en övergripande bestämmelse som kräver obligatoriska förvalda inställ 114. För att ytterligare stärka den rättsliga ramen för data- och ningar för sekretess, tillsammans med mer specifika integritetsskydd, vars principer förblir fullständigt giltiga i krav som begränsar åtkomsten till användarens profil informationssamhället, föreslår Europeiska datatillsyns till användarens självvalda kontakter samt säkerställer mannen att kommissionen införlivar ”privacy by design” att profiler med begränsad åtkomst inte kan upptäckas på olika lagstiftningsnivåer och nivåer i beslutsfattandet. av interna/externa sökmotorer.

text: 115. Datatillsynsmannen rekommenderar att kommissionen c) På området för riktad reklam: att överväga lagstiftning följer fyra handlingslinjer: som gör det obligatoriskt med förvalda inställningar på webbläsaren som vägrar cookies från tredje parter och a) Att lägga fram ett förslag som inkluderar en allmän som kräver att användarna använder en inställnings bestämmelse om ”privacy by design” i den rättsliga guide när de första gången installerar eller när de upp ramen för dataskydd. Denna bestämmelse skulle vara daterar webbläsaren. teknikneutral och iakttagelse skulle vara obligatoriskt i olika stadier. 117. Slutligen uppmanar Europeiska datatillsynsmannen att kommissionen: b) Att vidareutveckla denna allmänna bestämmelse i sär skilda bestämmelser i samband med att förslag till sär skilda rättsliga instrument för olika sektorer läggs fram. a) överväger att införliva principen om ansvarighet i det Dessa särskilda bestämmelser skulle redan nu kunna befintliga dataskyddsdirektivet, och inkluderas i rättsliga instrument, på grundval av artikel 17 i dataskyddsdirektivet (och annan befintlig b) utvecklar ett regelverk av regler och förfaranden för att lagstiftning). genomföra bestämmelserna om anmälningar av säker hetsöverträdelser i direktivet om e-integritet, och att c) Att inkludera ”privacy by design” som en vägledande utvidga dem så att de gäller generellt för alla register princip i den digitala dagordningen för Europa. ansvariga. d) Att införa ”privacy by design” som en princip i andra EU-initiativ (främst icke lagstiftande). Utfärdat i Bryssel den 18 mars 2010.

text: 116. Inom tre särskilda IKT-områden rekommenderar Europe iska datatillsynsmannen att kommissionen utvärderar be Peter HUSTINX hovet att lägga fram förslag som genomför principen om ”privacy by design” på olika sätt: Europeiska datatillsynsmannen