13.12.2022

Grund för behandling av personuppgifter

I det fall som nu bedöms har Helmet-biblioteken på webbplatsen Helmet.fi använt olika slag
av uppföljningsteknik, såsom analysverktyget Google Analytics och tjänsten Google Tag
Manager.

När det gäller behandlingsgrunden fäster biträdande dataombudsmannen särskild vikt vid att
Helmet-biblioteken på sin webbplats har installerat olika slags uppföljningsteknik som tar sig
in i på besökarens terminalutrustning så snart denne anlänt till webbplatsen innan till
exempel ett fönster som används för att inhämta samtycke till användning av kakor (en s.k.
kakbanner) ens har visats för användaren. Helmet-biblioteken har använt dessa
personuppgifter till exempel för att utveckla tjänsten, och uppgifterna har också funnit sin väg
till tillhandahållarna av uppföljningstjänsterna för användning i deras företagsverksamhet.

Vad gäller registrering och användning av personuppgifter konstaterar biträdande
dataombudsmannen att det är 205 § i lagen om tjänster inom elektronisk kommunikation
som ska tillämpas. Tillämpningen övervakas av Transport- och kommunikationsverket
Traficom. För att den fortsatta behandling av personuppgifter efter att samtycke har
inhämtats och uppgifterna registrerats med hjälp av uppföljningsteknik ska uppfylla
dataskyddslagstiftningen måste de krav som gäller installation av kakor och annan
uppföljningsteknik i 205 § i lagen om tjänster inom elektronisk kommunikation först
uppfyllas. I fråga om dessa grundläggande krav är det i enlighet med vad som konstaterats
ovan Traficom som ska bedöma om användning av uppföljningsteknik i webbsidor är laglig.

Eftersom kakbannern på webbplatsen Helmet.fi, genom vilken det har varit meningen att
samtycke till användningen av kakor ska inhämtas, inte har fungerat korrekt, får det
emellertid anses uppenbart att ett giltigt samtycke inte har inhämtats. Den fortsatta
behandlingen har därför inte skett enligt dataskyddslagstiftningen.

Eftersom Helmet-biblioteken har använt personuppgifter som samlats in med hjälp av
uppföljningsteknik utan laglig behandlingsgrund har förfarandet stått i strid med artiklarna 5.1 a och 6.1 i dataskyddsförordningen, vilka kräver att det för behandling av personuppgifter,
inklusive fortsatt behandling av personuppgifter som samlats in med hjälp av
uppföljningsteknik på webbsidor, finns en laglig och de facto tillämpbar behandlingsgrund.
Förfarandet har likaså stridit mot artikel 25 i dataskyddsförordningen, och vid behandlingen
av personuppgifter har de personuppgiftsansvariga inte sett till att dataskyddet beaktats i
deras verksamhet på ett sådant sätt att kraven på inbyggt dataskydd uppfyllts. Artikel 25.1 i
dataskyddsförordningen (inbyggt dataskydd) kräver att den personuppgiftsansvarige effektivt
verkställer dataskyddsprinciperna i artikel 5, däribland laglighetsprincipen i artikel 5.1 a.

Risk att utomstående har fått tillgång till uppgifter som samlats in vid materialsökningar

Helmet-biblioteken har i den utredning som lämnats till dataombudsmannens byrå uppgett att
analystjänsten Google Analytics har använts endast på innehållssidorna, inte i
materialsökningen eller på sidorna Egna uppgifter.

Biträdande dataombudsmannen konstaterar efter att ha utrett frågan följande: På
webbplatsen Helmet.fi kan verk sökas med hjälp av funktionen för materialsökning. Då syns
till exempel den sökta bokens titel i URL:en för sidan med sökresultat, dvs. i fältet för sidans
webbadress (t.ex. https://haku.helmet.fi/iii/encore/record/C Rb2347993 Smuumipappa%
20ja%20meri Orightresult U X7?lang=fin&suite=cobalt).

Om användaren efter detta via en länk på sidan med sökresultat har gått till exempelvis
webbplatsen Helmet.fi:s framsida där tjänsten Google Analytics har varit i bruk, har uppgifter
om det verk som sökts kunnat hamna hos Google via Referers http-rubrikfält. Det bör
noteras att Helmet-biblioteken inte har definierat till exempel en så kallad Referrer Policy
genom vilken det hade varit möjligt att förhindra att information från materialsökningar
hamnar hos utomstående.

Information från sökning av verk i ett bibliotek kan avslöja en betydande mängd uppgifter om
en persons privatliv, och de kan användas för att skapa en personprofil för den registrerade.6
Ovarsamhet vid behandlingen av personuppgifter har i föreliggande fall lett till att sådana
uppgifter veterligen har förmedlats åtminstone till Google, som har kunnat använda dem.
Artikel 32 i dataskyddsförordningen (säkerhet i samband med behandlingen) kräver att den
personuppgiftsansvarige vidtar lämpliga tekniska och organisatoriska åtgärder bland annat
för att säkerställa att utomstående inte kommer åt personuppgifter.

Artikel 25 i dataskyddsförordningen (inbyggt dataskydd och dataskydd som standard) kräver
att dataskyddet byggs in i den personuppgiftsansvariges verksamhet och beaktas i all
behandling av personuppgifter som standard. När personuppgifter oavsiktligt kan hamna hos
tredjeparter på ett systematiskt sätt är det uppenbart att det finns brister i hur det inbyggda
dataskyddet och dataskyddet som standard utformats. Eftersom det i Helmet-bibliotekens verksamhet har varit möjligt att uppgifter från materialsökningar har läckt till utomstående,
uppfyller de personuppgiftsansvarigas förfarande till dessa delar inte kraven i artiklarna 32.1,
32.2 och 25 i dataskyddsförordningen.

Information till de registrerade

Information om dataskyddet i fråga om den uppföljningsteknik som Helmet-biblioteken
använder har varit tillgänglig för de registrerade via länken Om webbplatsen på webbplatsen
Helmet.fi. Via länken Om webbplatsen har man också kommit åt en länk till Helmetbibliotekens
kundregister, där det i fråga om dataöverföring sägs att en del av
tjänsteleverantörerna också verkar utanför EU eller EES.

Dataskyddsinformationen ska kunna hittas lätt av den registrerade. Av rubriken Om
webbplatsen framgår det inte tydligt att den information om behandlingen av personuppgifter
som lagen kräver hittas via länken. Dataskyddsinformationen kan således inte anses vara
lätt att hitta för den registrerade, och kravet på öppenhet i behandlingen av personuppgifter
uppfylls inte till dessa delar.

I fråga om uppföljningstekniken innehåller den information som tillhandahålls de registrerade
inte information om vilka tjänsteleverantörers (såsom Google) uppföljningsteknik som
används vid behandlingen av personuppgifter och hur länge uppgifterna lagras. Artikel 13 i
dataskyddsförordningen kräver till exempel att den registrerade tillhandahålls information om
de mottagare eller kategorier av mottagare som ska ta del av personuppgifterna (artikel 13.1
d) och den period under vilken personuppgifterna kommer att lagras (artikel 13.2 a).

EU-domstolen har till exempel i sin dom C-673/17 EU fastställt att tjänsteleverantören ska lämna
webbplatsanvändaren information om kakornas funktionstid och möjligheten för tredje part
att få tillgång eller inte till dessa kakor.

De som registrerats enligt artikel 13 i dataskyddsförordningen ska också informeras om
överföring av personuppgifter till tredjeländer och om överföringsgrunden (artikel 13.1 e). I
det fall som är under prövning har man gett informationen att en del av tjänsteleverantörerna
verkar även utanför EU eller EES. Detta räcker inte för att man ska kunna bilda sig en
uppfattning till exempel om vilka tjänsteleverantörer det är fråga om och på vilken grund det
har ansetts möjligt att överföra personuppgifter till länder utanför EU- och EES-området.
Informationen har dessutom placerats under en länk till kundregistret, och är därför inte lätt
att hitta för de registrerade.

Tillhandahållandet av information för de registrerade om den behandling av personuppgifter
som sammanhänger med användningen av uppföljningsteknik, inklusive överföringen av
uppgifter, är enligt vad som sagts ovan bristfälligt, och den registrerade kan inte på grundval
av den information som getts få en klar uppfattning om hur och under vilka villkor dennes
personuppgifter verkligen behandlas i denna kontext.

Överföring av uppgifter till tredjeländer vid användning av uppföljningsteknik

På webbplatsen Helmet.fi har det använts uppföljningstekniker genom vilka personuppgifter
för dem som använt webbplatsen har överförts också till tredjeländer. Man har till exempel
anlitat det amerikanska företaget Googles tjänster, däribland Google Analytics och Google
Tag Manager.

Förenta staternas myndigheters åtkomst till personuppgifter

År 2013 visade det sig att en del av världens största teknikföretag, såsom Microsoft,
Facebook (Meta), Google, Skype och Apple, deltog i Förenta staternas nationella
säkerhetsmyndighet NSA:s övervakningsprogram.

Till dessa program hör PRISM som har gett NSA direkt tillgång till teknikföretagens
centralservrar, och de amerikanska myndigheterna kan därför i realtid se och samla in
exempelvis alla vanliga medborgares datatrafik till Google utan medverkan av Google.
Föremål för insamlingen har i praktiken varit exempelvis e-postmeddelanden, fotografier,
internetchattar och samtalsdata. Insamlingen av data har särskilt gällt utlänningar, dvs. i
praktiken till exempel i Norden personer som använder Googles och andra teknikjättars
tjänster.

De amerikanska företagen ska likaså efter en juridiskt bindande begäran från myndigheten
överlämna personuppgifter till myndigheten enligt USA:s nationella lagstiftning. Följaktligen
gäller myndigheternas tillgång till personuppgifter också aktörer som inte deltar i NSA:s
övervakningsprogram.

Europeiska kommissionen publicerade den 27 november 2013 en rapport enligt vilken
förenta staterna har bekräftat PRISM-programmets existens och att programmet har sin
rättsliga grund i akten Foreign Intelligence Surveillance Act 1978 (FISA).

Google och överföring av data till USA

I föreliggande ärende har huvudstadsregionens bibliotek på sin webbplats Helmet.fi använt
tjänster från Google såsom analysverktyget Google Analytics. Tjänsten Google Analytics
läser och lagrar data som samlats in med hjälp av kakor som installeras i användarens
webbläsare. Dessa data överförs till Googles servrar i Förenta staterna (Enligt den utredning som Google lämnat till den franska dataskyddsmyndigheten (CNIL) i ärendet
med dnr MDM221005.). Personuppgifter som samlats in på webbplatsen Helmet.fi har följaktligen överförts till Förenta staterna.

Dataskyddsförordningen kräver att överföring av personuppgifter från unionen till
personuppgiftsansvariga, personuppgiftsbiträden eller andra mottagare i tredjeländer inte
äventyrar den nivå på skyddet för personuppgifter som anges i dataskyddsförordningen, och
för att uppnå en tillräcklig nivå på dataskyddet vid överföring av data mellan EU och USA har
man tidigare använt det arrangemang som kallats Privacy Shield. Unionens domstol har
likväl i sin dom C-311/18 (den s.k. Schrems II-domen) fastställt att beslut 2016/1250 om
tillräckligheten i nivån på det dataskydd som erbjuds av arrangemanget Privacy Shield
mellan EU och USA är ogiltigt.

I sin dom anser unionens domstol att de begränsningar av skyddet av personuppgifter som
följer av Förenta staternas interna bestämmelser om åtkomst till och användning av sådana
uppgifter som överförts från unionen till Förenta staterna inte är reglerade på ett sådant sätt
att de uppfyller de krav som följer av unionsrätten. De registrerade ges inte heller några
verkställbara rättigheter som kan göras gällande mot amerikanska myndigheter vid
domstol. Unionens domstol har vidare fastställt att den personuppgiftsansvarige är skyldig
att avbryta överföringen av personuppgifter till ett tredjeland, om den inte kan vidta ytterligare
åtgärder som är tillräckliga för att säkerställa skyddet av personuppgifter.

I föreliggande ärende har Helmet-biblioteken enligt utredningen i sin verksamhet inte på ett
adekvat sätt beaktat det som EU-domstolen fastställt i dom C-311/18, utan de har på sin
webbplats använt webbteknik som innefattar dataöverföring till USA utan kompletterande
skyddsåtgärder.

När det gäller kompletterande skyddsåtgärder, såsom kryptering av personuppgifter, lyfter
biträdande dataombudsmannen i detta sammanhang fram att till exempel Google enligt
FISA-regleringen är skyldigt att ge USA:s myndigheter krypteringsnyckeln. Om en
kompletterande skyddsåtgärd som vidtas av den personuppgiftsansvarige till exempel gör
det möjligt för Google att komma åt okrypterade data, uppfyller åtgärden med andra ord inte
de krav som EU-domstolen fastställt i dom C-311/18. Den personuppgiftsansvarige ska i
sin verksamhet också säkerställa att den amerikanska myndigheten inte får tillgång till
personuppgifter till exempel med stöd av nationell lagstiftning i USA, såsom CLOUD Act.

Eftersom Helmet-biblioteken i den utredning som de lämnat dataombudsmannens byrå har
berättat att de har använt också Matomos tjänst och att Google Analytics kommer att
ersättas med Matomos analystjänst, lyfter biträdande dataombudsmannen likaså fram att de
personuppgiftsansvariga också när det gäller Matomos tjänst är skyldiga att sörja för att det
vid användningen av tjänsten inte förekommer internationella dataöverföringar som strider
mot dataskyddslagstiftningen och att behandlingen av personuppgifter vid användningen av
tjänsten också i övrigt sker i enlighet med dataskyddsförordningen. Tjänsten i fråga är inte
per automatik sådan att användningen inte skulle kunna leda till sådana dataöverföringar.

Helmet-biblioteken har genom det förfarande som beskrivits ovan brutit mot artikel 44 i
dataskyddsförordningen, som kräver att överföring av personuppgifter uppfyller villkoren i
kapitel V i förordningen, och mot artikel 46 i förordningen. Artikel 46 kräver lämpliga
skyddsåtgärder när ett beslut enligt artikel 45 saknas. En laglig grund för överföringen av de
registrerades personuppgifter till Förenta staterna saknas.

Helmet-biblioteken har enligt den utredning som de lämnat vidtagit åtgärder för att avlägsna
uppföljningsteknikerna från webbplatsen Helmet.fi, och dataombudsmannens byrå har i
samband med detta instruerat Helmet-biblioteken att säkerställa att de inte har kvar tjänster
som medför sådana överföringar av personuppgifter till USA som strider mot
dataskyddslagstiftningen.

Allmänt om uppföljningsteknik som används på myndigheternas webbplatser

I fråga om uppföljningsteknik som myndigheter använder på sina webbplatser konstaterar
biträdande dataombudsmannen på ett allmännare plan än det aktuella fallet följande:
Biträdande dataombudsmannen understryker att myndigheters webbtjänster i princip ska
kunna användas utan risk för att de registrerade utsätter sig för att tredjeparter samlar in
information om dem med hjälp av uppföljningsteknik och utan att information om besök på
webbsidan blir tillgänglig till exempel för kommersiella ändamål och för profilering som görs
av utomstående aktörer. Det bör beaktas att Google till exempel i användarvillkoren för
tjänsten Google Analytics meddelar att företaget kan använda uppgifter som det fått tillgång
till med hjälp av uppföljningsteknik för sina egna syften.

En myndighet får inte heller på sin webbplats använda besökarnas personuppgifter som
betalning, och myndigheten ska därför göra en adekvat bedömning av om det är fråga om
exempelvis en avgiftsfri tjänst där de registrerades personuppgifter de facto lämnas ut som
motprestation.

Myndigheten ska likaså vad gäller den fortsatta behandlingen beakta att när
behandlingsgrunden för personuppgifterna är den registrerades samtycke ska samtycket
vara uttryckligt, informerat och omfatta alla behandlingsändamål inbegripet eventuellt
utlämnande av uppgifterna. För alla olika behandlingsändamål bör man också inhämta
separat samtycke för att exempelvis kravet att samtycket ska vara frivilligt de facto ska
uppfyllas, och samtycken som ska inhämtas för olika användningsändamål kan inte buntas
ihop under ett enda samtycke. Ett berättigat intresse är enligt artikel 6.1 i
dataskyddsförordningen inte en behandlingsgrund som tillämpas i myndigheters
verksamhet.

En myndighet ska noga överväga hurdan uppföljningsteknik som verkligen behövs på dess
webbplats och om myndighetens webbtjänst kan tillhandahållas utan annan
uppföljningsteknik än den som är nödvändig för webbplatsens funktion. I en sådan
bedömning är det motiverat att beakta att det bland besökarna på myndighetens webbplats
kan finnas personer i svagare ställning, inbegripet äldre och barn, vars digitala färdigheter
kan vara bristfälliga eller för vilka det kan vara svårt att förstå vad behandlingen av
personuppgifter via uppföljningsteknik handlar om och för vilka ändamål uppgifterna kan
komma att användas.

Det bör beaktas att när uppföljningsteknik används på en webbplats är det möjligt att följa
en besökare när denna förflyttar sig till andra webbplatser, vilket exempelvis gör det möjligt
att spåra användarens navigeringsväg och handlingar på webben och att skapa en
detaljerad profil på personen i fråga. Eftersom tredjeparter kan bedriva en betydande
insamling av personuppgifter med hjälp av uppföljningsteknik, ska myndigheter vara särskilt
omsorgsfulla när de fattar beslut om vilken uppföljningsteknik som ska installeras på deras
webbplatser. Användning av uppföljningsteknik på webbsidor förutsätter såväl teknisk
sakkunskap som insikter i dataskyddsjuridik, inklusive begreppet personuppgift.