Kategori: Okategoriserad

Den nya social mediaplattformen Clubhouse från USA har nyligen lanserats i Sverige. Plattformen är ett digitalt chattforum där användare kan starta röstsamtal och där alla som använder plattformen kan ansluta sig till samtalet. Samtalen sparas inte efter att de avslutats.

En uppmärksammad händelse föregående helg har aktualiserat diskussion kring vad som får och inte får sägas i samtalsrummen. Sociala medier är inget som undgår ordinarie lagstiftning varför brott som förtal kan bli aktuella i samtalsrummen hos Clubhouse. I dagsläget verkar det inte finnas någon begränsning för antalet personer som kan befinna sig i ett samtalsrum varför spridningsvillkoret för förtal kan uppfyllas. Att samtalen inte sparas har ingen betydelse ur förtalssynpunkt.

Det är möjligt att den så kallade webbsändningsregeln som återfinns i yttrandefrihetsgrundlagen blir aktuell för Clubhouse. Regeln innebär att en schemalagd livesändning som görs tillgänglig för allmänheten kan falla inom ramen för grundlagsskyddet och därmed behöva en ansvarig utgivare. När en ansvarig utgivare finns blir även de ansvariga för potentiella brottsliga påståenden som sker i samtalsrummet om påståendena bryter mot grundlagen. Huruvida webbsändningsregeln kommer vara aktuell för Clubhouse är dock oklart i dagsläget.

Djupare utredning från MarLaw avseende Clubhouse följer.

Vi är mycket glada och stolta att kunna meddela att Advokatfirman  MarLaw återigen blivit nominerad till Årets Advokatbyrå.

Årets Advokatbyrå är en årlig kvalitets- och branschstudie där klienter till svenska affärsjuridiska advokatbyråer får möjlighet att utvärdera relationen med sin advokatbyrå under året som gått. Läs mer här.

Läs intervju med Camilla Grebe, huvudförfattare till Marknadskriget – Tio verkliga rättsfall, i Dagens Industri här. Medförfattare till boken är Anders Torelm, mångårigt verksam inom näringslivet, som fungerat som projektledare för boken och svarat för intervjuer och research.

Marknadskriget – Tio verkliga rättsfall är en ny bok med spännande verkliga historier om när gränserna för reklam och marknadsföring utmanas och testas.

EU-domstolen kom i somras med en dom som underkände kommissionens beslut om att det finns adekvat skyddsnivå vid överföring av personuppgifter till USA ”Privacy Shield” (dom den 16 juli 2020 i mål C-311/18). Det innebär att det inte längre finns någon giltig generell överenskommelse att luta sig mot vid överföring av personuppgifter mellan EU och USA och därmed är det inte heller lagligt att överföra personuppgifter dit om överföringen inte kan stödjas på någon annan grund i dataskyddsförordningen (GDPR).

Över 100 organisationer är anmälda till olika tillsynsmyndigheter inom Europa för att de fortsätter med överföringar av personuppgifter i stor skala genom bland annat användning av Google Analytics och Facebook Connect. Av de anmälda finns ett antal svenska företag representerade som nu riskerar tillsyn och tuffa sanktioner. Det är med andra ord hög tid för organisationer att se över sin personuppgiftsbehandling och vidta åtgärder.

Frågan är dock vad som gäller för de organisationer som vill fortsätta kommunicera via sociala medier. Kan organisationen fortsätta posta bilder från verksamheten på sociala medier eller är den tiden passé? Vi ska i denna artikel försöka reda ut vad som gäller idag och ge några praktiska råd som vi brottas med i vårt dagliga arbete tillsammans med våra klienter.

Bakgrund

Bakgrunden till målet är den österrikiska juristen och aktivisten Max Schrems som återigen lyckats få till en prövning i EU-domstolen rörande rätten för Facebook Ireland Ltd att hantera personuppgifter som överförs till dess moderföretag i USA. Sådana överföringar till tredje land, exempelvis USA, är som huvudregel förbjudna om inte ett undantag i GDPR kan tillämpas (se artiklarna 45–50 i GDPR). Ett sådant undantag ger kommissionen rätt enligt artikel 45 att besluta om att visst tredje land har en adekvat skyddsnivå. Sådana beslut fattas efter att EU-kommissionen kommit överens med ett tredje land om villkoren för överföringar. Ett sådant beslut var det mellanstatliga avtalet Privacy Shield- mellan EU och USA som sålunda upphävdes av EU-domstolen i juli. EU-domstolen menade bland annat att amerikanska myndigheters möjligheter att i stor skala övervaka och samla in personuppgifter om EU-medborgare gör att det reella skyddet för personuppgifter i USA inte lever upp till en adekvat skyddsnivå varken enligt GDPR eller EU-stadgan om de grundläggande rättigheterna, däribland rätten till privatliv och till personuppgifter.

Vidare innehåller GDPR undantag enligt vilka personuppgiftsöverföring får ske till tredje land om de förenas med lämpliga skyddsåtgärder enligt artikel 46. En sådan skyddsåtgärd är att stödja sin personuppgiftsöverföring på standardavtalsklausuler som har godkänts av kommissionen.

Prövningen i målet Schrems II omfattade förutom Privacy Shield också just personuppgiftsbehandling med stöd av sådana godkända standardavtalsklausuler. Domstolen konstaterade att standardavtalsklausulerna fortfarande kan användas. Klausulerna måste dock ge en skyddsnivå som ger en ”väsentligen likvärdig skyddsnivå” för registrerade som den som finns under GDPR. De krav som ställs på organisationer som vill överföra personuppgifter till tredje land blir således mycket långtgående även om man använder standardavtalsklausuler eftersom man har en undersökningsplikt både att ta reda på vilket skydd personuppgifterna i praktiken har i tredjelandet, hur lagstiftningen där ser ut och dessutom ett ansvar att informera de registrerade om skydd och risker.

Av domen i Schrems II följer dessutom att tillsynsmyndigheterna i medlemsländerna aktivt ska ingripa mot personuppgiftsansvariga som överför personuppgifter till tredje land utan rättsligt stöd. Vi kan alltså förvänta oss en mer aktiv tillsyn än vad som skedde då EU-domstolen genom domen i målet Schrems I ogiltigförklarade den tidigare lösningen för personuppgiftsöverföringar mellan EU och USA -kallad Safe Harbour.

Organisationens ansvar

Svenska Datainspektionen har kommit med en vägledning som betonar organisationernas ansvar under den rådande situationen:

”Organisationen måste kartlägga vilka flöden av personuppgifter som finns i organisationen och i vilka fall personuppgifter kan komma att överföras till tredje land. Om uppgifter överförs till tredje land bör organisationen försöka utröna hur skyddet hos det mottagande landet ser ut i det särskilda fallet. Därefter måste ni ta ställning till om det finns stöd för överföringen eller inte. I era avtal med eventuella personuppgiftsbiträden ska det framgå om personuppgifter överförs till tredje land. Ni bör även ta reda på om eventuella underleverantörer överför uppgifter till tredje land. Många tjänster överför idag uppgifter till tredje land.”

Undantagsbestämmelserna i GDPR om fall där tredjelandsöverföringar är tillåtna innehåller också en bestämmelse i artikel 47 om bindande företagsbestämmelser där en bolagskoncern får godkännande av en tillsynsmyndighet för en intern uppförandekod för tredjelandsöverföringar för personuppgifter. Idag finns sådana godkända bindande företagsbestämmelser endast för koncernen Tetra Pak men vi har anledning att anta att dessa nu kommer öka i antal.

Under vissa omständigheter kan överföring till tredje land därutöver stödjas på artikel 49 i GDPR som är ett undantag när beslut om adekvat skyddsnivå saknas. Artikel 49.1 a anger att personuppgifter får överföras till ett tredjeland eller en internationell organisation när det inte föreligger något beslut om adekvat skyddsnivå eller lämpliga skyddsåtgärder enligt artikel 45.3, eller lämpliga skyddsåtgärder enligt artikel 46, inbegripet bindande företagsbestämmelser, på villkor att ”den registrerade uttryckligen har samtyckt till att uppgifterna får överföras, efter att först ha blivit informerad om de eventuella riskerna med sådana överföringar för den registrerade när det inte föreligger något beslut om adekvat skyddsnivå eller lämpliga skyddsåtgärder”. Samtycket måste vara uttryckligt, specifikt och informerat. Det ställs med andra ord särskilt höga krav på utformningen i likhet med hur samtycken i övrigt ska utformas enligt GDPR och tillsynsmyndigheternas vägledning. I artikel 49.1 b finns därtill ett undantag som omfattar avtal, där ”överföringen är nödvändig för att fullgöra ett avtal mellan den registrerade och den personuppgiftsansvarige eller för att genomföra åtgärder som föregår ett sådant”. För att överföring av uppgifter på grundval av detta undantag ska kunna ske krävs att överföringen är tillfällig och nödvändig.

De båda nämnda undantagen i artikel 49 får emellertid inte tillämpas på åtgärder som vidtas av offentliga myndigheter som ett led i utövandet av deras offentliga befogenheter. Vår tolkning av vad som avses med denna formulering är att undantagen inte är tillämpliga vid myndighetsutövning som innefattar handläggning av ärenden, däremot kan de möjligen tillämpas när myndigheter utför andra typer av uppgifter som inte innebär att beslut fattas gentemot enskild.

Såsom nämns ovan måste information dessutom ges om eventuella risker för den registrerade som uppkommer på grund av att adekvat skydd saknas i tredjelandet och att lämpliga skyddsåtgärder saknas. Datainspektionen anger att ett sådant meddelande bör innefatta exempelvis information om

att det eventuellt inte finns någon tillsynsmyndighet och/eller några databehandlingsprinciper och/eller rättigheter för den registrerade i tredjelandet. För att stödja överföring av personuppgifter i sociala medier krävs sålunda en analys av undantagen utifrån den överföring som planeras.

Rekommendation i dagsläget till organisationer som överväger att använda sociala medier

Vår rekommendation till er som vill fortsätta kommunicera med personuppgifter i form av exempelvis bilder via sociala medier är att i ett första steg kontrollera om användningen innebär överföring av personuppgifter till tredje land. Sker överföring av personuppgifter till tredje land – vilket merparten av alla sociala medieplattformar gör i dagsläget – bör en kontroll ske om det sociala mediet tillämpar godkända standardavtalsklausuler vid överföringen.

Oavsett standardavtalsklausuler behöver organisationen genomföra en konsekvensanalys i enlighet med regelverket i GDPR och tydligt dokumentera personuppgiftsbehandlingen och de överväganden som gjorts, vilka rättsliga grunder som organisationen stödjer behandlingen på, om tillräckligt tydlig information ges till de registrerade, vilka skyddsåtgärder organisationen vidtar för behandlingen etc.

Ni kan därutöver undersöka om den behandling som övervägs kan hitta stöd i något undantag i GDPR t.ex. avtal eller samtycke. Tänk dock på att undantagen är just undantag för tillfällig överföring och observera att de samtycken, avtal med registrerade och dessutom personuppgiftsbiträdesavtal och underbiträdesavtal som användes innan 16 juli 2020 sannolikt inte uppfyller informationskraven och behöver uppdateras.

EU och USA har båda signalerat att man är intresserade av att diskutera en lösning för dataflödena mellan regionerna men det är svårt att se att en generell lösning liknande en ny Privacy Shield går att uppnå med annat än mer långtgående politiska beslut än man hittills visat vilja på. Europeiska Dataskyddsstyrelsen har tillsatt en arbetsgrupp som ska komma med vägledning med anledning av Schrems II, bland annat med förslag på andra skyddsåtgärder som organisationer kan förena med standardavtalsklausuler så som kryptering och begränsning av tillgång till uppgifterna genom tekniska och organisatoriska åtgärder. Men det finns alltså, i väntan på dessa, flera åtgärder som organisationer som överför personuppgifter till tredjeländer som USA genom exempelvis sociala medier, lagring eller molntjänster kan börja vidta redan idag.

 

Referat av Patent- och marknadsöverdomstolens dom av den 5 december 2019 i mål nr PMT 2054-18; Konsumentombudsmannen/KO ./. Alexandra Media Sweden AB och Tourn Media AB

Nu har domen från Patent- och marknadsöverdomstolen (PMÖD) kommit i det uppmärksammade målet mellan Konsumentombudsmannen (KO) och Alexandra Media Sweden AB (Alexandra Media) vars företrädare är den kända influencern Alexandra Nilsson som har gått under pseudonymen ”Kissie” samt hennes nätverk Tourn Media AB (Tourn Media).

Målet rör två i princip identiska blogginlägg samt ett Instagraminlägg. Inläggen gällde ett kommersiellt samarbete mellan Alexandra Media och Mobilåtervinning i Sverige AB (Mobilåtervinning) och marknadsföring av Mobilpengar.se, en tjänst för återvinning av mobiler. Samtliga inlägg innehöll reklammarkeringar såsom

”I samarbete med” och ”#samarbete” och länkar till Mobilpengar.se. Den andra versionen av blogginlägget hade dock uppdaterats efter Konsumentverkets tillsyn, bl.a. med tillägget ”Sponsored post” markerat med en rosa bård högst upp under rubriken.

KO ville genom målet få prövat dels hur tydligt reklammarkering måste ske i denna typ av sociala medier, dels vilket ansvar en influencer respektive dess nätverk har för marknadsföringen.

PMÖD fäller samtliga inlägg då domstolen bedömer att det inte tillräckligt tydligt framgått att det är fråga om reklam. Reklammarkeringen ”samarbete” är inte tillräckligt tydlig enligt domen då det inte framgår att det är fråga om ett betalt samarbete. Trots att PMÖD konstaterar att målgruppen är unga kvinnor i Sverige som har en viss förståelse för att det förekommer kommersiella inlägg i sociala medier fastslår domstolen att det krävs att målgruppen uppfattar att det är fråga om marknadsföring direkt för att marknadsföring ska anses uppfylla kravet på reklamidentifiering enligt 9 § marknadsföringslagen.

Den uppdaterade versionen av blogginlägget innehöll markeringen ”Sponsored post” högst upp under rubriken och underrubriken. PMÖD konstaterar att uttrycket ”Sponsored post” som sådant uppfattas som en reklammarkering av målgruppen men att det ändå inte är tillräckligt tydligt i det aktuella inlägget. Detta då markeringen inte är placerad högst upp, över rubriken, samt då markeringen är i en mindre stilgrad jämfört med rubriken, i samma typsnitt som övrig text samt då den ljusrosa borden inte är tillräckligt avvikande för att uppmärksamma mottagaren om reklammarkeringen.

Enligt domen krävs det därmed att reklammarkeringar i bloggar placeras innan rubriken och övrig text i inlägget samt skiljer sig från övrig text för att markeringen ska anses vara tillräckligt tydlig.

PMÖD anser dock att det tillräckligt tydligt framgår vem som är avsändare av den aktuella marknadsföringen, dvs. annonsören Mobilåtervinning i Sverige AB. PMÖD avslår därför KO:s yrkande om att Alexandra Media skulle åläggas att lämna tydlig information om avsändaren av marknadsföringen.

KO förlorade även sitt förstahandsyrkande angående att Alexandra Media felaktigt skulle anses ha uppträtt som konsument i strid med den s.k. svarta listan, p. 22, som avser särskilt allvarliga överträdelser. PMÖD konstaterar att en sådan överträdelse endast kan avse den aktör vars produkter marknadsförs, dvs. Mobilåtervinning. PMÖD konstaterar även att marknadsföringen, under alla omständigheter, inte kan uppfattas som att Alexandra Media felaktigt uppträder som konsument.

PMÖD konstaterar vidare att annonsören Mobilåtervinning (som inte var stämd i målet) är huvudansvarig för att det ska framgå av de aktuella inläggen att det är fråga om marknadsföring och vem som står bakom marknadsföringen. Alexandra Media ansågs dock ha ett medverkansansvar för marknadsföringen genom att ha slutlig bestämmanderätt avseende att marknadsföringen överhuvudtaget kommit till stånd.  Tourn Media friades från medverkansansvar då bolaget inte ansågs ha tagit sådan aktiv del i utformningen att bolaget kan anses ha väsentligen bidragit till marknadsföringen.

PMÖD konstaterar slutligen att det inte varit fråga om några uppsåtliga, omfattande eller särskilt klandervärda överträdelser av marknadsföringslagen från Alexandra Medias sida samt att Alexandra Media försökt förhålla sig till lagen och Konsumentverkets synpunkter. Med hänsyn till konsumentskydds­intresset ansågs dock ett vite kopplat till förbudet vara motiverat. Vitesbeloppet fastställdes dock förhållandevis lågt till 100 000 kr.

Då Alexandra Media vunnit KO:s förstahandsyrkande samt yrkandena om avsändarangivelse och då förbudet begränsats betydligt i förhållande till vad KO yrkat fick vardera part stå sina egna rättegångskostnader. KO fick ersätta Tourn Medias rättegångskostnader som dock sattes ned av PMÖD med hänsyn till målets omfattning.

Alexandra Medias ombud kommenterar domen:

– Ett tydligt men tufft prejudikat för branschen. Nästan alla reklammarkerar felaktigt idag och måste se över sina sociala medier. Domen innebär att sponsrade inlägg i sociala medier helst ska markeras allra högst upp och det är viktigt att själva markeringen flaggar för att det är ett betalt samarbete.

Vi vill understryka att detta mål har drivits av KO för att vi ska få ett prejudikat på marknaden. Vi tycker att det är tufft att låta en influencer stå till svars för en hel bransch när Alexandra var den första och kanske bästa på att reklammarkera. Alla prövade inlägg var också markerade. Att KO inte heller valt att stämma annonsören som givetvis också har ett ansvar för marknadsföringen kan ge marknaden en felaktig bild om ansvar för marknadsföringen innehåll. I målet har vår klient tappat vissa delar och vunnit andra, utgången i målet kan därför sammanfattas som 1-1 med följd att vardera part står för sina rättegångskostnader.

Advokaterna Cecilia Torelm Tornberg, Sandra Hanson och Julia Asplund

Vid frågor, vänligen kontakta Cecilia Torlem Tornberg, cecilia.torelm@marlaw.se, 073-359 50 68.