sou · GLB339d4 · 1998-01-01 00:00:00 — Det behöver inte finnas en absolut koppling mellan aktören i Cyberspace och en enskild individ, utan man kan ha markerat en (liten) grupp individer med en markör. Det kanske räcker med att registrera ett hushålls vanor, exempelvis. Det är möjligt att välja markörer som aktören är tvungen att använda för att kunna utnyttja tjänsterna. Det är också möjligt att välja markörer som används av flera tjänsteleverantörer, vilket underlättar korskorrelering av insamlad infor- mation. Ett exempel på markör kan vara att använda en persons publika nyckel som knutits till ett nationellt , eller datorns ändnodsadress (IP-nummer). Dessa markörer är besvärliga att byta. integritetsproblem kommer att blekna jämfört med de problem vi potentiellt har framför oss. Jag tror att det är viktigt att fortlöpande följa integritetsproblematiken, och att vara beredd att reglera avarterna. En möj- lighet vore att ge Datainspektionen ett uppdrag att utgöra allmänhetens integritetsombudsman. Jag ser det som mycket viktigt att samhället initie- 492 Så här ser ett utdrag ut ur en Cookie-fil: SOU 1997: 39 Bilaga 3: Cyberspace, Real Life och juridiken 775 rar och stödjer forskning som syftar till att ta fram system som minimerar integritetsproblemet. Vi kan inte förvänta oss att marknaden tar tag i detta problem. 4Hur få en positiv utveckling på datasäkerhetsområdet? Datasäkerhet är ett oerhört eftersatt område , och medvetenheten om säkerhetsbristerna är låg. I princip samtliga datorsystem går att bryta sig in i med relativt små resurser. Som nämnts tidigare är det kapital en inbrotts- tjuv behöver information, och denna typ av information är normalt sett billigt att få tag på. Militären har fått upp ögonen för denna fara, och kallar ämnet för information warfare. De undersöker problemen ur både defensiv och offensiv synvinkel. Rapporterna [1] [2] [3] målar en skrämmande bild där alla datorsystem kan manipuleras, och där dessa manipulationer kan få dramatiska konsekvenser med försörjningskriser, störtande flygplan och krockande tåg. De militära analytikerna noterar att användningen av detta vapen inte begränsar sig till nationalstater, utan även små grupper med begränsade resurser kan nyttja det. För att tillse att otillåtna samkörningar mellan persondataregister ej sker måste man ha en hög datasäkerhetsnivå i systemen, annars kan en part med ont uppsåt omärkligt bryta sig in i de intressanta persondataregistren, kopiera persondata, och sedan genomföra samkörningen med egen utrust- ning. Med utgångspunkt i mitt tekniska kunnande och baserat på en del av den litteratur jag har läst håller jag det inte för orimligt att främmande makt har fullständig access till vissa av våra persondataregister med känsligt innehåll. Den amerikanska militären hävdar att det är av avgörande strategisk vikt att de besitter information high ground, dvs. att de har tillgång till all information de behöver. Det är sannolikt att den ameri- kanska signalspaningsorganisationen har säkrat fri tillgång till in- tressanta register.493 Jag bedömer det som fullt möjligt att även betydligt 493Enligt obekräftade rykten, som bland annat återgetts i , hade NSA genom avlyssning fullständig tillgång till all intern information hos EU- kommissionen. NSA hade modifierat en hårdvarukomponent i kommissionens PC-maskiner för att uppnå detta. Tyvärr saknas referenser på denna händelse. 776 Bilaga 3: Cyberspace, Real Life och juridiken SOU 1997: 39 mindre organisationer kan skaffa sig tillgång till dessa register. Jag bedö- mer det som mycket svårt att skydda stora samlingar av intressanta per- sondata från otillbörligt intrång. Enligt den nu gällande datalagen (1973) får Datainspektionen utfärda före- skrifter om hur behandlingen skall genomföras med hänseende på kontroll och säkerhet (6 § DL). 6 § DL Lämnas tillstånd till inrättande och förande av personregister, skall datainspektionen, i den mån det behövs för att förebygga risk för otillbörligt intrång i personlig integritet, meddela föreskrift om 4. den tekniska utrustningen, 10. kontroll och säkerhet, EU:s dataskyddsdirektiv reglerar säkerheten vid behandling av person- uppgifter närmare. Dataskyddsdirektivet skall omsättas i nationell lag, i och med betänkande och den efterföljande behand- lingen. Artikel 17: Säkerhet vid behandling 1.Medlemsstaterna skall föreskriva att den registeransvarige skall genom- föra lämpliga tekniska och organisatoriska åtgärder för att skydda person- uppgifter från förstöring genom olyckshändelse eller otillåtna handlingar eller förlust genom olyckshändelse samt mot ändringar, otillåten spridning av eller otillåten tillgång till uppgifterna, särskilt om behandlingen innefattar överföring av uppgifter i ett nätverk, och mot varje annat slag av otillåten behandling. Dessa åtgärder skall med beaktande av den nuvarande tekniska nivån och de kostnader som är förenade med åtgärdernas genomförande åstadkomma en lämplig säkerhetsnivå i förhållande till de risker som är förknippade med behandlingen och arten av de uppgifter som skall skyddas. 2.Medlemsstaterna skall föreskriva att den registeransvarige, när behand- lingen utförs för dennes räkning, skall välja en registerförare som kan ge tillräckliga garantier vad gäller de tekniska säkerhetsåtgärder och de organi- satoriska åtgärder som måste vidtas och tillse att dessa åtgärder genomförs. SOU 1997: 39 Bilaga 3: Cyberspace, Real Life och juridiken 777 När uppgifter behandlas av en registerförare skall hanteringen regleras genom ett avtal eller genom en annan rättsligt bindande handling mellan registerföraren och den registeransvarige och i handlingen skall särskilt före- skrivas att registerföraren endast får handla på instruktioner från den registeransva- rige, de skyldigheter som anges i punkt 1, såsom de definieras i lagstiftningen i den medlemsstat i vilken registerföraren är etablerad, även skall åvila registerföraren. diskuterar inte säkerhetskraven närmare, utan refererar till skrivningarna i dataskyddsdirektivet. Jag tror att dessa paragrafer kan komma att bli viktiga , och skulle gärna se en skärpning av kraven. Till att börja med är det orimligt att lägga samma säkerhetskrav obero- ende av datasamlingens omfattning och struktur. För privat användning av en mindre mängd persondata i en ostrukturerad samling torde dagens kommersiella produkter med lösenordsskydd vara tillräckligt. Eftersom automatiska bearbetningar är praktiskt taget utan kostnader i Cyberspace, utgör de stora samlingarna av strukturerade persondata pro- blemet. Små register som är organiserade efter olika kriterier, och använ- der olika databasteknik, eller på annat sätt har olika struktur, leder till om- fattande manuellt efterarbete. Dessutom blir inte alla intrång identiska, ef- tersom systemen är olika, vilket ytterligare fördyrar hopsamlandet av in- formationen. De stora persondatasamlingarna sitter däremot i mitten av stora infor- mationsbehandlingssystem med tillhörande stora accessnät ut i organisa- tionens administration. Ofta räcker det med ett intrång i ett sådant system för att en angripare skall få tag på den information som han är ute efter. Dessutom leder det stora accessnätet till att det finns många vägar in i systemet, och databastekniken är mer standardiserad. Dessa stora informationsbehandlingssystem leder till kraftiga rationali- seringsvinster för organisationen. ökar risken för intrång i regist- ret kraftigt med storleken. De stora registren bör därför ha större säker- hetskrav på sig än de små registren. De investeringar som dessa ökade krav orsakar, leder till samhällseko- nomiska vinster, eftersom de minskar sårbarheten i samhället. Det är troligt att hotet från information warfare kommer att leda till att staten i vilket fall tvingas genomföra program för att minska sårbarheten hos de mest kritiska IT-systemen, för att trygga informationsförsörjningen. De stora administrativa systemen hör till dessa kritiska system. 778 Bilaga 3: Cyberspace, Real Life och juridiken SOU 1997: 39 Mitt förslag är att förstärka kraven på säkerhet i samband med större persondatasamlingar. Innehavare av stora register bör vara skyl- diga att demonstrera att säkerheten är tillfredsställande inför exempelvis en expertkommitté. Denna kontroll bör ske regelbundet. Att ha en koppling till state-of-the-art innebär tyvärr bara att det eftersatta området datasäker- het inte rör sig framåt. Kraven bör vara målrelaterade, och inte produkt- relaterade. Ett minimum är att varje organisation skyddar sig mot de kända attacker som finns. Organisationen bör också skydda sig mot attacktyper som är troliga att utnyttjas allmänt . Man bör också notera att organisationer med resurser alltid kan använda mer avancerade och okända attacktyper på systemet. Om innehållet i registren är känsligt, eller hotbilden på annat sätt visar att kvalificerade attacker är troliga, bör organisationen vara skyldig att skydda sig mot dessa hot också. Jag tror också att det är viktigt att säkerhetsbestämmelserna förknippas med reella och kännbara påföljder. Nuvarande 23 § DL kan leda till att den registeransvarige får ersätta skada orsakad på grund av brott mot 20 § DL, exempelvis mot föreskrifter angående kontroll och säkerhet (6 § 1 st. 10 DL). EU:s dataskyddsdirektiv innehåller följande: Artikel 23: Ansvar 1.Medlemsstaterna skall föreskriva att var och en som lidit skada till följd av en otillåten behandling eller av någon annan åtgärd som är oförenlig med de nationella bestämmelser som antagits till följd av detta direktiv, har rätt till ersättning av den registeransvarige för den skada som han har lidit. 2.Den registeransvarige kan helt eller delvis undgå detta ansvar om han bevisar att han inte är ansvarig för den händelse som orsakade skadan. I föreslagna lydelse av persondatalagen har detta formulerats: 31 § Den persondataansvarige skall vidta lämpliga tekniska och organisato- riska åtgärder för att skydda de personuppgifter som behandlas. Åtgärderna skall åstadkomma en säkerhetsnivå som är lämplig med beaktande av a)de tekniska möjligheter som finns, b)vad det skulle kosta att genomföra åtgärderna, c)de särskilda risker som finns med behandlingen av personuppgifterna, och d)hur pass känsliga de behandlade personuppgifterna är. När den persondataansvarige anlitar ett persondatabiträde, skall den person- dataansvarige förvissa sig om att persondatabiträdet kan genomföra de sä- SOU 1997: 39 Bilaga 3: Cyberspace, Real Life och juridiken 779 kerhetsåtgärder som måste vidtas och se till att persondatabiträdet verkligen vidtar åtgärderna. 43 § Den persondataansvarige skall ersätta den registrerade för den skada som en behandling av personuppgifter i strid med denna lag eller föreskrifter som har meddelats med stöd av lagen har fört med sig. Ersättning skall betalas också för ren förmögenhetsskada och för den kränkning av den per- sonliga integriteten som behandlingen har inneburit. Ersättningsskyldigheten enligt första stycket kan i den utsträckning det är skäligt sättas ned eller helt falla bort, om den persondataansvarige visar att felet inte berodde på honom eller henne. Först föreslår jag alltså att fallet e) att åtgärderna skall relateras till antalet registrerade i persondataregistret, inkluderas i 31 § ovan. Jag föreslår vidare att den registeransvarige skall kunna hållas skade- ståndsskyldig även vid fall av intrång av tredje man. 43 § andra stycket kan tolkas så att vid intrång av tredje man är inte den persondataansvarige skadeståndsskyldig med avseende på intrång i den personliga integriteten, eftersom felet inte berodde på honom eller henne. Skadeståndsansvaret bör vidare vara strikt, så att intrång av tredje man i ett register alltid leder till en viss skadeståndskostnad för den persondata- ansvarige. Skadeståndets storlek kan dock reduceras om den persondata- ansvarige kan demonstrera att tillräckliga målrelaterade åtgärder vidtagits för att tillse säkerheten i behandlingen och lagringen av registret, på lik- nande sätt som i den föreslagna 43 §. Den föreslagna persondatalagen innehåller ett antal undantag från när la- gen tillämpas. Undantag för privat användning av personuppgifter 6 § Denna lag gäller inte för sådan behandling av personuppgifter som en fysisk person utför som ett led i en verksamhet av rent privat natur. Undantag med hänsyn till yttrandefriheten 7 § Bestämmelserna i 9–29 och 33–46 §§ samt 47 § första stycket och 49 § skall inte tillämpas på a)sådana förfaranden som är skyddade enligt tryckfrihetsförordningen eller yttrandefrihetsgrundlagen, 780 Bilaga 3: Cyberspace, Real Life och juridiken SOU 1997: 39 b)spridningen av sådana yttranden som är skyddade enligt tryckfrihetsför- ordningen eller yttrandefrihetsgrundlagen, eller c)sådan behandling av personuppgifter som annars sker uteslutande för journalistiska ändamål eller konstnärligt eller litterärt skapande. 10 § Personuppgifter får behandlas bara om den registrerade har lämnat sitt samtycke till behandlingen eller när behandlingen är nödvändig a)för att fullgöra ett avtal med den registrerade, b)för att på den registrerades begäran vidta åtgärder innan ett avtal träffas, c)för att den persondataansvarige skall kunna fullgöra en rättslig skyldig- het, d)för att skydda vitala intressen för den registrerade, e)för att utföra en arbetsuppgift av allmänt intresse, f)för att den persondataansvarige eller en tredje man till vilken person- uppgifter lämnas ut skall kunna utföra en arbetsuppgift i samband med myndighetsutövning, eller g)för ändamål som rör ett berättigat intresse hos den persondataansvarige eller hos sådana tredje män till vilka personuppgifterna lämnas ut när detta intresse väger tyngre än den registrerades intresse. Dessutom kan uppgift föras över till tredje land, där undantag från lag- stiftningen kan trädda in. 34 § Utan hinder av 33 § är det tillåtet att föra över personuppgifter till tredje land, om den registrerade har samtyckt till överföringen eller när överföringen är nödvändig för att a)fullgöra ett avtal mellan den registrerade och den persondataansvarige, b)på den registrerades begäran vidta åtgärder innan ett avtal träffas, c)ingå eller fullgöra ett sådant avtal mellan den persondataansvarige och tredje man som är i den registrerades intresse, d)rättsliga anspråk skall kunna fastställas, göras gällande eller försvaras, eller e)skydda vitala intressen för den registrerade. Det är också tillåtet att föra över personuppgifter för användning enbart i en stat som har anslutit sig till konvention om skydd för enskilda vid automatisk databehandling av personuppgifter. En del av dessa undantag rör det fall då den registrerade själv har lämnat medgivande om behandling, en del fall rör tryck- och yttrandefriheten, och ytterligare fall rör rent privat behandling. Resultatet av dessa undantag kommer att bli att en stor mängd av fria persondatauppgifter kommer att existera. IT innebär att intressegrupper lätt kan formas och kommunicera med varandra. Dessa nya fora behöver inte ha en fast form, utan kan uppkomma spontant och upplösas spontant. De kan dessutom vara helt baserade på personlig kommunikation inom en liten grupp av individer. SOU 1997: 39 Bilaga 3: Cyberspace, Real Life och juridiken 781 dessa fora är en grundläggande rättighet såväl med avseende på mötesfri- het som föreningsfrihet (2 kap. 1 § RF). I många fall rör sig detta om privat kommunikation – ett cybermöte – och Yttrandefrihetsgrundlagen (YGL) och Tryckfrihetsförordningen (TF) borde då inte appliceras, dvs. ingen an- svarig utgivare, ingen självsanering, inga genmälen. Det faktum att denna kommunikation sker över elektroniska infrastrukturer bör inte på- verka denna grundläggande rätt att kommunicera. Enligt den föreslagna 6 § ovan har varje person dessutom rätt att behandla personuppgifter för privat verksamhet. Rimligen borde denna rent privata bearbetning kunna baseras på information som erhållits genom privat kommunikation. Dess- utom skulle efterlevnaden av en lag som förbjöd denna typ av behandling inte kunna kontrolleras. Det är troligt att mängden fria personuppgifter kommer att växa kraftigt framöver. De självmant lämnade uppgifterna kommer att öka, och de privata mottagarna kommer att kunna lagra dessa uppgifter494. Dessa uppgifter kan sedan komma att spridas i andra hand i privata möten eller i småskaliga massmedier, som nyhetsbrev och diskussionsgrupper. Vi kan redan konstatera att det förekommer ryktesspridning på Internet som är mycket livskraftig. Om ett rykte uppfattas som trovärdigt och angeläget sprids det vidare, och det är därför troligt att vi kommer att få se betydligt fler ärekränkningsmål framöver. Nätets gränslöshet ställer dock till problem när det gäller ärekränkning, eftersom olika nationer har olika ärekränkningslagar. Traditionella mass- medier kommer antagligen ställa upp på självsanerande kontrollverksam- het, men kommer nya massmedier att göra det?495 Det är inte särskilt troligt, och var gränsen mellan slutet möte och massmedier ska dras kan verkligen diskuteras. Min erfarenhet från Internettjänsten Usenet496 är att man inte nödvändigtvis kan förvänta sig en god samtalston, till stor del baserat på det faktum att deltagargruppen är så heterogen, och att ex- poneringen för diametralt motsatta åsikter får vissa deltagare att tappa fatt- 494Det är vanligt att flitiga e-post-användare har stora mängder e-post lagrade, ibland uppåt flera tusen stycken. Denna e-post är full med personuppgifter, och kan sökas i baserat på ämne, avsändare, datum eller valfritt nyckelord. 495Se exempelvis den omskrivna servern Flashback () med tillhörande nyhetsbrev (), som går ut till omkring 12 000 svenska prenumeranter. 496Ett världsomspännande diskussionsforum med ämnesrelaterade möten där delta- gare från hela världen deltar. 782 Bilaga 3: Cyberspace, Real Life och juridiken SOU 1997: 39 ningen.497 Denna situation leder ibland till en upptrappning, som emellan- åt slutar i en större mängd stämningar för förtal mellan kontrahenterna. 12 § I de fall där behandling av personuppgifter bara är tillåten när den re- gistrerade har lämnat sitt samtycke enligt 10, 15 eller 34 § har den registre- rade rätt att när som helst återkalla ett lämnat samtycke. Ytterligare person- uppgifter om den registrerade får därefter inte behandlas. En registrerad har utöver vad som följer av första stycket och 11 § inte rätt att motsätta sig sådan behandling av personuppgifter som är tillåten en- ligt denna lag. Denna rätt att återkalla uppgifter lämnade med samtycke kan rent praktiskt vara ogörligt för denna typ av fria personuppgifter som diskuteras. Spridningen av dessa uppgifter är okontrollerbar. Inlägg i diskussionslistor hamnar exempelvis hos alla prenumeranter av diskussionslistan, och vissa av dem kan ha lämnat listan då begäran om ett återkallande skickas ut. I grunden finns det en fundamental motsättning mellan rätten till privat kommunikation och allmänhetens och enskildas oro för att bli registrerade. Om och hur denna motsättning bör regleras är oklart för mig. Jag tror att det är viktigt att vara medveten om att en större mängd fria personuppgifter kommer att ackumuleras i IT-systemen, och jag föreslår att Datainspektionen får i uppdrag att fortlöpande undersöka om- fattningen av det integritetsintrång denna information utgör. Jag tror också att är viktigt att nya system som minimerar mängden fria personuppgifter med hög identifikationsgrad utvecklas.498 I Cyberspace gäller andra fundamentala begränsningar än vad som gäller i den fysiska världen, och det gör att andra problemställningar blir aktuella. 497Denna typ av exponering för extrema åsikter och främmande uppfattningar kommer också att öka kraftigt i omfattning, och det är mycket svårt att åtgärda. Min uppfattning är att vi måste bli mer toleranta mot dylika yttringar. Det innebär dock inte att de skall stå oemotsagda. 498Vid KTH/Teleinformatik har vi genomfört två examensarbeten () som syftat till att ta fram ett system med pseudonymer. I detta system antar vi att man kommunicerar, men identifikationsgraden kan varie- ras, och varje fysisk person har flera pseudonymer, vilket försvårar korrelationen mellan fysisk person och yttrande. SOU 1997: 39 Bilaga 3: Cyberspace, Real Life och juridiken 783 Datalagen (1973) sysslade med register; datasamlingar om fakta om den fysiska världen och individer i den. Allteftersom verksamheter flyttar från den fysiska världen till Cyberspace, kommer mer och mer uppgifter att en- bart röra Cyberspace. De fundamentala egenskaperna hos Cyberspace kommer därför att bli viktiga. Ett förslag är att tjänster som är allmänt tillgängliga måste deklarera om de loggar användaren, vad som loggas och hur länge denna informa- tion sparas. Man kan också tänka sig att reglera handeln med dylika per- sonuppgifter mellan företag. Den föreslagna definitionen av personuppgift är bra, men den tar ej hänsyn till identiteter som enbart rör sig i Cyberspace, utan explicit kopp- ling till den fysiska individen. Detta kan utgöra en väg runt den föreslagna persondatalagen. Det är inte heller säkert att enbart enskild individ kan råka ut för integritetsintrång, utan även en liten grupp av individer kan råka ut för detta. Ett förslag är att ge Datainspektionen en allmän roll som allmänhetens In- tegritetsombudsman. DI skulle då få ett fortlöpande uppdrag att tillvarata individens integritet under IT-revolutionens fortskridande. Det är viktigt att samhället initierar och stödjer forskning som syftar till att ta fram system som minimerar integritetsproblemet. Det föreslås också att om- fattningen av vidtagna säkerhetsåtgärder skall göras beroende av storle- ken på persondatasamlingen. Det föreslås att den föreslagna 31 § kompletteras med e) att åtgärderna skall relateras till antalet registrerade i persondataregistret Att ha en koppling till datasäkerhetens state-of-the-art innebär tyvärr bara att det eftersatta området datasäkerhet inte rör sig framåt. Kraven bör vara målrelaterade, och inte produktrelaterade. Det föreslås vidare att den persondataansvarige skall kunna hållas ska- deståndsskyldig även vid fall av intrång av tredje man. Skadeståndsansva- ret bör vidare vara strikt, så att intrång av tredje part i ett register alltid le- der till en viss skadeståndskostnad för den persondataansvarige. Detta för- slag rör 43 § andra stycket. I grunden finns det en fundamental motsättning mellan rätten till privat kommunikation och allmänhetens och enskildas oro för att bli registrerade. Om och hur denna motsättning bör regleras är oklart. Det är viktigt att vara medveten om att en större mängd fria personuppgifter kommer att ackumuleras i IT-systemen. Vi föreslår att Datainspektionen 784 Bilaga 3: Cyberspace, Real Life och juridiken SOU 1997: 39 får i uppdrag att fortlöpande undersöka omfattningen av det integritetsin- trång denna fria information utgör. Det är också viktigt att nya system som minimerar mängden fria personuppgifter med hög identifikations- grad utvecklas. Detta arbete har finansierats av EU genom OnTheMove. För mer in- formation om OnTheMove, se . Denna bilaga finns tillgänglig på . [1]. , , . , Strategic In- formation Warfare: A New Face of War, [2]. , . Hearn, An Exploration of Strategies for : The II [3]Information War and the : of the Future? SOU 1997: 39 BILAGA 4: PERSONLIG INTEGRITET SOU 1997: 39 Bilaga 4: Personlig integritet – Rapport av 787 Vad är personlig integritet? Känsliga uppgifter om personer: det privata och det avvikande...... Den personliga integritetens extension............................................. Att vara kränkt och att uppleva sig kränkt........................................ Kan bara personer kränkas? Slutsats: begreppet personlig integritet............................................. Personlig integritet i svensk tradition ........................................... Är personlig integritet en rättighet? Behandling av personuppgifter och rättigheten till SOU 1997: 39 Bilaga 4: Personlig integritet – Rapport av 789