sou · GLB339d4 · 1998-01-01 00:00:00 — d)avge yttranden om de uppförandekodexar som utarbetas på gemen- skapsnivå. Om arbetsgruppen konstaterar förekomsten av sådana skillnader mellan medlemsstaternas lagstiftning eller praxis, som kan vara till nackdel för likvärdigheten i skyddet för personer med avseende på behandlingen av personuppgifter inom gemenskapen, skall gruppen informera kommissio- nen om detta. SOU 1997: 39 Bilaga 2: EG-direktivet 759 3.Arbetsgruppen kan på eget initiativ utfärda rekommendationer i alla frå- gor som rör skyddet av personer med avseende på behandlingen av per- sonuppgifter inom gemenskapen. 4.Arbetsgruppens yttranden och rekommendationer skall framläggas för kommissionen och den kommitté som avses i artikel 31. 5.Kommissionen skall informera arbetsgruppen om det sätt på vilket den har tagit hänsyn till yttrandena och rekommendationerna. För att göra detta skall kommissionen utarbeta en rapport som också skall framläggas för och rådet. Rapporten skall offentliggöras. 6.Arbetsgruppen skall utarbeta en årsrapport om situationen rörande skyddet för fysiska personer med avseende på behandlingen av person- uppgifter inom gemenskapen och i tredje land, som den skall översända till kommissionen, och rådet. Rapporten skall offentliggö- ras. GEMENSKAPENS ÅTGÄRDER FÖR GENOMFÖRANDE 1.Kommissionen skall biträdas av en kommitté som är sammansatt av företrädare för medlemsstaterna och som har kommissionens företrädare som ordförande. 2.Kommissionens företrädare skall förelägga kommittén ett förslag till åtgärder. Kommittén skall yttra sig över förslaget inom som ord- föranden bestämmer med hänsyn till hur brådskande ärendet är. Yttrandet skall avges med den majoritet som anges i artikel 148.2 i fördra- get. Vid omröstning i kommittén skall medlemsstaternas röster vägas på det sätt som anges i den artikeln. Ordföranden skall inte rösta. Kommissionen skall besluta om åtgärder som skall ha omedelbar verkan. Om emellertid åtgärderna avviker från kommitténs yttrande, skall kommissionen underställa rådet ärendet. I detta fall gäller föl- jande: 760 Bilaga 2: EG-direktivet SOU 1997: 39 Kommissionen skall uppskjuta genomförandet av åtgärderna under en tidsfrist räknad från meddelandedatum, Rådet kan med kvalificerad majoritet fatta ett avvikande beslut inom den tidsfrist som anges i den första strecksatsen. Medlemsstaterna skall sätta i kraft de lagar och andra författningar, som är nödvändiga för att följa detta direktiv, senast efter dess antagande. När en medlemsstat antar dessa bestämmelser skall de innehålla en hän- visning till detta direktiv eller åtföljas av en sådan hänvisning när de offentliggörs. Närmare föreskrifter om hur hänvisningen skall göras skall varje medlemsstat själv utfärda. Medlemsstaterna skall se till att sådan behandling som redan pågår när de nationella bestämmelser som antas till följd av detta direktiv träder i kraft bringas i överensstämmelse med dessa bestämmelser från denna tidpunkt. I fråga om sådana uppgifter som redan finns i register vid ikraft- trädandet av de nationella bestämmelser som antas för att genomföra detta direktiv får medlemsstaterna, med avvikelse från föregående stycke, före- skriva att behandlingen skall bringas i överensstämmelse med artiklarna 6– 8 i detta direktiv räknat för direktivets antagande. Medlemsstaterna skall dock ge den registrerade rätt att på begäran och sär- skilt i samband med att han utövar sin rätt till tillgång till uppgifter, erhålla rättelse, utplåning eller blockering av uppgifter som är ofullständiga, fel- aktiga eller lagrade på ett sätt som inte är förenligt med de legitima ända- mål som den registeransvarige vill uppnå. 3.Med undantag från punkt 2 kan medlemsstaterna under förutsättning av lämpliga skyddsåtgärder föreskriva att uppgifter som endast bevaras för historisk forskning inte behöver överensstämma med artiklarna 6–8 i detta direktiv. 4.Medlemsstaterna skall till kommissionen överlämna texten till de natio- nella bestämmelser som de antar inom det område som omfattas av detta direktiv. SOU 1997: 39 Bilaga 2: EG-direktivet 761 Kommissionen skall första gången senast efter den tidpunkt som an- ges i artikel 32.1 och därefter regelbundet till rådet och avge en rapport om genomförandet av detta direktiv, eventuellt försedd med lämpliga ändringsförslag. Rapporten skall offentliggöras. Kommissionen skall särskilt undersöka tillämpningen av detta direktiv på behandling av ljud- och bilduppgifter som rör fysiska personer och skall framlägga alla lämpliga förslag som med beaktande av informationstekni- kens och informationssamhällets utveckling, visar sig nödvändiga. Detta direktiv riktar sig till medlemsstaterna. L. ATIENZA SERNA SOU 1997: 39 CYBERSPACE, REAL LIFE OCH JURIDIKEN Tekniska Högskolan/Teleinformatik SOU 1997: 39 Bilaga 3: Cyberspace, Real Life och juridiken 765 Egenskaper hos Cyberspace........................................................... Personuppgifter kopplade till elektroniska identiteter ................... Hur få en positiv utveckling på datasäkerhetsområdet? SOU 1997: 39 Bilaga 3: Cyberspace, Real Life och juridiken 767 Cyberspace, Real Life och juridiken betänkande ur teknisk synvinkel Denna rapport diskuterar ett antal aspekter som är relevanta för den kommande datalagstiftningen, och betänkande. Den är skriven ur ett tekniskt perspektiv, och diskuterar speciellt aspekter som rör säkerhet och den privata sfären. Rapporten utgår från de praktiska erfa- renheter som författarna har av datasäkerhetsarbete i en Internetmiljö, och de problemställningar som uppkommit där. Det finns ett underliggande antagande att dessa problemställningar kommer att sprida sig till övriga IT- sektorer allteftersom. Internet utgör därmed ett tidigt test på kommande problem. Rapportens huvudsakliga författare är doktorand , men prefekt synpunkter är invävda i texten, och författarna har diskuterat innehållet i rapporten. De grundläggande egenskaperna hos Cyberspace i kontrast mot den fysiska världen diskuteras i avsnitt 2. Den typ av personuppgifter som ej kopplas till den fysiska identiteten utan till den elektroniska diskuteras i avsnitt 3. Persondatalagens möjlighet att initiera en nödvändig förbättring av datasäkerheten i samhället diskuteras i avsnitt 4. Mängden fria person- uppgifter som finns i samband med privat kommunikation och privat be- 768 Bilaga 3: Cyberspace, Real Life och juridiken SOU 1997: 39 arbetning diskuteras i avsnitt 5. En sammanfattning av de konkreta försla- gen avslutar rapporten i avsnitt 6. 2 Egenskaper hos Cyberspace I och med IT-revolutionen flyttar verksamheter från den fysiska världen in i Cyberspace. Denna flytt sker eftersom IT erbjuder en rationell hantering av många verksamheter, och IT dessutom är flexibel på ett helt annat sätt än fysiskt realiserade verksamheter. Ekonomiskt sett utgör IT ett helt nytt fenomen; enbart fasta kostnader, och rörliga kostnader nära noll. Denna ekonomiska drivkraft är mycket stark, och kommer att påverka hela sam- hället de närmaste decennierna. I samband med denna uppkommer frågor om säkerheten och integriteten hos den nya verksamheten. Cyberspace har andra egen- skaper än den fysiska världen, och därför uppkommer andra frågeställ- ningar än då verksamheten sker i den fysiska världen. Nedan diskuteras några viktiga egenskaper hos Cyberspace, som drastiskt skiljer sig från den fysiska världen. Först och främst måste man uppmärksamma att buggar alltid existerar i alla system488, och att även om man kan reducera antalet kraftigt leder detta till alltför stora utvecklingskostnader. En del av dessa allmänna buggar får säkerhetsrelevans, och blir därmed säkerhetshål. Vi kan därför inte förvänta oss att bygga det helt säkra systemet. I stället måste målet bli att kostnaderna för att lokalisera och designa en framgångsrik attack överstiger den förväntade vinst attacken kan ge. Detta förfarande är ana- logt med hur det fungerar i den fysiska världen, det som har värde måste skyddas tillräckligt. En av de viktigaste egenskaperna hos IT är dess fe- nomenala förmåga att automatisera verksamheter. Marginalkostnaden att utföra en procedur fler gånger när den väl kan utföras en gång med IT är 488Fel och svagheter finns givetvis i alla mänskliga konstruktioner. Dessa imperfek- tioner utgör dock ett mycket större hot i IT-världen, jämfört med de traditionella teknologierna. I IT är det område varifrån en imperfektion kan utnyttjas mycket större än i fysiska konstruktioner. Dessutom sker allting snabbt och automatiskt i Cyberspace. En ytterligare faktor av vikt i IT är att IT är transitiv till sin natur, dvs. att om A och B kan kommunicera, och B och C kan kommunicera, betyder det att A och C också kan kommunicera. Påverkan förblir inte lokal. Detta sammantaget leder till att en angripare har betydande skalfördelar i Cyberspace jämfört med den fysiska världen. SOU 1997: 39 Bilaga 3: Cyberspace, Real Life och juridiken 769 Detta innebär att aktioner som skulle kräva en stor organisation med betydande resurser om de utfördes i den fysiska världen kan utföras av enskilda individer i Cyberspace. Dessa aktioner kan givetvis vara av kriminell art. Ett illustrativt exempel är till exempel att lyckades obemärkt dyrka 150 000 lås i Cyberspace, dvs. gissa 150 000 användares lösenord. Tänk er motsvarande aktion i den fy- siska världen! Den obetydliga kostnaden för replikation och automatise- ring är ytterst viktig då man resonerar om lagstiftningen i Cyberspace. Tyvärr är grundtekniken i IT-systemen inte robust nog. En till synes obetydlig bugg kan utnyttjas mycket effektivt av en angripare, och effekten av buggen kan lätt förstoras till att omfatta hela system. Ofta kombinerar en angripare ihop effekten av flera buggar och systemets medvetna funktion till en attackkedja som uppnår angriparens mål. Eftersom grund- tekniken är i stort sett densamma över hela IT-världen, är svagheterna i stort sett desamma överallt. Dessutom blir de åtgärder som behövs för att göra tekniken mer robust likartad. Målet måste vara att grundtekniken skall bli såpass robust att vanliga programmerarmisstag inte skall kunna utnyttjas och förstoras, utan att effekterna förblir lokala runt buggen. Orsaken till IT:s oerhörda vitalitet kan sägas bero på att informationen kan flöda fritt inom systemet. Nya program laddas ner över Nätet, olika meddelanden skickas mellan användare, automatiska sökmotorer samlar på sig all information i enorma databaser. Det som behövs för att utföra en attack är information, och det som behövs för att skydda ett system är in- formation. Kostnaden för att utföra en attack beror alltså på hur stora kost- naderna är för att införskaffa den nödvändiga informationen. Införskaffan- det kan antingen ske genom att man själv skapar informationen, vilket ofta innebär arbetstid, eller byter den till sig från någon som har informationen. Dessvärre finns det en välorganiserad Computer Underground, där infor- mation byts utan kostnad. Dessutom drivs medlemmarna av ett brinnande intresse för IT-system, och arbetar därför gärna gratis, eller för en viss status i denna subkultur. Vi kan därför konstatera att kostnaderna för en attack på ett system ligger nära noll. I värsta fall behöver angriparen investera någon arbetsvecka för att ta sig in. En annan egenskap hos Cyberspace som inte uppmärksammats ordent- ligt ännu är den oerhörda transitivitet som informationen får i systemet. System som man trodde var helt separerade kan visa sig vara nära i Cyber- space genom att de delar på någon resurs. Informationen kan då rinna iväg åt icke-förväntade eller icke-önskade håll. En medveten angripare kan där- för ofta hitta bakvägar in i systemen. 770 Bilaga 3: Cyberspace, Real Life och juridiken SOU 1997: 39 I IT-system agerar ett antal olika personer, parter, . Säker- hetsfunktionerna måste förhindra att de olika parterna otillbörligt påverkar de andra parterna. Säkerhetsfunktionerna i moderna IT-system byggs näs- tan alltid efter det jag kallar Systemparadigmen. Med det menar jag att se- parationen av parterna uppnås genom att en ytterligare part, Systemet, in- förs, som tillser denna separation. Eftersom Systemet separerar parterna måste alla parter lita på Systemet, och den som kontrollerar Systemet har möjlighet att förfalska varje parts medverkan i IT-systemet. Filosofin bakom Systemparadigmen går ut på att Systemet ska göras säkert. Tyvärr brukar Systemet bli stort och komplext, och innehåller därför buggar. Erfa- renheten visar att Systemet kan komprometteras på något sätt. Systemparadigmen håller på att ersättas av andra paradigmer. I öppna system, med allmän och delad nätinfrastruktur, kan inte nätet antas vara del av Systemet. I detta koncept sammanbinds de olika parterna av en komponent som ingen part litar på, och det finns ingen omfattande System- komponent, utan varje part hanterar sina egna behov själva. För att uppnå robust säkerhet bör komponenterna distribueras ut i systemen, och göras så små och därmed många, som möjligt. Vi behöver antagligen ompröva var på spektrat flexibilitet–säkerhet vi vill befinna oss för olika verksamheter och funktioner. Vissa kritiska funktioner skall kanske göras väsentligt mindre flexibla än vad de är ? Enskilda personers aktiviteter i Cyberspace lämnar omfattande spår efter sig. En viktig konsekvens av att IT-teknologin är så billig och att in- formationen kan rör sig så fritt är att det är relativt enkelt och billigt att samla in och sammanställa sådana spår till en heltäckande bild av vad en viss person företar sig. I de fall IT används i samband med fysisk verksam- het kan denna typ av informationsinsamling även komma att omfatta akti- viteter i den fysiska världen.489 Det är därför mycket viktigt att minimera informationsläckaget från olika IT-tjänster ut i systemet. Grundläggande bestäms säkerheten i Cyberspace av ekonomiska kal- kyler. Om kostnaden för att bryta sig in i ett system blir kännbar för angri- paren kommer vederbörande att vara mer tveksam i att attackera. Ökande kostnader stänger ute allt fler angripare. Få angripare är motiverade om kostnaderna för attacken överstiger den förväntade vinsten, multiplicerat med sannolikheten för en lyckad attack. Denna fundamentala ekvation be- 489Ett exempel är det läckage av geografisk plats som ägaren av en GSM-telefon läcker in i GSM-systemet. Denna information används numera regelbundet av po- lisen. SOU 1997: 39 Bilaga 3: Cyberspace, Real Life och juridiken 771 stämmer hur omfattande säkerhetsproblem vi kan komma att få. Tyvärr är kostnaderna i det närmaste noll, som vi konstaterat tidigare490. Följ- aktligen kan vi vänta oss problem framöver. IT-tekniken förändrar maktbalansen mellan olika parter, eftersom den ekonomiska grunden för deras verksamhet förändras. Applicerat på brotts- bekämpning betyder det att den eviga kampen mellan brottslingar och polis får nya förutsättningar i Cyberspace. Det går inte att avgöra åt vilket håll maktbalansen tippar, eftersom båda parters verksamhet påverkas. Eftersom läget är så osäkert kommer båda sidor försöka stärka sina positioner, och vad som är önskvärt beror på vilka värderingar man har. Vi kan konstatera att vare sig en polisstat med omfattande övervakning av oskyldiga personer för säkerhets skull, eller total anarki är attraktiv för de flesta491. Det i någon mån neutrala alternativet är att bygga IT-system som har liknande ekonomisk trade-off mellan polismakt och brottslingar som den existerande fysiska världen har. Detta är ju i praktiken inte görligt, men kan utgöra en utgångspunkt för diskussionen. 3Personuppgifter kopplade till elektroniska identiteter I lagförslaget utgår man ifrån begreppet personuppgift. Detta begrepp ut- går från den historiskt viktiga databasen, som registrerar fakta och uppgif- ter om människor. Databasen övervakar alltså människorna i den fysiska 490Värdet av informationen, och därmed den potentiella vinsten, i IT-system kommer att öka med tiden, vilket alltså innebär att vi i stället måste öka kostnaden för en attack. Att lyckas med detta kommer att bli svårt. Det skulle vara mycket svårt att förhindra hackers att byta information med varandra. En viktig faktor i en attacks förväntade vinst är hur den kan upprepas på ett identiskt sätt, det vill säga hur stor replikationsfaktorn är. Det går att minska replikationsfaktorn ge- nom att ha diversitet i IT-systemen, men detta är dyrt. Replikationsfaktorn kan också reduceras genom att koppla bort IT-system från kommunikationsmöjlighe- ter, men detta är oftast inte ett alternativ. En angripare kan också avskräckas på grund av efterräkningar, men det förutsätter att man vet vem angriparen är, och det kan man ofta inte göra i Cyberspace. Det slutliga alternativet är att drastiskt öka den tekniska kostnaden för ett intrång genom att på något sätt förändra grund- tekniken i IT-systemen. Hur dessa ändringar av grundtekniken skall se ut är en grannlaga forskningsuppgift. 491Detta är givetvis kulturberoende. Svenskar torde ha större tilltro till Staten än exempelvis många amerikanska medborgare. 772 Bilaga 3: Cyberspace, Real Life och juridiken SOU 1997: 39 Eftersom personuppgifter inte enbart förekommer i databa- ser, har begreppet generaliserats till att omfatta sökbara samlingar av per- sonuppgifter. [Avsnitt 1 Gällande rätt i huvuddrag] Med personuppgift avses upplysning som avser enskild person. Det kan vara upplysningar om namn, personnummer, födelsedatum, nationalitet, utbild- ning, familj och anställningsförhållanden. Även andra typer av upplysningar av mindre personlig karaktär räknas som personuppgifter. Enligt lagmotiven avses även uppgifter om en persons bostadsförhållanden, banktillgodoha- vanden, fastighets- eller bilinnehav och upplysningar i övrigt om en persons ekonomiska ställning. En personuppgift kan hänföras till en viss person antingen direkt genom själva uppgiften eller med hjälp av en identitetsuppgift som också ingår i registret. Även register som innehåller identitetsuppgifter av sådan art att bara den invigde kan utläsa vilka personer som finns registrerade omfattas av datalagen. Likaså omfattas statistiska uppgifter där beteckningar som också återfinns på dokument gör det möjligt att knyta uppgifterna till en viss person. [Avsnitt 3.2.2.2 Personuppgifter och den registrerade] Med personuppgift avses varje upplysning som avser en identifierad eller identifierbar fysisk person (den registrerade). En person är identifi- erbar om han eller hon kan identifieras direkt eller indirekt, t.ex. genom hänvisning till ett identifikationsnummer eller till en eller flera faktorer som är specifika för hans eller hennes fysiska, fysiologiska, psykiska, ekono- miska, kulturella eller sociala identitet. Kopplingen till den fysiska personen är stark, och det är logiskt med tanke på dagens situation. En annan typ av personuppgifter kan dock bli vik- tig , som inte tydligt ingår i definitionen ovan, näm- ligen uppgifter som knyts till den elektroniska identiteten. Personuppgifter om den elektroniska identiteten innebär att man samlar in uppgifter om ett subjekts aktiviteter i Cyberspace, utan att för den skull försöka knyta uppgifterna till en fysisk person. Man behöver inte ens för- söka tillse att man enbart samlar uppgifter om en enstaka persons aktivite- ter. Dessa uppgifter kan man sedan använda för marknadsföring, övervak- ning, marknadsundersökningar, skräddarsydda tjänster (personalisering) och bevisinsamling. Denna typ av personuppgifter kan komma att utgöra en väg runt lagstift- ningen, och kan bli nog så viktig för företagen. [] I punkt 26 i ingressen betonas att man, för att avgöra om en person är identifierbar, skall beakta alla hjälpmedel som kan komma att användas för SOU 1997: 39 Bilaga 3: Cyberspace, Real Life och juridiken 773 att identifiera personen. Däremot gäller inte direktivet för uppgifter som har gjorts anonyma på ett sådant sätt att personen är identifierbar. [] I kommissionens förklaring anges som exempel på direkt identifiering att personen kan identifieras genom namnet. Indirekt identifiering kan vara när personen kan identifieras genom ett telefonnummer, ett bilregistrerings- nummer, ett socialförsäkringsnummer eller ett passnummer. Ett annat exempel är när identifieringen av en person sker genom en kombination av särskiljande kriterier (ålder, yrke, bostadsort etc.), vilka gör att personen kan kännas igen genom att den grupp han eller hon tillhör omfattar färre och färre andra personer. Det framgår vidare av kommissionens förklaring att frågan om en person är identifierbar är oberoende av kostnaden för att fast- ställa personens identitet. Definitionen omfattar även uppgifter om utseende, röst, fingeravtryck och genetiska karakteristika. Eftersom uppgifterna inte nödvändigtvis knyts till enskild person, kan före- tagen argumentera att detta inte är personuppgifter i lagens mening. Uppgifterna kan bli alltmer detaljerade, men det är inte säkert att de därför innebär att man kan identifiera den fysiska individen. Och vad händer om den fysiska individen namnger sig själv i samband med någon tjänst? Ti- digare var det ju inget personregister, men i och med detta blir det ett? En analogi med den fysiska världen skulle kunna vara omfattande övervak- ning med kameror och mikrofoner. Eftersom individerna inte är identifie- rade så rör det sig inte om personuppgifter, men denna omfattande över- vakning utgör ändå ett omfattande integritetsintrång. Analogin haltar dock, eftersom uppgifter insamlade i Cyberspace är väsentligt mer lättbearbetade än video och ljud. Dessa cyber-personuppgifter kan bli mycket detaljerade, jämfört med de traditionella personuppgifterna. Insamling av beteendeuppgifter i Cy- berspace är mycket billigt, jämfört med om man skulle samla in samma uppgifter i den fysiska världen. Bearbetningen av dessa uppgifter sker dessutom i samma medium, vilket innebär att det inte finns några om- fattande konverteringskostnader. Ytterligare en förvärrande faktor är att individen inte har någon möjlighet att avgöra om han/hon är övervakad eller inte i Cyberspace. En motsvarande omfattande fysisk övervakning skulle vara synlig, alternativt kräva stora investeringar för att inte synas. Ett förslag är att tjänster som är allmänt tillgängliga måste deklarera om de loggar användaren, vad som loggas och hur länge denna information spa- ras. Man kan också tänka sig att reglera handeln med dylika personuppgif- ter mellan företag. De flesta av dagens IT-system läcker personuppgifter till omgivningen. Avlyssning av den allmänna nätstrukturen avslöjar dels vilka användare 774 Bilaga 3: Cyberspace, Real Life och juridiken SOU 1997: 39 som kommunicerar med varandra, dels vad de gör. De som använder samma server kan ofta iaktta varandras aktiviteter. Kvarvarande spår i olika datorer kan ofta berätta för en senare användare vad som företagits med datorn. Mycket få program och applikationer utvecklas med tanke på att minimera denna typ av läckage. Det har förekommit fall i där headhunters har kontrollerat vilka användare som arbetat sent för att hitta lämpliga kandidater att rekrytera. Det kan noteras att det enda verktyg vi har för att åtgärda detta problem är kryptering. IT-revolutionen har inte hunnit så långt ännu, och användning av per- sonuppgifter knutna till elektroniska identiteter har inte kommit i allmän bred användning . Konceptet används dock bl.a. i Postens webbplats Torget med hjälp av så kallade Cookies.492 I är personalisering av webbsidor det senaste, vilket också baserar sig på personuppgifter knutna till en elektronisk identitet. När alltfler verksamheter flyttas till Cyberspace kommer denna typ av personuppgifter att bli allt viktigare. Rent tekniskt går registrering av dylika personuppgifter till som så att varje aktör i ett system bär på något kännetecken, en markör. En markör kan antingen vara en redan existerande särskiljande datamängd, eller så kan denna datamängd läggas till vid interaktionen. Aktiviteter som aktören utför loggas med markören som nyckel.