sou · GQB32 · 2003-01-01 00:00:00 — Den tekniska enheten skall därvid ta särskilt ansvar för förhandlingar med branschföreträdare som har IT-ansvar och efter sådana kontakter utarbeta generella föreskrifter för IT-säkerhet för branschen ifråga. Datainspektionen har yttrat sig över två branschöverens- kommelser. Yttrandena har avsett dels förslag till branschregler för hantering av personuppgifter m.m. som inhämtas i samband med marknads-, samhälls- och opinionsundersökningar dels förslag till branschregler angående användning av personuppgifter för direkt- marknadsföringsändamål. Ytterligare två utkast till branschöverens- kommelser granskas . Integritetsskydd genom olika former av självreglering 203 Enligt utredningens mening finns det mycket för Datainspektionen att göra inom detta området . Det arbete som utförs av Datainspektionens motsvarighet i kan här tjäna som förebild, se avsnitt 11.5. Självreglering är åtgärder i systematiserad form som vidtas av ett företag, en grupp företag, en bransch eller hela näringslivet för att utreda, förebygga eller lösa problem i förhållande till konsumenter eller andra kunder. Självreglering kan bestå av rekommendationer (från t.ex. branschorganisation), gemensam reglering (co-regulation), där myndig- heterna utformar reglerna tillsammans med branscherna eller närings- livet, eller egenåtgärder som är självpåtagna av aktörerna.1 Syftet med självreglering för att skydda den personliga integriteten vid användningen av t.ex. Internet är att undvika eller minimera behovet av lagstiftning och annan statlig reglering samt att öka förtroendet för Internet. Självreglering sker dels genom information, etikregler, föreskrifter till nya Internetanvändare och frivilliga överenskommelser, dels genom åtgärder från aktörer på Internet, t.ex. när en Internetoperatör stänger av eller hotar att stänga av en användare på grund av att denne inte följer operatörens regler. Vidare förekommer olika tekniska lösningar där användaren kan definiera sina önskemål om vad som får avslöjas om honom eller henne när han eller hon använder Internet. Även möjlighet att agera anonymt på Internet erbjuds av olika företag.2 har i rapporten 2/2000 (SOU 2000:96) presenterat vissa slutsatser från en hearing om självreglering inom området elektroniska affärer. I rapporten framhålls att det är bättre att utmana till självreglering än att lagstifta. Det gäller att finna en bra balans mellan lagstiftning och självreglering. Självreglering innebär inte att lagstiftaren kapitulerat, men för att ett självregleringssystem skall utvecklas väl behöver näringslivet utmanas. 1Självreglering inom elektroniska affärer, 2/2000, SOU 2000:96, s. 7. 2Frivilligt integritetsskydd på Internet, Datainspektionens rapport 1992:2, s. 3. 204 Integritetsskydd genom olika former av självreglering Utvecklingen inom e-handeln går mycket snabbt, medan den tradi- lagstiftningsprocessen är långsam. I syfte att främja utveck- lingen är självreglering ett komplement till lagstiftning. Självreglering anses lättare kunna anpassas till den snabba utvecklingen inom IT- området och området för elektroniska affärer. Näringslivet anser att egenåtgärder kan bidra till att skapa harmonisering av regelverk på ett sätt som inte är fullt möjligt för lagstiftaren att göra. Det går också att motverka överreglering i de fall där regleringen snarare kan vara till skada än till nytta genom att skapa handelshinder. Vidare framhålls det internationella perspektivet som är särskilt framträdande när det gäller Internet. Lagstiftning sker ofta på det nationella planet medan elektroniska affärer till sin natur är globala. Globala lösningar är därför eftersträvansvärda. Som ett viktigt incitament till självreglering framhålls att en sådan reglering kan öka tilliten hos konsumenten. Såväl konsumenter som företagare på Internet har ofta liten kännedom om de lagar och regler som finns. Det behövs därför mera hjälp till självhjälp. Självreglering måste i grunden gynna såväl konsumenten som företagaren och det bör finnas en bred uppslutning från företagens sida för att systemet skall fungera. Är dessa förutsättningar uppfyllda, kan det leda till bättre konsumentskydd och effektivare tillsyn, men även till ökad goodwill för företagen själva. För företag innebär själv- reglering att utgå från en kundorientering, dvs. att tänka på hur kunden vill bli bemött i ett seriöst och väl fungerande affärsförhållande. För att skapa förtroende är det också nödvändigt att näringslivet samverkar med myndigheter. Självreglering kan inte ersätta lagar och regler men kan tolka och förtydliga lagen. Den kan ge konsumenterna mer till- gänglig information och på så sätt öka förtroendet. Överenskommelser om självreglering kan inte helt ersätta myndighetens tillsyn. En viktig faktor för tilliten hos konsumenterna är att det måste finnas ändamålsenliga reklamations- och klagomöjligheter. Att konsu- menterna märker att den som bryter mot självregleringen straffas på något sätt är viktigt för förtroendet. Självregleringssystem utan sanktionsmöjligheter är verkningslösa. Utgångspunkten för självreglering måste vidare vara affärsmässig. En lyckad självreglering skall ur näringslivets perspektiv ha sin grund i eget affärsintresse. Det finns inget värde med en reglering som enbart gagnar näringslivet, utan den måste också ge konsumenterna ökad tillit. Ett självregleringssystem måste vara öppet för alla som vill, kan och accepterar att ansluta sig till regelverket. Det får inte förekomma någon inre krets. Framgångsfaktorer ur individens perspektiv är framför allt makt åt användaren, t.ex. vad gäller integritetsfrågor. Det är vidare viktigt att Integritetsskydd genom olika former av självreglering 205 information om regelverk, företag, m.m. skall vara tillgänglig, att individen har kontroll över egen information som personinformation, intresseinformation m.m. och att det föreligger en tydlighet vad gäller spridning av regelverk. Reglerna måste vara allmänt kända. I har debatten om den personliga integriteten haft nära anknytning till utvecklingen av den elektroniska handeln. Utgångspunkten har härvid varit att den privata sektorn skall leda utvecklingen. Lagstiftning om integritet har därför undvikits. Behovet av lagstiftning har ersatts av självreglering. Vissa kritiker har emellertid hävdat att självregleringen inte fungerat och att lagstiftning krävs för att skydda den personliga integriteten. är den lagstiftning som finns spridd på olika särregleringar och den allmänna integritetslagen behandlar endast relationen mellan staten och individen och upplevs som svag. Självreglering är således det sätt som i har betraktats som det bästa sättet för att skydda den personliga integriteten. Den form av självreglering som varit vanligast förekommande är industri- sponsrade betrodda tredje parter. Som ett viktigt komplement till lagregleringar och självreglering genom t.ex. branschöverenskom- melser har dessutom olika former av integritetsstödjande teknik tagits fram. Det främsta exemplet på självreglering och betrodd tredje part är TRUSTe. Organisationen grundades av en intressekoalition inom området elektronisk handel och en ideell integritetsfrämjande organisa- tion. En majoritet av de stora aktörerna på Internetmarknaden är med i programmet. Medlemmarna i programmet underkastar sig en integri- tetsrevision och lovar att tydligt offentliggöra sin praxis i hanteringen av personuppgifter. Rent praktiskt kontrolleras detta genom att varje medlem får en integritetsrevisor inom TRUSTe som bevakar behand- lingen av personuppgifter och hanterar klagomål. TRUSTe genomför också undersökningar av sina medlemmar på basis av klagomål eller på eget initiativ. Dessa undersökningar redovisas på . Det förekommer vidare en stor mängd tekniska lösningar som tagits fram för att skydda individens personliga integritet, s.k. privacy 3 Avsnittet bygger i allt väsentligt på en artikel av , Intergritetsutvecklingen i – Självreglering, teknik och lagstiftning, Nätets Juridik, Nordisk i Rättsinformatik . 206 Integritetsskydd genom olika former av självreglering enhancing technologies (PET). Ofta är dessa tekniska verktyg direkta svar på teknik som uppfattas kränka den personliga integriteten. Det finns en stor mängd olika tekniska svar på frågan om hur man bättre kan skydda den personliga integriteten. Det finns tekniska verktyg som syftar till att endast göra användaren anonym, men det finns också verktyg som i första hand utplånar spåren efter användaren. Det som säkrar den personliga integriteten mest effektivt är utplån- andet. På den amerikanska marknaden finns en mängd kommersiella tjänster och produkter för att skydda den personliga integriteten och en stor mängd företag som erbjuder integritetsstödjande teknik. En närmare beskrivning av de tekniska verktygen återfinns i den under not 3 nämnda artikeln. motsvarighet till Datainspektionen, College bescherm- ing persoonsgegevens (CBP), arbetar efter en handlingsplan som består av fyra punkter; medvetenhet, regelgivning, teknik och verkställande. CBP framhåller särskilt vikten av att skapa kunskap och medvetenhet hos personuppgiftsansvariga och allmänheten om skyddet för den personliga integriteten. Verksamheten är därför främst inriktad mot att informera berörda parter om adekvata skyddsåtgärder vid behandling av personuppgifter. Enligt myndighetens erfarenhet medför de förebyggande åtgärderna en ökad effektivitet i den egna tillsynsverksamheten. Inom området regelgivning arbetar CBP med tolkning av gällande lagstiftning, fungerar som regeringens remissinstans vid utarbetande av nya lagar i frågor som rör den personliga integriteten och lämnar råd i olika spörsmål som berör myndighetens område. Det är också en viktig uppgift för CBP att aktivt främja självreglering i olika former. Fram hade myndigheten formellt godkänt tolv olika branschöverenskommelser (codes of conduct). CBP arbetar för att stimulera till självreglering genom en ständig dialog med olika organisationer och branschföreträdare. Självreglering i form av branschöverenskommelser möjliggör för CBP att koncentrera sin verksamhet till andra viktiga sektorer i samhället. Detta anses särskilt viktigt då resurserna är begränsade i förhållande till omfatt- ningen av myndighetens ansvarsområde. I takt med att integritetshoten blivit allt mer synliga är det CBP:s uppfattning att många privata företag insett betydelsen av att försäkra Integritetsskydd genom olika former av självreglering 207 sig om att man behandlar personuppgifter korrekt och utan att orsaka intrång i den personliga integriteten. I är lokala myndigheter skyldiga att genomgå en kontroll av integritetsskyddet vid deras behandling av personuppgifter. Dessa inspektioner utförs av revisions- och konsult- företagen samt en nederländsk konsultfirma. CBP framhåller att informationstekniken inte bara skall ses som ett hot utan också som ett viktigt och positivt verktyg vid behandling av personuppgifter. Myndigheten stimulerar därför bidrag till olika tekniska lösningar till skydd för den personliga integriteten vid behandling av personuppgifter, s.k. privacy enhancing technologies (PET). CBP deltar också i ett EU-projekt benämnt Agent (), vars mål är en teknisk lösning för skyddet för den personliga integriteten vid användningen av Internet. Den verkställande delen av myndighetens arbete består bl.a. i att utföra inspektioner för att kontrollera att behandlingen av person- uppgifter i samhället sker i enlighet med gällande lagstiftning. i stimulerar aktivt och med- verkar till framtagandet av olika former av självregleringar. I enlighet härmed har man i samarbete med bl.a. professionella organisationer för revisorer och konsulter utarbetat ett kontrollprogram för inspektion av skyddet för den personliga integriteten, The Privacy Audit Frameweork (PAF).4 Detta kontrollprogram kan användas av olika organisationer för att kontrollera, utvärdera och förbättra säkerheten vid behandling av personuppgifter. Alla företag i projektet, inklusive de sex största revisionsföretagen i , deltog utan ekonomisk ersättning. Revisionsföretagen i är mycket engagerade i arbetet med skyddet för den personliga integriteten och har specialiserat sig på integritetsfrågor. Totalt var fler än 60 personer engagerade i att utarbeta PAF. Projektet övervakades av representanter för inrikes- och , arbetsgivar- och arbetstagarorganisationer och konsumentorganisa- tioner. 4 Ytterligare information om The Privacy Audit Framework och den nederländska dataskyddsmyndigheten kan fås på myndighetens hemsida . 208 Integritetsskydd genom olika former av självreglering The Privacy Audit Framework är avsett att användas av olika organisationer som på eget initiativ vill kontrollera hur deras behandling av personuppgifter lever upp till den holländska motsvarig- heten till personuppgiftslagen, bescherming persoonsgegevens (WBP). WBP trädde i kraft och implementerar dataskyddsdirektivet i holländsk lagstiftning. Innehållet i PAF motsvaras av de olika former av kontroll som CBP utför i samband med sina egna tillsynsinsatser, och skall användas som utgångspunkt i myndighetens fullskaliga inspektioner. PAF består av tre olika nivåer av kontroll, varav den högsta, The Privacy Audit (PA), medför att ett integritetsskyddscertifikat (privacy certificate) kan utfärdas om den kontrollerade organisationen uppfyller de uppställda kraven. På den lägsta nivån (Quick-scan) består kontrollprogrammet av tretton frågor som berör säkerheten vid behandling av personuppgifter. Frågorna avser att förbättra medvetenheten i organisationen och ge en översiktlig beskrivning av om behandlingen sker i enlighet med regelverket för behandling av personuppgifter. Metoden kan användas av vem som helst som arbetar i organisationen. Nästa steg (Self-assessement) är främst avsett att användas av företagsledningen för att utvärdera skyddsnivån vid behandling av personuppgifter. Metoden skall tillämpas i första hand av tjänstemän som har kunskap om integritetsskyddslagstiftning och vana vid att arbeta med IT inom organisationen. Utvärderingen består av nio områden indelade efter tillämpliga dataskyddsregler. Resultatet av utvärderingen ger en tydlig bild av integritetsskyddet och utvisar vilka uppföljande åtgärder som måste vidtas. Utvärderingen kan genomföras internt, men organisationen kan också överlåta arbetet på en utomstående expert. Den tredje och högsta nivån, Privacy Audit (PA), är avsedd att utgöra en fullständig inspektion och utvärdering av skyddet för den personliga integriteten vid behandling av personuppgifter inom organisationen. Inspektionen skall också utföras av en auktoriserad revisor. Ändamålet med PA är att undersöka i vilken utsträckning organisa- tionens behandling av personuppgifter sker i enlighet med lagreglerna (WBP) och vilka eventuella åtgärder som måste vidtas för att försäkra sig om att behandlingen sker med iakttagande av skyddet för den personliga integriteten. PA är särskilt framtagen för revisorer med ansvar för integritets- skyddskontroll. förväntas visa intresse för att genomföra dessa utvärderingar, och resultaten skall kunna användas av CBP som underlag för den egna inspektionsverksamheten. Integritetsskydd genom olika former av självreglering 209 Det förutsätts att den som utför egentillsynen enligt PA har kunskaper om revision i allmänhet och tillsyn av personuppgifts- behandling i synnerhet samt om gällande rätt inom området. Det är här i första hand fråga om ekonomiska revisorer och IT-revisorer auktoriserade av nationella organisationer för revisorer. Det är inte CBP som auktoriserar de revisorer som skall utföra inspektionerna enligt PA. PA erbjuder inte en skräddarsydd lösning för varje organisation utan en särskild tillsynsplan måste utarbetas. PA innehåller en handledning för upprättande av en sådan plan. CBP har också utarbetat en rapport som beskriver de nödvändiga skyddsåtgärder som måste iakttas vid behandling av personuppgifter i olika situationer och som kan användas som underlag vid kontrollen. PA är avsedd att utgöra grunden för att ett integritets- skyddscertifikat (privacy certificate) skall kunna utfärdas av en erkänd och oberoende kontrollant (auditor). Det finns därutöver särskilda regler (certification scheme) om vilka krav den personuppgifts- ansvarige också måste uppfylla för att erhålla ett certifikat. Genom att en organisation erhåller ett integritetsskyddscertifikat kan den visa för utomstående att organisationen behandlar personuppgifter med omsorg och i enlighet med lagens regler. Ett sådant certifikat kan vara av betydelse för såväl den som behandlar ett stort antal personuppgifter med liten risk för intrång i den personliga integriteten som den som behandlar ett litet antal personuppgifter men där risken för intrång i den personliga integriteten är stor. Intressegrupper kan agera för att en organisation skall skaffa sig ett certifikat. Även de organisationer som erhållit certifikat kan bli föremål för inspektion från CBP:s sida. Emellertid kommer CBP att ta i beaktande att en organisation har ett certifikat när myndigheten bestämmer om organisationen skall inspekteras och vilken omfattning inspektionen i så fall skall ha. De närmare bestämmelserna för integritetsskyddscertifikatet håller alltjämt på att utarbetas. Endast de revisorer som lever upp till högt ställda krav kommer att få utfärda certifikat. CBP har ingen formell status i utfärdandet av certifikaten men deltar i utvecklingen av systemet i sin egenskap som ansvarig tillsynsmyndighet. Det är i tillsynsmyndighetens intresse att certifieringen omfattas av ändamåls- enliga kvalitetskrav. Motiven för en organisation att genomgå kontrollprogrammet kan vara ekonomiska eller marknadsföringsmässiga. Behandling i strid med gällande lagstiftning kan resultera i skadeståndskrav. Om man i stället kan visa upp en korrekt behandling av personuppgifter kan detta skapa 210 Integritetsskydd genom olika former av självreglering goodwill för företaget och således ha ett kommersiellt värde. CBP stimulerar aktivt enskilda organisationer och bransch- och paraply- organisationer att genomföra självreglering. En form av decentralisering av ansvaret för integritetsskyddet är det nya systemet med personuppgiftsombud. Personuppgiftsombudet har till uppgift att kontrollera att den personuppgiftsansvariges behandling av personuppgifter sker på ett korrekt och lagligt sätt, att föra företeckning över behandlingar och att hjälpa registrerade att få rättelse. Det är dock alltid den personuppgifts- ansvarige som har det yttersta ansvaret för all behandling även om denne har utsett ett ombud. Det är frivilligt att ha ett personuppgiftsombud. Tanken bakom institutet med personuppgiftsombud är dock att ombudet skall vara en tillgång för den personuppgiftsansvarige när det gäller integritetsskydd vid behandling av personuppgifter. En personuppgiftsansvarig som utser ett personuppgiftsombud skall anmäla detta till Datainspektionen. Om den personuppgiftsansvarige har anmält ett personuppgiftsombud till Datainspektionen behöver den personuppgiftsansvarige inte anmäla behandlingar av personuppgifter till Datainspektionen. Anmälan för förhandskontroll av vissa typer av integritetskänslig behandling är emellertid obligatorisk. Personuppgiftsombudet skall på ett oberoende sätt se till att den personuppgiftsansvarige följer bestämmelserna i personuppgiftslagen och anknytande lagstiftning. Det finns inga formella krav på att person- uppgiftsombudet skall ha särskilda kvalifikationer. I personuppgifts- ombudets självständiga ställning ligger dock att denne måste ha tillräckliga kvalifikationer och kunskaper för att kunna utföra sina uppgifter. Enligt Datainspektionens rekommendationer är det lämpligt att personuppgiftsombudet har eller ges möjlighet att inhämta goda kunskaper om personuppgiftslagen och andra författningar som kan vara tillämpliga för behandlingar hos den personuppgiftsansvarige. Personuppgiftsombud måste också ha god kännedom om den person- uppgiftsansvariges organisation och verksamhet och ha möjlighet att sätta sig in i och förstå hur personuppgifter behandlas där. Grund- läggande kännedom om IT är också till hjälp i ombudets arbete. Personuppgiftsombudet skall fungera som Datainspektionens för- längda arm. Om personuppgiftsombudet upptäcker brister i personupp- giftsbehandlingen bör ombudet i första hand påpeka detta för den personuppgiftsansvarige. Om denne inte vidtar rättelse så snart det kan Integritetsskydd genom olika former av självreglering 211 ske är personuppgiftsombudet skyldigt att anmäla bristerna till Datainspektionen. Personuppgiftsombudet skall också samråda med Datainspektionen vid tveksamhet om hur de bestämmelser som gäller för behandlingen skall tillämpas. Personuppgiftsombudet har till uppgift att föra förteckning över de behandlingar som den personuppgiftsansvarige genomför och som skulle ha omfattats av anmälningsskyldigheten om personuppgifts- ombud inte utsetts. Ombudet skall också hjälpa registrerade att få rättelse när det finns anledning att misstänka att behandlade person- uppgifter är felaktiga eller ofullständiga. I uppgiften ingår att se till att felaktiga eller missvisande uppgifter rättas, blockeras eller utplånas, även om det inte är nödvändigt att personuppgiftsombudet rent praktiskt utför själva rättelsearbetet och därmed sammanhängande arbetsuppgifter. Personuppgiftsombudets funktion medför enligt utredningens uppfattning att ombuden övertar en viss del av de uppgifter och det ansvar som ligger på Datainspektionen. Detta bör enligt utredningens mening kunna leda till att Datainspektionens personalresurser kan minskas (se vidare avsnitt 8.7). 11.7Behovet av självreglering och annan decentralisering av integritetsskyddet I kapitel 6 har utredningen givit exempel på varför det är viktigt att den personliga integriteten skyddas vid behandling av personuppgifter, samt berört hur detta skydd skall åstadkommas. Klart är att lagstiftning och Datainspektionen med sin uppgift som tillsynsmyndighet fyller den centrala rollen i detta sammanhang. Framför allt två omständigheter för emellertid med sig att enbart lagstiftning och tillsyn inte är tillfyllest för att helt uppfylla målet att tillförsäkra medborgarna ett fullgott skydd mot intrång i den personliga integriteten. För det första gör den snabba tekniska utvecklingen att stats- makterna har svårt att hinna anpassa lagstiftningen till den faktiska verkligheten. Behovet av självreglering måste ställas i relation till det skydd för den personliga integriteten som den befintliga lagstiftningen ger. Den allmänna uppfattningen är att lagstiftningens brister ligger i att den har svårt att hänga med i den tekniska utvecklingen. Här ses självreglering som ett bättre alternativ. 212 Integritetsskydd genom olika former av självreglering För det andra kan tillsynen över behandlingen av personuppgifter i samhället aldrig vara heltäckande. Den omfattande behandlingen av personuppgifter och Datainspektionens stora ansvarsområde medför att Datainspektionen inte kan kontrollera allt. Dessa två omständigheter leder till slutsatsen att även andra medel för skyddet för den personliga integriteten måste användas. Det gäller då bl.a. att försöka engagera så många som möjligt att ta ett själv- ständigt ansvar för en korrekt behandling av personuppgifter. Ansvaret för skyddet för den personliga integriteten måste med andra ord decentraliseras i så stor utsträckning som möjligt. Här har Datainspektionen enligt utredningens uppfattning en viktig funktion att fylla. Datainspektionen bör i sitt framtida arbete med att stimulera till självreglering och engagera nya aktörer inom integritets- skyddsområdet kunna dra stor nytta av det arbete som har pågått i (se avsnitt 11.5). Olika former av självreglering växer fram inom ramen för en ökad användning av Internet.