Nyhetsbrev, 22 april 2024 - Dataskydd

Med GDPR introducerades persondata som ett begrepp av stor vikt. Med Data Act introduceras icke-persondata på ett liknande sätt. Det relaterar till den information som exempelvis maskiner genererar i drift. Kortfattat persondata för icke personer men viktigt är det finns en överlappning där datan är både icke-persondata och persondata.

Digital Services Act som på svenska översatts till förordningen om digitala tjänster (DSA) trädde den 17 februari 2024 i kraft. Skyldigheter enligt DSA riktar sig främst till plattformar online vilket inkluderar företag som förmedlar och kopplar samman användare med varor, tjänster och information på internet. Exempel på sådana plattformar är e-marknadsplatser, sociala medier, appbutiker och plattformar för resor och boende.

Den som driver en plattform åläggs genom förordningen skyldigheter såsom
rapporteringssystem, revision, begränsning av innehåll, reklam och
marknadsföring med mera.

Huvudsyftet med DSA är att skydda användare mot farliga produkter, olagligt innehåll samt att bekämpa nätmobbning på plattformarna. Dessutom syftar DSA till att göra det enklare för användare att förstå och ifrågasätta beslut om innehållsmoderering, d.v.s när plattformarna begränsar eller tar bort innehåll som en användare publicerat.

Enligt DSA måste plattformar uppfylla flera skyldigheter och krav. Exempelvis måste plattformar erbjuda större öppenhet om sina tjänster, reglera riktad reklam, informera om reklam och algoritmer kring reklam och förbjuda vilseledande gränssnitt som hindrar användare från att göra egna, icke-manipulerade val.

DSA kräver även att plattformarna ska ge användarna möjlighet att framföra sina klagomål.

För att säkerställa efterlevnaden av DSA har Post- och telestyrelsen (PTS) tillsammans med Konsumentverket och Mediemyndigheten utsetts som behöriga myndigheter. Företag som inte följer DSA kan åläggas med en sanktion upp till 6 % av den globala årsomsättningen.

Digital Markets Act som även kallas förordningen om digitala marknader (DMA) träder i kraft den 24 september 2024. DMA syftar till att företag och konsumenter som är användare av digitala plattformar ges en mer rättvis affärsmiljö och ökad transparens.

Enligt DMA utses gatekeepers, översatt grindvakter, som åläggs med krav och skyldigheter. En grindvakt definieras som ett företag med stark ekonomisk ställning, betydande inverkan på den inre marknaden och aktivitet i flera EU-länder. Hittills har följande företag utsetts till grindvakter, Alphabet, Amazon, Apple, Bytedance, Meta och Microsoft. Nämnda företag har tillsammans 22 plattformar som omfattas av DMA.

Exempel på fördelar som följer av DMA är att

• grindvakterna inte längre får behandla sina egna tjänster och produkter mer fördelaktigt än de som tillhandahålls av tredje part,
  
• grindvakterna får inte förhindra konsumenter från att ansluta sig till andra plattformar eller företag,
  
• innovatörer kommer att få nya möjligheter att konkurrera och förnya sig utan att hindras av orättvisa villkor,
  
• konsumenterna kommer att dra nytta av fler och bättre tjänster att välja mellan, och
  
• användare får inte, i reklamsyfte, spåras utanför plattformen

Överträdelser kan leda till sanktionsavgift på upp till 10 % av den globala årsomsättningen, och upp till 20 % an den globala årsomsättningen vid upprepade överträdelser.

Data act kan ses som ett komplement till GDPR med skillnanden att Data act omfattar annan data än personuppgifter. Syftet med Data act är att ge användare av uppkopplade produkter bättre kontroll och tillgång till sin användardata. En uppkopplad produkt är en sak som kan samla data exempelvis en robotdammsugare.

Data act har flera viktiga mål. Användare ska kunna föra över sin användardata från en leverantör till en annan, dessutom ska offentliga myndigheter få tillgång till användardata vid kris. Data act åtgärder kompletterar Digital Governance Act (DGA) som behandlas senare i nyhetsbrevet.

Data Act kommer att tillämpas på både person- och icke-persondata som genereras eller samlas in av anslutna produkter och deras komponenter, samt relaterade digitala tjänster ex. en app som hör till den uppkopplade produkten. Skyldigheterna enligt Data act tillämpas bland annat på tillverkare av anslutna produkter och leverantörer av relaterade tjänster såsom appar.

Data act ställer upp flera skyldigheter och krav för att uppnå ovan syften. Till exempel måste tillverkare designa sina produkter så att användardata är tillgänglig för användare såväl gratis som lättillgängligt.

Den som bryter mot Data act kan åläggas med sanktionsavgift upp till 20 miljoner euro eller 4 % beroende på vilken av dem som är högst. Data act förväntas träda i kraft i september 2025.

Data Governance Act (DGA), även känd som Dataförvaltningsakten, började tillämpas den 23 september 2023. Syftet med DGA är att utöka tillgången till den data som finns hos offentliga organ och myndigheter för bland annat forskning och innovation.

DGA, Data act och GDPR bildar således gemensamt regler om dataskydd, skillnaderna mellan dem är vem som är berörd av regleringen och vilken data som omfattas. Enligt DGA skyddas såväl person- som icke-persondata.

DGA kommer att möjliggöra delning av olika typer av data från den offentliga sektorn exempelvis hälsodata, mobilitetsdata (såsom realtidsnavigering), miljödata, jordbruksdata och offentliga förvaltningsdata. Om hälsodata görs tillgänglig får fler forskare möjlighet att forska på sjukdomar, förhoppningen med DGA är att fler sjukdomar botas.

Enligt DGA omfattas stater, offentligt ägda företag, myndigheter (’offentlig sektor’) och den som förmedlar data tillhandahållet av den offentliga sektorn av regleringen. DGA ställer upp följande krav och skyldigheter,

• offentlig sektor behöver införa mekanismer för att underlätta återanvändning av information,
  
• säkerställa att dataförmedlare fungerar som pålitliga organisatörer av datadelning.
  
• underlätta för personer och företag att göra sin data tillgänglig,
  
• underlätta delning av data mellan aktörer och landsgränser, och
  
• säkerställa att rätt data används för rätt ändamål.

Den som ger ut information enligt DGA får ta en avgift för tjänsten och den får ta maximalt två månader på sig att ge ut datan. Data får delas oavsett om det är för kommersiellt eller icke-kommersiellt ändamål.