Sidans innehåll

    Rapporten finns också som pdf här

    1. Sammanfattning

    Sveriges Konsumenter har under maj 2014 gått igenom personuppgiftspolicyn på tolv hemsidor. De är av olika typer och riktar sig till olika målgrupper. Resultatet visar på stora skillnader, bland annat gäller det möjligheten att handla utan att vara inloggad eller att ha ett konto, samt vilka uppgifter man kräver att du som konsument lämnar ifrån dig. Skillnaderna gäller också om du aktivt måste tacka ja till deras personuppgiftspolicy eller om du automatiskt anses ha tackat ja till den bara genom att använda sidan.

    Vissa företag är tydliga med att tala om att de vidareförmedlar personuppgifter till tredje part både inom EES och till tredje land utanför EES medan andra talar om att de inte säljer personuppgifter vidare. Ytterligare andra berättar inte alls hur de gör med uppgifterna. Vissa företag talar om vilka deras samarbetspartners är medan andra inte gör det. En del talar om att uppgifterna kan sparas i upp till fem år efter avslutad kontakt medan andra inte säger något alls om hur länge de sparar dina uppgifter.

    En konsekvens av detta är att du som konsument kan bli uppringd av telefonförsäljare, får sms-reklam, spam eller på annat sätt blir uppsökt i marknadsföringssyfte från företag du aldrig varit i kontakt med. Detta just för att du samtyckt till att ett företag dels sparar och använder dina personuppgifter långt efter det att du avslutat er kontakt och dels säljer dina personuppgifter vidare både för marknadsförings- och marknadsundersökningssyfte. Företag du inte har någon affärskontakt med kan alltså ringa upp dig, trots att du nixat dig, eftersom du utan att förstå det godkänt att ett för dig okänt företag kan ha fått dina personuppgifter från det företag du handlat av. Antingen kan du ha accepterat detta då du klickat i att du godkänner villkoren (”I agree” eller ”Jag godkänner”) att de förmedlar dina personuppgifter eller bara accepterat detta ”in blanco” då du handlat från en hemsida.

    De flesta företag är tydliga med att tala om att de följer Personuppgiftslagen (PUL) och att du har rätt att få ut och ändra de personuppgifter de lagrat om dig. Men för de företag som inte kräver ett individuellt och otvetydigt samtycke och som sparar mer än nödvändiga uppgifter för längre tid än vad som behövs för att fullfölja ett avtal kan vi konstatera att detta inte överensstämmer med reglerna i PUL.

    Sveriges Konsumenter har fyra krav för att värna konsumenterna:

    1. Slut på långa och obegripliga avtal till konsument för nättjänster.
    2. Öka transparensen kring hur personuppgifter används och säljs.
    3. Öka möjligheten för konsumenten att vara anonym vid handlande och surfande på nätet.
    4. Se till att konsumenterna alltid kan radera och ta med sig sina personuppgifter.


    2. Bakgrund

    Det blir allt svårare för en konsument att få kontroll över sina personuppgifter på nätet, eftersom du är tvungen att lämna ifrån dig en mängd uppgifter för att kunna utnyttja olika tjänster samtidigt som de avtal som vi godkänner ofta är långa och obegripliga för de flesta utan juridisk utbildning. Varken kunskaperna eller tiden räcker helt enkelt till. Det har lett till ett beteende där vi mer eller mindre tvingas lämna ifrån oss personuppgifter utan att kunna vara säkra på hur de används. Vi godkänner visserligen med ett kryss i rutan ”Jag godkänner villkoren” eller ”I agree”. Men vad godkänner vi? Till vad klickar vi ”I agree”?

    Utvecklingen befinner sig på ett sluttande plan och integritet på internet håller på att bli en stor konsumentfråga. Skydd av personuppgifter och större transparens tillhör de krav som såväl den svenska som den europeiska och den internationella konsumentrörelsen driver allt hårdare.

    Sveriges Konsumenters vision för 2020 är bland annat att uppnå följande:

    Konsumenter som är trygga, kompetenta och handlingskraftiga, som har en stark röst med makt över sin konsumtion och där de hållbara valen är enkla och möjliga för alla.

    En fungerande marknad där det råder balans i styrka mellan näringsliv och konsumenter med varor och tjänster som är säkra, tillgängliga, prisvärda och hållbara.

    Ett perspektiv och synsätt som utgår från alla konsumenters behov och de åtta grundläggande konsumenträttigheterna samt från målet om en långsiktigt hållbar utveckling, såväl socialt, ekologiskt som ekonomiskt.

    Ett samhälle som är stöttande, fritt och rättvist med ett starkt konsumentskydd på en hög nivå där regler, tillsyn och sanktioner bidrar till ett samhälle där den som har rätt också får rätt.

    Ett av de prioriterade områdena för 2014 är digitala rättigheter. Flera av kraven i valplattformen ”100 krav för en starkare konsumentpolitik” siktar också in sig på att stärka konsumentens integritetsskydd.

    Hur ser det då ut på nätet?

    För att få en bättre bild har Sveriges Konsumenter under maj 2014 gått igenom personuppgiftspolicyn på tolv hemsidor som vänder sig till konsumenter i Sverige. Vid analysen har vi utgått från Personuppgiftslagen (PUL). I denna lag finns regler för hur personuppgifter får behandlas. Lagen bygger i hög grad på samtycke med och information till de registrerade. Vilka regler i personuppgiftslagen som gäller beror på hur personuppgifterna som publiceras är strukturerade. Om personuppgifterna lagras i en databas eller annan typ av register anses uppgifterna vara strukturerade.

    Enligt den branschöverenskommelse som finns för marknadsföring ska uppgifter om personer förstöras snarast efter det att de använts för den avsedda direktmarknadsföringen. Överenskommelsen säger också att med hänsyn till att adressuppgifter ofta ändras och därför inte kan betraktas som aktuella under någon längre period bör personuppgifter som behandlas för direktreklam inte bevaras längre än tre månader räknat från det datum då de samlades in.

    Datainspektionen anser att uppgifter om kundens personnummer och folkbokföringsadress är adekvata och relevanta för att administrera det kundförhållande som uppstår i samband med att en beställning genomförs. Däremot är det svårt att se varför det skulle vara nödvändigt för kunden att lämna ut folkbokföringsuppgifter på bolagets hemsida i samband med en beställning som inte rör en vara som skickas hem. Detta särskilt som utlämnandet sker redan innan en beställning fullbordats. Det här förhållandet ökar risken för bedrägerier, genom att vem som helst som har tillgång till ett personnummer kan mata in personnumret i fråga och på så sätt, utan lösenord, göra beställningar i en annan persons namn. Bedragaren kan sedan hämta ut varan i postlådan som finns på folkbokföringsadressen och den som har personnumret får fakturan.

    3. Resultat

    3a. Fem fel

    Vid genomgången av de tolv hemsidorna har Sveriges Konsumenter identifierat fem typer av problem för dig som konsument när det gäller hur företagen använder dina personuppgifter:

    1. Inget aktivt samtycke. I de flesta fall måste du inte aktivt kryssa i att du accepterar företagens personuppgiftspolicy utan det räcker att du är inne på sidan, handlar eller öppnar ett konto, för att du automatiskt anses ha accepterat deras personuppgiftspolicy, hur de samlar in, sparar och vidareförmedlar dina uppgifter. Enligt Personuppgiftslagen får ett företag inte upprätta ett register utan att inhämta ditt otvetydiga och aktiva samtycke.
    2. Viktiga villkor drunknar i mängden. Eftersom företagen vet att de flesta inte läser igenom avtalstexter och framförallt inte förstår all information i dessa ofta komplicerat skrivna texter, ser det ut som om företagen i många fall passar på att baka in flera villkor som du aldrig skulle samtyckt till om du hade läst och/eller förstått vad det faktiskt är du samtycker till. I många fall kan du dessutom inte använda sidan om du inte samtycker eller är inloggad.
    3. Uppgifter vidareförmedlas. Även om du aktivt samtycker till att ett företag samlar in dina personuppgifter och använder sig av dem så borde detta inte med automatik innebära att företaget kan vidareförmedla dina uppgifter och ditt samtycke till andra företag som sedan kan ”bombardera” dig med reklam, marknadsundersökningar och marknadsföring. Man får inte utan ett individuellt och otvetydigt samtycke lämna ut eller sälja sitt kundregister till andra företag som inte har liknade verksamheter och varken lämna ut eller sälja medlemsregister, kartlägga en persons inköpsvanor, ta fram kundprofiler eller liknade, vilket flera av företagen gör.
    4. Oskäligt lång tid för avregistrering. Att handla, med eller utan inloggning, går oftast bra att göra direkt utan dröjsmål. Att däremot avregistrera sig och slippa bli attackerad med reklam och marknadsföring kan i värsta fall ta upp till fem år.
    5. Onödiga uppgifter avkrävs. Att behöva lämna ifrån sig information om personnummer, bostadsadress mm är i de fall där det inte handlar om att du beställer hem en vara fullständigt onödigt. Uppgifter om kön, intressen och andra personliga uppgifter är också helt onödigt om du inte själv är intresserad av en väldigt personlig och skräddarsydd reklam både från företaget i fråga och alla deras partners.

    3b. Användarkonto för att kunna handla

    I många fall går det inte ett handla eller använda tjänsten utan att ha ett användarkonto. Här måste man ställa sig frågan om det verkligen ska behövas, när det ofta rör sig om ett engångsköp. T ex behöver du skapa ett användarkonto för att överhuvudtaget kunna köpa en vara eller en tjänst på fem av de tolv hemsidor som vi har tittat på. Detta gäller Ellos, Ticnet, Brandos och Zalando.

    På alla andra hemsidor, där man utan att uppge mer än nödvändiga uppgifter kan gå direkt till en snabbkassa och handla, blir du påmind om att en registrering av ett konto eller ett medlemskap innebär att du får del av fantastiska erbjudanden, som många har svårt att låta bli.

    3c. Onödiga personuppgifter

    Nio av tolv, alltså de flesta av Sveriges Konsumenters undersökta hemsidor, kräver mer än nödvändiga uppgifter för att beställa en vara eller en tjänst. CDON, Ellos och Jollyroom kräver t ex att du anger ditt personnummer. Ellos, Ticnet, Adlibris, Ikea, Brandos och Zalando kräver att du lämnar ut din e-postadress. Ditt telefonnummer måste du lämna till Brandos och Zalando.

    Vilket kön du har vill både Ticnet och Brandos veta, men vilket språk du talar behöver du bara uppge till Ticnet. Något annat kön än man eller kvinna kan du inte välja.

    Din bostadsadress kan vara nödvändig information för att företaget ska kunna skicka beställda varor, men att även Booking.com behöver veta var du bor är inte nödvändigt.

    3d. Automatiskt samtycke

    Ibland måste du klicka i att du accepterar användarvillkoren och företagets personuppgiftspolicy och att de använder sig av cookies, men i de flesta fall står det i villkoren att bara genom att registrera dig eller genom att göra en beställning så samtycker du automatiskt till deras personuppgiftspolicy. Detta gäller t ex hos Ticnet där deras avtalsvillkor kan läsas på sex tätskrivna sidor. Även om företaget informerar om detta, vet företagen att de flesta inte läser igenom vad det är du faktiskt accepterar.

    Om du hade läst vad du tackat ja till, är det inte säkert du hade accepterat att företagen sparar uppgifter i upp till fem år efter det att du använt sidan eller handlat något, eller att kontaktuppgifter lämnas ut till tredje part både inom och utanför EES, både för marknadsundersökningar och marknadsföring. Ibland har du inte ens möjlighet att läsa igenom och acceptera personuppgiftspolicyn eftersom du förutsätts acceptera den bara genom att besöka sidan, även om du inte handlar något eller är inloggad. I många fall är det även förkryssat att du vill ha nyhetsbrev eller annan marknadsföring.

    En ärlig uppmaning har Blocket som skriver att de kan dela information med samarbetspartners och att de kräver ditt samtycke för att skicka anpassad information och erbjudanden om Blocketrelaterade tjänster. När du lägger in en annons eller på annat sätt använder deras tjänster så accepterar du automatiskt att Blocket får använda och spara informationen och att de kan lämna ut dina personuppgifter till andra. Om du inte kan acceptera detta så får du avstå från att använda tjänsten. Klart och tydligt besked.

    4. De tolv kartlagda hemsidorna

    4a. CDON

    För att använda sig av CDON:s tjänster måste du vara inloggad eller beställa med hjälp av ditt personnummer.
    När du registrerar ett konto med personnummer, namn och adress är det förkryssat att du tackar ja till deras nyhetsbrev.
    I och med registreringen samtycker du till att CDON och dess närstående bolag lagrar och använder både personuppgifter och uppgifter om inköp. Vill man inte detta så går det att avanmäla.
    För att vara inloggad måste du acceptera cookies.
    Företaget meddelar att du har rätt att begära ut personuppgifter 1 ggr/år samt göra ändringar.
    Det står inget i deras villkor om marknadsföring eller vidareförmedling av uppgifter till tredje land.

    4b. Ellos

    Även här måste du skapa ett användarkonto för att kunna handla. Du måste registrera dig med en e-postadress och genom en registrering samtycker du till deras behandling av personuppgifter. Något som kan återkallas skriftligen.
    Det är förkryssat att du accepterar erbjudanden och nyheter via e-post.
    Personuppgifter kan lämnas ut till Ellos group och deras samarbetspartners inom och utom Europa. De analyserar dina köp och aktiviteter genom sina sidor och sociala medier för marknadsföringssyften. Dina uppgifter kan de spara i upp till 3 år efter det att kundförhållandet har upphört. (Det betyder hela garantitiden för den vara du köpt plus ytterligare 3 år.)
    Det är frivilligt att lämna ut mer personuppgifter, men om du inte samtycker till deras personuppgiftspolicy så går det inte att handla.
    Företaget meddelar att du har rätt att begära ut personuppgifter 1 ggr/år samt göra ändringar.

    4c. Ticnet

    Hos Ticnet måste du ha ett konto för att kunna handla. De kräver info om namn, kön, e-postadress, land, telefonnummer och språk.

    Genom att skapa kontot godkänner du att de kontaktar dig med erbjudanden och marknadsföring även från evenemangspartners och 3:e part. För att gå vidare på sidan måste du acceptera detta.

    Företaget använder sig även av spårningsverktyg såsom cookies, beacons, gps-positionering, info om vilken enhet du använder och hur ofta och var du laddar ner en app. De scannar ditt musikbibliotek, om du accepterar detta. De analyserar ditt beteende för att kunna erbjuda tjänster, reklam, produkter, marknadsundersökningar och skräddarsyr reklam i samarbete med andra. Med ditt medgivande kan du bli kontaktad av tredje part t ex välgörenhetsorganisationer och detaljhandelsbolag.
    Om du inte samtycker får du inte del av erbjudanden. Om du väljer att skriva ”stop” på ett sms-reklammeddelande så tar det 10 dagar innan det får effekt och de slutar skicka sms-reklam.
    Din information överförs även till andra länder.

    Företaget meddelar att du har rätt att begära ut personuppgifter 1 ggr/år samt göra ändringar.

    4d. Adlibris

    Hos Adlibris kan du handla i snabbkassan utan att behöva vara inloggad.
    Väljer du att skaffa ett konto så ska du ange namn, adress, e-post och telefonnummer. Då måste du också acceptera att de lagrar och använder dina personuppgifter, leverans- betalnings- och inköpsuppgifter om dina produkter och att de gör områdesbaserade statistiskt beräknade profiler med utgångspunkt i din adress, utbildning, civilstånd, ålder, boendeform, ortens läge, inkomstnivå, antal barn, resvanor och livsstil. Dessa uppgifter samlas in i samband med dina inköp eller via andra källor t ex olika offentliga register och databaser. Dessa uppgifter används dels inom hela Bonnierkoncernen, dels av samarbetspartners utanför koncernen, för statistik och marknadsföring.

    Uppgifterna sparas en tid efter medlemskapet men du får inte veta hur länge.

    Företaget meddelar att du har rätt att begära ut personuppgifter 1 ggr/år samt göra ändringar.

    4e. IKEA

    När du beställer en katalog, en vara eller blir medlem hos IKEA sparas din e-postadress mm för service och marknadsföring inom och utanför koncernen, även utanför EES. Företaget samkör dina uppgifter med andra register. T ex uppdateras dina uppgifter via SPAR.

    Företaget använder sig av olika cookies, vilka du kan radera, men då får du inte tillgång till alla områden och funktioner.

    Företaget informerar om att dina uppgifter raderas inom 5 år av inaktivitet samtidigt som man skriver följande: 
"Skickar man något till IKEA ger man IKEA fullständiga och oåterkalleliga rättigheter att använda, reproducera, modifiera, överföra och distribuera materialet och informationen samt att IKEA äger rätt att använda idéer, koncept och annat i valfritt syfte".
    Så även om du kan handla i snabbkassan utan att vara inloggad så är det inget du kan göra på sidan utan att acceptera deras personuppgiftspolicy.

    4f. Bauhaus

    Hos Bauhaus kan du handla utan att vara inloggad. Ditt personnummer behöver du bara lämna om du vill handla mot faktura.
    Men oavsett inloggad eller ej godkänner du i och med en beställning att dina personuppgifter lagras. De poängterar dock att det bara är deras anställda med kundkontakter och säkerhetsanställda som får tillgång till dina uppgifter.
    De använder cookies som registrerar vad du gör, vilka inlägg du skriver samt vad du lägger i varukorgen.
    De lämnar inte ut dina uppgifter till tredje part såvida det inte gäller till polisen vid pågående utredning och de medverkar inte till spam eller säljer kunduppgifter. Du får bara e-post rörande kundrelationer samt olika erbjudanden men aldrig från tredje part.
    Företaget meddelar att du har rätt att begära ut personuppgifter 1 ggr/år samt göra ändringar.

    4g. Nelly

    Hos Nelly behöver du inte vara inloggad för att handla. Du behöver uppge namn och uppgifter för fakturering. Genom att registrera dig eller handla samtycker du till att Nelly och närstående bolag lagrar uppgifter om dina inköp och dina kontaktuppgifter för att information och marknadsföring. Man gör detta via mail och sms om du inte direkt motsatt sig detta.
    Det är bara Nelly och närstående bolag som får del av uppgifterna. Man vidareförmedlar inte dina uppgifter utan ditt samtycke, vilket kan återkallas.
    De använder cookies som du kan ta bort, men då kan du inte vara inloggad.
    Företaget meddelar att du har rätt att begära ut personuppgifter 1 ggr/år samt göra ändringar.

    4h. Booking.com

    Visserligen kan du boka utan att öppna ett konto men med konto förenklas hanteringen. När du gör en bokning ombeds du att uppge namn, adress, telefonnummer, mailadress, betalningsinformation, namn på de gäster du reser med samt bokningspreferenser. Booking.com samlar information om språkinställning och latitud/longitud oavsett om man bokar något eller ej. Man samlar också in information om dig via sociala medier. Man delar uppgifterna internationellt med kundtjänstpersonal över hela världen.

    Med hjälp av dina personliga inställningar kan du skapa och dela listor, dela bilder, se boenden som du sökt på tidigare och annan information som du uppgett om olika boenden och resmål. Det ger också möjlighet att se alla recensioner du har skickat in. Om du vill kan du dela viss information på ditt användarkonto genom att skapa en officiell profil som är knuten till antingen ditt eget förnamn eller ett alias som du väljer. Den typ av information du kan dela omfattar foto, namnen på platser du besökt, listor, framtida resplaner, recensioner och annan information om boenden och resmål. Informationen används också i marknadsundersökningar och för marknadsföringssyft. Du kan avsluta nyhetsbrev och reklamutskick.

    Booking.com skräddarsyr erbjudanden i appar, sociala medier eller på tredje parts webbplats eller som sms i telefon. Genom sociala medier marknadsför de även partners boende.

    Personuppgifter delas med tredje part inom företagsgruppen och moderbolaget samt dess grupp. Företaget erbjuder tredje partstjänster och samarbetar med sina partners i marknadsföringssyfte. "Gratisappar" samlar in och processar personuppgifter, har lokaliseringstjänster samt om du accepterat det, visas inskickade recensioner på webbplatsen, i appar och sociala medier.

    För att t ex komma ihåg dina val används cookies. Även från tredje part. Företaget har onlinemarknadsföring och reklam men bara från medlemmar i NAI (Network Advertising Initiative) och IAB (Interactive advertising Bureau) vilka ska borga för att de följer god affärssed.

    Tar du bort cookies får du inte tillgång till alla funktioner.
    Du kan radera ditt användarkonto men din info sparas i 5 år efter sista besöket.

    Företaget meddelar att du har rätt att begära ut dina personuppgifter.

    4i. Jollyroom

    Du kan handla på Jollyroom utan att vara inloggad, men måste lämna namn, adress, e-postadress och telefonnummer. I och med att du beställer eller registrerar dig så accepterar du deras personuppgiftspolicy. De lämnar inte ut personuppgifter till tredje part.
    Företaget meddelar att du har rätt att begära ut personuppgifter 1 ggr/år samt göra ändringar.

    4j. Brandos

    På Brandos måste du skapa ett konto för att beställa. Du måste uppge både e-postadress, mobilnummer och om du är man eller kvinna. Det är förkryssat att du vill ha nyhetsbrev. Genom att godkänna köpvillkoren samtycker du till deras personuppgiftspolicy. Personuppgifterna används för att lämna erbjudanden från Brandos och närstående bolag, men vilka dessa är får du ingen information om.
    Företaget meddelar att du har rätt att begära ut personuppgifter 1 ggr/år samt göra ändringar.

    4k. Zalando

    Hos Zalando måste du vara inloggad för att få handla. Zalando lagrar dina uppgifter så länge som föreskrivs i lag eller krävs för att utföra tjänsterna. Du måste lämna både namn, adress, e-postadress och telefonnummer. Genom att skicka dina uppgifter samtycker du till deras personuppgiftspolicy. Du måste dock aktivt klicka i om du vill ha nyhetsbrev.
    Företaget lagrar uppgifter såsom titel, namn, kön, mailadress, postadress, telefonnummer och kreditkortsuppgifter. Företaget granskar nedladdningar från deras webbsida, skräddarsyr och identifierar sina användare för undersökningar kring demografiska uppgifter och skickar sedan information om produkter och tjänster om du inte motsatt dig detta. Företaget överför även kontaktuppgifter till affärspartners och tredje part. Dock delar de inte dina uppgifter till tredje land utanför EES.
    Uppgifterna kan användas för marknadsundersökningar vilket du kan avanmäla. För att kunna delta i tävlingar måste du ha lämnat ifrån dig din e-postadress. Om du avregistrerar dig tar det sju dagar innan det registreras.

    Företaget har sociala plugins t ex på Facebook, en direktkoppling till Facebooks servrar. Är du inloggad kan information läggas på ditt Facebook-konto och publiceras på Facebook. Detta går dock att blockera.
    Om du inte accepterar cookies kan du inte använda kundkorgen eller beställa något.

    Företaget använder sig också av webtrekk som samlar in data för marknadsundersökningar och optimeringssyfte. Detta måste du godkänna för att de ska kunna identifiera besökare. De använder Googles servrar i USA. De utvärderar hur du använder sidan, sammanställer rapporter kring aktiviteter på webbsidan och ordnar med service rörande webbaktiviteter och internetanvändande. Detta kan också överföras till tredje part. Så fort du använder sidan samtycker du till att uppgifter om dig kan processas av Google.
    Utan ditt uttryckliga samtycke kommer inte din användarprofil att lagras ihop med data avseende en pseudonym.
Företaget meddelar att du har rätt att begära ut personuppgifter 1 ggr/år samt göra ändringar.

    4l. Blocket

    Blocket kan du använda utan att ha ett konto.
    Blocket kan dela din information med sina samarbetspartners. Det krävs dock ditt samtycke för att de ska skicka anpassad information och erbjudanden om Blocket-relaterade tjänster. Du kan tacka nej. Men när du lägger ut en annons eller använder Blockets tjänster medger du att Blocket använder, sparar och kan lämna ut dina personuppgifter till andra. Om du inte kan acceptera detta måste du avstå från att använda sidan.

    5. Sveriges Konsumenters slutsatser

    Internet är numera närmast en nödvändighet för att kunna fungera som samhällsmedborgare och konsument. Då är det mycket viktigt att villkoren för konsumenterna är rimliga och inte utgår från människor som har utbildning, tid och tålamod att utforska vad villkoren egentligen innebär. Vår undersökning av tolv hemsidor visar att situationen är djupt oroande och att företagen utnyttjar konsumenters underläge för att få personuppgifter som sedan säljs vidare till olika parter helt utanför konsumentens kontroll. Kraven på konsumenterna idag är orimliga. För att kunna använda många tjänster - även av mycket enkel karaktär - tvingas vi godkänna långa avtal som knappt är fullt begripliga ens för utbildade jurister.

    Här faller ansvaret tungt såväl på företagen själva som på tillsynsmyndigheter – i första hand Datainspektionen – som på lagstiftare såväl på EU- som på nationell nivå. Sveriges Konsumenters valplattformar inför EU-valet och riksdagsvalet innehåller många viktiga krav på politiken för att värna integriteten och andra rättigheter i den digitala världen.

    För att möta de problem som tas upp i denna rapport har Sveriges Konsumenter fyra krav för att värna konsumenterna:

    1. Slut på långa och obegripliga avtal för nättjänster. Det är inte acceptabelt med 60-sidiga avtal som i praktiken enbart utgör friskrivningar till företagets fördel. Begripligheten måste anpassas efter vad konsumenter kan förväntas förstå. Avtal ska gärna förses med sammanfattningar.
    2. Öka transparensen kring hur personuppgifter används och säljs. Undersökningen visar stora brister i transparensen, gärna med standardsformuleringar på väl synlig plats av typen ”Vi förmedlar dina personuppgifter vidare till andra företag…”.
    3. Öka möjligheten för konsumenten att vara anonym vid handlande och surfande på nätet. Det är orimligt att konsumentens ak behöva lämna ifrån sig rader av uppgifter bara för att köpa en konsertbiljett eller en bok.
    4. Se till att konsumenterna alltid kan radera och ta med sig sina personuppgifter. Detta är ett av kraven i EU:s förslag på dataskyddsförordning, men vägen till ikraftträdande är lång och mycket kan göras på frivillig väg.

    6. Bilaga Personuppgiftslagen

    Grundläggande krav på behandlingen av personuppgifter

    9 § Den personuppgiftsansvarige skall se till att
    a) personuppgifter behandlas bara om det är lagligt,
    b) personuppgifter alltid behandlas på ett korrekt sätt och i enlighet med god sed,

    c) personuppgifter samlas in bara för särskilda, uttryckligt angivna och berättigade ändamål,

    d) personuppgifter inte behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in,
    e) de personuppgifter som behandlas är adekvata och relevanta i förhållande till ändamålen med behandlingen,
    f) inte fler personuppgifter behandlas än som är nödvändigt med hänsyn till ändamålen med behandlingen,
    g) de personuppgifter som behandlas är riktiga och, om det är nödvändigt, aktuella,

    h) alla rimliga åtgärder vidtas för att rätta, blockera eller utplåna sådana personuppgifter som är felaktiga eller ofullständiga med hänsyn till ändamålen med behandlingen, och

    i) personuppgifter inte bevaras under en längre tid än vad som är nödvändigt med hänsyn till ändamålen med behandlingen.

    I fråga om första stycket d gäller dock att en behandling av personuppgifter för historiska, statistiska eller vetenskapliga ändamål inte skall anses som oförenlig med de ändamål för vilka uppgifterna samlades in.

    Personuppgifter får bevaras för historiska, statistiska eller vetenskapliga ändamål under längre tid än som sagts i första stycket. Personuppgifterna får dock i sådana fall inte bevaras under en längre tid än vad som behövs för dessa ändamål.

    Personuppgifter som behandlas för historiska, statistiska eller vetenskapliga ändamål får användas för att vidta åtgärder i fråga om den registrerade bara om den registrerade har lämnat sitt samtycke eller det finns synnerliga skäl med hänsyn till den registrerades vitala intressen.

    RH 2004:51 Hemsida på Internet med personuppgifter. Överträdelse av personuppgiftslagens bestämmelser om...

    RH 2008:87 Fråga om innebörden av begreppet personuppgift i personuppgiftslagen samt skadeståndsskyldighet...

    RÅ 2006 ref. 86 Fråga om rättelse av uppgift i utsöknings- och indrivningsdatabasen när det beslut som legat till...

    När behandling av personuppgifter är tillåten

    10 § Personuppgifter får behandlas bara om den registrerade har lämnat sitt samtycke till behandlingen eller om behandlingen är nödvändig för att
    a) ett avtal med den registrerade skall kunna fullgöras eller åtgärder som den registrerade begärt skall kunna vidtas innan ett avtal träffas,
    b) den personuppgiftsansvarige skall kunna fullgöra en rättslig skyldighet,

    c) vitala intressen för den registrerade skall kunna skyddas,
    d) en arbetsuppgift av allmänt intresse skall kunna utföras,

    e) den personuppgiftsansvarige eller en tredje man till vilken personuppgifter lämnas ut skall kunna utföra en arbetsuppgift i samband med myndighetsutövning, eller

    f) ett ändamål som rör ett berättigat intresse hos den personuppgiftsansvarige eller hos en sådan tredje man till vilken personuppgifterna lämnas ut skall kunna tillgodoses, om detta intresse väger tyngre än den registrerades intresse av skydd mot kränkning av den personliga integriteten.

    AD 2010 nr 87 En arbetsgivare är enligt transportavtalet skyldig att till den lokala fackliga organisationen...

    RH 2004:51 Hemsida på Internet med personuppgifter. Överträdelse av personuppgiftslagens bestämmelser om...

    RH 2008:87 Fråga om innebörden av begreppet personuppgift i personuppgiftslagen samt skadeståndsskyldighet...

    RÅ 2001 ref. 35 Fråga om manuell behandling av personuppgifter i betygshandlingar som är sorterade i...

    RÅ 2001 ref. 68 Jordbruksverkets adressregister över mjölkproducenter har ansetts kunna lämnas ut för kommersiellt...

    RÅ 2002 ref. 54 Utdrag ur Centrala studiestödsnämndens register över mottagare av studiemedel har ansetts kunna...

    RÅ 2008 ref. 83 Behandling av biometriska data i form av fingeravläsning i samband med skolmåltider har ansetts...

    RÅ 2010 ref. 19 Publicering av konkursbouppteckning på Internet har inte ansetts tillåten enligt personuppgiftslagen.

    Direkt marknadsföring

    11 § Personuppgifter får inte behandlas för ändamål som rör direkt marknadsföring, om den registrerade hos den personuppgiftsansvarige skriftligen har anmält att han eller hon motsätter sig sådan behandling.

    Samtycke återkallas

    12 § I de fall då behandling av personuppgifter bara är tillåten när den registrerade har lämnat sitt samtycke enligt 10, 15 eller 34 § har den registrerade rätt att när som helst återkalla ett lämnat samtycke. Ytterligare personuppgifter om den registrerade får därefter inte behandlas.

    En registrerad har utöver vad som följer av första stycket och 11 § inte rätt att motsätta sig sådan behandling av personuppgifter som är tillåten enligt denna lag.

    Förbud mot behandling av känsliga personuppgifter

    13 § Det är förbjudet att behandla personuppgifter som avslöjar
    a) ras eller etniskt ursprung,
    b) politiska åsikter,
    c) religiös eller filosofisk övertygelse, eller
    d) medlemskap i fackförening.

    Det är också förbjudet att behandla sådana personuppgifter som rör hälsa eller sexualliv.

    Uppgifter av den art som anges i första och andra styckena betecknas i denna lag som känsliga personuppgifter.

    RH 2004:51 Hemsida på Internet med personuppgifter. Överträdelse av personuppgiftslagens bestämmelser om...

    Undantag från förbudet mot behandling av känsliga personuppgifter

    14 § Det är trots förbudet i 13 § tillåtet att behandla känsliga personuppgifter i de fall som anges i 15-19 §§.

    I 10 § finns det bestämmelser om i vilka fall behandling av personuppgifter över huvud taget är tillåten.

    Samtycke eller offentliggörande

    15 § Känsliga personuppgifter får behandlas, om den registrerade har lämnat sitt uttryckliga samtycke till behandlingen eller på ett tydligt sätt offentliggjort uppgifterna.

    RH 2004:51 Hemsida på Internet med personuppgifter. Överträdelse av personuppgiftslagens bestämmelser om...

    Nödvändig behandling

    16 § Känsliga personuppgifter får behandlas om behandlingen är nödvändig för att 

    a) den personuppgiftsansvarige skall kunna fullgöra sina skyldigheter eller utöva sina rättigheter inom arbetsrätten,
    b) den registrerades eller någon annans vitala intressen skall kunna skyddas och den registrerade inte kan lämna sitt samtycke, eller
    c) rättsliga anspråk skall kunna fastställas, göras gällande eller försvaras.

    Uppgifter som behandlas med stöd av första stycket a får lämnas ut till tredje man bara om det inom arbetsrätten finns en skyldighet för den personuppgiftsansvarige att göra det eller den registrerade uttryckligen har samtyckt till utlämnandet.

    Behandling av personnummer

    22 § Uppgifter om personnummer eller samordningsnummer får utan samtycke behandlas bara när det är klart motiverat med hänsyn till
    a) ändamålet med behandlingen,
    b) vikten av en säker identifiering, eller
    c) något annat beaktansvärt skäl. Lag (1999:1059).

    Information till den registrerade

    Information skall lämnas självmant

    23 § Om uppgifter om en person samlas in från personen själv, skall den personuppgiftsansvarige i samband därmed självmant lämna den registrerade information om behandlingen av uppgifterna.

    24 § Om personuppgifterna har samlats in från någon annan källa än den registrerade, skall den personuppgiftsansvarige självmant lämna den registrerade information om behandlingen av uppgifterna när de registreras. Är uppgifterna avsedda att lämnas ut till tredje man, behöver informationen dock inte ges förrän uppgifterna lämnas ut för första gången.

    Information enligt första stycket behöver inte lämnas, om det finns bestämmelser om registrerandet eller utlämnandet av personuppgifterna i en lag eller någon annan författning.

    Information behöver inte heller lämnas enligt första stycket, om detta visar sig vara omöjligt eller skulle innebära en oproportionerligt stor arbetsinsats. Om uppgifterna används för att vidta åtgärder som rör den registrerade, skall dock information lämnas senast i samband med att så sker.

    Den information som skall lämnas självmant

    25 § Information enligt 23 eller 24 § skall omfatta 

    a) uppgift om den personuppgiftsansvariges identitet,
    b) uppgift om ändamålen med behandlingen, och
    c) all övrig information som behövs för att den registrerade skall kunna ta till vara sina rättigheter i samband med behandlingen, såsom information om mottagarna av uppgifterna, skyldighet att lämna uppgifter och rätten att ansöka om information och få rättelse.

    Information behöver dock inte lämnas om sådant som den registrerade redan känner till.

    Överföring av personuppgifter till tredje land

    Förbud mot överföring av personuppgifter till tredje land

    33 § Det är förbjudet att till tredje land föra över personuppgifter som är under behandling om landet inte har en adekvat nivå för skyddet av personuppgifterna. Förbudet gäller också överföring av personuppgifter för behandling i tredje land.

    Frågan om en skyddsnivå är adekvat skall bedömas med hänsyn till samtliga omständigheter som har samband med överföringen. Särskild vikt skall läggas vid uppgifternas art, ändamålet med behandlingen, hur länge behandlingen skall pågå, ursprungslandet, det slutliga bestämmelselandet och de regler som finns för behandlingen i det tredje landet. Lag (1999:1210).

    Ändrad 1999-12-21 gm SFS 1999:1210, ikraft 2000-01-01

    RH 2002:71 En person som på Internet registrerat flera sexannonser och därvid hänfört sig till sin f.d. sambo...

    Undantag från förbudet mot överföring av personuppgifter till tredje land

    34 § Det är trots förbudet i 33 § tillåtet att föra över personuppgifter till tredje land, om den registrerade har lämnat sitt samtycke till överföringen eller om överföringen är nödvändig för att
    a) ett avtal mellan den registrerade och den personuppgiftsansvarige skall kunna fullgöras eller åtgärder som den registrerade begärt skall kunna vidtas innan ett avtal träffas,

    b) ett sådant avtal mellan den personuppgiftsansvarige och tredje man som är i den registrerades intresse skall kunna ingås eller fullgöras,
    c) rättsliga anspråk skall kunna fastställas, göras gällande eller försvaras, eller

    d) vitala intressen för den registrerade skall kunna skyddas.

    Det är också tillåtet att föra över personuppgifter för användning enbart i en stat som har anslutit sig till Europarådets konvention om skydd för en-skilda vid automatisk databehandling av personuppgifter.