Apple gör integritet mer lättillgänglig
Sedan december 2020 måste alla appar som läggs upp eller uppdateras i App Store kompletteras med information om hur appen samlar in, behandlar och delar olika typer av data från sina användare. Tre olika kategorier av datatyper finns: ”Data som används för att spåra dig”, ”Data som är kopplade till dig” och ”Data som inte kopplas till dig”. Användaren presenteras sedan med närmare information om vilka datatyper appen behandlar under varje kategori. Dessa datatyper representeras med en symbol följt av en rubrik på ett ord.
Klickar man på ”Visa mer information” under rubriken ”Appintegritet” utvecklas datatyperna med närmare information om exakt vilka personuppgifter som behandlas och för vilka syften de behandlas (exempelvis analys, statistik eller marknadsföring). Det finns även en länk med till apputvecklarens integritetspolicy på dess egna webbplats.
Vi går mot bättre tillgänglighet
Enligt dataskyddsförordningen, GDPR, ska information om hur personuppgifter behandlas lämnas till användaren ”i en koncis, klar och tydlig, begriplig och lätt tillgänglig form, med användning av klart och tydligt språk”. Om det är användaren själv som lämnar över sina personuppgifter så ska informationen ges senast när uppgifterna samlas in. Det är en mängd information som ska lämnas – bl.a. om laglig grund, vilka mottagare uppgifter delas med och hur länge uppgifterna ska behandlas – men det finns ingenting som hindrar att informationen presenteras i olika stadier. App Store lämnar informationen i tre steg:
1. Vilka kategorier av personuppgifter behandlas, och används de för att identifiera eller spåra mig?
2. Vilka personuppgifter behandlas, och för vilka syften?
3. Hur behandlas mina personuppgifter i detalj?
På detta sätt kan användaren få den viktigaste informationen först utan att behöva läsa igenom en lång vägg av policytext.
GDPR öppnar upp för att informationen kan ges i kombination med standardiserade symboler ”för att ge en överskådlig, begriplig, lättläst och meningsfull överblick över den planerade behandlingen”. Idag finns inga fastställda standardsymboler som alla använder, men Apples symboler är ett bra steg på vägen mot en mer lättillgänglig integritetspolicy, både vad gäller symbolerna för kategorierna av datatyper och för symbolerna för datatyperna i sig.
Kan arbetsgivare dra fördel av den nya transparensen?
App Stores nya metod med integritetsdeklarationer är alltså till synes positiv för privatpersoner. Men vad gäller för arbetsgivare och deras kontroll över sina medarbetares arbetstelefoner? Arbetsgivaren har ett ansvar att tillse att de medarbetare som behandlar personuppgifter endast gör det i den utsträckning som krävs för arbetet och på instruktion från arbetsgivaren.
En medarbetare som installerar en app från App Store kommer att få upp de tydliga symbolerna och informationen om vilka personuppgifter som behandlas, men eftersom informationen riktar sig till den individ som laddar ned appen kommer det med nödvändighet också att vara individen som har kontroll över om hen accepterar hanteringen eller ej. För att arbetsgivaren ska ha kontroll över vilka appar som installeras och hur data behandlas på medarbetarnas telefoner behövs antingen en teknisk lösning eller interna rutiner och policyer som kommuniceras till personalen.
Det är vidare oklart om integritetsdeklarationen även täcker in de personuppgifter som eventuellt kan samlas in om andra användare i appen och som en arbetsgivare skulle kunna anses ansvara för enligt GDPR. Som det verkar är det bara personuppgifter om användaren själv som berörs. Det är viktigt att man som arbetsgivare även utreder i vilken utsträckning personuppgifter om andra individer kan komma att behandlas, och om den behandlingen bedöms som godtagbar. En sådan utredning och bedömning görs lämpligen av jurister.
Slutsatser
Sammanfattningsvis är App Stores nya regler ett bra steg på vägen mot att göra information mer lättillgänglig för individer. Det ger ett standardiserat tillvägagångssätt för appar som finns på App Store och ger apputvecklare – särskilt små sådana – bättre möjligheter att lämna korrekt och tydlig information till sina användare. Kanske kan även denna nya transparens öka medvetenheten hos den genomsnittliga användaren och ge ett incitament till utvecklare att se över sin databehandling så att inte personuppgifter samlas in och behandlas i onödan.
Ett problem är dock att den information som apputvecklaren ställer in inte verifieras av Apple i nuläget, vilket öppnar upp för fortsatt behandling ”bakom skynket”. De stora leverantörerna, såsom Facebook och Twitter, torde ha anledning att lämna genuin och fullständig information med tanke på risken att de hamnar i blåsväder om det kommer fram att informationen de lämnat inte stämmer.
Som arbetsgivare innebär förändringarna i transparensen slutligen inte någon större positiv skillnad. Då informationen riktar sig till den individ som laddar ned och använder appen medför den inte större kontroll för en arbetsgivare. Däremot kan det vara till hjälp när arbetsgivaren ska bedöma om appen bör användas eller inte samt i information som arbetsgivaren lämnar till medarbetarna om hur deras personuppgifter behandlas.