sou · H4B341 · 2016-06-07 00:00:00 — I Artikel 29-gruppens yttrande om molntjänster framgår att om ett personuppgiftsbiträde använder sig av underleverantörer är biträdet skyldigt att ge kunden tillgång till information om detta och beskriva vilken typ av tjänst som underleverantören utför, vilka egenskaper nu- varande eller potentiella underleverantörer har, samt vilka garantier som uppställs för att dataskyddsdirektivet11 kommer att följas. Av yttrandet framgår också att ett personuppgiftsbiträde bara får lägga ut sin verksamhet på underentreprenörer om den personupp- giftsansvarige har lämnat sitt samtycke till detta. Den personupp- giftsansvarige kan lämna ett generellt samtycke när tjänsten börjar tillhandahållas. Enligt Datainspektionen har personuppgiftsbiträdet en tydlig skyldighet att informera den ansvarige om eventuella planerade änd- ringar t.ex. att underentreprenörer läggs till eller tas bort. Den per- sonuppgiftsansvarige ska ha möjlighet att invända mot ändringarna eller säga upp avtalet. Det bör finnas en tydlig skyldig- het för molnleverantören att ange alla underentreprenörer som anli- tas. Överföring av personuppgifter till tredje land I personuppgiftslagen regleras överföring av personuppgifter till tredje land i 33–35 §§. Huvudregeln är att överföring är förbjuden till länder som inte har en adekvat nivå för skyddet av personuppgifter. Överföring var tidigare tillåten till bolag i som är anslutna till Safe Harbor-principerna, eftersom hade be- slutat att skyddsnivån i sådana fall skulle anses som adekvat. Syste- met med Safe Harbor-principerna inbegriper ett antal principer an- gående skydd för personuppgifter vilka amerikanska företag frivilligt kan ansluta sig till.12 har dock ogiltigförklarat kommissionens beslut.13 I målet var frågan om en österrikisk medborgare som hade invänt mot att Facebook överför uppgifter om honom till . Som skäl för avgörandet anför bl.a. följande. Systemet med Safe Harbor-principerna är endast tillämpligt för de amerikan- ska företag som anslutit sig till det. 11 94/46/EG. 12 Kommissionens beslut /520/EG av enligt och rå- dets direktiv /46/EG om huruvida ett adekvat skydd säkerställs genom de principer om in- tegritetsskydd (Privacy Principles) i kombination med frågor och svar som utfärdat (EGT L 215, s. 7). 13 dom i mål C-362/14, mot Data Protection Commissioner. inte själva bundna av det. Vidare har krav i fråga om den nationella säkerheten i företräde framför Safe Harbor- systemet. Detta innebär att amerikanska företag är skyldiga att utan inskränkningar frångå systemets skyddsregler när de står i konflikt med sådana krav. Det amerikanska Safe Harbor-systemet möjliggör således ingrepp från de amerikanska myndigheternas sida i enskilda personers grundläggande rättigheter. I kommissionens beslut anges att det i varken finns regler som syftar till att begränsa sådana eventuella ingrepp, eller något effektivt rättsligt skydd mot dessa. Vidare påpekar att en lagstiftning i vilken det inte föreskrivs någon möjlighet för enskilda att använda rättsmedel för att erhålla tillgång till, rätta eller radera uppgifter som rör dem, krän- ker det väsentliga innehållet i den grundläggande rätten till effektivt domstolsskydd, eftersom en sådan möjlighet är en grundförutsätt- ning för en rättsstat. dom innebär att en överföring av personuppgif- ter från ett EU-land till kan göras enbart med stöd av att det mottagande företaget i är anslutet till Safe Harbor- principerna. Som en följd av detta, enades och på ett övergripande plan om en ny ordning för transatlan- tiska dataflöden, kallad för ”sköld för skydd av privatlivet” (på engel- ska privacy shield). Artikel 29-gruppen har granskat dokumenten som ligger till grund för överenskommelsen och välkomnar de för- bättringar som den innehåller jämfört med Safe Harbour-princi- perna. Artikel 29-gruppen hyser dock stora betänkligheter på en rad punkter beträffande både de kommersiella aspekterna och beträf- fande myndigheternas åtkomst, när uppgifter överförs med stöd av den nya överenskommelsen. Artikel 29-gruppen uppmanar därför Kommissionen att lösa de utestående problem med överenskommel- sen och förbättra den så att den ger ett skydd som motsvarar EU:s dataskyddsregler.14 14 Statement of the Article 29 Working Party on the opinion on the EU-U.S. Privacy Shield, . ombudsmän () har i ett beslut15 riktat allvarlig kritik mot vissa vårdgivare för att dessa ingått avtal om journalföring med ett företag, trots att detta inte varit förenligt med regelverket om sekretess inom hälso- och sjukvården. I ärendet var förvisso inte frågan om någon molntjänst. Men eftersom beslutet rörde förhållandet mellan en personuppgiftsansva- rig och ett personuppgiftsbiträde, har det betydelse även för person- uppgiftansvarigas möjligheter att anlita molntjänstleverantörer för hantering av sekretessbelagda uppgifter. Beslutet har gett upphov till en omfattande diskussion om hur det bör tolkas. Enligt kan uppgifter från en myn- dighet, vilka som bedöms vara sekretessbelagda i förhållande till leverantören, inte hanteras för myndighetens räkning i en moln- tjänst, även om tystnadsplikt kan regleras i avtal. Men om myndighe- ten krypterar informationen innan den överlämnas till molntjänst leverantören ligger det enligt nära till hands att uppgifterna inte kan anses röjda för leverantören och att sekre- tess inte ska hindrar ett utlämnande.16 konstaterar att rättsläget måste betraktas som är oklart när det gäller tillämpningen av offent- lighets- och sekretesslagen (2009:400) på hanteringen av sekretess- belagda uppgifter i molntjänster. 21.1.3Kommitténs samlade bedömning av området Molntjänster har vissa fördelar även ur ett integritetsskyddsperspek- tiv. Främst genom att säkerheten för personuppgifterna kan vara bättre hos en molntjänstleverantör än i den personuppgiftsansvari- ges egen it-miljö. Det förutsätter dock att den personuppgiftsansvariga organisa- tionen har gjort en grundlig risk- och sårbarhetsanalys och ställt krav på säkerheten som motsvarar uppgifternas känslighet. 15 Dnr 3032-2011. 16 Molntjänster i staten, En ny generation av outsourcing, , 2015. Rapporten hänvisar i sin tur till E-delegationens förstudie om sekretess vid outsourcing, Fi 2009:01/2015/4, . led kan det finnas brister, exempelvis när den personuppgiftsansva- rige felaktigt utgår från att det är molntjänstleverantören som ska göra en risk- och sårbarhetsanalys och sedan anpassa säkerhetsåtgär- derna därefter. Resultatet kan då exempelvis bli att känsliga hälso- uppgifter hanteras över internet med en säkerhet som är anpassad för uppgifter av helt annan, trivial natur. Det innebär i sin tur en risk för att de känsliga uppgifterna läcker ut och blir åtkomliga på internet. En härmed relaterad risk är att den personuppgiftsansvarige kunden gör underförstådda, men felaktiga, antaganden om att tjänsteleve- rantören genomför olika typer av säkerhetsaktiviteter, som exempel- vis regelbundna tester med återläsning av säkerhetskopierad infor- mation, penetrationstester och skydd mot skadlig kod.17 De största integritetsrelaterade riskerna med molntjänster hänger emellertid ihop med förlusten av insyn och förlusten av kontroll som användningen av molntjänster i regel innebär. Förlusten av insyn och kontroll innebär att det finns stora risker för att uppgifter kan komma att hanteras för biträdets eller underbi- trädets egna ändamål Det finns också en risk för obehörig åtkomst hos leverantörer och underleverantörer. Leverantörer av molntjäns- ter som är gratis eller mycket billiga grundar oftast sin verksamhet på att uppgifterna som hanteras har ett värde i sig. Uppgifterna kan ex- empelvis användas för att ta fram information om användarna. Efter sambearbetning med andra uppgifter går dessa att använda som an- nonsunderlag eller för att utveckla nya tjänster. Betalningen för molntjänsten utgörs då i praktiken av det värde som det innebär för leverantören att få åtkomst till uppgifterna. Det innebär att affärs- modellen i sig rymmer en inneboende drivkraft att använda kunder- nas uppgifter för egna ändamål och att dela med sig av dem till andra företag. I en rapport nämns just molnföretagens affärs- modeller som en av de största utmaningarna för användarnas integri- tet.18 Förlusten av insyn och kontroll innebär också att det finns stora risker för att uppgifterna hamnar hos underleverantörer som är okända för den personuppgiftsansvarige kunden. Det kan innebära att kunden i slutändan inte kan uppfylla sin skyldighet att se till att uppgifterna hanteras för rätt ändamål och på ett tillräckligt säkert sätt. Det finns likaså en risk att uppgifterna hamnar i länder där lag- 17 Jfr Molntjänster i staten, En ny generation av outsourcing, , 2015, s. 44. 18 Privacy in Cloud Computing, 2012, . stiftningen ger ett otillräckligt skydd. Det kan exempelvis leda till att myndigheter och andra organisationer utanför EES lagligen kan få åtkomst till uppgifterna för ändamål och på ett sätt som inte hade varit lagligt i eller i något annat land inom EES. Risken för detta uppstår så snart molntjänstleverantören är etablerad i ett tredje land, även om uppgifterna rent fysiskt hanteras på servrar i ett EES-land. Det visade sig när en domstol i godkände ett föreläggande för Microsoft från rättsvårdande myndigheter i om att lämna ut uppgifter om en persons e-post- konto, utan att behöva begära rättshjälp från myndigheter i Irland.19 Microsoft uppger sig ha fått liknande propåer från kinesiska myndig- heter. presenteras molntjänster som färdigförpackade lösningar där den potentiella kunden bara har två valmöjligheter: att acceptera standardavtalen eller låta bli att använda tjänsten. Av Data- inspektionens praxis framgår att standardavtal för molntjänster ofta ger leverantören goda möjligheter att hantera uppgifter för egna än- damål, även om sådana avtal strider mot 30 § personuppgiftslagen. Personuppgiftslagen utgår från att det är den personuppgiftan- svariga organisationen som bestämmer ändamål och medel för han- teringen av personuppgifter och som ger instruktioner till person- uppgiftsbiträdet. Men när personuppgiftsbiträdet är en global molntjänstleverantör, blir förhållandet i praktiken vanligtvis det om- vända, dvs. att biträdet bestämmer ändamål och medel som den per- sonuppgiftsanvarige har att rätta sig efter om den vill använda sig av tjänsten. Det kan vara mycket svårt för små aktörer, exempelvis mindre kommuner, att ha den kunskap som behövs för att bedöma vilka krav som gäller för att det ska vara möjligt att använda sig av en moln- tjänst på ett lagligt sätt. När kunskapen finns, kan det ändå vara mycket svårt att förmå en global molntjänstleverantör att anpassa sina avtalsvillkor till en liten kommuns krav. Även om ett avtal med en molntjänstleverantör uppfyller kraven i personuppgiftslagen, är det i praktiken oftast omöjligt för den per- sonuppgiftsanvarige att utöva någon reell kontroll av om uppgifterna verkligen hanteras i enlighet med avtalet. 19 Avgörande av Chief U.S. District Judge . Preska vid District Court, Southern , avgörandet har överklagats. En annan risk med molntjänster kommer sig av att många av de populäraste tjänsterna är så billiga att det inte krävs någon upphand- ling eller ens en kontakt med den personuppgiftsansvariga organisa- tionens it-avdelning innan tjänsten börjar användas. Tjänsterna är ofta enkla att använda och kan bidra till att effektivisera arbetet. An- ställda kan därför välja att använda tjänsterna utan att organisatio- nens ledning känner till det, eftersom det underlättar arbetsuppgif- terna. Ansvaret enligt personuppgiftslagen för hur uppgifterna hanteras kan emellertid inte delegeras, utan ligger kvar på ledningen som helt saknar möjlighet att kontrollera en hantering vars före- komst i organisationen den inte ens känner till. En komplikation som är specifik för , är det osäkra rättslä- get när det gäller tillämpningen av offentlighets- och sekretesslagen på molntjänster, som uppstått efter det JO-beslut som nämns ovan i avsnittet om det skyddande regelverket. När det gäller tillsyn var Datainspektionen i en jämförelse med andra EU-länder tidigt ute med att granska molntjänster och har se- dan dess varit fortsatt aktiv i tillsynen av molntjänster. Tillsynsverk- samheten har av allt att döma resulterat i att de stora molntjänstleve- rantörerna successivt blivit bättre på att anpassa sina standardavtal till kraven i personuppgiftslagen. Ännu har emellertid ingen hante- ring granskats som involverar känsliga personuppgifter, såsom moln- baserade journalsystem inom hälso- och sjukvården, försäkrings- branschen eller . Ur ett integritetsskyddsperspektiv utmärker sig särskilt publika molntjänster där flera leverantörer är inblandade. Vid användningen av dessa tjänster finns det en stor sannolikhet för att den personupp- giftsansvarige förlorar insyn och kontroll över uppgifterna. Den en- skilde vars uppgifter flyttas till molnet har då förstås ännu mindre vetskap om eller möjlighet att påverka hur uppgifterna hanteras. Molntjänstleverantörerna får i praktiken ett större inflytande över hanteringen än den som bär det legala ansvaret gentemot den en- skilde. Den personuppgiftsansvarige hamnar inte sällan i ett under- läge i förhållande till leverantören, både i fråga om kompetens att bedöma hur tjänsterna fungerar och i fråga om vilka krav som bör ställas på tjänsterna. Publika molntjänster är vanligt förekommande och kan innehålla mycket stora informationsmängder. När en tjänst är gratis eller mycket billig, grundas erbjudandet på leverantörens vilja och möjlighet att använda uppgifterna i tjänsten för egna ändamål. Sammantaget anser kommittén att publika moln- tjänster där flera leverantörer är inblandade, innebär en allvarlig risk för den personliga integriteten. måste också beaktas att molntjänster bidrar till att ef- fektivisera många verksamheter och möjliggöra nya tjänster. Moln- tjänster kan också ha fördelar ur ett integritetsskyddsperspektiv, främst genom att säkerheten för personuppgifterna kan vara bättre hos en molntjänstleverantör än i den personuppgiftsansvariges egen it-miljö. Kommitténs bedömning: Big data för med sig allvarliga risker för den personliga integriteten. Vissa företeelser som brukar förknippas med big data har i korthet berörts i kapitel 12 om konsumentområdet. Begreppet big data har ingen allmänt vedertagen definition, men brukar användas för att beteckna insamlingen och lagringen av så mycket data som möjligt av olika slag. inbegriper begreppet även den efterföljande analysen av uppgifterna, men denna kan även kallas för data mining. I denna text kommer big data användas för att även beteckna den efterföljande analysen. En ibland citerad definition av big data är att det rör sig om infor- mationstillgångar med stora volymer, som innehåller stora variatio- ner och som kan hanteras mycket snabbt. Informationstillgångarna kräver kostnadseffektiva och innovativa sätt för bearbetning och analys och möjliggör förbättringar i fråga om kunskap, beslutsfat- tande och processautomatisering.20 Big data brukar därför ofta beskrivas med tre V:n, hämtade från engelskans volume (det vill säga mängden data), variety (många olika typer av data i olika format) och velocity (hastighet, eftersom till- gång till information och analyser ofta ges i realtid). 20 Vår översättning av , Big data, data, hämtad . Det rör sig med andra ord om datamängder som är så stora och innehåller så många olika format, att det tidigare var svårt att hantera dem. Men med nya metoder är det möjligt att hantera och ana- lysera sådana datamängder. Grunden till big data är de enorma mängder uppgifter som skapas och lagras . Det är uppgifter från ett stort antal olika källor som exempelvis metadata från sökningar på internet, inköp med betal- kort, sociala medier, sensorer i bilar eller mobiler, lokaliseringsdata från mobiltelefoner osv. Det finns många olika beräkningar av hur mycket data ökar i värl- den.21 Ett ofta återgivet exempel är att mänskligheten skapade mer data än vad som sammanlagt någonsin hade skapats fram . När sakernas internet utvecklas , förväntas ökningstakten accelerera ytterligare (se kapitlet om kon- sumentområdet). Det finns också uppskattningar som gör gällande att det kommer att skickas sammanlagt 76 exabytes data över internet, varvid en exabyte motsvarar ungefär 500 miljarder sidor text. Insam- ling och analys av alla dessa uppgifter är möjlig tack vare bl.a. dras- tiskt minskade kostnader för lagring. Att lagra ett petabyte data kos- tar () 100 , men kostade för bara () tio gånger mer, dvs. en miljon USD. Här har också utvecklingen av molntjänster spelat en stor roll, inte minst för min- dre organisationers och privatpersoners möjligheter att lagra stora mängder uppgifter. Det bakomliggande syftet med big data är att utnyttja dagens och morgondagens gigantiska datamängder för att leta efter mönster, sammanhang och förklaringar som inte var möjliga att upptäcka tidi- gare. Sådan kunskap är värdefull inte bara inom marknadsföring och försäljning, utan även för forskningen, sjukvården, brottsbekämp- ningen och inom samhällsplaneringen. är det förutsä- gelser om framtiden som är av intresse – att i förväg få veta att en person snart kommer att göra något dyrt, som att skaffa barn, hus eller bil, eller något oönskat som att återfalla i brott, få problem med hälsan eller komma efter i skolan. 21 De uppskattningar som nämns i det följande är hämtade från , Data and , W.W. , 2015, s. Big data har medfört ett nytt sätt att se på data, där uppgifterna i sig får ett värde som grundar sig på hur det kan användas i framtiden.22 I sammanhanget är det emellertid viktigt att poängtera att långt ifrån alla användningsområden för big data involverar hantering av Ett belysande exempel på big data kan hämtas från hälso- och sjukvården. rapporterades i media om ett amerikanskt vård- givarföretag med långt gångna planer på att använda sig av big data i sin förebyggande verksamhet. I detta fall med hjälp av uppgifter om enskilda personers köpvanor. Vårdgivaren hade köpt sådana uppgif- ter från företag som specialiserar sig på att handla med uppgifter, s.k. datamäklare (eng. data brokers), vilka i sin tur samlat in uppgifter från offentliga register, från andra företags köpklubbar och från betalkortföretag. Tanken med detta är att läkarna ska kunna få varningar om patienter som köper produkter de inte borde eller på andra sätt utsätter sig för risker som inte är i linje med deras behand- ling eller hälsostatus.23 Ett annat exempel kan hämtas från brottsbekämpningen. Polisen i i använder sig av matematiska modeller, ursprungligen utvecklade för att förutse jordskalv, i ett analysverk- tyg som kallas PredPol. Analysverktyget matas med lokal brottsta- tistik rörande bilstölder och inbrott, och med andra uppgifter som är av intresse för brottsbekämpningen. Med hjälp av PredPols analyser kan polisen förutse när ett visst brott kommer att begås, med vilken sannolikhet detta kommer att ske, och var på ett ungefär brottet kommer att begås, ner till områden så små som . Resultaten förs över till digitala kartor som polispatruller sedan kan använda sig av för att vara på plats redan innan brotten begås.24 Big data används i också för att avgöra hur stor risken är för återfall i brott för en viss person, i syfte att planera arbetet och re- sursfördelningen inom kriminalvården eller för att ta ställning till ansökningar om permission.25 22 Norska Datatilsynets rapport – personvernprinsipper under press, . 23 , Patients’ to Predict Who , daterad och publicerad på (BloombergBusiness). 24 Norska Datatilsynets rapport – personvernprinsipper under press, . 25 Norska Datatilsynets rapport – personvernprinsipper under press, . I används big data för att på statligt initiativ skapa ett system för att värdera individer, i första hand för att bedöma deras kreditvär- dighet, men i andra hand även för en rad andra ändamål, t.ex. vid visumansökningar, på dejtingsajter eller för att bedöma om veder börande ska få adoptera ett husdjur. Bland uppgifter som används finns t.ex. uppgifter om sök- och köphistorik på nätet och om vilka personer individen har kopplingar till på sociala medier. Somliga tror att systemet i förlängningen kan komma att användas för att avgöra i vad mån den enskilde ska få sjukvård, utbildning, anställning och om han eller hon är att betrakta som en god medborgare i största allmän- het. Andra är mer skeptiska till möjligheterna att i få till stånd ett fungerande kreditvärderingssystem baserat på uppgifter från nätet, eftersom det förekommer en hel del oriktiga uppgifter på nätet i Kina.26 Det är ingen tillfällighet att dessa exempel på tillämpningar av big data är hämtade från andra länder. I har användningen inte tagit samma fart, vilket bl.a. kan utläsas av publikationen Analytics – A Research and Innovation Agenda for Sweden.27 Där sägs bl.a. att är i en bra position för att utnyttja big data, men att det återstår en hel del innan företag och myndigheter når sin fulla potential på området. Även utvecklingen av big data i och , ligger en bit efter den amerikanska. Det framgår av de två rapporter från ländernas respektive dataskyddsmyndighe- ter vilka citeras i detta kapitel. Det bör sägas att de stora datamängder som är aktuella här, inte nödvändigtvis behöver lagras i databaser. Detta i takt med att möjlig- heterna att snabbt hantera och analysera data i flöden (s.k. ström- mande data) blivit allt bättre.28 26 , When Big data meets big brother, publicerad på , . 27 Odaterad publikation från och återgiven på bl.a. webbsida . 28 , Strömmande data utmanar databasnormen, publicerad på , . Personuppgiftslagens bestämmelser gäller för hanteringen av per- sonuppgifter med hjälp av big data. Av särskild betydelse är i detta sammanhang personuppgiftslagens definition av personuppgifter samt lagens bestämmelser om ändamålsbegränsning, de andra grund- läggande kraven på behandlingen och bestämmelserna om informa- tion och samtycke. För att personuppgiftslagen överhuvudtaget ska vara tillämplig, måste det röra sig om hantering av personuppgifter. Personuppgif- ter definieras i 3 § personuppgiftslagen som all slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet. För big data betyder det att helt anonyma uppgifter som först när de läggs ihop med andra anonyma data kan peka ut en enskild person, samtliga är att betrakta som personuppgifter enligt person- uppgiftslagen. I 9 § personuppgiftslagen anges vissa grundläggande krav för att en hantering av uppgifter ska vara laglig. Där anges bl.a. att den personuppgiftsansvarige ska se till att: ––personuppgifter samlas in bara för särskilda, uttryckligt angivna och berättigade ändamål och att uppgifter inte behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in (denna bestämmelse kallas ibland för ändamålsprinci- pen), ––de personuppgifter som behandlas är adekvata och relevanta i för- hållande till ändamålen med behandlingen, ––inte fler personuppgifter behandlas än som är nödvändigt med hänsyn till ändamålen med behandlingen, ––de personuppgifter som behandlas är riktiga och, om det är nöd- vändigt, aktuella, ––alla rimliga åtgärder vidtas för att rätta, blockera eller utplåna så- dana personuppgifter som är felaktiga eller ofullständiga med hänsyn till ändamålen med behandlingen, och ––personuppgifter inte bevaras än vad som är nödvändigt med hänsyn till ändamålen med behandlingen. Av 9 § personuppgiftslagen framgår att de grundläggande kraven tar sin utgångspunkt i ändamålet med behandlingen. Ändamålet måste vara tillräckligt preciserat för att det överhuvudtaget ska vara me- ningsfullt att pröva hanteringen av uppgifterna och deras relevans, mängd, riktighet och bevarandetid. Om det inte går, är sannolikhe- ten stor att ändamålet inte är tillräckligt preciserat.