Riktlinjer 03/2022 om Vilseledande designmönster i gränssnitten på sociala medieplattformar: hur man känner igen och undviker dem

SAMMANFATTNING

I dessa riktlinjer ges praktiska rekommendationer till leverantörer av sociala medier i egenskap av personuppgiftsansvariga för sociala medier, och till designer och användare av sociala medieplattformar, om hur man bedömer och undviker så kallade ”vilseledande designmönster” i gränssnitt på sociala medier, mönster som bryter mot kraven i den allmänna dataskyddsförordningen. För detta rekommenderar Europeiska dataskyddsstyrelsen (EDPB) att personuppgiftsansvariga använder sig av tvärvetenskapliga grupper som bland annat består av designer, dataskyddsombud och beslutsfattare. Det är viktigt att notera att förteckningen över vilseledande designmönster och bästa praxis samt användningstillfällen inte är uttömmande. Leverantörer av sociala medier är alltid ansvariga och skyldiga att säkerställa att dataskyddsförordningen efterlevs på deras plattformar.

Vilseledande designmönster i gränssnitten på sociala medieplattformar

Inom ramen för dessa riktlinjer betraktas ”vilseledande designmönster” som gränssnitt och användarresor som genomförs på sociala medieplattformar och försöker påverka användarna att fatta oavsiktliga, ofrivilliga och potentiellt skadliga beslut, ofta ett beslut som går emot användarnas bästa och gynnar de sociala medieplattformarnas intressen i fråga om behandling av användarnas personuppgifter. Vilseledande designmönster syftar till att påverka användarnas beteende och kan hämma deras förmåga att ändamålsenligt skydda sina personuppgifter och göra medvetna val. Dataskyddsmyndigheterna är ansvariga för att sanktionera användningen av vilseledande designmönster om dessa bryter mot kraven i dataskyddsförordningen. De vilseledande designmönster som tas upp i dessa riktlinjer kan delas in i följande kategorier: ▪ Överbelastning innebär att användarna konfronteras med en överväldigande mängd förfrågningar, information, alternativ eller valmöjligheter så att de ska dela fler uppgifter eller oavsiktligt tillåta att deras personuppgifter behandlas i strid med deras förväntningar som registrerade. Följande tre typer av vilseledande designmönster hör till denna kategori: Ständigt promptande, Integritetslabyrint och För många alternativ.

▪ Överhoppning innebär att gränssnittet eller användarresan utformas på ett sådant sätt att användarna glömmer bort, eller inte tänker på, vissa eller samtliga dataskyddsaspekter. Följande två typer av vilseledande designmönster hör till denna kategori: Bedräglig trygghet och Titta där borta.

▪ Eggande påverkar det val användarna kan tänkas göra genom att vädja till deras känslor eller använda visuella påstötningar. Följande två typer av vilseledande designmönster hör till denna kategori: Emotionell styrning och Dolt inom synhåll.

▪ Spärrande innebär att man hindrar eller blockerar användare i den process där de blir informerade eller hanterar sina uppgifter, genom att göra åtgärden svår eller omöjlig att åstadkomma.

Följande tre typer av vilseledande designmönster hör till denna kategori: Återvändsgränd, Längre än nödvändigt och Vilseledande handling

▪ Nyckfullhet innebär att gränssnittets design är inkonsekvent och otydlig, så att det blir svårt för användaren att navigera i de olika kontrollverktygen för dataskydd och förstå syftet med behandlingen. Följande fyra typer av vilseledande designmönster hör till denna kategori: Bristande hierarki, Avkontextualisering, Inkonsekvent gränssnitt och Språklig diskontinuitet.

▪ Lämnad i mörkret innebär att ett gränssnitt är designat på ett sådant sätt att det döljer information eller kontrollverktyg för dataskydd eller gör användarna osäkra på hur deras uppgifter behandlas och vilken kontroll de kan tänkas ha över uppgifterna med avseende på utövandet av deras rättigheter. Följande två typer av vilseledande designmönster hör till denna kategori: Motstridig information och Tvetydig formulering eller information.

Bestämmelser i dataskyddsförordningen som är relevanta för att bedöma vilseledande designmönster

När det gäller efterlevnad av dataskydd (skydd av personuppgifter) för användargränssnitt i onlineapplikationer i sektorn för sociala medier, fastställs de tillämpliga dataskyddsprinciperna i artikel 5 i dataskyddsförordningen. Den princip om korrekt behandling som fastställs i artikel 5.1 a i dataskyddsförordningen fungerar som utgångspunkt för att bedöma om ett designmönster faktiskt utgör ett ”vilseledande designmönster”. Fler principer som spelar en roll för denna bedömning är principerna om öppenhet, uppgiftsminimering och ansvarsskyldighet enligt artikel 5.1 a, 5.1 c och 5.2 i dataskyddsförordningen, samt i vissa fall den om ändamålsbegränsning enligt artikel 5.1 b i dataskyddsförordningen. I andra fall grundar sig den rättsliga bedömningen också på villkor för samtycke enligt artiklarna 4.11 och 7 i dataskyddsförordningen eller andra särskilda skyldigheter, såsom artikel 12 i dataskyddsförordningen. I samband med registrerades rättigheter måste uppenbarligen även dataskyddsförordningens tredje kapitel tas i beaktande. Slutligen har kraven om inbyggt dataskydd och dataskydd som standard i artikel 25 i dataskyddsförordningen en avgörande roll, eftersom leverantörer av sociala medier undviker vilseledande designmönster redan från början om de tillämpar de kraven innan de lanserar en gränssnittsdesign.

Exempel på vilseledande designmönster i olika användningsfall under livscykeln för ett konto på ett socialt medium

Bestämmelserna i dataskyddsförordningen gäller för hela den behandling av personuppgifter som ingår i driften av sociala medieplattformar, dvs. för ett användarkontos hela livscykel. EDPB ger konkreta exempel på typer av vilseledande designmönster för följande olika användningsfall under den livscykeln: Registreringen, dvs. anmälningsprocessen. De fall med användning av information som gäller integritetsmeddelandet och meddelandena om gemensamt personuppgiftsansvar och personuppgiftsincidenter. Hanteringen av samtycke och dataskydd. Utövandet av registrerades rättigheter under användning av sociala medier. Avslutande av ett konto på ett socialt medium. Kopplingar till bestämmelser i dataskyddsförordningen förklaras på två sätt: Först förklaras mer detaljerat för varje användningsfall vilken av de ovan nämnda bestämmelserna i

dataskyddsförordningen som är särskilt relevant för det. Därefter förklaras, i styckena runtom exemplen på vilseledande designmönster, hur de mönstren strider mot dataskyddsförordningen.

Rekommendationer om bästa praxis

Utöver exemplen på vilseledande designmönster presenteras i riktlinjerna också bästa praxis, i slutet av varje användningsfall och även i bilaga II till dessa riktlinjer. Där ges särskilda rekommendationer för hur man designar användargränssnitt så att det blir lättare att ändamålsenligt genomföra dataskyddsförordningen.

Checklista med kategorier av vilseledande designmönster

En checklista med kategorier av vilseledande designmönster återfinns i bilaga I till dessa riktlinjer. Där ges en översikt av de ovan nämnda kategorierna och typerna av vilseledande designmönster, tillsammans med en lista med exemplen för varje mönster som omnämns i användningsfallen. För en del läsare kan det vara praktiskt att använda checklistan som utgångspunkt för att utforska dessa riktlinjer.

Europeiska dataskyddsstyrelsen har antagit följande riktlinjer

med beaktande av artikel 70.1 e i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (dataskyddsförordningen),

med beaktande av EES-avtalet, särskilt bilaga XI och protokoll 37, ändrat genom gemensamma EESkommitténs beslut nr 154/2018 av den 6 juli 2018 ,

med beaktande av artiklarna 12 och 22 i arbetsordningen, och av följande skäl:

HÄRIGENOM FÖRESKRIVS FÖLJANDE.

1 TILLÄMPNINGSOMRÅDE

Syftet med dessa riktlinjer är att tillhandahålla rekommendationer och vägledning för designen av gränssnitten på sociala medieplattformar. I dessa riktlinjer avses med sociala medier onlineplattformar som gör det möjligt att utveckla nätverk och användargrupper, där information och innehåll delas . Riktlinjerna kan användas antingen i utformningsfasen för ett användargränssnitt, för att redan från början undvika att vilseledande designmönster införs, eller på en befintlig tjänst för att bedöma hur väl dess gränssnitt efterlever reglerna. De är riktade till leverantörer av sociala medier i egenskap av personuppgiftsansvariga för sådana medier, som har ansvar för att designa och driva sociala medieplattformar. I detta avseende syftar riktlinjerna till att påminna om de skyldigheter som följer av den allmänna dataskyddsförordningen, med särskild hänvisning till principerna om laglighet, korrekthet/rättvisa, öppenhet, ändamålsbegränsning och uppgiftsminimering när användargränssnitt designas och innehåll presenteras på deras webbtjänster och appar. De nämnda principerna måste genomföras på ett väsentligt sätt, och utgör ur tekniskt perspektiv krav för hur programvara och tjänster, däribland användargränssnitt, ska designas. Det görs en ingående studie om vad dataskyddsförordningen kräver när den tillämpas på användargränssnitt och presentation av innehåll, och det klargörs vad som bör ses som ett ”vilseledande designmönster”, ett sätt att designa och presentera innehåll som avsevärt strider mot dessa krav samtidigt som man fortfarande låtsas efterleva dem formellt. Dessa riktlinjer är även lämpliga för att göra användarna mer medvetna om sina rättigheter och de risker som kan bli följden när man delar för många uppgifter eller delar sina uppgifter på ett okontrollerat sätt. Vidare har riktlinjerna som syfte att lära användare känna igen ”vilseledande designmönster” (så som de definieras i följande del) och bemöta dem för att skydda sin integritet på ett medvetet sätt. Som en del i analysen undersöktes livscykeln för ett konto på ett socialt medium på grundval av fem användningsfall: ”Att öppna ett konto på ett socialt medium” (användningsfall 1), ”Att hålla sig informerad på sociala medier” (användningsfall 2), ”Att hålla sig

skyddad på sociala medier” (användningsfall 3), ”Att alltid ha rätt på sociala medier: ”registrerades rättigheter” (användningsfall 4) samt ”Tack och hej: att lämna ett konto på ett socialt medium” (användningsfall 5).

I dessa riktlinjer motsvarar termen ”användargränssnitt” personers medel för att samspela med sociala medieplattformar. Dokumentet är inriktat på grafiska användargränssnitt (t.ex. gränssnitt som används i datorer och smarttelefoner), men vissa av de observationer som görs kan också gälla för röststyrda gränssnitt (t.ex. som används för smarta högtalare) eller gestbaserade gränssnitt (t.ex. som används i virtuella verkligheter). Termen ”användarresa” motsvarar den rad av åtgärder eller steg som användare utför för att nå sitt mål, vilket på sociala nätverk kan vara sådant som att bläddra i sitt flöde, dela ett inlägg, ställa in sina preferenser osv. Termen ”användarupplevelse” motsvarar den övergripande upplevelse användare har av sociala medieplattformar, vilket inbegriper uppfattad nytta, lätthanterlighet och effektivitet i samspelet med plattformen. Designen av användargränssnitt och designen av användarupplevelse har utvecklats kontinuerligt det senaste årtiondet. På senare tid har man slagit sig till ro med allmänt förekommande, personanpassade och så kallade sömlösa interaktioner och upplevelser: det perfekta gränssnittet bör vara i hög grad personanpassat, lätt att använda och multimodalt . Även om dessa trender kan göra att digitala tjänster blir enklare att använda, kan de användas på ett sådant sätt att de i huvudsak främjar sådant användarbeteende som går emot dataskyddsförordningens anda . Detta är särskilt relevant i samband med uppmärksamhetsekonomin, där användarnas uppmärksamhet betraktas som en handelsvara. I sådana fall kan dataskyddsförordningens rättsligt tillåtliga gränser överskridas, och den design på gränssnitt och användarupplevelser som leder till de fallen beskrivs nedan som ”vilseledande designmönster”. Inom ramen för dessa riktlinjer betraktas ”vilseledande designmönster” som gränssnitt och användarresor som genomförs på sociala medieplattformar och avser att påverka användarna att fatta oavsiktliga respektive ofrivilliga och/eller potentiellt skadliga beslut, ofta för ett alternativ som går emot användarnas bästa och gynnar de sociala medieplattformarnas intressen i fråga om användarnas personuppgifter. Vilseledande designmönster syftar till att påverka användarnas beteenden, i allmänhet utifrån kognitiva fördomar, och kan hindra deras förmåga att ”på ett effektivt sätt skydda sina personuppgifter och göra medvetna val” , till exempel genom att göra dem oförmögna att ”ge ett informerat och fritt samtycke” . Detta kan utnyttjas på flera sätt i designen, t.ex. med val av färg i gränssnitten och var innehållet placeras. Omvänt går det att genom incitament och användarvänlig design underlätta att dataskyddsbestämmelserna genomförs.

Vilseledande designmönster leder inte nödvändigtvis bara till överträdelser av dataskyddsbestämmelserna. Vilseledande designmönster kan t.ex. också strida mot konsumentskyddsreglerna. Gränserna mellan de överträdelser som dataskyddsmyndigheterna kan bekämpa, och de överträdelser som kan bekämpas av de nationella konsumentskyddsmyndigheterna,

konkurrensmyndigheterna eller andra myndigheter, kan överlappa varandra . I enlighet med dataskyddsförordningen är dataskyddsmyndigheterna ansvariga för att vidta åtgärder gällande användningen av vilseledande designmönster om de faktiskt överträder dataskyddsnormer och därmed dataskyddsförordningen. Brott mot kraven i dataskyddsförordningen behöver bedömas från fall till fall. Dessa riktlinjer omfattar endast sådana vilseledande designmönster som kan falla under detta regleringsmandat. Av den anledningen presenteras i riktlinjerna, utöver exempel på vilseledande designmönster, även bästa praxis som kan användas för att designa användargränssnitt som gör det lättare att ändamålsenligt genomföra dataskyddsförordningen. Sådan bästa praxis kan bli ett första steg mot ett standardiserat sätt för användare att ändamålsenligt kontrollera sina uppgifter och utöva sina rättigheter.

De vilseledande designmönster som tas upp i dessa riktlinjer kommer från en tvärvetenskaplig analys av befintliga gränssnitt och kan delas in i följande kategorier:

Överbelastning: att konfrontera användarna med en överväldigande mängd förfrågningar, information, alternativ eller valmöjligheter för att få dem att dela fler uppgifter eller oavsiktligt tillåta behandling av personuppgifter mot den registrerades förväntningar.

Överhoppning: att utforma gränssnittet eller användarresan på ett sådant sätt att användarna glömmer bort, eller inte tänker på, vissa av eller alla dataskyddsaspekterna. Eggande: att påverka det val användarna kan tänkas göra genom att vädja till deras känslor eller använda visuella påstötningar.

Spärrande: att hindra eller blockera användare i den process där de blir informerade eller hanterar sina uppgifter, genom att göra åtgärden svår eller omöjlig att åstadkomma. Nyckfullhet: att gränssnittets design är inkonsekvent och inte tydlig, så att det blir svårt för användarna att navigera i de olika kontrollverktygen för dataskydd och förstå syftet med behandlingen.

Lämnad i mörkret: att ett gränssnitt är designat på ett sådant sätt att det döljer information eller kontrollverktyg för dataskydd eller gör användarna osäkra på hur deras uppgifter behandlas och vad de kan tänkas ha för kontroll över dem när det gäller att utöva sina rättigheter.

Förutom att vilseledande designmönster omgrupperas i dessa kategorier utifrån hur de inverkar på användarnas beteende, kan dessa mönster även delas in i innehållsbaserade och gränssnittsbaserade mönster så att man mer specifikt kan behandla aspekter av användargränssnittet eller användarresan. Innehållsbaserade mönster avser det faktiska innehållet och därmed också formuleringen och kontexten i meningarna och informationens beståndsdelar. Det finns emellertid dessutom beståndsdelar som direkt påverkar hur dessa faktorer uppfattas. Dessa gränssnittsbaserade mönster har att göra med sätten att visa innehållet, navigera genom det eller samspela med det.

Det är nödvändigt att ha i åtanke att vilseledande designmönster ger upphov till ytterligare orosmoment när det gäller potentiell påverkan på barn som registrerar sig på den sociala medieplattformen, och även på andra sårbara grupper av personer såsom äldre, synskadade eller personer som inte är lika digitalt kunniga som andra. Sårbara grupper som äldre är ofta inte bara mindre kapabla att märka av manipulativa designmetoder, utan också mindre medvetna om att deras digitala beteende kan komma att påverkas. I dataskyddsförordningen krävs ytterligare skyddsåtgärder när behandlingen gäller barns personuppgifter, då barn kan vara mindre medvetna om riskerna och följderna samt om sina rättigheter när det gäller behandling av personuppgifter . I skäl 58 står det uttryckligen att när behandlingen riktar sig till barn bör all information och kommunikation ges på ett tydligt och enkelt språk som barn lätt kan förstå. Dessutom ingår uttryckligen i dataskyddsförordningen behandling av enskilda personers, och särskilt barns, uppgifter bland de situationer där risk för fysiska personers rättigheter och friheter, av varierande sannolikhetsgrad och allvar, kan uppkomma till följd av personuppgiftsbehandling som skulle kunna medföra fysiska, materiella eller immateriella skador . Med ovanstående i åtanke bör uppfattningen bli att vilseledande designmönster inte är unika för sociala medieplattformar. Starka åsikter i denna fråga framfördes under det offentliga samrådet om dessa riktlinjer. Gränssnitt förekommer i många andra fall där användare samspelar med produkter och tjänster som är baserade på eller relaterade till behandling av uppgifter. Dessa kan omfatta webbplatser och ”cookie banners” (kakbanderoller) , nätbutiker, videospel, mobilappar, mikrobetalningar osv. Även om de vilseledande designmönster som beskrivs nedan kanske inte förekommer i exakt samma form, kan varianterna av dem fortfarande inkräkta på de registrerades eller konsumenternas rättigheter. Dessa riktlinjer är dock enbart inriktade på vilseledande designmönster på sociala medieplattformar, eftersom dessa plattformar hela tiden får ett allt större inflytande på människors och hela nationers dagliga liv, något som klargjorts i tidigare dokument från EDPB .

2 TILLÄMPLIGA PRINCIPER – VAD SKA MAN KOMMA IHÅG?

När det gäller efterlevnad av dataskydd (skydd av personuppgifter) för användargränssnitt i onlineapplikationer i sektorn för sociala medier, fastställs de tillämpliga dataskyddsprinciperna i artikel 5 i dataskyddsförordningen. Den princip om korrekt behandling som fastställs i artikel 5.1 a i dataskyddsförordningen fungerar som utgångspunkt för att bedöma om det föreligger vilseledande designmönster. Som EDPB redan uppgett är korrekthet/rättvisa en övergripande princip enligt vilken det krävs att personuppgifterna inte behandlas på ett sätt som är omotiverat missgynnande, olagligt

diskriminerande, oväntat eller vilseledande för den registrerade . Om gränssnittet har otillräcklig eller vilseledande information för användarna och stämmer in på vad som kännetecknar vilseledande designmönster, kan det klassas som inkorrekt behandling. Principen om korrekthet har en övergripande funktion och inga designmönster som är vilseledande efterlever den, oavsett om de efterlever andra dataskyddsprinciper. Utöver denna grundläggande bestämmelse om korrekthet vid behandling är även principerna om ansvarsskyldighet och öppenhet samt skyldigheten till dataskydd som standard, som anges i artikel 25 i dataskyddsförordningen, relevanta som ram för design, och vilseledande designmönster skulle kunna strida mot dessa bestämmelser. Det är emellertid också möjligt att den rättsliga bedömningen av vilseledande designmönster kan baseras på delarna i allmänna definitioner såsom artikel 4.11 i dataskyddsförordningen, definitionen av samtycke eller andra särskilda skyldigheter såsom artikel 12 i dataskyddsförordningen. Enligt artikel 12.1 första meningen i dataskyddsförordningen måste personuppgiftsansvariga vidta lämpliga åtgärder för att tillhandahålla all kommunikation som gäller registrerades rättigheter, och även all information, i en koncis, klar och tydlig, begriplig och lätt tillgänglig form, med användning av klart och tydligt språk. Som syns i skäl 39 tredje meningen om öppenhetsprincipen är emellertid inte detta krav begränsat till dataskyddsmeddelanden eller registrerades rättigheter , utan gäller snarare all information och kommunikation i samband med behandlingen av personuppgifter. I den femte meningen i skälet klargörs också att registrerade bör göras medvetna om risker, regler, skyddsåtgärder och rättigheter i samband med behandlingen av personuppgifter och om hur de kan utöva sina rättigheter med avseende på behandlingen.

För designen av användargränssnitt till onlineapplikationer är det också viktigt att ta hänsyn till principen om ändamålsbegränsning enligt artikel 5.1 b i dataskyddsförordningen, och även till principen om uppgiftsminimering enligt artikel 5.1 c i dataskyddsförordningen. För att säkerställa efterlevnad av dataskyddet gör personuppgiftsansvariga i alla händelser klokt i att dubbelkontrollera efterlevnaden av alla dataskyddsprinciper enligt dataskyddsförordningen.

2.1 Ansvarsskyldighet

Principen om ansvarsskyldighet måste återspeglas i designen av varje användargränssnitt.

I artikel 5.2 i dataskyddsförordningen står det att en personuppgiftsansvarig ska ansvara för och kunna visa att de principer från dataskyddsförordningen som beskrivs i dess artikel 5.1 efterlevs. Därför är denna princip nära kopplad till de relevanta principer som nämns ovan. Ansvarsskyldighet kan ombesörjas genom inslag som ger bevis på att leverantören av ett socialt medium efterlever dataskyddsförordningen. Användargränssnittet och användarresan kan användas som dokumentationsverktyg för att påvisa att användarna, under sina åtgärder på den sociala medieplattformen, läst information om dataskydd och tagit den i beaktande, frivilligt har gett sitt samtycke, lätt har utövat sina rättigheter osv. Kvalitativa och kvantitativa metoder för användarstudier, såsom A/B-testning, ögonspårning eller användarintervjuer, och resultaten och analyserna av dem, kan också användas för att påvisa efterlevnad. Det är viktigt att notera att sådana forskningsmetoder ofta även inbegriper behandling av personuppgifter, som därför behöver vara i linje med dataskyddsförordningen. Om användarna t.ex. måste kryssa i en ruta eller klicka på ett av flera alternativ för dataskydd, kan skärmdumpar av gränssnitten användas för att visa användarens väg

genom dataskyddsinformationen och förklara hur användarna tar ett informerat beslut. Resultaten från användarstudier som gjorts på detta gränssnitt skulle medföra ytterligare inslag som beskriver i detalj varför gränssnittet är optimalt för att uppnå ett informationsmål.

På området användargränssnitt kan sådana dokumenterande delar återfinnas i offentliggörandet av vissa avtal och framför allt när bevis erhålls, t.ex. bevis på att ha gett samtycke eller en läsbekräftelse.

2.2 Öppenhet

Öppenhetsprincipen i artikel 5.1 a i dataskyddsförordningen går till stor del in i området allmän ansvarsskyldighet. Även om de personuppgiftsansvariga måste skydda viss känslig affärsinformation gentemot tredje parter, kan det bli lättare att åstadkomma ansvarsskyldighet om man gör dokumentation om behandling tillgänglig eller registreringsbar: Läsbekräftelse kan t.ex. erhållas för en text som den personuppgiftsansvarige måste göra tillgänglig i enlighet med principen om öppenhet. Detta kan samtidigt alltid fungera för att säkerställa öppenhet gentemot de registrerade. Alla de dataskyddsprinciper som fastställs i artikel 5 i dataskyddsförordningen är närmare specificerade i den förordningen. I artikel 5.1 a i dataskyddsförordningen föreskrivs att personuppgifter ska behandlas på ett öppet sätt i förhållande till den registrerade. I riktlinjerna om öppenhet specificeras aspekterna av öppenhet så som de fastställs i artikel 12 i dataskyddsförordningen, dvs. att informationen behöver tillhandahållas ”i en koncis, klar och tydlig, begriplig och lätt tillgänglig form, med användning av klart och tydligt språk” . Riktlinjerna ger också vägledning om hur man uppfyller informationskraven enligt artiklarna 13 och 14 i dataskyddsförordningen när det gäller leverantörer av sociala medier. I texten till dataskyddsprinciperna i artikel 5.1 a i dataskyddsförordningen och andra särskilda rättsliga bestämmelser i förordningen finns dessutom många fler detaljer om öppenhetsprincipen, som är kopplade till särskilda rättsliga principer, såsom de särskilda öppenhetskraven i artikel 7 i dataskyddsförordningen för att erhålla samtycke.

2.3 Inbyggt dataskydd och dataskydd som standard

I artikel 25.1 i dataskyddsförordningen specificeras att personuppgiftsansvariga ska genomföra lämpliga tekniska och organisatoriska åtgärder, som är utformade för att genomföra dataskyddsprinciper, medan det i artikel 25.2 i dataskyddsförordningen klargörs att sådana åtgärder ska genomföras för att säkerställa att endast personuppgifter som är nödvändiga för varje specifikt ändamål med behandlingen behandlas. I samband med riktlinjerna 4/2019 om artikel 25 Inbyggt dataskydd och dataskydd som standard, finns det vissa huvudinslag som personuppgiftsansvariga och personuppgiftsbiträden måste ta i beaktande när de genomför dataskydd som standard med avseende på en social medieplattform. Ett av dem är att när det gäller principen om korrekthet bör information och alternativ i samband med uppgiftsbehandling tillhandahållas på ett objektivt och neutralt sätt, så att man undviker bedrägligt eller manipulativt språk eller bedräglig eller manipulativ utformning . I riktlinjerna identifieras bland annat delar i principerna för inbyggt dataskydd och dataskydd som standard som blir ännu mer relevanta i fråga om vilseledande designmönster :

• Autonomi: de registrerade bör ges största möjliga självbestämmande när det gäller att avgöra hur deras personuppgifter ska användas, samt i fråga om användningens eller behandlingens omfattning och villkor. • Samspel: de registrerade måste kunna kommunicera med den personuppgiftsansvarige och utöva sina rättigheter i samband med de personuppgifter som denne behandlar. • Förväntningar: behandlingen ska överensstämma med de registrerades rimliga förväntningar. • Konsumenternas valfrihet: den personuppgiftsansvarige får inte ”låsa in” sina användare på ett inkorrekt/orättvist sätt. När en tjänsts behandling av personuppgifter avser tjänstens egna uppgifter får den skapa en inlåsning till tjänsten. Om det försämrar de registrerades möjligheter att utöva sin rätt till dataportabilitet i enlighet med artikel 20 i dataskyddsförordningen kan detta eventuellt betraktas som inkorrekt. • Maktbalans: maktbalans bör vara ett centralt mål för förhållandet mellan den personuppgiftsansvarige och den registrerade. Maktobalanser bör undvikas. När detta inte går bör obalanser erkännas och åtgärdas med hjälp av lämpliga motåtgärder. • Inget bedrägeri: information och alternativ i samband med databehandling bör tillhandahållas på ett objektivt och neutralt sätt, så att man undviker bedrägligt eller manipulativt språk eller bedräglig eller manipulativ utformning.

• Sanningsenlighet: de personuppgiftsansvariga ska tillhandahålla information om hur de behandlar personuppgifter, och agera på det sätt som de har utlovat och inte vilseleda de registrerade. Efterlevnad av principerna om inbyggt dataskydd och dataskydd som standard är viktigt när man bedömer vilseledande designmönster, då detta skulle innebära att sådana mönster undviks redan från början. Genom att jämföra sin tjänst och tillhörande gränssnitt med de element som utgör principerna om inbyggt dataskydd och dataskydd som standard, såsom de som nämns ovan, kan man också onekligen identifiera aspekter av tjänsten som skulle kunna utgöra ett vilseledande designmönster innan tjänsten lanseras. Om t.ex. dataskyddsinformation tillhandahålls utan att man följer principen ”Inget bedrägeri”, utgör det sannolikt Dolt inom synhåll eller Emotionell styrning, som båda kommer att utvecklas vidare i användningsfall 1.

3 LIVSCYKELN FÖR ETT KONTO PÅ ETT SOCIALT MEDIUM: ATT OMSÄTTA PRINCIPERNA I PRAKTIKEN

Dataskyddsförordningen tillämpas på hela förloppet vid automatisk behandling av personuppgifter . När det gäller behandling av personuppgifter som en del av driften av sociala medieplattformar, medför det att dataskyddsförordningen och dess principer tillämpas på ett användarkontos hela livscykel.

3.1 Att öppna ett konto på ett socialt medium Användningsfall 1: Registrera ett konto

a. Beskrivning av sammanhanget

Det första steg användarna behöver ta för att få tillgång till en social medieplattform är att registrera sig genom att skapa ett konto. Som en del av denna registreringsprocess uppmanas användarna att lämna sina personuppgifter, t.ex. för- och efternamn, e-postadress eller ibland telefonnummer. Användarna måste informeras om behandlingen av sina personuppgifter och de ombeds vanligen att bekräfta att de har läst integritetsmeddelandet och godkänner den sociala medieplattformens användarvillkor. Denna information måste ges på ett klart och tydligt språk, så att användarna kommer i en sådan position att de enkelt kan förstå den och medvetet godtar den.

I detta inledande skede i registreringsprocessen bör användarna vara medvetna om exakt vad de registrerar sig för, i den meningen att syftet med avtalet mellan den sociala medieplattformen och användarna bör beskrivas så klart och tydligt som möjligt.

Därför måste leverantörerna av sociala medier ta hänsyn till inbyggt dataskydd på ett ändamålsenligt sätt för att skydda de registrerades rättigheter och friheter .

b. Tillämpliga bestämmelser

Leverantörerna av sociala medier måste se till att de korrekt genomför principerna i artikel 5 i dataskyddsförordningen när de designar sina gränssnitt. Det är alltid väsentligt med öppenhet gentemot de registrerade, men det gäller särskilt i det skede då de skapar ett konto på en social medieplattform. På grund av sin ställning som personuppgiftsansvarig eller personuppgiftsbiträde bör sociala medieplattformar när användarna registrerar sig tillhandahålla informationen till dem på ett effektivt och kortfattat sätt, samt tydligt åtskilt från annan information som inte har med dataskydd att göra . En del av de personuppgiftsansvarigas skyldigheter sett till öppenhet är att informera användarna om deras rättigheter, varav en är att ta tillbaka sitt samtycke när som helst om samtycke är den tillämpliga rättsliga grunden .

i. Samtycke som lämnas vid registreringsprocessen

Som det står i artiklarna 4.11 och 7 i dataskyddsförordningen, förtydligat i skäl 32, måste samtycke när detta väljs som rättslig grund för behandlingen vara en ”frivillig, specifik, informerad och otvetydig viljeyttring, genom vilken den registrerade, antingen genom ett uttalande eller genom en entydig

bekräftande handling, godtar behandling av personuppgifter som rör honom eller henne”. Alla dessa krav för samtycke måste uppfyllas sammantaget för att det ska anses vara giltigt.

För leverantörer av sociala medier som ber om användarnas samtycke för olika ändamål för behandling, ger EDPB:s riktlinjer 5/2020 om samtycke värdefull vägledning om inhämtning av samtycke . Sociala medieplattformar får inte kringgå villkor, såsom registrerades förmåga att frivilligt ge samtycke, genom grafisk design eller formuleringar som förhindrar de registrerade från att utöva denna frivillighet. Här säger artikel 7.2 i dataskyddsförordningen att begäran om samtycke ska presenteras på ett sätt som klart och tydligt kan särskiljas från de andra frågorna i en begriplig och lätt tillgänglig form, med användning av klart och tydligt språk. Användare av sociala medieplattformar kan lämna samtycke till annonser eller särskilda typer av analys under registreringsprocessen, och i ett senare skede via dataskyddsinställningarna. I alla händelser måste samtycke, vilket understryks i skäl 32 till dataskyddsförordningen, alltid lämnas genom en entydig bekräftande handling, och på förhand ikryssade rutor eller inaktivitet från användare utgör alltså inte samtycke . Som redan betonas i EDPB:s riktlinjer om samtycke måste det finnas en viss minimiinformation som tillhandahålls till användarna för att nå över gränsen för när samtycke är ”informerat” . Om så inte är fallet kan det samtycke som erhålls under registreringsprocessen inte ses som giltigt enligt dataskyddsförordningen, vilket alltså gör behandlingen olaglig. Användarna ombeds lämna samtycke till olika slags ändamål (t.ex. vidare behandling av personuppgifter). Samtycke är inte specifikt och därför inte giltigt när användarna inte också på ett tydligt sätt får information om vad de samtycker till . Som föreskrivs i artikel 7.2 i dataskyddsförordningen ska begäran om samtycke läggas fram på ett sätt som klart och tydligt kan särskiljas från annan information, oavsett hur informationen läggs fram för den registrerade. I synnerhet när samtycke begärs på elektronisk väg får detta samtycke inte ingå i villkoren . Med tanke på att allt fler användare skaffar åtkomst till sociala medieplattformar genom att registrera sig på plattformen via gränssnittet på sina smarttelefoner, måste leverantörer av sociala medier vara särskilt uppmärksamma på hur samtycket begärs, så att de ser till att det samtycket är särskiljbart. Användarna får inte konfronteras med en överdrivet stor mängd information som får dem att hoppa över att läsa den informationen. När användarna annars ”måste” bekräfta att de har läst hela integritetspolicyn och godkänner villkoren från leverantören av ett socialt medium, däribland all behandling av personuppgifter, för att kunna skapa ett konto, kan det räknas som påtvingat samtycke till särskilda villkor som anges där. Om det medför att tjänsten nekas när man vägrar samtycke, kan inte samtycket ses som frivilligt lämnat, noga räknat och specifikt, så som krävs i dataskyddsförordningen. Samtycke som ingår i ett ”paket” tillsammans med att godkänna villkoren från en leverantör av ett socialt medium, räknas inte som ”frivilligt” . Det gäller också när den personuppgiftsansvarige ”kopplar” tillhandahållandet av ett avtal eller en tjänst till begäran om samtycke, så att den personuppgiftsansvarige behandlar personuppgifter som inte är nödvändiga för dess fullgörande av avtalet.

Då samtycke måste uttryckas genom en bejakande åtgärd från användarnas sida, bör avsaknad av samtycke ses som normaltillstånd, tills samtycke har givits. Uttryck för vägran från användaren bör därför inte kräva någon handling från användarens sida, eller bör vara möjligt genom en åtgärd som har samma grad av enkelhet som den som man uttrycker samtycke med .

ii. Återkallande av samtycke – artikel 7.3 i dataskyddsförordningen

I enlighet med artikel 7.3 första meningen i dataskyddsförordningen ska användare av sociala medieplattformar kunna återkalla sitt samtycke när som helst. Innan användare lämnar samtycke ska de också göras medvetna om rätten att återkalla samtycket, enligt kravet i artikel 7.3 tredje meningen i dataskyddsförordningen. I synnerhet ska de personuppgiftsansvariga visa att användarna har möjlighet att vägra ge samtycke eller att återkalla samtycket utan problem. Användare av sociala medieplattformar som samtycker till behandling av sina personuppgifter med ett klick, t.ex. genom att kryssa i en ruta, ska kunna återkalla sitt samtycke på ett sätt som är lika lätt . Detta visar tydligt att samtycke bör vara ett återkalleligt beslut, så att den registrerade har kvar en viss grad av kontroll i fråga om den respektive behandlingen . Att enkelt återkalla samtycke är en förutsättning för giltigt samtycke enligt artikel 7.3 fjärde meningen i dataskyddsförordningen, och bör vara möjligt utan att tjänstenivån försämras . Exempelvis kan samtycke inte anses giltigt enligt dataskyddsförordningen när samtycket erhålls genom ett enda musklick, en svajp eller ett tangenttryck, men återkallandet kräver fler steg , är svårare att åstadkomma eller tar längre tid.

c. Vilseledande designmönster

Åtskilliga bestämmelser i dataskyddsförordningen berör registreringsprocessen. Därför finns det ett antal vilseledande designmönster som kan förekomma när leverantörer av sociala medier inte genomför dataskyddsförordningen på lämpligt sätt.

i. Innehållsbaserade mönster

Överbelastning – Ständigt promptande (bilaga I checklista 4.1.1)

Det vilseledande designmönstret Ständigt promptande föreligger när användarna pressas att lämna fler personuppgifter än vad som är nödvändigt för behandlingen eller att godkänna annan användning av deras uppgifter, genom att de upprepade gånger ombeds att lämna ytterligare uppgifter eller samtycka till ett ändamål för behandling. Sådant upprepat promptande kan ske genom en eller flera enheter. Det är sannolikt att användarna till slut ger upp, då de blir trötta på att behöva vägra begäran varje gång de använder plattformen.

Example 1: Variant A: I det första steget i registreringsprocessen måste användarna välja mellan olika alternativ för sin registrering. De kan antingen lämna en e-postadress eller ett telefonnummer. När användarna väljer e-postadress, försöker leverantören av det sociala

mediet ändå övertyga dem om att lämna telefonnumret, genom att förklara att det kommer att användas för kontosäkerhet, utan att ge några alternativ för de uppgifter som användarna skulle kunna lämna eller redan har lämnat. Rent konkret kommer det upp åtskilliga fönster under registreringsprocessen med ett fält för telefonnumret, tillsammans med förklaringen ”We’ll use your [phone] number for account security” (”Vi kommer att använda ditt [telefon]nummer för kontosäkerhet”). Även om användarna kan stänga fönstret, blir de överbelastade och ger upp genom att lämna sitt telefonnummer.

Variant B: En annan leverantör av sociala medier ber upprepade gånger användarna att lämna telefonnumret varje gång de loggar in på sitt konto, trots att användarna tidigare vägrat uppge det, oavsett om detta var under registreringsprocessen eller vid den senaste inloggningen.

Exemplet ovan illustrerar situationen där användare ständigt ombeds att tillhandahålla särskilda personuppgifter, t.ex. sitt telefonnummer. I variant A av exemplet görs sådant Ständigt promptande flera gånger under registreringsprocessen, medan variant B visar att användarna kan drabbas av detta vilseledande designmönster även när de redan registrerat sig. För att undvika detta vilseledande designmönster är det viktigt att särskilt ha i åtanke principerna om uppgiftsminimering enligt artikel 5.1 c i dataskyddsförordningen och, i fall som det som beskrivs i exempel 1 variant A, även principen om ändamålsbegränsning enligt artikel 5.1 b i dataskyddsförordningen. Därför ska leverantörer av sociala medier, när de uppger att de ska använda telefonnumret ”för kontosäkerhet”, endast behandla telefonnumret för nämnda säkerhetsändamål och får inte vidare behandla telefonnumret på ett sätt som går utöver det ursprungliga syftet.

Om leverantörerna av sociala medier ska följa principen om uppgiftsminimering får de inte fråga efter ytterligare uppgifter som telefonnumret, när det räcker med de uppgifter som användarna redan lämnat under registreringsprocessen. För att t.ex. trygga kontosäkerheten är utökad autentisering möjlig utan telefonnummer, genom att bara skicka en kod till användarnas e-postkonton eller på flera andra sätt. Leverantörerna av sociala nätverk bör därför använda sig av säkerhetsmetoder som är lättare för användarna att återstarta. Exempelvis kan leverantören av ett socialt medium skicka användarna ett autentiseringsnummer via en ytterligare kommunikationskanal, såsom en säkerhetsapp, som användarna tidigare installerat på sin mobil, men utan att kräva användarnas mobiltelefonnummer. Användarautentisering via e-postadresser är också mindre påträngande än via telefonnummer, eftersom användarna helt enkelt kan skapa en ny e-postadress specifikt för registreringsprocessen och använda den e-postadressen främst i samband med det sociala nätverket. Ett telefonnummer är dock inte lika lättvindigt utbytbart, då det är högst osannolikt att användarna skulle köpa ett nytt SIM-kort eller ingå ett nytt telefonabonnemang bara för en autentiserings skull.

Man bör tänka på att om syftet med en sådan här begäran är att bevisa att användarna är legitima ägare till den enhet som används för att logga in på det sociala nätverket, kan det målet uppnås på flera sätt, där telefonnumret bara är ett. Därför kan ett telefonnummer bara utgöra ett relevant alternativ på frivillig basis för användarna. Slutligen måste användarna få avgöra om de vill använda denna metod som faktor för autentisering. I synnerhet för en engångsverifiering behövs inte användarnas telefonnummer eftersom e-postadressen utgör den regelbundna kontaktpunkten med användarna under registreringsprocessen.

Den metod som illustreras i exempel 1 variant A kan vilseleda användarna och få dem att ofrivilligt lämna sådan information, i tron att det är nödvändigt för att aktivera eller skydda kontot. I själva verket fick användarna aldrig del av alternativet (t.ex. att använda e-post för kontoaktiverings- och säkerhetssyften). Under exempel 1 variant B blir inte användarna informerade om ett ändamål för behandlingen. Men denna variant utgör alltjämt det vilseledande designmönstret Ständigt promptande, eftersom leverantören av det sociala mediet inte bryr sig om att användarna tidigare vägrat lämna telefonnumret och fortsätter fråga efter det. När användarna får intrycket att de bara kan undvika denna upprepade begäran genom att ange sina uppgifter, ger de sannolikt efter.

I följande exempel uppmanas användarna ideligen att ge den sociala medieplattformen tillgång till deras kontakter:

Example 2: En social medieplattform använder en informationsruta eller en frågeteckenikon för att driva användarna att utföra den ”valfria” åtgärd man efterfrågar för närvarande. Men i stället för att bara ge information till användare som väntar sig att få hjälp av de knapparna, ger plattformen prompter till användarna att godkänna att importera sina kontakter från sitt e-postkonto, genom att upprepade gånger visa ett popupfönster där det står ”Let’s do it” (”Nu gör vi det”).

I synnerhet under registreringsprocessen kan sådant Ständigt promptande påverka användarna att bara godkänna plattformens begäran så att de blir färdiga med registreringen till slut. Detta vilseledande designmönster får en ännu större effekt när det kombineras med motiverande språk som i detta exempel, så att det tillkommer en känsla av brådska.

De påverkande effekterna av formuleringarna och det visuella kommer att behandlas ytterligare nedan, vid genomgången av det vilseledande designmönstret Emotionell styrning.

Spärrande – Vilseledande handling (bilaga I checklista 4.4.3)

Ett annat exempel på en situation där leverantörer av sociala medier frågar efter användarnas telefonnummer utan att det behövs gäller användningen av plattformens applikation:

Example 3: När användarna registrerar sig på en social medieplattform via en webbläsare på en dator, uppmanas de att även använda plattformens mobilapplikation. Under något som ser ut som ett annat steg i registreringsprocessen uppmanas användarna att upptäcka appen. När de klickar på ikonen, och förväntar sig att dirigeras vidare till en applikationsbutik, blir de i stället ombedda att lämna sitt nummer så de kan få ett sms med länken till appen.

Att förklara för användarna att de behöver lämna telefonnumret för att få en länk till att ladda ner applikationen utgör en Vilseledande handling av ett antal skäl: Först och främst finns det flera sätt för användarna att använda en applikation, t.ex. genom att skanna en QR-kod, använda en länk eller ladda ner appen från applikationsbutiken. Vidare visar dessa alternativ att leverantören av den sociala plattformen inte har någon tvingande anledning att efterfråga användarnas telefonnummer. När användarna har slutfört registreringsprocessen behöver de kunna använda sina inloggningsuppgifter (dvs. vanligen e-postadress och lösenord) för att logga in oavsett vilken enhet de använder – en webbläsare på dator eller mobil eller en applikation. Detta understryks ännu mer av att användarna i

stället för en smarttelefon kan vilja installera applikationen på sin surfplatta, som inte är kopplad till ett telefonnummer.

Eggande – Emotionell styrning (bilaga I checklista 4.3.1)

Med det vilseledande designmönstret Emotionell styrning används formuleringar eller visuella inslag (t.ex. stil, färger, bilder eller annat) på ett sätt som förmedlar information till användarna i antingen en mycket positiv ton, så att användarna känner sig väl till mods, trygga eller belönade, eller en mycket negativ där användarna känner sig ängsliga, skyldiga eller bestraffade. Hur man presenterar information för användarna påverkar deras känslomässiga tillstånd på ett sätt som sannolikt får dem att handla mot sina dataskyddsintressen. Sådana metoder kan bli ännu mer verkningsfulla om de bygger på uppgifter som plattformen samlat in. Att påverka beslut genom att ge enskilda personer partisk information kan i allmänhet ses som en inkorrekt metod som går emot den princip om korrekthet vid behandling som fastställs i artikel 5.1 a i dataskyddsförordningen. Den kan inträffa under hela användarresan inom en social medieplattform. Dock kan styrningseffekten bli särskilt kraftig vid registreringsprocessen, med tanke på den övermängd av information som användarna kan behöva hantera utöver de steg som behövs för att slutföra registreringen.

Mot bakgrund av ovanstående kan Emotionell styrning vid registreringen på en social medieplattform få en ännu större effekt på barn, äldre och andra grupper (dvs. de lämnar fler personuppgifter pga. bristande uppfattning om behandlingarna), med hänsyn till att de som registrerade är sårbara till sin karaktär . När sociala medieplattformstjänster riktas till barn eller andra sårbara registrerade, bör de säkerställa att det språk som används, inklusive ton och stil, är lämpligt så att de sårbara användarna som mottagare av meddelandet lätt förstår den information som ges . När det gäller barns, äldres och andra registrerades sårbarhet kan vilseledande designmönster påverka dessa användare att dela mer information, då ”befallande” uttryck kan få dem att känna sig tvingade till det, t.ex. för att verka populära i omgivningen eller för att de tror att det är obligatoriskt att lämna uppgifterna. När användarna av sociala medieplattformar ombeds att ge bort sina uppgifter snarast, har de inte tid att ”bearbeta” och alltså på riktigt begripa den information de får för att kunna ta ett medvetet beslut. Motiverande språk som sociala medieplattformar använder kan uppmuntra användare att fortsättningsvis lämna fler uppgifter än vad som krävs, när de känner att det som den sociala medieplattformen föreslår är vad de flesta användare kommer att göra och alltså det ”rätta sättet” att gå vidare.

Example 4: Den sociala medieplattformen ber användarna att dela sin geografiska plats genom att påstå: ”Hallå där! Du är kanske ensamvarg? Men om vi delar och får kontakt med andra gör vi världen bättre! Dela din geografiska plats! Låt dig inspireras av ställena och människorna i närheten!”

Under registreringsprocessen är användarens mål att slutföra registreringen för att sedan kunna använda den sociala medieplattformen. Vilseledande designmönster som Emotionell styrning har starkare effekter i detta sammanhang. Dessa riskerar att bli kraftigare i mitten eller mot slutet av registreringsprocessen jämfört med början, eftersom användarna för det mesta slutför alla de nödvändiga stegen ”i ett svep” eller blir mer mottagliga för att känna brådska. I ett sådant sammanhang är det mer sannolikt att användarna går med på att ange alla uppgifter de avkrävs, utan

att ta sig tid att ifrågasätta om de borde göra det. I den meningen kan det motiverande språk som leverantören av ett socialt medium använder påverka användarens omedelbara beslut, liksom när det motiverande språket kombineras med betoning av andra slag, t.ex. utropstecken, som syns i exemplet nedan.

Example 5: En leverantör av ett socialt medium stimulerar användarna så de uppmuntras att dela fler personuppgifter än vad som faktiskt behövs, genom prompter till dem att lägga in en självbeskrivning: “Berätta något om dig själv och din fantastiska personlighet! Vi vill så gärna veta, så kom igen och berätta!”

Med den metoden får de sociala medieplattformarna en mer detaljerad profil av sina användare. Beroende på enskilt fall är det emellertid kanske inte nödvändigt för användningen av tjänsten i sig att lämna fler personuppgifter, t.ex. om användarens personlighet, och det strider därför mot principen om uppgiftsminimering enligt artikel 5.1 c i dataskyddsförordningen. Som syns i exempel 5 främjar inte sådana metoder användarnas frivillighet att lämna sina uppgifter, eftersom det föreskrivande språk som används kan få användarna att känna sig tvingade att ge en självbeskrivning då de redan har lagt tid på registreringen och vill slutföra den. När användarna är inne i processen med att registrera ett konto, är det mindre sannolikt att de tar sig tid att fundera på den beskrivning de ger eller om de ens skulle vilja lämna någon sådan. Så är i synnerhet fallet när det språk som används ger en känsla av brådska eller låter som en befallning. Om användare känner denna skyldighet, även när det i själva verket inte är ett tvång att lämna uppgifterna, kan detta påverka deras ”frivillighet”. Det innebär även att den information som lämnats av den sociala medieplattformen var otydlig.

Example 6: Den del av registreringsprocessen där användarna ombeds att ladda upp sin bild innehåller en ”?”-knapp. Klickar man på den kommer följande meddelande upp: ”No need to go to the hairdresser’s first. Just pick a photo that says ‘this is me’.” (”Du behöver inte gå och klippa dig först eller så. Bara välj ett foto som visar att ’det här är jag’.”)

Även om meningarna i exempel 6 är tänkta att motivera användarna och synbart förenkla processen för deras skull (dvs. det behövs ingen formell bild för att registrera sig), kan sådana metoder påverka det slutliga beslutet från användare som från början bestämde att inte dela en bild till sitt konto. Frågetecken används för frågor, och när det förekommer som ikon kan användarna förvänta sig nyttig information när de klickar på det. När denna förväntan inte uppfylls och användarna i stället blir ombedda en gång till att vidta den åtgärd de tvekar över, blir samtycke som inhämtats utan att informera användarna om behandling av deras foto inte giltigt, då det inte uppfyller kraven på ”informerat” och ”frivilligt” samtycke enligt artikel 7 jämförd med artikel 4.11 i dataskyddsförordningen. Känslofaktorn har därigenom ett kraftigt inflytande på samtyckets legitimitet.

Spärrande – Längre än nödvändigt (bilaga I checklista 4.4.2)

När användare försöker aktivera en kontroll som gäller dataskydd, men användarresan görs på ett sådant sätt att användarna måste slutföra fler steg än de som behövs för att aktivera alternativ som inkräktar på personuppgifter, utgör detta det vilseledande designmönstret Längre än nödvändigt. Detta mönster avskräcker troligen användarna från att aktivera dataskyddskontrollerna. I registreringsprocessen kan detta ta sig uttryck i att det visas ett popin- eller popupfönster där användarna ombeds att bekräfta sitt beslut när de väljer ett restriktivt alternativ (t.ex. väljer att göra sina profiler privata). Exemplet nedan visar ett annat fall med en registreringsprocess som är Längre än nödvändigt.

Example 7: Under registreringsprocessen får användare som klickar på ”hoppa över”knapparna för att undvika att ange vissa typer av uppgifter upp ett popupfönster där det står ”Are you sure?” (”Är du säker?”). Genom att ifrågasätta användarnas beslut och därmed få dem att tvivla på det, uppmanar leverantörerna av sociala medier dem att ompröva beslutet och lämna ut dessa typer av uppgifter, såsom kön, kontaktlista eller foto. Användare som väljer att direkt ange uppgifterna ser däremot inte något meddelande där de ombeds att ompröva sitt val.

Att be användarna om bekräftelse på att de inte vill fylla i ett uppgiftsfält kan här få dem att ångra sitt första beslut och ange de uppgifter som begärs. Så är i synnerhet fallet för användare som inte är bekanta med den sociala medieplattformens funktioner. Detta vilseledande designmönster Längre än nödvändigt försöker påverka användarnas beslut genom att uppehålla dem och ifrågasätta deras första val, utöver att i onödan förlänga registreringsprocessen, vilket utgör ett brott mot principen om korrekthet enligt artikel 5.1 a i dataskyddsförordningen. Exemplet visar att det vilseledande designmönstret kan få användarna att lämna ut fler personuppgifter än de valde från början. Det visar en obalans i behandlingen av de användare som lämnar ut personuppgifter direkt och de som inte gör det: Endast de som vägrar lämna ut uppgifterna ombeds bekräfta sitt val, medan användare som lämnar ut uppgifterna inte ombeds bekräfta sitt val. Detta utgör ett brott mot principen om korrekthet enligt artikel 5.1 a i dataskyddsförordningen med avseende på användare som inte vill lämna ut dessa personuppgifter.

ii. Gränssnittsbaserade mönster

Eggande – Dolt inom synhåll (Bilaga I checklista 4.3.2)

I enlighet med öppenhetsprincipen måste registrerade få information på ett tydligt sätt så de kan förstå hur deras personuppgifter behandlas och hur de kan kontrollera dem. Denna information måste dessutom vara lätt för de registrerade att märka. Information som gäller dataskydd, i synnerhet länkar, visas dock ofta på ett sådant sätt att användarna lätt kan förbise den. I sådana metoder med Dolt inom synhåll används för informations- eller dataskyddskontroller en visuell stil som stöter bort användarna från de alternativ som är fördelaktiga för dataskyddet, till mindre restriktiva och därmed mer inkräktande alternativ. Att använda en liten teckenstorlek eller en färg som inte kontrasterar tillräckligt för att ge läsbarhet (t.ex. gråtonad text på vit bakgrund) kan påverka användarna negativt, då texten blir mindre synlig och användarna antingen förbiser den eller har svårt att läsa den. Så är i synnerhet fallet när ett eller flera iögonfallande inslag placeras bredvid den obligatoriska dataskyddsrelaterade informationen. Dessa gränssnittsmetoder vilseleder användarna och medför att det blir mer betungande och tidskrävande att identifiera informationen om deras dataskydd, då det tar mer tid och grundlighet för att få syn på den relevanta informationen.

Example 8: Omedelbart efter att användarna slutfört registreringen kan de bara komma åt information om dataskydd genom att ta fram den sociala medieplattformens huvudmeny och bläddra igenom den undermeny där det finns en länk till ”privacy and data settings” (”inställningar för integritet och personuppgifter”). När man besöker den sidan är en länk till integritetspolicyn inte synlig vid en första anblick. Användarna måste i ett hörn av sidan lägga märke till en liten ikon som pekar på integritetspolicyn, vilket innebär att användarna knappast märker var informationen om de dataskyddsrelaterade policyerna finns.

Det är viktigt att notera att även när leverantörer av sociala medier gör all information tillgänglig för registrerade enligt artiklarna 13 och 14 i dataskyddsförordningen, kan sättet att presentera denna information fortfarande strida mot de övergripande kraven på öppenhet enligt artikel 12.1 i dataskyddsförordningen. När informationen är Dold inom synhåll och därför sannolikt förbises, leder detta till förvirring eller desorientering och informationen kan inte anses vara begriplig och lätt tillgänglig, vilket då går emot artikel 12.1 i dataskyddsförordningen.

Exemplet ovan visar det vilseledande designmönstret efter att registreringsprocessen är slutförd, men detta mönster inträffar också redan under registreringsprocessen, vilket visas i exemplet som illustreras nedan, där mönstren Dolt inom synhåll och Bedräglig trygghet.

Överhoppning – Bedräglig trygghet (bilaga I checklista 4.2.1)

Leverantörer av sociala medier behöver också tänka på principen om dataskydd som standard. När uppgiftsinställningar väljs i förväg omfattas användarna av en viss dataskyddsnivå, som fastställs av leverantören som standard i stället för av användarna. Dessutom får användarna inte alltid omedelbart möjligheten att ändra så inställningarna blir striktare och efterlever dataskyddet. Efterlevnad av dataskyddsförordningen i detta avseende innebär inte att alla alternativ måste se exakt likadana ut. Men om leverantörer av sociala medier markerar ett av alternativen och därmed gör användarna mer uppmärksamma på det, måste det alternativet vara det mest restriktiva när det gäller personuppgifter, för att efterleva bl.a. principen om uppgiftsminimering enligt artikel 5.1 c i dataskyddsförordningen. När de funktioner och alternativ som är mest inkräktande på personuppgifter är aktiverade som standard, utgör detta mönstret Bedräglig trygghet. Pga. standardeffekten som driver de enskilda personerna att behålla ett förvalt alternativ är det osannolikt att användarna kommer att ändra det även om de får möjlighet. Denna metod påträffas vanligen i registreringsprocesser, som exempel 9 nedan visar, då det är ett väl fungerande sätt att aktivera alternativ som inkräktar på personuppgifter och som användarna i annat fall troligen skulle avböja. Sådana vilseledande designmönster går emot principen om dataskydd som standard i artikel 25.2 i dataskyddsförordningen, i synnerhet när de påverkar insamlingen av personuppgifter, behandlingens omfattning, perioden då uppgifter lagras samt uppgifternas tillgänglighet .

Example 9: I detta exempel blir användare, när de anger sitt födelsedatum, uppmanade att välja vem den informationen får delas med. Fastän mindre inkräktande alternativ är tillgängliga är alternativet “share it with everyone” (”dela det med alla”) markerat som standard, vilket innebär att alla, dvs. såväl registrerade användare som vilka internetanvändare som helst, kommer att kunna se användarens födelsedatum.

Exempel 9 visar ett Bedräglig trygghet-mönster, då det inte som standard är det alternativ som ger den högsta dataskyddsnivån som är markerat, och därmed aktiveras. Standardeffekten av detta mönster är dessutom att användarna drivs att behålla förvalet, dvs. att varken ta sig tid att fundera på de andra alternativen i detta skede eller gå tillbaka och ändra inställningen i ett senare skede. Även mönstret Dolt inom synhåll används i detta gränssnitt. Att ange sitt födelsedatum är onekligen inte obligatoriskt, eftersom användarna kan hoppa över detta steg i registreringen genom att klicka på länken där det står “Skip this step and sign up” (”Hoppa över detta steg och registrera”) som finns nedanför knappen “Join the network!” (”Gå med i nätverket!”). Att fältet för födelsedatum och bekräftelseknappen är så framträdande medför sannolikt att användarna drivs att ange sitt födelsedatum och skicka det till det sociala nätverket, eftersom de inte märker möjligheten att inte dela den informationen. Den här effekten skulle bli ännu större om det bredvid fältet och knappen användes animerade cirklar som kraftigt drar till sig användarnas uppmärksamhet.

Att respektera principen om inbyggt dataskydd och dataskydd som standard innebär inte att alla alternativ som erbjuds måste se exakt likadana ut. Men om personuppgiftsansvariga beslutar att markera ett alternativ mer än det/de andra, måste det som är markerat måste vara det som är mest restriktivt när det gäller uppgiftsbehandling.

Förutom att leverantörer av sociala medier driver på användarna att behålla ett alternativ som inte nödvändigtvis stämmer med vad de önskar, ber de dem kanske inte att kontrollera eller ändra sina dataskyddsinställningar efter sina preferenser när de har slutfört registreringsprocessen. För att ändra dessa standardinställningar kan det dessutom krävas flera steg. När användarna inte på något sätt manas att kontrollera eller modifiera sina dataskyddsinställningar, och inte på ett tydligt sätt vidaredirigeras till någon tillhörande information, blir deras dataskyddsnivå beroende av deras eget initiativ. För att göra det lättare för användarna att kontrollera sina uppgifter kan s.k. sekretesspaneler användas, som är utformade för att centralisera och underlätta sådana försök.

Det är viktigt att komma ihåg att avsaknad av inbyggt dataskydd och dataskydd som standard, i kombination med ovan nämnda standardeffekt, kan få skadliga konsekvenser för registrerade, däribland för deras cybersäkerhet. Att offentligt visa upp personuppgifter som födelsedatum, som används i verifieringsprocesser för andra onlinetjänster, kan göra det lättare för kriminella att få tillgång till användares shoppingkonton, bankkonton och andra konton. En annan skadlig konsekvens gäller kontaktmöjligheterna på den sociala medieplattformen: Om standardalternativet för att skicka kontaktförfrågningar eller meddelanden till användare är inställt på ”vem som helst”, ökar det risken för cybergrooming och bedrägerier, särskilt mot sårbara grupper.

När Bedräglig trygghet slutligen tillämpas på inhämtning av samtycke, vilket då blir likvärdigt med att anse att användarna samtycker som standard, t.ex. genom att man använder en förkryssad ruta eller ser inaktivitet som godkännande, är inte de villkor för samtycke som fastställs i artikel 4.11 i dataskyddsförordningen uppfyllda och behandlingen blir ansedd som olaglig i enlighet med artiklarna 5.1 a och 6.1 a i dataskyddsförordningen.

Spärrande – Återvändsgränd (bilaga I checklista 4.4.1)

Det är viktigt att påpeka att registreringsprocessen är ett avgörande tillfälle för användarna att bli informerade. Om de letar efter information och inte hittar den eftersom ingen omdirigeringslänk finns eller fungerar, utgör detta ett Återvändsgränd-mönster eftersom användarna blir oförmögna att uppnå det målet.

Example 10: Användarna blir inte försedda med några länkar till dataskyddsinformation när de väl har inlett registreringsprocessen. Användarna kan inte hitta denna information eftersom det inte finns någon någonstans i gränssnittet för registrering, inte ens i sidfoten.

I praktiken medför detta exempel att det enda användarna kan göra är att antingen avbryta registreringen och gå tillbaka till startsidan, om det finns en länk till integritetsmeddelandet där, eller slutföra registreringen, logga in på den sociala medieplattformen och först då få tillgång till information om dataskydd. Detta strider mot principen om öppenhet och tillgänglig information som ska tillhandahållas till registrerade enligt kraven i artikel 12.1 i dataskyddsförordningen. Det uppfyller inte heller kraven i artikel 13.1 och 13.2 i dataskyddsförordningen eftersom ingen information tillhandahålls och är tillgänglig vid insamlingen av personuppgifterna.

Mönstret Återvändsgränd kan även förekomma på ett annat sätt när användare tillhandahålls en dataskyddsrelaterad åtgärd eller möjlighet under registreringsprocessen och sedan inte kan hitta den igen senare, när de använder tjänsten.

Example 11: Under registreringsprocessen kan användarna samtycka till att deras personuppgifter används i annonseringssyfte och de informeras om att de kan ändra sitt val genom att gå till integritetspolicyn närhelst de vill när de väl registrerat sig i det sociala mediet. Men när användarna väl har slutfört registreringsprocessen och går till integritetspolicyn, hittar de inga sätt eller något som visar hur de återkallar sitt samtycke till denna behandling.

I just detta exempel har användarna inget sätt att återkalla sitt samtycke när de väl har registrerat sig. Här strider det vilseledande designmönstret Återvändsgränd mot de registrerades rätt att när som helst återkalla sitt samtycke, och detta lika lätt som att ge det, enligt artikel 7.3 första och fjärde meningen i dataskyddsförordningen.

Att slutligen hänvisa användarna till en länk som antas leda dem till dataskyddsrelaterade sidor, såsom inställningar eller dataskyddsinformation, är också det ett exempel på ett Återvändsgränd-mönster om länken inte fungerar och det inte finns några reservlänkar som kan hjälpa användarna att hitta vad de letar efter. På så sätt kan inte användarna söka relevant information och får samtidigt inga förklaringar till detta, såsom anledningen till att det inträffar (t.ex. tekniska problem). I ett sådant fall inträffar samma problem i fråga om öppenhet och enkel tillgång till information som beskrivs i punkt 58.

d. Bästa praxis

För att designa användargränssnitt som gör det lättare att ändamålsenligt genomföra dataskyddsförordningen rekommenderar EDPB att man genomför följande bästa praxis för registreringsprocessen:

Genvägar: Länkar till information, åtgärder eller inställningar som användarna kan ha praktisk nytta av för att hantera sina uppgifter och sina dataskyddsinställningar bör finnas tillgängliga varje gång de konfronteras med tillhörande information eller upplevelser (t.ex. länkar som dirigerar om till de relevanta delarna av integritetspolicyn).

Kontaktuppgifter: Företagets kontaktadress som man kan vända sig till med begäranden om dataskydd bör vara tydligt angiven i integritetspolicyn. Den bör finnas i ett avsnitt där användarna kan förvänta sig att hitta den, såsom ett avsnitt om den personuppgiftsansvariges identitet, ett avsnitt om rättigheter eller ett kontaktavsnitt.

Kontakt med tillsynsmyndigheten: Uppge den specifika identiteten för tillsynsmyndigheten och inkludera en länk till dess webbplats eller den specifika webbsida som handlar om att lämna in ett klagomål. Denna information bör finnas i ett avsnitt där användarna kan förvänta sig att finna den, såsom ett avsnitt om rättigheter.

Översikt av integritetspolicy: Inkludera i början av/längst upp i integritetspolicyn en (minimerbar) innehållsförteckning med rubriker och underrubriker som visar integritetsmeddelandets olika avdelningar. Namnen på de enskilda avdelningarna leder tydligt användarna till exakt rätt innehåll och gör att de snabbt kan identifiera och hoppa till det avsnitt de letar efter.

Synliga ändringar och jämförelser: När det görs ändringar av integritetsmeddelandet, gör då tidigare versioner tillgängliga med publiceringsdatum och markera ändringarna.

Samstämmiga formuleringar: Använd samma formuleringar och definitioner för samma dataskydd på hela webbplatsen. De ordalydelser som används i integritetspolicyn bör stämma med dem som används på resten av plattformen.

Att tillhandahålla definitioner: När obekanta eller tekniska ord eller fackuttryck används, förstår användarna lättare den information som tillhandahålls till dem om det finns en definition på klart språk. Definitionen kan ges direkt i texten, när användarna hovrar över ordet eller genom att det finns tillgängligt i en ordlista.

Kontrasterande delar om dataskydd: Gör de delar eller åtgärder som gäller dataskydd visuellt iögonfallande i ett gränssnitt som inte är direkt ägnat åt saken. När man t.ex. lägger ut ett offentligt meddelande på plattformen bör kontroller över associerad geografisk plats vara direkt tillgängliga och synas tydligt.

Igångsättning för dataskydd: Direkt efter att ett konto skapats bör det finnas med punkter om dataskydd i den igångsättningsupplevelse som leverantören av sociala medier ger användarna så att de smidigt kan upptäcka och ställa in sina preferenser. Detta kan t.ex. göras genom att de uppmanas att ställa in sina dataskyddspreferenser efter att de lagt till sin första vän eller delat sitt första inlägg.

Användning av exempel: Utöver obligatorisk information som tydligt och exakt uppger ändamålet för behandlingen kan exempel användas för att illustrera en viss typ av uppgiftsbehandling så att den blir mer konkret för användarna.

Bakgrundsinformation: Utöver en uttömmande integritetspolicy kan man lägga in korta informationsstycken vid de tillfällen då det är mest lämpligt att användaren får specifik och kontinuerlig information om hur deras uppgifter behandlas.

3.2 Att hålla sig informerad på sociala medier Användningsfall 2 a: Ett skiktat integritetsmeddelande

a. Beskrivning av sammanhanget

Som redan betonas i riktlinjerna om öppenhet är öppenhetsprincipen mycket nära kopplad till principen om korrekt behandling av personuppgifter . Information om hur personuppgifter behandlas gör emellertid också att personuppgiftsansvariga reflekterar över sina egna handlingar, att uppgiftsbehandlingen blir mer begriplig för de registrerade och att de registrerade i slutändan bemyndigas med mer kontroll över sina uppgifter, i synnerhet genom att de kan utöva sina rättigheter. Att de inblandade personerna till följd av detta får likvärdiga förmågor medför ett korrekt system för behandling av personuppgifter. Mer information innebär dock inte nödvändigtvis bättre information. För mycket irrelevant eller förvirrande information kan fördunkla viktiga punkter i innehållet eller göra det mindre sannolikt att de hittas. Därför är det avgörande att hitta den rätta balansen mellan innehåll och begriplig presentation på det här området. Om den balansen inte uppnås kan det uppkomma vilseledande designmönster.

b. Tillämpliga bestämmelser

De förhållanden som just beskrivits blir tydliga på grundval av artikel 5 i dataskyddsförordningen. Öppenhet och korrekthet nämns redan systematiskt sida vid sida i artikel 5.1 a i dataskyddsförordningen, då den ena komponenten bestämmer den andra. Att det måste finnas inte bara extern utan även intern öppenhet görs också klart genom kravet på ansvarsskyldighet i artikel 5.2

i dataskyddsförordningen. Den viktigaste delen av intern öppenhet är kravet att föra ett register över behandlingar enligt artikel 30 i dataskyddsförordningen. För extern öppenhet kan leverantörer av sociala medier, bland andra informationssätt, tillhandahålla användarna ett skiktat integritetsmeddelande . Detta behov av begriplighet och korrekt behandling leder också till kraven i artikel 12.1 i dataskyddsförordningen, där det står att all information som avses i artiklarna 13 och 14 ska tillhandahållas i en koncis, klar och tydlig, begriplig och lätt tillgänglig form, med användning av klart och tydligt språk. Följaktligen måste informationsinnehållet göras tillgängligt utan hinder. Om kraven i artikel 12 i dataskyddsförordningen inte är uppfyllda, finns det ingen giltig information i den mening som avses i artiklarna 13 och 14 i dataskyddsförordningen. För ändamålsenlig kontroll kan därför personuppgiftsansvariga och personuppgiftsbiträden hållas ansvariga, vilket gör att kraven i dataskyddsförordningen fungerar i praktiken.

c. Vilseledande designmönster i. Innehållsbaserade mönster

Beträffande detta användningsfall sätts det gränser för innehållsbaserade mönster i artikel 12.1 i dataskyddsförordningen, där det krävs att den information som tillhandahålls måste ha både en koncis och begriplig form och ett klart och tydligt språk.

Lämnad i mörkret – Motstridig information (bilaga I checklista 4.6.2)

Ett av de tydligaste fallen då detta kan inträffa är när det ges Motstridig information så att användarna blir osäkra på vad de borde göra och på konsekvenserna av sina handlingar, och därför inte utför några, eller behåller standardinställningarna. Överträdelser på detta område, såsom brott mot artikel 12.1 i dataskyddsförordningen, kan förvärras av andra effekter som Emotionell styrning. Motiverande texter, bilder och färger samt tilltalande reklam är i princip tillåtet. Det ökar dock sannolikt effekten av vilseledande designmönster, däribland inkorrekt behandling i motsats till korrekthet i den mening som avses i artikel 5.1 a i dataskyddsförordningen.

Example 12: I detta exempel ger informationen om uppgiftsdelning en mycket positiv bild av behandlingen genom att markera fördelarna med att dela så många uppgifter som möjligt. I kombination med illustrationen som ska föreställa ett foto av ett gulligt djur som leker med en boll, kan sådan Emotionell styrning ge användarna illusionen av säkerhet och komfort när det gäller de potentiella riskerna med att dela ett visst slags information på plattformen. Å andra sidan är den information som ges om hur man kontrollerar publiciteten för sina

uppgifter inte tydlig. Det står för det första att användarna kan ställa in sina delningspreferenser när de vill. Men den sista meningen tyder på att detta inte är möjligt när något väl har lagts ut på plattformen. Sådan Motstridig information gör användarna osäkra på hur de ska kontrollera sina uppgifters publicitet.

Nyckfullhet – Bristande hierarki (bilaga I checklista 4.5.1)

Liknande effekter som med Motstridig information och Emotionell styrning kan inträffa om presentationen av informationen inte följer ett internt system eller en hierarki. Information som gäller dataskydd med Bristande hierarki föreligger när nämnda information visas flera gånger och presenteras på flera olika sätt. Troligen blir användarna förvirrade av denna överflödighet och kan inte få någon fullständig uppfattning om hur deras uppgifter behandlas och hur de utövar kontroll över dem. Sådan arkitektur gör informationen svår att förstå, då den fullständiga bilden inte är lätt tillgänglig. I fall som det som beskrivs i följande exempel bryter detta mot kraven på begriplighet och lätt tillgänglighet i artikel 12.1 i dataskyddsförordningen.

Example 13: Information om registrerades rättigheter är utspridd i integritetsmeddelandet. Även om olika rättigheter för registrerade förklaras i avsnittet ”Your options” (”Dina alternativ”), anges rätten att inge klagomål och den exakta kontaktadressen först efter flera avsnitt och skikt som hänvisar till olika ämnen. Integritetsmeddelandet utelämnar därför delvis kontaktuppgifter i skeden där detta skulle vara önskvärt och tillrådligt.

Bristande hierarki kan också uppkomma när den angivna informationen är uppdelad på ett sådant sätt att det blir svårt för användarna att orientera sig, som följande exempel visar.

Example 14: Integritetspolicyn är inte uppdelad i olika avsnitt med rubriker och innehåll. Det tillhandahålls över 70 sidor. Emellertid finns ingen navigationsmeny vid sidan av eller högst upp så att användarna lätt kan få tag i det avsnitt de är ute efter. Förklaringen av den egna påhittade termen “creation data” (”skapandeuppgifter”) finns i en fotnot på sidan 67.

Lämnad i mörkret – Tvetydig formulering eller information (bilaga I checklista 4.6.3)

Även om ordvalet inte är uppenbart motsägelsefullt kan det uppstå problem om man använder tvetydiga och vaga termer i information till användare. Med sådan information blir användarna sannolikt osäkra på hur uppgifter kommer att behandlas eller hur de kan ha någon kontroll över uppgifterna. Om det kan antas att genomsnittliga användare inte skulle förstå informationens verkliga budskap utan specialkunskaper är villkoren i artikel 12.1 i den allmänna dataskyddsförordningen inte uppfyllda. I förlängningen kan användningen av Tvetydig formulering eller information motsäga principen om korrekthet i artikel 5.1 a i dataskyddsförordningen, eftersom informationen inte kan anses vara öppen och gör att de registrerade inte kan förstå behandlingen av sina personuppgifter och utöva sina rättigheter.

Example 15: Ett integritetsmeddelande beskriver en del av en behandling på ett vagt och oprecist sätt, som i den här meningen: “Your data might be used to improve our services” (”Dina uppgifter skulle kunna användas för att förbättra våra tjänster”). Dessutom är rätten till tillgång till personuppgifter tillämplig på behandlingen på grundval av artikel 15.1 i dataskyddsförordningen, men den nämns på ett sådant sätt att det inte är tydligt för användarna vad den ger dem tillgång till: ”You can see part of your information in your

account and by reviewing what you’ve posted on the platform” (”Du kan se en del av din information på ditt konto och genom att gå igenom vad du lagt ut på plattformen”).

I exemplet gör användningen av konditionalisformen “skulle kunna” användarna osäkra på om deras uppgifter kommer att användas till behandlingen eller inte. Termen “tjänster” är sannolikt för allmän för att räknas som ”tydlig”. Dessutom är det oklart hur uppgifter kommer att behandlas för att förbättra tjänster. EDPB påminner om att användningen av konditionalis eller vaga ordalag inte utgör ”klart och tydligt språk” enligt kravet i artikel 12.1 första meningen i dataskyddsförordningen, och bara får användas om de personuppgiftsansvariga kan påvisa att detta inte undergräver den korrekta behandlingen .

Nyckfullhet – Språklig diskontinuitet (bilaga I checklista 4.5.4)

När onlinetjänster erbjuds och riktas till invånarna i vissa medlemsstater, bör dataskyddsmeddelandena också erbjudas på de språken . Här är det viktigt att valet av ett visst språk också kan ändras manuellt och genomförs kontinuerligt utan avbrott. Om dess kriterier inte är uppfyllda konfronteras de registrerade med Språklig diskontinuitet, vilket medför att det finns information om dataskydd som de inte kan förstå. Användarna stöter på detta vilseledande designmönster när dataskyddsinformationen inte tillhandahålls på det officiella språket i det land där de bor, samtidigt som tjänsten tillhandahålls på det språket. Om användarna inte behärskar språket som dataskyddsinformationen ges på, kommer de inte att kunna läsa den lätt och blir därför inte medvetna om hur deras personuppgifter behandlas. Det är viktigt att notera att Språklig diskontinuitet kan förvirra användarna och ge upphov till en miljö som de inte förstår hur de ska använda sig av. Detta vilseledande designmönster kan framträda på olika sätt, vilket kommer att visas i dessa riktlinjer.

Example 16: Variant A: Den sociala medieplattformen finns tillgänglig på kroatiska som användarens valda språk (eller på spanska som språket i det land där användaren befinner sig), men en del av eller all information om dataskydd finns bara på engelska.

Variant B: Varje gång användarna öppnar vissa sidor, såsom hjälpsidan, slår de automatiskt om till språket i det land där användarna befinner sig, även om de tidigare valt ett annat språk.

Variant A visar ett sådant fall där ingen information finns tillgänglig på ett språk som den registrerade uppenbarligen behärskar. Detta innebär att de inte kan läsa informationen och i förlängningen inte får någon uppfattning om hur deras personuppgifter behandlas. Informationen kan inte anses begriplig enligt kravet i artikel 12.1 i dataskyddsförordningen. P.g.a. bristen på dataskyddsinformation på det förståeliga språket, kan det inte anses att de registrerade har fått den information som krävs enligt artikel 13 resp. 14 i dataskyddsförordningen.

Variant B beskriver ett fall där sidorna med dataskyddsinformation som standard presenteras på språket i användarnas hemvistland trots deras tydliga språkval. Detta innebär att användarna måste återställa sitt önskade språk varje gång de går in på en dataskyddsinformationssida. Detta kan ses som

en inkorrekt metod gentemot de registrerade och kan bidra till brott mot principen om korrekthet i artikel 5.1 a i dataskyddsförordningen.

ii. Gränssnittsbaserade mönster

I vissa fall använder leverantörer av sociala medier särskilda metoder för att presentera sina dataskyddsinställningar. Under registreringsprocessen får användarna en massa information och olika inställningar som gäller dataskydd. För att säkerställa att användarna kan hitta fram till dessa inställningar och göra ändringar vid något tillfälle då de använder plattformen, bör inställningarna vara lätt tillgängliga och kopplade till relevant information för användarna så de kan ta ett informerat beslut. Aspekten ”lätt tillgänglig” innebär att de registrerade inte ska behöva leta reda på informationen. Beträffande integritetspolicyer har artikel 29-arbetsgruppen redan angett att positionerings- eller färgsystem som gör en text eller länk mindre synlig, eller svår att hitta på en webbplats, inte anses vara lätt tillgänglig .

Överbelastning – Integritetslabyrint (bilaga I checklista 4.1.2)

Enligt riktlinjerna om öppenhet bör integritetspolicyn vara lättillgänglig, dvs. nås genom ett klick på webbplatser . Att använda den skiktade metoden kan bidra till att presentera integritetsmeddelandet tydligare i den mening som avses i artikel 12.1 i dataskyddsförordningen . Detta bör dock inte leda till att man gör det onödigt svårare att utöva viktiga funktioner eller rättigheter genom att tillhandahålla en komplicerad integritetspolicy som består av oräkneliga skikt som då leder till det vilseledande designmönstret Integritetslabyrint. Detta mönster motsvarar en informations- eller dataskyddskontroll som är särskilt svår att hitta, då användarna måste navigera genom många sidor utan att ha någon omfattande och uttömmande översikt tillgänglig. Sannolikt får detta användarna att förbise den relevanta informationen/inställningen eller ge upp att leta efter den. Det skiktade arrangemanget är avsett att underlätta läsbarheten och ge information om hur registrerades rättigheter ska utövas, inte att göra det svårare. Det är centralt att se till att användarna enkelt kan följa förklaringarna.

Vad som är bäst för användarna i detta avseendena är inte en allmängiltig strategi utan beror på många kriterier, såsom typen av användare på plattformen eller hur applikationen är designad i allmänhet. Det bör utföras testning av den genomförda skiktmetoden på användare som får ge återkoppling, för att bedöma dess ändamålsenlighet. Av denna anledning går det inte att ange någon bestämd siffra på hur många informationsskikt som är tillåtna som max. Det måste därför alltid avgöras från fall till fall om för många skikt används och om det alltså uppkommer vilseledande designmönster. Ju högre antal, desto mer kan det dock antas att användarna blir avskräckta eller vilseledda. Ett stort antal skikt är bara lämpligt i särskilda enskilda fall där det inte är lätt att tillhandahålla den komplicerade informationen på ett begripligt sätt. Samtidigt får den skiktade metoden inte missbrukas till att dölja information i djupare skikt eller lägga till onödiga skikt.

Detta ska emellertid bedömas annorlunda när det gäller användarnas utövande av sina rättigheter. I dataskyddsförordningen krävs att utövandet av dessa rättigheter alltid beviljas. Den ramen avgör presentationen av information om tillhörande funktioner och utövandet av rättigheter. När användare

vill utöva sina rättigheter ska antalet steg vara så lågt som möjligt. Följaktligen bör användarna så direkt som möjligt komma till den funktion där de kan utöva sina rättigheter. I de flesta fall, när användare måste navigera genom ett stort antal informationsskikt innan de faktiskt kan utöva sina rättigheter genom funktioner, kan det avskräcka dem från att utöva de rättigheterna. Om ett stort antal steg införs bör leverantören av ett socialt medium kunna påvisa vad detta har för förmån för användarna som registrerade enligt dataskyddsförordningen. Utöver förklaringen av registrerades rättigheter i integritetsmeddelandet, enligt kraven i artikel 13.2 b, c och d i dataskyddsförordningen, bör utövandet av rättigheter också vara tillgängligt oberoende av den informationen. Exempelvis bör användarna kunna utöva registrerades rättigheter även via plattformens meny.

Example 17: På sin plattform tillgängliggör leverantören av sociala medier ett dokument som kallas “praktiska råd” som också innehåller viktig information om registrerades utövande av sina rättigheter. Integritetspolicyn innehåller emellertid ingen länk eller annan anvisning till det dokumentet. I stället omnämns det att fler detaljer finns på avdelningen med frågor och svar på webbplatsen. Användare som förväntar sig information om sina rättigheter i integritetspolicyn kommer därför inte att hitta de förklaringarna där och blir tvungna att navigera vidare och söka igenom frågeavdelningen.

Detta exempel visar tydligt ett Integritetslabyrint-mönster som gör det svårare än det borde vara att hitta vidare information om registrerades rättigheter, och särskilt om hur man utövar dem, i strid med artikel 12.2 i dataskyddsförordningen. Om integritetspolicyn är ofullständig strider detta dessutom mot artikel 13.2 b, c och d resp. artikel 14.2 c, d och e i dataskyddsförordningen. Även om mer detaljerad information eller den direkta metoden för att utöva rättigheterna kan vara ett klick bort från där de nämns i sekretesspolicyn, måste användarna i exemplet navigera till fråge- och svarsavdelningen och söka igenom den för att hitta dokumentet med ”praktiska råd”. Det är viktigt att notera att ännu kraftigare effekter än de som orsakas av för många skikt kan inträffa när det inte bara är flera enheter som används utan även flera appar som tillhandahålls av samma sociala medieplattform, t.ex. särskilda meddelandeappar. Användare som använder den sortens sekundära app skulle stöta på värre hinder och ansträngningar om de måste gå in på webbläsarversionen av den primära appen för att hitta dataskyddsrelaterad information. I en sådan situation, som inte bara går mellan enheter utan även mellan appar, måste den relevanta informationen alltid vara direkt tillgänglig oavsett hur användarna använder plattformen.

Spärrande – Återvändsgränd (bilaga I checklista 4.4.1)

Överträdelser av rättsliga krav kan också inträffa när den information om dataskydd som krävs i den allmänna dataskyddsförordningen görs tillgänglig genom ytterligare åtgärder, såsom att klicka på en länk eller en knapp. I synnerhet kan felriktad navigering eller inkonsekvent gränssnittsdesign som leder till ineffektiva funktioner inte klassificeras som korrekt enligt artikel 5.1 a i dataskyddsförordningen, eftersom användare vilseleds när de antingen försöker nå viss information eller ställer in sina dataskyddspreferenser. Återvändsgränder där användare lämnas ensamma utan funktioner för att utöva sina rättigheter bör därför under alla omständigheter undvikas och strider direkt mot artikel 12.2 i dataskyddsförordningen, där det står att den personuppgiftsansvarige måste underlätta utövandet av rättigheter.

Example 18: I sin integritetspolicy erbjuder en leverantör av ett socialt medium många hyperlänkar till sidor med vidare information om specifika ämnen. Det finns dock flera delar

i integritetspolicyn som bara innehåller allmänna uppgifter om att det är möjligt att få mer information, utan att det sägs var eller hur.

Integritetspolicyn ses vanligen som det dokument dit all information om dataskyddsfrågor centraliseras i enlighet med de skyldigheter som fastställs i artiklarna 12, 13 och 14 i dataskyddsförordningen. Det är därför nödvändigt att också säkerställa omdirigering till alla relevanta platser på den sociala medieplattformen så att användarna kan kontrollera sina uppgifter eller utöva sina rättigheter. I exempel 18 ovan är detta endast delvis infört, då det finns länkar till vidare information för vissa delar men inte för andra. För dessa kan mönstret Återvändsgränd leda till ett brott mot artikel 12.1 i dataskyddsförordningen, genom att en del dataskyddsinformation blir svår att komma åt, eller mot artikel 12.2 i dataskyddsförordningen, genom att utövandet av rättigheterna inte underlättas.

d. Bästa praxis Klibbig navigering: När användarna tar hjälp av en sida som handlar om dataskydd, kan innehållsförteckningen visas konstant på skärmen så att de alltid kan placera sig rätt på sidan och snabbt navigera i innehållet tack vare ankarlänkar.

Tillbaka till början: Inkludera en ”tillbaka till början”-knapp längst ner på sidan eller som fäst del längst ner i fönstret, så att användarna lättare kan navigera på en sida. Genvägar: Se definition i användningsfall 1 (s. 22). (I integritetspolicyn kan man t.ex. för varje dataskyddsuppgift ordna med länkar som direkt omdirigerar till de tillhörande dataskyddssidorna på den sociala medieplattformen). Kontaktuppgifter: Se definition i användningsfall 1 (s. 22).

Kontakt med tillsynsmyndigheten: Se definition i användningsfall 1 (s. 22).

Översikt av integritetspolicy: Se definition i användningsfall 1 (s. 22).

Synliga ändringar och jämförelser: Se definition i användningsfall 1 (s. 22). Samstämmiga formuleringar: Se definition i användningsfall 1 (s. 22).

Att tillhandahålla definitioner: Se definition i användningsfall 1 (s. 22).

Användning av exempel: Se definition i användningsfall 1 (s. 22).

Användningsfall 2 b: Att tillhandahålla information om gemensamt personuppgiftsansvar till den registrerade, artikel 26.2 i dataskyddsförordningen

a. Beskrivning av sammanhanget och tillämpliga bestämmelser

I den andra meningen i artikel 26.2 i dataskyddsförordningen finns ytterligare öppenhetsbestämmelser i det särskilda fallet med gemensamt personuppgiftsansvar . Dessa säkerställer att det väsentliga innehållet i arrangemanget om gemensamt personuppgiftsansvar görs tillgängligt för de registrerade .

I sina riktlinjer 07/2020 om begreppen personuppgiftsansvarig och personuppgiftsbiträde i GDPR rekommenderar EDPB att det väsentliga omfattar åtminstone alla delar av den information som avses i artiklarna 13 och 14 som redan bör vara tillgängliga för den registrerade personen, och att det för vart och ett av dessa element specificeras vilken gemensam personuppgiftsansvarig som ansvarar för att säkerställa överensstämmelse med det . Det väsentliga i arrangemanget måste också ange kontaktpunkten, om en sådan är utsedd. Det är upp till de gemensamt personuppgiftsansvariga att besluta om hur man mest effektivt gör det väsentliga i arrangemanget tillgängligt för de registrerade .

b. Vilseledande designmönster

Example 19: När det gäller vilseledande designmönster är utmaningen för personuppgiftsansvariga i denna konstellation att integrera denna information i onlinesystemet på ett sådant sätt att den är lätt att uppfatta och inte tappar sin tydlighet och begriplighet, även om inte artikel 12.1 första meningen i dataskyddsförordningen inte hänvisar direkt till artikel 26.2 andra meningen i dataskyddsförordningen. P.g.a. dataskyddsprinciperna om korrekthet, öppenhet och ansvarsskyldighet i artikel 5.1 a och 5.2 i dataskyddsförordningen, härleds jämförbara krav även till fallet med gemensamt personuppgiftsansvar. När gemensamt personuppgiftsansvariga lämnar information om det väsentliga i arrangemanget i ett integritetsmeddelande, behöver också detta göras på ett tydligt och öppet sätt. Därför kan behandlingen inte längre bedömas som korrekt ifall informationen om den görs svår att greppa eftersom det inte tillhandahålls länkar eller informationen är utspridd över flera informationsområden. Det vilseledande designmönstret Integritetslabyrint skulle kunna vara ännu mer förvirrande än vanligt i ett integritetsmeddelande, eftersom användarna kan förvänta sig att informationen enligt artikel 26.2 andra meningen i dataskyddsförordningen ska lämnas i ett stycke. En leverantör av ett socialt medium hänvisar alltid till ”creation data” (”skapandeuppgifter”) i integritetspolicyn och använder inte begreppet personuppgifter. Det är bara på sidan 90 i det skiktade integritetsmeddelandet som det finns en förklaring att ”creation data might include personal data of the users” (”skapandeuppgifter kan innefatta användarnas personuppgifter”). I den uppgift de registrerade får om det väsentliga i arrangemanget om gemensamt personuppgiftsansvar används också begreppet ”skapandeuppgifter”, utan förklaring. Den andre personuppgiftsansvarige (B) har en definition av personuppgifter i sin egen integritetspolicy. I sin integritetspolicy, i avsnittet om gemensamt personuppgiftsansvar med leverantören av det sociala mediet, tillhandahåller emellertid B bara en länk till det avtal som leverantören av sociala medier tillhandahållit, utan någon annan förklaring.

Förklaringarna enligt artikel 26.2 andra meningen i dataskyddsförordningen är svårare att förstå när de inte längre är sammanhängande. Denna inkonsekvenseffekt förstärks när sociala medieplattformar använder egen terminologi som användarna inte brukar förknippa med behandling av personuppgifter, som syns i exempel 19 ovan. I exemplet bryter båda de gemensamt personuppgiftsansvariga mot artikel 26.2 andra meningen i dataskyddsförordningen, och även mot artikel 5.1 a i dataskyddsförordningen, eftersom den information som ges om gemensamt personuppgiftsansvar är otydlig och därför inte har någon öppenhet för registrerade.

Användningsfall 2 c: Information till den registrerade om en personuppgiftsincident

a. Beskrivning av sammanhanget och tillämpliga bestämmelser

För att kunna identifiera och hantera en personuppgiftsincident måste en personuppgiftsansvarig först kunna fastställa en . Enligt artikel 4.12 i dataskyddsförordningen är en personuppgiftsincident en säkerhetsincident som leder till oavsiktlig eller olaglig förstöring, förlust eller ändring eller till obehörigt röjande av eller obehörig åtkomst till de personuppgifter som överförts, lagrats eller på annat sätt behandlats. När det gäller personuppgiftsansvariga i sociala medier kan personuppgiftsincidenter inträffa på flera sätt. Exempelvis kanske en angripare lyckas komma åt personuppgifter och användares chattmeddelanden. Alternativt kan en app p.g.a. programmeringsfel komma åt personuppgifter som inte omfattas av de tillstånd användarna gett. Ett annat exempel kan vara när användare delar foton med inställningen ”dela med mina bästa vänner”, men deras foton i stället görs tillgängliga för ett större antal personer. Ett sista exempel är när en bugg kan göra att en social medieplattform baserad på video i realtid kan dela vidare strömning av innehåll trots att användarna tidigare tryckt på en knapp för att stoppa inspelningen. Om en personuppgiftsincident inträffar ska en personuppgiftsansvarig i alla händelser göra anmälan till den behöriga tillsynsmyndigheten i enlighet med artikel 33 i dataskyddsförordningen, såvida det inte är osannolikt att personuppgiftsincidenten medför en risk för fysiska personers rättigheter och friheter. Om en personuppgiftsincident sannolikt leder till hög risk för fysiska personers rättigheter och friheter, ska den personuppgiftsansvarige i allmänhet också informera de registrerade om en sådan incident enligt artikel 34.1 och 34.2 i dataskyddsförordningen. I detta fall måste den personuppgiftsansvarige informera de registrerade utan onödigt dröjsmål. Denna underrättelse måste beskriva personuppgiftsincidentens art på ett klart och tydligt språk, då artikel 12 i dataskyddsförordningen också gäller. Dessutom måste denna underrättelse som minst innehålla information och åtgärder såsom (se även artikel 33.3 b–d jämförd med artikel 34.2 i dataskyddsförordningen) • namnet på och kontaktuppgifterna för dataskyddsombudet eller annan kontaktpunkt där mer information kan erhållas, • en beskrivning av de sannolika konsekvenserna av personuppgiftsincidenten, och • en beskrivning av de åtgärder som den personuppgiftsansvarige har vidtagit eller föreslagit för att åtgärda incidenten, inbegripet i förekommande fall åtgärder för att mildra dess potentiella negativa effekter .

Sådan information om personuppgiftsincidenter enligt artikel 34 i dataskyddsförordningen kan även innehålla vilseledande designmönster. Ett exempel är om den respektive personuppgiftsansvarige ger all nödvändig information till de registrerade för att informera dem om omfattningen av personuppgiftsincidenten, men även ger dem ospecifik och irrelevant information om de följder och försiktighetsåtgärder som den personuppgiftsansvarige vidtagit eller föreslår att vidta. Denna delvis irrelevanta information kan vara vilseledande, och användare som berörs av incidenten förstår kanske inte helt och hållet incidentens följder eller underskattar de (potentiella) effekterna.

b. Vilseledande designmönster

För att beskriva några negativa exempel kan oegentligheter i anmälningar av personuppgiftsincidenter, som bryter mot artikel 34 jämförd med artikel 12 i dataskyddsförordningen, inträffa på följande sätt:

i. Innehållsbaserade mönster

Lämnad i mörkret – Motstridig information (bilaga I checklista 4.6.2)

Example 20:

• Den personuppgiftsansvarige hänvisar endast till en tredje parts handlingar, att personuppgiftsincidenten härrörde från en tredje part (t.ex. ett personuppgiftsbiträde) och att det därför inte förekommit något säkerhetsbrott. Den personuppgiftsansvarige lyfter också fram diverse god praxis som inte har något att göra med själva incidenten.

• Den personuppgiftsansvarige förklarar hur allvarlig personuppgiftsincidenten är för den själv eller för ett personuppgiftsbiträde, snarare än för den registrerade.

Lämnad i mörkret – Tvetydig formulering eller information (bilaga I checklista 4.6.3) När det gäller språket i informationen om incidenten till den registrerade, är det mycket viktigt att personuppgiftsansvariga håller i åtanke att de flesta mottagare nog inte är vana vid specifikt, och kanske tekniskt eller juridiskt, dataskyddsrelaterat språk.

Example 21: Genom en personuppgiftsincident på en social medieplattform råkade åtskilliga hälsouppgifter bli tillgängliga för obehöriga användare. Leverantören av det sociala mediet informerar bara användarna om att “special categories of personal data” (”särskilda kategorier av personuppgifter”) av misstag råkade offentliggöras.

Detta utgör Tvetydig formulering, eftersom genomsnittsanvändarna inte förstår begreppet ”särskilda kategorier av personuppgifter” och därför inte vet att deras hälsouppgifter har läckt. Detta beror på att ”särskild” har en helt annan innebörd i allmänspråket än ”särskild” i det smala språkbruk som används i samband med dataskyddsförordningen. Genomsnittsanvändarna vet inte att ”särskilda kategorier av personuppgifter” enligt artikel 9.1 i dataskyddsförordningen utgörs av ”personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening och behandling av genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person, uppgifter om hälsa eller uppgifter om en fysisk persons sexualliv eller sexuella läggning”. Benämningen ”särskilda kategorier av personuppgifter” utgör alltså ett vilseledande designmönster i detta scenario, eftersom den vilseleder användarna genom att inte åtföljas av vidare förklaringar. Detta är ett exempel på en situation där en personuppgiftsansvarig försöker informera registrerade om incidenten, men inte helt uppfyller sin skyldighet att informera om personuppgiftsincidenten i enlighet med artikel 34 i dataskyddsförordningen, eftersom genomsnittsläsaren kommer att underskatta incidentens allvar. Den korta informationen i exemplet är inte heller läsbar, vilket krävs i artikel 34 jämförd med artikel 12.1 första meningen i dataskyddsförordningen.

Ett annat exempel på Tvetydig formulering är följande:

Example 22: Den personuppgiftsansvarige ger endast vaga detaljer när den identifierar de berörda kategorierna av personuppgifter, t.ex. den personuppgiftsansvarige hänvisar till dokument som användare lämnat in utan att specificera vilka kategorier av personuppgifter dessa dokument innefattar och hur känsliga de var.

Det är viktigt att notera att detta vilseledande designmönster kan inträffa i samtliga delar av informationen om en personuppgiftsincident. De två exemplen ovan handlar om otydliga formuleringar om de berörda personuppgiftskategorierna, men nästa exempel visar att kategorin av berörda registrerade kan vara lika otydlig:

Example 23: När den personuppgiftsansvarige rapporterar incidenten specificerar den inte tillräckligt kategorin av berörda registrerade, dvs. den personuppgiftsansvarige nämner bara att de berörda registrerade var elever, men specificerar inte om de registrerade är minderåriga eller grupper av sårbara registrerade.

Slutligen kan incidentens allvarlighetsgrad också underskattas när Tvetydig information ges på samma sätt som i exemplet nedan:

Example 24: En personuppgiftsansvarig förklarar, när den anmäler incidenten till tillsynsmyndigheten och till den registrerade, att personuppgifter gjordes offentliga genom andra källor. Därför anser den registrerade att det inte var någon personuppgiftsincident.

ii. Gränssnittsbaserade mönster Negativa exempel på anmälan av en personuppgiftsincident, som går emot artikel 34 jämförd med artikel 12 i dataskyddsförordningen, kan också vara i form av gränssnittsbaserade vilseledande designmönster, vilket ses på följande:

Överhoppning – Titta där borta (bilaga I checklista 4.2.2)

Example 25:

• Den personuppgiftsansvarige rapporterar genom texter som innehåller en massa irrelevant information och utelämnar de relevanta detaljerna.

• Vid säkerhetsincidenter som påverkar inloggningsuppgifter och andra typer av data förklarar den personuppgiftsansvarige att uppgifterna är krypterade eller hashade, fastän det bara gäller för lösenord.

I det fallet kommer sannolikt de registrerade, även om de relevanta detaljerna finns i rapporten, att avledas från den då de blir överbelastade med irrelevant information.

c. Bästa praxis

Meddelanden: Meddelanden kan användas för att göra användarna mer medvetna om aspekter, förändringar eller risker kopplade till behandling av personuppgifter (t.ex. när det har inträffat en personuppgiftsincident). Dessa meddelanden kan införas på flera olika sätt, t.ex. genom meddelanden i inkorgen, popinfönster, fasta banderoller högst upp på webbsidan osv.

Förklaring av konsekvenser: När användare vill aktivera eller inaktivera en dataskyddskontroll, eller ge eller återkalla sitt samtycke, kan man informera dem på ett neutralt sätt om konsekvenserna av en sådan handling.

Genvägar: Se definition i användningsfall 1 (s. 22) (t.ex. att ge användarna en länk till att återställa sitt lösenord).

Samstämmiga formuleringar: Se definition i användningsfall 1 (s. 22).

Att tillhandahålla definitioner: Se definition i användningsfall 1 (s. 22).

Användning av exempel: Se definition i användningsfall 1 (s. 22).

3.3 Att hålla sig skyddad på sociala medier Användningsfall 3 a: Att hantera sitt samtycke vid användning av en social medieplattform

a. Beskrivning av sammanhanget och tillämpliga bestämmelser

Användare av sociala medieplattformar måste lämna sitt samtycke vid olika tillfällen underdatabehandlingsverksamheten, t.ex. innan de får personliga annonser. Som redan beskrivits i EDPB:s riktlinjer om riktad marknadsföring mot användare av sociala medier, kan samtycke vara en lämplig rättslig grund endast om en registrerad erbjuds kontroll och ett verkligt val55. Enligt artikel 4.11 i dataskyddsförordningen måste dessutom samtycket vara specifikt, informerat och otvetydigt56. Det är viktigt att understryka att kraven på giltigt samtycke enligt dataskyddsförordningen inte utgör en ytterligare skyldighet, utan är en förutsättning för laglig behandling av användarnas personuppgifter. När det gäller marknadsföring online eller spårningsmetoder online är dessutom direktiv 2002/58/EG (direktivet om integritet och elektronisk kommunikation) tillämpligt. Förutsättningarna för giltigt samtycke enligt direktivet om integritet och elektronisk kommunikation är dock identiska med bestämmelserna om samtycke i dataskyddsförordningen57.

Med tanke på den princip om ansvarsskyldighet som fastställs i artikel 5.2 i dataskyddsförordningen, plus att den personuppgiftsansvarige måste påvisa att de registrerade har samtyckt till behandling av sina personuppgifter enligt artikel 7.1 i dataskyddsförordningen, är det avgörande att leverantören av ett socialt medium kan bevisa att man korrekt har inhämtat användarnas samtycke. Detta villkor kan bli utmanande att bevisa, t.ex. om användarna förväntas ge samtycke genom att acceptera kakor. Dessutom är de registrerade kanske inte alltid medvetna om att de ger samtycke när de snabbt klickar på en markerad knapp eller på förinställda alternativ. Trots detta är det, som understryks i artikel 7.1 i dataskyddsförordningen, den personuppgiftsansvarige som måste bevisa att användarna har gett frivilligt samtycke.

b. Vilseledande designmönster

i. Innehållsbaserade mönster

Utöver de innehållsbaserade mönster som redan tidigare förklarats och kan tillämpas på information i samband med en begäran om samtycke , finns det ytterligare två innehållsbaserade vilseledande designmönster som kan förekomma när det gäller samtycke.

Motstridig information – Lämnad i mörkret (bilaga I checklista 4.6.2)

Example 26: I gränssnittet används en växlingsknapp där användarna kan ge eller återkalla samtycke. Dock är växlingsknappen utformad så att det inte blir tydligt vilket läge den står i och om användarna har gett samtycke eller inte. Knappens position stämmer onekligen inte överens med färgen. Om knappen står till höger, vilket vanligen förknippas med aktivering av funktionen (”slå på”), är färgen på knappen röd, vilket brukar beteckna att en funktion är avstängd. När knappen tvärtom står till vänster, vilket brukar betyda att funktionen är avstängd, är knappens bakgrundsfärg grön, som normalt förknippas med ett aktivt alternativ.

Att ge Motstridig information när man inhämtar samtycke gör informationen otydlig och obegriplig. Exemplet ovan visar ett fall där den visuella informationen är dubbeltydig. Användare som konfronteras med sådana växlingsknappar blir onekligen också osäkra på om de gett samtycke eller inte. När visuella tecken blandas på det viset eller presenteras med andra färger som verkar motsäga de faktiska förhållandena – exempel 26 är bara en uppvisning i förvirrande växlingsknappar – kan inte samtycket anses ha getts på ett otvetydigt sätt i enlighet med artikel 7.2 jämförd med artikel 4.11 i dataskyddsförordningen. Motstridig information kan också ges med hjälp av text, som visas nedan.

Example 27: Leverantören av ett socialt medium ger motstridig information till användarna: Även om det först hävdas i informationen att kontakter inte importeras utan samtycke, förklarar samtidigt ett popupfönster med information hur kontakter kommer att importeras ändå.

Spärrande – Vilseledande handling (bilaga I checklista 4.4.3)

Förutom att ge Motstridig information kan personuppgiftsansvariga införa information som vilseleder användarna genom att inte motsvara deras förväntningar. Vilseledande handling är när en avvikelse mellan informationen och de åtgärder som finns för användarna påverkar dem att göra något de inte har för avsikt. Skillnaden mellan vad användarna förväntar sig och vad de får kommer sannolikt att avskräcka dem från att gå längre.

Example 28: Användare bläddrar igenom sitt sociala medieflöde. Medan de gör det får de se annonser. En annons väcker deras intresse och de blir nyfikna på varför de får se den, och

klickar på ett ”?”-tecken som finns längst ner i högra hörnet i annonsen. Då öppnas ett popinfönster som förklarar varför användarna ser just den annonsen och räknar upp riktningskriterierna. Användarna informeras vidare om att de kan återkalla sitt samtycke till riktad marknadsföring, och de får en länk till att göra detta. När användarna klickar på den länken dirigeras de om till en helt annan webbplats där det finns allmänna förklaringar av vad samtycke är och hur de hanterar det.

Fallet ovan är ett exempel på innehåll som inte motsvarar användarnas förväntningar. När användarna klickar på länken förväntar de sig rimligen att bli omdirigerade till en sida där de direkt kan återkalla sitt samtycke. På den sida de i stället blir tillhandahållna får de inte göra det och det anges inget särskilt sätt att dra tillbaka sitt samtycke på den sociala medieplattformen. Denna klyfta mellan vad användarna förväntas finna och vad de faktiskt finner gör dem troligen förvirrade och osäkra på hur de ska gå vidare. I värsta fall kan de få uppfattningen att de inte kan återkalla sitt samtycke. En sådan Vilseledande handling kan inte ses som klar och tydlig i enlighet med kravet i artikel 12.1 i dataskyddsförordningen. Jämför man återkallandet med hur samtycket inhämtas kan den här metoden dessutom strida mot artikel 7.3 i dataskyddsförordningen, om det visar sig svårare att återkalla samtycket än att ge det.

När leverantörer av sociala medier informerar användare om att en handling från deras sida kan få en viss konsekvens och handlingen faktiskt ger ett annat resultat, utgör detta en Vilseledande handling, som syns i nästa exempel.

Example 29: I den del av kontot på det sociala mediet där användare kan dela tankar, bilder osv. ombeds de att bekräfta att de vill dela detta innehåll när de har skrivit in det eller laddat upp det. Användarna kan välja mellan en knapp med ”Yes, please” (”Ja tack”) och en annan med ”No, thank you” (”Nej tack”). Men så snart användarna bestämmer att inte dela innehållet med andra, genom att klicka på den andra knappen, publiceras innehållet på deras konto på det sociala mediet.

Som i det tidigare exemplet är denna information inte öppen och gör att användarna blir av med sin valmöjlighet. Även om användarna kanske snabbt märker publiceringen och tar bort den igen, behandlades uppgifter trots deras vägran och gjordes tillgängliga för andra. Ett värre exempel är när behandlingen inte är märkbar för användarna eller är det bara med svårighet eller kunskap om informationsteknik, eftersom den äger rum i bakgrunden på den sociala medieplattformen.

ii. Gränssnittsbaserade mönster

Förutom de två vilseledande designmönstren ovan är det främst gränssnittsbaserade mönster som är relevanta i detta användningsfall.

Överhoppning – Titta där borta (bilaga I checklista 4.2.2)

När en dataskyddsrelaterad handling eller informationsuppgift sätts i konkurrens med ett annat inslag som är kopplat eller inte kopplat till dataskydd, och användarna väljer detta andra alternativ, glömmer de troligen bort det första även om det var det de avsåg först. Detta är ett Titta där borta-mönster som behöver bedömas från fall till fall.

Example 30: På en kakbanderoll på den sociala medieplattformen står det ”For delicious cookies, you only need butter, sugar and flour. Check out our favourite recipe here [link]. We use cookies, too. Read more in our cookie policy [link].” (”Man kan baka utsökta kakor med bara smör, socker och mjöl. Kolla upp vårt favoritrecept här [länk]. Vi använder också kakor. Läs mer i vår kakpolicy [länk].”), tillsammans med en ”OK”-knapp.

Humor bör inte användas för att förvränga de potentiella riskerna och göra själva informationen ogiltig. I detta exempel blir kanske användarna frestade att bara klicka på den första länken, läsa kakreceptet och därefter klicka på ”OK”-knappen. Förutom att användarna i det här exemplet inte får något sätt att låta bli att samtycka, illustrerar det ett fall där samtycket kanske inte är tillräckligt informerat. Genom att klicka på ”OK”-knappen tror kanske användarna mycket riktigt att de bara avfärdar ett roligt meddelande om kakor som ett bakverk, och funderar inte på den tekniska innebörden av termen ”kakor”. I detta fall är det inte fråga om informerat samtycke i den mening som avses i artikel 7.2 jämförd med artikel 4.11 i dataskyddsförordningen.

I artikel 7.2 i dataskyddsförordningen står det vidare att en begäran om samtycke ska kunna särskiljas klart och tydligt från andra frågor. Därför är det nödvändigt att dataskyddsinformationen inte överskuggas av andra sammanhang. I det här exemplet kan ordleken med homonymerna av ordet ”kaka” göra att baksammanhanget framträder starkare än dataskyddssammanhanget. För att informationen ska gå att särskilda tydligt bör den relevanta informationen för att användarna ska ge giltigt samtycke vara rättfram, inte Dold inom synhåll, och inte uppblandad med andra frågor eller innebörder. Det bör inte förekomma någon förväxling av dataskyddsinformation med andra slags innehåll. Användarna kan i så fall bli distraherade från de verkliga konsekvenserna av behandlingen av deras personuppgifter. När dessa förutsättningar tillämpas behöver designerna få visst spelrum för att kunna göra informationen tilltalande.

Spärrande – Återvändsgränd (bilaga I checklista 4.4.1)

Förväxling eller distraktion är inte den enda möjliga effekten av vilseledande designmönster när det gäller innehåll. I synnerhet mönstret Återvändsgränd kan på åtskilliga sätt störa de villkor för samtycke som fastställs i artikel 7 jämförd med artikel 4.11 i dataskyddsförordningen.

Example 31: Användarna vill hantera de tillstånd de ger den sociala medieplattformen baserat på samtycke. De måste hitta en sida i inställningarna för dessa specifika åtgärder och vill inaktivera delningen av sina personuppgifter för forskningsändamål. När användarna klickar i rutan för att avmarkera den händer ingenting på gränssnittsnivån och de får intrycket att samtycket inte går att återkalla.

I just detta exempel skulle mönstret Återvändsgränd kunna strida mot artikel 7.3 i dataskyddsförordningen, då användarna till synes blir oförmögna att återkalla sitt samtycke till att deras personuppgifter behandlas för forskningsändamål, när metoden för att göra detta inte verkar fungera. Om användarnas åtgärd inte registreras i systemet, kan ett brott mot artikel 7.3 i dataskyddsförordningen noteras. Om valet faktiskt registreras i systemet, kan det ses som att den omständigheten att gränssnittet inte återger användarens åtgärd medför att principen om korrekthet i artikel 5.1 a i dataskyddsförordningen inte respekteras. När ett gränssnitt verkar erbjuda medel för att korrekt hantera sitt samtycke, genom att användarna får tillåtelse att ge samtycke eller återkalla ett samtycke som getts tidigare, men inte ger någon synlig effekt när man interagerar med den, är detta vilseledande för användarna och medför förvirring och rentav frustration för dem. En sådan

skillnad mellan det tillstånd systemet befinner sig i och den information som gränssnittet förmedlar bör undvikas, eftersom den i allmänhet kan hindra användarna att kontrollera sina personuppgifter.

Många behandlingar inbegriper flera olika parter, dvs. att en annan (gemensamt) personuppgiftsansvarig eller ett annat personuppgiftsbiträde är inblandade utöver den personuppgiftsansvarige eller det personuppgiftsbiträde som den registrerade är i direkt kontakt med.

Example 32: En leverantör av ett socialt medium arbetar med tredje parter för att behandla sina användares personuppgifter. I sin integritetspolicy tillhandahåller den förteckningen över dessa tredje parter men tillhandahåller inte någon länk till deras respektive integritetspolicyer, utan säger bara åt användarna att besöka de tredje parternas webbplatser för att få information om hur de enheterna behandlar uppgifterna och för att utöva sina rättigheter.

Detta exempel på Återvändsgränd-mönster visar hur tillgången till information om den respektive behandlingen görs svårare för användarna. Med tanke på att de troligen inte får all relevant information om behandlingen, skulle det kunna anses att sådana metoder går emot kraven i artikel 12.1 i dataskyddsförordningen om lätt tillgänglig information. Om en sådan metod används för information som ges för att inhämta samtycke, kan det bryta mot kraven på informerat samtycke så som de anges i artikel 7.2 jämförd med artikel 4.11 i dataskyddsförordningen, då informationen blir för svår att komma åt och de registrerade därmed inte blir fullt medvetna om konsekvenserna av sitt val.

Spärrande – Längre än nödvändigt (bilaga I checklista 4.4.2)

I artikel 7.3 i dataskyddsförordningen står det att det ska vara lika lätt att återkalla samtycke som att ge det. I riktlinjerna 05/2020 om samtycke enligt förordning 2016/679 utvecklas frågan ytterligare genom att det där uppges att det bör vara möjligt att ge och återkalla samtycke genom samma metod. Detta medför att samma gränssnitt ska användas, men det förutsätter också att mekanismerna för att återkalla samtycke bör vara lätt tillgängliga, t.ex. genom en länk eller ikon som är tillgänglig när som helst när man använder den sociala medieplattformen.

Example 33: En leverantör av ett socialt medium tillhandahåller inte något sätt att direkt välja bort behandling av uppgifter för riktad annonsering, trots att det bara behövs ett klick för samtycket (tillvalet).

Den tid som behövs eller det antal klick som är nödvändigt för att återkalla sitt samtycke kan användas för att bedöma om det är ändamålsenligt enkelt att åstadkomma. Att införa det vilseledande designmönstret Längre än nödvändigt i användarresan för att återkalla samtycke, som exempel 33 visar, går emot dessa principer och bryter alltså mot artikel 7.3 i dataskyddsförordningen.

Överbelastning – Integritetslabyrint (bilaga I checklista 4.1.2) Som betonas i riktlinjerna 05/2020 om samtycke måste de registrerade få information om behandling som grundar sig på samtycke för att de ska kunna fatta ett informerat beslut . Utan det kan inte samtycket ses som giltigt. I samma riktlinjer vidareutvecklas sätten att ge information, med en

specifikation att skiktad information kan användas för detta. Som visas i användningsfall 2 a måste emellertid leverantörer av sociala medier vara noga med att undvika det vilseledande designmönstret Integritetslabyrint när de ger information kopplad till en begäran om samtycke på ett skiktat sätt. Om viss information blir för svår att hitta eftersom de registrerade skulle behöva navigera genom flera olika sidor eller dokument, kan samtycke som inhämtas genom att tillhandahålla sådan information inte ses som informerat, och det går då emot artikel 7 jämförd med artikel 4.11 i dataskyddsförordningen. Detta skulle i förlängningen innebära att samtycket är ogiltigt och att leverantören av det sociala mediet skulle bryta mot artikel 6 i dataskyddsförordningen.

Example 34: Information för att återkalla samtycke finns tillgänglig från en länk som bara går att komma åt genom att titta efter i varje avdelning på kontot och i information kopplad till annonser som visas i flödet i det sociala mediet.

Som visas i scenariot som beskrivs ovan kan det vilseledande designmönstret Integritetslabyrint också vara ett problem när samtycke väl är inhämtat, genom att villkoret i artikel 7.3 fjärde meningen i dataskyddsförordningen, där det står att det ska vara lika lätt att återkalla samtycke som att ge det, inte respekteras. Detta beror särskilt på att processen med att återkalla samtycke innefattar fler steg än den bejakande åtgärden att ge samtycket. Eftersom den lämnade informationen inte heller är lätt tillgänglig för den registrerade, då den är utspridd över olika delar av sidan, överträds principen som fastställs i artikel 12.1 i dataskyddsförordningen.

Överbelastning – Ständigt promptande (bilaga I checklista 4.1.1)

Ständigt promptande medför, när det används på användare som inte samtyckt till att deras personuppgifter används för ett visst ändamål, ett hinder för regelbunden användning av de sociala medierna. Detta innebär att användarna inte kan vägra samtycke, och i förlängningen inte återkalla det, utan negativa konsekvenser. Detta motsäger villkoret om frivilligt lämnat samtycke i artikel 7 jämförd med artikel 4.11 i dataskyddsförordningen, att samtycke är varje slag av frivillig viljeyttring genom vilken de registrerade godtar behandling av personuppgifter som rör dem. I skäl 42 femte meningen i dataskyddsförordningen görs vidare gällande att samtycke inte bör betraktas som frivilligt om användarna inte har någon genuin eller fri valmöjlighet. Detta stöds också av EDPB:s riktlinjer om samtycke, där det beskrivs att samtycke inte är giltigt om de registrerade saknar möjlighet att välja fritt eller känner sig tvingade att ge sitt samtycke genom något slags otillbörligt tryck eller påverkan på dem som hindrar dem från att utöva sin fria vilja . Eftersom Ständigt promptande kan orsaka sådant tryck, bryter det mot principen om frivilligt samtycke. Eftersom det dessutom är osannolikt att leverantören av det sociala mediet, så snart användarna har samtyckt, kommer att regelbundet (t.ex. varje gång de åter loggar in på sitt konto) ge möjlighet att återkalla samtycket, kan detta vilseledande designmönster strida mot artikel 7.3 fjärde meningen i dataskyddsförordningen, där det fastställs att det ska vara lika lätt att återkalla som att ge sitt samtycke (”speglingseffekt”).

Example 35: I detta exempel, när användarna skapar sitt konto, får de frågan om de godkänner att deras uppgifter behandlas så att de får personanpassade annonser. Om användarna vid registreringen inte samtycker till denna användning av deras uppgifter, får de regelbundet se – medan de använder det sociala nätverket – den promptruta som visas ovan, med frågan om de vill ha personanpassade annonser. Denna ruta blockerar dem i deras användning av det sociala nätverket. När sådant Ständigt promptande visas regelbundet, tröttar det troligen ut användarna så att de samtycker till personanpassade annonser. I detta gränssnitt används dessutom också mönstret Dolt inom synhåll , då åtgärden för att godkänna annonser är långt mer synlig än alternativet att vägra.

Dessutom kan den personuppgiftsansvarige bryta mot principen om korrekthet i den mening som avses i artikel 5.1 a i dataskyddsförordningen. Med tanke på att användarna i exemplet ovan genom

en tydlig åtgärd när de skapade sitt konto inte samtyckte till att deras personuppgifter behandlades för riktad annonsering, är det betungande med det ständiga promptandet som konstant ifrågasätter en tydlig vägran som de gjorde. Denna tydliga åtgärd som användarna vidtog under registreringsprocessen ifrågasätts nu hela tiden. Den föranledda försämringen av användarupplevelsen ökar markant sannolikheten att användarna någon gång kommer att godkänna den riktade annonseringen, bara för att slippa bli tillfrågade igen varje gång de loggar in på sitt konto och vill använda den sociala medieplattformen. Att inte ge sitt samtycke har i detta fall en direkt inverkan på kvaliteten på den service användarna får, och villkorar fullgörandet av avtalet.

c. Bästa praxis

Konsekvens mellan enheter: När den sociala medieplattformen är tillgänglig genom olika enheter (t.ex. dator, smarttelefoner osv.), bör inställningar och information i fråga om dataskydd finnas på samma ställen i de olika versionerna och bör vara tillgängliga genom samma delar i användarresan och gränssnittet (meny, ikoner osv.). Synliga ändringar och jämförelser: Se definition i användningsfall 1 (s. 22).

Samstämmiga formuleringar: Se definition i användningsfall 1 (s. 22).

Att tillhandahålla definitioner: Se definition i användningsfall 1 (s. 22).

Användning av exempel: Se definition i användningsfall 1 (s. 22). Klibbig navigering: Se definition i användningsfall 2 a (s. 28).

Tillbaka till början: Se definition i användningsfall 2 a (s. 28).

Meddelanden: Se definition i användningsfall 2 c (s. 32).

Förklaring av konsekvenser: Se definition i användningsfall 2 c (s. 32).

Användningsfall 3.b: Att hantera sina dataskyddsinställningar

a. Beskrivning av sammanhanget

Efter att ha slutfört registreringsprocessen, och under hela livscykeln för sitt konto på ett socialt medium, bör användarna kunna justera sina dataskyddsinställningar. Oavsett om användarna har tidigare kunskap eller inte om dataskydd i allmänhet och dataskyddsförordningen i synnerhet, och oavsett om de är uppmärksamma eller inte på vilka personuppgifter de vill eller inte vill dela och låta andra se, har de alla rätt att bli informerade om sina möjligheter på ett öppet sätt medan de använder ett socialt medium.

Användare delar många personuppgifter på sociala medieplattformar. De blir ofta uppmuntrade av de sociala medieplattformarna att regelbundet fortsätta dela mer. Även om användarna kanske vill dela med sig av stunder i livet, delta i en debatt om en fråga eller bredda sina kontaktnät, oavsett om det är av yrkesmässiga eller personliga skäl, måste de också få verktyg för att kontrollera vem som kan se vilka delar av deras personuppgifter. Ett sätt att undvika att mångdubbla antalet steg som krävs för att ändra sina inställningar skulle vara ett designa en integritetspanel där man kan centralisera inställningarna och underlätta kontrollen av användarnas uppgifter.

b. Tillämpliga bestämmelser

Som nämnts ovan föreskrivs det i artikel 5.1 a i dataskyddsförordningen, som en av huvudprinciperna för behandling av personuppgifter, att personuppgifter ska behandlas på ett lagligt, korrekt och, vilket är särskilt viktigt i detta avseende, öppet sätt i förhållande till den registrerade (”laglighet, korrekthet och öppenhet”). Enligt principen om ansvarsskyldighet i artikel 5.2 i dataskyddsförordningen måste personuppgiftsansvariga visa vilka åtgärder de vidtar för att göra sina behandlingar inte bara lagliga och korrekta/rättvisa utan också öppna. Dessutom är principerna om minimering enligt artikel 5.1 c och om inbyggt dataskydd och dataskydd som standard enligt artikel 25 i dataskyddsförordningen relevanta i detta användningsfall.

c. Vilseledande designmönster i. Innehållsbaserade mönster

Det första problem som användare träffar på i detta sammanhang är var man faktiskt hittar inställningar som har med dataskydd att göra. Användarna kanske läser dataskyddsmeddelandet och bestämmer sig sedan för att göra ändringar angående behandlingen av deras personuppgifter. De kanske också önskar göra det utan att ha läst meddelandet, bara genom sin regelbundna användning av det sociala mediet, t.ex. när de inser att viss information som läggs ut på en social medieplattform (t.ex. ett foto från stranden med familjen) delas med en oönskad grupp personer (t.ex. medarbetare). I alla händelser kräver principen om öppenhet att inställningsalternativen är lätt tillgängliga och även åtkomliga på ett förståeligt sätt. Detta kan man uppnå genom att centralisera uppgifts- och integritetsinställningarna till ett ställe med en självförklarande URL-adress såsom [socialnetwork.com]/data-settings.

Det finns flera designmönster kopplade till det här problemet som gör det svårt för användarna att hitta inställningarna. Designerna av sociala medieplattformar bör därför vara uppmärksamma för att undvika dessa vilseledande designmönster.

Överbelastning – För många alternativ (bilaga I checklista 4.1.3)

Dataskyddsinställningarna måste vara tillgängliga och ordnade logiskt. Inställningar som gäller samma aspekt av dataskydd bör helst vara placerade på en enda, framträdande plats. I annat fall får användarna för många sidor att kontrollera och gå igenom, så att de blir överbelastade med inställningarna av sina dataskyddspreferenser. När de konfronteras med För många alternativ att välja mellan, kan det medföra att de inte kan göra något val eller att de förbiser vissa inställningar, och till slut ger upp eller missar inställningarna av sina dataskyddspreferenser. Detta strider mot principerna om öppenhet och korrekthet. I synnerhet kan det bryta mot artikel 12.1 i dataskyddsförordningen, då det antingen gör en viss kontroll för dataskydd svår att nå när den är utspridd över flera sidor, eller gör skillnaden oklar mellan de olika alternativ användarna får.

Example 36: Användarna vet troligen inte vad de ska göra när menyn på en social medieplattform innehåller flera olika knappar som har med dataskydd att göra: “data protection” (”dataskydd”), “safety” (”säkerhet”), “content” (”innehåll”), “privacy” (”integritet”), “your preferences” (”dina preferenser”).

I detta exempel anger titlarna på flikarna inte tydligt vilket innehåll användarna kan förvänta sig på den tillhörande sidan eller att de alla är kopplade till dataskydd, särskilt inte då en av flikarna specifikt heter så. Det kan medföra risk att användarna hindras från att göra ändringar. Om de t.ex. vill begränsa eller utöka antalet personer som kan se de foton de laddat upp, kan fliknamnen få dem att antingen klicka på ”säkerhet”, om användarna tror att det finns vissa säkerhetsrisker med att deras uppgifter blir offentligt tillgängliga, ”innehåll”, då användarna vill ställa in synligheten för sitt inlägg, eller ”integritet”, då detta särskilda begrepp har direkt anknytning till vad folk vill dela med andra. Detta innebär att dessa titlar inte är tillräckligt tydliga sett till vilken åtgärd användarna skulle vilja uppnå. I synnerhet begreppen ”dataskydd” och ”integritet” används ofta som synonymer och är därför särskilt förvirrande om de presenteras som olika avdelningar.

Lämnad i mörkret – Motstridig information (bilaga I checklista 4.6.2)

Som redan beskrivits i exempel 12 och illustreras ytterligare i följande exempel, kan användarna också få Motstridig information inom ramen för dataskyddsinställningarna.

Example 37: Användare X stänger av användningen av sin geografiska plats för annonseringsändamål. Efter att X klickat på knappen för att göra detta, kommer ett meddelande upp där det står “We’ve turned off your geolocation, but your location will still be used” (”Vi har stängt av din geografiska plats, men din position kommer fortfarande att användas”).

Överbelastning – Integritetslabyrint (bilaga I checklista 4.1.2)

När användarna ändrar en dataskyddsinställning kräver principen om korrekthet också att leverantörerna av sociala medier informerar användarna om andra inställningar som är liknande. Om sådana inställningar sprids över olika sidor på den sociala medieplattformen som inte har samband med varandra, är det troligt att användarna missar ett eller flera sätt att kontrollera en aspekt av sina personuppgifter. Användarna förväntar sig att inställningar som hör ihop ska finnas bredvid varandra.

Example 38: Besläktade ämnen, såsom inställningarna för de data som leverantören av det sociala mediet delar med tredje parter och tvärtom, görs inte tillgängliga i samma eller närliggande områden utan i stället på olika flikar i inställningsmenyn.

Det finns ingen ”universallösning” när det gäller hur många steg som är uthärdliga att gå igenom för användarna av sociala medieplattformar när de ska ändra en inställning. Samtidigt kan ett högre antal steg avskräcka användarna från att slutföra ändringen eller få dem att missa delar av den, i synnerhet om de vill göra flera ändringar. Att på så sätt hindra användarnas vilja strider mot principen om korrekthet i artikel 5.1 a i dataskyddsförordningen. Att ändra inställningarna har dessutom ett nära samband med utövandet av registrerades rättigheter . Att ändra en uppgiftsrelaterad inställning, som att rätta sitt namn eller ta bort året då man tog studenten, kan ses som ett utövande av rätten till rättelse, i synnerhet rätten till radering, av dessa specifika uppgifter. Antalet steg som krävs bör därför vara så lågt som möjligt. Det kan variera, men överdrivet många steg hindrar användarna och strider därmed mot principen om korrekthet samt mot artikel 12.1 och 12.2 i dataskyddsförordningen.

Nyckfullhet – Språklig diskontinuitet (bilaga I checklista 4.5.4) När det gäller öppen information bör designer av sociala medieplattformar också vara noga med att undvika innehållsbaserade vilseledande designmönster som förtecknas i användningsfall 2 a, såsom Språklig diskontinuitet. Om man inte gör inställningssidorna (eller delar av dem) tillgängliga på det språk användarna valt till den sociala medieplattformen, blir det svårare för dem att förstå vad de kan ändra och därmed ställa in sina preferenser.

Nyckfullhet – Inkonsekvent gränssnitt (bilaga I checklista 4.5.3)

I detta sammanhang inträffar det ett annat problem när sociala medieplattformar erbjuder dataskyddsvänliga val till användarna, men inte informerar dem om det på ett tydligt sätt. Så kan vara fallet när den sociala medieplattformen plötsligt skiljer sig från sitt vanliga designmönster. Ett sådant Inkonsekvent gränssnitt föreligger när ett gränssnitt inte ser likadant ut i olika sammanhang eller inte stämmer in på användarnas förväntningar. Dessa skillnader kan göra att användarna inte hittar den önskade kontrollen eller informationen eller att de samspelar med en del av gränssnittet av ren vana fastän detta samspel får användarna att göra ett dataskyddsval de inte vill ha.

Example 39: På hela den sociala medieplattformen presenteras nio av tio alternativ för dataskyddsinställningar i följande ordning:

– det mest restriktiva alternativet (dvs. att dela minst uppgifter med andra)

– begränsat alternativ, men inte lika restriktivt som det första – det minst restriktiva alternativet (dvs. att dela flest uppgifter med andra)

Användarna av denna plattform är vana vid att deras dataskyddsinställningar presenteras i den ordningen. Denna ordning tillämpas emellertid inte i den sista inställningen, där valet för synlighet för användarnas födelsedatum i stället visas i följande ordning: - Show my whole birthday (Visa hela mitt födelsedatum): 15 januari 1929 (= det minst restriktiva alternativet).

- Show only day and month (Visa endast dag och månad): 15 januari (= begränsat alternativ, men inte det mest restriktiva).

- Do not show others my birthday (Visa inte andra min födelsedag) (= det mest restriktiva alternativet).

I exemplet presenteras de tre valmöjligheterna i den sista inställningen i en annan ordning än i de föregående inställningarna. Användare som tidigare har ändrat sina övriga inställningar är förmodligen vana vid den ”vanliga” ordningen med inställningar från ett till nio. Vid den sista inställningen är de så vana vid den ordningen att de instinktivt väljer det första alternativet och antar att det måste vara det mest restriktiva. När man arrangerar alternativen i en dataskyddsinställning så annorlunda mot de övriga på samma sociala medieplattform är det ett Inkonsekvent gränssnitt, då det leker med vad användarna är vana vid och deras förväntningar. Detta kan leda till förvirring eller få användarna att tro att de valde på det sätt de ville, när så i själva verket inte är fallet.

ii. Gränssnittsbaserade mönster

Det andra problemet man träffar på i samband med dataskyddsinställningar är att inställningarna kan bryta mot principen om dataskydd som standard. Enligt artikel 25.1 i dataskyddsförordningen måste personuppgiftsansvariga utföra lämpliga åtgärder utformade för att genomföra dataskyddsprinciper, såsom uppgiftsminimering (artikel 5.1 c i dataskyddsförordningen). Dessa bestämmelser respekteras inte när inställningarna för delning av personuppgifter är förinställda på ett av de mer inkräktande alternativen i stället för det minst inkräktande.

Överhoppning – Bedräglig trygghet (bilaga I checklista 4.2.1)

Example 40: Av alternativen för uppgifters synlighet “visible to me”, “to my closest friends” “to all my connections” och “public” (”kan ses av mig”, ”av mina närmaste vänner”, ”av alla mina kontakter” och ”offentligt”) är mellanalternativet “to all my connections” (”av alla mina kontakter”) förinställt. Detta innebär att alla användare som har kontakt med denne användare kan se dennes bidrag, plus all information som anges för att registrera sig på den sociala medieplattformen, såsom användarens e-postadress eller födelsedatum.

Leverantörer av sociala medier kan hävda att den minst inkräktande inställningen skulle gå emot det mål som användarna av en viss social medieplattform har, t.ex. att kunna hittas av okända personer som vill finna en ny vän, en dejt eller ett jobb. Detta kanske stämmer för vissa särskilda inställningar, men leverantörerna av sociala medier måste ändå ha i åtanke att det faktum att användare laddar upp vissa uppgifter på nätverket inte utgör ett samtycke att dela dessa uppgifter med andra . När leverantörer av sociala medier dröjer med dataskydd som standard måste de vara noga med att ordentligt informera användarna om det. Detta innebär att användarna behöver veta vad standardinställningen är, att det finns mindre inkräktande alternativ tillgängliga och vart på plattformen de behöver gå för att göra ändringar. I det angivna exemplet innebär det att när alternativet “to my closest friends” (”av mina närmaste vänner”) är förinställt för bidrag som användare aktivt lägger ut på den sociala medieplattformen, bör de få se var de ändrar den inställningen. Att förhandsinställa synligheten till “all my connections” (”alla mina kontakter”) (eller till och med offentligheten) utgör däremot Bedräglig trygghet, i synnerhet när det tillämpas på uppgifter som leverantören av det sociala mediet krävde av användarna för att skapa ett konto, såsom epostadressen eller deras födelsedatum. Som beskrivs i användningsfall 1, punkt 55, strider denna metod mot artikel 25.2 i dataskyddsförordningen.

Eggande – Dolt inom synhåll (bilaga I checklista 4.3.2)

De vilseledande designmönstren Dold inom synhåll och Bedräglig trygghetkan enkelt kombineras när det gäller valet av dataskyddsrelaterade alternativ som visas i exempel 9 för registreringsprocessen, och nedan när användarna vill ändra sina dataskyddspreferenser medan de använder det sociala mediet.

Example 41: I detta exempel, när användarna vill hantera synligheten för sina uppgifter, måste de gå till fliken “privacy preference” (”integritetspreferenser”). Informationen som de kan ställa in sina preferenser för står uppställd där. Dock visas informationen på ett sådant sätt att det inte blir tydligt hur man ändrar inställningarna. Användarna måste också klicka på det just nu aktuella synlighetsalternativet för att komma åt en rullgardinsmeny där de kan välja det alternativ de föredrar.

Även om det på den fliken finns tillgång till att ändra sina inställningar, är den Dold inom synhåll, eftersom rullgardinsmenyn inte är direkt synlig för användarna, som måste gissa att något öppnas när man klickar på det nuvarande alternativet. Det finns inte heller någon vanlig synlig ledtråd (understruken text, nedåtpil) om möjligheten att interagera och öppna rullgardinsmenyn. Denna särskilda metod är orättvis mot användarna och kan bidra till en allmän underlåtenhet att följa principen om korrekthet enligt artikel 5.1 a i dataskyddsförordningen. Om alternativen dessutom är

förvalda som standard kan också det vilseledande designmönstret Bedräglig trygghet observeras, enligt beskrivningen ovan i punkt 128.

Nyckfullhet – Avkontextualisering (bilaga I checklista 4.5.2)

Avkontextualisering inträffar när en dataskyddsrelaterad informationsuppgift eller kontroll finns på en sida utanför sammanhanget, så att användarna troligen inte hittar den eftersom det inte är naturligt att leta efter den på just den sidan.

Example 42: Dataskyddsinställningarna är svåra att hitta på användarkontot, då det på första nivån inte finns något menyval med ett namn eller rubrik som leder i den riktningen. Användarna måste titta i andra undermenyer som ”Security” (”Säkerhet”).

I detta exempel leds inte användarna till dataskyddsinställningarna eftersom det inte används några meningsfulla och tydliga begrepp för att visa var på den sociala medieplattformen de finns. Termen ”“Security” (”Säkerhet”) täcker också bara en bråkdel av vad man kan förvänta sig av dataskyddsinställningar. Det är därför inte naturligt för användarna att titta i den menyn för att hitta de inställningarna. Denna bristande öppenhet gör det svårare än det borde vara att få tillgång till information, och kan anses gå emot artikel 12.1 i dataskyddsförordningen, och möjligen artikel 12.2 om dessa inställningar gäller utövandet av en rättighet.

Example 43: Att ändra inställningen förhindras av att knappen ”save” (”spara”) för att registrera ändringar, i den sociala medieplattformens skrivbordsversion, inte är synlig ihop med alla alternativen utan bara överst på undermenyn. Användarna förbiser den troligen och antar felaktigt att deras inställningar sparas automatiskt, och går därför vidare till en annan sida utan att ha klickat på ”spara”-knappen. Detta problem inträffar inte i app- och mobilversionerna. Det medför därför ytterligare förvirring för användare som övergår från mobilen/appen till skrivbordsversionen, och kan få dem att tro att de bara kan ändra sina inställningar i mobilversionen eller appen.

När användarna väl har hittat dataskyddsinställningarna och ställer in sina val, får de inte hindras från att göra det. Så snart användarna har gjort en ändring måste det vara tydligt hur de sparar den, oavsett om detta inträffar så snart användarna justerar en inställning eller om det behövs en bekräftelse genom att klicka på en särskild del av gränssnittet, såsom en ”spara”-knapp. Enligt principen om korrekthet enligt artikel 5.1 a i dataskyddsförordningen måste dessutom leverantörer av sociala medier vara konsekventa på hela sin plattform, i synnerhet mellan olika enheter. Så är inte fallet när gränssnittet använder ett vilseledande designmönster enligt beskrivningen i exemplen ovan.

d. Bästa praxis

Dataskyddskatalog: För att användarna enkelt ska kunna orientera sig genom de olika avdelningarna på menyn, kan man tillhandahålla en lättillgänglig sida där det går att nå alla dataskyddsrelaterade åtgärder (t.ex. inställningar) och informationsuppgifter. Denna sida kan finnas i det sociala mediets huvudnavigeringsmeny, användarkontot, i integritetspolicyn osv. Bulkalternativ: Sätt ihop alternativ som har samma behandlingssyfte, så att användarna kan ändra dem lättare, samtidigt som de ändå har kvar möjligheten att göra mer detaljerade ändringar. Om sociala medieplattformar uppvisar bulkalternativ, bör dessa inte innehålla oväntade eller obesläktade delar (t.ex. delar med olika syften). Om behandlingen kräver samtycke, måste bulkalternativen vara i linje med EDPB:s riktlinjer om samtycke, i synnerhet punkt 42–44.

Genvägar: se definition i användningsfall 1 (s. 22) (t.ex. när användarna informeras om en aspekt av behandlingen, uppmanas de att ställa in sina tillhörande preferenser för personuppgifter på motsvarande inställnings-/instrumentpanelsida).

Självförklarande URL: Sidor som rör dataskyddsinställningar eller dataskyddsinformation bör använda en webbadress som tydligt återspeglar deras innehåll. Exempelvis kan en sida där kontrollverktygen för dataskydd är samlade ha en URL-adress som [social-network.com]/data-settings.

Samstämmiga formuleringar: Se definition i användningsfall 1 (s. 22).

Att tillhandahålla definitioner: Se definition i användningsfall 1 (s. 22).

Användning av exempel: Se definition i användningsfall 1 (s. 22). Klibbig navigering: Se definition i användningsfall 2 a (s. 28).

Meddelanden: Se definition i användningsfall 2 c (s. 32).

Förklaring av konsekvenser: Se definition i användningsfall 2 c (s. 32).

Konsekvens mellan enheter: Se definition i användningsfall 3 a (s. 39).

3.4 Att alltid ha rätt på sociala medier: registrerades rättigheter Användningsfall 4: Hur man tillhandahåller korrekta funktioner för registrerades utövande av sina rättigheter

a. Beskrivning av sammanhanget

Att använda en social medieplattform innebär att man drar nytta av dess funktioner utefter de syften som leverantören av det sociala mediet har angivit. Detta innebär också att användarna kan utöva sina dataskyddsrättigheter. De är centrala inslag i dataskyddet och i att skydda sin egen information, oavsett om uppgifterna har tillhandahållits aktivt och medvetet av de registrerade, tillhandahållits av de registrerade genom användning av tjänsten eller enheten, eller härletts från analys av uppgifter som tillhandahållits av de registrerade . Mängden personuppgifter som flödar genom plattformen kräver att användarna får möjlighet att kontrollera sina uppgifter med hjälp av de rättigheter som dataskyddsförordningen ger dem, på ett tydligt och naturligt sätt. EDPB har förklarat dessa begrepp i flera riktlinjer . Utövandet av rättigheter måste vara tillgängligt från början till slutet av användningen av plattformen, och i vissa fall även efter att användarna beslutat sig för att lämna plattformen och den personuppgiftsansvarige ännu inte tagit bort deras uppgifter. De som inte använder plattformen måste också få möjlighet att utöva registrerades rättigheter när det gäller behandling av deras uppgifter. I vissa fall är förstås inte alla registrerades rättigheter tillgängliga, beroende på den rättsliga grunden för behandling av uppgifterna. Leverantören av det sociala mediet bör därför också tydligt förklara varför vissa rättigheter inte är tillämpliga och varför vissa av dem kan vara begränsade. Som nämnts ovan och i tidigare kapitel måste användningen av rättigheter sättas i funktion. Såväl automatik

som andra funktioner för sociala medieplattformar bör användas för att underlätta utövandet av rättigheter.

b. Tillämpliga bestämmelser

I dataskyddsförordningen beskrivs sju olika rättigheter som registrerade kan utöva enligt vissa villkor (t.ex. rättslig grund för behandlingen osv.). Enligt artikel 15 i dataskyddsförordningen ska registrerade få veta om personuppgifter som rör dem behandlas, och få tillgång till dem, dvs. erhålla mer information om behandlingen av dem, och även få en kopia av dessa uppgifter. I artikel 16 i dataskyddsförordningen beskrivs rätten till rättelse, där registrerade ges tillåtelse att uppdatera de personuppgifter den personuppgiftsansvarige behandlar. Genom rätten till radering enligt artikel 17 i dataskyddsförordningen kan registrerade erhålla radering av personuppgifter som berör dem. Rätten till begränsning av behandlingen enligt artikel 18 i dataskyddsförordningen ger de registrerade möjlighet att tillfälligt stoppa behandlingen av deras personuppgifter. I artikel 20 i dataskyddsförordningen införs rätten till dataportabilitet, som gör det möjligt för registrerade att få sina personuppgifter och överföra dem till en annan personuppgiftsansvarig . Vidare har registrerade rätt att invända mot behandling av deras personuppgifter, vilket fastställs i artikel 21 i dataskyddsförordningen. Slutligen ger artikel 22 i dataskyddsförordningen registrerade rätt att inte bli föremål för ett beslut som enbart grundas på automatiserad behandling . EDPB understryker att det inte är alla av dessa rättigheter som gäller för varje social medieplattform, beroende på dess rättsliga grund, dess syften med behandling av personuppgifter och de typer av tjänster som tillhandahålls. Skillnaderna bör förklaras av den personuppgiftsansvarige i enlighet med artikel 12 i dataskyddsförordningen. Detta innebär att informationen om tillämpliga rättigheter bör vara koncis och tydlig för användarna, även angående varför vissa rättigheter inte gäller. En sådan förklaring skulle kunna begränsa mängden kommunikation med användarna när de försöker utöva vissa av dem. Utövandet av rättigheten bör vara lätt och tillgängligt i enlighet med artikel 12.2, och svaret bör ges utan onödigt dröjsmål enligt vad som krävs i artikel 12.3 i dataskyddsförordningen. På samma sätt bör den sociala medieplattformen förklara varför vissa begäranden inte kan uppfyllas och informera om möjligheten att lämna in ett klagomål till en utsedd tillsynsmyndighet enligt artikel 12.4 i dataskyddsförordningen. Följande vilseledande designmönster är alltså kanske inte aktuella för alla de rättigheter som nämns ovan. Rätten till radering diskuteras i detalj i nästa kapitel.

c. Vilseledande designmönster i. Innehållsbaserade mönster

Spärrande – Återvändsgränd (bilaga I checklista 4.4.1) Det vilseledande designmönstret Återvändsgränd kan direkt påverka hur lätt det är att utöva rättigheterna. När länkar som omdirigerar till metoder för att utöva en rättighet är ur funktion eller det saknas tydliga förklaringar om hur en rättighet ska utövas, kommer användarna inte att kunna utöva den korrekt, vilket strider mot artikel 12.2 i dataskyddsförordningen.

Example 44: Användarna klickar på ”exercise my right of access” (”utöva min rätt att få tillgång”) i integritetsmeddelandet, men omdirigeras i stället till sin profil, där det inte tillhandahålls några funktioner som rör utövandet av rättigheten.

I det ovan nämnda exemplet på ett vilseledande designmönster beskrivs behovet av att ge användarna ett tydligt och naturligt sätt att utöva sina rättigheter enligt artikel 12.1 och 12.2 i dataskyddsförordningen, då de annars kanske inte kan utöva dem. Det räcker inte att bekräfta för användarna att de har rättigheter för registrerade enligt kravet i artikel 12.1 i dataskyddsförordningen (inklusive kommunikationssättet) och specifikt enligt artiklarna 13.2 b och 14.2 c i dataskyddsförordningen. Användarna måste kunna utöva dem lätt, helst på ett sätt som är inbyggt i plattformens gränssnitt, t.ex. genom att det tillhandahålls ett särskilt formulär. Det skulle också göra användarnas upplevelse av en plattform mer positiv – när de får se att leverantören har ansträngt sig för att anpassa sig till användarnas förväntningar på laglig behandling av personuppgifter och kontroll över deras uppgifter, genom att kombinera utövandet av rättigheter med andra funktioner i tjänsten. När den sociala medieplattformstjänsten möjliggör tvåvägskommunikation mellan användare, och även mellan den personuppgiftsansvarige och användarna, finns det ingen anledning för den personuppgiftsansvarige att begränsa sin kommunikationskanal där man hjälper den registrerade att begära ett separat kommunikationsmedel såsom e-post. Samtidigt bör registrerade inte tvingas att komma till plattformen för att kommunicera med den personuppgiftsansvarige . Personuppgiftsansvariga får dessutom inte begränsa denna rätt för registrerade enbart till rätten till kopia, utan måste i stället säkerställa att de också tillhandahåller den information som nämns i artikel 15.1 i dataskyddsförordningen till användare som begär tillgång till sina uppgifter .

Nyckfullhet – Språklig diskontinuitet (bilaga I checklista 4.5.4)

Example 45: När man klickar på en länk kopplad till registrerades utövande av rättigheter, ges följande information inte på det officiella språket i landet där användarna befinner sig och använder tjänsten. I stället omdirigeras användarna till en sida på engelska.

Med principen om öppenhet enligt artiklarna 5.1 a och 12.1 i dataskyddsförordningen i åtanke, måste användarna få all information om sina rättigheter på ett klart och tydligt, begripligt sätt. Detta måste också sättas i samband med var användarna befinner sig och det språk som används i det land eller den jurisdiktion där tjänsten erbjuds. Att användarna bekräftar sin förmåga att använda ett främmande språk på något sätt befriar inte den personuppgiftsansvarige från dess skyldigheter. Detsamma gäller när sådana kunskaper i andra språk som användarna förstår kan härledas från deras aktiviteter. Informationen bör vara relevant och till hjälp för användare som utövar sina rättigheter.

Lämnad i mörkret – Tvetydig formulering eller information (bilaga I checklista 4.6.3)

I samband med registrerades rättigheter kan användare också konfronteras med det vilseledande designmönstret Tvetydig formulering eller information, som visas i följande exempel.

Example 46: Den sociala medieplattformen uppger inte uttryckligen att användare i EU har rätt att lämna in klagomål till en tillsynsmyndighet, utan nämner bara att det i vissa länder – utan

att säga vilka – finns dataskyddsmyndigheter som leverantören av det sociala mediet samarbetar med beträffande klagomål.

Leverantörer av sociala medier behöver också tänka på att undvika det vilseledande designmönstret Tvetydig formulering eller information när de informerar registrerade om deras rättigheter. Att ge information till användarna på ett sätt som gör dem osäkra på hur deras uppgifter kommer att behandlas eller hur de ska ha viss kontroll över sina uppgifter, och därmed hur de ska utöva sina rättigheter, strider mot öppenhetsprincipen. Dessutom är vaga formuleringar inte koncisa i enlighet med artikel 12.1 i dataskyddsförordningen och kan göra den information som lämnas till den registrerade ofullständig, vilket kan ses som ett brott mot artikel 13 i dataskyddsförordningen. Ovannämnda exempel visar också en överträdelse av artikel 13.2 d i dataskyddsförordningen, enligt vilken personuppgiftsansvariga ska förse de registrerade med information om deras rätt att lämna in ett klagomål till en tillsynsmyndighet. I förlängningen går också detta emot artikel 12.2 i dataskyddsförordningen, eftersom leverantören av det sociala mediet inte underlättar utövandet av rätten att lämna in ett klagomål.

ii. Gränssnittsbaserade mönster

Överbelastning – Integritetslabyrint (bilaga I checklista 4.1.2)

Som beskrivits tidigare i användningsfall 3 b får antalet steg som krävs för att erhålla relevant information om dataskydd inte vara alltför stort, och inte heller antalet steg för att uppfylla registrerades rättigheter . Användarna bör alltså alltid snabbt kunna nå platsen för att utöva rättigheter, oavsett vilket utgångsläge de hade och var den sociala medieplattformen har placerat den funktionen. Leverantörer av sociala medier bör därför noga överväga från vilka lägen användarna skulle vilja utöva sina rättigheter och designa tillgång till den plats där de följaktligen kan göra detta. Detta innebär att man kan på en social medieplattform kan skapa flera sökvägar för att nå en rättighet för registrerade och göra dem tillgängliga. Varje sökväg bör dock underlätta tillgången till utövandet av rättigheterna och bör inte störa en annan väg. Gör den det anses det utgöra det vilseledande designmönstret Integritetslabyrint som illustreras i exempel 47 och 48, och går emot artikel 12.2 i dataskyddsförordningen.

Example 47: Här finns information om dataskyddsrättigheter tillgänglig på minst fyra språk. Även om integritetspolicyn informerar om alla rättigheter, dirigerar den inte om till de relevanta sidorna för var och en av dem. Omvänt är det vissa av de rättigheter användarna kan utöva som de inte hittar någon information om när de besöker sitt konto. Denna Integritetslabyrint tvingar användarna att gräva sig igenom många sidor för att hitta var de kan utöva respektive rättighet, och beroende på hur de bläddrar blir de kanske inte medvetna om alla rättigheter de har.

Example 48: I detta exempel vill användarna uppdatera vissa av sina personuppgifter men hittar inget sätt att göra det på sitt konto. De klickar på en länk (1) som dirigerar om dem till sidan för frågor och svar där de skriver in sin fråga (2). Flera resultat kommer upp (3), vissa kopplade till rätten till tillgång och radering. Efter att kontrollerat alla resultat klickar användarna (4) på länken som finns på sidan “How to access your data” (”Hur du kommer åt dina uppgifter”). Den dirigerar om dem till integritetspolicyn (5). Där hittar de information om ytterligare rättigheter. När de här läst den informationen klickar de (6) på länken som är kopplad till utövandet av rätten till rättelse, och den omdirigerar dem till användarkontot (7). Missnöjda går de tillbaka till integritetspolicyn och klickar på en allmän länk “Send us a request” (”Skicka oss en begäran”) (8). Den tar användarna till deras instrumentpanel för integritet (9). Eftersom inget av de tillgängliga alternativen verkar stämma med deras behov, går användarna till slut till sidan “exercise of other rights” (”utövande av övriga rättigheter”) (10) där de slutligen hittar en kontaktadress.

Båda exemplen illustrerar särskilt långdragna och tröttsamma sökvägar för att utöva sina rättigheter. När metoderna för att utöva olika rättigheter inte finns på samma plats, men det finns en sida med en förteckning över alla rättigheter för registrerade, bör den sistnämnda omdirigera just till dessa olika avdelningar, inte bara till en eller en del av dem, vilket illustreras i exempel 47. Det andra exemplet visar en resa där användarna inte hittar metoden för att enkelt utöva den specifika rättighet de önskar,

nämligen rätten till rättelse, eftersom platsen där den vanligtvis utförs, nämligen användarkontot, inte tillhandahåller metoden för att göra detta. När de letar efter ett annat sätt att utöva denna rättighet kan de inte hitta någon specifikt motsvarande, och måste ta till en allmän metod som tillhandahålls i instrumentpanelen för integritet.

När det har designats flera sökvägar till utövandet av en rättighet, bör det alltid vara lätt för användarna att hitta översikten över registrerades rättigheter. Integritetspolicyer bör vara tydliga och kan fungera som en av ingångarna till sidor där användare kan utöva sina rättigheter. Detta dokument bör innehålla alla de rättigheter som är tillämpliga. Om någon av dem skulle vara otillgänglig pga. juridiska eller tekniska begränsningar bör detta också förklaras, så att användarna får ordentlig information. Att förstå begränsningarna vid behandlingar, antingen p.g.a. deras grund eller skyddsåtgärder som personuppgiftsansvariga använder sig av, är till hjälp inte bara för användarna. Det begränsar också de fall där en leverantör av ett socialt medium måste förklara varför den inte kan uppfylla en begäran från användare om rättigheter för registrerade.

Eggande – Dolt inom synhåll (bilaga I checklista 4.3.2)

Att påverka användares möjlighet att nå den plats där de kan utöva sin rätt kan också göras genom att göra relaterad information eller länkar nästan osynliga med hjälp av det vilseledande designmönstret Dolt inom synhåll.

Example 49: I stycket under underrubriken ”rätt till tillgång” i integritetspolicyn förklaras att användarna har rätt att erhålla information enligt artikel 15.1 i dataskyddsförordningen. Där nämns dock bara användarnas möjlighet att få en kopia av sina personuppgifter. Det finns ingen direktlänk synlig för att utöva den del av rätten till tillgång som gäller kopior i artikel 15.3 i dataskyddsförordningen. I stället är de tre första orden i “You can have a copy of your personal data” (”Du kan få en kopia av dina personuppgifter”) lätt understrukna. När användaren hovrar över de orden med musen visas en liten ruta med en länk till inställningarna.

Till föregående avsnitt kommer att alla metoder som den personuppgiftsansvarige skapar för att utöva rättigheter vara lättillgängliga. Denna regel får inte underskattas. En åtgärd från den personuppgiftsansvarige enligt beskrivningen ovan kan bara ses som ett försök att hindra användarnas utövande av rättigheter, vilket strider mot artikel 12.2 i dataskyddsförordningen. Personuppgiftsansvariga bör oavsett anledning inte förhindra en sådan begäran. Vid närmare granskning från en tillsynsmyndighet i ett visst fall kan detta bidra till brott mot dataskyddsförordningen, vilket leder till sanktioner mot den personuppgiftsansvarige.

Nyckfullhet – Inkonsekvent gränssnitt (bilaga I checklista 4.5.3)

Example 50: Den sociala medieplattformen erbjuder olika versioner (skrivbord, app, mobilwebbläsare). I varje version visas inställningarna (som leder till tillgång/invändning osv.) med olika symboler, vilket gör användare som växlar mellan versionerna förvirrade.

När användarna konfronteras med gränssnitt på olika enheter som förmedlar samma information genom flera olika visuella tecken, behöver de sannolikt mer tid eller har svårt att hitta kontroller de känner igen från enhet till en annan. I exemplet ovan beror detta på att olika symboler eller ikoner används för att dirigera användarna till inställningarna. Att förvirra användarna på det sättet kan anses gå emot att underlätta registrerades rättigheter i enlighet med artikel 12.2 i dataskyddsförordningen.

Spärrande – Längre än nödvändigt (bilaga I checklista 4.4.2)

Slutligen kan varje försök att göra utövandet av en rätt Längre än nödvändigt anses strida mot dataskyddsförordningen.

Example 51: När användare väljer att ta bort sin gymnasieskolas namn och plats eller omnämnandet av ett evenemang de varit med på och delat, kommer ett andra fönster upp som ber dem bekräfta det valet (”Do you really want to do so? Why do you want to do this?”) (”Vill du verkligen göra så här? Varför vill du göra detta?”).

På samma sätt som med mängden skikt i en integritetspolicy (användningsfall 2.a) och antalet steg för att nå eller ändra en inställning (användningsfall 3.b) bör inte användarna behöva gå igenom överdrivet många steg eller klick för att utöva en rättighet. Detta beror naturligtvis på hur komplicerade de åtgärder är som den personuppgiftsansvarige utför, med hänsyn till den specifika kontexten. Det skulle dock vara orimligt att kräva att användarna utför ett stort antal onödiga handlingar för att kunna bli färdiga med att utöva sin rätt. Användarna bör t.ex. inte avskräckas av extra frågor, som ifall de verkligen vill utöva denna rättighet eller vad de har för skäl till en sådan begäran. I de flesta fall ska de bara kunna utöva sin rättighet, utan att deras motiv ifrågasätts. Sådana metoder, som visas i exemplet ovan, kan anses gå emot artikel 12.2 i dataskyddsförordningen eftersom den personuppgiftsansvarige hindrar utövandet av rättigheterna genom onödiga steg. Detta utesluter förstås inte att den personuppgiftsansvarige kan få in återkoppling genom att efteråt ställa frågor i syfte att göra tjänsten bättre. Om sådana frågor ställs efteråt blir det helt upp till användaren att vilja besvara dem, och det kan inte misstas som ett krav att utöva en rättighet.

d. Bästa praxis

Formulär för att utöva rättigheter: För att underlätta för användare att utöva sina rättigheter enligt dataskyddsförordningen kan man tillhandahålla ett särskilt formulär som hjälper användarna att förstå sina rättigheter och som vägleder dem till att utföra denna typ av begäranden. Genvägar: Se definition i användningsfall 1 (s. 22) (t.ex. ange en länk till borttagning av konto i användarkontot).

Samstämmiga formuleringar: Se definition i användningsfall 1 (s. 22).

Att tillhandahålla definitioner: Se definition i användningsfall 1 (s. 22). Användning av exempel: Se definition i användningsfall 1 (s. 22).

Klibbig navigering: Se definition i användningsfall 2 a (s. 28).

Förklaring av konsekvenser: Se definition i användningsfall 2 c (s. 32).

Konsekvens mellan enheter: Se definition i användningsfall 3 a (s. 39). Dataskyddskatalog: Se definition i användningsfall 3 b (s. 45).

Koppling till dataskyddskontroller: Se definition i användningsfall 3 b (s. 45).

3.5 Tack och hej: att lämna ett konto på ett socialt medium Användningsfall 5: Att pausa kontot/radera alla personuppgifter

a. Beskrivning av sammanhanget och tillämpliga bestämmelser

Slutet på ett kontos livscykel innebär den situation där användare beslutar sig för att lämna det sociala nätverket. I den situationen bestämmer vanligen användarna att lämna den sociala medieplattformen permanent. Dock finns också ofta möjligheten att bara tillfälligt inaktivera kontot och pausa tjänsten. De rättsliga följderna av de båda besluten skiljer sig åt och beskrivs nedan.

i. Permanent radering av kontot

Beslutet att permanent lämna den sociala medieplattformen åtföljs av rätten till radering i artikel 17.1 a i dataskyddsförordningen. I detta sammanhang används ordet ”borttagning” oftare än ”radering”.

Ordet ”radering” är inte rättsligt definierat i artikel 17 i dataskyddsförordningen och nämns bara som en form av behandling i artikel 4.2 i dataskyddsförordningen. Radering kan i allmänhet uppfattas som en (faktisk) omöjlighet att tillägna sig den information om en registrerad som tidigare ingick i uppgifterna som raderas. Efter radering får det inte längre vara möjligt för någon att tillägna sig informationen i fråga utan oproportionerlig ansträngning.

Anonymisering är ett annat sätt att permanent ta bort anknytningen till en person. Med andra ord är användningen av anonymiseringsteknik avsedd att säkerställa att den registrerade inte längre kan identifieras. Anonymisering innebär även att dataskyddslagstiftningens principer – såsom principen om ändamålsbegränsning – inte längre är tillämpliga (se skäl 26, fjärde och femte meningen).

Enligt artikel 12.2 i dataskyddsförordningen ska den personuppgiftsansvarige underlätta utövandet av den registrerades rättigheter i enlighet med artiklarna 15–22. Enligt detta krav får det inte skapas några materiella eller formella hinder mot att hävda den registrerades rättigheter. Om utövandet av rätten till radering försvåras utan faktisk anledning, utgör det därför en överträdelse av dataskyddsförordningen. Även om leverantörerna av sociala medier har en giltig anledning att objektivt förklara konsekvenserna t.ex. av att alla personuppgifter tas bort, och ber de registrerade att bekräfta detta val , behöver också onödiga hinder undvikas i detta användningsfall. Av detta följer t.ex. att varje eventuell anståndsperiod mellan användarnas begäranden om borttagning av ett konto och själva borttagningen av kontot behöver vara proportionerlig. En sådan tidsperiod får därför inte vara överdriven, men ska ta hänsyn till nödvändiga tekniska skäl till att omedelbar borttagning kan försenas, och dessutom ge en kort tid för användarna att överväga (ompröva) borttagningen av sitt konto när de väl har satt igång processen med att ta bort det. Användarnas fria vilja att ändra sig måste respekteras, men leverantörerna av sociala medier får inte försöka påverka användarna att ändra sig på det sättet genom att locka dem tillbaka, då det också skulle utgöra ett hinder mot användarnas rätt till radering. Under anståndsperioden kan borttagningsprocessen i vissa fall avbrytas, t.ex. när användaren loggar in igen. Om borttagningen inte kan slutföras måste användaren informeras och instrueras om hur borttagningen slutförs.

Beslutet att lämna den sociala medieplattformen utlöser de konsekvenser av radering som anges i artikel 17.1 i dataskyddsförordningen. Om en registrerad begär borttagning av respektive konto, behöver den personuppgiftsansvarige för en social medieplattform ta bort uppgifterna. Vissa uppgifter kan dock kvarstå på den sociala medieplattformen under en viss tid om artikel 17.3 i dataskyddsförordningen är tillämplig. De undantag som förtecknas i artikel 17.3 i dataskyddsförordningen måste tolkas snävt och gäller bara i de fall som uttryckligen nämns i denna

del av bestämmelsen. Varje undantag som en personuppgiftsansvarig använder sig av enligt artikel 17.3 i dataskyddsförordningen och respektive lagring av uppgifter måste motiveras av den personuppgiftsansvarige, t.ex. att den personuppgiftsansvarige enligt nationell rätt måste lagra information om den registrerade av tvingande skäl som rör ett allmänt intresse, för att utöva den grundläggande rätten till yttrande- och informationsfrihet eller av skatteskäl. Det säger sig självt att sådana återstående uppgifter endast bör lagras internt av leverantören av det sociala mediet och inte bör vara offentligt synligt för andra användare. Ett undantag enligt artikel 17.3 i dataskyddsförordningen gör det emellertid inte på något sätt möjligt för leverantören av ett socialt medium att fortsätta driva den registrerades konto längre än användaren avsett efter sin begäran om borttagning.

Om användare återkallar sitt samtycke enligt artikel 7.3 i dataskyddsförordningen får behandling av de personuppgifter de har lämnat grundat på samtycke enligt artikel 6.1 a i dataskyddsförordningen inte längre äga rum, oavsett någon begäran att ta bort kontot. I detta fall får andra behandlingar där leverantören av det sociala mediet använder sig av andra rättsliga grunder enligt artikel 6.1 a i dataskyddsförordningen fortfarande äga rum, under vissa omständigheter.

Om användarna däremot ber om borttagning av sitt konto, bör ingen vidare behandling äga rum, oberoende av bakomliggande rättslig grund, såvida inte ett av de undantag som uttryckligen förtecknas i artikel 17.3 i dataskyddsförordningen gäller. Här är det viktigt att ha i åtanke att lagringen är begränsad till den minimilagring som nämns ovan.

Enligt artikel 25.1 i dataskyddsförordningen ska den personuppgiftsansvarige införa lämpliga tekniska och organisatoriska åtgärder för att omsätta dataskyddsprinciperna i praktiken. Enligt riktlinjerna 04/2019 om artikel 25 – inbyggt dataskydd och dataskydd som standard kan tekniska och organisatoriska åtgärder i vid bemärkelse tolkas som samtliga metoder eller medel som en personuppgiftsansvarig kan använda vid behandlingen. Att åtgärderna är lämpliga innebär att de bör vara lämpade för att uppnå det avsedda syftet, dvs. de måste genomföra principerna för dataskydd på ett effektivt sätt. Lämplighetskravet har alltså ett nära samband med kravet på effektivitet .

ii. Att pausa kontot

Alternativt erbjuds användarna möjligheten att tillfälligt inaktivera sitt konto, så att de kan lämna det sociala mediet under en viss tid utan att ta bort sitt konto permanent. I detta fall blir kontot tillfälligt inaktiverat och profilen, bilderna, kommentarerna och reaktionerna blir dolda tills användarna återaktiverar sitt konto, t.ex. genom att logga in igen. Den främsta skillnaden mot radering är att personuppgifterna blir kvar på det sociala nätverket och kontot kan återaktiveras av användarna utan en ny registrering.

Användare som inleder processen med att ta bort sitt konto kan märka att alternativet att i stället pausa kontot är förvalt. Detta kan vara användbart för användare som inte vill ta bort sitt konto permanent utan bara bli erbjudna en pausmöjlighet, men leverantörer av sociala medier får inte ålägga användare sådana karensperioder, särskilt inte genom förval. Genom att erbjuda möjligheten till inaktivering väcker leverantören av det sociala mediet rimliga förväntningar hos användarna på att deras personuppgifter inte kommer att behandlas på samma sätt som när kontot används aktivt och att leverantören av det sociala mediet minskar behandlingen av personuppgifter till en strikt nödvändig nivå under denna period. Användarna kanske förväntar sig att deras uppgifter inte behandlas, eller inte behandlas fullständigt, för vissa särskilda ändamål, t.ex. att deras profil förstärks med besök på tredjepartswebbplatser som använder lämpliga riktnings- eller spårningsverktyg. Utöver att informera användarna på ett öppet sätt om konsekvenserna av att de pausar sitt konto, behöver all behandling av uppgifter som äger rum under den pausen bygga på en giltig rättslig grund.

När det gäller behandling av uppgifter som bygger på samtycke enligt artikel 6.1 a i dataskyddsförordningen, måste leverantören av det sociala mediet ta hänsyn till att användarna förväntar sig att det samtycke de ger under registreringen eller efteråt bara omfattar uppgiftsbehandling så länge de aktivt använder kontot. EDPB erkänner att det beror på sammanhanget, omfattningen av det ursprungliga samtycket och den registrerades förväntningar hur länge samtycke varar . Även om det inte finns någon specifik tidsgräns i dataskyddsförordningen för hur länge ett samtycke varar, beror giltigheten på sammanhanget, omfattningen av det ursprungliga samtycket och den registrerades förväntningar . Det ursprungliga samtycket är inte längre giltigt om behandlingen förändras eller utvecklas på ett betydande sätt . EDPB rekommenderar en bästa praxis där samtycket bör uppdateras med lämpliga mellanrum . Genom att ge all information än en gång blir det lättare att se till att de registrerade fortfarande är välinformerade om hur deras personuppgifter 79 80 används och hur de kan utöva sina rättigheter . Om så är fallet behöver samtycke erhållas på nytt och alla motsvarande krav måste vara uppfyllda. Den registrerades rimliga förväntningar bör också tas i åtanke när artikel 6.1 f i dataskyddsförordningen är tillämplig (se skäl 47). I synnerhet är det nödvändigt att överväga om den registrerade vid tidpunkten för inhämtandet av personuppgifter och i samband med detta rimligen kan förvänta sig att en uppgiftsbehandling för detta ändamål kan komma att ske. Användarna förväntar sig dock rimligen att endast nödvändig databehandling kommer att äga rum under inaktiveringstiden. Leverantören av det sociala mediet kan dessutom bara använda sig av berättigat intresse om samtliga

steg i prövningen av berättigat intresse, däribland avvägningen, är uppfyllda. Alla den registrerades övervägande intressen eller grundläggande rättigheter och friheter bör bedömas från fall till fall.

Eftersom avtalsförpliktelser också upphävs i stor utsträckning under inaktiveringen är databehandling endast nödvändig i begränsad utsträckning enligt artikel 6.1 b i dataskyddsförordningen. Endast lagring av användarnas uppgifter fram till det slutliga beslutet om återaktivering eller borttagning kan anses vara nödvändigt.

Med tanke på att all föregående uppgiftsbehandling var inriktad på ett aktivt konto, måste ytterligare information om behandlingen under inaktiveringen tillhandahållas om den inte ingår i den allmänna informationen enligt artiklarna 13 och 14 i dataskyddsförordningen. Detta följer av principerna om korrekthet och rättvisa enligt artikel 5.1 a och ändamålsbegränsningen från artikel 5.1 b i dataskyddsförordningen. Uppgiftsbehandlingen efter inaktivering måste åtföljas av tillräcklig information om den registrerade. Därför ska leverantören av det sociala mediet på ett uttömmande sätt informera användarna om själva behandlingen och dess syften under pausen, och vid behov erhålla nytt samtycke.

b. Vilseledande designmönster i. Innehållsbaserade mönster

Överbelastning – Integritetslabyrint (bilaga I checklista 4.1.2)

I detta användningsfall föreligger det vilseledande designmönstret Integritetslabyrint när användarna blir begravda i en uppsjö av information, utspridd över flera ställen, som hindrar dem från att ta bort sitt konto, som exemplet nedan visar. Även om det är önskvärt med en del ytterligare information före detta steg, som angivelsen att användarna har tillgång till sina uppgifter innan de tas bort, är det inte längre avgörande med allmän orelaterad information. Användarna bör inte bli onödigt fördröjda med att ta detta steg.

Example 52: Användarna letar efter rätten till radering. De måste ta fram kontoinställningarna, öppna en undermeny benämnd ”privacy” (”integritet”) och sedan rulla hela vägen ner för att hitta en länk så de kan ta bort kontot.

Eggande – Emotionell styrning (bilaga I checklista 4.3.1)

Example 53: På den första informationsnivån får användarna information som endast betonar de negativa, avskräckande konsekvenserna av att deras konton tas bort (t.ex. ”du förlorar allt för alltid” eller ”dina vänner glömmer bort dig”).

Det kan verka socialt rimligt att beklaga att avtalsförhållandet har upphört, och det är därför svårt att fånga upp detta i rättsliga termer, men att omfattande beskriva de påstådda negativa konsekvenserna av att användare raderar sitt konto utgör ändå ett hinder mot deras beslut, om det görs på samma sätt som i exemplet ovan där man anspelar på ”rädslan att missa något” (FOMO), och det gör att valet att ta bort sitt konto ser särskilt bestraffande ut. Sådan Emotionell styrning, där man hotar användarna med att de blir lämnade ensamma om de tar bort sitt konto, utgör en överträdelse av skyldigheten att underlätta registrerades utövande av sina rättigheter enligt artikel 12.2 i dataskyddsförordningen, och även av principen om korrekthet enligt artikel 5.1 a i dataskyddsförordningen.

Lämnad i mörkret – Tvetydig formulering eller information (bilaga I checklista 4.6.3)

När ett konto för sociala medier tas bort kan användarna också konfronteras med det vilseledande designmönstret Tvetydig formulering eller information, som visas i följande exempel.

Example 54: När användarna tar bort sitt konto blir de inte informerade om hur länge deras uppgifter kommer att behållas när kontot väl har tagits bort. Än värre är att användarna inte vid något tillfälle i hela borttagningsprocessen blir upplysta om att ”some of the personal data” ”(vissa av personuppgifterna”) kan lagras även efter att ett konto tagits bort. De måste själva leta efter informationen, runtom i alla de informationskällor som finns.

Example 55: Användarna kan bara ta bort sitt konto genom länkar benämnda ”See you” (”Vi ses”) eller “Deactivate” (”Inaktivera”) som finns på deras konto.

I dessa exempel förmedlar inte de ordalag som används i länkarna tydligt att användarna kommer att omdirigeras till processen med att ta bort kontot. I stället tänker användarna troligen på andra funktioner, som att logga ut fram till nästa användning eller inaktivera sitt konto. Detta kan därför tolkas som en överträdelse av artikel 12.2 i dataskyddsförordningen, där det anges att personuppgiftsansvariga bör underlätta utövandet av registrerades rättigheter. Genom att skapa förvirring om vad användarna förväntar sig i samband med länken, underlättar inte den sociala medieplattformen fullt ut utövandet av rätten till radering. Användningen av så tvetydiga ord i andra sammanhang skulle kunna strida mot bestämmelser i dataskyddsförordningen såsom artikel 7 och i förlängningen 17.1 b.

ii. Gränssnittsbaserade mönster

Överhoppning – Bedräglig trygghet (bilaga I checklista 4.2.1)

Example 56: I processen med att ta bort sitt konto får användarna två alternativ att välja mellan: att ta bort sitt konto eller att pausa det. Som standard är pausalternativet valt.

Det första alternativet att ta bort kontot leder till att alla personuppgifter om användare tas bort, vilket innebär att den sociala medieplattformen inte längre har tillgång till dessa uppgifter, med undantag för uppgifter enligt det tillfälliga undantaget i artikel 17.3 i dataskyddsförordningen. Med det andra alternativet att pausa kontot behålls däremot alla personuppgifter och kan eventuellt behandlas av leverantören av det sociala mediet. Detta medför ofrånkomligen fler risker för den registrerade, t.ex. om det inträffar en personuppgiftsincident och uppgifter som fortfarande lagras av leverantören av det sociala mediet blir åtkomna, dubblerade, överförda eller på annat sätt behandlade. Genom att pausalternativet är valt som standard väljer användarna troligen det i stället för att ta bort sitt konto som de tänkte från början. Metoden som beskrivs i detta exempel kan därför ses som en överträdelse av artikel 12.2 i dataskyddsförordningen, eftersom den i detta fall inte underlättar utövandet av rätten till radering och rentav försöker påverka användarna så att de inte utövar den.

Överhoppning – Titta där borta (bilaga I checklista 4.2.2)

Ett relevant alternativ att erbjuda när användarna uppger sin vilja att ta bort sitt konto är att ge dem en metod att ladda ner sina uppgifter. När deras konto är borttaget kommer ju också deras personuppgifter att raderas efter en viss tid. Detta innebär att de kommer att förlora sina personuppgifter helt och hållet om de inte får en kopia av dem. Presentationen av detta alternativ kan dock utgöra det vilseledande designmönstret Titta där borta, som följande exempel visar.

Example 57: När användarna har klickat på “Delete my account” (”Ta bort mitt konto”) får de se alternativet att ladda ner sina uppgifter, infört som rätten till portabilitet, innan kontot tas bort. När användarna klickar för att ladda ner sin information dirigeras de om till en sida med nedladdningsinformation. Men när användarna väl har valt vilka uppgifter de ska ladda ner och hur, dirigeras de inte om till borttagningsprocessen.

I exemplet ovan kan det anses att sättet som nedladdningsalternativet är infört på inte underlättar utövandet av rätten till radering i samband med att kontot tas bort. När användarna väl har laddat ner sina uppgifter kommer de inte tillbaka till borttagningsprocessen. För att komma tillbaka till den måste de klicka flera gånger. Att på detta sätt hindra utövandet av en rätt går emot artikel 12.2 i dataskyddsförordningen. Det är dessutom en enkelt införd funktion att tillhandahålla ett sätt att enkelt nå borttagningsprocessen efter att man laddat ner sina uppgifter. I detta avseende kan det ses som att skyldigheten att vidta lämpliga tekniska och organisatoriska åtgärder i artikel 25.1 i dataskyddsförordningen inte respekteras, då användarna inte kan fortsätta utöva sina rättigheter ändamålsenligt.

Spärrande – Längre än nödvändigt (bilaga I checklista 4.4.2)

Som beskrivs i detalj i användningsfall 4 kan alla irrelevanta steg som läggs till i utövandet av en rättighet strida mot dataskyddsförordningens bestämmelser, i synnerhet artikel 12.2. Detta gäller för det ögonblick då användarna vill ha sitt konto borttaget, då det skulle inkräkta på rätten till radering som hör ihop med en sådan begäran.

Example 58: I detta exempel ser användarna först en ruta för bekräftelse av att de vill radera sitt konto, efter att ha klickat på motsvarande länk eller knapp i sitt konto. Även om det finns viss Emotionell styrning i den rutan, kan detta steg ses som en säkerhetsåtgärd så att användarna inte ska råka ta bort sitt konto efter att ha klickat fel i kontot. När användarna däremot klickar på knappen “Delete my account” (”Ta bort mitt konto”), konfronteras de med en andra ruta där de ombeds att i text beskriva anledningen till att de vill lämna kontot. Så länge de inte har skrivit något i rutan kan de inte ta bort sitt konto, eftersom knappen som hör till åtgärden är inaktiv och gråtonad. Denna metod gör raderingen av ett konto Längre än nödvändigt, särskilt eftersom det krävs extra ansträngning och tid när man uppmanar användarna att framställa en text som beskriver varför de vill lämna ett konto, och detta inte bör vara obligatoriskt för att ta bort sitt konto.

Som tidigare noterats ska användare när de utövar en rättighet inte behöva svara på frågor som inte gäller utövandet av rättigheten i sig. Att behöva motivera sitt val eller förklara hur den sociala medieplattformen bör förbättras ingår inte i den kategorin. I det illustrerade exemplet förvärras detta problem när de registrerade måste skriva ett svar i stället för att välja ett förhandsutformat förslag från en lista, och detta blir då ännu mer betungande för dem eftersom det kräver att de helt själva skapar svaret. En sådan mekanism kan utesluta vissa användare från att utöva sin rättighet helt och hållet, om de inte är tillräckligt bekväma med att skriva ner ett svar.

Detta innebär emellertid inte att en lista med förhandsutformade svar är ett godtagbart steg att lägga till i processen med att ta bort någons konto. Detta gäller särskilt om dessa svar förknippas med ytterligare steg och åtgärder som åläggs användarna, som exemplet nedan visar.

Example 59: Leverantören av det sociala mediet gör det obligatoriskt för användarna att svara på en fråga om orsakerna till att de vill radera sitt konto, genom ett urval av svar från en rullgardinsmeny. För användarna verkar det som att de när de svarar på den frågan (tydligen) kan åstadkomma den åtgärd de vill ha, dvs. att ta bort kontot. När ett svar väl har valts kommer ett popupfönster fram som visar användarna ett sätt att lösa problemet de uppgav i sitt svar. Fråge- och svarsprocessen saktar därför ner användarna i deras process med att radera kontot.

Förutom att en Titta där borta-mekanism gör det särskilt utdraget att radera kontot, syftar den till att avleda användarna från att ta bort sitt konto genom att tillhandahålla en lösning på deras motiv till att lämna den sociala medieplattformen. Detta hindrar utövandet av rätten till radering och avskräcker i förlängningen de registrerade från att utöva sin rättighet.

Nyckfullhet – Avkontextualisering (bilaga I checklista 4.5.2)

Slutligen kan även det vilseledande designmönstret Avkontextualisering påträffas när användarna vill ta bort sitt konto.

Example 60: På den sociala medieplattformen XY återfinns länken till att inaktivera eller ta bort kontot på fliken “Your XY Data” (”Dina uppgifter på XY”).

De begrepp som används i titlar på en sida eller avdelning på den sociala medieplattformen som är ägnad åt dataskyddsfrågor bör tydligt återspegla vad för slags information eller kontroll som ingår där. Åtgärder för att ta bort eller inaktivera sitt konto är något som genomsnittliga användare troligen inte kopplar till uppgiftshantering. I det föregående exemplet torde inte användarna förvänta sig att funktionen för att ta bort deras konto ska finnas på en sida benämnd ”Dina uppgifter på XY” som anspelar på att se och eventuellt gå igenom sin information. I stället tittar de nog efter en ”Allmänt”sida eller en ”Ta bort mitt konto”-sida. Ur användarnas perspektiv är alternativen därför placerade på ett sätt som saknar sammanhang och inte stämmer med användarnas förväntningar.

Example 61: Själva fliken för att radera ett konto återfinns i avdelningen “delete a function of your account” (”ta bort en funktion i ditt konto”).

I detta exempel kan användarna av misstag uppfatta avdelningsrubriken som själva platsen där de justerar enskilda funktioner. Användarna förväntar sig därför inte att alternativet att ta bort hela kontot ska finnas där. Det gör det svårt för användarna att hitta rätt länk för att radera hela kontot. Det vilseledande mönstret Avkontextualisering, som visas i de två exemplen ovan, skulle kunna anses bryta mot artikel 12.2 i dataskyddsförordningen med tanke på att användarna får svårt att hitta rätt ställe att utöva sin rätt till radering.

c. Bästa praxis

Samstämmiga formuleringar: Se definition i användningsfall 1 (s. 22).

Att tillhandahålla definitioner: Se definition i användningsfall 1 (s. 22). Användning av exempel: Se definition i användningsfall 1 (s. 22). Förklaring av konsekvenser: Se definition i användningsfall 2 c (s. 32). Konsekvens mellan enheter: Se definition i användningsfall 3 a (s. 39).

För Europeiska dataskyddsstyrelsen Ordförande

(Andrea Jelinek)

4 BILAGA I: FÖRTECKNING ÖVER KATEGORIER OCH TYPER AV VILSELEDANDE DESIGNMÖNSTER

I följande lista ges en översikt av kategorier av vilseledande designmönster och typerna av vilseledande designmönster inom varje kategori. Här förtecknas även de bestämmelser i den allmänna dataskyddsförordningen som berörs mest av de vilseledande designmönstren. Som nämns ovan bör läsarna ha i åtanke att principen om korrekt behandling som fastställs i artikel 5.1 a i dataskyddsförordningen fungerar som utgångspunkt för att bedöma om det föreligger vilseledande designmönster. Den har en övergripande funktion och inga designmönster som är vilseledande efterlever den, oavsett om de efterlever andra dataskyddsprinciper . För varje mönster innehåller också förteckningen numren på exemplen och motsvarande användningsfall, så att läsarna hittar dem snabbt. Det är viktigt att notera att denna förteckning inte är uttömmande och att vilseledande designmönster även kan förekomma i användningsfall som i texten till riktlinjerna inte innehåller något exempel på den typen av vilseledande designmönster.

4.1 Överbelastning

Att begrava användare i mängder av förfrågningar, information, alternativ eller möjligheter för att avskräcka dem från att gå vidare och få dem att behålla eller godta vissa metoder för uppgifter.

4.1.1 Ständigt promptande

Det går ut på att pressa användarna att lämna fler personuppgifter än nödvändigt för behandlingsändamål, eller godkänna att deras uppgifter används på andra sätt, genom att ideligen be användarna lämna uppgifter eller samtycka till ett nytt ändamål för behandling. Sådant upprepat promptande kan ske genom en eller flera enheter. Det är sannolikt att användarna till slut ger upp, trötta på att varje gång de använder plattformen bli avbrutna i sin användning av att behöva vägra begäran.

Berörda bestämmelser i dataskyddsförordningen: - Ändamålsbegränsning: artikel 5.1 b. - Frivilligt samtycke: artikel 7 jämförd med artikel 4.11. - Särskilt samtycke: artikel 7.2.

Exempel: användningsfall 1 exempel 1, 2, användningsfall 3 a exempel 34 (illustration).

4.1.2 Integritetslabyrint

När användare vill erhålla viss information eller använda en särskild kontroll eller utöva en rättighet för registrerade är det särskilt svårt för dem att hitta den eftersom de måste navigera genom alltför många sidor för att få tag på den relevanta informationen eller kontrollen, utan

att ha en heltäckande och uttömmande översikt tillgänglig. Användarna kommer sannolikt att ge upp eller missa den relevanta informationen eller kontrollen.

Berörda bestämmelser i dataskyddsförordningen: - Öppenhetsprincipen: artikel 5.1 a; öppen information: artikel 12.1. - Principen om korrekthet: artikel 5.1 a. - Lätt tillgänglig information: artikel 12.1. - Lätt tillgång till rättigheter: artikel 12.2. - Informerat samtycke: artikel 7 jämförd med artikel 4.11.

Exempel: användningsfall 2 a exempel 17, användningsfall 3 a exempel 33, användningsfall 3 b exempel 37, användningsfall 4 exempel 47 (illustration) och 48 (illustration), användningsfall 5 exempel 51.

4.1.3 För många alternativ

Att ge användarna (för) många alternativ att välja mellan. De många valmöjligheterna gör att användarna inte kan göra något val eller får dem att förbise vissa inställningar, särskilt om information inte finns tillgänglig. Det kan leda till att de till slut ger upp eller missar inställningarna för sina dataskyddspreferenser eller dataskyddsrättigheter. Berörda bestämmelser i dataskyddsförordningen: - Principerna om öppenhet och korrekthet: artikel 5.1 a. - Öppen information: artikel 12.1.

Exempel: användningsfall 3 b exempel 35.

4.2 Överhoppning

att utforma gränssnittet eller användarresan på ett sådant sätt att användarna glömmer bort, eller inte tänker på, vissa av eller alla dataskyddsaspekterna.

4.2.1 Bedräglig trygghet

De funktioner och alternativ som inkräktar mest på personuppgifter är aktiverade som standard. Då det bygger på standardeffekten som driver de enskilda personerna att behålla ett förvalt alternativ, är det osannolikt att användarna kommer att ändra detta även om de får möjlighet.

Berörda bestämmelser i dataskyddsförordningen: - Inbyggt dataskydd och dataskydd som standard: artikel 25.1. - Samtycke: artiklarna 4.11 och 6 (den olagliga metoden att som standard ha aktiverat en behandling som grundar sig på samtycke).

Exempel: användningsfall 1 exempel 9, användningsfall 3 b exempel 39 och 40 (illustration), användningsfall 5 exempel 55.

4.2.2 Titta där borta

En dataskyddsrelaterad åtgärd eller informationsuppgift sätts i konkurrens med ett annat inslag som antingen har med dataskydd att göra eller inte. När användarna väljer detta distraherande alternativ glömmer de troligen bort det andra, även om det var det som var deras första avsikt.

Berörda bestämmelser i dataskyddsförordningen: - Principerna om öppenhet och korrekthet: artikel 5.1 a. - Öppen information: artikel 12.1. - Utövande av rättigheter: artikel 12.2.

Exempel: användningsfall 2 c exempel 25, användningsfall 3 a exempel 29, användningsfall 5 exempel 56 och 58.

4.3 Eggande

Att påverka det val användarna kan tänkas göra genom att vädja till deras känslor eller använda visuella påstötningar.

4.3.1 Emotionell styrning

Att använda formuleringar eller visuella inslag (t.ex. stil, färger, bilder eller annat) på ett sätt som förmedlar information till användarna i antingen en mycket positiv ton, så att användarna känner sig väl till mods, trygga eller belönade, eller en mycket negativ där användarna känner sig rädda, skyldiga eller bestraffade. När man påverkar användarnas känslomässiga tillstånd på det sättet får man dem troligen att göra något som går emot deras dataskyddsintressen. Berörda bestämmelser i dataskyddsförordningen: - Principerna om öppenhet och korrekthet: artikel 5.1 a. - Öppen information: artikel 12.1. - Utövande av rättigheter: artikel 12.2. - Barns samtycke: artikel 8. - Informerat samtycke: artikel 7 jämförd med artikel 4.11.

Exempel: användningsfall 1 exempel 4, 5, 6, användningsfall 5 exempel 52.

4.3.2 Dolt inom synhåll

Att använda en visuell stil eller teknik för information eller dataskyddskontroller som driver användarna att välja mindre restriktiva och därmed mer inkräktande alternativ.

Berörda bestämmelser i dataskyddsförordningen:

- Principen om korrekthet: artikel 5.1 a. - Frivilligt samtycke: artikel 7 jämförd med artikel 4.11. - Tydlig information: artikel 12.1. - Utövande av rättigheter: artikel 12.2.

Exempel: användningsfall 1 exempel 8, användningsfall 3.a exempel 34 (illustration), användningsfall 3.a exempel 40 (illustration), användningsfall 4 exempel 48.

4.4 Spärrande

Att hindra eller blockera användare i den process där de blir informerade eller hanterar sina uppgifter, genom att göra åtgärden svår eller omöjlig att åstadkomma.

4.4.1 Återvändsgränd

När användarna letar efter information eller en kontroll men till slut inte hittar den eftersom en omdirigeringslänk antingen inte fungerar eller inte finns alls. Användarna blir oförmögna att genomföra den uppgiften. Berörda bestämmelser i dataskyddsförordningen: - Lätt tillgänglig information: artikel 12.1. - Utövande av rättigheter: artikel 12.2. - Inbyggt dataskydd och dataskydd som standard: artikel 25.1.

Exempel: användningsfall 1 exempel 10, 11, användningsfall 2 a exempel 18, användningsfall 3 a exempel 30, 31, användningsfall 4 exempel 43.

4.4.2 Längre än nödvändigt

När användarna försöker aktivera en kontroll som gäller dataskydd är användarresan utformad på ett sådant sätt att det krävs fler steg från användarna för detta än för att aktivera alternativ som inkräktar på dataskyddet. Detta avskräcker dem troligen från att aktivera kontrollen i fråga. Berörda bestämmelser i dataskyddsförordningen: - Lätt tillgänglig information: artikel 12.1. - Utövande av rättigheter: artikel 12.2. - Rätt att göra invändningar: artikel 21.1. - Återkallande av samtycke: artikel 7.3. - Inbyggt dataskydd (och dataskydd som standard): artikel 25.1.

Exempel: användningsfall 1 exempel 7, användningsfall 3 a exempel 32, användningsfall 4 exempel 50, användningsfall 5 exempel 57 (illustration) och 58.

4.4.3 Vilseledande handling

När en avvikelse mellan informationen och de åtgärder som finns för användarna påverkar dem att göra något de inte har för avsikt. Skillnaden mellan vad användarna förväntar sig och vad de får kommer sannolikt att avskräcka dem från att gå längre.

Berörda bestämmelser i dataskyddsförordningen: - Öppen information: artikel 12.1. - Korrekthet vid behandling: artikel 5.1 a. - Informerat samtycke: artikel 7.2 jämförd med artikel 4.11.

Exempel: användningsfall 1 exempel 3, användningsfall 3 a exempel 28.

4.5 Nyckfullhet

Gränssnittet är instabilt och inkonsekvent i sin utformning, så att det blir svårt för användarna att komma underfund med behandlingens karaktär, göra ett korrekt val för sina uppgifter och hitta var de olika kontrollerna finns.

4.5.1 Bristande hierarki

Information som gäller dataskydd saknar hierarki, så att samma information visas flera gånger och presenteras på flera olika sätt. Troligen blir användarna förvirrade av denna överflödighet och kan inte få någon fullständig uppfattning om hur deras uppgifter behandlas och hur de utövar kontroll över dem.

Berörda bestämmelser i dataskyddsförordningen: - Lätt tillgänglig information: artikel 12.1. - Utövande av rättigheter: artikel 12.2.

Exempel: användningsfall 2 a exempel 13 och 14.

4.5.2 Avkontextualisering

Dataskyddsinformation eller dataskyddskontroll finns på en sida som är utanför sitt sammanhang. Användarna hittar troligtvis inte informationen eller kontrollen eftersom det inte ligger nära till hands att leta efter den på just den sidan.

Berörda bestämmelser i dataskyddsförordningen: - Lätt tillgänglig information: artikel 12.1. - Öppen information: artikel 12.1. - Utövande av rättigheter: artikel 12.2.

Exempel: användningsfall 3 b exempel 41, 42, användningsfall 5 exempel 59 och 60.

4.5.3 Inkonsekvent gränssnitt

Ett gränssnitt är inte konsekvent i olika sammanhang (t.ex. en meny som gäller dataskydd visar inte samma alternativ på mobil och dator) eller stämmer inte med användarnas förväntningar (t.ex. när ett alternativ har bytt plats med ett annat). Dessa skillnader kan göra att användarna inte hittar den önskade kontrollen eller informationen eller att de samspelar med en del av gränssnittet av ren vana fastän detta samspel leder användarna till att göra ett dataskyddsval de inte vill ha.

Berörda bestämmelser i dataskyddsförordningen: - Lätt tillgänglig information: artikel 12.1. - Utövande av rättigheter: artikel 12.2.

Exempel: användningsfall 3 b exempel 39, användningsfall 4 exempel 50.

4.5.4 Språklig diskontinuitet

Information om dataskydd tillhandahålls inte på det officiella språket/språken i det land där användarna bor, medan tjänsten gör det. Om användarna inte behärskar språket som dataskyddsinformation ges på, kan de inte läsa den så enkelt och blir därför troligen inte medvetna om hur uppgifter behandlas. Berörda bestämmelser i dataskyddsförordningen: - Korrekthet vid behandling: artikel 5.1 a. - Begriplig information: artikel 12.1, artikel 13 och artikel 14. - Användning av ett klart och tydligt språk i informationen: artikel 12.1, artikel 13 och artikel 14.

Exempel: användningsfall 2 a exempel 16, användningsfall 3 a exempel 26 (illustration) och 27, användningsfall 4 exempel 44.

4.6 Lämnad i mörkret

Gränssnittet är designat på ett sådant sätt att det döljer information eller kontroller för dataskydd eller gör användarna osäkra på hur uppgifter behandlas och vad de kan tänkas ha för kontroll över dem.

4.6.1 Motstridig information

Att ge användarna informationsuppgifter som säger emot varandra på något sätt. Användarna blir förmodligen osäkra på vad de ska göra och på vad deras åtgärder får för konsekvenser, och gör nog därför ingenting och behåller bara standardinställningarna. Berörda bestämmelser i dataskyddsförordningen: - Korrekthet vid behandling: artikel 5.1 a. - Öppen information: artikel 12.1. - Informerat samtycke: artikel 7.2 jämförd med artikel 4.11.

Exempel: användningsfall 2 a exempel 12, användningsfall 2 c exempel 20, användningsfall 3 b exempel 36.

4.6.2 Tvetydig formulering eller information

Att använda tvetydiga och vaga begrepp när man ger information till användarna. De blir då förmodligen osäkra på hur uppgifterna kommer att behandlas eller hur de utövar kontroll över sina personuppgifter. Berörda bestämmelser i dataskyddsförordningen: - Korrekthet vid behandling: artikel 5.1 a. - Öppen information: artikel 12.1. - Användning av ett klart och tydligt språk i informationen: artikel 12.1. - Informerat samtycke: artikel 7.2 jämförd med artikel 4.11. - Ofullständig information: artikel 13. - Särskilda bestämmelser beroende på det aktuella användningsfallet, t.ex. artikel 34 för användningsfall 2 c.

Exempel: användningsfall 2 a exempel 15, användningsfall 2 c exempel 21, 22, 23, 24, användningsfall 4 exempel 45, användningsfall 5 exempel 53 och 54.

5 BILAGA II: BÄSTA PRAXIS

Följande lista är en översikt av den bästa praxis som beskrivs i riktlinjerna i slutet av varje användningsfall. De olika praxisexemplen kan användas för att designa användargränssnitt som gör det lättare att ändamålsenligt genomföra dataskyddsförordningen. Sådan bästa praxis kan ge ett första steg mot ett standardiserat sätt för användare att ändamålsenligt kontrollera sina uppgifter och utöva sina rättigheter.

Genvägar: Länkar till information, åtgärder eller inställningar som användarna kan ha praktisk nytta av för att hantera sina uppgifter och sina dataskyddsinställningar bör finnas tillgängliga varje gång de konfronteras med tillhörande information eller upplevelser (t.ex. länkar som dirigerar om till de relevanta delarna av integritetspolicyn; att t.ex. i integritetspolicyn för varje del dataskyddsinformation ordna med länkar som direkt omdirigerar till de tillhörande dataskyddssidorna på den sociala medieplattformen; att förse användarna med en länk så de kan återställa sitt lösenord; att när användarna informeras om en aspekt av behandlingen uppmana dem att ställa in sina tillhörande preferenser för personuppgifter på motsvarande inställnings-/instrumentpanelsida; att tillhandahålla en länk till borttagning av konto i användarkontot).

Bulkalternativ: Sätt ihop alternativ som har samma behandlingssyfte, så att användarna kan ändra dem lättare, samtidigt som de ändå har kvar möjligheten att göra mer detaljerade ändringar. Om sociala medieplattformar uppvisar bulkalternativ, bör dessa inte innehålla oväntade eller obesläktade delar (t.ex. delar med olika syften). Om behandlingen kräver samtycke, måste bulkalternativen vara i linje med EDPB:s riktlinjer om samtycke, i synnerhet punkt 42–44.

Kontaktuppgifter: Företagets kontaktadress att vända sig till med begäranden om dataskydd bör vara tydligt angiven i integritetspolicyn. Den bör finnas i ett avsnitt där användarna kan förvänta sig att hitta den, såsom ett avsnitt om den personuppgiftsansvariges identitet, ett avsnitt om rättigheter eller ett kontaktavsnitt.

Kontakt med tillsynsmyndigheten: Uppge den specifika identiteten för tillsynsmyndigheten och inkludera en länk till dess webbplats eller den specifika webbsida som gäller att lämna in ett klagomål. Denna information bör finnas i ett avsnitt där användarna kan förvänta sig att finna den, såsom ett avsnitt om rättigheter.

Översikt av integritetspolicy: Inkludera i början av/längst upp i integritetspolicyn en (minimerbar) innehållsförteckning med rubriker och underrubriker som visar de olika avdelningar integritetsmeddelandet innehåller. Namnen på de enskilda avdelningarna leder tydligt användarna till exakt rätt innehåll och gör att de snabbt kan identifiera och hoppa till det avsnitt de letar efter.

Synliga ändringar och jämförelser: När det görs ändringar av integritetsmeddelandet, gör då tidigare versioner tillgängliga med publiceringsdatum och markera ändringarna.

Samstämmiga formuleringar: Använd samma formuleringar och definitioner för samma dataskydd på hela webbplatsen. De ordalydelser som används i integritetspolicyn bör stämma med dem som används på resten av plattformen. Att tillhandahålla definitioner: När obekanta eller tekniska ord eller fackuttryck används, förstår användarna lättare den information som tillhandahålls till dem om det finns en definition på klart

språk. Definitionen kan ges direkt i texten, när användarna hovrar över ordet eller genom att det finns tillgängligt i en ordlista.

Kontrasterande delar om dataskydd: Gör de delar eller åtgärder som gäller dataskydd visuellt iögonfallande i ett gränssnitt som inte är direkt ägnat åt saken. När man t.ex. lägger ut ett offentligt meddelande på plattformen bör kontroller över associerad geografisk plats vara direkt tillgängliga och synas tydligt.

Igångsättning för dataskydd: Direkt efter att ett konto skapats bör det finnas med punkter om dataskydd i den igångsättningsupplevelse som leverantören av sociala medier ger användarna så att de smidigt kan upptäcka och ställa in sina preferenser. Detta kan t.ex. göras genom att de uppmanas att ställa in sina dataskyddspreferenser efter att de lagt till sin första vän eller delat sitt första inlägg.

Användning av exempel: Utöver obligatorisk information som tydligt och exakt uppger ändamålet för behandlingen kan exempel användas för att illustrera en viss typ av uppgiftsbehandling så att den blir mer konkret för användarna. Klibbig navigering: När användarna tar hjälp av en sida som handlar om dataskydd, kan innehållsförteckningen visas konstant på skärmen så att de alltid kan placera sig rätt på sidan och snabbt navigera i innehållet tack vare ankarlänkar.

Tillbaka till början: Inkludera en ”tillbaka till början”-knapp längst ner på sidan eller som fäst del längst ner i fönstret, så att användarna lättare kan navigera på en sida.

Meddelanden: Meddelanden kan användas för att göra användarna mer medvetna om aspekter, förändringar eller risker kopplade till behandling av personuppgifter (t.ex. när det har inträffat en personuppgiftsincident). Dessa meddelanden kan införas på flera olika sätt, t.ex. genom meddelanden i inkorgen, popinfönster, fasta banderoller högst upp på webbsidan osv.

Förklaring av konsekvenser: När användare vill aktivera eller inaktivera en dataskyddskontroll, eller ge eller återkalla sitt samtycke, kan man informera dem på ett neutralt sätt om konsekvenserna av en sådan handling. Konsekvens mellan enheter: När den sociala medieplattformen är tillgänglig genom olika enheter (t.ex. dator, smarttelefoner osv.), bör inställningar och information i fråga om dataskydd finnas på samma ställen i de olika versionerna och bör vara tillgängliga genom samma delar i användarresan och gränssnittet (meny, ikoner osv.).

Dataskyddskatalog: För att användarna enkelt ska kunna orientera sig genom de olika avdelningarna på menyn, kan man tillhandahålla en lättillgänglig sida där det går att nå alla dataskyddsrelaterade åtgärder och informationsuppgifter. Denna sida kan finnas i det sociala mediets huvudnavigeringsmeny, användarkontot, i integritetspolicyn osv.

Bakgrundsinformation: Utöver en uttömmande integritetspolicy kan man lägga in korta informationsstycken vid de tillfällen då det är mest lämpligt att användaren får specifik och kontinuerlig information om hur deras uppgifter behandlas. Självförklarande URL: Sidor som rör dataskyddsinställningar eller dataskyddsinformation bör använda en webbadress som tydligt återspeglar deras innehåll. Exempelvis kan en sida där dataskyddskontrollen är samlad ha en URL som [social-network.com]/data-settings.

Formulär för att utöva rättigheter: För att underlätta för användare att utöva sina rättigheter enligt dataskyddsförordningen kan man tillhandahålla ett särskilt formulär som hjälper användarna att förstå sina rättigheter och som vägleder dem till att utföra denna typ av begäranden.