prop · GY03115 · 2011-03-22 00:00:00 — Sådana frivilliga åtgärder för att lämna snabb och adekvat information till allmänheten är normalt till- räckliga och tillsynsmyndigheten torde därför endast i sällsynta fall be- höva utnyttja möjligheten att förelägga en tillhandahållare att lämna Prop. 2010/11:115 sådan information. PTS har uttryckt önskemål om att rapporteringsskyldigheten utformas så att även sådan information som kommuniceras inom ramen för fri- villiga åtaganden omfattas av bestämmelsen om rapporteringsskyldighet. Den information som operatörerna enligt artikel 13.a.3 kan åläggas att meddela är emellertid sådan som rör överträdelser av säkerheten eller integriteten som i betydande omfattning påverkat driften. Det är svårt att på förhand avgöra om all frivillig rapportering avser händelser av den digniteten. För att genomföra direktivet på ett korrekt sätt och till und- vikande av onödiga åligganden för enskilda bör bestämmelsen i stället utformas på det sätt som föreslagits i promemorian. Det finns inte anledning att i lag närmare reglera tillsynsmyndighetens möjligheter att informera allmänheten om inträffade störningar och av- brott. Denna möjlighet finns redan. Det bör endast finnas anledning för tillsynsmyndigheten att svara för att allmänheten informeras om stör- ningar och avbrott i enskilda kommunikationsnät eller kommunikations- tjänster i samband med omfattande störningar och avbrott under extra- ordinära omständigheter. I normalfallet bör sådan information lämnas direkt av den som tillhandahåller berörda nät och tjänster. Det saknas skäl att i svensk lag införa en bestämmelse som reglerar tillsynsmyndighetens skyldigheter att lämna information till andra regle- ringsmyndigheter och . Dessa skyldigheter bör i stället framgå av förordning. Regeringens förslag: Den som tillhandahåller en allmänt tillgänglig elektronisk kommunikationstjänst ska vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa att uppgifter som behandlas i samband med tillhandahållandet av tjänsten skyddas. Liksom tidigare ska den som tillhandahåller ett allmänt kommunikationsnät vidta de åtgärder som är nödvändiga för att upprätthålla detta skydd i nätet. Åtgärderna ska vara ägande att säkerställa en säkerhetsnivå som, med beaktande av tillgänglig teknik och kostnaderna för att genomföra åt- gärderna, är anpassad till risken för integritetsincidenter. Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrif- ter om skyddsåtgärderna. Den som tillhandahåller allmänt tillgängliga elektroniska kommuni- kationstjänster ska utan onödigt dröjsmål underrätta tillsynsmyndig- heten om integritetsincidenter. Om incidenten kan antas inverka nega- tivt på de abonnenter eller användare som de behandlade uppgifterna berör, eller om tillsynsmyndigheten begär det, ska även dessa under- rättas utan onödigt dröjsmål. Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om på vilket sätt skyldigheten ska fullgöras och om undantag från skyldigheten. Den som tillhandahåller allmänt tillgängliga elektroniska kommunika- tionstjänster ska löpande föra en förteckning över integritetsincidenter. Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om innehållet i en sådan förteckning. Promemorians förslag: Överensstämmer i huvudsak med regeringens förslag. Remissinstanserna: Myndigheten för samhällsskydd och beredskap (MSB) stödjer kravet på organisatoriska säkerhetsåtgärder utöver tek- niska i 6 kap. 3 § LEK. (), som ställer sig positiv till införandet av det nya begreppet integritetsincident, tillstyrker införandet av en skyldighet för operatörer att underrätta om integritets- incidenter. Myndigheten anser vidare att det bör övervägas att införa en möjlighet för myndigheten att utfärda föreskrifter vad avser de krav på tekniska och organisatoriska åtgärder som ska vidtas för att säkerställa en god säkerhetsnivå. Som skäl för detta anger myndigheten att motsvaran- de föreskriftsrätt finns i nuvarande 5 kap. 6 a § LEK som innehåller liknande krav vad avser god funktion och teknisk säkerhet. Vidare finns det detaljerade regler i artikel 4.1a i e-dataskyddsdirektivet om vilka åtgärder säkerhetskravet minst ska innebära. I samma direktiv anges också att nationella myndigheter ska kunna utfärda rekommendationer om bästa praxis beträffande den säkerhetsnivå som bör uppnås med hjälp av dessa åtgärder. Kommuner och Landsting (SKL) menar att begreppet integritetsincident är ändamålsenligt definierat och anser det mycket angeläget att begreppet införs och tillämpas. SKL uppmanar regeringen att ge PTS i uppdrag att meddela föreskrifter kring hur detta ska tillämpas. MSB anser att begreppet integritetsincidenter bör analyseras ytterligare eftersom det kan tolkas som en incident som på- verkar informationens integritet men också som en incident som kan föra tankarna till otillbörlig åtkomst till personuppgifter. Om begreppet eta- bleras kan det leda till missförstånd och svårigheter att kommunicera kring säkerhet. noterar att det artikel 4.3 i e- dataskyddsdirektivet stadgas att en abonnent eller enskild person ska underrättas utan onödigt dröjsmål om personuppgiftsbrottet kan antas in- verka menligt på dennes personuppgifter och att motsvarande bestäm- melser saknas i förslaget. Samfundet menar vidare att det saknas anled- ning till den snävare behörigheten om incidenten i större grad kan antas påverka de abonnenter eller användare som uppgifterna berör i jäm- förelse med artikel 4.3 i direktivet. Skälen för regeringens förslag I den svenska versionen av artikel 2.h i e-dataskyddsdirektivet införs ter- men personuppgiftsbrott för brott mot säkerhetsbestämmelser som leder till oavsiktlig eller olaglig utplåning, förlust, ändring, otillåtet avslöjande eller åtkomst av personuppgifter som överförs, lagras eller på annat sätt behandlas i samband med tillhandahållandet av allmänt tillgängliga elek- troniska kommunikationstjänster. Utformningen ger intryck av att det är en brottslig handling som åsyftas. Så är dock inte fallet. Eftersom ordet brott kan förväxlas med ordet i dess straffrättsliga betydelse bör ett annat Vidare är det olämpligt att använda begreppet person- uppgifter, eftersom bestämmelserna i 6 kap. LEK genomgående handlar om alla typer av behandlade uppgifter. I flertalet fall utgör uppgifterna personuppgifter, men den generella bestämmelsen om säkerhetsåtgärder i 6 kap 3 § LEK tar sikte på samtliga uppgifter. Inom informationssäker- hetsområdet är ordet incident ett etablerat uttryck. Med en incident avses att något allvarligt och oplanerat har inträffat. Såsom förordas i prome- bör därför begreppet integritetsincident användas och kopplas till samtliga uppgifter som överförs, lagras eller på annat sätt behandlas i samband med tillhandahållandet av allmänt tillgängliga elektroniska kommunikationstjänster. En incident kan inträffa genom yttre påverkan men kan också bero på brister eller otillåtet förfarande hos tjänstetillhandahållaren. Väsentligt för definitionen av integritetsincident är inte hur händelsen påbörjats eller vem som är ansvarig för dess uppkomst utan effekten av incidenten. Inte- gritetsincidenter utgör potentiellt ett allvarligt hot mot tilltron till elektro- niska kommunikationstjänster. När personlig information, t.ex. person- uppgifter, som behandlats inom ramen för en elektronisk kommunika- tionstjänst sprids till utomstående kan det få allvarliga konsekvenser. Om sådana händelser inte hanteras på ett lämpligt sätt kan det leda till att individer råkar ut för såväl ekonomisk skada som personlig kränkning. Så sker t.ex. identitetsstölder regelbundet. Annan skyddsvärd information kan vara exempelvis viss kontoinformation, inloggningsuppgifter eller affärshemligheter. Krav på åtgärder för att undvika integritetsincidenter Artikel 4 i e-dataskyddsdirektivet reglerar nationella säkerhetsåtgärder i samband med tillhandahållande av elektroniska kommunikationstjänster och behandling av uppgifter. För att elektroniska kommunikationsnät ska fungera och tilliten till dem bibehållas krävs att tillhandahållarna av elek- troniska kommunikationstjänster vidtar åtgärder för att säkerställa nätens säkerhet. Detta gäller särskilt tillgång till och behandling av uppgifter som hanteras i anslutning till kommunikation (s.k. trafikuppgifter) och uppgifter i själva kommunikationen. Skydden består i direktivet av två delar, dels artikel 4 som behandlar olika former av krav på säkerhetsåt- gärder och dels artikel 5 som slår fast principen om kommunikationens hemlighet och anger vissa förutsättningar för att denna huvudprincip ska kunna brytas. Kravet på säkerhetsåtgärder enligt artikel 4.1 i e-dataskyddsdirektivet har genomförts genom 6 kap. 3 § LEK. Skyddet enligt den bestämmelsen avser behandlade uppgifter utan att det närmare förklarats vad upp- gifterna utgör. När det nu införts en underrättelseskyldighet för aktörer i direktivet behöver även utformningen av den generella skyldigheten att vidta säkerhetsåtgärder avseende integritet och säkerhet för behandlade uppgifter ses över så att skyldigheterna blir tydliga och deras koppling till varandra inte misstolkas. Enligt de nya bestämmelserna i artikel 4.1a i e-dataskyddsdirektivet ska de åtgärder som vidtas i vart fall säkerställa att bara viss auktoriserad personal har tillgång till uppgifterna, att det finns en policy för behand- ling av uppgifter samt att uppgifterna skyddas mot olika former av Prop. 2010/11:115 oplanerad eller olaglig behandling. Artikeln är utformad som ett minimi- krav på de säkerhetsåtgärder som ska vidtas. Åtgärderna omfattas i huvudsak av den skyldighet som anges i 6 kap. 3 § LEK. Det har inte tidigare varit tydligt enligt direktivet att både organisatoriska och tek- niska åtgärder ska kunna vidtas. De exempel som tas upp i den nya artikel 4.1a i e-dataskyddsdirektivet tydliggör nu att de åtgärder som ska vidtas kan vara av både organisatorisk art (säkerställa att endast auktori- serad personal får tillgång till uppgifter) och teknisk art (att skydda upp- gifter som lagrats eller överförts mot oavsiktlig eller olaglig förstörelse, förlust eller ändring). Det finns därför anledning att justera bestämmelsen i LEK så att motsvarande klargörs även där. Av de skäl som PTS anfört bör regeringen eller den myndighet som regeringen bestämmer också ges rätt att utfärda föreskrifter om skyddsåtgärderna. I artikel 4.3 i e-dataskyddsdirektivet anges att operatörer ska underrätta den nationella regleringsmyndigheten vid integritetsincidenter. Om incidenten kan antas inverka menligt på användaren eller abonnenten ska även denne underrättas. Som Lagrådet förordat bör detta komma till uttryck genom att det i lagtexten anges att rapporteringsskyldighet ska gälla om incidenten kan antas inverka negativt på de abonnenter eller användare som de behandlade uppgifterna berör. Rapportering bör också ske om tillsynsmyndigheten annars begär det. Underrättelse behöver inte ske om tjänstetillhandahållaren har vidtagit lämpliga säkerhetsåtgärder och dessa åtgärder innebär att uppgifterna är oläsliga för obehöriga. En- ligt direktivet ska underrättelser om integritetsincidenter lämnas utan onödigt dröjsmål. Det är därför inte lämpligt att tillsynsmyndigheten prö- var i varje enskilt fall om användare eller abonnenter ska underrättas eftersom detta i stor grad skulle försena underrättelserna. Det kan också finnas anledning att i föreskrifter ange ett lägre tröskelvärde för när ett meddelande överhuvudtaget behöver lämnas. Det är rimligt att integri- tetsincidenter som endast haft en mycket marginell inverkan eller för- sumbar effekt inte med nödvändighet ska meddelas tillsynsmyndigheten. Det bör således i lagen införas en skyldighet att underrätta tillsyns- myndigheten om integritetsincidenter inträffar och att i vissa fall direkt meddela den användare eller abonnent som uppgifterna berör. påpekat bör för bättre överensstämmelse med direktivet i båda fallen gälla att rapporteringen ska ske utan onödigt dröjsmål. Beträffande de situationer då underrättelse inte behöver lämnas kan en närmare beskrivning anges i föreskrifter. Direktivets krav beträffande innehållet i en underrättelse kan genomföras genom att motsvarande an- ges i verkställighetsföreskrifter. Detta behöver inte särskilt anges i lagen. Leverantörerna ska enligt artikel 4.4 andra stycket i e-dataskydds- direktivet föra förteckningar över integritetsincidenter i syfte att möjlig- göra myndighetstillsyn. Av förteckningarna ska vissa närmare angivna detaljer framgå. En motsvarande bestämmelse bör införas i lagen. närmare innehållet i förteckningarna behöver inte särskilt anges i lagen Prop. 2010/11:115 utan kan meddelas i föreskrifter. 9.4Lagring och hämtning av information, cookies m.m. Regeringens förslag: Uppgifter får lagras i eller hämtas från en abon- nents eller användares terminalutrustning endast om abonnenten eller användaren får tillgång till information om ändamålet med behand- lingen och samtycker till den. Detta hindrar inte sådan lagring eller åt- komst som behövs för att överföra ett elektroniskt meddelande via ett elektroniskt kommunikationsnät eller som är nödvändig för att tillhan- dahålla en tjänst som användaren eller abonnenten uttryckligen begärt. Promemorians förslag: Överensstämmer i allt väsentligt med rege- ringens förslag. Remissinstanserna: IAB (IAB), () och () tillstyrker promemorians förslag till införande av samtycke för viss lagring och hämtning av infor- mation under förutsättning att bestämmelsen inte är avsedd att försvåra användningen av s.k. cookies. (publ) (Tradedoubler) anser att förslaget är acceptabelt men skulle föredra att det tydligare framgick att legitima tekniker omfattar s.k. spårningscookies. Bolaget menar att självreglering är ett effektivt sätt att komma tillrätta med even- tuella integritetsproblem rörande användningen av cookies, inte minst eftersom den tekniska utvecklingen är snabb. Det är positivt med en för- bättrad reglering av integritetsfrågor på Internet. Emellertid skulle ett skärpt krav på samtycke inte leda till några integritetsmässiga förbätt- ringar för konsumenterna. En sådan förändring skulle medföra att en an- vändare varje gång denne besöker en webbplats för första gång avkrävs ett samtycke t.ex. i ett pop up-fönster dels för webbplatsens funktion, dels för annonsspårning. Det är troligt att det snabbt skulle utvecklas verktyg för automatiskt godkännande av cookies så att användaren kan lämna ett generellt samtycke . En uppenbar risk är då att användaren avkrävs ett betydligt mer omfattande samtycke än nödvän- digt och denne skulle då riskera att hamna i ett sämre läge än . Stif- telsen för Internetinfrastruktur anser att inte bör lagstifta om kravet på aktivt samtycke till cookies etc. Om det av juridiska skäl ändå är nödvändigt att följa direktivet, menar stiftelsen att vi i bör tol- ka lagstiftningen så att användaren genom ändringar i sin webbläsar- inställning kan automatisera samtycket. Även IAB menar att det är viktigt att det görs klart att ett generellt samtycke kan lämnas till att cookies får användas genom en på förhand gjord inställning i ett webbläsarprogram. menar att det bör göras ytterligare förtyd- liganden om vad som utgör legitima tekniker. Handelskammaren menar att det är tveksamt om ett krav på uttryckligt samtycke för lagring av cookies i praktiken skulle leda till bättre integritetsskydd för användarna. Användningen av spårningscookies är en förutsättning för t.ex. annons- intäkter som bidrar till att finansiera en stor del av innehållet som publiceras på Internet. Området är föremål för självreglering. Skärpta krav skulle kunna innebära praktiska problem eller att konsu- menterna i högre utsträckning skulle behöva betala för att ta del av inne- håll. Handelskammaren varnar liksom Tradedoubler för att oseriösa ak- törer kan komma att utveckla tekniker som gör det svårt för användaren att överhuvudtaget bedöma vilken spårning som utförs samt att vissa ak- törer kan komma att flytta sin verksamhet utanför EU om EU-reglerna bedöms innebära för stora nackdelar. () bedömer att bestämmelsen blir mycket vid och kommer att få effekter som är svåra att förutse. Eftersom kopplingen till användning av elektro- niska kommunikationsnät tas bort, kommer bestämmelsen att bli tillämp- lig på aktiviteter som inte har någon anknytning till elektronisk kommu- nikation. PTS håller inte med om slutsatsen att införande av ett sam- tyckeskrav inte är avsett att försvåra användningen av cookies. Myndig- heten har svårt att se att ett krav på samtycke enligt förslaget kan frångås utan att en möjlighet till undantag framgår av bestämmelsen. Om ambi- tionen är att regleringen inte ska försvåra hanteringen av cookies så bör en möjlighet till undantag från kravet om samtycke införas, dock med bibehållet krav på information. Enligt Datainspektionens mening är det vad en cookie kommer att användas till som avgör om samtycke krävs eller inte. () efterlyser tydlighet kring vilka typer av lagring och åtkomst som ska kräva samtycke. Enligt bolagets mening kan det inte krävas att den som tillhandhåller elektroniska kom- munikationsnät eller -tjänster ska hållas ansvarig för det som abonnenten väljer att ladda ner från tredje part i sin terminal. (Tele2) efterlyser förtydliganden om vilket ansvar operatörer skulle bära utifrån den föreslagna regleringen och kring vilka händelser och åtgärder som i så fall åsyftas. Även Tele2 menar att en operatör inte kan bära ansvar för vad användaren själv gör, vilket Tele2 varken kan eller ska kontrollera. Skälen för regeringens förslag: En regel om företeelser där informa- tion skickas via ett elektroniskt kommunikationsnät för att lagras i en mottagares terminalutrusning finns i 6 kap. 18 § LEK. Där framgår sam- manfattningsvis i huvudsak följande. Elektroniska kommunikationsnät får användas för att lagra eller hämta information hos en användare om denne får information om ändamålet med behandlingen av den person- uppgiftsansvarige och ges tillfälle att hindra den, s.k. opt-out. Regeln hindar inte lagring och hämtning som behövs för att utföra eller under- lätta överföring av ett elektroniskt meddelande via nätet eller som är nöd- vändig för att tillhandahålla en tjänst som användaren uttryckligen be- gärt. Bestämmelsen har sin grund i artikel 5.3 i e-dataskyddsdirektivet. Ett exempel på en sådan företeelse som avses är användning av s.k. cookies. Dessa utgörs av datafiler som lagrar information att t.ex. använ- das när mottagaren nästa gång besöker samma webbplats. Informationen används då för att exempelvis anpassa en webbplats efter olika användare eller för att minnas ett tidigare angivet användarnamn. Ett annat exem- pel är s.k. spionprogram. Dessa kan utan användarens vetskap installeras i terminalutrustningen och kan utan att det märks vidareförmedla information från terminalutrustningen till en tredje part. Artikel 5.3 i e-dataskyddsdirektivet har ändrats. I artikeln anges nu att medlemsstaterna ska se till att lagring av information eller tillgång till information som redan är lagrad i en abonnents eller användares termi- nalutrustning endast är tillåten på villkor att denne har gett sitt samtycke efter att ha fått tillgång till tydlig och fullständig information i enlighet med dataskyddsdirektivet (95/46/EG), bl.a. om ändamålen med behand- lingen av uppgifterna. Detta får inte förhindra någon teknisk lagring eller åtkomst som endast sker för att utföra överföringen av en kommunika- tion via ett elektroniskt kommunikationsnät eller det som är absolut nöd- vändigt för att leverantören ska kunna tillhandahålla en av informations- samhällets tjänster som användaren eller abonnenten uttryckligen har begärt. I artikelns tidigare lydelse fanns inte angivet något krav på samtycke, utan det krävdes endast att användaren informerades av den dataregister- ansvarige och gavs möjlighet att förhindra lagringen eller tillgången. I skäl 66 till ändringsdirektivet anges sammanfattningsvis följande. Tredje parter kan vilja lagra information på en användares utrustning eller ha tillträde till redan lagrad information. Det finns flera olika skäl till detta, alltifrån legitima skäl (t.ex. vissa typer av cookies) till skäl som innebär ett oberättigat intrång i privatlivet (t.ex. spionprogram eller virus). Det är därför av yttersta vikt att användarna ges tydlig och utförlig information när de deltar i verksamhet som kan leda till sådan lagring eller sådant tillträde. Sättet att lämna information och ge rätt att vägra att lämna in- formation bör vara så användarvänligt som möjligt. Ett undantag från skyldigheten att lämna information och ge rätt att vägra bör vara så användarvänligt som möjligt. Ett undantag från skyldigheten att lämna information och ge rätten att vägra bör bara få tillämpas i de situationer då den tekniska lagringen eller åtkomsten är strikt nödvändig för att möjliggöra användning av en specifik tjänst som uttryckligen efterfrågas av användaren. Om det är tekniskt möjligt och effektivt i enlighet med direktiv /46/EG kan användarens samtycke till behandlingen uttryckas med hjälp av lämpliga webbläsarinställningar eller en annan anordning. Genomförandet av dessa krav bör göras mer verkningsfullt genom de ut- ökade befogenheter som beviljas nationella myndigheter. Bestämmelsen i 6 kap. 18 § LEK bör ändras så att den överensstämmer med de krav som ställs enligt artikel 5.3 i e-dataskyddsdirektivet. Det bör således införas ett krav på samtycke för att få lagra eller hämta informa- tion som är lagrad i terminalutrustning, s.k. opt-in. Vidare tar paragrafen i sin nuvarande utformning endast sikte på användning av elektroniska kommunikationsnät för lagring och hämtning av information vilket inne- bär att lagring eller hämtning med hjälp av t.ex. ett USB-minne, en extern hårddisk etc. inte täcks av ordalydelsen. Bestämmelsen bör nu an- passas så att den omfattar all lagring eller hämtning oavsett teknik. Det bör också göras en justering som motsvarar den som gjorts i artikeln vad gäller undantaget beträffande överföring av elektroniskt meddelande. Av bestämmelsen bör framgå att undantaget gäller lagring eller åtkomst som behövs för överföring av meddelandet och alltså inte längre lagring eller åtkomst som enbart behövs för att underlätta överföringen. Att det är den personuppgiftsansvarige som ska lämna informationen om ändamålet med lagringen eller hämtningen följer numera inte av di- rektivet. Paragrafen har heller inte någon anknytning till regleringen om personuppgifter. Det kan uppkomma situationer där en lagring eller hämtning omfattas av bestämmelsen trots att de uppgifter som lagras eller hämtas inte utgör personuppgifter. I sådana situationer kan inte nå- gon ansvarig utpekas eftersom definitionen av personuppgiftsansvarig i personuppgiftslagen (1998:204) är kopplad till att personuppgifter be- handlas. Begreppet personuppgiftsansvarig bör därför tas bort i paragra- fen. I fråga om bestämmelsens närmare utformning kan konstateras att de flesta remissinstanserna har understrukit vikten av att användningen av s.k. cookies inte försvåras. Flera instanser har också beskrivit hur kravet på samtycke om det dras för långt t.ex. kan medföra att vanlig s.k. surf- ning på Internet blir betydligt omständligare och mer komplicerad än vad som är fallet . Direktivet lämnar emellertid ingen möjlighet att, som PTS föreslagit, explicit undanta vissa tekniker från kravet på samtycke. Till detta kommer att såväl legitima tekniker, t.ex. s.k. cookies, som tekniker som kan ha otillbörliga användningsområden utvecklas och nya tillkommer kontinuerligt. Lagstiftning som i detalj pekar ut vissa tekniker som tillåtna eller undantagna riskerar snabbt att bli obsolet. Risken är också stor att en sådan nationell lagstiftning i alltför stor utsträckning skulle avvika från reglerna i andra länder såväl inom som utom EU.