MD 2016:9, punkt 113.
Hänvisas från p. 8 (s. 163)
1.En växelverkan mellan dataskydd och marknadsrätt framträder inte enbart i det faktum att många marknadsföringsåtgärder inbegriper en behandling av personuppgifter som måste utföras i enlighet med dataskyddslagstiftningen; omvänt kan personuppgiftsbehandlingar som sådana vara kommersiellt beteende som kan bli föremål för marknadsrättslig lagstiftning. Relevant sådan lagstiftning i samband med en behandling av personuppgifter är lagen om avtalsvillkor i konsumentförhållanden (AVLK) vad gäller dataskyddsklausuler i allmänna villkor samt marknadsföringslagen (MFL) med hänsyn till den generella frågan huruvida kommersiella behandlingar av personuppgifter i strid med dataskyddsförordningen kan utgöra en otillbörlig affärsmetod. 3.1 Dataskyddsklausuler i allmänna villkor 3.1.1 Tillämpligheten av AVLK AVLK gäller enligt 1 § avtalsvillkor som näringsidkare använder när de erbjuder varor, tjänster eller andra nyttigheter till konsumenter. Om ett avtalsvillkor är oskäligt mot konsumenten får Patent- och marknadsdomstolen enligt 3 § AVLK förbjuda näringsidkaren att i framtiden i liknande fall använda samma eller väsentligen samma villkor, om förbudet är motiverat från allmän synpunkt eller annars ligger i konsumenternas eller konkurrenternas intresse. AVLK syftar till skyddet av konsumenternas kollektiva intressen genom att generellt bekämpa användningen av oskäliga avtalsvillkor. Begreppet ”avtalsvillkor” definieras varken i AVLK eller i direktiv 93/13/EEG, men bör förstås så att det avser en klausul som ska reglera avtalets innehåll. En avtalsklausul med bäring på dataskyddsfrågor är framför allt en i förväg formulerad samtyckesförklaring, men likaså andra typer av dataskyddsklausuler är tänkbara i allmänna villkor, såsom en ändamålsbestämning enligt artikel 5.1 b i dataskyddsförordningen eller klausuler som innehåller obligatorisk information i enlighet med artiklarna 12–14. Huruvida sådana klausuler kan anses som ”avtalsvillkor” i den bemärkelse som lagen avser är emellertid oklart. Anledningen är att dataskyddsklausuler normalt inte i egentlig mening reglerar ett avtals innehåll, alltså parternas rättigheter och skyldigheter gentemot varandra. Avgörande för tillämpligheten av AVLK bör dock vara huruvida användaren gör anspråk på friheten att formulera avtalet och huruvida den andra parten enbart har valet mellan att acceptera avtalet som helhet eller inte alls. Konsumenterna kan ha ett skyddsbehov även vid andra typer av klausuler än ”avtalsvillkor” i egentlig mening, förutsatt att de ingår i ett avtalsförhållande. Det är därför inte uteslutet att AVLK kan tillämpas på dataskyddsklausuler. I varje fall bör lagen gälla för i förväg formulerade samtyckesförklaringar i allmänna villkor, se den konkreta hänvisningen till direktiv 93/13/EEG i skäl 42 i dataskyddsförordningen. 3.1.2 Dataskyddsklausulers oskälighet Ett avtalsvillkor kan vara oskäligt enligt 3 § AVLK om det medför en sådan snedbelastning i fråga om parternas rättigheter och skyldigheter enligt avtalet att en genomsnittligt sett rimlig balans mellan parterna inte längre föreligger. En betydande obalans mellan parterna existerar bl.a. när ett avtalsvillkor avviker från gällande lagstiftning respektive allmänna rättsprinciper eller när det givits en vilseledande eller oklar utformning. Dataskyddsklausuler i allmänna villkor kan till exempel vara oskäliga när de på ett otydligt sätt beskriver ändamålet med behandlingen, vilket kan avvika från artikel 5.1 b i dataskyddsförordningen (principen om ändamålsbegränsning) eller från kravet på att samtycket ska vara specifikt i enlighet med artikel 4.11. Förformulerade samtyckesförklaringar som bygger på ”opt-out”-lösningar eller som använder på förhand ikryssade rutor utgör inte en entydig bekräftande handling i enlighet med artikel 4.11 i dataskyddsförordningen och kan därför också vara oskäliga. Oskäligt kan tillika vara när samtyckesförklaringar i allmänna villkor i strid med artikel 7.2 i dataskyddsförordningen inte tydligt särskiljs från de andra frågorna i en begriplig och lätt tillgänglig form, med användning av klart och tydligt språk. Ytterligare exempel på oskäliga dataskyddsklausuler kan vara obligatorisk information enligt artiklarna 13 och 14 i allmänna villkor som i strid med artikel 12.1 är oklart och obegripligt formulerad, avtalsvillkor som försvårar utövandet av den registrerades rättigheter i strid med artikel 12.2 eller avtalsvillkor som reglerar orimliga avgifter i strid med artikel 12.5. Alla dessa tänkbara fall av oskäliga dataskyddsklausuler i allmänna villkor påminner starkt om konsumentskyddsfrågor och utgör därför ett annat exempel på överlappningen mellan rättsområdena dataskydd och marknadsrätt vad gäller marknadsrättens konsumentskyddande dimension. 3.2 Behandling av personuppgifter som otillbörlig affärsmetod 3.2.1 Tillämpligheten av MFL För att kunna tillämpa marknadsföringslagen måste en behandling av personuppgifter kunna ses som en form av marknadsföring, respektive måste utgöra en affärsmetod i lagens mening. MFL är tillämplig på all reklam och andra åtgärder i näringsverksamhet som är ägnade att främja avsättningen av varor eller tjänster, oavsett om åtgärden vidtas före, under eller efter försäljningen eller leveransen, se definitionen i 3 § MFL. Begreppet ”affärsmetod” har en synnerligen vid definition och omfattar alla beteenden som ingår i en näringsidkares affärsstrategi och direkt syftar till marknadsföringen och försäljningen av näringsidkarens varor eller tjänster. Marknadsföringslagen är därför tilllämplig på näringsverksamhet vid den tidpunkt då det finns en direkt relation till främjandet av avsättningen av varor eller tjänster, oavsett om det rör sig om en näringsidkares handling, underlåtenhet, beteende, företrädande eller kommersiella meddelande. Lagens tillämpning är oberoende av den konkreta affärsmodellen och omfattar annonsfinansierade tjänster på internet som inte kräver betalning av tjänsternas användare, såsom sökmotorer eller sociala medier.s. 156
2.Flera typer av personuppgiftsbehandlingar bör kunna klassas som en affärsmetod i lagens mening. Särskilt behandlingar av personuppgifter för ändamål som rör direktmarknadsföring, såsom registerföring och profilbildning för det ändamålet, kan anses vara åtgärder som direkt syftar till att främja avsättningen av varor eller tjänster. Ännu tydligare är relationen till avsättningsfrämjandet när det gäller personuppgiftsbehandlingar i samband med pågående kundrelationer, exempelvis behandlingar för att tillhandahålla själva tjänsten (såsom ett socialt medium), tillämpa individanpassad prissättning, hantera betalningar, fullgöra leveranser eller för att ta hand om reklamationer. Andra typer av personuppgiftsbehandlingar står däremot inte i en sådan relation till avsättningen av varor eller tjänster att de i sig kan anses utgöra en affärsmetod. Hit hör rent interna behandlingar av personuppgifter hos näringsidkare, till exempel behandlingar av de anställdas personuppgifter eller behandlingar för ändamål som rör produktutveckling. Inte heller personuppgiftsbehandlingar i samband med marknadsundersökningar behöver nödvändigtvis direkt relatera till avsättningen av varor eller tjänster. Sammanlagt bör ändå många behandlingar av personuppgifter för kommersiella ändamål principiellt omfattas av marknadsföringslagens tillämpningsområde, antingen direkt som en självständig affärsmetod eller indirekt som en del i en affärsmetod. 3.2.2 Lagstridighetsprincipen För det första skulle behandlingar av personuppgifter för ändamål som rör marknadsföring i strid med dataskyddsförordningen också kunna strida mot god marknadsföringssed i den mening som avses i 5 § MFL och sålunda utgöra en otillbörlig affärsmetod. I ”god marknadsföringssed” ligger bl.a. att åtgärder, i enlighet med den s.k. lagstridighetsprincipen, ska vara lagliga, vilket betyder att dessa inte får strida mot annan lag. För att lagstridighetsprincipen ska anses vara uppfylld krävs ett brott mot en relevant bestämmelse utanför själva MFL och EU-förordningar utgör därvid lämpliga lagliga bestämmelser. Till det kommer transaktionstestet i enlighet med 6 § MFL. Dessutom borde det krävas att den lagliga bestämmelsen i fråga reglerar marknadsbeteende i marknadsaktörernas intresse; annars kan inte de lagbrott identifieras som ska kunna sanktioneras marknadsrättsligt. Ett ingripande enligt MFL bör enbart vara motiverat av hänsyn till ekonomiska intressen.s. 159
3.EU:s dataskyddsförordning är en lämplig rättskälla inom ramen för lagstridighetsprincipen, men frågan är om det framstår som legitimt att beivra överträdelser av dataskyddsförordningen med hjälp av marknadsföringslagen. Dataskyddslagstiftning syftar traditionellt till att skydda fysiska personers grundläggande rättigheter och friheter, särskilt deras rätt till skydd av personuppgifter, se artikel 2.2 i dataskyddsförordningen, inte människor i egenskap av konsumenter. Det har emellertid kunnat konstateras att dataskyddsförordningen parallellt ska gynna den fria rörligheten av personuppgifter inom den digitala inre marknaden genom att skapa lika villkor för företag vad gäller behandlingen av personuppgifter och att den därmed också har en kommersiell eller marknadsinriktad dimension. Ytterligare tecken på denna dimension är den nya effektlandsprincipen i artikel 3.2 som har ”lånats” från marknadsföringsrätten och de nya sanktionsavgifterna i artikel 83 som har konkurrensrätten som förebild. Av den anledningen existerar goda skäl för att hävda att dataskyddsförordningen i alla fall delvis reglerar marknadsbeteende i marknadsaktörernas intresse och att tillämpningen av lagstridighetsprincipen därför förefaller vara legitim och ändamålsenlig.s. 160
4.På grund av dataskyddsförordningens integritetsskyddande dimension och dess komplexitet kan dock inte varje överträdelse automatiskt bli relevant från ett marknadsrättsligt perspektiv. Snarare bör en bedömning göras i varje enskilt fall, beroende på vilken bestämmelse överträdelsen gäller. Överträdelser som kommer i fråga som marknadsrättsligt relevanta är framför allt sådana som avser kapitlen II och III i dataskyddsförordningen, såsom behandlingar utanför ändamålsbegränsningen i strid med artikel 5.1 b, behandlingar utan rättslig grund i strid med artikel 6, överträdelser av villkoren för samtycke enligt artikel 7, bristande information i strid med artiklarna 12–14 eller en fortsatt behandling för ändamål som rör direktmarknadsföring efter en invändning i strid med artikel 21.3. Bestämmelser i dataskyddsförordningen av administrativ eller organisatorisk karaktär bör däremot under normala omständigheter inte vara aktuella som bestämmelser inom ramen för lagstridighetsprincipen, såsom överträdelser av en lämplig säkerhetsnivå i strid med artikel 32 i dataskyddsförordningen.s. 161
5.Utgör en bestämmelse i dataskyddsförordningen en relevant marknadsregel i lagstridighetsprincipens mening behöver dessutom transaktionstestet vara uppfyllt. Enligt 6 § MFL är marknadsföring som strider mot god marknadsföringssed att anse som otillbörlig om den i märkbar mån påverkar eller sannolikt påverkar mottagarens förmåga att fatta ett välgrundat affärsbeslut. Ett affärsbeslut är enligt 3 § MFL ett beslut bl.a. om huruvida, hur och under vilka förutsättningar en vara eller tjänst ska köpas eller om huruvida en avtalsenlig rättighet ska utnyttjas. Överträdelser av dataskyddsförordningen i samband med olika typer av marknadsföringsåtgärder, till exempel otillåten profilbildning eller bristande information, kan ha dessa effekter. Att annonsfinansierade tjänster på internet inte kräver betalning med pengar av tjänsternas användare ändrar inte den bedömningen, förutsatt att tjänsterna erbjuds i näringsverksamhet. 3.2.3 Vilseledande Det andra som kan diskuteras när det gäller kommersiella behandlingar av personuppgifter är vilseledande marknadsföring, såväl i form av handling som också i form av underlåtenhet. Enligt 10 § första stycket MFL får en näringsidkare vid marknadsföringen inte använda sig av felaktiga påståenden eller andra framställningar som är vilseledande. Första stycket gäller särskilt framställningar som rör varans eller tjänstens utmärkande egenskaper, leveransvillkor för varan eller tjänsten, näringsidkarens åtagande att följa uppförandekoder eller kundernas rättigheter enligt lag eller annan författning, se 10 § andra stycket MFL. Använder sig en näringsidkare av dataskydd som ett säljargument i sin marknadsföring kan det vara vilseledande, om kraven i dataskyddsförordningen faktiskt inte uppfylls, exempelvis vid felaktiga påståenden om behandlingens laglighet, de registrerades lagliga rättigheter eller innebörden av personuppgiftsansvaret. Likaså felaktiga påståenden i relation till dataskyddsrättsliga uppförandekoder och certifieringar är tänkbara.s. 161
6.Enligt 10 § tredje stycket MFL får en näringsidkare inte heller utelämna väsentlig information i sin marknadsföring; med det avses även sådana fall när den väsentliga informationen ges på ett oklart, obegripligt, tvetydigt eller annat olämpligt sätt. Väsentlig information är sådan information som antingen näringsidkaren är tvungen att upplysa om enligt speciallagstiftning eller som genomsnittskonsumenten, beroende på sammanhanget, behöver för att fatta ett välgrundat affärsbeslut. Här skulle sådan information som en näringsidkare ska lämna till registrerade enligt dataskyddsförordningen kunna anses vara väsentlig information. Informationsplikter enligt speciallagstiftning är först och främst sådana som bygger på de konsumentskyddsdirektiv som listas i bilaga II till artikel 7 femte stycket i direktiv 2005/29/EG (som 10 § tredje stycket MFL implementerar). I den listan förekom redan inte informationsskyldigheter enligt dataskyddsdirektivet och artikel 7 femte stycket gäller enligt ordalydelsen dessutom ”informationskrav som avser kommersiella meddelanden”, dvs. framför allt reklam. Det är därför inte givet att ett utelämnande av information om hur näringsidkare hanterar personuppgifter alltid kan anses som en vilseledande underlåtenhet. Avgörande bör vara genomsnittskonsumentens informationsbehov i fråga om dataskydd i det enskilda fallet. Intar behandlingen av personuppgifter en central roll i avtalsförhållandet mellan den ansvarige och den registrerade kan informationen vara av väsentlig betydelse, däremot inte när den enbart utgör en aspekt bland många. Om den information som ska lämnas enligt dataskyddsförordningen är av väsentlig karaktär skulle 10 § tredje stycket MFL kunna tillämpas när informationen inte ges på ett klart och tydligt sätt, exempelvis i fall av en svårbegriplig dataskyddspolicy.s. 162
7.Är ett påstående rörande dataskydd att anse som vilseledande kan detta påverka mottagarnas förmåga att fatta ett välgrundat affärsbeslut när de väljer mellan två konkurrerande varor eller tjänster med liknande kvalitet och pris. Kan information enligt dataskyddsförordningen anses vara väsentlig bör ett utelämnande på samma sätt ha en effekt på mottagarna, då ett välgrundat affärsbeslut förutsätter relevant information. Därför bör vilseledande marknadsföring som handlar om dataskydd också vara otillbörlig i den mening som avses i 8 § första stycket MFL (transaktionstestet). 3.2.4 Övrigt Slutligen kan några övriga regler i MFL bli aktuella i samband med en behandling av personuppgifter. Den nära kopplingen mellan rättsområdena dataskydd och marknadsrätt visar sig inte minst i form av reglerna om obeställd direktmarknadsföring. Enligt 19 § första stycket MFL, som implementerar artikel 13 i direktiv 2002/58/EG, får en näringsidkare vid marknadsföring till en fysisk person använda elektronisk kommunikation, främst e-post och sms, bara om den fysiska personen har samtyckt till det på förhand. Kravet på samtycke gäller dock inte gentemot befintliga kunder för marknadsföring som avser näringsidkarens egna, likartade produkter, se 19 § andra stycket MFL. Enligt artikel 94.2 i dataskyddsförordningen i kombination med artikel 2 f i direktiv 2002/58/EG är det numera dataskyddsförordningens definition av samtycke som gäller även inom ramen för 19 § MFL. Bestämmelsens syfte är att skydda mottagarna mot intrång i integriteten genom icke begärda kommunikationer för direktmarknadsföring, se skäl 40 i direktiv 2002/58/EG. MFL som sådan tar däremot sikte på att skydda konsumenters och näringsidkares ekonomiska intressen. Av den anledningen är 19 § MFL som integritetsskyddande bestämmelse atypisk inom marknadsrätten och skulle lika gärna kunna vara placerad i dataskyddslagstiftningen.s. 163
8.Vad gäller obeställd direktmarknadsföring får en näringsidkare också använda andra metoder för individuell kommunikation på distans än sådana som avses i 19 § MFL, om inte den fysiska personen tydligt motsatt sig att metoden används, se 21 § MFL. Konsumenten har med andra ord även enligt MFL en möjlighet att göra invändningar mot direktmarknadsföring. Medans rätten att göra invändningar enligt dataskyddsförordningen avser behandlingen av personuppgifter handlar rätten att göra invändningar enligt MFL om att inte behöva utstå vissa former av direktmarknadsföring. Där ett system etablerats för att ge konsumenterna möjlighet att anmäla att de inte vill ta emot direktmarknadsföring, t.ex. NIX-registren, eller när konsumenten på annat sätt undanbett sig direktmarknadsföring ska detta respekteras och tillgodoses. Näringsidkare bör därför vara skyldiga att konsultera spärrregistren innan konsumenter kontaktas och underlåtenhet att utföra en sådan kontroll bör strida mot god marknadsföringssed i den mening som avses i 5 § MFL.s. 163
9.Till och med några punkter i bilaga I till direktiv 2005/29/EG, den s.k. svarta listan, kan diskuteras. Enligt punkt 9 är det under alla omständigheter otillbörligt att ange eller på annat sätt skapa intryck av att det är lagligt att sälja en produkt när så inte är fallet. Bestämmelsen, som kan anses som en speciell lagstridighetsprincip, tar främst sikte på marknadsföring av produkter som är olagliga i sig. En behandling av personuppgifter i strid med dataskyddsförordningen som sker i samband med erbjudandet av varor eller tjänster kan dock svårligen klassas som en sådan affärsmetod som avses i punkt 9 i svarta listan. En olaglig personuppgiftsbehandling gör inte varan eller tjänsten i sig olaglig, utan är snarare en form av lagstridighet i enlighet med den allmänna principen i 5 § MFL. Sedan kan punkt 20 i svarta listan övervägas angående annonsfinansierade ”gratis”-tjänster på internet. Enligt den punkten är det under alla omständigheter otillbörligt att beskriva en vara eller tjänst som ”gratis”, ”kostnadsfri”, ”utan avgift” eller liknande om så inte är fallet. Används personuppgifter som en alternativ form av betalning för en vara eller tjänst skulle det kunna vara vilseledande att i så fall marknadsföra varan eller tjänsten som gratis eller kostnadsfri. Om näringsidkaren inte heller informerar konsumenten om att de personuppgifter, som han eller hon måste lämna för att få tillgång till tjänsten, kommer att användas för kommersiella ändamål kan detta dessutom strida mot punkt 22 i svarta listan och förbudet mot att dölja det kommersiella syftet bakom en affärsmetod. 3.3 Branschregler Från ett marknadsrättsligt perspektiv kan avslutningsvis kort nämnas att frågan om en behandling av personuppgifter för marknadsföringsändamål tillika behandlas i olika typer av branschregler, främst Internationella Handelskammarens (ICC) regler för reklam och marknadskommunikation, den s.k. ICC-koden i sin uppdaterade version från 2018. Regler som har bäring på en behandling av personuppgifter i ICC-koden är i synnerhet artikel 19 som innehåller allmänna krav på en behandling av personuppgifter, inklusive barns personuppgifter, samt artikel C22 om personaliserad reklam online, också kallad intressebaserad reklam. Bredvid ICC-koden existerar andra etiska regler om hur en behandling av personuppgifter för marknadsföringsändamål bör ske, exempelvis inom ramen för Swedish Direct Marketing Association (SWEDMA) vad gäller marknadsföring till privatpersoner via e-post eller adresserad direktmarknadsföring via vanlig post. Inget av dessa etiska regelverk reglerar emellertid något som inte redan direkt eller indirekt skulle följa av tvingande lagstiftning. Eventuella uppförandekoder för branscher, där personuppgifter hanteras för huvudsakligen kommersiella ändamål, skulle i vilket fall vara begränsade till att specificera hur dataskyddsförordningen bör tillämpas i vissa situationer, se artikel 40.2 i dataskyddsförordningen. Även om det är frivilligt att ansluta sig till uppförandekoder om dataskydd som regleras i dataskyddsförordningen är det tänkbart att sådana koder kan ge uttryck för god sed på dataskyddsrättens område. I så fall kan god dataskyddssed vara kongruent med god affärssed. Existensen av etiska regler samt uppmuntran till utarbetandet av uppförandekoder i förordningen är ett uttryck för personuppgiftsbehandlingars kommersiella betydelse och deras nära samband med avsättningen av varor eller tjänster. Mer generellt utgör branschregler alltså ett ytterligare exempel på överlappningen mellan rättsområdena dataskydd och marknadsrätt samt deras ömsesidiga påverkan.s. 164