Inledning^{(1)Av Fredrik Gustafsson, Partner, och Francisco Stråhle, Associate, Törngren Magnell & Partners Advokatfirma.}

Europeiska dataskyddsstyrelsen (European data protection board, EDPB) antog den 17 april i år ett yttrande efter en begäran enligt artikel 64.2 i dataskyddsförordningen (GDPR) från flera europeiska dataskyddsmyndigheter.^{(2)Opinion 08/2024 on Valid Consent in the Context of Consent or Pay Models Implemented by Large Online Platforms.} I yttrandet behandlas legaliteten av ”stora onlineplattformars” användning av s.k. ”samtyck eller betala”-modellen. Det är en modell som uppkommit på senare tid i ett försök att uppfylla kraven på frivillighet vid behandling av personuppgifter med stöd av samtycke som rättlig grund. Modellen har bl.a. implementerats av Meta och varit föremål för betydande debatt bland europeiska dataskyddsmyndigheter.

Bakgrund

EDPB:s yttrande kan sägas ha sin grund i EU-domstolens dom den 4 juli 2023 i mål C-252/21 (Meta v. Bundeskartellamt) där Metas rättsliga grund för behandling av personuppgifter för att tillhandahålla sina användare personanpassad reklam prövades. Domstolens ställningstagande innebär kortfattat att Metas behandling som utgångspunkt inte kan ske med stöd av fullgörande av ett avtal eller ett berättigat intresse som rättslig grund. Gällande samtycke som rättslig grund konstaterade domstolen att användarna måste kunna vägra lämna samtycke till bestämda åtgärder för behandling av personuppgifter som inte är nödvändiga för fullgörandet av avtalet och det utan att de är skyldiga att fullständigt avstå från att använda den tjänst som erbjuds av operatören av det digitala sociala nätverket. Det innebär enligt domstolen att användarna ska erbjudas ett likvärdigt alternativ som inte åtföljs av sådan behandling. Ett sådant likvärdigt alternativ kan erbjudas även mot lämplig ersättning.

Mot denna bakgrund beslutade EDPB några månader senare, efter begäran av den norska tillsynsmyndigheten^{(3)Urgent Binding Decision 01/2023 requested by the Norwegian SA for the ordering of final measures regarding Meta Platforms Ireland Ltd.} , att instruera Irlands tillsynsmyndighet att vidta slutliga åtgärder avseende Meta och att införa ett förbud mot behandlingen av personuppgifter för beteendebaserad reklam med stöd av avtals fullgörande och berättigat intresse som rättslig grund inom hela Europeiska ekonomiska samarbetsområdet (EES). Som svar på EDPB:s beslut meddelade Meta att bolaget i stället planerade att förlita sig på samtycke som rättslig grund för dess beteendebaserade marknadsföringsverksamhet avseende användare inom EES. Det skulle ske genom att, i likhet med EU-domstolens antydningar, utforma en prenumerationsmodell där användare som inte samtycker till att dela sina personuppgifter och ta emot riktade annonser kan välja att i stället betala en månadsavgift. Modellen har kommit att kallas för ”samtyck eller betala”-modellen och bygger på att de registrerade ställs inför valet att antingen samtycka till att deras personuppgifter behandlas för beteendestyrd marknadsföring eller att betala för att slippa.

Modellen har kommit att kallas för ”samtyck eller betala”-modellen och bygger på att de registrerade ställs inför valet att antingen samtycka till att deras personuppgifter behandlas för beteendestyrd marknadsföring eller att betala för att slippa.

EDPB:s ställningstagande

EDPB har nu antagit ett yttrande gällande under vilka förutsättningar som ”samtycke eller betala”-modeller relaterade till beteendestyrd reklam kan implementeras av stora onlineplattformar som Meta för att uppfylla kraven på giltigt samtycke enligt GDPR. Även om EDPB inte förespråkar något absolut förbud mot sådan behandling ifrågasätts modellen. EDPB menar att det i de flesta fall inte kommer att vara möjligt för stora onlineplattformar att uppfylla kraven på giltigt samtycke om de endast ger sina användare valet mellan att samtycka till behandlingen av personuppgifter för beteendemässiga reklamändamål eller att betala en avgift.

EDPB konstaterar att personuppgifter inte är att betrakta som en handelsvara och att det finns ett behov av att förhindra att den grundläggande rätten till dataskydd omvandlas till något som den registrerade måste betala för att åtnjuta. Därför anser EDPB att det inte bör vara standard för personuppgiftsansvariga att endast erbjuda ett betalt alternativ till tjänster som innebär behandling av personuppgifter för beteendebaserad marknadsföringsändamål.

Vid utvecklingen av andra alternativ menar EDPB att stora onlineplattformar bör överväga att ge enskilda personer ett ”likvärdigt alternativ” som inte medför en avgift. Enligt EDPB bör detta fria alternativ vara utan eller med begränsad beteendebaserad reklam, t.ex. med en form av reklam som innebär behandling av färre eller inga personuppgifter. Ett sådant ytterligare alternativ kan ha betydelse vid bedömningen av samtyckets giltighet och förenkla för den personuppgiftsansvarige att visa att giltigt samtycke har inhämtats.

Utgångspunkten vid behandling av personuppgifter med stöd av samtycke som rättslig grund är att den registrerade ska ha ett genuint fritt val och inte utsättas för någon påverkan vid sitt beslutsfattande. I detta ingår att den registrerade inte får drabbas av några betydande negativa följder eller nackdelar med anledning av att denne inte lämnar sitt samtycke. I sådant fall är samtycket ogiltigt.

Av EDPB:s yttrande framgår att om användarna inte erbjuds något avgiftsfritt alternativ kan avgiften komma att betraktas som en nackdel för användarna, vilket skulle göra samtycket ogiltigt. EDPB anser att eventuella avgifter inte får vara sådana att de effektivt hindrar registrerade från att göra ett fritt val. Det ska därför betraktas som en nackdel för den registrerade om införandet av avgifter för tillgång till någon av de större onlineplattformarna skulle leda till att användare utestängs. Det gäller särskilt i de fall det är en framträdande onlineplattform eller om den är avgörande för deltagande i det sociala livet eller tillgång till professionella nätverk.

Slutord

Vi ser att framtiden för ”samtycke eller betala”-modellers utbredning i stort är fortsatt oprövad. EU-domstolens dom i Meta v. Bundeskartellamt möjliggjorde användningen av ”samtycke eller betala”-modeller. EDPB är i sitt yttrande tydlig med att inte förespråka ett absolut förbud mot att införa avgifter. EDPB framhåller att det bör bedömas i varje enskilt fall huruvida en avgift överhuvudtaget är lämplig och vilket belopp som i så fall är lämpligt. Det får också sägas gå i linje med EDPB:s tidigare riktlinjer om samtycke. Dessa anger att samtycke endast kan vara giltigt om den registrerade får möjlighet att välja fritt och om det inte finns risk för betydande negativa konsekvenser som till exempel ”betydande tilläggskostnader”.^{(4)Riktlinjer 05/2020 om samtycke enligt förordning (EU) 2016/679.}

Det är mot denna bakgrund inte otänkbart att nästa steg för de större plattformarna är att anpassa modellen och sänka sina avgifter i hopp om att dessa ska godtas av EU och tillsynsmyndigheterna. Oaktat hur plattformarna väljer att gå vidare med detta kommer EDPB:s ställningstagande att medföra betydande konsekvenser för stora onlineplattformar. Sådana har ofta som affärsidé att samla in stora mängder personuppgifter om sina användare och att använda dessa för individanpassad annonsering. För att säkerställa kravet på frivillighet kan plattformarna tvingas att ändra sina affärsmodeller. Skulle onlineplattformarna ta till sig EDPB:s förslag om att inrätta ett tredje alternativ utan eller med begränsad beteendebaserad marknadsföring, skulle det sannolikt innebära betydande begränsningar i dessa bolags tjänsteerbjudanden gentemot annonsörer, med lägre intäkter som följd.

Det återstår att se hur de större onlineplattformarna och EU:s tillsynsmyndigheter väljer att hantera frågan om ”samtycke eller betala”-modeller.

EDPB:s ställningstagande är inte bindande och avser endast större onlineplattformar. Ställningstagandet kan dock ha betydelse för alla aktörer som tillhandahåller dessa typer av plattformar. Dessutom fäster Integritetsskyddsmyndigheten ofta stor vikt vid EDPB:s riktlinjer i sina vägledningar och beslut. Fram till dess att EDPB utarbetat nya riktlinjer med ett bredare tillämpningsområde som inte bara avser större onlineplattformar^{(5)Se EDPB:s pressmeddelande tillgänglig här: https://www.edpb.europa.eu/news/news/2024/edpb-consent-or-pay-models-should-offer-real-choice_en.} , kan ställningstagandet tillsammans med EU-domstolens praxis och EDPB:s äldre riktlinjer därför ge vägledning även för mindre plattformar.

Det återstår att se hur de större onlineplattformarna och EU:s tillsynsmyndigheter väljer att hantera frågan om ”samtycke eller betala”-modeller. Dessutom har EU-kommissionen i skrivande stund inlett en utredning mot flera större onlineplattformar gällande Metas ”samtycke eller betala”-modell i förhållande till efterlevnaden av förordningen om digitala marknader (eller mest känd på engelska som ”Digital Markets Act”).^{(6)Europaparlamentets och rådets förordning (EU) 2022/2065 av den 19 oktober 2022 om en inre marknad för digitala tjänster och om ändring av direktiv 2000/31/EG (förordningen om digitala tjänster).} Tydligt är att den juridiska terrängen för onlineplattformarnas verksamhet är under förändring och att EDPB:s ställningstagande säkerligen kommer att ge upphov till ytterligare diskussioner om beteendeanpassad marknadsföring i förhållande till de registrerades rättigheter.