Facebook har på några få år växt till en global tjänst med en databas som innehåller detaljerad personlig information om mer än 800 miljoner människor. Informationen är en guldgruva för Facebook eftersom den kan hjälpa företag att rikta reklam till rätt målgrupp. Möjligheterna till kartläggning är närmast oändliga och detta har blivit en miljardindustri, som DN.se tidigare berättat.
Nu har Facebook fått en sådan omfattning att myndigheter och politiker i såväl Europa och USA anser att användarnas dataskydd måste stärkas. Hur utnyttjar Facebook databasen? Hur blir användarna upplysta om detta och vilken kontroll har de över sin egen information? Det är frågor som pockar på svar.
Myndigheter i flera europeiska länder är inblandade i en stor granskning som pågår just nu. Det började med norska Datatilsynets undersökning som presenterades i våras. Den norska myndigheten konstaterade att flera passager i Facebooks policydokument är vaga och har breda tolkningsmöjligheter.
Datatilsynet ansåg exempelvis att informationen om hur Facebook förhåller sig till personliga uppgifter är oklar. Det samma gällde vilken tillgång Facebooks samarbetspartner kan få till informationen och hur användare kan radera personlig information eller hela kontot.
Norge skickade ett antal följdfrågor till Facebooks europeiska huvudkontor i Dublin. Även svenska Datainspektionen och de andra nordiska ländernas motsvarigheter ställde sig bakom frågorna. Svaren från Facebook beskrevs av Datainspektionens generaldirektör Göran Gräslund som ”både fylliga och intressanta”.
Bland annat bekräftade företaget att man för riktad reklam kan använda information från både statusuppdateringar och gilla-knapptryckningar. Men informationen lämnas enligt Facebook inte till utomstående part annat än i de fall där användaren gått med på det i samband med att man installerat någon app, exempelvis ett spel.
Även om svaren var intressanta ville de nordiska dataskyddsmyndigheterna veta mer och träffade Facebooks företrädare i Dublin den 24 oktober. Jonas Agnvall från svenska Datainspektionen var med på mötet.
– Det är några frågor som återstår att få svar på för oss. Exempelvis hur de via cookies använder information om sina användares surfvanor när de inte är på Facebook, säger Jonas Agnvall till DN.se.
Dagen efter det nordiska besöket, den 25 oktober, inledde Irlands dataskyddsmyndighet, Data Protection Commissioner, en granskning med liknande ambitioner men i större skala och med större betydelse. Eftersom Facebooks europeiska huvudkontor ligger i Dublin arbetar Irland å hela EU:s vägnar och beslutet som väntas före årsskiftet kommer få följder även i Sverige.
– Kommer de fram till att Facebook bryter mot lagstiftningen kommer Irland att vidta åtgärder. Det kommer att påverka även svenska Facebook-användare, säger Jonas Agnvall.
Den irländska granskningen inleddes efter att gruppen Europe vs Facebook lämnat in 22 klagomål mot det sociala nätverket. Gruppen startades av den österrikiske juridikstudenten Max Schrems efter att han begärt ut all information som Facebook hade om honom. Han fick ett pdf-dokument med mer än 1.200 sidor.
Klagomålen gäller fyra huvudprinciper:
- Transparensen: att det enligt anmälarna är närapå omöjligt för användarna att förstå vad Facebook faktiskt gör med informationen.
- Medgivanden: Grundprincipen borde enligt anmälarna vara att information inte lämnas ut eller offentliggörs – det skall i så fall krävas ett aktivt medgivande från användarna.
- Möjligheterna för andra att sprida din information borde begränsas.
- Bättre möjligheter att radera information som man inte längre vill ha kvar.
Vad är då skillnaden mellan hur Facebook arbetar och mer traditionella marknadsundersökningar som ligger till grund för reklam?
– Vanliga kundundersökningar är inte individanpassade som Facebooks verksamhet är. Vad vi ser är att de gör den här anpassningen i en aldrig förr skådad skala, säger Jonas Agnvall.
Men vad skiljer Facebook från exempelvis Icas riktade reklam?
– Ica med flera har inköpsbaserade kunduppgifter. Facebooks kartläggning är annorlunda. Den är större och mer personlig. Jag säger inte att det är integritetskränkande, men det är vad Irland ska reda ut: exakt vad gör Facebook och är det ok?
Och argumentet ”den som har rent mjöl i påsen har inget att dölja”?
– Alla har egentligen något att dölja, eller snarare vill man ha möjligheten att styra vem vi vill dela vilken information med. Få skulle acceptera övervakningskameror i bostaden, även om man egentligen inte har något att dölja, säger Agnvall.
I Tyskland har Facebook redan fått bakläxa efter en granskning. Delstaten Schleswig-Holstein har helt enkelt förbjudit webbplatser att använda gillaknappen för att den anses ge Facebook för stora möjligheter att kartlägga surfvanor via så kallade kakor som placeras på användarens dator. Även Facebook själva hotas med böter om de lagrar sådan information.
Dataskyddsmyndigheterna undersöker i vilken mån Facebook följer gällande regelverk. Men det kan också bli så att nya lagar och regler införs. EU-kommissionen, med vice ordförande Viviane Reding i spetsen, har för avsikt att redan i januari lansera ett direktiv som ska begränsa Facebooks tillgång till eller hantering av användarnas uppgifter för att rikta sin reklam.
– Jag uppmanar alla tjänsteleverantörer, särskilt sociala medier, att bli mer transparenta med hur de jobbar. Användarna måste få veta vad för data som samlas in, hur den hanteras och används, sade Viviane Reding till Daily Telegraph.
– Europeiska konsumenter ska kunna känna att deras uppgifter har ett starkt skydd oavsett vilket land de bor i och oavsett vilket land företagen som hanterar de personliga uppgifterna befinner sig i.
På andra sidan Atlanten möter Facebook samma sorts motstånd. Handelsmyndigheten Federal Trade Commission agerade efter larm 2009 om att det sociala nätverket förespeglat användare större integritetsskydd än de fått i praktiken.
Facebook tvingades nyligen ingå en överenskommelse med myndigheten. Bland annat måste Facebook få användarens uttryckliga tillåtelse att genomföra förändringar som går bortom kontots nuvarande säkerhetsinställningar. Facebook måste också se till att ingen kan få tillgång till en användares uppgifter senast 30 dagar efter att de raderats.
Dessutom har Facebook gått med på att integritet och dataskydd ska granskas av en oberoende part vartannat år de närmaste 20 åren. Varje enskilt brott mot överenskommelsen kan kosta Facebook 16.000 dollar.
Hur det går för Facebook i Europa vet vi förhoppningsvis före årsskiftet.