Workshop om "ePrivacy"-direktivet: ytterligare lagändringar i dataskyddspaketets svallvågor

Tisdagen 12 april ordnade EU-kommissionen en workshop för civilsamhällesorganisationer och näringsliv om den pågående utvärderingen av direktivet om skydd för personuppgifter i elektroniska kommunikationsnät (2002/58/EC). Direktivet innehåller regler om konfidentiell kommunikation, direktreklam, säkerhetskrav för elektroniska nätverk och i vissa fall andra tekniska lösningar som kan finnas hos konsument. Samtidigt lanserade EU-kommissionen ett samråd om ePrivacy-direktivets nuvarande funktion.

Bland frågorna märks:

- Hur ska slutanvändares säkerhet garanteras i förhållande till brottsbekämpande myndigheters intressen (fråga 20)?

- Borde flexibiliteten för medlemsländerna att välja om direktreklam ska vara "opt-in" eller "opt-out" minskas?

- Vem ska vara tillsynsmyndighet? Ska medlemsländerna fortsatt få välja?

Direktivet har blivit mest känt för sin "kakbestämmelse": man får inte mot en slutanvändares kunskap och vilja placera utrustning på slutanvändares terminaler som kan användas för att övervaka deras beteenden. Svårigheten att skilja mellan användning av kakor som innebär en teknisk funktionalitet (att en viss hemsida kommer ihåg att man skrivit in sitt lösenord) och kakor som har en spårande funktionalitet (att en viss tjänst håller koll på användarens beteende) har gjort det svårt att upprätthålla lagen. Post- och telestyrelsen har en pågående tillsyn kring kakor, vars slutsats nu är snart två år försenad.

Anledningen till EU-kommissionens pågående arbete med direktivet lär dock inte vara kakbestämmelserna, som i de flesta medlemsländer helt enkelt inte följts.

Istället finns det problem med vilka myndigheter som tillser direktivet i olika medlemsländer. I Sverige och runt tio andra medlemsländer har Post- och telestyrelsen tillsynsansvar, men i de flesta medlemsländer faller direktivet under datainspektionernas kompetensområde. Förenat med tillsynen finns andra problem: det är vanligt att medlemsländerna finansierar tillsynen av telekomoperatörer genom särskilda avgifter för operatörerna. Eftersom Post- och telestyrelsens tillsynsansvar under ePrivacy-direktivet delvis går utanför telekomsektorn hamnar vissa sektorer i ställningen att de betalar extra för en tillsyn som inte angår dem.

Direktivet innebär också efter dataskyddsförordningen en risk för dubbelbestämmelser om incidentrapportering och geolokationsuppgifter. Eftersom det tillämpas bara på telekomoperatörer, faller vissa tjänster (trådlösa uppkopplingsmöjligheter på hotspots eller Skype-samtal) utanför direktivets tillämpningsområde.

ePrivacy-direktivet har ett bredare och i vissa fall mer säkerhetsorienterat tillämpningsområde, som till skillnad från dataskyddsförordningen även täcker juridiska personer (föreningar och företag). Det rör inte bara uppgifter utan även konfidentiell kommunikation.

Att direktivet har ett fortsatt existensberättigande är ifrågasatt, särskilt från telekomindustrin och den växande internet-of-things-industrin. En hel del aktörer, särskilt från mjukvaraindustrin, ifrågasätter att man kan göra en bra uppdatering av ePrivacy-direktivet utan att först veta hur dataskyddsförordningen kommer tillämpas.

Sverige har tillämpat många av flexibiliteterna i direktivet. Till exempel har Sverige opt-out för direktreklam (jämför NIX-registret), och bestämmelser om datalagring och inhämtning av abonnentuppgifter.

Vi kan vänta oss svarsguider för samrådet från den europeiska organisationen EDRi innan dödslinjen går ut 5 juli 2016.

Läs mer:

EU-kommissionens samråd:

https://ec.europa.eu/digital-single-market/en/news/public-consultation-e...

Föreningen för digitala fri- och rättigheter, projekt kring kaklagen:

https://www.dfri.se/projekt/pts-knappen/

Post- och telestyrelsens hemsida för lagen om elektronisk kommunikation, se särskilt Proposition 2010/11:115:

http://www.pts.se/sv/Bransch/Regler/Lagar/Lag-om-elektronisk-kommunikation/