ePrivacy eller dePrivacy - Kartläggning av internetanvändare i den föreslagna ePrivacyförordningen

Abstract

Today, internet users often face advertising that is tailored and selected to match their interests. To offer such targeted advertising the adtech sector use methods that rely on a large scale tracking of users’ internet activities. In most cases this tracking is performed by a third party to the service that the user is accessing. This makes it hard for individuals to know what information is collected and who has access to that information.

The tracking technologies that are used today often entail some form of access to a user’s terminal equipment. An example of this is when a unique identifier is stored in a user’s internet browser which makes it possible for websites that the user visits to identify the user and consequently record and collect information relating to that user. Therefore, the tracking of internet users constitutes an intrusion on the right to privacy guaranteed by the Charter of Fundamental Rights of the European Union. The rules on when such access is permitted can be found in the ePrivacy directive. This directive will soon be replaced with an ePrivacy regulation, as part of a larger reform of the EU’s data protection system. One objective of this reform is to ensure the users’ trust in the processing of personal data in the digital economy. The European Commission specifically identifies user trust as a fundamental part of maximizing the growth potential of the digital economy.

The purpose of this essay is to explore the EU law relating to the tracking of internet users, with a basis in the protection of users’ terminal equipment. This is done by first determining and applying the rules of today on a number of common tracking technologies. The essay concludes that the use of tracking technologies require the informed consent of the user. Following this, the essay then analyzes how these rules will change in the proposed ePrivacy regulation. The conclusion is that the rule of consent most likely will continue to be the principal rule. However, it is hard to determine the exact material changes that the ePrivacy regulation will bring about, considering that the two law makers currently have very differing opinions. The European Parliament has taken a stance that is very privacy friendly, while the stance of the Council of the European Union is more in line with the demands of the adtech sector. Based on the current proposals, the essay’s overall conclusion is that the base line of what the two law makers agree on does not constitute a large material change from the order of today. This is problematic considering that the tracking performed by the adtech sector has been heavily criticized for not complying with the individual’s fundamental rights and freedoms. Ultimately, the risk of not updating the rules and addressing these concerns is that the objective of the data protection reform to restore the users’ trust in the digital economy will be undermined.

Abstract (Swedish)

Den reklam som användare möter på internet är idag ofta anpassad och utvald för att överensstämma med dennes intressen. För att erbjuda sådan individuellt riktad reklam använder adtechsektorn metoder som bygger på en storskalig kartläggning av användares onlineaktiviteter. Vanligen är det en tredje part till den tjänst som användaren faktiskt nyttjar som ansvarar för och utför den här kartläggningen, vilket gör det svårt för enskilda personer att veta i vilken utsträckning de kartläggs och vem som har tillgång till informationen.

Dagens kartläggningstekniker kräver i regel någon form av tillgång till användares terminalutrustning. Ett typexempel är att en unik identitetsmarkör lagras i en användares webbläsare som gör det möjligt för de webbsidor som användaren besöker att identifiera denne och följaktligen samla in information om användaren. Det här utgör ett intrång i den grundläggande rätten till personlig integritet som följer av EU:s stadga om de grundläggande rättigheterna. Reglerna om när sådan tillgång är tillåten finns idag i ePrivacydirektivet. Detta direktiv är tänkt att ersättas med en ePrivacyförordning som del av en större reform av EU:s dataskyddssystem. Ett övergripande mål med denna reform är att användare ska ha förtroende för den digitala ekonomins personuppgiftshantering. Europeiska kommissionen identifierar specifikt användares förtroende som en grundförutsättning för att maximera den digitala ekonomins tillväxtpotential.

Uppsatsens syfte är att utreda den EU-rättsliga regleringen för kartläggning av användare på internet med utgångspunkt i skyddet av användares terminalutrustning. Detta görs genom att först bestämma dagens regler varefter dessa tillämpas på ett antal vanliga kartläggningstekniker. Uppsatsen konstaterar att ePrivacydirektivet kräver att användandet av kartläggningstekniker föregås av användarens informerade samtycke. Därefter analyseras hur dessa regler kommer att förändras i den föreslagna ePrivacyförordningen. Slutsatsen är att huvudregeln om samtycke ser ut att bestå. Det är dock svårt att bestämma exakt vilka materiella förändringar ePrivacyförordningen kommer att resultera i eftersom de två lagstiftande institutionerna står långt ifrån varandra. Europaparlamentet har intagit en integritetsvänlig position, medan Europeiska Unionens råd företräder en linje som är mer positiv för marknadens aktörer. Den övergripande slutsatsen, baserat på förslagen i sin nuvarande lydelse, är att reglerna avseende skyddet av användares terminalutrustning sannolikt inte kommer att förändras i hög grad jämfört med dagens regler. Detta är problematiskt med tanke på den kritik som förts fram om att den kartläggning av användare vi ser idag inte sker i enlighet med individens grundläggande fri- och rättigheter. En ePrivacyförordning som inte tar itu med dessa frågor riskerar att undergräva dataskyddsreformens mål om att återupprätta användares förtroende för den digitala ekonomin.

• author: Ekelin, Aron
• supervisor: Ana Nordberg
• organization: Department of Law; Faculty of Law
• alternative title: ePrivacy or dePrivacy - Tracking of end-users under the proposed ePrivacy regulation
• course: JURM02 20201
• year: 2020
• type: H3 - Professional qualifications (4 Years - )
• subject: Law and Political Science
• keywords: EU-rätt (en. EU law)
• language: Swedish
• id: 9010760
• date added to LUP: 2020-06-18 10:10:09
• date last changed: 2021-11-23 08:53:27