sou · H4B341 · 2016-06-07 00:00:00 — Ett konkret exempel på användning av sådan teknik är inom Skolfederation1, där elever genom SAML- protokollet2 kan identiﬁeras som tillhörande en viss skola och viss kurs för att kunna ta del av digitala läromedel. Leverantören av läro- medlen får dock aldrig del av några andra personuppgifter som rela- terar till eleven. Även infrastrukturen för Svensk e-legitimation bygger på samma teknik. De e-tjänster som myndigheter tillhandahåller är emel- lertid utformade på ett sådant sätt att personnummer alltid måste förmedlas för att ge rätt behörighet. Det ﬁnns dock inga hinder att utveckla användningen av tekniken i detta avseende och minska bero- endet till personnumret. Det är också fullt möjligt att använda attri- butbaserad åtkomstkontroll inom samma infrastruktur, fristående eller tillsammans med pseudonyma eller direkta identiﬁerare. Spårbarhet vid pseudonym identiﬁering säkerställs genom att den part som ställt ut intyget kan tillhandahålla länken mellan pseu- donymen och den faktiska identiteten. Denna aktör blir i en sådan modell den delvis betrodda part, som tillsammans med tjänstetillhan- dahållaren kan sammanlänka en person med en transaktion. Verksamheten som utställare av identitetsintyg till allmänheten kan emellertid behöva regleras på sådant sätt att det inte från dennes händelsehistorik går att utläsa vem som besökt vilken e-tjänst och när. Detta bör kunna åstadkommas civilrättsligt genom de avtal som tecknas inom respektive identitetsfederation. Om utställaren av intyget sparar intygets elektroniska stämpel kan kopplingen åter- skapas tillsammans med en tjänstetillhandahållare, givet att denne 1https:/// 2Security Assertion Markup Language är ett dataformat för att utbyta identiﬁering- och behörighetsinformation mellan två parter – vanligen mellan identitetsleverantören och tjänsteleverantören. sparat det intyg mot vilket åtkomst beviljades. På så sätt krävs båda dessa aktörer i samverkan för att klarlägga en sådan händelsekedja. Ett annat teknikområde av betydelse i integritetsbevarande samman- hang är så kallade blinda elektroniska underskrifter. Med det avses att signatären, den som skriver under en handling, kan göra det utan att ta del av innehållet i handlingen. Det är också möjligt att selektivt låta signatären ta del av vissa valda delar av handlingen som skrivs under, medan andra delar döljs. Tekniken och principerna för blinda elektroniska underskrifter har existerat , men är nu föremål för standardisering inom dardization (ISO) och the International Electrotechnical Commission (IEC) genom serien ISO/IEC 18370. Sådana blinda elektroniska underskrifter har ﬂera tillämpnings- områden som integritetsskyddande teknik. Bland annat är det möjligt att åstadkomma ett elektroniskt röstningsförfarande, där det är säker- ställt att endast röstberättigade har möjlighet att rösta (och att endast avlägga så många röster denne är berättigad till) som det i efterhand inte är möjligt att härleda vem som lagt vilken röst. Förenklat kan det sägas att varje röstberättigad framställer sin egna unika röstsedel innehållande det val den röstberättigade avser avlägga, och får denna röstsedel certiﬁerad som äkta av signatären utan att avslöja några unika egenskaper kring innehållet i röstsedeln. Alla insamlade elektroniska röstsedlar kan veriﬁeras som äkta och att innehållet inte manipulerats, men endast den som framställde röstse- deln kan peka ut vilken den är bland de andra. Med utgångspunkt i samma teknik är det möjligt att framställa elektroniska pengar. Med elektroniska pengar avses ett elektroniskt förvarat penningvärde som godtas som betalningsmedel gentemot andra än utgivaren. I ﬁnns ett juridiskt ramverk genom lagen om elektroniska pengar (2011:755) som trädde i kraft . Blinda elektroniska underskrifter kan användas för att på kryp- tograﬁsk väg åstadkomma elektroniska sedlar[3] som individen kan bära med sig på ett kort eller i sin mobiltelefon, och som inte kan spåras på ett sådant sätt att det går att kartlägga hur individen spen- derat sitt innehav. Däremot kan individen tillsammans med utstäl- laren avgöra vem som löst in en viss elektronisk sedel, och även spärra sådana elektroniska kontanter som gått förlorade. Därvid kvarstår även möjligheterna att utreda och förhindra bedrägerier och stölder. Individens anonymitet i spenderandet av de elektroniska peng- arna garanteras så länge vederbörande inte försöker dubbelspendera en utställd elektronisk sedel. Skulle så ske kommer tillräckligt med information avslöjas om individens elektroniska plånbok att denne kan spåras och hållas ansvarig. Det kan därför också sägas kräva ungefär samma form av tillit till mottagaren av betalningen som för betalningar med betalkort. I en utvidgning av konceptet kan de elektroniska sedlarna ersättas med elektroniska checkar av visst maximalt värde. På så sätt förenklas betalningarna så att beloppet alltid blir jämt, och eventuella utma- ningar kring elektronisk växel som ska föras tillbaka till individens plånbok kan elimineras. Tekniken i sig är möjligen tämligen komplicerad, men använd- ningen av den är analog med den traditionella plånboken och sedlarna. Det torde också ﬁnnas en viss efterfrågan på säkrare elektro- niska betalningsmedel. Undersökningar har visat att så många som av konsumenterna som använder elektroniska betalningar är bekymrade över kartläggningsaspekten[4]. Ett område där elektro- niska pengar också skulle kunna användas och medföra betydande positiva effekter är inom kollektivtraﬁkbranschen. Att elektroniska fotspår uppstår i samband med resor som företas med en regional kollektivtraﬁkmyndighet är inte helt oproblematiskt, då många sannolikt inte har något reellt alternativ till att nyttja dessa tjänster för att klara vardagslivet. Enligt Regeringsformens (1974:152) 2 kap. 6 § 2 är det dock en grundläggande rättighet för var och en att inte bli övervakad eller kartlagd av det allmänna. ﬁnns ett starkt intresse av ett på ett säkert, snabbt och kontantlöst sätt kunna resa. Det har också skissats på modeller för enkelt sömlöst resande mellan olika traﬁkslag och traﬁkleverantörer. Aktö- rernas skilda affärsmodeller, taxestrukturer och olika sätt att ta betalt har av branschen identiﬁerats som hinder för ökat kollektivt resande3. En plånbok med elektroniska pengar förvarade i till exempel en 3http:///utvecklingssamverkan/projekt/ gemensamma-biljett-och-betallosningar/ mobiltelefonen skulle kunna användas för att betala för resorna resenären stiger ombord på ett fordon eller passerar en spärr, utan att behöva skaffa ett särskilt resekort eller för den sakens skull sätta sig in i de olika aktörernas taxor och biljettutbud. Elektroniska pengar skulle kunna utgöra det alternativ med vilket man på ett säkert, snabbt och enkelt sätt kan betala för kollektivtraﬁk- resor utan att en ingående kartläggning uppstår. Man skulle då också på ett naturligt sätt kunna vidga användningen av ett sådant betal- ningsmedel och erbjuda resenären andra typer av tjänster i anslutning till resan, kanske en kopp kaffe eller en frukost ombord på tåget. Det ﬁnns många goda orsaker till att kunna analysera stora mängder integritetskänsliga uppgifter. Det kan till exempel handla om forsk- ningsändamål, för att kunna spåra smittspridning eller för att utreda brottslig verksamhet. Det kan dock vara problematiskt att öppna och samköra sådana informationskällor på grund av de risker som då uppstår. I sådana situationer kan integritetsskyddande tekniker erbjuda det skydd som krävs för att möjliggöra analysen. I detta avsnitt belyses några av de tekniker och tillvägagångssätt som kan nyttjas för sådan integritetsbevarande informationsutvinning. Effektiv anonymisering av uppgifter kan vara väsentligt svårare än vad det vid första anblicken förefaller. Det ﬁnns ett antal uppseen- deväckande misstag som gjorts och som nått offentlighetens ljus. Ett av de mest omskrivna är tävligen the , en tävling som iscensattes 2006 och som gick ut på att tävla om ta fram den bästa algoritmen för att förutse tittares betygsättning på ﬁlmer givet dennes preferenser (som kommit till uttryck genom betygsättning av andra ﬁlmer). Netﬂix publicerade som del i tävligen i anonymiserad form en databas över 100 miljoner betygsättningar som 500 000 kunder gjort, omfattande av det totala antalet betygsättningar som existe- rade. Två forskare vid [5] visade emellertid att det fortfarande och utifrån tämligen begränsade kunskaper om en individ ändå gick att identiﬁera denne i unikt i databasen, och utifrån den kunskapen utvinna känsliga uppgifter som till exempel vilka poli- tiska åsikter personen syntes ha. Sårbarheten ligger i att det räcker att känna till endast ett fåtal ﬁlmer som en person tittat på och ungefär när i tiden detta har skett för att det ska gå att identiﬁera denne och röja hela dennes tittarhistorik. En annan omskriven händelse som skedde ungefär var då Online (AOL) publicerade en databas över 20 miljoner internet-sökningar som 650 000 användare hade gjort över en tremå- nadersperiod. [1] visade att det genom att kors- referera uppgifter från sökningarna med telefonkatalogen gick att röja identiteten på enskilda personer, och därmed avslöja hela deras sökhistorik. Fallen är ett exempel på hur kvasi-identiﬁerare kunnat användas för att härleda en individs riktiga identitet, även då alla direkta identiﬁe- rare tagits bort och då betydande ansträngningar gjorts för att anony- misera, korta och även till viss del förvanska vissa uppgifter. Robust anonymisering utgår därför ifrån att göra det tillräckligt svårt att identiﬁera enskilda personer i en informationsmängd, då det sällan går att åstadkomma total anonymitet. Detta kräver dock vanligen att inte bara vissa attribut avlägsnas, utan även att de uppgifter som ska analyseras avpersoniﬁeras. Detta kan åstadkommas genom krypte- rande anonymisering, vilket behandlas separat i avsnitt 2.5.3. Det kan också göras med hjälp av modiﬁerande anonymisering, till exempel k-anonymisering eller slumpredigering. K-anonymisering är en metod för att säkerställa att minst k personer identiﬁeras av de attribut som återstår, där k är bestämt till ett till- räckligt robust gränsvärde för att riskerna ska anses vara acceptabla. Detta sker genom att generalisera återstående attribut. Generalisering innebär i detta sammanhang att attribut ersätts med andra som fort- farande är sanna. Ett postnummer kan översättas till ett ortsnamn för sämre noggrannhet, et cetera. Slumpredigering (eller randomisering) bygger på att ett slumpmäs- sigt brus påförs data som gör att aggregatet av datat ändå är tillräck- ligt exakt för att analyseras statistiskt, men där varje post i sig är till- räckligt felaktig för att sakna värde. Något förenklat skulle till exempel en forskare, som ska undersöka hur medborgarnas kroppslängd i olika ålderskategorier i medeltal varierar geograﬁskt för män respektive kvinnor, kunna ta del av ett register där uppgiften om kroppslängd slumpredigerats med ± . För ett geograﬁskt område där underlaget i varje kate- gori består i åtminstone några hundratal invånare, kan det förväntas att det slumpmässigt påförda bruset på varje post i registret tar ut varandra så till den grad att en relevant medellängd för gruppen ändå kan beräknas. är uppgiften i varje enskild post så osäker att det kanske är tillräckligt svårt att identiﬁera enskilda individer i gruppen. Maskininlärning är vad man inom området för artiﬁciell intelligens brukar kalla statistiska metoder för regression eller klassiﬁcering. Regression är i sin tur en gren inom statistik där målet är att skapa en funktion som bäst passar observerade data. Maskininlärning ger förhållandet mellan observerade data och inlärda mönster, som erhål- lits genom att analysera stora mängder relevanta exempel. Tekniken kan användas för att på maskinell väg identiﬁera vissa typer av mönster som uppstår inom en informationskälla, och klas- siﬁcera denna observation enligt någon trovärdighetsgradering. Det skulle till exempel kunna användas för att i realtid analysera traﬁk- uppgifter och lokaliseringsinformation för att upptäcka och förvarna inför huliganisters våldsangrepp och sammandrabbningar. Huliganer kan vara mer eller mindre vanliga individer som ibland samlas till arrangerade slagsmål. Dessa sammankomster torde föregås av vissa kommunikationsmönster och rörelser, som skulle kunna kännas igen genom sådan maskininlärning. Ett larm kan automatiskt gene- reras som påkallar polisens uppmärksamhet om att det med en viss procents sannolikhet kommer att uppstå ett slagsmål på en viss plats, varvid traditionellt polisarbete kan ta vid. Från persondataskyddsperspektiv ﬁnns ﬂera fördelar med maski- ninlärning. En analysen kan göras direkt i stunden och den stora merparten av uppgifter som inte bedöms som intressanta kan snabbt därefter gallras bort. Uppgifterna behöver inte analyseras av någon människa, i vart fall inte innan det ﬁnns tydliga indikationer på att en viss händelse är nära förestående, och kanske inte ens då att något intrång behöver ske om det är händelsen och platsen i sig som är det intressanta i sammanhanget. Att uppgifterna inte behöver tillgänglig- göras för någon människa minskar även risken för att de missbrukas. bör det påpekas att maskininlärning är en mycket effektiv metod för att också urskilja enskilda individers användar- mönster för att göra den kartläggning som nämndes inledningsvis i avsnitt 1.1. Maskininlärning är därför ett tveeggat svärd som kan användas både i skyddande och exploaterande syften. Säkra ﬂerpartsberäkningar (Secure Multi-Party Calculations – MPC) är en gren inom kryptograﬁn med målsättningen att låta ﬂera aktörer samverka kring en algebraisk operation över respektive parts egna uppgifter, som dessa hålls hemliga för övriga deltagande aktörer. Säkra ﬂerpartsberäkningar kan utföras på ett ﬂertal olika sätt, med olika styrkor och svagheter. Ett område relevant för säkra ﬂer- partsberäkningar är homomorﬁsk kryptering. Denna teknik är ännu i sin linda och har begränsad användbarhet, men där bety- dande framsteg i utvecklingen mot praktiska tillämpningar gjorts . Sådan kryptering har en formbarhetsegenskap som innebär att en operation på det krypterade datat är ekvivalent med samma opera- tionen utförd på det avkrypterade datat. Homomorﬁsk kryptering bevarar således viss struktur i datat, så att analys och beräkningar kan göras över den krypterade informationen. Resultatet är emellertid inte användbart utan avkryptering. Genom en fullständigt homomorﬁsk kryptering kan alltså en part kryptera de uppgifter som ska behandlas, varefter den andra parten sedan kan utföra godtyckliga behandlingar på de krypterade uppgif- terna. Resultatet av behandlingen kan förmedlas tillbaka till den avsändande parten där de avkrypteras för att erhålla resultatet i klar- text. Det ﬁnns effektiva additiva och multiplikativa homomor- ﬁska krypteringsmetoder, där de multiplikativa är begränsade till polynom av låg grad. Detta kallas delvis homomorﬁsk kryptering. att utföra godtyckliga algebraiska operationer över polynom av högre grad krävs emellertid användning av fullständigt homomorﬁsk kryp- tering vilket är för beräkningsmässigt kostsamt för att ha praktisk tillämpning. Dock kan delvis homomorﬁsk kryptering utgöra lösningar på vissa speciﬁka problem . Nyttan med säkra ﬂerpartsberäkningar inom området för skydd av den personliga integriteten, är att behandling av känsliga uppgifter skulle kunna läggas ut på annan part, utan att dessa uppgifter röjs för den som utför behandlingen. Denna teknik skulle kunna användas främst inom två områden: dels vid samkörning av två eller ﬂera register, där uppgifterna inte får röjas ens till den part som utför samkörningen; dels vid avidentiﬁering av uppgifter i register som ska användas vid analys för statistiska ändamål, där uppgifterna som avpersoniﬁeras måste ingå som underlag för att producera meningsfulla resultat vid informationsutvinningen. Det förstnämnda scenariet kan vara relevant till exempel om två eller ﬂera vårdinrättningar behöver samköra register för att spåra tecken på epidemiska utbrott, om två myndigheter behöver jämföra registeruppgifter utan att dessa uppgifter överförs så att sekre- tessen bryts, eller om två underrättelseorganisationer behöver jämföra hemliga uppgifter. Det andra scenariet aktualiseras vanligen då olika känsliga register ska tillhandahållas för forskningsändamål. Statistisk analys skulle också kunna göras på ﬂöden av e-post, för att med hjälp av Bayesiska ﬁlter som verkar över det krypterade datat sortera ut skräppost, utan att innehållet i den legitima e-posten riskerar att röjas till utomstående. Inbyggt integritetsskydd (“privacy-by-design”) är ett term som används för att beskriva system och lösningar där skyddet för privat- livet är en integrerad del som tagits med som ett grundkrav från början vid utvecklingen av systemet eller lösningen, och som löper som en röd tråd genom systemets hela livscykel. Motsatsen till en sådan metodik är att försöka åstadkomma skydd i efterhand, då systemet eller lösningen är färdigutvecklad. Till exempel genom infö- rande av informationssäkerhetsåtgärder som syftar till att förhindra att känsliga uppgifter röjs till obehöriga. Det ska påpekas att termen privacy-by-design inte är helt entydig i dess tolkning. I dess ursprungliga deﬁnition utmejslas 7 grundregler[2], där ﬂera delar känns igen och till stor del överlappar med dagens persondataskyddslagstiftning. Grundreglerna är i övrigt tämligen vaga och inte alldeles enkla att omsätta i praktiskt hand- lande. I denna skrift tas därför fasta på ett antal konkreta principer för inbyggt integritetsskydd: Uppgiftsminimering – genom att systematiskt minimera mängden uppgifter som samlas in och behandlas förebyggs risker på ett proaktivt sätt; Informerat medgivande – där användarvillkor presenteras på ett lättbegripligt, relevant och överskådligt sätt och ger användaren möjlighet att välja att inte dela vissa uppgifter; Transparens – erbjuder användaren insyn i hur dennes uppgifter behandlas; Förebyggande veriﬁerbart skydd – risker förebyggs genom skydds- åtgärder vars effektivitet är veriﬁerbara; Möjlighet att återta ett medgivande – erbjuder användaren enkel möjlighet att ta tillbaka medgivande och att få relevanta uppgifter raderade. Samtliga av dessa principer har sina motsvarigheter i personupp- giftslagen (1998:204); Uppgiftsminimering (9 § f), medgivande (10, 15 och 34 §§), transparens (26 §), skyddsåtgärder (31 §) och återtagande av medgivande (12 §) är delar i detta. Att tillämpa principerna för inbyggt integritetsskydd innebär emellertid att tillmäta dessa person- dataskyddsaspekter central betydelse vid utformningen av ett system, och sedan föra med dessa tankebanor i varje fas i systemets livscykel. Men det innebär också att i många avseenden gå längre än den praxis som följer av lagstiftningen inom vart och ett av dessa områden, till exempel genom att tillämpa ett kritiskt tänkande och ifrågasättande av nödvändigheten med alla delar av behandlingen och att presentera användaren med relevanta valmöjligheter att avstå viss insamling och behandling. Förekomsten av produkter och tjänster som genomgående konstrueras enligt dessa principer är förhållandevis sällsynta. Även om den teknik som behövs ﬁnns tillgänglig och är välbeprövad, kräver inbyggt integritetsskydd nya tankebanor. Antag till exempel att en myndighet ska erbjuda medborgaren en e-tjänst där denna ska fylla i ett antal känsliga uppgifter, kanske för att erhålla en social förmån. Vid utformningen av e-tjänsten görs bedöm- ningen att det är avgörande att den enskilde kan få hjälp på sådant sätt att vissa uppgifter kan inhämtas från en annan myndighet så att dessa blir förifyllda i formuläret. Rent tekniskt är troligen det enklaste sättet att låta den första myndigheten få direktåtkomst till den andra myndighetens register via någon överföringsmekanism, vilket då skulle ske för ett angivet och berättigat ändamål. I detta uppstår emellertid betydande risker för den enskildes personliga integritet. Intrång, säkerhetsöverträdelser eller misstag riskar medföra att uppgifter från båda registren röjs, överförs eller behandlas på ett sätt som inte varit avsett. I motsvarande grad uppstår även frågor om hur transparensen och efterlevnaden ska kunna säkerställas, så att det står helt klart att sådana säkerhetsöverträdelser inte skett eller sker. Slutligen är det juridiskt problematiskt att koppla samman myndig- heters system på detta sätt. För att överföring ska komma till stånd krävs stöd i någon sekretessbrytande bestämmelse. Offentlighets- och sekretesslagen (2009:400) innehåller heller ingen generell regel om överföring av sekretess när sekretessbelagda uppgifter överlämnas mellan olika myndigheter, vilket medför att en allmän handling som är skyddad genom sekretess vid den ena myndigheten inte med nödvändighet är skyddad då den överförts till en annan myndighet. Ett sätt att minska riskerna, minimera mängden överskottsupp- gifter, lägga grunden för ett informerat medgivande, skapa trans- parens, veriﬁerbarhet och spårbarhet är att utforma tjänsten utifrån principerna för inbyggt integritetsskydd. I det här exemplet skulle de informationskällor som krävs för e-tjänsten kunna förses med programmatiska gränssnitt, där det är möjligt för den enskilde själv att med hjälp av sin e-legitimation begära ut de nödvändiga uppgif- terna i maskinläsbart format direkt från respektive myndighet, för att sedan låta sammanställa dessa uppgifter i den egna omgivningen, till exempel i webbläsaren eller i en mobil applikation. Detta förfarande skulle fungera ungefär som i den fysiska verk- ligheten, där den enskilde på egen hand begär ut sina egna uppgifter från varje myndighetsregister som är inblandat. Dessa uppgifter kan den enskilde sedan sammanställa, redigera och komplettera vid sitt eget köksbord, för att slutligen skriva under och skicka in handlingen till den mottagande myndigheten. Genom att användaren i den elektroniska motsvarigheten själv, med hjälp av sin e-legitimation, direkt från respektive myndighet inhämtar de känsliga uppgifterna sker rent tekniskt aldrig någon direkt överföring myndigheterna mellan. E-tjänsten tillhandahåller det stöd som krävs för sammanställningen i användarens omgivning, där denne kan granska och komplettera de uppgifter som ska skickas in, innan de inkommer till den mottagande myndigheten. Att direktåtkomst myndigheterna emellan undviks kan leda till att en annan juridisk bedömning kan göras när det kommer till de sekretessrelaterade frågorna, och frågorna kring när en handling kan anses vara inkommen till den mottagande myndigheten. Ett sådan teknisk lösning är inte särskilt komplicerad, men fordrar att myndighetens jurister, systemutvecklare och verksamhetsutveck- lare alla samverkar kring målet att minimera de risker som samman- länkning av känsliga register annars medför. Grundläggande blir således även att förstå riskerna, på vilket sätt de kan undvikas och i varje steg tillämpa ett kritiskt tänkande och ifrågasättande av hur personuppgifter måste hanteras. Uppgiftsminimering är ett av de absolut mest effektiva sätten att lindra risker gällande den personliga integriteten. Generellt ska enbart uppgifter samlas in som är nödvändiga för ändamålet, och sparas endast så länge som de behövs. Effektiv uppgiftsminimering kan emellertid innebära att gå längre än så, till exempel genom att avpersoniﬁera vissa poster, undvika att använda direkta identiﬁerare eller konsolidera vissa uppgifter för att göra dem mindre känsliga. Till exempel skulle en vädertjänst, som via en mobil applikation levererar prognos för den plats där användaren beﬁnner sig, i syfte att tillhandhålla denna tjänst regelbundet kunna samla in uppgifter om användarnas positioner.