sou · H4B341 · 2016-06-07 00:00:00 — Lagen innehåller bestämmelser som avser att förhindra att myndigheter beslutar om sådana villkor för hur handlingar får användas som begränsar konkurrensen. Eftersom PSI-lagen syftar till att öka spridningen och vida- reutnyttjande av uppgifter, även personuppgifter, har den betydelse för enskildas personliga integritet. resonerade på följande sätt beträffande regelver- kets innebörd för den personliga integriteteten: Vid elektroniskt utlämnande ska myndigheterna tillämpa bestämmelser i flera, delvis samverkande, regelverk. De är komplicerade och innefattar flera svåra bedömningar. Reglernas utformning och förhållande till varandra kan medföra risk för felaktiga bedömningar av vad som får och vad ska lämnas ut elektroniskt. Förutom risken för att personuppgifter kan komma att lämnas ut för vidareutnyttjande i strid med gällande bestämmelser, medför de kom- plicerade regelverken även att fördelarna med vidareutnyttjandet begrän- sas.29 I betänkandet konstaterade sammanfattningsvis att insatserna för att öka spridningen av information från myndigheter till resten av samhället, i kombination med en svårtillämpad och del- vis oklar lagstiftning, medför att det finns påtagliga risker för att det leder till fler fall av felaktig spridning av information och otillbörliga intrång i den personliga integriteten. 28 Betänkande från , Ett steg vidare – nya regler och åtgärder för att främja vida- reutnyttjande av handlingar, SOU 2014:10. 29 SOU 2014:10. har flera myndigheter utvecklat digitala lagringsplatser som kan användas av enskilda i deras kontakter med myndigheten eller i ärenden som på något sätt berör myndigheten. Dessa lagrings- platser har kommit att kallas för ”egna utrymmen”. Ett exempel på sådan plats är Arbetsförmedlingens CV-databas som även omnämns nedan. Med eget utrymme menas enligt E-delegationen30 ett skyddat förvar som tillhandahålls elektroniskt endast som led i teknisk bear- betning eller teknisk lagring för annans räkning. Det rör sig om ”en elektronisk miljö som myndigheten tillhandahåller, ett eget utrymme där endast den nyttoinformation finns som användaren ska få ta del av”. Enligt de tolkningar som E-delegationens vägledning utgår från är myndigheten inte ansvarig för nyttoinformationen i ett eget utrymme. Nyttoinformation i användares eget utrymme finns enligt E-delegationen inte i någon ingiven handling enligt förvaltningsla- gen. Detta material utgör enligt E-delegationens uppfattning inte heller allmänna handlingar. Det kan i sammanhanget noteras att Myndigheten för samhälls- skydd och beredskap inte delar E-delegationens bedömning att material i de s.k. egna utrymmena inte kan utgöra allmänna hand- lingar. Myndigheten anser att E-delegationen inte på ett övertygande sätt visat att den föreslagna tolkningen av undantagsregeln i tryckfri- hetsförordningen är så rättsligt hållbar att den kan läggas till grund för ett omfattande och resurskrävande utvecklingsarbete på e-för- valtningsområdet.31 Det kan noteras att inte heller Datainspektionen delar E-delegationens bedömning avseende personuppgiftsansvaret i egna utrymmen. Enligt Datainspektionen regleras personuppgiftsansva- ret antingen i registerförfattningar eller bestäms utifrån vem som bestämmer ändamål och medel med behandlingen enligt 3 § person- uppgiftslagen. Det leder normalt till att myndigheter har personupp- giftsansvar för personuppgifter i egna utrymmen, dvs. även för det som benämns nyttoinformation.32 30 E-delegationens publikation Juridisk vägledning för verksamhetsutveckling inom e-förvalt- ning, version 2.0 . 31 MSB:s remissvar avseende SOU 2014:39, myndighetens dnr 2014-3403-2. 32 Fotnot 6 i Juridisk vägledning för verksamhetsutveckling inom e-förvaltning, version 2.0 . I ett mål om rätten att ta del av allmän handling, har Kammarrätten i ansett att vissa handlingar i ett s.k. eget utrymme hos Arbetsförmedlingen får anses förvarade hos myndigheten endast som ett led i teknisk bearbetning eller teknisk lagring för annans räkning.33 Handlingarna är därmed inte allmänna. Målet rörde hand- lingar i Arbetsförmedlingens CV-databas. CV-databasen består av konton för arbetssökande och arbetsgivare. Arbetssökande kan lagra CV:n och annan information i ett utrymme kallat för ”Min profil” och arbetsgivare kan söka bland profilerna, läsa dem och skicka för- frågningar. Databasen är inte något verksamhetssystem hos Arbetsförmedlingen och myndighetens handläggare saknar åtkomst till systemet. Det kan förekomma att företag uppmanar enskilda personer att använda sig av sin åtkomst via e-legitimationen till den enskildes egna uppgifter hos en myndighet, så att företaget på distans kan genomföra ändringar i den enskildes val och inställningar som gyn- nar företaget i fråga. Det har inträffat beträffande fondval som kan göras hos (som i och för sig inte görs i ett s.k. eget utrymme).34 Det finns myndigheter som arbetar med att skapa profiler över per- soner som har ärenden hos dem, i syfte att kunna arbeta med smarta kontroller. I texten som följer kommer vi att använda begreppet kund, när den myndighet som det är frågan om själv använder det begreppet. En myndighet som arbetar med profiler är . Arbetet är en del i utförandet av regeringens instruktioner i myndig- hetens regleringsbrev och beskrivs i en rapport från Försäkringskassan.36 33 Kammarrättens i dom i mål nr 7369-15, som vunnit laga kraft. 34 Se varning publicerad på med rubri- ken Logga inte in åt någon annan, samt artikeln Myndigheten varnar för pensionsbluffen, publi- cerad på , författad av . 35 När det gäller både medborgarprofilering och kontroller på nätet, har haft kontakter och möten med de två berörda myndigheterna, och ., för att få information om vad de gör. 36 beslut , dnr 3421-2014. I rapporten hänvisar till hur framgångsrika företag och myndigheter agerar i sina analyser av kunddata. När andra aktörer analyserar sina data för att exempelvis bedöma vilken kreditrisk det skulle innebära att låna ut pengar till en potentiell kund, eller hur sannolikt det är att en kund kommer att tacka ja till ett riktat köperbjudande, så handlar det för om att analysera sin information för att bedöma kundernas behov samt risker för felaktiga beslut och systematiskt utnyttjande av socialför- säkringen. Som en del i detta arbete utvecklar analytiska modeller och urvalsprofiler. En urvalsprofil hos kan vara olika komplex i form av metod (enkla logiska villkor – komplexa statistiska model- ler) och mängden information som den bygger på (en uppgift i aktuellt ärende – sammanvägning av indikatorer från aktuellt ärende, kundens socialförsäkringshistorik samt information om kundens nätverk, såsom assistansbolagets samlade verksamhet). Den metodik som enligt bedömning har störst potential att använda myndighetens information och ackumu- lerade kunskap på ett träffsäkert sätt är s.k. prediktiv analys. beräknar potentiella riskindikatorer eller predik- torer som beskriver exempelvis innehållet i ansökningen och kun- dens historiska ersättningsmönster och kombinerar dessa med data från utfallet av de kontrollerade ansökningarna. Sedan används sta- tistisk modellering och data mining-algoritmer för att systematiskt testa vilka av de potentiella riskindikatorerna som tillsammans bäst kan särskilja ärenden med hög risk från ärenden med låg risk. De prediktiva modellerna används sedan för att göra förutsägelser om framtiden eller andra okända händelser, exempelvis för att uppskatta sannolikheten för fel i nya ansökningar. skriver i rapporten också att den nya lagstift- ning inom personlig assistans, som trädde 2013, bl.a. har gett möjligheter att utöka informationsutbytet med andra myndigheter. Myndigheten kan därmed mer effektivt förebygga och upptäcka felaktiga utbetalningar och bidragsbrott inom området. Det finns enligt sannolikt också stor potential med ett vidareutvecklat informationsutbyte vad gäller exempelvis information om företag som är verksamma inom väl- färdssektorn. I sin rapport beskriver också det kontrollar- bete som utförs efter tips från allmänheten. I rapporten benämns detta som impulser från allmänheten. vill i framti- den på ett mer systematiskt sätt analysera innehållet i impulserna. Exempelvis skulle utifrån data och kunskap som finns inom myndigheten kunna skapa en mer effektiv prioritering bland dessa och fokusera på ”rätt” impulser. I nämns vidare att det finns ett relativt väl utbyggt elektroniskt informationsutbyte mellan och andra myndigheter, såsom , och . Det finns enligt en ambition att ytterligare stärka arbetet med elektroniskt informationsutbyte med andra myndigheter och organisationer I förs inga resonemang om eventuella risker för den personliga integriteten eller för diskriminering av vissa kunder, som myndighetens kontrollarbete kan medföra. Det resone- ras heller inte om hur den för myndigheten tillämpliga registerför- fattningen förhåller sig till kontrollarbetet. har till uppgett att myndigheten har påpekat för regeringen att det behövs ett förtydligande av 114 kap. socialförsäk- ringsbalken för att regelverket tydligt ska stödja dagens arbetssätt med kontroller. anser dock att nuvarande lagstift- ning ger stöd för arbetssättet. uppger också att myndigheten inte specifikt informerar enskilda och allmänheten om vilka kontroller som görs. Skälen för detta uppger vara att det skulle försvåra arbetet och att det inte finns någon skyl- dighet att lämna sådan information. Hos utförs ett liknande arbete för att förebygga fel- aktigheter, vilket bl.a. framgår av myndighetens rapport kontroll.37 I rapporten sägs bl.a. att ”det traditionella sättet att med hjälp av stora datamängder och med hjälp av olika typer av algoritmer hitta misstänkta fel behöver förstås fortsätta finnas och även fort- sätta utvecklas”. På ett annat ställe i rapporten anges att gör s.k. nätverksanalyser där skattebetalarnas nätverk undersöks. Det finns dock ingen närmare beskrivning av hante- ring av personuppgifter för dessa ändamål i rapporten. 37 , publicerad . nämns att de enskildas rätt till personliga integritet måste beaktas. Avslutningsvis anförs i rapporten att tydligt bör slå fast att urvalen aldrig använder de diskrimineringsgrunder som är upp- räknade i 1 kap. 2 § regeringsformen. Rapporten innehåller ingen analys av hur den för myndigheten tillämpliga registerförfattningen förhåller sig till kontrollarbetet – dess syfte är snarare att på ett över- gripande plan diskutera vilka kontrollåtgärder som är lämpliga och rimliga även ur de kontrollerade personernas synvinkel. har till uppgett att myndighe- ten anser att det nuvarande författningsstödet inte ger verket någon möjlighet att i förväg, innan det finns ett ärende, upprätta riskprofiler för enskilda (fysiska) personer. efterlyser därför en reglering som redogör för vad som gäller och som ger en utökad möjlighet att göra riskbedömningar med hög träffsäker- het i urval och därmed stödjer hur man arbetar och vill kunna arbeta . uppger också att myndigheten inte informerar de berörda om arbetet med riskbedömningar, och inte heller om uppgiftsinhämtningen på nätet, på sociala medier eller om det som görs med s.k. spindlar (se följande avsnitt). Informationen ges istället samband med att ett eventuellt ärende öppnas. 11.1.10 Kontroller på nätet är en myndighet som kommit långt i användningen av webbrobotar i sin kontrollverksamhet på nätet. Webbrobotorna kallas ibland även för spindlar. När det gäller handlar det om en programvara som konstruerats för att automatiskt söka efter ekonomisk aktivitet på nätet, som ger intäkter som inte tagits upp till beskattning. Verksamheten startades och bedrivs med program som går under beteckningarna EC Eyes, och . Kontroller med spindelhjälp inriktas på webbplatser där handel och annan ekonomisk verksamhet bedrivs. Exempelvis har säljare hos , och granskats, men även webb- platser för pokerspel. larnas hjälp oredovisade intäkter på 420 miljoner kronor.38 Enligt uppgift från till pågår verksamheten alltjämt på samma sätt. Förutom att låta specialtillverkade program söka av nätet, använ- der sig vissa myndigheter även av enklare, sökningar på nätet för att inhämta underlag för beslut som rör enskilda personer. Företeelsen har granskats av ombudsman (Justitie ombudsmannen), bl.a. i ett ärende där en socialsekreterare som utredde en ansökan om försörjningsstöd, hämtade viss information om de sökande från deras Facebooksidor och från en annan persons blogg.39 Den information det var frågan om i ärendet var tillgänglig förallamedkontopåFacebook.IbeslutetkomJustitieombudsmannen fram till att det inte finns några formella hinder mot att inom ramen för en utredning om försörjningsstöd hämtar in offent- liga, dvs. allmänt tillgängliga, uppgifter om biståndssökanden från internet, vilket det bedömdes vara frågan om i ärendet. såg heller inga formella hinder mot att detta görs utan sökandens samtycke. Även om det inte krävs något sam- tycke bör dock enligt infor- mera om att man kan komma att hämta in eller kontrollera uppgifter på t.ex. internet. sammanfattar i en övergripande redovis- ning av iakttagelser /2015, att frågor om informationsin- hämtning från internet och handläggares och myndigheters använd- ning av sociala medier var företeelser som inte hade förekommit i klagomålsärenden. Det är därför angeläget att frågan om dessa nya verktyg i myndigheternas verksamhet kommer upp till diskussion hos berörda myndigheter. I den diskussionen är skyldigheten att iaktta saklighet och opartiskhet i verksamheten central. Enligt kan man för- vänta sig fler påståenden och anmälningar om jäv. Risken är stor att allmänhetens förtroende för myndigheterna påverkas, även om en granskning skulle mynna ut i att det inte bedöms vara fråga om jäv. framhåller att det är angeläget att myndighe- 38 , Skattespindlar hittar miljoner, publicerad på www.ny- . 39 JO:s beslut i ärendet med dnr 2611-2013. terna tar fram riktlinjer och handläggningsrutiner om man avser att använda sig av sociala medier och informationssökning på internet i verksamheten.40 Vissa myndigheter har sådana riktlinjer för efterforskningsåtgär- der på nätet. Ett exempel på detta är riktlinjer.41 Enligt dessa riktlinjer är det inte bara en möjlighet för att använda öppna sidor på internet och i sociala medier vid efterforsk- ning, det kan även ses som en skyldighet för myndigheten att använda sådan information som är allmänt tillgänglig. Efterforskning kan enligt riktlinjerna göras på s.k. öppna sidor. Det innebär enligt rikt- linjerna att sidor på internet som kräver inloggning utan någon egentlig motprestation omfattas. Skälet för inloggning kan vara att man vill undvika spam eller kunna stänga av en användare som skriver olämpliga saker. Enligt riktlinjerna kan dessa sidor således användas för efterforskning. Men en annan bedömning görs i riktlinjerna när det gäller sidor som användaren valt att inte göra allmänt tillgängliga och som kräver medlemskap, en inbjudan, att man är vän med en person eller på något annat sätt förtrolig eller som ställer krav på en personlig lösen. Dessa bedöms ingå i vad som kallas för den privata sfären inom vilken efterforskning inte får göras. 11.1.11 E-legitimation som avslöjar användaren E-legitimationer används ofta för att säkerställa en säker kommuni- kation mellan myndigheterna och enskilda personer i olika e-tjänster. E-legitimationerna utges av vissa banker, dvs. När en enskild person använder sig av sin e-legitimation för att kommuni- cera med en myndighet, exempelvis en offentlig vårdgivare eller , kan det företag som utgivit legitimatio- nen ta del av information om t.ex. vilken myndighet den enskilde kontaktar, när detta görs och från vilken plats. Innehållet i kommunikationen med myndigheten kan företaget däremot inte ta del av. Den information som företaget kan ta del av kan komma till nytta i kontroller av säkerheten i kommunikationen, men kan även 40 JO övergripande redovisning av iakttagelser /15, publicerad på , daterad . 41 Riktlinjer beslutade , dnr 131 530342-14/111. utnyttjas för andra ändamål. Sanktioner mot användning för andra ändamål än för att kontrollera säkerheten, regleras i avtal mellan företagen och myndigheterna. 11.1.12 Myndigheter med uppgifter i molnet Det blir allt vanligare att myndigheter använder sig av molntjänster för att hantera olika slags information, bl.a. uppgifter om anställda eller andra enskilda personer. Den mesta informationen som läggs ut i molnet är dock inte personuppgifter. Skolor är ett exempel på sådana myndigheter. De kan hantera uppgifter om både eleverna och lärarna i molnet. Kommittén behandlar molntjänster i skolan och molntjänster som egen företeelse i kapitel 7 respektive i kapitel 21. Här kan däremot nämnas några exempel på molntjänster som används av andra myndigheter än skolor. I kontakter med myndigheter har det framkommit att molntjänsten Projectplace används. Det är en tjänst för projektarbete som kan användas såväl för samarbeten inom en myndighet som för samarbe- ten mellan olika myndigheter (tjänsten används även i verksamheter utanför myndighetsvärlden). En annan molntjänst som används av myndigheter är Relation Desk som är en tjänst för att få överblick och kontroll över flöden på myndighetens konton i sociala medier. Syftet med tjänsten är bl.a. att snabbare kunna svara på frågor och få veta vad som sägs på det sociala mediet, och att ta fram statistik över trafiken på myndighe- tens konto. Molntjänsten Barium förekommer också hos myndigheter. I det exempel som vi har fått kännedom om, används tjänsten för att inom myndigheten hantera förbättringsförslag från de anställda. 11.1.13Myndigheter i sociala medier och med gilla-knappar på webben Allt fler myndigheter använder sig av sociala medier, som exempelvis Facebook, Instagram, Youtube, Linkedin, Google Plus, Flickr, Pinterest, Twitter, bloggar och diskussionsforum. Vanligt är att myn- digheter skaffar egna konton i det sociala mediet för att kunna informera allmänheten om sin verksamhet. Det har inte kommit till kännedom att myndigheter även använder sig av sociala medier för intern kommunikation med de anställda, men det är långt ifrån otänkbart att det förekommer. Det finns sociala medier som konstruerats särskilt för organisationers interna kom- munikation, exempelvis Facebook at Work, som nämns i kapitel 8 om arbetslivet. Om myndigheten har ett eget konto, kan det innebära att person- uppgifter behandlas i det sociala mediet. Den hanteringen anses myndigheten vara ansvarig för, och inte det sociala mediet. Det innebär att myndigheterna måste se till att följa reglerna i person- uppgiftslagen och, i vissa fall, särskild registerlagstiftning. Datainspektionen har publicerat ett informationsblad42 om myn- digheters, företags och andra organisationers ansvar för personupp- gifter i sociala medier. Där ges vägledning beträffande vad en myn- dighet bör tänka på när myndigheten är aktiv på sociala medier. E-delegationen har också tagit fram en vägledning med titeln Myndigheters användning av sociala medier.43 Det förekommer även att myndigheter sprider uppgifter om enskilda till sociala medier på andra sätt, troligen utan att helt förstå konsekvenserna. Myndigheter har t.ex. på sina webbsidor så kallade gilla-knappar till olika sociala medier. Knapparna kallas även för sociala insticksprogram eller plug-ins. Deras förekomst på myndig- heternas webbsidor innebär att det sociala mediet kan få vetskap om vilken enskild person som besökt den aktuella myndighetens webb- sida – även om besökaren inte klickar på knappen och även om besökaren inte har ett konto hos det sociala mediet i fråga. Den bakomliggande tekniken berörs i kapitel 13 om sociala medier och e-post och i kapitel 12 om konsumentområdet. Företeelsen uppmärksammades av som då beskrev några exempel på hur detta går till i prakti- ken.44 I artikeln nämns att ett amerikanskt företag loggar besök på ett landstings webbplats. Företaget arbetar med att förmedla sociala mediers gilla-knappar till sina kunder, som exempelvis kan vara 43 Version 1.0, . 44 och , Svenska myndigheter lämnar ut dina surfvanor, pu- blicerad på . Företaget får genom besöket på webbsidan tillgång till uppgifter som exempelvis den enskilde besökarens ip- nummer, information om webbläsaren och från vilket land besöket görs. När närmare granskade nätverkstrafiken mel- lan webbplats och det amerikanska företaget framgick att det som överförs innefattar information om vad besökaren på webb- platsen läser om i form av en rad nyckelord. Exempel på förekom- mande nyckelorden som kunde skickas var ”homosexualitet”, ”kla- mydia” och ”aids”. Nyckelorden tillsammans med ett unikt id-nummer gör att företaget kan följa besökaren på många andra webbplatser. I granskning av informationssäkerheten i den civila statsförvaltningen45 framkom att det finns omfattande brister i regeringens och myndigheternas arbete med informationssäkerhet. granskning visar att regeringen saknar en samlad bild av läget för informationssäkerheten i statsförvaltningen och därmed saknar möjligheten att styra effektivt. Inte heller stödmyn- digheterna; Myndigheten för samhällsskydd och beredskap, , och Säkerhetspolisen har en samlad bild. Det råder en osäkerhet om hur starkt skyddet är, vilka händelser som har ägt rum och hur hoten utvecklas. Det är därför svårt att värdera riskerna och veta hur omfattande skyddet behöver vara. granskning visar att det finns brister inom flera områden, till exempel kompetens, upphandling, tillsyn, uppföljning samt styrning och samordning. Så mycket som av myn- digheterna bedömer till exempel att kompetens, mandat eller resur- ser inte räcker. genomförde Myndigheten för samhällsskydd och beredskap en kartläggning (genom en enkätundersökning) av hur statliga myndigheter tillämpar myndighetens föreskrifter om statliga myndigheters informationssäkerhet (MSBFS 2009:10) och av hur 45 RiR 2014:23. myndigheterna i övrigt arbetar med informationssäkerhet.46 Rapporten ger en god överblick över situationen hos de statliga myndigheter som besvarat enkäten. Myndigheten för samhällsskydd och beredskap har genomfört en motsvarande granskning av informationssäkerheten hos kommuner och landsting.47 Resultatet gav bl.a. vid handen att majoriteten av de kommuner som svarat på enkäten inte arbetar sys- tematiskt med informationssäkerhet och att de heller inte kontrol- lerar följsamheten vad gäller informationssäkerhet. Myndighetens för samhällsskydd och beredskap har uttryckt en viss oro för den hur e-förvaltningen utvecklas. Myndigheten skriver i remissvar på ett av E-delegationens betänkanden att myndigheten ”ser positivt på en utveckling av effektiv, säker och långsiktigt hållbar e-förvaltning. En sådan utveckling måste dock vila på en solid rättslig grund samt använda sig av lösningar som uppfyller krav på integri- tetsskydd och informationssäkerhet. En utveckling som inte på ett tillräckligt sätt har beaktat detta riskerar att, till och med på kort varsel, behöva stängas ned eller förändras i grunden i det fall den rättsliga grunden eller de säkerhetsmässiga förutsättningarna befinns otillräckliga. Konsekvenserna, både avseende ekonomiska förluster och förlorat förtroende hos allmänheten och näringslivet, kan bli avsevärda.”48 Utredningen 2014 hade i uppdrag att föreslå en nationell strategi för hantering och överföring av information i elektroniska kommunikationsnät och it-system. Utredningen skulle även föreslå övergripande mål för samhällets informationssäkerhetsarbete samt ge förslag på hur ska upprätthålla säkerhet och integritet i samhällsviktig it-infrastruktur. I sitt slutbetänkande49 konstaterar NISU 2014 bl.a. att behoven på informations- och cybersäkerhetens område är så omfattande i , att det inte behövs en, utan flera strategier. Utredningen föreslår därför en första strategi för statens 46 Se rapporten bild av myndigheternas informationssäkerhetsarbete 2014 – tillämpning av MSB:s föreskrifter. 47 Se rapporten bild av kommunernas informationssäkerhetsarbete 2015, MSB, .