sou · H4B341 · 2016-06-07 00:00:00 — Denna del inleds med ett kapitel om Kommitténs samman- tagna bedömning (kap. 3) där kommittén redovisar sin bedömning av den samlade effekten av den kartläggning och övervakning som en enskild person blir föremål för i dagens alltmer digitaliserade sam- hälle. I kapitlet behandlas även de generella problem som vi har kun- nat se griper över flera samhällsområden. Vi återger här också de sammanfattande bedömningarna som vi har gjort av de olika om råden som behandlas i varje kapitel i delbetänkandet. Kapitel 4 är en engelsk sammanfattning av den generella bedömningen i kapitel 3. Kapitel 5 och 6 är två kapitel med grundläggande information om den personliga integriteten och den rättsliga regleringen. 11 Information Commissioner’s report to Parliament on the state of surveillance, Information Commissioner’s Office, . Del III Riskbedömning av olika områden och företeelser omfattar kapitel 7–21. I kapitlen redogör kommittén för vilka särskilda risker för den personliga integriteten som är förknippade med olika sekto- rer och företeelser i samhället. I varje kapitel gör kommittén en be- dömning av riskerna för den personliga integriteten. Del IV Övrigt omfattar kapitel 22–23, kapitel 22 handlar om in- formationssäkerhet och på vilket sätt ett sådant säkerhetsarbete kan skydda den personliga integriteten. I kapitel 23 beskriver kommittén vilket skydd som samhället erbjuder mot intrång i den personliga integriteten. Del V Kommitténs förslag omfattar kapitel 24 och 25. I kapitel 24 tar kommittén ställning till frågan om integritetsskyddsråd och före- slår bl.a. att Datainspektionens uppdrag att följa och beskriva utveck lingen på it-området när det gäller frågor som rör personlig integritet och ny teknik utvidgas till att även omfatta de legala förutsätt ningarna för integritetsskyddet och att myndigheten ska lämna en redovisning om utvecklingen inom området till regeringen. Det sista kapitlet (25) utgör en konsekvensanalys av kommitténs förslag. Del VI med familjen elektroniska spår utgör en vardaglig beskrivning av vilka integritetsrisker som en vanlig familj kan drabbas av . Syftet är att på ett mer lättillgängligt sätt redovisa hur modern teknik påverkar den personliga integriteten. Del VII består av en reservation till betänkandet. Till delbetänkandet hör fyra bilagor, som presenteras i del VIII; kommittédirektiven (bilaga 1 och 2), en systematisk kunskapsöversikt beträffande forskningsområdet digitalisering och personlig integritet (bilaga 3) och en rapport, som ger exempel på olika tekniska, administ rativa och organisatoriska åtgärder, som kan vidtas för att främja skyd- det av den personliga integriteten (bilaga 4). Kommitténs sammantagna bedömning m.m. I det här kapitlet gör en bedömning av den samlade effekten för en enskild person av all den övervakning, kart- läggning och lagring av personuppgifter, som han eller hon blir före- mål för i dagens alltmer digitaliserade samhälle. Vi behandlar även de generella problem som vi har kunnat se griper över flera samhällsområden. Vi återger här också de sammanfattande bedömningarna som vi har gjort av de olika områden som behandlas i egna kapitel i del betänkandet. I slutbetänkandet avser vi undersöka vilka åtgärder som skulle kunna vidtas för att motverka risker som vi har identifierat. Då kan även annat än förslag till lagstiftning bli aktuellt, som exempelvis att det skulle behövas branschöverenskommelser eller proaktiva åt gärder från tillsynsmyndigheterna. 3.2Den samlade effekten för den enskilde I kapitel 5, Den personliga integriteten, beskriver vi hur vi använder oss av begreppet personlig integritet. Något förenklat förstår vi per- sonlig integritet som allt som normalt framstår som angeläget att värna om för att den enskilde ska vara tillförsäkrad en rimlig, fredad, privat sfär. Det är vårt uppdrag att ur ett individperspektiv visa på vilken samlad effekt den senaste tidens teknik- och samhällsutveck- ling har haft på enskildas personliga integritet. Utvecklingen kallas ibland för ”den digitala revolutionen”, att jämföra med den industriella revolutionen, eller för den ”tredje in dustriella revolutionen”, att jämföra med mekaniseringen och utveck- lingen av ångkraften samt därpå med utvecklingen av elektriciteten och förbränningsmotorer.1 Oavsett vilken beteckning och närmare beskrivning som väljs, innebär utvecklingen en genomgripande förändring av samhället och enskildas livsvillkor. Det ligger naturligtvis en enorm nyttopotential i den här utvecklingen, men kommitténs uppdrag är att fokusera på faktiska och potentiella risker för den personliga integriteten. genereras och används digitala personuppgifter i allt högre grad inom alla samhällsområden. Antalet aktörer ökar, användnings- områdena ökar, lagringstiderna ökar, spridningen och utbytet mellan aktörerna ökar, vidareanvändningen hos respektive aktör ökar lik- som spridningen över nationsgränserna samt möjligheterna att be- handla uppgifter i realtid. Vi ser också att vissa stora aktörer, som en följd av utvecklingen i stort och deras egna affärsstrategier, får till- gång till en allt större mängd personuppgifter och därmed har möjlig het att teckna en alltmer komplett bild av en enskild person. Den här utvecklingen beror på digitaliseringen och på ett succes- sivt ändrat sätt att se på informationsbehandling, både inom offent- lig förvaltning och inom näringslivet. Följande förenklade bild kan beskriva utvecklingen: •Tidigare hade organisationer ett specifikt syfte för att bygga upp ett personregister eller en databas. har man en mångfald av syften. •Förr samlade man in uppgifter för att det fanns ett tydligt behov. samlas de in för att de ”kan vara bra att ha”. •Förr så var det viktigt, bl.a. av kostnadsskäl, att hålla lagrings tiderna korta. ser man stora fördelar med att behålla upp gifterna. •Förr fanns ett givet ändamål med sökningar och analyser av personuppgifter. är big data och data mining en realitet. 1 Jfr slutbetänkande, Digitaliseringens transformerande kraft – vägval för framtiden, SOU 2015:91, s. 68. •Förr samlades personuppgifterna in genom en specifik regi strering. uppstår de mer eller mindre automatiskt genom att den enskilde agerar och använder digitala verktyg. •Personuppgifter har i allt högre grad blivit en handelsvara. Den här utvecklingen har kunnat ske trots att basala dataskydds principer såsom skyldighet att informera, inhämta samtycke, gallra och den s.k. ändamålsprincipen fortfarande gäller. Ur den enskildes perspektiv innebär utvecklingen att kunskapen om hur uppgifterna hanteras, liksom möjligheten att påverka detta, krymper i förhållande till den ökande hanteringen av personuppgifter i samhället. I motsvarande mån begränsas även den enskildes möjlighet att genom ett verkligt fritt val bestämma hur uppgifter om honom eller henne ska hanteras. Kommitténs generella slutsats är därför att den enskilde på ett flertal områden drabbas av stegvisa försämringar av den personliga integriteten. Vi kan konstatera en förskjutning av inflytandet över hur upp gifterna hanteras – från den enskilde till de personuppgiftsansvariga och från de personuppgiftsansvariga till tjänsteleverantörerna. Tjänste leverantörerna är inte sällan stora globala företag, även om de i formell mening endast är personuppgiftsbiträden och därmed är skyldiga att följa de ansvarigas instruktioner. De globala företagen är mycket stora, men få till antalet, och vanligen baserade i . Förskjutningen inne- bär därför också en koncentration och en geografisk omplacering av inflytandet bort från och EU:s jurisdiktion. Regleringen av hur uppgifter får hanteras ligger till stora delar på EU-nivå. Det nationella inflytandet från regering och riksdag får så- ledes utövas genom EU-samarbetet med de begränsningar som detta innebär. Härtill kommer, som redan nämnts, att den verkliga han teringen av uppgifter äger rum utanför EU, vilket i sin tur minskar EU:s möjligheter att påverka hanteringen. I samman- hanget är det av betydelse att om dataskydd oftast ger ett starkare skydd än motsvarande regler i andra delar i världen, exempelvis i . Klart står emellertid att när kunskapen och kontrollen förhållande vis minskar, måste slutsatsen bli att situationen för den personliga integriteten försämras, egentligen oberoende av vilken definition man väljer av begreppet personlig integritet. Den enskildes minskande självbestämmande i detta hänseende är en utmaning som staten kan förhålla sig till på olika sätt. Den kan acceptera den enskildes relativt sett krympande kunskaper och på- verkansmöjligheter utan vidare. Den kan verka för att öka enskildas kunskaper och påverkansmöjligheter. Den kan också verka för att förhindra sådan hantering av uppgifter som av något skäl inte är önskvärd. Den svenska staten har valt en blandning av samt- liga tre förhållningssätt. Den samlade bilden av hur uppgifter hanteras är en utmaning som också enskilda förhåller sig till på olika sätt. Situationen väcker frågan om människan och hennes beteende förändras av den accele- rerande digitala hanteringen av hennes uppgifter och hennes privata sfär? Och i så fall hur? har på vårt uppdrag tagit fram en systematisk kunskapsöversikt om detta. Den visar att det såväl internationellt som i finns förvånansvärt lite kunskap om vilken inverkan som digital övervakning har på människans be teende och på hennes uppfattning om världen och sig själv. Vissa studier finns som pekar på att risken för bristande respekt för den personliga integriteten kan leda till minskat internetanvändande och minskat politiskt engagemang (åtminstone på nätet).2 Men ännu saknas vetenskapligt hållbara och empiriska bevis för att så verkligen är fallet. Vissa utmaningar för den personliga integriteten är inte avgränsade till någon särskild del av samhället, utan kan möta den enskilde i många olika situationer. Vi vill därför lyfta fram dessa och behandla dem särskilt, även om de sedan återkommer i olika sammanhang när vi återger de allvarligaste riskerna per område. 2 Se de artiklar som återges i kunskapsöversikten, särskilt i avsnittet om kunskap och beteende hos unga. Det finns även andra rapporter om detta, exempelvis Global Chilling – The Impact of on International Writers, Results from PEN’s International Survey of Writers (). 3.3.1Kunskap om hur uppgifterna hanteras En återkommande iakttagelse är att enskilda i stor utsträckning är omedvetna om och har dåliga kunskaper om hur och varför deras per- sonuppgifter hanteras i utrustningar och tjänster i olika sammanhang. Detta bekräftas av ett antal undersökningar. I en undersökning inom arbetslivsområdet angav av de tillfrågade arbets tagarna att de visste vilka uppgifter som arbetsgivaren samlade in om deras internetanvändande.3 I en annan undersökning ansåg åtta av tio tillfrågade svenskar att de inte har full kontroll över sina person uppgifter.4 En liknande iakttagelse har kommittén gjort beträffande personuppgiftsansvariga företag eller myndigheter. Här finns inte enkätundersökningar på samma sätt som avseende enskildas kun skaper och inställning. Men i våra kontakter med olika parter och i vår omvärldsbevakning har framkommit att det inte är ovanligt med bristande kunskaper även hos de personuppgiftsansvariga. Ett tydligt exempel på detta är myndigheter som köper molntjänster utan att skaffa sig närmare kunskaper om hur uppgifterna hanteras och sprids inom tjänsten. 3.3.2Möjligheten för den enskilde att påverka Flera faktorer gör det svårare för den enskilde att påverka hur de egna uppgifterna lagras och sprids. Dels blir detta svårare på grund av den ökande vidareanvändningen av uppgifter för nya ändamål på olika håll i samhället, exempelvis genom big data, dels för att vi an- vänder oss av utrustning som genererar och sprider allt fler person- uppgifter, exempelvis genom appar och sensorer som finns installe- rade i t.ex. mobiltelefoner och fordon. När den enskilde inte känner till och inte kan påverka hur person- uppgifter hanteras, urholkas samtyckets betydelse. De samtycken som inhämtas för olika behandlingar framstår alltmer som en chimär. Även i situationer där hanteringen är glasklar för den enskilde och ett tydligt samtycke efterfrågas, kan den enskilde i praktiken sakna valmöjlighet. Det betingar ofta ett högt pris i form av att exempelvis 3 Rapport från om en undersökning som fackförbundet genom- förde bland sina medlemmar. 4 Special Eurobarometer 431, Data Protection, publicerad samt Datainspektionens årsredovisning , s. 4. avstå från mediekonsumtion på nätet, från att kommunicera med hjälp av sociala nätverk, från att använda kreditkort och från kon takter med vissa vårdgivare. Människan är en social varelse och be finner sig i en teknologisk kontext som det i praktiken är mycket svårt att ställa sig utanför. Att inte samtycka innebär nämligen att stå utanför, och är därmed sällan ett realistiskt alternativ. Ofta är sam tyckesfrågor binärt formulerade; antingen samtycker den enskilde till allt som den an svarige vill göra med uppgifterna för att tillhanda- hålla en viss tjänst, eller så samtycker den enskilde inte och får då helt avstå från tjänsten. Graderade alternativ förekommer . I vissa sammanhang, som inom den offentliga förvaltningen, finns dessutom lagstiftning som inte förutsätter samtycke för behandling av upp gifterna. Den enskilde har då inte någon laglig möjlighet att motsätta sig att uppgifterna hanteras. Detta kan få långtgående effekter när uppgifter från förvaltningssfären når privat sektor genom exempelvis molntjänster eller med stöd av offentlighetsprincipen. 3.3.3Den enskildes egna skyddsåtgärder Den enskildes möjlighet att vidta skyddsåtgärder förutsätter kun- skap om hur uppgifter hanteras och sprids av företag och myndig heter, men också kunskap om hur uppgifter sprids av andra enskilda personer, t.ex. när bilder på enskilda personer publiceras på sociala medier av andra användare. Det är i praktiken ofta tidsödande och krångligt att skydda sig på andra sätt än att stå utanför, t.ex. genom att använda sig av krypterad e-post eller andra tekniker som är tillgängliga för den enskilde. Det framstår därmed inte som ett realistiskt alternativ för det stora fler- talet. En informationssäkerhetspecialist har på vårt uppdrag tagit fram en översikt över integritetsskyddande teknik.5 Kommittén delar den bedömning som görs i rapporten av enskildas möjligheter att skydda sig mot intrång i den personliga integriteten: Många tjänster i vardagen som vilar på modern informationsteknik, och som uppfattas som oumbärliga, medför inte sällan en ingående kartläggning av individen. (…) Det går knappast som enskild medborgare att värja sig mot det integritetsintrång som sker genom användning av dessa tekniker, med mindre än att aktivt välja att inte använda flertalet av dem. Få kan nog tänka 5 Bilaga 4. sig att sluta köpa elektricitet eller att sluta använda en mobiltelefon. Alterna- tiven, att som konsument försöka skydda sin privata sfär genom olika medel, blir ofta så opraktiskt och kostsamt att det aldrig står som ett reellt alternativ för andra än grovt kriminella. Denna grupp av individer kan tänkas vidta långtgående åtgärder för att undvika att lämna elektroniska fotspår, inne fattande att uteslutande använda kontanter, att alltid bruka anonymiserings tjänster på internet och oregelbundet byta mellan olika mobiltelefoner och oregistrerade på olika platser, och också hålla apparaterna av- stängda då de inte behövs. 3.3.4Vad tycker den enskilde? Det faktum att enskilda lämnar ifrån sig personuppgifter och inte i större utsträckning vidtar de mått och steg som ändå är möjliga för att skydda sina uppgifter, betyder inte att enskilda i allmänhet struntar i sin personliga integritet. I flera undersökningar svarar en- skilda tvärtom att det är viktigt för dem hur deras uppgifter hanteras, att de önskar ett tydligt regelverk som upprätthålls och att deras för- troende för olika aktörer i detta hänseende varierar stort. I en stor europeisk undersökning om allmänhetens inställning till per- sonlig integritet, tog av de svenska respondenterna av- stånd från uttalandet ”att lämna ut personlig information är inget problem för dig”.6 I en annan undersökning, genomförd av ett fackförbund, svarade en klar majoritet av de tillfrågade medlemmarna att de inte var oro- liga för integritetskränkningar i arbetslivet och att de inte heller själva hade blivit utsatta för något sådant.7 När de däremot fick läsa några exempel på övervakning och därefter fick ta ställning till om de tyckte att fackförbundet skulle driva frågan om stärkt integritetsskydd, var det en lika klar majoritet som tyckte att förbundet skulle driva frågan. 6 Special Eurobarometer 431, Data Protection, publicerad samt i fokus, nr 4, 2015. 7 Rapport från om en undersökning som fackförbundet genom- förde bland sina medlemmar. Tillsynen av hur personuppgifter hanteras når bara en bråkdel av alla företeelser som är riskabla ur ett integritetsskyddsperspektiv. Det största tillsynsansvaret bärs av Datainspektionen, vars uppdrag i stort sett har varit detsamma sedan myndigheten bildades . Myndigheten har cirka 45 årsarbetskrafter, vilka även ska utöva tillsyn över inkassoverksamhet och kreditupplysningsbranschen. Myndighetens storlek och uppdrag medför att många nya företeelser och aktörer av naturliga skäl inte alls blir granskade och bedömda ur ett integritetsskyddsperspektiv, eller blir det först när de funnits på marknaden . har situationen påverkats av att Datainspektionen successivt har minskat sina tillsynsaktiviteter. Myndigheten för klarar detta bl.a. med att antalet remisser och delningar ökat markant och att detta tagit resurser från tillsynsverksamheten.8 Inom det här området kan tillsynen sägas vara särskilt viktig. Nya företeelser introduceras i en mycket snabb takt. Många av dessa finns det anledning att bedöma ur ett rättsligt perspektiv. Regelverket är tämligen oprecist och avsiktligt allmänt hållet. Det är därför ofta först när tillsynsmyndigheten har bedömt en ny företeelse, som leve- rantörer och användare får någon ledning. Resultatet från tillsynen kan sedan användas i tillsynsmyndighetens utåtriktade och proaktiva arbete för att sprida kunskap. har uppgett sig ha vissa svårigheter med till synen i den digitala miljön. Problemen rör bl.a. digital och individ anpassad marknadsföring på exempelvis sociala medier, som baseras på en mer eller mindre ingående profilering. Företeelsen har inte varit föremål för tillsyn. Likaså har inte användar villkoren för sociala medier ännu granskats av . I kartläggningen har kommittén kunnat konstatera att tillsynen av den personliga integriteten är splittrad på flera olika myndig- heter. Förutom av Datainspektionen och bedrivs tillsyn inom integritetsområdet av bl.a. , och länsstyrelserna. En splittrad tillsyn kan innebära effektivitetsförluster beträffande den totala tillsynen. Vi avstår från att fördjupa oss i frågan, efter som den analyseras av Utredningen om tillsynen över 8 Datainspektionens årsredovisning , s. 4. den personliga integriteten.9 Utredningen ska, i syfte att stärka skyd- det för den personliga integriteten, överväga hur ett i högre grad samlat integritetsskydd kan fungera inom en och samma myndighets struktur genom att tillsynen över behandling av personuppgifter samlas hos en myndighet. Generellt för hela området är att sanktionssystemet, både det straff- rättsliga och det skadeståndsrättsliga, inte verkar användas i någon större omfattning. Det är i alla fall mycket få ärenden som når dom- stolarna. Exempelvis har vi för perioden –2015 endast funnit fem tvistemål i tingsrätt där frågan handlat om skadestånd enligt person uppgiftslagen (1998:204). Det ser inte annorlunda ut på straffrättens område. avgjordes sammanlagt i landet endast fyra ärenden om brott mot personuppgiftslagen (genom domslut, straf - föreläggande eller åtalsunderlåtelse). När systemet väl används rör det sig om lindriga straff och låga skadeståndsbelopp. Sammanfattningsvis kan sanktionssystemet inte sägas fungera fullt ut, eftersom det inte har fått den effekt som avsågs med bestäm- melserna. En annan generell iakttagelse är att digitala tjänster alltmer präglas av globaliseringen. Många olika aktörer i olika länder samarbetar exem- pelvis i tillhandahållandet av alla komponenterna och programmen i en mobiltelefon. Personuppgifter om användaren kan ibland hanteras såväl av dem som tillverkat telefonen, som av operativsystemet lik- som av apparna i telefonen. De olika tillverkarna återfinns inte sällan i olika världsdelar. Apparna är i sin tur ofta molnbaserade. I moln tjänsters natur ligger att data flyttas mellan olika datacenter över hela världen. Det leder också till att dessa länders lagstiftning kommer att tillämpas på hur uppgifterna får hanteras, varvid det kan röra sig om bestämmelser som ger ett väsentligt sämre skydd för uppgifterna än 9 Ju 2015:02. reglerna i och EU, avseende exempelvis statens rätt att ta del av uppgifterna. Hanteringen i andra länder medför också att det i praktiken oftast är omöjligt att utöva kontroll och tillsyn över hur uppgifterna verkligen hanteras. En annan följd av globaliseringen är att när myndigheter behöver lämna ut uppgifter till företag som är etablerade i andra länder, är det därefter andra landets lagar som reglerar hur uppgifterna får hanteras och spridas vidare.10 3.3.8Journalistiska ändamål enligt personuppgiftslagen En fråga vi inte berör närmare i vår kartläggning är att dagens svenska ramlagstiftning, personuppgiftslagen, föreskriver att regelverket i väsentliga delar inte behöver tillämpas i vissa situationer eftersom det skulle begränsa yttrandefriheten. Det rör sig inte bara om publi- cering på nätet med hjälp av s.k. frivilliga utgivningsbevis, som ger grundlagsskydd och därmed sätter delar av personuppgiftslagen ur spel. Även en publicering utan frivilligt utgivningsbevis faller utan- för personuppgiftslagens tillämpning, om publiceringen görs för ett s.k. ”journalistiskt ändamål”. Bestämmelsen har sin grund och mot- svarighet i artikel 9 i dataskyddsdirektivet. När bestämmelsen har prövats av i , har domstolen bedömt att verksamhet som innebär att informera, utöva kritik och väcka debatt om samhällsfrågor av betydelse för allmänheten, ska anses ha ett journalistiskt ändamål i personuppgiftslagens mening. Det kan alltså utgöra ett journalistiskt ändamål att informera, kritisera och debat- tera i vissa frågor, även om man gör det på ett för enskilda personer kränkande sätt.11 Bestämmelsen har i tillämpningen tolkats brett och har tillämpats exempelvis på publicering på nätet i form av bloggar som innehållit personuppgifter och som uppfattats som kränkande av de personer 10 Se t.ex. Högsta förvaltningsdomstolens avgörande HFD 2014 ref. 66 där den omständig heten att ett företag var etablerat i medförde ett sämre sekretesskydd för uppgifter hos eftersom det norska företaget inte var bundet av personuppgiftslagen. Frågan handlade om utlämnande. 11 NJA 2001 s. 409 samt , Personuppgiftslagen (, Zeteo), kommentaren till 7 § andra stycket personuppgiftslagen. Eftersom ändamålet med publiceringen befunnits vara journalistiskt, har publiceringen inte ansetts strida mot person- uppgiftslagen.12 Vad användare av sociala medier kan skriva och publicera om andra enskilda personer på nätet är en annan, betydande risk för den per- sonliga integriteten. har det allt oftare rapporterats om olika former av hatkampanjer på nätet. Företeelsen kallas ofta för näthat. Exempelvis framgår det av organisationens Friends senaste rapport om barns och ungdomars erfarenhet av internet, att så många som var tredje per- son i åldersgruppen 10–16 blivit utsatt för kränkningar på nätet under det senaste året.13 I alla åldersgrupper är det vanligare att kvinnor utsätts för kränk- ningar på nätet än män. I betänkandet Integritet och straffskydd14 görs en sammanställning över forskning om kränkningar av den person- liga integriteten på nätet.