Direktivets tillämplighet i sociala medier

Enligt den föreslagna lydelsen i artikel 3 ska DTD tillämpas på varje avtal där leverantören tillhandahåller konsumenten digitalt innehåll eller åtar sig att göra detta och där, som motprestation, ett pris ska betalas eller konsumenten aktivt tillhandahåller en annan motprestation än pengar i form av personuppgifter eller andra uppgifter. DTD ska inte tillämpas på sådan behandling som är absolut nödvändig för att fullgöra avtalet eller för att uppfylla rättsliga krav. Det ska inte heller tillämpas på andra uppgifter som leverantören begär att konsumenten ska tillhandahålla för att säkerställa att det digitala innehållet är i överensstämmelse med avtalet eller för att uppfylla rättsliga krav, om leverantören inte använder dessa uppgifter för kommersiella ändamål.⁸⁹

Digitalt innehåll enligt DTD är innehåll som framställs och tillhandahålls i digital form, tjänster som gör det möjligt att skapa, bearbeta eller lagra uppgifter i digital form när dessa uppgifter tillhandahålls av konsumenten och tjänster som gör det möjligt att utbyta och interagera på annat sätt med uppgifter i digital form som tillhandahålls av andra användare av tjänsten.⁹⁰ Rekvisitet digitalt innehåll är i sig ingen nyhet inom EU-rätten.

Även direktivet om konsumenträttigheter, DKR, var tillämpligt på digitalt innehåll.

Artikel 2.11 i DKR definieras digitalt innehåll som data som produceras och tillhandahålls i digital form, vilket omfattar spel, datorprogram, musik, appar, videor eller texter oavsett om åtkomsten ges genom nedladdning, direktuppspelning eller på vilket annat sätt som helst.⁹¹ Utmärkande för digitalt innehåll är att det tillhandahålls digitalt.

Trots den vida definitionen av digitalt innehåll i DKR föreslås digitalt innehåll i DTD vara mer vidare och särskilt omfatta tjänster som möjliggör skapande, behandling eller

89 COM (2015) 634 final av den 9 december 2015, s 26.

90 COM (2015) 634 final av den 9 december 2015, s 25.

91 Skäl 19 DOK.

41

lagring av data.⁹² EU-kommissionen har uttryckligen angett sociala medier som exempel på digitalt innehåll i DTD.⁹³

Ett ytterligare krav för att DTD ska vara tillämpligt är att det ska vara fråga om ett avtal om tillhandahållande av digitalt innehåll.

Ett avtal i DTD är en överenskommelse avsedd att ge upphov till förpliktelser eller andra rättsliga verkningar.⁹⁴ Regler om ingående av avtal eller formkrav för avtalet regleras inte närmare av DTD. Om godkännandet av användarvillkoren i sociala medier innebär att rättsliga förpliktelser och verkningar uppkommer är därmed inte klart.

I Konsumentverkets rapport Personuppgifter som betalningsmedel diskuterar Larsson och Ledendahl om ett samtycke till behandling av personuppgifter kan innebära att konsumenten har godkänt ett avtalsvillkor.

Larsson och Ledendahl anför inledningsvis att en leverantör i huvudsak erbjuder användare tillgång till ett socialt nätverk för att göra inlägg och skicka meddelanden till andra användare och tillgången till tjänsten sker kostnadsfritt. Leverantörens förtjänst består istället av att tillhandahålla användargenererat innehåll till annonsörer. För leverantörernas relation till annonsörerna är det avgörande att leverantören kan analysera användarnas personuppgifter, som de får tillgång till genom användarens godkännande av användarvillkoren. Tillgången till användarens personuppgifter och rätten att använda personuppgifterna i olika syften kan därför ses som en underförstådd del av användarens motprestation för den kostnadsfria tillgången till tjänsten. Användarvillkoren om behandling av personuppgifter kan dock inte rättsligt innebära en förpliktelse att användaren måste prestera något. Ett avtalsvillkor i civilrättslig mening måste enligt Larsson och Ledendahl inte alltid avse att avtalsparternas motprestation utgör en aktiv handling. För att ett avtalsvillkor ska föreligga kan det vara tillräckligt att avtalsparten

92 COM (2015) 634 final av den 9 december 2015, s 17.

93 COM (2015) 634 final av den 9 december 2015,s 12.

94 COM (2015) 634 final av den 9 december 2015, s 25.

42

förpliktar sig att underlåta att göra något. Enligt Larsson och Ledendahl är samtycket som lämnas för behandling av personuppgifter en sådan prestation att konsumenten godkänner att näringsidkaren vidtar en åtgärd som annars hade varit förbjuden enligt GDPR. Ett användarvillkor som avser behandling av personuppgifter i en gratistjänst för sociala medier kan därför principiellt utgöra ett avtalsvillkor enligt marknadsrätten.⁹⁵ DTD ska genomföras i enlighet med marknadsrätten och därför skulle det kunna tala för att en rättslig förpliktelse, ett avtal, enligt DTD också föreligger när en konsument godkänner användarvillkor i sociala medier.

DTD ska vidare endast tillämpas om konsumenten aktivt tillhandahåller leverantören personuppgifter eller andra uppgifter.

Vad som utgör en personuppgift definieras inte i DTD, men mot bakgrund av att DTD implementeras i full överensstämmelse med GDPR, går det att anta samma definition ska gälla i DTD som i GDPR. En personuppgift i DTD kan därför antas vara varje upplysning som avser en identifierad eller identifierbar fysisk person.

Till skillnad från GDPR tillämpas DTD också när konsumenten tillhandahåller leverantören andra uppgifter. Vilka dessa uppgifter är framgår inte av DTD, men andra uppgifter har bland annat benämnts av EDPS som icke-personliga uppgifter.⁹⁶ Eftersom det saknas en generell definition av andra uppgifter i DTD har det ifrågasatts om det kommer vara tillräckligt att konsumenten tillhandahåller enstaka uppgifter eller om det krävs ett större antal uppgifter för att DTD ska vara tillämpligt.⁹⁷ Ur ett rent köprättsligt perspektiv framstår det som märkligt att regelverket skulle bli tillämpligt i sin helhet, eftersom konsumentens vederlag eller motprestation enligt avtalet i dessa lägen är nästintill obefintlig. En anledning till att rekvisiten andra uppgifter inte har definierats kan vara att DTD ska ha väldigt brett tillämpningsområde, mot bakgrund av de

95 KO 2017:4, s 32f.

96 European Data Protection Supervisor, Yttrande 4/2017 om förslaget till ett direktiv om vissa aspekter på avtal om tillhandahållande av digitalt innehåll av den 14 mars 2017, s 7.

97 Uppsala universitet, Remiss av två förslag till direktiv från Europeiska kommissionen, Ju2015/10162/L2, s 3.

43

ekonomiska intressena bakom regelverket. Medan GDPR ska stärka den personliga integriteten ska DTD stärka konsumentens förtroende i den digitala gränsöverskridande handeln genom att tillhandahålla ett tydligt avtalsrättsligt regelverk med starka konsumenträttigheter till digitalt innehåll.⁹⁸ Att göra skillnad på de uppgifter som kan vara kränkande för den personliga integriteten och mer anonyma uppgifter kan ligga mer i linje med syftet bakom ett regelverk som GDPR än ett regelverk som DTD. En konsument som enbart tillhandahåller en näringsidkare uppgifter som inte är personuppgifter, exempelvis en bild tagen på ett landskap, kan fortfarande ha ett intresse av få tillbaka bilden vid en eventuell hävning så att den tillgodogöra sig innehållet.

Slutligen ska DTD endast tillämpas om konsumenten aktivt tillhandahåller personuppgifter eller andra uppgifter till leverantören.

I skäl 14 DTD förklaras aktivt tillhandahållande som att direktivet bara ska tillämpas om leverantören efterfrågar och konsumenten aktivt tillhandahåller uppgifter, direkt genom en individuell registrering eller indirekt till leverantören på grundval av ett avtal som ger leverantören tillgång till konsumentens uppgifter.⁹⁹

Tidigare har jag konstaterat att Artikel 29-gruppen har anfört att medvetet och aktivt tillhandahållna personuppgifter enligt artikel 20 GDPR kan vara sådana som den registrerade lämnat via nätformulär. Rätten till dataportabilitet omfattar också observationer av den registrerades aktivitet. I artikeln User provided personal content in the EU digital currency har Malgieri därför tagit sig an uppgiften att undersöka om aktivt tillhandahållande enligt artikel 3.1 DTD motsvarar Artikel 29-gruppens tolkning av tillhandahållande enligt artikel 20 GDPR.

Malgieri konstaterar inledningsvis att aktivt och passivt tillhandahållande inte är detsamma som direkt eller indirekt tillhandahållande. I skäl 14 DTD anges exempelvis att uppgifter inte behöver tillhandahållas direkt för att vara aktivt tillhandahållna.

98 COM (2015) 634 final av den 9 december 2015, s 15.

99 COM (2015) 634 final av den 9 december 2015, s17f.

44

Uppgifterna kan även tillhandahållas indirekt, baserat på ett ingånget avtal.¹⁰⁰ En sådan tolkning stämmer överens med Artikel 29-gruppens tolkning av rekvisitet tillhandahållande i artikel 20 GDPR, som både omfattar de personuppgifter som den registrerade har lämnat direkt till den personuppgiftsansvarige via nätformulär, och de personuppgifter som den personuppgiftsansvarige har lagrat genom observerande av användarens aktivitet.

Artikel 29-gruppen har anfört att information från cookies och IP-adresser kan vara sådan observerade uppgifter som omfattas av rätten till dataportabilitet. I skäl 14 DTD görs dock ett undantag som inte stämmer överens med Artikel 29-gruppens tolkning av rekvisitet tillhandahållande enligt GDPR. Skäl 14 DTD föreslås ange att direktivet inte är tillämpligt på situationer där leverantören samlar in information, inklusive personuppgifter, som IP-adress eller uppgifter som överförs via cookies, utan ett aktivt tillhandahållande från konsumenten sida, även om den godkänner kakan. Ett samtycke till cookies enligt direktivet om elektronisk kommunikation, DEK, ställer upp samma krav som GDPR med avseende på ett giltigt samtycke. Samtycket som lämnas bör därför vara en entydigt bekräftande handling som innebär ett frivilligt, specifikt, informerat och otvetydigt medgivande från den registrerade.¹⁰¹ Skäl 32 i GDPR anger till och med uttryckligen att tystnad eller inaktivitet inte utgör ett giltigt samtycke. Trots att ett godkännande av cookies enligt både GDPR och DEK måste vara aktivt för att vara giltigt, bedöms samma godkännande inte utgöra ett aktivt tillhandahållande enligt DTD. En orsak till att uppgifter som överförs via cookies inte anses vara aktivt tillhandahållna enligt DTD kan bero på informationens kvalitet och att DTD ska skydda de ekonomiska aspekterna av informationen som konsumenten delar med sig av.

I förhållande till DTD:s tillämplighet på avtal om tillhandahållande av sociala medier blir frågan om vad som utgör ett aktivt tillhandahållande inte lika problematisk. Genom att godkänna användarvillkoren accepterar användaren att personuppgifter och andra uppgifter får behandlas av företaget. Detta godkännande utgör ett sådant aktivt

100 Malgieri, ‘User-provided personal content’ in the EU: digital currency between data protection and intellectual property, International Review of Law, Computers & Technology, s 126.

101 Skäl 32 GDPR.

45

tillhandahållande som exemplifieras i skäl 14 DTD, direkt genom en individuell registrering och indirekt till leverantören på grundval av ett avtal. DTD är därför tillämpligt vid användandet av sociala medier.