Riktlinjer 8/2020 om riktad marknadsföring mot användare av sociala medier
upplevda kopplingen mellan den person eller grupp som är föremål för marknadsföringen och det budskap som förmedlas. Det underliggande antagandet är att ju bättre koppling, desto högre mottagandegrad (omvandling) och således ju effektivare är den riktade marknadsföringskampanjen (räntabilitet).
Mekanismerna för riktad marknadsföring mot användare av sociala medier har blivit mer sofistikerade med tiden. Organisationerna har nu möjlighet att rikta marknadsföring mot enskilda personer på grundval av en rad olika kriterier. Sådana kriterier kan ha utarbetats på grundval av personuppgifter som användarna aktivt har tillhandahållit eller delat, såsom deras relationsstatus. I allt högre grad utvecklas dock även kriterier för riktad marknadsföring på grundval av personuppgifter som har observerats eller härletts, antingen av leverantören av sociala medier eller av tredje parter, och samlats in (aggregerats) av plattformen eller av andra aktörer (t.ex. datamäklare) för att stödja alternativ för riktade annonser. Med andra ord innebär riktad marknadsföring mot användare av sociala medier inte enbart att de enskilda personer eller grupper av individer som utgör de avsedda mottagarna av ett visst budskap ”väljs ut” (målgruppen), utan snarare är det frågan om en hel process som genomförs av en rad intressenter och som leder till att specifika budskap skickas till enskilda personer med konton i sociala medier .
Kombinationen och analysen av uppgifter från olika källor, tillsammans med den potentiellt känsliga karaktären hos de personuppgifter som behandlas i samband med sociala medier , skapar risker för enskilda personers grundläggande fri- och rättigheter. Ur ett dataskyddsperspektiv har många risker kopplingar till den eventuella bristen på insyn och användarkontroll. För de berörda personerna är den bakomliggande behandlingen av personuppgifter, som leder till en leverans av ett målinriktat meddelande, ofta otydlig. Dessutom kan den omfatta oväntad eller oönskad användning av personuppgifter, vilket inte bara väcker frågor om dataskyddslagstiftningen, utan även i förhållande till andra grundläggande rättigheter och friheter. På senare tid har riktad marknadsföring på sociala medier varit föremål för ett ökat allmänt intresse och granskning från tillsynsmyndigheter i samband med demokratiskt beslutsfattande och valprocesser .
2 TILLÄMPNINGSOMRÅDE
Riktad marknadsföring mot användare av sociala medier kan omfatta en rad olika aktörer som i dessa riktlinjer ska delas in i fyra grupper: leverantörer av sociala medier, deras användare, riktade marknadsförare och andra aktörer som kan vara involverade i den riktade marknadsföringen. EUdomstolen har nyligen framhållit vikten av en korrekt identifiering av de olika aktörernas roller och
ansvarsområden i domarna i målen Wirtschaftsakademie och Fashion ID . Båda dessa domar visar att samspelet mellan leverantörer av sociala medier och andra aktörer kan ge upphov till gemensamma skyldigheter enligt EU:s dataskyddslagstiftning. Med beaktande av EU-domstolens rättspraxis och bestämmelserna i dataskyddsförordningen om gemensamt personuppgiftsansvariga och ansvarsskyldighet ger dessa riktlinjer vägledning om riktad marknadsföring mot användare av sociala medier, särskilt i fråga om ansvaret för riktade marknadsförare och leverantörer av sociala medier. I situationer där det föreligger ett gemensamt ansvar försöker riktlinjerna klargöra hur ansvarsfördelningen kan se ut mellan riktade marknadsförare och leverantörer av sociala medier med hjälp av praktiska exempel . Dessa riktlinjer har därför huvudsakligen i syfte att klargöra roller och ansvarsområden mellan leverantören av sociala medier och den riktade marknadsföraren. För att göra detta identifierar riktlinjerna även potentiella risker för enskilda personers rättigheter och friheter (avsnitt 3), de viktigaste aktörerna och deras roller (avsnitt 4), och behandlar tillämpningen av centrala dataskyddskrav (såsom laglighet och öppenhet, konsekvensbedömning avseende dataskydd osv.) samt centrala inslag i arrangemang mellan leverantörer av sociala medier och de riktade marknadsförarna. Tillämpningsområdet för dessa riktlinjer omfattar förhållandet mellan registrerade användare av ett socialt nätverk, deras leverantörer samt riktade marknadsförare. Dessa riktlinjer omfattar inte en grundlig analys av scenarier, såsom enskilda personer som inte är registrerade hos leverantörer av sociala medier.
3 RISKER FÖR ANVÄNDARNAS RÄTTIGHETER OCH FRIHETER TILL FÖLJD AV BEHANDLINGEN AV PERSONUPPGIFTER
I dataskyddsförordningen betonas vikten av en vederbörlig utvärdering och minskning av eventuella risker för enskildas rättigheter och friheter till följd av behandling av personuppgifter . De mekanismer som kan användas för riktad marknadsföring mot användare av sociala medier, liksom den bakomliggande behandling som möjliggör riktad marknadsföring, kan medföra betydande risker. Syftet med dessa riktlinjer är inte att tillhandahålla en uttömmande förteckning över eventuella risker för enskildas rättigheter och friheter. EDPB anser emellertid att det är viktigt att peka på vissa typer av risker och ge ett antal exempel på hur de kan yttra sig. Riktad marknadsföring mot användare av sociala medier kan omfatta användning av personuppgifter som strider mot eller går utöver enskilda personers rimliga förväntningar och därmed strider mot tillämpliga principer och regler för dataskydd. Om en plattform för sociala medier till exempel kombinerar personuppgifter från tredje part med uppgifter som lämnas ut av plattformens användare kan detta leda till att personuppgifter används på ett sätt som går utöver deras ursprungliga syfte och
som de enskilde inte rimligen kunde förutse. Profileringsverksamhet som är kopplad till riktad marknadsföring kan omfatta slutsatser om intressen eller andra egenskaper som den enskilde inte aktivt har lämnat ut, vilket undergräver den enskildes förmåga att utöva kontroll över sina personuppgifter . Dessutom kan bristande insyn i de olika aktörernas roller och den berörda behandlingen undergräva, försvåra eller hindra utövandet av de registrerades rättigheter.
En annan typ av risk är risken för diskriminering och utestängning. Riktad marknadsföring mot användare av sociala medier kan omfatta kriterier som direkt eller indirekt har diskriminerande effekter när det gäller en persons ras eller etniska ursprung, hälsotillstånd eller sexuella läggning eller andra skyddade egenskaper hos den berörda personen. Exempelvis kan användningen av sådana kriterier i samband med reklam som hänför sig till platsannonser, bostäder eller krediter (lån, hypotekslån) göra att möjligheterna blir mindre synliga för personer som tillhör särskilda grupper av enskilda personer. Riktad marknadsföring medför en risk för diskriminering till följd av annonsörernas förmåga att utnyttja den stora mängden och mångfalden av personuppgifter (t.ex. demografiska uppgifter, beteendemässiga uppgifter och intressen) som sociala medieplattformar samlar in om sina användare . Aktuell forskning tyder på att det finns risk för diskriminerande effekter även utan användning av kriterier som är direkt kopplade till särskilda kategorier av personuppgifter i den mening som avses i artikel 9 i dataskyddsförordningen .
En andra riskkategori hänför sig till eventuell manipulation av användare. Mekanismer för riktad marknadsföring används per definition för att påverka enskilda personers beteende och val, oavsett om det gäller deras köpbeslut som konsumenter eller deras politiska beslut i egenskap av medborgare som engagerar sig i samhällslivet . Vissa strategier för riktad marknadsföring kan dock gå så långt att de undergräver enskilda personers självbestämmanderätt och frihet (t.ex. genom att leverera individualiserade budskap som är utformade för att utnyttja eller till och med lyfta fram vissa sårbarheter, personliga värderingar eller problem). Exempelvis kan en analys av innehåll som delas via sociala medier avslöja information om känslomässiga tillstånd (t.ex. genom att analysera användningen av vissa nyckelord). Sådan information skulle kunna användas för att rikta specifika budskap till den enskilda personen vid särskilda tillfällen som denne förväntas vara mer mottaglig, och därigenom i hemlighet påverka hans eller hennes tankeprocess, känslor och beteende .
Mekanismer för riktad marknadsföring mot användare av sociala medier kan också användas för att på ett otillbörligt sätt påverka enskilda personer när det gäller politisk debatt och demokratiska valprocesser . Medan ”traditionella” politiska kampanjer offline syftar till att påverka väljarnas beteende via meddelanden som är allmänt tillgängliga och åtkomliga (verifierbara), gör de tillgängliga mekanismerna för riktad marknadsföring på nätet det möjligt för politiska partier och kampanjer att
rikta sig till enskilda väljare med skräddarsydda budskap som är specifika för målgruppens särskilda behov, intressen och värderingar . Sådan riktad marknadsföring kan till och med omfatta desinformation eller budskap som enskilda personer finner särskilt ömmande, och är därför (mer) benägna att framkalla en viss känsla eller reaktion från dem. När polariserande eller osanna budskap (desinformation) riktas till specifika enskilda personer, med inget eller begränsat sammanhang eller exponering för andra synpunkter, kan användningen av mekanismer för riktad marknadsföring medföra att den demokratiska valprocessen undergrävs .
På samma sätt används algoritmer för att avgöra vilken information som ska visas för vilka enskilda personer, vilket kan ha en negativ inverkan när det gäller sannolikheten att få tillgång till olika informationskällor när det gäller ett visst ämne. Detta kan i sin tur få negativa konsekvenser för mångfalden inom den offentliga debatten och tillgången till information . Mekanismer för riktad marknadsföring kan användas för att öka synligheten för vissa meddelanden, samtidigt som andra uppmärksammas mindre. De potentiella negativa effekterna kan vara kännbara på två nivåer. Å ena sidan finns det risker som har samband med så kallade filterbubblor där människor exponeras för ”mer av samma” information och möter färre åsikter, vilket leder till ökad politisk och ideologisk polarisering . Å andra sidan kan mekanismer för riktad marknadsföring också skapa risker för ett ”informationsöverflöd”, vilket innebär att enskilda inte kan fatta ett välgrundat beslut, eftersom de har för mycket information och inte kan veta om den är tillförlitlig.
Den insamling av personuppgifter som utförs av leverantörer av sociala medier kanske inte begränsas till åtgärder som enskilda personer vidtar på själva plattformen för sociala medier. Riktad marknadsföring mot användare av sociala medier på grundval av information om deras surfbeteende eller andra aktiviteter utanför plattformen för sociala medier kan ge enskilda människor en känsla av att deras beteende övervakas systematiskt. Detta kan ha en dämpande effekt på yttrandefriheten, inbegripet tillgången till information . Sådana effekter kan förvärras om den riktade marknadsföringen även grundas på en analys av innehåll som delas av användare av sociala medier. Om privata meddelanden, inlägg och kommentarer analyseras för kommersiell eller politisk användning kan detta också leda till självcensur.
Riktad marknadsföring kan ha betydligt större potentiella negativa effekter när det gäller sårbara kategorier av enskilda, såsom barn. Riktad marknadsföring kan medföra påverkan när det gäller att forma barns personliga preferenser och intressen och i slutändan påverka deras självständighet och deras rätt till utveckling. I skäl 38 i dataskyddsförordningen anges att särskilt skydd bör gälla användningen av barns personuppgifter i marknadsföringssyfte eller för att skapa personlighets- eller användarprofiler samt insamling av personuppgifter med avseende på barn när tjänster som erbjuds direkt till barn utnyttjas .
Användningen av sociala medier i EU är utbredd, eftersom 54 % av alla i åldern 16–74 år deltog i sociala nätverk under 2019. Dessutom har deltagandet stadigt ökat under årens lopp . EDPB är medvetet om att den ökade koncentrationen på marknaderna för sociala medier och riktad marknadsföring också kan öka riskerna för ett betydande antal enskildas rättigheter och friheter. Vissa leverantörer av sociala medier kan till exempel, antingen ensamma eller i samarbete med andra företag, kombinera en större mängd och mångfald av personuppgifter. Denna förmåga kan i sin tur öka möjligheterna att erbjuda mer avancerade riktade marknadsföringskampanjer. Denna aspekt är relevant både ur ett dataskyddsperspektiv (mer djupgående profilering av de berörda personerna) och ett konkurrensrättsligt perspektiv (den oöverträffade kapacitet som plattformen tillhandahåller när det gäller insyn kan göra den till en ”oundviklig handelspartner” för marknadsförare på nätet). Graden av marknads- och informationsmakt har, såsom EDPB har konstaterat, i sin tur ”potential att hota nivån på det dataskydd och den frihet som konsumenter av digitala tjänster åtnjuter” .
Sannolikheten för de ovannämnda riskerna och deras allvar kommer bland annat att bero på vilken typ av mekanism för riktad marknadsföring det är frågan om och på hur och för vilket eller vilka exakta syften den används. Faktorer som kan påverka sannolikheten för och hur allvarliga riskerna är i samband med riktad marknadsföring mot användare av sociala medier kommer att diskuteras mer ingående i avsnitt 7.
4 AKTÖRER OCH ROLLER
4.1 Användare
Enskilda personer använder sociala medier på olika sätt och för olika ändamål (t.ex. för att hålla kontakten med vänner, utbyta information om gemensamma intressen eller söka jobb). Begreppet användare används vanligtvis för personer som är registrerade hos tjänsten (dvs. personer som har ett konto eller en profil). Många sociala medietjänster kan emellertid nås även av enskilda personer som inte har registrerat sig (dvs. utan att skapa ett konto eller en profil) . Sådana personer kan vanligtvis inte utnyttja samtliga funktioner eller tjänster som erbjuds enskilda personer som har registrerat sig hos leverantören av sociala medier. Både enskilda personer som är registrerade och som inte är registrerade hos leverantörer av sociala medier kan betraktas som ”registrerade” i den mening som avses i artikel 4.1 i dataskyddsförordningen om personen är direkt eller indirekt identifierad eller identifierbar .
Huruvida enskilda personer förväntas registrera sig med ett verkligt namn eller använda ett smeknamn eller pseudonym kan variera beroende på vilken social medietjänst det är frågan om. I allmänhet är det dock fortfarande möjligt att rikta marknadsföring mot (eller på annat sätt särskilja) användaren i fråga även om det saknas en policy att använda verkliga namn, eftersom de flesta typer av riktad marknadsföring inte baserar sig på användarnamn utan på andra typer av personuppgifter, såsom intressen, sociografiska data, beteende eller andra identifierare. Leverantörer av sociala medier
uppmuntrar ofta sina användare att avslöja ”verkliga” uppgifter, t.ex. telefonnummer . Slutligen är det värt att notera att leverantörer av sociala medier också kan möjliggöra riktad marknadsföring mot enskilda personer som inte har ett konto hos leverantören av sociala medier .
4.2 Leverantörer av sociala medier
Leverantörer av sociala medier erbjuder en onlinetjänst som gör det möjligt att utveckla nätverk och användargrupper, där information och innehåll delas. Sociala medietjänster erbjuds vanligtvis via webbläsare eller särskilda appar, ofta efter att användaren har ombetts tillhandahålla en uppsättning personuppgifter för att skapa sitt ”konto” eller sin ”profil”. De erbjuder ofta även användarrelaterade ”kontroller” för att de ska kunna få tillgång till och kontrollera de personuppgifter som behandlas i samband med användningen av deras konto.
Leverantören av sociala medier bestämmer vilka funktioner tjänsten ska ha. Detta innebär i sin tur ett fastställande av vilka uppgifter som behandlas, för vilket ändamål, enligt vilka villkor, samt hur personuppgifter ska behandlas. Detta möjliggör tillhandahållandet av den sociala medietjänsten, men även sannolikt tillhandahållandet av tjänster, såsom riktad marknadsföring, som kan gynna affärspartner som är verksamma på eller i samverkan med plattformen för sociala medier.
Leverantören av sociala medier har möjlighet att samla in stora mängder personuppgifter om beteende och utbyten från användare och enskilda som inte är registrerade hos leverantörer av sociala medier, vilket gör det möjligt för leverantören att få betydande inblick i användarnas sociodemografiska egenskaper, intressen och preferenser. Det är viktigt att notera att den ”inblick” som bygger på användarnas aktiviteter ofta omfattar personuppgifter som härletts eller avletts. När en användare interagerar med ett visst innehåll (t.ex. genom att ”gilla” ett inlägg på sociala medier, eller genom att titta på videoinnehåll) kan denna åtgärd spelas in av leverantören av sociala medier, och man kan dra slutsatsen att användaren i fråga tyckte om det innehåll han eller hon interagerade med.
Leverantörer av sociala medier samlar allt oftare in uppgifter som inte enbart härrör från verksamhet på själva plattformen, utan även från verksamhet utanför plattformen, där data från flera olika källor kombineras, både online och offline, för att skapa ytterligare inblick. Uppgifterna kan kombineras med personuppgifter som enskilda personer aktivt lämnar ut till leverantören av sociala medier (t.ex. användarnamn, e-postadress, plats och telefonnummer), tillsammans med uppgifter som de ”tilldelas” av plattformen (t.ex. unika identifierare).
4.3 Riktade marknadsförare
I dessa riktlinjer används termen ”riktade marknadsförare” för att beteckna fysiska eller juridiska personer som använder sociala medietjänster för att rikta specifika budskap till en uppsättning användare av sociala medier på grundval av specifika parametrar eller kriterier . Det som skiljer
riktade marknadsförare från andra användare av sociala medier är att de väljer sina budskap och/eller sin avsedda målgrupp utifrån de berörda personernas upplevda egenskaper, intressen eller preferenser, vilket ibland också kallas micro-targeting . Riktade marknadsförare kan inrikta sig på att främja kommersiella, politiska eller andra intressen. Typiska exempel är varumärken som använder sociala medier för att göra reklam för sina produkter, bland annat för att öka märkeskännedomen. Politiska partier använder sig också i allt högre grad av sociala medier som en del av sina kampanjstrategier. Välgörenhetsorganisationer och andra ideella organisationer använder också sociala medier för att rikta budskap till potentiella bidragsgivare eller för att utveckla samhällen.
Det är viktigt att notera att riktad marknadsföring mot användare av sociala medier kan genomföras på olika sätt. Exempelvis kan riktad marknadsföring vidtas inte bara genom att man visar personliga annonser (t.ex. genom en ”banner” som visas högst upp på eller på sidan av en webbsida), utan – i den mån det sker inom plattformen för sociala medier – även genom visning i en användares ”flöde”, ”tidslinje” eller ”story”, där reklaminnehållet visas tillsammans med användargenererat innehåll. Riktad marknadsföring kan även omfatta skapande av innehåll som lagras av leverantören av sociala medier (t.ex. via en särskild ”sida” eller annan närvaro på sociala medier) eller någon annanstans (dvs. på webbplatser som tillhör tredje part). Riktade marknadsförare kan ha egna webbplatser och appar, där de kan integrera särskilda affärsverktyg eller funktioner för sociala medier, såsom sociala pluginprogram eller inloggningar, eller genom att använda programmeringsgränssnitt (API) eller programutvecklingssatser som erbjuds av leverantörer av sociala medier.
4.4 Andra relevanta aktörer
Riktade marknadsförare kan direkt använda mekanismer för riktad marknadsföring som erbjuds av leverantörer av sociala medier eller anlita tjänster från andra aktörer, såsom leverantörer av marknadsföringstjänster, nätverk för annonsering, annonsutbyte, plattformar på efterfråge- och utbudssidan, datahanteringsleverantörer och dataanalysföretag. Dessa aktörer ingår i det komplexa och föränderliga ekosystemet för marknadsföring på nätet (som ibland kallas adtech [annonseringsteknik]) som samlar in och behandlar uppgifter om enskilda personer (inbegripet användare av sociala medier) genom att till exempel spåra deras aktiviteter på webbplatser och appar . Andra relevanta aktörer som spelar en viktig roll när det gäller riktad marknadsföring mot användare av sociala medier är datamäklare och datahanteringsleverantörer. Datamäklare och datahanteringsleverantörer skiljer sig från andra annonseringsteknikföretag genom att de inte bara behandlar data som samlats in med hjälp av spårningsteknik, utan också data som samlats in från andra källor, som kan omfatta källor både online och offline. Med andra ord sammanställer datamäklare och datahanteringsleverantörer data som samlats in från en mängd olika källor, som de sedan kan sälja till andra intressenter som är involverade i förfarandet för riktad marknadsföring .
Även om var och en av de övriga aktörer till vilka hänvisas ovan kan spela en viktig roll i vid riktad marknadsföring mot användare av sociala medier, ligger fokus i de nuvarande riktlinjerna på fördelningen av roller och skyldigheter avseende dataskydd från leverantörer av sociala medier och
riktade marknadsförare. Liknande överväganden kan emellertid vara tillämpliga på andra aktörer som är involverade i ekosystemet för marknadsföring på nätet, beroende på den roll som varje aktör har i förfarandet för riktad marknadsföring.
4.5 Roller och ansvarsområden
För att klargöra respektive roller och ansvarsområden för leverantörer av sociala medier och riktade marknadsförare är det viktigt att beakta relevant rättspraxis från EU-domstolen. Domarna i målen Wirtschaftsakademie (C-210/16), Jehovas vittnen (C 25/17) och Fashion ID (C-40/17) är särskilt relevanta i detta avseende.
Utgångspunkten för analysen är den rättsliga definitionen av personuppgiftsansvarig. Enligt artikel 4.7 i dataskyddsförordningen avses med personuppgiftsansvarig ”en fysisk eller juridisk person […] som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter”.
I målet Wirtschaftsakademie slog EU-domstolen fast att administratören av en så kallad fanpage på Facebook ska anses medverka till att fastställa ändamålen och medlen för behandlingen av personuppgifter. Enligt de uppgifter som lämnats till EU-domstolen framgick det att skapandet av en fanpage från administratörens sida innebär en åtgärd för konfiguration, vilket inverkar på behandlingen av personuppgifter för ändamålet att upprätta statistik med utgångspunkt i besöken på nämnda fanpage . Med hjälp av de filter som ställs till förfogande av Facebook kan administratören fastställa de kriterier på grundval av vilka denna statistik upprättas och även bestämma de kategorier av personer, vilkas personuppgifter kommer att användas av Facebook enligt följande:
”Administratören av en fanpage får begära att erhålla demografiska uppgifter om målgruppen – uppgifter som således behandlas – särskilt tendenser vad gäller ålder, kön, yrke och relationer, livsstil och intressen hos målgruppen samt uppgifter om inköp och köpmönster online för besökare på sidan, de kategorier av varor eller tjänster som är av störst intresse för dem, liksom geografiska uppgifter som gör det möjligt för administratören att genomföra särskilda reklamkampanjer eller anordna evenemang och mer generellt bättre rikta den information som erbjuds.”
Eftersom fastställandet av åtgärder bland annat beror på administratörens målgrupp och ”styrningen av marknadsföringen av dess verksamhet”, medverkar administratören också till att fastställa ändamålen och medlen för behandlingen av personuppgifter33. Administratören betraktades därför som en personuppgiftsansvarig som tillsammans med leverantören av sociala medier var ansvarig för behandlingen av personuppgifter om besökarna på dess ”sida”. Såsom vidareutvecklas i avsnitt 9 i dessa riktlinjer kan personuppgiftsansvariga vara involverade i olika skeden av behandlingen av personuppgifter och i olika utsträckning. Under sådana omständigheter ska graden av ansvar för var och en av dem bedömas utifrån alla relevanta omständigheter i det enskilda fallet och EU-domstolen har påpekat att ”den omständigheten att det finns ett gemensamt ansvar inte nödvändigtvis behöver innebära att de olika aktörer som medverkar vid behandlingen av personuppgifter har likvärdigt ansvar. Tvärtom kan dessa aktörer vara involverade i olika skeden av behandlingen och i olika utsträckning,
så att ansvaret för var och en av dem ska bedömas med beaktande av alla relevanta omständigheter i fråga” .
Samtidigt som EU-domstolen slog fast att administratören av en sida agerar i egenskap av personuppgiftsansvarig tillsammans med Facebook, konstaterade den också att det i första hand var Facebook som i förevarande fall ska anses bestämma ändamålen och medlen för behandlingen av personuppgifter för användare av Facebook och för personer som besöker en fanpage som Facebook hyser .
I målet Fashion ID slog EU-domstolen fast att en webbplatsoperatör kan betraktas som personuppgiftsansvarig när den integrerar ett socialt insticksprogram från Facebook på sin webbplats som gör att en besökares webbläsare överför personuppgifter om besökaren till Facebook . Klassificeringen av webbplatsoperatören som personuppgiftsansvarig är dock begränsad till den behandling eller den gemensamma behandling av personuppgifter som den faktiskt bestämmer ändamålen och medlen för. I detta särskilda fall ansåg EU-domstolen att webbplatsoperatören endast tillsammans med Facebook kan bestämma ändamålen och medlen för insamling och utlämnande genom översändande av vissa av webbplatsbesökarnas personuppgifter. EU-domstolen slog därför fast att när det gäller integreringen av ett socialt insticksprogram på en webbplats är webbplatsoperatörens ansvar
”begränsat till den behandling eller den gemensamma behandling av personuppgifter som den faktiskt bestämmer ändamålen och medlen för” .
EU-domstolen ansåg att webbplatsoperatören inte var personuppgiftsansvarig för senare38 åtgärder i den behandling av personuppgifter som utförs av Facebook efter det att uppgifterna har utlämnats till den senare, eftersom webbplatsoperatören inte kunde bestämma ändamålen och medlen för dessa åtgärder genom att integrera det sociala insticksprogrammet
”Däremot framstår det med hänsyn till dessa uppgifter, vid första anblicken, som uteslutet att Fashion ID fastställer ändamålen och medlen för de senare åtgärderna i den behandling av personuppgifter som utförs av Facebook Ireland efter det att uppgifterna har utlämnats till den senare, så att Fashion ID inte kan anses vara ansvarig för dessa åtgärder […]” .
Vid gemensamt personuppgiftsansvar är personuppgiftsansvariga enligt artikel 26.1 i dataskyddsförordningen skyldiga att införa ett arrangemang som under öppna former fastställer deras respektive ansvar för att fullgöra skyldigheterna enligt dataskyddsförordningen, särskilt vad gäller
utövandet av den registrerades rättigheter och sina respektive skyldigheter att tillhandahålla den information som avses i artiklarna 13 och 14 i dataskyddsförordningen.
I följande avsnitt klargörs, genom konkreta exempel, vilka roller riktade marknadsförare och leverantörer av sociala medier har i förhållande till olika mekanismer för riktad marknadsföring. Särskilda överväganden görs framför allt när det gäller hur kraven på laglighet och ändamålsbegränsning ska tillämpas i detta sammanhang. Därefter analyseras kraven på öppenhet, konsekvensbedömningar avseende dataskydd och behandling av särskilda kategorier av uppgifter. Slutligen behandlar riktlinjerna skyldigheten för gemensamma personuppgiftsansvariga att införa ett lämpligt arrangemang i enlighet med artikel 26 i dataskyddsförordningen, med beaktande av graden av ansvar från den riktade marknadsföraren och leverantören av sociala medier.
5 ANALYS AV OLIKA MEKANISMER FÖR RIKTAD MARKNADSFÖRING
5.1 Översikt
Användare av sociala medier kan bli föremål för riktad marknadsföring på grundval av tillhandahållna, observerade, härledda eller avledda data, samt en kombination av dessa enligt följande:
a) Riktad marknadsföring mot enskilda personer på grundval av tillhandahållna data – tillhandahållna data avser information som den registrerade aktivt lämnar till leverantören av sociala medier och/eller den riktade marknadsföraren . Detta kan exempelvis omfatta följande:
En användare av sociala medier kan ange sin ålder i beskrivningen i sin användarprofil. Leverantören av sociala medier kan i sin tur möjliggöra riktad marknadsföring på grundval av detta kriterium.
En riktad marknadsförare kan använda information som den registrerade har tillhandahållit för att rikta specifik marknadsföring mot den personen, till exempel med hjälp av kunduppgifter (t.ex. en e-postadresslista), för att kombinera dessa med uppgifter som redan finns på plattformen för sociala medier, vilket leder till att alla användare som uppfyller kriterierna erhåller riktad reklam .
b) Riktad marknadsföring på grundval av observerade data – riktad marknadsföring mot användare av sociala medier kan också äga rum på grundval av observerade data . Observerade data är data som tillhandahålls av den registrerade genom användning av en tjänst eller en enhet . Riktad marknadsföring mot en viss användare av sociala medier kan exempelvis tillhandahållas på grundval av
användarens aktivitet på själva plattformen för sociala medier (t.ex. det innehåll som användaren har delat, tittat på eller gillat),
användning av utrustning på vilken applikationen för sociala medier tillämpas (t.ex. GPSkoordinater, mobiltelefonnummer),
data som erhållits av en tredjepartsutvecklare med användning av programmeringsgränssnitt (API) eller programutvecklingssatser som erbjuds av leverantörer av sociala medier,
uppgifter som samlats in via webbplatser från tredje part som har integrerat sociala pluginprogram eller pixlar,
data som samlats in via andra tredje parter (t.ex. parter med vilka den registrerade har interagerat, köpt en produkt ifrån, anmält sig för kundkort) eller
data som samlats in genom tjänster som erbjuds av företag som ägs eller drivs av leverantören av sociala medier. c) Riktad marknadsföring på grundval av härledda data – ”härledda data” eller ”avledda data” skapas av den personuppgiftsansvarige på grundval av de uppgifter som den registrerade tillhandahållit eller som den personuppgiftsansvarige observerat . En leverantör av sociala medier eller en riktad marknadsförare kan till exempel härleda att en person sannolikt är intresserad av en viss verksamhet eller produkt på grund av dennes sökbeteende på nätet och/eller nätverksanslutningar.
5.2 Riktad marknadsföring på grundval av tillhandahållna data 5.2.1 Data som användaren tillhandahåller leverantören av sociala medier
Enskilda personer kan aktivt lämna ut mycket information om sig själva när de använder sociala medier. Skapandet av ett konto på sociala medier (eller en ”profil”) innebär att ett antal uppgifter lämnas ut, vilket bland annat kan omfatta namn, födelsedatum, kön, bostadsort, språk osv. Beroende på vilken typ av plattform för sociala medier det är frågan om kan användarna inkludera ytterligare information såsom relationsstatus, intressen eller nuvarande anställning. Personuppgifter som tillhandahålls av användare av sociala medier kan användas av leverantören av sociala medier för att ta fram kriterier som gör det möjligt för riktade marknadsförare att rikta specifika budskap till användare av sociala medier.
Exempel 1:
Företag X säljer herrskor och vill marknadsföra en rea på sin vinterkollektion. Vid sin reklamkampanj vill företaget rikta sin marknadsföring mot män mellan 30 och 45 år som har angett att de är singel i sin profil på sociala medier. Det använder motsvarande kriterier för riktad marknadsföring som erbjuds av leverantören av sociala medier som parametrar för att identifiera den målgrupp för vilken dess annons ska visas. Dessutom anger den riktade marknadsföraren att annonsen bör visas för användare av sociala medier medan de använder sociala medietjänster mellan kl. 17 och kl. 20. För att möjliggöra riktad marknadsföring mot användare av sociala medier på grundval av specifika kriterier har leverantören av sociala medier tidigare fastställt vilka typer av personuppgifter som ska användas för att utveckla kriterierna för den riktade marknadsföringen och vilka kriterier som ska erbjudas.
Leverantören av sociala medier förmedlar också viss statistisk information till den riktade marknadsföraren när reklamen har visats (t.ex. för att rapportera om den demografiska sammansättningen hos de personer som har reagerat på annonsen).
A. Roller
I exempel 1 deltar både den riktade marknadsföraren och leverantören av sociala medier vid fastställandet av ändamålet och medlen för behandlingen av personuppgifter. Detta leder till att annonsen visas för målgruppen.
När det gäller fastställandet av ändamålet bestämmer företag X och leverantören av sociala medier gemensamt ändamålet med behandlingen, nämligen att visa en viss annons för en grupp enskilda personer (i detta fall användare av sociala medier) som utgör målgruppen, genom att välja tillgängliga kriterier för riktad marknadsföring för dessa användare för att nå en publik som sannolikt är intresserad och tillhandahålla dem mer relevant annonsinnehåll. Samma behandling medför även ömsesidiga fördelar, vilket utgör en ytterligare indikator på att de syften som eftersträvas av företag X och leverantören av sociala medier är oupplösligt förbundna med varandra .
När det gäller fastställandet av medlen bestämmer den riktade marknadsföraren och leverantören av sociala medier dessa gemensamt, vilket leder fram till den riktade marknadsföringen. Den riktade marknadsföraren deltar i fastställandet av medlen genom att välja att använda de tjänster som leverantören av sociala medier erbjuder och genom att begära att leverantören riktar marknadsföringen mot en publik på grundval av vissa kriterier (t.ex. åldersintervall, relationsstatus, tidpunkt för visning) . I samband med detta fastställer den riktade marknadsföraren kriterierna för hur den riktade marknadsföringen ska genomföras och föreskriver de kategorier av personer vars personuppgifter ska användas. Leverantören av sociala medier har i sin tur beslutat att behandla sina användares personuppgifter för att utveckla de kriterier för riktad marknadsföring som leverantören gör tillgängliga för den riktade marknadsföraren . I detta syfte har leverantören av sociala medier fattat vissa beslut rörande de viktigaste metoderna för behandlingen, till exempel vilka kategorier av uppgifter som ska behandlas, vilka kriterier för riktade marknadsföring som ska erbjudas och vem som ska ha tillgång till (vilka typer av) personuppgifter som behandlas i samband med en särskild riktad marknadsföringskampanj .
För fullständighetens skull noterar EDPB att leverantören av sociala medier inte kan betraktas som personuppgiftsansvarig enligt definitionen i artikel 4.8 i dataskyddsförordningen. I exempel 1 kan de kriterier för riktad marknadsföring som leverantören av sociala medier har utvecklat på grundval av användarens personuppgifter användas av leverantören för framtida behandling, vilket visar att sistnämnda part inte kan betraktas som personuppgiftsansvarig. Leverantören av sociala medier förefaller inte heller enbart behandla uppgifterna för företag X räkning och i enlighet med dess instruktioner.
Den gemensamma kontrollen från den riktade marknadsföraren och leverantören av sociala medier omfattar endast sådan behandling för vilken de på ett effektivt sätt gemensamt fastställer ändamålen och medlen. Detta omfattar behandling av personuppgifter som härrör från valet av relevanta kriterier för riktad marknadsföring och visningen av annonsen för målgruppen. Vidare omfattas även behandling av personuppgifter som utförs av leverantören av sociala medier för att informera den riktade marknadsföraren om resultaten från den riktade marknadsföringskampanjen. Det gemensamma ansvaret omfattar emellertid inte verksamhet som inbegriper behandling av personuppgifter i andra stadier som äger rum före valet av relevanta kriterier för riktad marknadsföring eller efter det att den riktade marknadsföringen och rapporteringen har slutförts (t.ex. utvecklingen av nya kriterier för riktad marknadsföring av leverantören av sociala medier på grundval av slutförda riktade marknadsföringskampanjer) och i vilka den riktade marknadsföraren inte har deltagit vid fastställandet av ändamålen och medlen, och på samma sätt deltar i princip inte heller leverantören av sociala medier i planeringsfasen för en riktad marknadsföringskampanj, innan den riktade marknadsföraren tar kontakt med leverantören av sociala medier .
Ovanstående analys påverkas inte heller om den riktade marknadsföraren endast anger parametrarna för den avsedda målgruppen och inte har tillgång till de berörda användarnas personuppgifter. För ett gemensamt ansvar från flera aktörer för samma behandling krävs inte att var och en av dem har tillgång till de berörda personuppgifterna . EDPB erinrar om att faktisk tillgång till personuppgifter inte är en förutsättning för gemensamt ansvar .
B. Rättslig grund
I egenskap av gemensamt personuppgiftsansvariga måste båda parter (leverantören av sociala medier och den riktade marknadsföraren) kunna visa att det föreligger en rättslig grund (artikel 6 i dataskyddsförordningen) för att motivera den behandling av personuppgifter för vilken var och en av de gemensamt personuppgiftsansvariga är ansvariga. EDPB påminner om att det inte finns någon särskild hierarki mellan de olika lagliga grunderna i dataskyddsförordningen. Däremot måste den personuppgiftsansvarige se till att den lagliga grund som valts överensstämmer med syftet med och sammanhanget för behandlingen i fråga. Fastställandet av den lämpliga lagliga grunden är kopplat till principerna om rättvisa och ändamålsbegränsning .
I allmänhet finns det två rättsliga grunder som skulle kunna motivera en behandling som stöder riktad marknadsföring mot användare av sociala medier, nämligen den registrerades samtycke (artikel 6.1 a i dataskyddsförordningen) eller berättigade intressen (artikel 6.1 f i dataskyddsförordningen). En personuppgiftsansvarig måste alltid överväga vilken rättslig grund som är lämplig under de aktuella omständigheterna. När det gäller leverantörer av sociala medier kan artikel 6.1 b i dataskyddsförordningen inte utgöra laglig grund för onlinereklam enbart på grund av att denna reklam indirekt finansierar tillhandahållandet av deras tjänster. Detsamma gäller för den riktade marknadsföraren, eftersom riktad marknadsföring mot användare av sociala medier inte kan betraktas som en inneboende aspekt av någon tjänst eller anses nödvändig för att fullgöra ett avtal med användaren . Även om individanpassning av innehåll under vissa omständigheter kan utgöra ett inneboende och förväntat inslag i vissa onlinetjänster , är artikel 6.1 b i dataskyddsförordningen knappast tillämplig när det gäller riktad marknadsföring mot användare av sociala medier, vilket illustreras i exemplen i dessa riktlinjer .
Vad gäller berättigade intressen erinrar EDPB om att EU-domstolen i Fashion ID upprepade att för att en behandling ska kunna åberopa berättigade intressen bör tre kumulativa villkor vara uppfyllda, nämligen i) förekomsten av ett berättigat intresse hos den personuppgiftsansvarige eller hos den eller de tredje män till vilka uppgifterna lämnas ut, ii) att behandlingen av personuppgifter är nödvändig för det berättigade intresse som eftersträvas och iii) att den berörda personens grundläggande fri- och rättigheter inte ska ges företräde. EU-domstolen preciserade också att i en situation där det finns flera gemensamt personuppgiftsansvariga ”ska både webbplatsoperatören och tjänsteleverantören ha ett berättigat intresse […] för att dessa behandlingar ska tillåtas”.
När det gäller exempel 1 kan den riktade marknadsföraren anse att dess berättigade intresse utgörs av det ekonomiska intresset av att öka reklamen för sina varor genom riktad marknadsföring på sociala medier. Leverantören av sociala medier skulle kunna anse att dess berättigade intresse består i att göra den sociala medietjänsten lönsam genom att sälja annonsutrymme. Huruvida den riktade marknadsföraren och leverantören av sociala medier kan åberopa artikel 6.1 f i dataskyddsförordningen som rättslig grund beror på om alla tre kumulativa villkor är uppfyllda, vilket EU-domstolen nyligen har upprepat. Även om den riktade marknadsföraren och leverantören av sociala medier anser att deras ekonomiska intressen är berättigade innebär det inte nödvändigtvis att de faktiskt kommer att kunna åberopa artikel 6.1 f i dataskyddsförordningen.
Den andra delen av avvägningstestet innebär att de gemensamt personuppgiftsansvariga behöver fastställa att behandlingen är nödvändig för att uppnå dessa berättigade intressen. För en sådan ”nödvändighet” krävs att det finns ett samband mellan behandlingen och de intressen som eftersträvas. Kravet på ”nödvändighet” är särskilt relevant vid tillämpningen av artikel 6.1 f, för att säkerställa att behandling av uppgifter som grundar sig på berättigade intressen inte leder till en
otillbörligt extensiv tolkning av behovet av att behandla uppgifter. Liksom i andra situationer innebär detta att man bör överväga om det finns andra mindre ingripande medel som tjänar samma ändamål .
Det tredje steget vid bedömningen huruvida den riktade marknadsföraren och leverantören av sociala medier kan åberopa artikel 6.1 f i dataskyddsförordningen som rättslig grund för behandling av personuppgifter är den avvägning som krävs för att fastställa huruvida den registrerades intressen eller grundläggande rättigheter och friheter ska ha företräde framför det aktuella berättigade intresset .
EDPB erinrar om att i fall där en personuppgiftsansvarig avser att hänvisa till ett berättigat intresse måste skyldigheten att lämna insyn och rätten att göra invändningar noggrant beaktas. Registrerade bör ges möjlighet att invända mot behandlingen av deras uppgifter för riktad marknadsföring innan behandlingen inleds. Användare av sociala medier bör inte bara ges möjlighet att invända mot visning av riktad reklam när de får tillgång till plattformen, utan också erhålla kontroller som säkerställer att någon bakomliggande behandling av deras personuppgifter för riktad marknadsföring inte längre äger rum efter det att de har invänt mot behandlingen.
En riktad marknadsförare som vill åberopa ett berättigat intresse bör å sin sida göra det enkelt för enskilda att på förhand göra invändningar mot användningen av sociala medier för riktad marknadsföring. Om den riktade marknadsföraren inte har någon direkt samverkan med den registrerade bör denne emellertid åtminstone säkerställa att plattformen för sociala medier ger den registrerade möjlighet att använda sin rätt att invända i förväg på ett effektivt sätt. I egenskap av gemensamt personuppgiftsansvariga bör den riktade marknadsföraren och leverantören av sociala medier klargöra hur enskildas rätt att göra invändningar (liksom andra rättigheter) kommer att tillgodoses inom ramen för det gemensamma arrangemanget (se avsnitt 6). Om avvägningen visar att den registrerades intressen eller grundläggande rättigheter och friheter väger tyngre än det berättigade intresset från leverantören av sociala medier och den riktade marknadsföraren är det inte möjligt att åberopa artikel 6.1 f.
Vad gäller den lagliga grunden för samtycke måste den personuppgiftsansvarige ha i åtanke att det uppenbarligen finns situationer där behandlingen inte är laglig utan giltigt samtycke från de berörda personerna (artikel 6.1 a i dataskyddsförordningen). Till exempel har artikel 29-arbetsgruppen tidigare uppgett att det skulle vara svårt för personuppgiftsansvariga att motivera användningen av berättigade intressen som laglig grund för profilering som innebär intrång i den personliga integriteten och spårning i marknadsförings- eller reklamsyfte, t.ex. för att spåra enskilda personer på flera olika webbplatser, platser, enheter, tjänster eller för datamäklarverksamhet .
För att det samtycke som samlats in för behandlingen ska vara giltigt måste det uppfylla villkoren i artiklarna 4.11 och 4.7 i dataskyddsförordningen. I allmänhet kan samtycke endast vara en lämplig rättslig grund om en registrerad erbjuds kontroll och ett verkligt val. Om samtycke ingår som en ej förhandlingsbar del av villkoren antas samtycket inte vara frivilligt. Samtycket måste också vara specifikt, informerat och otvetydigt och den registrerade måste kunna vägra eller återkalla sitt samtycke utan problem .
Samtycke (artikel 6.1 a i dataskyddsförordningen) skulle kunna övervägas, förutsatt att alla krav för giltigt samtycke är uppfyllda. EDPB erinrar om att det faktum att samtycke har erhållits inte heller innebär att man kan kringgå eller på något sätt förminska den personuppgiftsansvariges skyldigheter att iaktta principerna för behandling i dataskyddsförordningen, särskilt artikel 5, i fråga om korrekthet, nödvändighet och proportionalitet samt datakvalitet. Även om behandlingen av personuppgifter grundar sig på den registrerades samtycke rättfärdigar detta inte riktad marknadsföring som är oproportionerlig eller orättvis .
Slutligen anser EDPB att den behandling av personuppgifter som beskrivs i exempel 1 inte kan motiveras på grundval av artikel 6.1 b vare sig av den sociala plattformen eller av den riktade marknadsföraren .
5.2.2 Uppgifter som användaren av plattformen för sociala medier lämnar till den riktade marknadsföraren
Riktade marknadsföring kan även omfatta uppgifter som den registrerade tillhandahåller den riktade marknadsföraren, vilken sedan använder de insamlade uppgifterna för riktad marknadsföring till den registrerade på sociala medier. Riktad marknadsföring som baseras på sammanställningar förekommer till exempel när en riktad marknadsförare laddar upp befintliga förteckningar över personuppgifter (t.ex. e-postadresser eller telefonnummer) så att leverantören av sociala medier kan matcha dessa med informationen på plattformen. I detta fall jämför leverantören av sociala medier de uppgifter som har laddats upp av den riktade marknadsföraren med användardata som leverantören redan har, och eventuella användare som matchar läggs till eller tas bort från målgruppen (det vill säga det ”kluster” av personer för vilka annonsen kommer att visas på plattformen för sociala medier). Leverantören av sociala medier kan också låta den riktade marknadsföraren ”kontrollera” sammanställningen innan den färdigställs, vilket innebär att viss behandling äger rum redan innan målgruppen har skapats.
Exempel 2:
Jones kontaktar bank X för att boka tid för ett eventuellt hypotekslån eftersom hon ska köpa ett hus. Hon kontaktar banken via e-post för att boka tid. Efter besöket beslutar Jones att inte bli kund i banken. Banken har dock lagt till Jones e-postadress i sin kunddatabas med e-postadresser. Banken använder sedan sin databas över e-postadresser så att leverantören av sociala medier kan ”matcha” sin sammanställning över e-postadresser med de som plattformen för sociala medier innehar, för att nå ut till berörda personer med hela sitt utbud av finansiella tjänster genom riktad marknadsföring på plattformen för sociala medier.
Exempel 3:
Lopez har varit kund hos bank X i nästan ett år. När han blev kund angav han en e-postadress och bank X informerade honom vid tidpunkten för insamlingen om att a) hans e-postadress skulle användas för marknadsföring av erbjudanden kopplade till de banktjänster som han redan använder, och b) att han när som helst kan invända mot denna behandling. Banken har lagt till hans e-postadress i sin kunddatabas med e-postadresser. Därefter använder banken sin databas med e-postadresser för att nå sina kunder på plattformen för sociala medier med riktad marknadsföring om alla de finansiella tjänster som banken erbjuder .
A. Roller
I dessa exempel fungerar den riktade marknadsföraren, dvs. banken, som personuppgiftsansvarig, eftersom banken fastställer ändamålen och medlen för behandlingen genom att aktivt samla in, behandla och överföra personuppgifter om de berörda personerna till leverantören av sociala medier i reklamsyfte. Leverantören av sociala medier fungerar i sin tur som personuppgiftsansvarig eftersom den har fattat beslutet att använda personuppgifter som förvärvats från användaren av sociala medier (dvs. den e-postadress som denne angett när han eller hon skapade sitt konto) för att göra det möjligt för den riktade marknadsföraren att visa reklam för en viss publik av enskilda personer.
Det finns ett gemensamt personuppgiftsansvar när det gäller den behandling för vilken leverantören av sociala medier och den riktade marknadsföraren gemensamt fastställer ändamålen och medlen, i detta fall genom att ladda upp unika identifierare för den avsedda målgruppen, matchning, val av kriterier för riktad marknadsföring och efterföljande visning av annonsen, samt all rapportering som rör den riktade marknadsföringskampanjen .
I båda exemplen fungerar banken som ensam personuppgiftsansvarig vad gäller den första insamlingen av e-postadresser från Jones respektive Lopez. Leverantören av sociala medier deltar inte på något sätt för att fastställa medlen och ändamålen med denna insamling. Det gemensamma ansvaret börjar med överföringen av personuppgifterna och den samtida insamlingen av dem från leverantören av sociala medier. Det fortsätter under hela visningen av den riktade marknadsföringen och upphör (i de flesta fall) när en efterföljande rapporteringsfas är avslutad. I vissa fall kan det gemensamma personuppgiftsansvaret förlängas ytterligare, även fram till det skede när uppgifterna raderas om den riktade marknadsföraren fortfarande deltar vid fastställandet av ändamålen och medlen.
Skälet till att banken agerar som ensam personuppgiftsansvarig när den samlar in e-postadresserna från Jones respektive Lopez är att insamlingen av uppgifter sker före (och inte är oupplösligt kopplad
till) den riktade marknadsföringskampanjen. I detta fall måste man därför skilja mellan den första serien behandlingar för vilka endast banken är personuppgiftsansvarig och en efterföljande behandling för vilken det föreligger gemensamt ansvar. Bankens ansvar omfattar inte transaktioner som genomförs efter det att den riktade marknadsföringen och rapporteringen har slutförts och där den riktade marknadsföraren inte har deltagit vid fastställandet av ändamålen och medlen och för vilka leverantören av sociala medier fungerar som ensam personuppgiftsansvarig.
B. Rättslig grund
I Exempel 2 utgör artikel 6.1 f i dataskyddsförordningen inte en lämplig rättslig grund för att motivera behandlingen, med hänsyn till det sammanhang i vilket personuppgifterna tillhandahölls. Jones kontaktade nämligen enbart banken i syfte att boka ett möte, varefter hon meddelade att hon inte hade för avsikt att utnyttja de tjänster som banken erbjöd. Man kan därför anse att Jones inte rimligen kan förvänta sig att hennes personuppgifter ska användas för riktad marknadsföring (”ny målinriktning”). Dessutom skulle ett förenlighetstest enligt artikel 6.4 i dataskyddsförordningen sannolikt leda till att denna behandling inte är förenlig med det ändamål för vilket personuppgifterna ursprungligen samlades in.
I exempel 3 skulle den riktade marknadsföraren kunna åberopa ett berättigat intresse för att motivera behandlingen, bland annat med beaktande av att Lopez a) har informerats om att hans e-postadress kan komma att användas i reklamsyfte via sociala medier för tjänster som är kopplade till den tjänst som han använder, b) annonsen avser tjänster som liknar dem som Lopez redan är kund för och c) Lopez fick möjlighet att göra invändningar före behandlingen, vid den tidpunkt då banken samlade in personuppgifterna. EDPB vill dock klargöra att fullgörandet av informationskraven enligt artiklarna 13 och 14 i dataskyddsförordningen och den intresseavvägning som ska göras enligt artikel 6.1 f i dataskyddsförordningen utgör två olika uppsättningar med skyldigheter. Ett rent fullgörande av informationsskyldigheten enligt artiklarna 13 och 14 i dataskyddsförordningen utgör därför inte en åtgärd för insyn som ska beaktas vid intresseavvägningen enligt artikel 6.1 f i dataskyddsförordningen.
5.3 Riktad marknadsföring på grundval av observerade data
Det finns flera sätt på vilka leverantörer av sociala medier kan observera sina användares beteende. Till exempel är observation möjlig genom den sociala medietjänsten i sig eller kan även vara möjlig på externa webbplatser genom sociala insticksprogram eller pixlar.
Exempel 4: Pixelbaserad riktad marknadsföring
Schmidt surfar på nätet för att köpa en ryggsäck. Han besöker webbplatsen BestBags.com, tittar på ett antal varor, men beslutar att inte köpa någonting. Operatören för BestBags.com vill rikta marknadsföring mot användare av sociala medier som har besökt dess webbplats utan att göra något inköp. I detta syfte integrerar operatören en så kallad spårningspixel på sin webbplats, som görs tillgänglig av leverantören av sociala medier. Efter att ha lämnat BestBags.coms webbplats och loggat in på sitt konto på sociala medier börjar Schmidt se reklam för de ryggsäckar han tittade på när han surfade på BestBags.com.
Exempel 5: Geografisk riktad marknadsföring
Michu har installerat en applikation från en leverantör av sociala medier på sin smarttelefon. Hon promenerar i Paris under sin semester. Leverantören av sociala medier samlar fortlöpande in information om var Michu befinner sig via GPS-funktionerna i hennes smarttelefon , med hjälp av de tillstånd som leverantören av sociala medier erhöll när applikationen installerades. Michu bor på ett hotell som ligger bredvid en pizzeria. Pizzerian använder funktionen för geografiskt riktad marknadsföring som leverantören av sociala medier erbjuder för att rikta marknadsföring till personer som för första gången under de senaste 6 månaderna befinner sig inom en km från anläggningen. När Michu öppnar applikationen för sociala medier på sin smarttelefon ser hon en annons från pizzerian, beslutar att hon är hungrig och köper en pizza via dess webbplats.
Exempel 6:
Ghorbani skapar ett konto på en plattform för sociala medier. Under registreringsförfarandet tillfrågas hon om hon samtycker till att hennes personuppgifter behandlas för att visa riktad reklam på hennes sida på sociala medier, på grundval av uppgifter som hon direkt tillhandahåller leverantören av sociala medier (såsom ålder, kön och plats), samt på grundval av hennes aktiviteter på andra webbplatser utanför plattformen för sociala medier med hjälp av cookies. Hon informeras om att dessa uppgifter kommer att samlas in via insticksprogram på sociala medier eller spårningspixlar och förfarandena beskrivs tydligt för henne samt det faktum att den riktade marknadsföringen omfattar andra enheter som är gemensamt ansvariga för att säkerställa överensstämmelse med dataskyddsförordningen. Vidare underrättas hon om att hon när som helst kan återkalla sitt samtycke och hon erhåller en länk till integritetspolicyn. Eftersom Ghorbani är intresserad av att se riktad reklam på sin sida på sociala medier lämnar hon sitt samtycke. Inga reklamkakor placeras eller samlas in förrän Ghorbani har ger sitt samtycke.
Senare besöker hon webbplatsen Thelatesthotnews.com som har en knapp för sociala media integrerad på webbplatsen. En liten men tydligt synlig banner visas i högra kanten på skärmen och ber Ghorbani att lämna samtycke till att hennes personuppgifter överförs till leverantören av sociala medier med hjälp av cookies och insticksprogram för sociala medier. Webbplatsoperatören har vidtagit tekniska åtgärder så att inga personuppgifter överförs till plattformen för sociala medier förrän hon gett sitt samtycke.
5.3.1 Roller
I Exempel 4 deltar både den riktade marknadsföraren och leverantören av sociala medier vid fastställandet av ändamålen och medlen för behandlingen av personuppgifter, vilket leder till att annonsen visas för Schmidt. Bestbags.com och leverantören av sociala medier fastställer gemensamt ändamålet med behandlingen, nämligen att visa en särskild annons på plattformen för sociala medier för de personer som ingår i målgruppen. Genom att integrera pixeln på sin webbplats utövar Bestbags.com ett avgörande inflytande på medlen för behandlingen. Insamlingen och överföringen av personuppgifter om webbplatsens besökare till leverantören av sociala medier skulle inte ha ägt rum utan integreringen av denna pixel. Leverantören av sociala medier har däremot utvecklat och erbjuder programkoden
(pixeln) som medför automatisk insamling, överföring och utvärdering av personuppgifter till leverantören av sociala medier för marknadsföringsändamål. Till följd av detta föreligger det ett gemensamt personuppgiftsansvar när det gäller insamling av personuppgifter och överföring av dessa genom pixlar, samt när det gäller matchningen och den efterföljande visningen av annonsen till Schmidt på den sociala plattformen och för all rapportering som rör den riktade marknadsföringskampanjen. Gemensamt personuppgiftsansvar föreligger också, av liknande skäl, i exempel 6.
I exempel 5 utövar pizzerian ett avgörande inflytande på behandlingen av personuppgifter genom att fastställa parametrarna för de riktade annonserna i överensstämmelse med sina affärsbehov (t.ex. pizzerians öppettider och geolokalisering av personer nära pizzerian under dessa tider), och måste därför anses delta vid fastställandet av ändamålen och medlen för uppgiftsbehandlingen. Leverantören av sociala medier har i sin tur samlat in information om var Michu befinner sig (via GPS) i syfte att möjliggöra sådan platsbaserad riktad reklam. Till följd av detta föreligger det ett gemensamt ansvar mellan den riktade marknadsföraren och den sociala plattformen när det gäller insamling och analys av var Michu befinner sig samt visningen av annonsen, i syfte att nå henne med den riktade annonsen (i egenskap av person som vistas inom en km från pizzerian för första gången under de senaste sex månaderna).
5.3.2 Rättslig grund
Eftersom exemplen 4, 5 och 6 omfattar användning av cookies, krävs det inledningsvis att de krav som följer av artikel 5.3 i direktivet om integritet och elektronisk kommunikation beaktas. I detta avseende bör det noteras att användarna enligt artikel 5.3 i direktivet om integritet och elektronisk kommunikation har tillgång till klar och fullständig information, bland annat om ändamålen 71 72 med behandlingen, innan de ger sitt samtycke , med förbehåll för mycket snäva undantag . Klar och fullständig information innebär att en användare enkelt kan avgöra konsekvenserna av ett eventuellt samtycke och säkerställer att det samtycke som ges är välinformerat . Mot denna bakgrund måste den personuppgiftsansvarige informera de registrerade om alla relevanta ändamål med behandlingen – inklusive eventuell senare behandling av personuppgifter som erhållits genom tillgång till information i terminalutrustningen. För att vara giltigt måste det samtycke som samlats in för genomförandet av spårningsteknik uppfylla villkoren i artikel 7 i dataskyddsförordningen . Till exempel är samtycket inte giltigt om användningen av cookies tillåts genom en av tjänsteleverantören på förhand ikryssad ruta som användaren måste avmarkera för att vägra samtycke . På grundval av skäl 32 kommer åtgärder som att bläddra eller svepa genom en webbsida eller liknande användarverksamhet inte under några omständigheter uppfylla kravet på en entydig bekräftande handling: Sådana åtgärder kan för en användare vara svåra att skilja från annan verksamhet eller interaktion och därför kommer det inte heller att vara möjligt att fastställa ett otvetydigt samtycke. I ett sådant fall kommer det dessutom att bli svårt att ge användaren en lika enkel möjlighet att återkalla sitt samtycke som det var för användaren att ge det .
Varje (gemensamt) personuppgiftsansvarig som vill åberopa samtycke som rättslig grund är ansvarig för att säkerställa att giltigt samtycke erhålls. I målet Fashion ID betonade EU-domstolen vikten av att säkerställa ett effektivt och omedelbart skydd av de registrerades rättigheter och att samtycke inte bör ges endast till den gemensamt personuppgiftsansvarige som senare deltar i behandlingen. Giltigt samtycke måste inhämtas före behandlingen, vilket innebär att (gemensamt) personuppgiftsansvariga behöver bedöma när och hur information bör lämnas och samtycke inhämtas. När det gäller frågan om vilken av de gemensamt personuppgiftsansvariga som ska ansvara för insamlingen av samtycket är det med andra ord avgörande vilken av dem som först har kontakt med den registrerade. I exempel 6 måste leverantören av sociala medier samla in ett giltigt samtycke innan denne placerar ut annonscookies, eftersom utplaceringen av cookies och behandlingen av personuppgifter sker vid den tidpunkt som kontot skapas.
EDPB noterar även att i ett fall där det erhållna samtycket ska åberopas av flera (gemensamt) personuppgiftsansvariga eller om uppgifterna ska överföras till eller behandlas av andra personuppgiftsansvariga som vill hänvisa till det ursprungliga samtycket, ska namnen på alla dessa organisationer anges . Om samtliga gemensamt personuppgiftsansvariga inte är kända vid den tidpunkt när leverantören av sociala medier begär samtycke, behöver den senare nödvändigtvis komplettera med ytterligare information och samtycke som samlats in av den webbplatsoperatör som integrerar plugin-programmet för sociala medier (dvs. Thelatesthotnews.com i exempel 6).
EDPB betonar att det samtycke som bör samlas in av webbplatsoperatören för överföring av personuppgifter som utlöses av dess webbplats (genom integreringen av ett socialt insticksprogram) endast avser den verksamhet eller den serie åtgärder som omfattar behandling av personuppgifter för vilken operatören faktiskt bestämmer ändamålen och medlen . En webbplatsoperatörs insamling av samtycke , exempelvis ”Thelatesthotnews.com” i exempel 6, varken upphäver eller på något sätt minskar skyldigheten för leverantören av sociala medier att se till att den registrerade har lämnat ett giltigt samtycke för den behandling för vilken denne är ansvarig i egenskap av gemensamt personuppgiftsansvarig , eller för eventuell efterföljande eller vidare behandling som webbplatsleverantören inte gemensamt fastställer ändamålen och medlen för (t.ex. efterföljande profileringsåtgärder för riktad marknadsföring).
Dessutom måste all efterföljande behandling av personuppgifter, inbegripet personuppgifter som erhållits genom cookies, sociala insticksprogram eller pixlar, också baseras på en rättslig grund enligt artikel 6 i dataskyddsförordningen för att vara laglig . När det gäller den rättsliga grunden för behandlingen i exemplen 4, 5 och 6 anser EDPB att ett berättigat intresse inte kan fungera som en lämplig rättslig grund, eftersom den riktade marknadsföringen bygger på övervakning av enskilda personers beteende på webbplatser och platser med hjälp av spårningsteknik .
Under sådana omständigheter är den lämpliga rättsliga grunden för all senare behandling enligt artikel 6 i dataskyddsförordningen sannolikt följaktligen också den registrerades samtycke. Vid bedömningen av efterlevnaden av artikel 6 i dataskyddsförordningen bör man beakta att behandlingen som helhet omfattar specifika verksamheter för vilka unionslagstiftaren har velat ge ytterligare skydd . Dessutom måste personuppgiftsansvariga ta hänsyn till inverkan på registrerades rättigheter när de fastställer lämplig rättslig grund för att respektera principen om rättvisa .
5.4 Riktad marknadsföring på grundval av härledda data
Med härledda uppgifter avses uppgifter som skapats av den personuppgiftsansvarige med hjälp av de uppgifter som den registrerade har lämnat (oavsett om dessa uppgifter observerades eller tillhandahölls aktivt av den registrerade, eller en kombination av dessa) . Slutsatser om registrerade kan dras både av leverantören av sociala medier och av den riktade marknadsföraren. Genom att övervaka användarnas beteende under en lång period, både på och utanför sociala medier (t.ex. vilka sidor som besökts, hur lång tid som tillbringats på varje sida, antal återkopplingar till sidan, sökord, hyperlänkar som följts, ”gilla-”markeringar) kan leverantören av sociala medier härleda information om intressen och andra egenskaper från användaren av de sociala medierna. På samma sätt kan det även vara möjligt för en riktad marknadsförare att härleda uppgifter om särskilda enskilda personer och använda denna kunskap genom riktad marknadsföring i form av annonser på den enskildes sida på sociala medier.
Exempel 7:
Delucca ”gillar” ofta bilder av den impressionistisk målare Pataolito som konstgalleriet ”Beautifulart” lagt upp på sin sida på sociala medier. Museum Z försöker locka till sig enskilda personer som är intresserade av impressionistiska målningar för sin kommande utställning. Museum Z använder följande kriterier för riktad marknadsföring som erbjuds av leverantören av sociala medier: ”intresserad av impressionism”, kön, ålder och bostadsort. Delucca får därefter riktad reklam från museum Z om museets kommande utställning på sin sida på sociala medier.
Exempel 8:
Leon har på sin sida på sociala medier angett att han är intresserad av idrott. Han har laddat ner en applikation på sin mobiltelefon för att följa de senaste resultaten från sina favoritsporter. På sin webbläsare har han ställt in webbsidan www.livesportsresults.com som sin hemsida på sin bärbara dator och använder ofta sin stationära dator på jobbet för att söka efter de senaste idrottsresultaten på internet. Han besöker också ett antal webbplatser för onlinespel. Leverantören av sociala medier spårar Leons aktiviteter på nätet i hans multipla enheter, dvs. hans bärbara dator, mobiltelefon och stationära dator. På grundval av denna aktivitet och all den information som Leon lämnat drar leverantören av sociala medier slutsatsen att han är intresserad av vadhållning på nätet. Dessutom har plattformen för sociala medier utvecklat kriterier för riktad marknadsföring som gör det möjligt för företag att rikta marknadsföring mot personer som sannolikt är impulsiva och har lägre inkomster. Det nätbaserade vadhållningsföretaget ”bestpaydayloans” vill rikta marknadsföring mot användare som är intresserade av vadhållning och som sannolikt kommer att satsa stora summor.
Det väljer därför de kriterier som leverantören av sociala medier erbjuder för riktad marknadsföring mot den publik för vilken dess annons ska visas.
5.4.1 Roller
När det gäller fastställandet av de olika aktörernas roller noterar EDPB följande: I exempel 7 föreligger det gemensamt personuppgiftsansvar mellan museum Z och leverantören av sociala medier avseende behandling av personuppgifter för riktad reklam, eftersom insamlingen av dessa uppgifter sker via ”gilla”-funktionen på plattformen för sociala medier, och den ”analys” som leverantören av sociala medier utför för att erbjuda kriteriet ”intresserad av impressionism” för riktad marknadsföring till den riktade marknadsföraren som passar syftet att slutligen visa annonsen . I exempel 8 föreligger det gemensamt ansvar mellan ”bestpaydayloans” och leverantören av sociala medier när det gäller den gemensamt fastställda behandlingen, i detta fall valet av kriterier för riktad marknadsföring och den efterföljande visningen av annonsen, samt all rapportering som har samband med den riktade marknadsföringskampanjen.
5.4.2 Rättslig grund
Riktad marknadsföring mot användare av sociala medier på grundval av härledda data för reklamändamål omfattar vanligtvis profilering . Artikel 29-arbetsgruppen har tidigare klargjort att enligt dataskyddsförordningen utgör profilering en automatisk behandling av personuppgifter för att bedöma personliga egenskaper, framför allt för att analysera eller göra förutsägelser om enskilda personer, och tillägger att ”[a]nvändningen av ordet ’bedöma’ tyder på att profileringen innebär någon form av bedömning av eller omdöme om en person” . Profilering kan vara laglig med hänvisning till någon av de rättsliga grunderna i artikel 6.1 i dataskyddsförordningen, förutsatt att denna rättsliga grund är giltig.
I exempel 7 är artikel 5.3 i direktivet om integritet och elektronisk kommunikation tillämplig, eftersom visningen av annonsen på Deluccas sida som hänför sig till målaren Pataolito kräver en läs- och skrivinsats för att matcha detta ”gillande” med den information som leverantören av sociala medier tidigare hade om henne. Därför krävs det samtycke för dessa åtgärder. När det gäller exempel 8 påminner EDPB om att personuppgiftsansvariga i fråga om automatiserat beslutsfattande som har rättsliga följder eller på liknande sätt i betydande grad påverkar den registrerade, kan åberopa följande undantag i enlighet med artikel 22 i dataskyddsförordningen:
den registrerades uttryckliga samtycke,
automatiserat beslutsfattande är nödvändigt för ingåendet eller fullgörande av ett avtal eller
tillåts enligt unionsrätten eller en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av.
Artikel 29-arbetsgruppen har redan konstaterat följande: ”I många typfall påverkar ett beslut om riktad reklam som grundas på profilering inte på liknande sätt i betydande grad enskilda individer [...].
Beroende på omständigheterna i det enskilda fallet kan beslutet dock få betydande följder. Det avgörande är
hur inträngande profileringsprocessen är, inbegripet om individer spåras på olika webbplatser, enheter och tjänster,
de berörda personernas förväntningar och önskemål,
hur reklamen är utformad, eller
om kunskap om de registrerades sårbarheter används” .
Om den profilering som utförs av leverantören av sociala medier sannolikt ”på liknande sätt i betydande grad påverkar” den registrerade ska artikel 22 vara tillämplig. En bedömning av huruvida den riktade marknadsföringen ”på liknande sätt i betydande grad påverkar” den registrerade måste göras av den personuppgiftsansvarige (eller i förekommande fall av de gemensamt personuppgiftsansvariga) i varje enskilt fall med hänvisning till de specifika omständigheterna kring den riktade marknadsföringen.
Under sådana omständigheter som beskrivs i exempel 8 kan visningen av annonser om vadhållning på nätet omfattas av artikel 22 i dataskyddsförordningen (eftersom den riktar sig till ekonomiskt sårbara personer som är intresserade av vadhållning på nätet och som kan få betydande negativ påverkan på dennes ekonomiska situation). I enlighet med artikel 22 krävs därför uttryckligt samtycke. Dessutom medför användningen av spårningsmetoder att artikel 5.3 i direktivet om integritet och elektronisk kommunikation blir tillämplig, vilket medför ett krav på föregående samtycke. Slutligen påminner EDPB om att den personuppgiftsansvarige måste göra en bedömning från fall till fall för att behandlingen ska vara laglig samt att ett erhållet samtycke inte minskar andra skyldigheter att iaktta kraven på rättvisa, nödvändighet, proportionalitet och datakvalitet, i enlighet med artikel 5 i dataskyddsförordningen.
6 ÖPPENHET OCH RÄTT TILL TILLGÅNG
I artikel 5.1 a i dataskyddsförordningen anges att personuppgifter ska behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den registrerade. I artikel 5.1 b i dataskyddsförordningen anges även att personuppgifter ska samlas in för särskilda, uttryckligt angivna och berättigade ändamål. Artiklarna 12, 13 och 14 i dataskyddsförordningen innehåller särskilda bestämmelser om den personuppgiftsansvariges skyldighet att lämna insyn. Slutligen anges i skäl 39 att ”[d]et bör vara klart och tydligt för fysiska personer hur personuppgifter som rör dem insamlas, används, konsulteras eller på annat sätt behandlas samt i vilken utsträckning personuppgifterna behandlas eller kommer att behandlas” .
Information som presenteras för de registrerade om det sätt på vilket deras personuppgifter behandlas bör alltid vara koncis, klar och tydlig, begriplig och lättillgänglig form och på ett klart och tydligt språk.
EDPB erinrar om att enbart användningen av ordet ”reklam” inte i sig är tillräcklig för att informera användarna om att deras verksamhet övervakas för riktade reklamändamål. Det bör göras klart för enskilda personer vilka typer av behandling som utförs och vad detta i praktiken innebär för den registrerade. De registrerade bör informeras på ett lättförståeligt språk om en profil skapas som bygger
på deras beteende på plattformen eller på den riktade marknadsförarens webbplats, av den sociala plattformen respektive av den riktade marknadsföraren, som ger information till användarna om de typer av personuppgifter som samlas in för att skapa sådana profiler och i slutändan möjliggör riktad marknadsföring och beteendestyrd annonsering från riktade marknadsförare . Användarna bör få relevant information direkt på skärmen, interaktivt och, när så är lämpligt eller nödvändigt, genom meddelanden på olika nivåer .
6.1 Det väsentliga innehållet i arrangemanget och den information som ska tillhandahållas (artikel 26.2 i dataskyddsförordningen)
Enligt artikel 26.1 i dataskyddsförordningen ska ”[g]emensamt personuppgiftsansvariga [...] under öppna former fastställa sitt respektive ansvar för att fullgöra skyldigheterna enligt denna förordning, särskilt vad gäller utövandet av den registrerades rättigheter och sina respektive skyldigheter att tillhandahålla den information som avses i artiklarna 13 och 14, genom ett inbördes arrangemang, såvida inte de personuppgiftsansvarigas respektive skyldigheter fastställs genom unionsrätten eller en medlemsstats nationella rätt som de personuppgiftsansvariga omfattas av. Inom ramen för arrangemanget får en gemensam kontaktpunkt för de personuppgiftsansvariga utses”.
Ett ytterligare uttryck för öppenhetsprincipen är skyldigheten att göra det väsentliga innehållet i det gemensamma arrangemanget för personuppgiftsansvar tillgängligt för den registrerade i enlighet med artikel 26.2 i dataskyddsförordningen. Enligt artikel 26 i dataskyddsförordningen ska gemensamt personuppgiftsansvariga vidta lämpliga åtgärder för att se till att de registrerade erhåller kännedom om ansvarsfördelningen. I princip måste den information som lämnas till den registrerade omfatta alla aspekter av uppgiftsbehandlingen som de gemensamt personuppgiftsansvariga ansvarar för. Den registrerade har rätt att redan från början få all information (även om planerad senare behandling med ett gemensamt personuppgiftsansvar), så att informationen är rättvis och lämplig. Närmare bestämt måste detta gemensamma arrangemang säkerställa att den registrerade kommer att erhålla den information som krävs enligt artiklarna 13 och 14 i dataskyddsförordningen, inbegripet om deras gemensamma eller nära förbundna ändamål, lagringsperioder, överföring till tredje part osv., som måste meddelas den registrerade när uppgifterna samlas in eller innan behandlingen inleds. Det behöver klargöras i arrangemanget var ansvaret ligger i detta avseende. För att uppfylla dessa krav måste ett sådant arrangemang innehålla (eller hänvisa till) tydlig och fullständig information om den behandling som den avser, i förekommande fall med förklaringar om de olika faserna i behandlingen samt de aktörer som omfattas . Även om båda gemensamt personuppgiftsansvariga omfattas av informationsskyldigheten när det föreligger ett gemensamt ansvar, kan de ömsesidigt avtala om att en av dem ska erhålla uppgiften att tillhandahålla den inledande informationen till registrerade, särskilt i fall där endast en av de personuppgiftsansvariga interagerar med användarna före behandlingen, till exempel på sin webbplats . Det informationsutbyte som ska tillhandahållas den registrerade bör utgöra en integrerad del av det gemensamma arrangemanget (t.ex. ett tillägg). Om en av de gemensamt personuppgiftsansvariga inte har all detaljerad information på grund av att den till exempel inte har kännedom om det exakta tekniska utförandet av behandlingen, ska den andra gemensamt
personuppgiftsansvarige tillhandahålla all nödvändig information så att denne kan ge den registrerade fullständig information i enlighet med artiklarna 13 och 14 i dataskyddsförordningen.
EDPB noterar att personuppgiftsansvariga inte är direkt ansvariga för att tillhandahålla den information som krävs enligt artiklarna 13 och 14 i dataskyddsförordningen i fråga om ytterligare behandling som inte omfattas av gemensamt personuppgiftsansvar. Den riktade marknadsföraren är därför inte direkt ansvarig för att tillhandahålla information om eventuell vidare behandling som kommer att utföras av plattformen för sociala medier .
EDPB betonar dock att den gemensamt personuppgiftsansvarige som avser att fortsätta att använda personuppgifterna har särskilda informationsskyldigheter vad gäller denna vidare behandling för vilken det inte föreligger något gemensamt ansvar, enligt artikel 14.4 i dataskyddsförordningen, samt skyldigheter att uppfylla kraven vid ytterligare behandling i enlighet med artikel 6.4. Till exempel kan den riktade marknadsföraren och leverantören av sociala medier komma överens om att den riktade marknadsföraren ska tillhandahålla viss information på uppdrag av leverantören av sociala medier. Leverantören av sociala medier har emellertid fortfarande det yttersta ansvaret för att se till att den registrerade har erhållit relevant information om all behandling som leverantören har kontroll över.
I exempel 3 (där Lopez har erhållit reklam som grundas på riktad marknadsföring från bank X på sin sida på sociala medier efter att banken laddat upp hans e-postadress till leverantören av sociala medier) måste banken informera Lopez om att hans e-postadress kommer att användas för reklam via leverantören av sociala medier med erbjudanden kopplade till banktjänsterna. All vidare behandling som utförs av leverantören av sociala medier måste vara laglig och förenlig med de ändamål för vilka banken samlade in uppgifterna.
I den mån leverantören av sociala medier planerar att behandla Lopez e-postadress ytterligare i ett annat syfte måste leverantören dessutom se till att Lopez får den information som krävs enligt artikel 14.4 i dataskyddsförordningen innan detta görs.
Leverantören av sociala medier och banken kan komma överens om att banken ska tillhandahålla Lopez relevant information på uppdrag av leverantören av sociala medier. Även om detta är fallet förblir leverantören av sociala medier ytterst ansvarig för att se till att den registrerade har fått relevant information om all behandling som denne (ensam) ansvarar för. Denna skyldighet är inte tillämplig om Lopez redan har erhållit information från banken om denna behandling, i enlighet med artikel 14.5 a i dataskyddsförordningen.
Dessa krav på öppenhet ska beaktas utan att det påverkar de särskilda skyldigheter som är tillämpliga på överväganden som rör den rättsliga grunden.
Varje gemensamt personuppgiftsansvarig ansvarar för att se till att det väsentliga innehållet i arrangemanget görs tillgängligt för den registrerade. I praktiken bör det väsentliga innehållet i
arrangemanget vara direkt tillgängligt på plattformen, hänvisas till i dess integritetspolicy, och även göras direkt tillgängligt via en länk, till exempel på den riktade marknadsförarens sida på plattformen för sociala medier eller i länkar som ”varför ser jag denna annons?”.
6.2 Rätt till tillgång (artikel 15)
Personuppgiftsansvariga måste göra det möjligt för användarna att på ett enkelt och fullständigt sätt utöva sina rättigheter i egenskap av registrerade. De registrerade bör ha tillgång till ett lättanvänt och effektivt verktyg för att säkerställa att de när som helst enkelt kan utöva alla sina rättigheter, särskilt rätten till radering, rätten att göra invändningar och rätten till tillgång i enlighet med artikel 15 i dataskyddsförordningen . Följande punkter är inriktade på hur och av vem rätten till tillgång bör tillgodoses i samband med riktad marknadsföring mot användare av sociala medier .
För att uppfylla kraven i artikel 15.1 i dataskyddsförordningen och för att säkerställa full insyn kan personuppgiftsansvariga i allmänhet överväga att införa en mekanism för att de registrerade ska kunna kontrollera sin profil, inbegripet uppgifter om den information och de källor som använts för att utveckla den. Registrerade bör kunna få reda på den riktade marknadsförarens identitet och personuppgiftsansvariga bör underlätta tillgången till information om den riktade marknadsföringen, inbegripet de kriterier som använts för denna, samt annan information som krävs enligt artikel 15 i dataskyddsförordningen .
När det gäller vilken typ av tillgång registrerade ska ges rekommenderas i skäl 63 att ”[o]m möjligt bör den personuppgiftsansvarige kunna ge fjärråtkomst till ett säkert system genom vilket den registrerade kan få direkt åtkomst till sina personuppgifter.” Särdragen från leverantörer av sociala medier – onlinemiljön, förekomsten av ett användarkonto – talar för att det är möjligt att enkelt ge den registrerade fjärråtkomst till de personuppgifter som rör honom eller henne i enlighet med artikel 15.1 och 15.2 i dataskyddsförordningen. Fjärråtkomst kan i detta fall betraktas som den lämpligaste åtgärden i den mening som avses i artikel 12.1 i dataskyddsförordningen, även med hänsyn till att detta är en typisk situation ”där mängden olika aktörer och den tekniska komplexiteten gör det svårt för den registrerade att veta och förstå om personuppgifter som rör honom eller henne samlas in, vem som gör det och för vilket syfte” (se skäl 58, där ”reklam på nätet” uttryckligen anges som konkret exempel). Dessutom bör användare av sociala medier som har erhållit riktad marknadsföring på begäran också få en kopia av de personuppgifter som rör dem i enlighet med artikel 15.3 i dataskyddsförordningen.
Enligt artikel 15.1 c i dataskyddsförordningen ska användaren särskilt ha tillgång till information om ”[d]e mottagare eller kategorier av mottagare till vilka personuppgifterna har lämnats eller ska lämnas ut, särskilt mottagare i tredjeländer eller internationella organisationer”. Enligt artikel 4.9 avses med begreppet mottagare en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ
till vilket personuppgifterna utlämnas, vare sig det är en tredje part eller inte. En riktad marknadsförare utgör inte nödvändigtvis en ”mottagare” av personuppgifterna (se exempel 1), eftersom personuppgifterna kanske inte lämnas ut till denne, utan vederbörande mottar statistik om de kunder mot vilka marknadsföringen riktar sig i aggregerad eller anonymiserad form, t.ex. som en del av kampanjen, eller i en resultatöversyn av densamma. I den mån den riktade marknadsföraren fungerar som gemensamt personuppgiftsansvarig måste denne dock identifieras som sådan för användaren av sociala medier. Även om artikel 15 i dataskyddsförordningen inte uttryckligen anges i artikel 26.1 i dataskyddsförordningen hänvisas enligt lydelsen i denna artikel till allt ”ansvar för att fullgöra” enligt dataskyddsförordningen, vilket även omfattar artikel 15 i dataskyddsförordningen.
För att göra det möjligt för registrerade att utöva sina rättigheter på ett effektivt och lättillgängligt sätt får arrangemanget mellan leverantören av sociala medier och den riktade marknadsföraren utse en enda kontaktpunkt för registrerade. Det står i princip gemensamt personuppgiftsansvariga fritt att sinsemellan bestämma vem som ska ansvara för att besvara och tillmötesgå begäranden från registrerade, men de kan inte utesluta möjligheten för den registrerade att utöva sina rättigheter med avseende på och emot var och en av dem (artikel 26.3 i dataskyddsförordningen). Riktade marknadsförare och leverantörer av sociala medier måste därför se till att det finns en lämplig mekanism som gör det möjligt för de registrerade att få tillgång till sina personuppgifter på ett användarvänligt sätt (inbegripet de kriterier för riktad marknadsföring som används) samt all information som krävs enligt artikel 15 i dataskyddsförordningen.
7 KONSEKVENSBEDÖMNING AVSEENDE DATASKYDD
Innan den planerade behandlingen för riktad marknadsföring inleds bör de båda gemensamt personuppgiftsansvariga i princip kontrollera den förteckning över behandling ”som sannolikt leder till en hög risk” som antagits på nationell nivå enligt artikel 35.4 och skälen 71, 75 och 91 i dataskyddsförordningen, för att avgöra om den åsyftade riktade marknadsföringen matchar någon av de typer av uppgiftsbehandling på vilka kravet att genomföra en konsekvensbedömning avseende dataskydd är tillämpligt. För att bedöma om den planerade behandlingen för riktad marknadsföring ”sannolikt leder till en hög risk” och huruvida det krävs en konsekvensbedömning avseende dataskydd, bör även de kriterier som fastställs i riktlinjerna om konsekvensbedömning avseende dataskydd beaktas , liksom de förteckningar som tillsynsmyndigheterna har upprättat om den typ av behandling som omfattas av kravet på konsekvensbedömning avseende dataskydd (i enlighet med artikel 35.4).
I vissa fall kan den marknadsförda varans eller tjänstens art, meddelandets innehåll eller det sätt på vilket annonsen levereras medföra en påverkan på enskilda personer som måste bedömas ytterligare. Detta kan till exempel vara fallet när det gäller produkter som riktar sig till sårbara personer. Ytterligare risker kan uppkomma beroende på reklamkampanjens ändamål och hur påträngande den är, eller om den riktade marknadsföringen omfattar behandling av observerade, härledda eller avledda personuppgifter.
Utöver de skyldigheter som specifikt anges i artikel 26.1 i dataskyddsförordningen bör gemensamt personuppgiftsansvariga också beakta andra skyldigheter när de fastställer sina respektive skyldigheter. I EDPB:s riktlinjer om konsekvensbedömning avseende dataskydd föreskrivs följande:
”[o]m behandlingen omfattar flera personuppgiftsansvariga krävs en exakt definition av deras respektive skyldigheter”.
Som en följd av detta måste båda gemensamt personuppgiftsansvariga bedöma huruvida en konsekvensbedömning avseende dataskydd är nödvändig. Om en konsekvensbedömning avseende dataskydd är nödvändig är båda parter ansvariga för att fullgöra denna skyldighet. EDPB erinrar om att konsekvensbedömningen avseende dataskydd bör omfatta hela behandlingen av personuppgifter, vilket innebär att båda gemensamt personuppgiftsansvariga i princip måste delta vid genomförandet av konsekvensbedömningen. I detta sammanhang måste båda personuppgiftsansvariga se till att de har tillräckligt med information om behandlingen för att kunna utföra den konsekvensbedömningen avseende dataskydd som krävs . Detta innebär att ”[v]arje personuppgiftsansvarig bör uttrycka sina behov och dela användbar information utan att äventyra hemligheter (t.ex. skydd av affärshemligheter, immateriella rättigheter, konfidentiell affärsinformation) eller avslöja svagheter” . I praktiken är det möjligt att gemensamt personuppgiftsansvariga beslutar att en av dem får i uppdrag att genomföra konsekvensbedömningen avseende dataskydd som sådan. Detta bör sedan specificeras i det gemensamma arrangemanget, utan att det påverkar det gemensamma ansvaret i sig. En av de personuppgiftsansvariga kan vara bättre lämpad att bedöma vissa behandlingar. Denna personuppgiftsansvarige kan till exempel, beroende på sammanhanget, ha en högre grad av kontroll och kunskap om processen för den riktade marknadsföringen, särskilt vad gäller den administrativa delen av det system som används eller metoderna för behandlingen.
Varje konsekvensbedömning avseende dataskydd ska omfatta åtgärder som planeras för att hantera riskerna, inbegripet skyddsåtgärder, säkerhetsåtgärder och rutiner för att säkerställa skyddet av personuppgifterna och för att visa att dataskyddsförordning efterlevs, med hänsyn till de registrerades och andra berörda personers rättigheter och berättigade intressen. Om de identifierade riskerna inte kan hanteras tillräckligt effektivt (dvs. de kvarstående riskerna fortsatt är höga) åligger det de gemensamt personuppgiftsansvariga att säkerställa ett föregående samråd med de berörda tillsynsmyndigheterna. Om den riktade marknadsföringen skulle strida mot dataskyddsförordningen, särskilt för att riskerna inte har identifierats eller begränsats tillräckligt, bör den riktade marknadsföringen inte genomföras.
Exempel 9:
Det politiska partiet ”Letschangetheworld” vill uppmuntra användare av sociala medier att rösta på en viss politisk kandidat i det kommande valet. De vill rikta sig till äldre människor som bor på landsbygden, regelbundet går i kyrkan och inte har rest utomlands under de senaste två åren.
Det föreligger ett gemensamt personuppgiftsansvar mellan plattformen för sociala medier och det politiska partiet för att matcha profilen och visa den riktade reklamen. Bedömningen av huruvida det krävs en konsekvensbedömning avseende dataskydd måste göras både av det politiska partiet Letschangetheworld och plattformen för sociala medier. I detta exempel har de båda tillräckliga
kunskaper om de kriterier som används för riktad marknadsföring mot enskilda personer för att se att behandlingen sannolikt leder till en hög risk.
Om en konsekvensbedömning avseende dataskydd krävs bör det gemensamma arrangemanget behandla frågan hur de personuppgiftsansvariga bör genomföra denna och säkerställa att ett relevant kunskapsutbyte äger rum. I detta exempel skulle plattformen för sociala medier kunna vara bättre lämpad att bedöma viss behandling, eftersom det politiska partiet endast väljer allmänna kriterier för riktad marknadsföring.
8 SÄRSKILDA KATEGORIER AV UPPGIFTER
8.1 Vad som utgör en särskild kategori av uppgifter
Dataskyddsförordningen föreskriver särskilt skydd för personuppgifter som är särskilt känsliga med hänsyn till enskildas grundläggande fri- och rättigheter. Sådana uppgifter definieras i artikel 9 i dataskyddsförordningen som särskilda kategorier av personuppgifter och omfattar uppgifter om en persons hälsa, ras eller etniska ursprung, biometri, religiösa eller filosofiska övertygelse, politiska åsikter, medlemskap i fackförening, sexualliv eller sexuell läggning.
Personuppgiftsansvariga får endast behandla särskilda kategorier av uppgifter om de uppfyller ett av de villkor som anges i artikel 9.2 i dataskyddsförordningen, såsom att ha inhämtat den registrerades uttryckliga samtycke eller om uppgifterna på ett tydligt sätt har offentliggjorts av den registrerade. Utöver villkoren i artikel 9 i dataskyddsförordningen måste behandlingen av särskilda kategorier av uppgifter baseras på en rättslig grund som fastställs i artikel 6 i dataskyddsförordningen och utföras i enlighet med de grundläggande principer som fastställs i artikel 5 i dataskyddsförordningen.
Vidare är behandlingen av särskilda kategorier av personuppgifter relevant vid bedömningen av lämpliga åtgärder enligt artiklarna 24, 25, 28 och 32 i dataskyddsförordningen, men även för att fastställa huruvida en konsekvensbedömning avseende dataskydd måste utföras i enlighet med artikel 35 i dataskyddsförordningen och huruvida ett dataskyddsombud måste utses enligt artikel 37 i dataskyddsförordningen. När det gäller sociala medier och riktad marknadsföring är det nödvändigt att fastställa huruvida behandlingen av personuppgifter omfattar ”särskilda kategorier av uppgifter” och om sådana uppgifter behandlas av leverantören av sociala medier, den riktade marknadsföraren eller båda. Om särskilda kategorier av personuppgifter behandlas måste det fastställas om och på vilka villkor leverantören av sociala medier och den riktade marknadsföraren lagligen kan behandla sådana uppgifter.
Om leverantören av sociala medier behandlar den särskilda kategorin av uppgifter för riktad marknadsföring måste leverantören hitta en rättslig grund för behandlingen i artikel 6 i dataskyddsförordningen och åberopa ett undantag i artikel 9.2 i dataskyddsförordningen, såsom uttryckligt samtycke i enlighet med artikel 9.2 a i dataskyddsförordningen. Om en riktad marknadsförare anlitar en leverantör av sociala medier och begär att denne riktar marknadsföring till användare på grundval av denna särskilda kategori av uppgifter, blir den riktade marknadsföraren gemensamt ansvarig med leverantören av sociala medier för behandlingen av den särskilda kategorin av uppgifter.
I följande rättsliga analys ska olika situationer undersökas där sådan behandling kan äga rum och dess rättsliga konsekvenser.
8.1.1 Uttryckliga särskilda kategorier av uppgifter
Ibland omfattas personuppgifter som behandlas klart av definitionen av särskilda kategorier av uppgifter, t.ex. vid direkta uttalanden om att en person är medlem i ett visst politiskt parti eller en viss religiös sammanslutning.
Exempel 10:
Flora uppger uttryckligen i sin profil på sociala medier att hon är medlem i det politiska partiet GreenestPlanet. Miljöorganisationen ”Long live the Earth” vill rikta marknadsföring mot användare av sociala medier som är medlemmar i det politiska partiet GreenestPlanet för att kunna skicka riktade meddelanden till dem.
I exempel 10 agerar leverantören av sociala medier och miljöorganisationen som gemensamt personuppgiftsansvariga . I den mån miljöorganisationen begär att leverantören av sociala medier ska rikta marknadsföring mot användare på grundval av deras politiska åsikter bidrar båda personuppgiftsansvariga till behandlingen av särskilda kategorier av uppgifter enligt definitionen i artikel 9 i dataskyddsförordningen. Behandling av dessa uppgifter är i princip förbjuden enligt artikel 9.1. Både leverantören av sociala medier och miljöorganisationen måste därför kunna åberopa något av undantagen i artikel 9.2 för sin behandling. Dessutom måste båda även ha en rättslig grund enligt artikel 6. Av de undantag som föreskrivs i artikel 9.2 är de enda som kan bli aktuella i denna situation att inhämta den registrerades uttryckliga samtycke enligt artikel 9.2 a i dataskyddsförordningen, eller undantaget att Flora på ett tydligt sätt har offentliggjort personuppgifterna i enlighet med artikel 9.2 e i dataskyddsförordningen.
8.1.2 Härledda och kombinerade särskilda kategorier av uppgifter
Antaganden eller slutsatser om särskilda kategorier av uppgifter, t.ex. att en person sannolikt kommer att rösta på ett visst parti efter att ha besökt en sida som förespråkar liberala åsikter, skulle också utgöra en särskild kategori av personuppgifter. Såsom EDPB tidigare påpekat kan ”[p]rofilering [...] skapa särskilda kategorier av uppgifter genom att dra slutsatser från och kombinera uppgifter som inte utgör en särskild kategori av uppgifter. Det kan t.ex. vara möjligt att dra en slutsats om någons hälsostatus från uppgifter om deras matinköp tillsammans med uppgifter om matens kvalitet och energiinnehåll”.
Exempelvis kan behandling av ett enkelt uttalande, eller en enda lokaliseringsuppgift eller liknande, som visar att en användare (antingen en gång eller vid ett fåtal tillfällen) har besökt en plats som normalt besöks av personer med vissa religiösa övertygelser kommer i allmänhet inte i sig att betraktas som behandling av särskilda kategorier av uppgifter. Om dessa uppgifter kombineras med andra uppgifter eller på grund av det sammanhang i vilket uppgifterna behandlas eller de ändamål för vilka de används kan det emellertid betraktas som behandling av särskilda kategorier av uppgifter.
Exempel 11:
Profilen på Novaks konto på sociala medier avslöjar endast allmän information såsom hans namn och hemvist, men en statusuppdatering visar att han ofta har besökt City Church och deltagit i en gudstjänst. Senare vill City Church genom riktad marknadsföring skicka religiösa budskap till sina besökare för att uppmuntra kristna att ansluta sig till församlingen. Under sådana omständigheter
utgör användningen av personuppgifter i Novaks statusuppdatering för sådana riktade marknadsföringsändamål behandling av särskilda kategorier av personuppgifter.
Om en leverantör av sociala medier eller en målgrupp använder observerade data för att kategorisera användare som har vissa religiösa, filosofiska eller politiska övertygelser – oavsett om kategoriseringen är korrekt/sann eller inte – måste denna kategorisering av användaren naturligtvis betraktas som behandling av en särskild kategori av personuppgifter i detta sammanhang. Så länge kategoriseringen möjliggör riktad marknadsföring som grundas på särskilda kategorier av uppgifter spelar det ingen roll hur kategorin kallas.
Exempel 12:
Sifuentes tillhandahåller information i sin profil på sociala medier i form av regelbundna statusuppdateringar, incheckningar osv., vilket visar att han regelbundet deltar i aktiviteter som anordnas av ”Mind, Body and Spirit Movement”. Även om något uttryckligt uttalande om filosofisk övertygelse inte tillhandahålls tyder alla uppdateringar, gilla-markeringar, incheckningar och liknande uppgifter som användaren lämnat i sammanställningen starkt på att Sifuentes har en viss filosofisk övertygelse.
Exempel 13:
En leverantör av sociala medier använder aktivt information som Allgrove tillhandahållit på sin profilsida på sociala medier om hennes ålder, intressen och adress och kombinerar den med observerade uppgifter om de webbplatser som hon besökt och hennes ”gilla”-markeringar på plattformen för sociala medier. Leverantören av sociala medier använder uppgifterna för att härleda att Allgrove stöder en vänsterliberal politik och placerar henne i kategorin ”intresserade av vänsterliberal politik” för riktad marknadsföring och gör denna kategori tillgänglig för riktade marknadsförare.
I exempel 12 innebär den omfattande informationen och avsaknaden av åtgärder för att förhindra riktad marknadsföring på grundval av särskilda kategorier av uppgifter att det är frågan om en behandling av särskilda kategorier av uppgifter. Enbart det faktum att en leverantör av sociala medier behandlar stora mängder uppgifter som potentiellt skulle kunna användas för att härleda särskilda kategorier av uppgifter innebär dock inte automatiskt att artikel 9 i dataskyddsförordningen är tillämplig på behandlingen. Artikel 9 kommer inte att bli tillämplig om behandlingen från leverantören av sociala medier inte medför något härledande av särskilda kategorier av uppgifter och leverantören av sociala medier har vidtagit åtgärder för att förhindra att sådana uppgifter kan härledas eller användas för riktad marknadsföring. Behandling av en stor mängd personuppgifter om användare kan under alla omständigheter medföra särskilda risker för fysiska personers rättigheter och friheter, vilka måste hanteras genom att vidta lämpliga säkerhetsåtgärder, såsom föreskrivs i artikel 32 i dataskyddsförordningen, och även genom att ta hänsyn till resultatet av den konsekvensbedömning avseende dataskydd som ska genomföras i enlighet med artikel 35 i dataskyddsförordningen. I exempel 13 medför erbjudandet och användningen av kategorin ”intresserad av vänsterliberal politik” för riktad marknadsföring behandling av särskilda kategorier av uppgifter, eftersom denna kategori enkelt skulle kunna användas som ett mått för riktad marknadsföring mot enskilda personer som har vänsterliberala politiska övertygelser. Genom att tilldela en användare en härledd politisk åskådning behandlar leverantören av sociala medier särskilda kategorier av uppgifter. I den mening som avses i artikel 9 i dataskyddsförordningen är det inte relevant om användaren faktiskt stöder en
vänsterliberal politik. Det är inte heller relevant att kategorin för riktad marknadsföring kallas ”intresserad av …” och inte ”anhängare av …”, eftersom användaren placeras i målkategorin utifrån härledda politiska intressen.
Exempel 14: Svenson gör ett yrkeslämplighetsprov som utarbetats av företaget ”YourPerfectJob”, vilket innehåller en psykologisk utvärdering som tillhandahålls på en plattform för sociala medier och använder det programmeringsgränssnitt (API) som tillhandahålls av leverantören av sociala medier. YourPerfectJob samlar in uppgifter om Svensons utbildning, anställningsstatus, ålder, hobbyer, inlägg, e-postadress och anslutningar. YourPerfectJob erhåller uppgifterna via API:n i enlighet med de ”tillstånd” som Svenson beviljat via sitt konto på sociala medier. Det uttalade syftet med applikationen är att förutsäga vilken karriärväg som är bäst för en viss användare.
Utan den sociala medieleverantörens vetskap eller godkännande använder YourPerfectJob denna information för att härleda ett antal personliga aspekter, däribland hans personlighetsdrag, psykologiska profil och politiska övertygelser. YourPerfectJob beslutar senare att använda denna information för att rikta marknadsföring mot Svenson på ett politiskt partis vägnar, med hjälp av den e-postbaserade funktionen för riktad marknadsföring från leverantören av sociala medier, utan att lägga till några andra kriterier för riktad marknadsföring som erbjuds av leverantören av sociala medier.
I exempel 14 behandlar den riktade marknadsföraren särskilda kategorier av personuppgifter, medan leverantören av sociala medier inte gör det. Bedömningen och identifieringen av Svensons politiska övertygelse sker utan medverkan från leverantören av sociala medier . Förutom att utlösa det allmänna förbudet i artikel 9 i dataskyddsförordningen strider den riktade marknadsföring som anges i exempel 14 även mot kraven på korrekthet, öppenhet och ändamålsbegränsning. Svenson har nämligen inte blivit vederbörligen informerad om att de personuppgifter som rör honom kommer att behandlas för riktad politisk marknadsföring, vilket dessutom inte verkar vara förenligt med ett yrkeslämplighetsprov. Medan den behandling som utförs av leverantören av sociala medier i exempel 14 inte utgör behandling av särskilda kategorier av uppgifter i den mening som avses i artikel 9 i dataskyddsförordningen, är leverantören av sociala medier ansvarig för att integrera nödvändiga skyddsåtgärder i behandlingen för att uppfylla kraven i dataskyddsförordningen och skydda de registrerades rättigheter i enlighet med artiklarna 24 och 25 i dataskyddsförordningen.
8.2 Undantaget i artikel 9.2 för särskilda kategorier av uppgifter som offentliggjorts på ett tydligt sätt
Enligt artikel 9.2 e i dataskyddsförordningen är behandling av särskilda kategorier av uppgifter tillåten i fall där uppgifterna på ett tydligt sätt har offentliggjorts av den registrerade. Ordet ”tydligt” innebär att tröskeln måste vara hög för att detta undantag ska kunna åberopas. EDPB noterar att förekomsten av en enda faktor kanske inte alltid är tillräcklig för att fastställa att uppgifterna har offentliggjorts av den registrerade ”på ett tydligt sätt”. I praktiken kan en kombination av följande eller andra faktorer behöva övervägas för att personuppgiftsansvariga ska kunna visa att den registrerade tydligt har visat sin avsikt att offentliggöra uppgifterna, och det krävs en bedömning från fall till fall. Följande faktorer kan vara relevanta som underlag för denna bedömning:
i) Standardinställningarna på plattformen för sociala medier (dvs. huruvida den registrerade har vidtagit särskilda åtgärder för att ändra dessa standardinställningar från privata till offentliga). ii) Karaktären från plattformen för sociala medier (dvs. huruvida denna plattform har ett nära samband med idén om att hålla kontakt med den registrerades nära bekanta eller skapa intima relationer, såsom plattformar för nätdejting), eller om den ska erbjuda ett bredare spektrum av interpersonella relationer, såsom yrkesmässiga relationer eller mikrobloggning, mediedelning, sociala plattformar för att dela onlinerecensioner osv.
iii) Hur tillgänglig den sida där de känsliga uppgifterna offentliggörs är (dvs. om informationen är allmänt tillgänglig eller om det till exempel är nödvändigt att skapa ett konto innan man får tillgång till informationen). iv) Hur synlig den information är genom vilken den registrerade informeras om den offentliga karaktären hos den information som denne offentliggör (dvs. om det finns en kontinuerlig banner på sidan, eller om knappen för att publicera informerar den registrerade om att informationen kommer att offentliggöras …). v) Om den registrerade själv har offentliggjort de känsliga uppgifterna, eller om uppgifterna i stället har offentliggjorts av en tredje part (t.ex. ett foto som publicerats av en vän som avslöjar känsliga uppgifter) eller härletts.
EDPB noterar att förekomsten av en enda faktor kanske inte alltid är tillräcklig för att fastställa att uppgifterna har offentliggjorts av den registrerade ”på ett tydligt sätt”. I praktiken kan en kombination av dessa eller andra faktorer behöva övervägas för att personuppgiftsansvariga ska kunna visa att den registrerade på ett klart och tydligt sätt har avsett att offentliggöra uppgifterna.
Exempel 15: Jansen har öppnat ett konto på en plattform för mikrobloggning på sociala medier. När han fyllde i sin profil uppgav han att han är homosexuell. Eftersom han är konservativ valde han att gå med i konservativa grupper med kännedom om att han vid registreringen informerats om att de meddelanden som han utbyter på plattformen är offentliga. Ett konservativt politiskt parti vill rikta in sig på personer som har samma politiska tillhörighet och sexuella läggning som Jansen med hjälp av det sociala mediets verktyg för riktad marknadsföring.
Eftersom medlemmarnas sexuella läggning automatiskt är ”privat” och Jansen inte har vidtagit några åtgärder för att offentliggöra detta kan den inte anses ha offentliggjorts på ett tydligt sätt. Dessutom har uppgifterna om hans politiska tillhörighet inte offentliggjorts på ett tydligt sätt, trots i) karaktären från plattformen för mikrobloggning på sociala medier, som är avsedd att sprida information till den breda allmänheten, och ii) det faktum att han har informerats om den offentliga karaktären hos de meddelanden han publicerar i forumen. Även om han har gått med i offentliga forum med koppling till konservatism, är riktad marknadsföring till honom på grundval av dessa känsliga uppgifter inte tillåten,
eftersom plattformen för sociala medier i så fall drar slutsatser om Jansens politiska tillhörighet och det inte var den registrerades specifika avsikt att på ett tydligt sätt offentliggöra dessa uppgifter, i synnerhet som denna slutsats kan visa sig vara felaktig. Det är därför inte tillåtet med riktad marknadsföring till honom på grundval av uppgifter om politisk tillhörighet. Vid en bedömning om uppgifterna på ett tydligt sätt har offentliggjorts av den registrerade krävs det med andra ord att omständigheterna i varje enskilt fall beaktas .
9 GEMENSAMT PERSONUPPGIFTSANSVAR OCH GEMENSAMT ANSVAR
9.1 Arrangemang för gemensamt personuppgiftsansvar och fastställande av ansvarsområden (artikel 26 i dataskyddsförordningen)
Enligt artikel 26.1 i dataskyddsförordningen ska gemensamt personuppgiftsansvariga – under öppna former – fastställa sitt respektive ansvar för att fullgöra skyldigheterna enligt dataskyddsförordningen genom ett arrangemang, inbegripet, såsom förklaras ovan, kraven på öppenhet. När det gäller tillämpningsområdet anser EDPB att arrangemang mellan riktade marknadsförare och leverantörer av sociala medier bör omfatta all behandling för vilken de är gemensamt ansvariga (dvs. som omfattas av deras gemensamma ansvar). Om riktade marknadsförare och leverantörer av sociala medier ingår ett ytligt och ofullständigt arrangemang skulle detta innebära ett åsidosättande av deras skyldigheter enligt artikel 26 i dataskyddsförordningen.
I exempel 4 bör arrangemanget till exempel omfatta all behandling av personuppgifter där det föreligger gemensamt personuppgiftsansvar, dvs. från insamling av personuppgifter i samband med Schmidts besök på webbplatsen BestBags.com med en spårningspixel till visningen av annonsen på hans sida på sociala medier samt eventuell rapportering om den riktade marknadsföringskampanjen.
För att utveckla ett övergripande arrangemang måste både leverantören av sociala medier och den riktade marknadsföraren vara medvetna om och ha tillräckligt detaljerad information om den specifika uppgiftsbehandling som äger rum. Arrangemanget mellan den riktade marknadsföraren och leverantören av sociala medier bör därför innehålla (eller hänvisa till) all information som krävs för att båda parter ska kunna fullgöra sina skyldigheter enligt dataskyddsförordningen, inbegripet deras skyldighet att iaktta principerna i artikel 5.1 i dataskyddsförordningen och deras skyldighet att påvisa efterlevnad enligt artikel 5.2 i dataskyddsförordningen. Om den personuppgiftsansvarige till exempel överväger att åberopa artikel 6.1 f i dataskyddsförordningen som rättslig grund är det bland annat nödvändigt att ha kännedom om uppgiftsbehandlingens omfattning för att kunna bedöma huruvida den personuppgiftsansvariges intressen väger tyngre än de registrerades intressen eller grundläggande rättigheter och friheter. Utan tillräcklig information om behandlingen är en sådan bedömning inte möjlig. Vikten av att inkludera eller hänvisa till nödvändig information i samband med ett gemensamt arrangemang kan inte
överskattas, särskilt i situationer där en av parterna nästan uteslutande har de kunskaper och tillgång till den information som krävs för att båda parter ska kunna följa dataskyddsförordningen.
Detta är exempelvis fallet när företag X i exempel 1 bedömer huruvida det kan åberopa berättigade intressen som rättslig grund för riktad marknadsföring till män mellan 30 och 45 år som har angett att de är singlar. Här är det nödvändigt att företaget har tillgång till tillräcklig information om den behandling som utförs av plattformen för sociala medier, exempelvis vad gäller de ytterligare åtgärder (såsom rätten att göra invändningar) som införs av sistnämnda företag, för att säkerställa att berättigade intressen inte åsidosätts av den registrerades intressen eller grundläggande rättigheter och friheter.
För att säkerställa att den registrerades rättigheter kan tillgodoses på ett effektivt sätt anser EDPB att syftet med behandlingen och den motsvarande rättsliga grunden också bör avspeglas i det gemensamma arrangemanget mellan riktade marknadsförare och leverantörer av sociala medier som är gemensamt personuppgiftsansvariga. Även om dataskyddsförordningen inte utgör hinder mot att gemensamt personuppgiftsansvariga tillämpar olika rättsliga grunder för olika behandlingar som de utför, rekommenderas när så är möjligt att använda samma rättsliga grund för ett visst verktyg för riktad marknadsföring och för ett visst ändamål. Om varje steg i behandlingen behandlas på en annan rättslig grund skulle detta göra det praktiskt omöjligt för den registrerade att utöva sina rättigheter (för ett steg skulle det t.ex. finnas en rätt till dataportabilitet, för ett annat skulle det finnas en rätt att göra invändningar). I egenskap av personuppgiftsansvariga ansvarar både den riktade marknadsföraren och leverantören av sociala medier för att se till att principen om ändamålsbegränsning efterlevs och bör därför införliva lämpliga bestämmelser för detta ändamål i det gemensamma arrangemanget.
Om den riktade marknadsföraren till exempel vill använda personuppgifter som den registrerade har tillhandahållit för riktad marknadsföring på sociala medier, måste denne vidta lämpliga åtgärder för att se till att de uppgifter som lämnas inte används vidare av leverantören av sociala medier på ett sätt som är oförenligt med dessa ändamål, såvida inte giltigt samtycke har erhållits från den registrerade i enlighet med artikel 6.4 i dataskyddsförordningen.
I exempel 3 bör bank X se till att det finns lämpliga bestämmelser i det gemensamma arrangemanget med plattformen för sociala medier för att säkerställa att Lopez e-postadress inte används för andra ändamål än marknadsföring med erbjudanden kopplade till de banktjänster som han redan använder utan Lopez samtycke.
På samma sätt måste leverantören av sociala medier se till att de riktade marknadsförarnas användning av data för riktad marknadsföring sker i enlighet med principerna om ändamålsbegränsning, öppenhet och lagenlighet.
Andra skyldigheter som bör beaktas av den riktade marknadsföraren och leverantören av sociala medier inom ramen för deras gemensamma arrangemang omfattar följande: andra allmänna dataskyddsprinciper i artikel 5 i dataskyddsförordningen, säkerhet vid behandling, inbyggt dataskydd och dataskydd som standard, anmälningar och meddelanden om personuppgiftsincidenter, konsekvensbedömningar avseende dataskydd, användning av personuppgiftsbiträden och överföringar till tredjeländer.
I exempel 13 bör det gemensamma arrangemanget exempelvis behandla frågan vilken av de personuppgiftsansvariga som bör genomföra en konsekvensbedömning avseende dataskydd och säkerställa att ett relevant kunskapsutbyte äger rum. Med andra ord bör det politiska partiet ”Letschangetheworld” se till att det har tillräcklig information, till exempel om de säkerhetsåtgärder som införts av plattformen för sociala medier, när en konsekvensbedömning avseende dataskydd genomförs.
Slutligen måste det gemensamma arrangemanget mellan leverantören av sociala medier och den riktade marknadsföraren innehålla specifik information om hur skyldigheterna enligt dataskyddsförordningen ska fullgöras i praktiken. Om det är oklart hur skyldigheterna ska fullgöras, särskilt i samband med registrerades rättigheter, ska både den riktade marknadsföraren och leverantören av sociala medier anses agera i strid med artikel 26.1 i dataskyddsförordningen. I sådana fall kommer dessutom inte de båda (gemensamt) personuppgiftsansvariga att ha genomfört lämpliga tekniska och organisatoriska åtgärder för att säkerställa och kunna visa att behandlingen utförs i enlighet med dataskyddsförordningen och har därmed åsidosatt sina skyldigheter enligt artiklarna 5.2 och 24.
9.2 Ansvarsnivåer
EDPB konstaterar att riktade marknadsförare som vill använda verktyg för riktad marknadsföring som tillhandahålls av en leverantör av sociala medier kan ställas inför krav på att följa på förhand fastställda arrangemang, utan någon möjlighet att förhandla eller göra ändringar (”allt eller inget” -villkor). EDPB anser att en sådan situation inte upphäver det gemensamma ansvaret för leverantören av sociala medier och den riktade marknadsföraren och inte kan medföra att någon av parterna undantas från sina skyldigheter enligt dataskyddsförordningen. Båda parterna i det gemensamma arrangemanget är också skyldiga att se till att ansvarsfördelningen vederbörligen avspeglar deras respektive roller och förhållanden gentemot de registrerade på ett praktiskt, sanningsenligt och öppet sätt. Det är viktigt att betona att ett arrangemang enligt artikel 26 i dataskyddsförordningen inte kan åsidosätta de rättsliga skyldigheter som åligger en (gemensamt) personuppgiftsansvarig. Gemensamt personuppgiftsansvariga ska, i enlighet med artikel 26 i dataskyddsförordningen, ”fastställa sitt respektive ansvar för att fullgöra skyldigheterna” enligt dataskyddsförordningen, men varje personuppgiftsansvarig förblir principiellt ansvarig för att behandlingen fullgör skyldigheterna. Detta innebär att varje personuppgiftsansvarig bland annat är ansvarig för efterlevnaden av de principer som fastställs i artikel 5.1 i dataskyddsförordningen, inbegripet legalitetsprincipen som fastställs i artikel 5.1 a i dataskyddsförordningen. Graden av ansvar från den riktade marknadsföraren och leverantören av sociala medier kan dock variera när det gäller specifika skyldigheter. I domen i målet Wirtschaftsakademie konstaterade EUdomstolen att ”den omständigheten att det finns ett gemensamt ansvar inte nödvändigtvis behöver innebära att de olika aktörer som medverkar vid behandlingen av personuppgifter har likvärdigt ansvar. Tvärtom kan dessa aktörer vara involverade i olika skeden av behandlingen och i olika utsträckning, så att ansvaret för var och en av dem ska bedömas med beaktande av alla relevanta omständigheter i fråga”.
Med andra ord, även om gemensamt personuppgiftsansvariga båda är ansvariga för att fullgöra skyldigheterna enligt dataskyddsförordningen och även om den registrerade kan utöva sina rättigheter gentemot var och en av de personuppgiftsansvariga, måste deras ansvarsnivå bedömas utifrån deras
faktiska roll vid behandlingen. I målet Google Spain klargjorde EU-domstolen att en personuppgiftsansvarig måste ”inom ramen för sitt ansvar, sin behörighet och sina möjligheter” säkerställa att behandlingen av personuppgifter uppfyller kraven i EU:s dataskyddslagstiftning .
Vid bedömningen av ansvarsnivån hos riktade marknadsförare och leverantörer av sociala medier kan flera faktorer vara relevanta, såsom förmågan att påverka behandlingen på en praktisk nivå samt faktiska eller konstruktiva kunskaper från var och en av de gemensamt personuppgiftsansvariga. Det är också viktigt att vara tydlig med i vilket skede behandlingen sker och i vilken utsträckning eller grad den riktade marknadsföraren och leverantören av sociala medier ansvarar för behandlingen .
I exempel 1 utformar företag X en reklamkampanj så att annonser från företaget kan visas för användare som uppfyller särskilda kriterier för riktad marknadsföring på plattformen för sociala medier. Trots att företaget fastställer parametrarna för reklamkampanjen samlar det inte in eller har tillgång till några personuppgifter och har inte heller någon direkt kontakt med den registrerade. Var och en av dessa faktorer kan vara relevanta vid bedömningen av nivån (eller ”graden”) av ansvar från den riktade marknadsföraren och leverantören av sociala medier om en överträdelse av dataskyddsförordningen konstateras (t.ex. vid bristande öppenhet gentemot den registrerade eller underlåtenhet att säkerställa att behandlingen sker på ett lagligt sätt). Som redan har nämnts är båda parter trots detta skyldiga att vidta lämpliga åtgärder för att uppfylla kraven i dataskyddsförordningen och skydda registrerades rättigheter mot olagliga former av behandling.
I exempel 3, som omfattade riktad marknadsföring på grundval av en sammanställning, skiljer sig situationen något från exempel 1. I exempel 3 samlade banken inledningsvis in personuppgifterna och delade dem med leverantören av sociala medier för riktade marknadsföringsändamål. I detta fall har den riktade marknadsföraren frivilligt föranlett det skede i behandlingen som omfattar insamlingen och överföringen av uppgifterna. Var och en av dessa faktorer bör beaktas vid bedömningen av varje aktörs ansvarsnivå och bör vederbörligen avspeglas i villkoren för det gemensamma arrangemanget.
På liknande sätt bör man i exempel 4, i fall med riktad marknadsföring med hjälp av spårningspixlar, ta hänsyn till att webbplatsoperatören möjliggör överföring av personuppgifter till leverantören av sociala medier. Det är faktiskt webbplatsen BestBags.com som integrerar en spårningspixel på sin webbplats så att den kan rikta marknadsföring mot Schmidt, även om han beslutade att inte genomföra något köp . Webbplatsen medverkar därför aktivt vid insamlingen och överföringen av uppgifterna. I egenskap av gemensamt personuppgiftsansvarig är dock även leverantören av sociala medier skyldig att vidta lämpliga åtgärder för att uppfylla kraven i dataskyddsförordningen och skydda registrerades rättigheter mot olagliga former av behandling. Om samtycke begärs från den registrerade bör de gemensamt personuppgiftsansvariga i detta fall komma överens om hur samtycket ska inhämtas i praktiken.
När det gäller bedömningen av graden av ansvar från leverantören av sociala medier konstaterar EDPB att flera mekanismer för riktad marknadsföring bygger på profilering och/eller annan behandling som leverantören av sociala medier tidigare har utfört. Det är leverantören av sociala medier som fattar beslut att behandla sina användares personuppgifter på ett sådant sätt för att utveckla de kriterier för riktad marknadsföring som leverantören ställer till de riktade marknadsförarnas förfogande. För att göra detta har leverantören av sociala medier självständigt fattat vissa beslut om behandlingen, till exempel vilka kategorier av uppgifter som ska behandlas, vilka kriterier för riktad marknadsföring som ska erbjudas och vem som ska ha tillgång till (vilka typer av) personuppgifter som behandlas i samband med en särskild kampanj för riktad marknadsföring. Innan några sådana tjänster för riktad marknadsföring erbjuds krävs det även att sådan behandling är förenlig med dataskyddsförordningen. De exempel som anges i föregående punkter visar vikten av att arrangemanget för gemensamt personuppgiftsansvar innehåller en tydlig ansvarsfördelning mellan leverantörer av sociala medier och riktade marknadsförare. Även om villkoren för arrangemanget i vilket fall som helst bör spegla varje aktörs ansvarsnivå, krävs det ett övergripande arrangemang som vederbörligen återspeglar varje parts roll och kapacitet, inte bara för att uppfylla kraven i artikel 26 i dataskyddsförordningen, utan också för att följa andra regler och principer i dataskyddsförordningen. Slutligen noterar EDPB att i den mån villkoren för det gemensamma arrangemanget mellan leverantören av sociala medier och den riktade marknadsföraren inte är bindande för tillsynsmyndigheterna, får tillsynsmyndigheterna utöva sina behörigheter och befogenheter i förhållande till var och en av de gemensamt personuppgiftsansvariga, så länge den gemensamt personuppgiftsansvarige i fråga omfattas av den tillsynsmyndighetens behörighet.
Fotnoter
- attempting to appeal to a person or group or to influence them in some way [försök att locka en person eller grupp eller att påverka dem på något sätt]”. https://www.collinsdictionary.com/dictionary/english/targeting. De meddelanden som levereras består vanligtvis av bilder och text, men kan också omfatta video- och/eller ljudformat. Personuppgifter som behandlas i samband med sociala medier kan utgöra ”särskilda kategorier av personuppgifter” enligt artikel 9 i dataskyddsförordningen, hänföra sig till sårbara enskilda personer eller på annat sätt ha en mycket personlig karaktär. Se även Artikel 29-arbetsgruppens riktlinjer om konsekvensbedömning avseende dataskydd och fastställande av huruvida behandlingen ”sannolikt leder till en hög risk” i den mening som avses i förordning 2016/679, WP 248 rev. 01, s. 9. Se, t.ex. https://edpb.europa.eu/sites/default/files/files/file1/201902_edpb_statementonelections_sv.pdf, https://ico.org.uk/about-the-ico/news-and-events/news-and-blogs/2018/07/findings-recommendations-andactions-from-ico-investigation-into-data-analytics-in-political-campaigns/, https://eur-lex.europa.eu/legalcontent/SV/TXT/?uri=CELEX:52018DC0638R(01), https://www.personuvernd.is/information-inenglish/greinar/nr/2880.
- EU-domstolens dom av den 5 juni 2018 i mål C-210/16, Wirtschaftsakademie, ECLI:EU:C:2018:388 och dom av den 29 juli 2019 i mål C-40/17, Fashion ID, ECLI:EU:C:2019:629. Denna vägledning påverkar inte EDPB:s Guidelines 07/2020 on the concepts of controller and processor (Riktlinjer 07/2020 om begreppen personuppgiftsansvarig och personuppgiftsbiträde i dataskyddsförordningen), som antogs den 2 september 2020, beträffande ansvarsfördelningen i andra sammanhang. Enligt artikel 24 i dataskyddsförordningen ska den personuppgiftsansvarige genomföra lämpliga tekniska och organisatoriska åtgärder för att säkerställa och kunna visa att behandlingen utförs i enlighet med dataskyddsförordningen ”med beaktande av behandlingens art, omfattning, sammanhang och ändamål samt riskerna, av varierande sannolikhetsgrad och allvar, för fysiska personers rättigheter och friheter”. Se även Artikel 29-arbetsgruppens riktlinjer om konsekvensbedömning avseende dataskydd och fastställande av huruvida behandlingen ”sannolikt leder till en hög risk” i den mening som avses i förordning 2016/679, WP 248 rev. 01, 4 oktober 2017.
- Se även Europeiska datatillsynsmannen, EDPS Opinion on online manipulation, yttrande 3/2018, 19 mars 2018, s. 15 (Faran med att använda data från profiler för olika ändamål genom algoritmer är att uppgifterna förlorar sitt ursprungliga sammanhang. Användning av uppgifter för andra ändamål kommer sannolikt att påverka en persons informationsrelaterade självbestämmande, ytterligare minska de registrerades kontroll över sina uppgifter och därmed påverka förtroendet för digitala miljöer och tjänster.) T. Speicher m.fl., ”Potential for Discrimination in Online Targeted Advertising, Proceedings of the 1st Conference on Fairness, Accountability and Transparency”, Proceedings of Machine Learning Research, PMLR 81:5-19, 2018, http://proceedings.mlr.press/v81/speicher18a.html. Ibid. Europeiska datatillsynsmannen, yttrande 3/2018, s. 18. Se, Experimental evidence of massive-scale emotional contagion through social networks, Adam D. I. Kramer, Jamie E. Guillory och Jeffrey T. Hancock, PNAS, 17 juni 2014, 111 (24) 8788-8790, publicerades första gången den 2 juni 2014 https://doi.org/10.1073/pnas.1320040111, finns på: https://www.pnas.org/content/111/24/8788 Adam D. I. Kramer Core Data Science Team, Facebook, Inc., Menlo Park, CA 94025. Se även EDPB:s uttalande 2/2019 om användningen av personuppgifter i samband med politiska kampanjer, 13 mars 2019, s. 1.
- Information Commissioner’s Office (ICO), Democracy disrupted? Personal information and political influence, 10 juli 2018, s. 14. Se även Europeiska kommissionen, kommissionens vägledning om tillämpningen av EU:s dataskyddslagstiftning i samband med val Ett bidrag från Europeiska kommissionen till EU-ledarnas möte i Salzburg den 19–20 september 2018. Se även L.M. Neudert och N.M. Marchal, Polarisation and the use of technology in political campaigns and communication, Europaparlamentets utredningstjänst, 2019, s. 22–24. Se även Europaparlamentets resolution av den 3 maj 2018 om mediemångfald och mediefrihet i Europeiska unionen. Europeiska datatillsynsmannen, yttrande 3/2018, s. 7. Europeiska datatillsynsmannen, yttrande 3/2018, s. 9 och expertkommittén för mediemångfald och insyn i medieägande (MSI-MED), Internet and Electoral Campaigns, Study on the use of internet in electoral campaigns, Europarådets studie DGI (2017)11, april 2018, s. 19–21. Se även artikel 29-arbetsgruppen för dataskydd, Riktlinjer om automatiserat individuellt beslutsfattande och profilering enligt förordning (EU) 2016/679, 6 februari 2018, WP 251, rev. 01, s. 29.
- https://ec.europa.eu/eurostat/en/web/products-eurostat-news/-/edn-20200630-2. EDPB:s uttalande om effekterna av ekonomisk koncentration för dataskyddet, finns på: https://edpb.europa.eu/sites/edpb/files/files/file1/edpb_statement_economic_concentration_sv.pdf. Personuppgifter och profileringsinformation som lagras av leverantörer av sociala medier i förhållande till enskilda personer som inte är registrerade hos dem kallas ibland ”skuggprofiler”. Se även skäl 26 (”utgallring”). Se även artikel 29-gruppens yttrande 4/2007 om begreppet personuppgifter, 20 juni 2007, WP 136, s. 12 ff.
- I vissa fall begär leverantörer av sociala medier ytterligare dokumentation för att kontrollera de tillhandahållna uppgifterna närmare, till exempel genom att begära att användarna laddar upp sina id-kort eller liknande dokumentation. Sådan riktad marknadsföring kan möjliggöras med hjälp av online-identifierare som tillhandahålls av deras enheter, applikationer, verktyg och protokoll, såsom IP-adresser, cookies eller andra identifierare. Detta kan efterlämna spår som, särskilt i kombination med unika identifierare och andra uppgifter som servrarna tagit emot, kan användas för att skapa profiler för fysiska personer och identifiera dem. Se även skäl 30 i dataskyddsförordningen. På grundval av detta kan riktade annonser visas på en webbplats som den enskilda personen besöker. Behandling av personuppgifter som en fysisk person utför som ett led i verksamhet av rent privat natur eller som har samband med hans eller hennes hushåll omfattas inte av dataskyddsförordningen (artikel 2.2 c).
- Att enbart dela information på en sida på sociala medier som är avsedd för den breda allmänheten (t.ex. information om öppettider) utan att först välja ut den avsedda målgruppen skulle inte betraktas som ”riktad marknadsföring” enligt dessa riktlinjer. Vad gäller beskrivningen av de olika aktörerna, se artikel 29-arbetsgruppens yttrande 2/2010 om beteendebaserad reklam på Internet, s. 5. Yttrandet finns tillgängligt här: https://ec.europa.eu/justice/Article-29/documentation/opinion-recommendation/files/2010/wp171_sv.pdf. Se Consumer Policy Research Centre, A day in the life of data, som finns på: http://cprc.org.au/publication/research-report-a-day-in-the-life-of-data/.
- Domen i mål C-210/16, Wirtschaftsakademie, punkt 36. Domen i mål C-210/16, Wirtschaftsakademie, punkt 39.
- Domen i målet Wirtschaftsakademie, C-210/16, punkt 43, domen i målet Jehovas vittnen, C-25/17, punkt 66, och domen i målet Fashion ID, C-40/17, punkt 70. Domen i målet Wirtschaftsakademie, C-210/16, punkt 30. Domen i målet Fashion ID, C-40/17, punkt 75 ff. och punkt 107. Domen i målet Fashion ID, C-40/17, punkt 107. Efterföljande behandling är varje behandling eller serie av behandlingar som följer (dvs. äger rum efter) uppgiftsinsamlingen. I Fashion ID används begreppet för behandling som utförts av Facebook efter överföringen och för vilken Fashion ID inte bör betraktas som gemensamt personuppgiftsansvarig (eftersom företaget inte på ett effektivt sätt medverkar vid fastställandet av ändamålen och medlen för behandlingen). Efterföljande behandling för andra ändamål än det ändamål för vilket personuppgifterna samlades in är endast tillåten om kraven i artikel 6.4 i dataskyddsförordningen beträffande ytterligare behandling är uppfyllda. Om en e-handlare till exempel samlar in uppgifter om en persons hemadress skulle en efterföljande behandling kunna bestå av lagring eller senare radering av denna information. Om e-handlaren emellertid senare beslutar att behandla dessa personuppgifter för att berika sig på den registrerades profil genom riktad marknadsföring, skulle detta innebära ytterligare behandling i den mening som avses i artikel 6.4 i dataskyddsförordningen, eftersom detta omfattar behandling för ett annat ändamål än det för vilket de ursprungligen samlades in. Domen i målet Fashion ID, C-40/17, punkt 76.
- Artikel 29-arbetsgruppen, Riktlinjer om rätten till dataportabilitet, WP 242 rev. 01, 5 april 2017, s. 10. Se t.ex. beslut från Bayerns högsta förvaltningsdomstol (Tyskland), beslut av den 26 september 2018 – 5 CS 18.1157, www.gesetze-bayern.de/Content/Document/Y-300-Z-BECKRS-B-2018-N-25018. I sitt yttrande 2/2010 om beteendestyrd reklam på nätet konstaterade artikel 29-arbetsgruppen att ”det finns två huvudsakliga sätt att ta fram användarprofiler: i) Prediktiva profiler tas fram genom att observera och dra slutsatser från individuellt och kollektivt användarbeteende över tid, speciellt genom att se vilka sidor som besöks och vilka annonser användaren läser eller klickar på. ii) Explicita profiler tas fram från personuppgifter som de registrerade själva har tillhandahållit till en webbtjänst, exempelvis vid registrering” (artikel 29-arbetsgruppen, yttrande 2/2010 om beteendebaserad reklam på Internet, WP 171, s. 7). Artikel 29-arbetsgruppen, Riktlinjer om rätten till dataportabilitet, WP 242 rev. 01, 5 april 2017, s. 10.
- Ibid.
- Se EDPB:s riktlinjer 7/2020 om begreppen personuppgiftsansvarig och personuppgiftsbiträde i dataskyddsförordningen (När enheterna inte har samma ändamål med behandlingen kan dessutom gemensamt personuppgiftsansvar, mot bakgrund av EU-domstolens rättspraxis, fastställas när de berörda enheterna eftersträvar ändamål som är nära förbundna med eller kompletterar varandra. Detta kan till exempel vara fallet när samma behandling medför ömsesidiga fördelar, förutsatt att var och en av de berörda enheterna deltar vid fastställandet av ändamålen och medlen för behandlingen i fråga). Se EDPB:s riktlinjer 7/2020 om begreppen personuppgiftsansvarig och personuppgiftsbiträde i dataskyddsförordningen (Dessutom kommer det val som en enhet gör att för egna syften använda ett verktyg eller ett annat system som utvecklats av en annan enhet och som möjliggör behandling av personuppgifter sannolikt att utgöra ett gemensamt beslut om medlen för denna behandling från dessa enheter. Detta följer av målet Fashion ID, där EU-domstolen drog slutsatsen att Fashion ID, genom att på sin webbplats integrera den ”Gilla”-knapp som Facebook ställt till webbplatsoperatörernas förfogande, har utövat ett väsentligt inflytande över behandlingen som omfattade insamlingen och överföringen av personuppgifter från besökare på dess webbplats till Facebook och således gemensamt med Facebook hade fastställt medlen för denna behandling). Se, i detta avseende, mål C-210/16, Wirtschaftsakademie, ECLI:EU:C:2018:388, punkt 39. Se, för ett liknande resonemang, även mål C-40/17, Fashion ID, punkt 80: ”[d]essa behandlingar utförs således både i Fashion ID:s och i Facebook Irelands ekonomiska intresse. För Facebook Ireland utgör det faktum att få tillgång till dessa uppgifter för sina egna kommersiella syften själva ersättningen för den fördel som Fashion ID erhåller.” Se yttrande 1/2010.
- Se EDPB:s riktlinjer 7/2020 om begreppen personuppgiftsansvarig och personuppgiftsbiträde i dataskyddsförordningen. Se även domen i mål C-40/17, Fashion ID, punkt 74 (”denna fysiska eller juridiska person [kan] inte anses vara ansvarig i den mening som avses i denna bestämmelse för de tidigare eller senare åtgärderna i den övergripande behandlingskedjan, som denna varken fastställer ändamålen eller medlen för”) och punkt 101. Domen i målet Wirtschaftsakademie, C-210/16, punkt 38, ECLI:EU:C:2018:388, domen i målet Jehovas vittnen, C-25/17, punkt 69, ECLI:EU:C:2018:551. EU-domstolens dom av den 10 juli 2018 (C-25/17, punkterna 68–72). Se punkt 18 i riktlinjer 2/2019 om behandling av personuppgifter enligt artikel 6.1 b i dataskyddsförordningen i samband med tillhandahållandet av onlinetjänster till registrerade, version 2.0, 8 oktober 2019, finns på https://edpb.europa.eu/sites/edpb/files/files/file1/edpb_guidelines-art_6-1-badopted_after_public_consultation_sv.pdf.
- Se punkterna 52 och 53 i riktlinjer 2/2019 om behandling av personuppgifter enligt artikel 6.1 b i dataskyddsförordningen i samband med tillhandahållandet av onlinetjänster till registrerade, version 2.0, 8 oktober 2019, finns på https://edpb.europa.eu/sites/edpb/files/files/file1/edpb_guidelines-art_6-1-badopted_after_public_consultation_sv.pdf. Kravet på nödvändighet saknas om den riktade marknadsföraren byter till leverantörer av sociala medier trots ett direkt avtalsförhållande med kunden och därmed möjligheten till direktreklam. Se riktlinjer 2/2019 om behandling av personuppgifter enligt artikel 6.1 b i dataskyddsförordningen i samband med tillhandahållandet av onlinetjänster till registrerade, version 2.0, 8 oktober 2019, s. 15, finns på https://edpb.europa.eu/sites/edpb/files/files/file1/edpb_guidelines-art_6-1-badopted_after_public_consultation_sv.pdf. Riktlinjer 2/2019 om behandling av personuppgifter enligt artikel 6.1 b i dataskyddsförordningen i samband med tillhandahållandet av onlinetjänster till registrerade, punkt 57. EU-domstolens dom av den 29 juli 2019, Fashion ID, C-40/17, punkt 95, ECLI:EU:C:2019:629. Ibid, punkt 97.
- Artikel 29-arbetsgruppens yttrande 6/2014 om begreppet den registeransvariges berättigade intressen i artikel 7 i direktiv 95/46/EG, WP 217, 9 april 2014, s. 29. Vid bedömningen vilken inverkan den berörda personens intressen samt grundläggande rättigheter och friheter har är följande överväganden särskilt relevanta i samband med riktad marknadsföring mot användare av sociala medier, i) syftet med den riktade marknadsföringen, ii) detaljnivån från de kriterier som används för den riktade marknadsföringen (t.ex. en allmänt beskriven kohort såsom ”personer med intresse för engelsk litteratur” eller mer detaljerade kriterier för att möjliggöra segmentering och riktad marknadsföring på en mer detaljerad nivå), iii) typen (och kombinationen) av kriterier för riktad marknadsföring som används (dvs. om den riktade marknadsföringen endast fokuserar på mindre detaljer som hänför sig till den registrerade eller har en mer omfattande natur) och iv) naturen (känslighet), volym och källan från de data som används för att utveckla kriterierna för den riktade marknadsföringen. Se artikel 29-arbetsgruppens yttrande 6/2014 om begreppet den registeransvariges berättigade intressen i artikel 7 i direktiv 95/46/EG, WP 217, 9 april 2014 https://ec.europa.eu/justice/Article-29/documentation/opinion-recommendation/files/2014/wp217_sv.pdf. Artikel 29-arbetsgruppen, Yttrande om profilering och automatiserat beslutsfattande, WP 251, rev. 01, s. 15. Se även artikel 29-arbetsgruppens yttrande om berättigat intresse, s. 32 och 48: ”Sammantaget råder det en obalans mellan företagets berättigade intresse och skyddet av användarnas grundläggande rättigheter. Artikel 7
- f bör därför inte åberopas som rättslig grund för behandlingen. Artikel 7 a är en lämpligare grund, förutsatt att villkoren för giltigt samtycke är uppfyllda”. Se artikel 29-arbetsgruppens riktlinjer om samtycke enligt förordning (EU) 2016/679, WP 259 rev. 01. Se artikel 29-arbetsgruppens riktlinjer om samtycke enligt förordning (EU) 2016/679, WP 259 rev. 01, s. 3–4. Se riktlinjer 2/2019 om behandling av personuppgifter enligt artikel 6.1 b i dataskyddsförordningen i samband med tillhandahållandet av onlinetjänster till registrerade, version 2.0, 8 oktober 2019, finns på https://edpb.europa.eu/sites/edpb/files/files/file1/edpb_guidelines-art_6-1-badopted_after_public_consultation_sv.pdf.
- I situationer där e-postadresser används för direktmarknadsföring till användare måste personuppgiftsansvariga också beakta artikel 13 i direktivet om integritet och elektronisk kommunikation. Fastställandet av ändamålen och medlen för behandlingen från den riktade marknadsföraren och leverantören av sociala medier liknar det i exempel 1 (även om det inte är identiskt). Genom att ladda upp sammanställningen av e-postadresser och bestämma ytterligare kriterier för riktad marknadsföring fastställer den riktade marknadsföraren kriterierna för den riktade marknadsföringen och föreskriver vilka personuppgifter från vilka kategorier av personer som ska användas. Leverantören av sociala medier fastställer också vilka personuppgifter som ska behandlas, genom att medge vilka kategorier av uppgifter som ska behandlas, vilka kriterier för riktad marknadsföring som ska erbjudas och vem som ska ha tillgång till (vilka typer av) personuppgifter som behandlas inom ramen för en särskild riktad marknadsföringskampanj. Det gemensamma ändamål som ligger till grund för dessa behandlingar liknar det ändamål som anges i exempel 1, nämligen att visa en särskild annons för en grupp enskilda personer (i detta fall: användare av sociala medier) som utgör målgruppen.
- Spårningspixlar består av små fragment av kod som är integrerade på den riktade marknadsförarens webbplats. När en enskild person går in på den riktade marknadsförarens webbplats med sin webbläsare skickar webbläsaren automatiskt en begäran till leverantören av sociala medier om att få tillgång till spårningspixeln. När spårningspixeln har laddats ner kan leverantören av sociala medier normalt sett övervaka användarens session (dvs. personens beteende på den eller de berörda webbplatserna). De observerade uppgifterna kan exempelvis användas för att lägga till en användare av sociala medier till en viss målgrupp.
- En leverantör av sociala medier kan också avgöra var deras användare befinner sig på grundval av andra datapunkter, däribland IP-adress och wifi-information från mobila enheter, eller användardata (t.ex. om de anger information om var de befinner sig i ett inlägg på plattformen).
- EU-domstolens dom i målet Planet 49 Gmbh, C-673/17, punkt 73. Se yttrande 5/2019 om samspelet mellan direktivet om integritet och elektronisk kommunikation och den allmänna dataskyddsförordningen, särskilt när det gäller dataskyddsmyndigheternas behörighet, uppgifter och befogenheter. Se även EU-domstolens dom i målet Fashion ID, C-40/17, punkterna 89–91. Ibid, punkt 74. EDPB:s riktlinjer 05/2020 om samtycke enligt förordning 2016/679, version 1.1, s. 6. EU-domstolens dom i målet Planet 49, C-673/17, punkt 57. EDPB:s riktlinjer 05/2020 om samtycke enligt förordning 2016/679, version 1.1, s. 19.
- EDPB:s riktlinjer 05/2020 om samtycke enligt förordning (EU) 2016/679, version 1.1, s. 16, punkt 65. Dom av den 29 juli 2019, Fashion ID, C-40/17, ECLI:EU:C:2019:629, punkterna 100–101. Detta gäller i än högre grad eftersom det är sociala medier som utför läs- och skrivoperationer på användarens terminal när det gäller de flesta verktyg för riktad marknadsföring, eftersom de samlar in personuppgifterna för riktad reklam. Därför är leverantören av sociala medier ansvarig för att säkerställa att giltigt samtycke erhålls. Yttrande 5/2019 om samspelet mellan direktivet om integritet och elektronisk kommunikation och den allmänna dataskyddsförordningen, särskilt när det gäller dataskyddsmyndigheternas behörighet, uppgifter och befogenheter, punkt 41. Artikel 29-arbetsgruppen, Yttrande om profilering och automatiserat beslutsfattande, WP 251, rev. 01, s. 15. Se även artikel 29-arbetsgruppens yttrande om berättigat intresse, s. 32 och 48: ”Sammantaget råder det en obalans mellan företagets berättigade intresse och skyddet av användarnas grundläggande rättigheter. Artikel 7 f bör därför inte åberopas som rättslig grund för behandlingen. Artikel 7 a är en lämpligare grund, förutsatt att villkoren för giltigt samtycke är uppfyllda”.
- Yttrande 5/2019 om samspelet mellan direktivet om integritet och elektronisk kommunikation och den allmänna dataskyddsförordningen, särskilt när det gäller dataskyddsmyndigheternas behörighet, uppgifter och befogenheter, punkt 41. EDPB, Riktlinjer 2/2019 om behandling av personuppgifter enligt artikel 6.1 b i dataskyddsförordningen i samband med tillhandahållandet av onlinetjänster till registrerade, version 2.0, 8 oktober 2019, punkt 1. Se även artikel 29-arbetsgruppens riktlinjer om rätten till dataportabilitet, WP 242 rev. 01, 5 april 2017, s. 10.
- Vad gäller sidor på sociala medier kan villkoren för gemensamt personuppgiftsansvar också vara uppfyllda när det gäller statistiska uppgifter som leverantören av sociala medier lämnar till sidadministratören, se EUdomstolens dom i mål C-210/16, Wirtschaftsakademie. EDPB noterar att riktad marknadsföring även kan ha förekommit i tidigare exempel. Riktlinjer för automatiserat individuellt beslutsfattande och profilering enligt förordning (EU) 2016/679, WP 251 rev. 01, s. 7.
- Riktlinjer för automatiserat individuellt beslutsfattande och profilering enligt förordning (EU) 2016/679, WP 251 rev. 01, s. 22. Se även artikel 29-arbetsgruppens riktlinjer om öppenhet enligt förordning (EU) 2016/679, WP 260 rev. 01, 11 april 2018, https://ec.europa.eu/newsroom/Article29/item-detail.cfm?item_id=622227.
- Hänvisning till EDPB:s riktlinjer om öppenhet enligt förordning (EU) 2016/679. Artikel 29-arbetsgruppen, Riktlinjer om samtycke enligt förordning (EU) 2016/679, WP 259 rev. 01, punkterna 24 och 35. Yttrande 1/2010 om begreppen registeransvarig och registerförare, WP 169, s. 28. EU-domstolen, Fashion ID, punkterna 102 och 105.
- Såsom klargörs i EDPB:s riktlinjer 7/2020 om begreppen personuppgiftsansvarig och personuppgiftsbiträde i dataskyddsförordningen är varje personuppgiftsansvarig skyldig att säkerställa att uppgifterna inte behandlas vidare på ett sätt som är oförenligt med de ändamål för vilka de ursprungligen samlades in av den personuppgiftsansvarige som delade uppgifterna. Det bör utgöra god praxis att den personuppgiftsansvarige som planerar att behandla personuppgifter för ytterligare ändamål tillhandahåller tillräckliga medel till den andra personuppgiftsansvarige som överför personuppgifter för att förvissa sig om att det verkligen föreligger en rättslig grund, sannolikt samtycke, och att de registrerade vederbörligen har informerats, eftersom detta skulle göra det möjligt för den riktade marknadsföraren att säkerställa att överföringen till leverantören av sociala medier är laglig.
- I artikel 15.1 och 15.2 i dataskyddsförordningen anges vilken information som ska lämnas till registrerade som begär tillgång till sina uppgifter. I artikel 15.3 och 15.4 i dataskyddsförordningen regleras rätten att erhålla en kopia. Se EDPB, riktlinjer om öppenhet enligt förordning (EU) 2016/679, s. 35. För ytterligare uppgifter om information enligt artikel 15 i dataskyddsförordningen i samband med profilering, se artikel 29-arbetsgruppen, WP 251 rev. 01, s. 17, (”[a]rtikel 15 ger registrerade rätt att få detaljer om de personuppgifter som eventuellt har använts för profilering, inbegripet de kategorier av uppgifter som använts för att konstruera en profil. Utöver allmän information om behandling enligt artikel 15.3 är den personuppgiftsansvarige skyldig att tillgängliggöra de uppgifter som har använts som ingångsvärden för att skapa profilen, samt att ge tillgång till information om profilen och detaljer om viket segment den registrerade har placerats i”). Det är viktigt att sådan information anpassas till den registrerades särskilda situation och kompletterar eventuell information som redan lämnats enligt artiklarna 1 och 14.
- Se EDPB:s riktlinjer om konsekvensbedömning avseende dataskydd och fastställande av huruvida behandlingen ”sannolikt leder till en hög risk” i den mening som avses i förordning 2016/679, WP 248 rev. 0.
- EDPB upprepar att en konsekvensbedömning avseende dataskydd inte krävs när behandlingens art, omfattning, sammanhang och ändamål i hög grad liknar en behandling för vilken en konsekvensbedömning avseende dataskydd redan har utförts. I sådana situationer kan resultat från en konsekvensbedömning avseende dataskydd för en liknande behandling användas, se artikel 29-arbetsgruppens riktlinjer om konsekvensbedömning avseende dataskydd och fastställande av huruvida behandlingen ”sannolikt leder till en hög risk” i den mening som avses i förordning 2016/679, WP 248 rev. 01, s. 12. Ibid, s. 8.
- Se analysen i kapitel 5.2.1. Artikel 29-arbetsgruppen, Riktlinjer om automatiserat individuellt beslutsfattande och profilering enligt förordning (EU) 2016/679, WP 251, rev. 01, s. 15.
- I exempel 14 föreligger det inte något gemensamt personuppgiftsansvar mellan leverantören av sociala medier och YourPerfectJob vid tidpunkten för insamlingen av personuppgifter, eftersom de inte gemensamt fastställer ändamålen med insamlingen och den efterföljande behandlingen av personuppgifter för YourPerfectJob i detta skede av behandlingen. EDPB vill erinra om att analysen av roller och ansvarsområden måste göras från fall till fall och att slutsatsen om detta specifika exempel inte påverkar eventuellt vidare arbete från EDPB om API:er. Det skulle naturligtvis föreligga en annan situation om leverantören av sociala medier, förutom att tillhandahålla personuppgifterna, också deltog vid fastställandet av det ändamål som YourPerfectJob eftersträvar. Under alla omständigheter föreligger det fortfarande ett gemensamt personuppgiftsansvar mellan den riktade marknadsföraren och leverantören av sociala medier när det gäller användningen av riktad marknadsföring som baseras på en sammanställning.
- Artikel 29-arbetsgruppen klargjorde i sitt yttrande om vissa centrala frågor gällande direktivet om brottsbekämpning (WP 258, 29 november 2017, s. 10) att uttrycket ”på ett tydligt sätt har offentliggjorts av den registrerade” måste tolkas som att den registrerade var medveten om att uppgifterna i fråga kommer att vara tillgängliga för allmänheten, vilket även inbegriper myndigheter och fastställde ”[v]id eventuell tveksamhet bör en snäv tolkning tillämpas …”.
- EU-domstolens dom av den 5 juni 2018, Wirtschaftsakademie, C-210/16, punkt 43.
- Se även EU-domstolen, C-131/12, Google Spain (”ansvar, behörighet och möjligheter”). EDPB anser att en bedömning baserad på de kriterier som anges ovan (t.ex. de data som används för att fastställa kriterierna för den riktade marknadsföringen, matchningen av den registrerade, insamlingen av samtycke) i en rad olika situationer sannolikt kommer att visa att leverantören av sociala medier har ett större inflytande i praktiken på behandlingen och därför har ett större ansvar, beroende på vilken specifik mekanism för riktad marknadsföring som används. Eftersom BestBags.com har integrerat spårningspixeln för sociala medier på sin webbplats har företaget dessutom ansvaret för att uppfylla kraven i direktivet om integritet och elektronisk kommunikation när det gäller detta verktyg. Detta har även betydelse för fastställandet av ansvarsnivån, eftersom pixeln också underlättar behandlingen av personuppgifter.