Samtycke enligt PuL och dataskyddsförordningen

Sammanfattning: Den ökande användningen av personuppgifter, bland annat för att ”profilera” de registreradeutan deras vetskap, kan innebära en kränkning av den personliga integriteten. De rådande reglerna räcker inte till för att garantera att de registrerade ger ett fritt, aktivt och informerat samtycke till varje tilltänkt behandling av personuppgifter. I detta hänseende förväntasdataskyddsförordningen förstärka skyddet för den registrerades personliga integritet, genom attställa högre krav för att samtycke till personuppgiftsbehandling ska vara giltigt.När det gäller tillämpningen av reglerna angående inhämtning av samtycke till användning avkakor, visar en empirisk studie av svenska och franska webbsidor att, förutom i undantagsfall,tillämpar varken företag eller myndigheter de nu gällande reglerna. Detta innebär dels en riskför kränkning av de registrerades personliga integritet, dels en risk för hårda sanktioner för de personuppgiftsansvariga när dataskyddsförordningen träder i kraft.De registrerade börjar uttrycka oro över den omfattande personuppgiftsbehandling som sker utan deras vetskap och, i brist på öppen och ärlig information från de personuppgiftsansvarigas sida, börjar använda sig av reklamblockerare. Steget är inte långt till att de också börjar användasig av andra verktyg som helt utesluter användning av kakor. En sådan användning fyller dockviktiga statistiska, ekonomiska och praktiska funktioner, både för den personuppgiftsansvarigeoch för den registrerade. Genom att nöja sig med att ge generell information såsom ”vi använderkakor för att ge dig en bättre användarupplevelse” utan att närmare förklara på vilket sätt eller under vilka villkor, förstärker de personuppgiftsansvariga den rådande misstron hos de registrerade. Enligt öppenhetsprincipen som fastställs i dataskyddsförordningen, bör de personuppgiftsansvariga istället tydligt informera de registrerade om vilkapersonuppgiftsbehandlingar som utförs och i vilket syfte. Annars är risken, dels att de personuppgiftsansvariga straffas hårt när dataskyddsförordningen träder i kraft, dels att de registrerade helt vägrar personuppgiftsbehandlingen. Företagen har förklarat att de inte följer reglerna på grund av bristande kunskap, vilket bekräftas av en undersökning som har beställts av DELL. För att förklara hur reglerna ska tillämpas gerdärför denna uppsats ett enkelt exempel som visar att det endast krävs några få ändringar för attreglerna ska följas. Det ligger i företagens intresse att tillämpa dessa regler innan dataskyddsförordningen träder i kraft och, med denna, mycket hårdare sanktioner som även gäller vid behandling av icke-känsliga personuppgifter i strid med bestämmelser om samtycke. Detsamma gäller i större utsträckning för myndigheter, som underkastas ännu hårdare krav på grund av den registrerades underlägsna ställning och brist på fritt val. Ett förslag på hur inhämtning av samtycke bör se ut för att respektera dataskyddsförordningens minimikrav ges under rubriken 7.3.2. DELL-exemplet. Viktigast är att den registrerade först får detaljerad information angående varje tilltänkt personuppgiftsbehandling och dess syfte, och sedan har möjlighet att enkelt ge, vägra eller ta tillbaka sitt samtycke till varje tilltänkt personuppgiftbehandling. Utöver dessa minimikrav föreslås i uppsatsen att de personuppgiftsansvariga som befarar att de registrerade vägrar ge sitt samtycke till personuppgiftsbehandling skapar incitament genom att tydligt visa på vilket sätt personuppgiftsbehandlingen innebär en konkret förbättring av de registrerades användarupplevelse. För att motivera de registrerade att ge sitt samtycke till användning av särskilt integritetskränkande kakor, såsom tredjepartskakor som används i reklamsyfte, kan det behövas starkare incitament i form av en ekonomisk kompensation.