sou · H4B341 · 2016-06-07 00:00:00 — Kraven i 9 § personuppgiftslagen innebär att varje hantering av personuppgifter i big data-sammanhang måste föregås av en tillräck- ligt preciserad avgränsning av ändamålet med hanteringen. Likaså får hanteringen inte omfatta fler uppgifter eller pågå , än vad som är nödvändigt i förhållande till det preciserade ändamålet. Enligt huvudregeln i personuppgiftslagen får personuppgifter be- handlas bara om den enskilda har fått information om behandlingen och därefter har lämnat sitt samtycke till den. När huvudregeln är tillämplig innebär den att varje hantering av personuppgifter (dvs. inte bara analysen, utan även insamlingen och lagringen) också i big data-sammahang måste föregås av information (om bl.a. ändamålet med hanteringen) och av ett samtycke från den enskilde vars uppgifter ska hanteras. Big data och dataskyddsprinciperna Själva grundtankarna med big data innebär en utmaning för nämnda grundläggande krav i personuppgiftslagen, vilka härrör från de data- skyddsprinciper som lades fast i dataskyddsdirektivet. fram- förs t.o.m. att big data överhuvudtaget inte skulle gå att förena med dataskyddsprinciperna i direktivet. Sådana påståenden har bemötts och problematiserats bl.a. av vissa dataskyddsmyndigheter.ExempelvismenarbrittiskaCommissioner’s Office (ICO), att big data inte är ett ”spel med egna regler”, utan att dataskyddsprinciperna är tillräckligt flexibla för att kunna tillämpas även på big data, och att principerna inte omöjliggör företeelsen som sådan.29 21.2.3Kommitténs samlade bedömning av området Grundtankarna med big data framstår som svårförenliga med de all- mänt vedertagna dataskyddsprinciper som kodifierats i dataskydds- direktivet och som i svensk rätt återfinns i personuppgiftslagen. Frå- gan är därför i vad mån metoder och affärsmodeller som involverar big data överhuvudtaget kan anses som förenliga med lagstiftning som bygger på dessa dataskyddsprinciper. Till att börja med bygger big data på en tro på att de flesta data- mängder på något sätt kan komma till nytta . Det betyder åtminstone att fler uppgifter kommer att samlas in än vad som noga taget skulle räcka för att tillgodose det egentliga och ur- sprungliga ändamålet med insamlingen och att dessa uppgifter inte heller kommer att gallras förrän det står helt klart att de inte länge behövs, om ens då. Det kommer sannolikt att leda till att det bildas allt större och detaljerade samlingar av uppgifter om enskilda. En annan grundläggande tanke med big data är att nya och ovän- tade samband och förklaringar förväntas uppkomma när tidigare se- parata uppgiftssamlingar sambearbetas. Det fordrar att uppgifterna hanteras för helt nya ändamål som de enskilda i praktiken varken 29 Rapport från Information Commissioner’s Office Big data and data protection, version 1.0, . känner till, kanske inte ens hade kunnat föreställa sig och långt min- dre har samtyckt till. Det kan leda till att enskilda fullständigt tappar kontrollen över hur och för vilka ändamål deras uppgifter hanteras. Sambearbetning av stora mängder uppgifter i olika datasamlingar, som var för sig inte möjliggör identifiering av enskilda, kan leda till att det blir möjligt att identifiera enskilda som finns registrerade bland uppgifterna. På samma sätt blir det också allt svårare att åstad- komma en beständig anonymisering av datasamlingar, eftersom möj- ligheterna till återidentifiering blir allt bättre. Vidare kommer ny kunskap om enskilda att uppstå när datasam- lingar sambearbetas och okända samband och mönster framträder som har bäring på enskilda. Eftersom det kan röra sig om väldigt stora datamängder, kan resultatet innebära en mycket närgången kartläggning. En annan risk består i de många möjliga felkällorna i big data. Det som utmärker uppgifterna i dessa sammanhang är volym och varia- tion i typer av uppgifter, men kvalitet (i bemärkelsen riktighet och aktualitet) är sällan möjlig att upprätthålla eller ens att kontrollera. Det innebär en risk för att det skapas felaktiga uppgifter, och därmed också felaktiga slutsatser, om många personer. En annan risk är att drivkraften att göra prognoser om enskilda med utgångspunkt i stora mängder historiska data, kan medföra en förstärkning och fördjupning av redan existerande fördomar och leda till diskriminering. Den risken blir ännu allvarligare om progno- serna används till att fatta automatiserade beslut som rör enskildas rättigheter och skyldigheter, utan att någon mänsklig beslutsfattare är inblandad. Big data har ännu inte varit föremål för någon närmare gransk- ning utifrån ett integritetsskyddsperspektiv i . Här har data- skyddsmyndigheterna i exempelvis och kom- mit längre (se tidigare anförda rapporter från dessa länders respektive dataskyddsmyndighet). Faktorer som i detta sammanhang är av betydelse för risken för den personliga integriteten, är att big data innebär att uppgifter han- teras för nya ändamål som inte är kända vid insamlingen. Det medför att den enskilde förlorar både kännedom om och inflytande över hur uppgifterna hanteras. Med big data blir det särskilt tydligt att per- sonuppgifter betraktas som en handelsvara med ett högt kommersi- ellt värde. Det medför en avsevärt ökad risk för spridning av uppgif- terna till parter som inte är kända för den enskilde. Kommittén anser därför att big data för med sig en allvarlig risk för den personliga integriteten. måste också beaktas att big data på ett genomgripande sätt kan komma att effektivisera och förbättra verksamheter i många delar av samhället. Kommitténs bedömning: Användningen av tekniker som invol- verar många och detaljerade biometriska uppgifter, innebär en påtaglig risk för den personliga integriteten. Biometri är samlingsnamnet på ett flertal olika tekniska lösningar som gör det möjligt att mäta kroppens egenskaper eller individers beteenden, och på så vis hitta särskiljande egenskaper hos olika indi- vider. Uppgifter om de egenskaper eller beteenden som mäts, s.k. bio- metriska uppgifter, kan definieras på följande sätt: Biologiska egenskaper, fysiologiska kännetecken, särdrag eller repeterbara handlingar där dessa kännetecken eller handlingar är både unika för indivi- den och mätbara, även om de mönster som används i praktiken för att tek- niskt mäta dessa bygger på ett visst mått av sannolikhet. Biometrisk teknik kan användas på i huvudsak två sätt: Statistisk analys av insamlad biometrisk data från en individ gör det möjligt att med en hög sannolikhet verifiera att individen verkligen är den person som han eller hon utger sig för 30 Artikel 29-gruppens yttrande 3/2012 om utvecklingen i fråga om biometrisk teknik, WP 193, antaget . Det finns även en standard för skyddet för biometriska uppgif- ter: ISO/IEC 24745:2011 Information technology – Security techniques – Biometric informa- tion protection. I tekniska lösningar kallas detta förfarande ofta för autentisering . Ett exempel är den fingeravtrycksläsare som finns i många mobiltelefoner och surfplattor, där jämförelse av biometriska data ersätter eller kompletterar en annan form av autentisering, t.ex. en pinkod. När rätt individ placerar sitt finger på fingeravtrycksavläsaren läses specifika delar av användarens fingeravtryck av. Dessa utgör sedan en inläst representation av individens finger vilken jämförs med det som finns lagrat i telefo- nen . Om sannolikheten är tillräckligt hög att de är identiska så låses telefonen upp.31 Biometriska analysmetoder gör det möjligt att identifiera enskilda individer. Exempelvis har polisen länge använt fingeravtryck från brottsplatser på detta sätt. Efter att ha säkrat ett fingeravtryck från en oidentifierad brottsling jämförs det med de fingeravtryck som finns insamlade , i hopp om att samma fingeravtryck ska finnas i samlingen och därmed göra det möjligt att knyta en specifik person till brottsplatsen. Traditionellt sett har biometri handlat om fysiska egenskaper, exem- pelvis fingeravtryck. Men går det också att använda be- teenden som underlag för biometriska analyser. Ett sådant exempel är tangentbordsrytm. Sättet att skriva på ett tangentbord skiljer sig åt mellan olika individer och kan därmed fungera som dynamisk data lämpad för statistisk analys. Detta för att hitta särskiljande mönster i tangentbordsrytmen mellan olika individer. Ett annat exempel är s.k. signaturbiometri. Det är en beteendeba- serad biometrisk teknik för att mäta en persons beteende uttryckt genom dynamiken i utförandet av namnteckningen. Traditionell sig- naturigenkänning baseras på analys av statiska eller geometriska egenskaper hos den visuella bilden av signaturen (hur signaturen ser ut). Signaturbiometri handlar i stället om en analys av de dynamiska egenskaperna hos signaturen (hur signaturen gjordes). Typiska dy- namiska egenskaper som mäts med ett system för signaturbiometri (t.ex. en digitalplatta) är trycket, skrivvinkeln, pennans hastighet och acceleration, formningen av bokstäver, penndragens riktning och andra unika dynamiska kännetecken. Det finns utrustning för 31 iOS Security—, . iOS_ Security_Guide.pdf, s. 8, hämtat . signaturigenkänning som genomför verifieringen genom en kombi- nerad analys av både statiska egenskaper (den visuella bilden) och dynamiska egenskaper (tryck, vinkel, hastighet osv.) hos en signa- tur.32 Biometriska system lagrar uppgifter om vissa s.k. extraherade egenskaper hos den ursprungliga informationen, t.ex. från ett finger- avtryck. Dessa utgörs av de särdrag som systemets algoritmer lokali- serat i bilden. Det finns en rad olika biometriska tekniker som används inom olika områden. Till dessa mätbara egenskaper eller beteenden hör bl.a. följande: ––Ögonbotten () ––Hand- och fingergeometri ––EEG (hjärnans elektriska aktivitet) ––Venmönster, dvs. mönster i människors blodådror. I takt med att tekniken för biometri blir bättre, billigare och mindre, används den i allt fler sammanhang. Ett exempel med stor spridning är att alla pass som utfärdas i EU-länderna är försedda med ett chip där innehavarens fingeravtryck finns lagrat. 32 Artikel 29-gruppens yttrande 3/2012 om utvecklingen i fråga om biometrisk teknik, WP 193, antaget . Biometrisk teknik som använder sig av DNA förekommer i dags- läget främst inom brottsbekämpningen. Ett exempel på hur biome- triska uppgifter om DNA kan användas för internationellt samar- bete inom brottsbekämpningen, är det så kallade Prümfördraget, vilket numera är en del av EU:s lagstiftning. Det ger medlemslän- derna en viss rätt att få tillgång till bl.a. nationella DNA-databaser och fingeravtrycksdatabaser i samband med brottsbekämpning. Sve- rige började att arbeta med sökningar enligt Prüm- fördraget gentemot och gentemot . Det innebär att DNA-profiler från alla svenska spår som inte ger en nationell träff mot någon person samt DNA-profiler från alla svenska misstänkta och dömda personer, automatiskt söks mot dessa länders DNA-register.33 Riskerna med att använda sig av uppgifter om DNA har resulterat i att det finns särskild lagstiftning om s.k. genetisk integritet: lagen (2006:351) om genetisk integritet, m.m. Enligt lagens förarbeten ska genetisk integritet ses som en del av den personliga integriteten – den kan sägas vara helheten av en individs eller arts arv, som inte får eller bör kränkas. Det motiveras med att det bl.a. är den genetiska koden som avgör den biologiska människans särart och identitet. Den genetiska integriteten kan kränkas på flera sätt t.ex. genom ma- nipulation, genom att forskning bedrivs utan adekvat informerat samtycke, genom att testresultat läcker ut till arbetsgivare och för- säkringsbolag eller genom kommersialisering.34 Avläsning och mätning av regnbågshinnan används tillsammans med fingeravtrycksavläsning på kanadensiska flygplatser för att kon- trollera att endast behörig personal får tillträde till vissa delar av flyg- platserna.35 Fingeravtrycksavläsning förekommer bl.a. på arbetsplatser. Data- inspektionen granskade fingeravtrycksavläsning som använ- des av ett företag för närvarokontroller och tidrapportering av an- ställda.36 Företaget i fråga hade uppgett att man haft problem med att anställda hade rapporterat in närvaro för varandra, vilket angavs som ett av skälen till att fingeravtrycksavläsning infördes. 33 Polisens webbsida om Prümfördraget, arbete/prumfordraget/ hämtad . 2005/06:64, Genetisk integritet m.m., s. 35. 35 Transport , häm- tad . 36 Datainspektionens beslut i dnr 1765-2009. nen kom fram till att användningen av fingeravtrycksavläsning var tillåten i detta fall, om de anställda samtyckte till det. För att det skulle vara fråga om giltiga samtycken enligt personuppgiftslagen, krävdes enligt Datainspektionen dels att de anställda hade fått infor- mation om behandlingen, dels att de anställda erbjöds en alternativ metod till den biometriska behandlingen och att de inte fick utsättas för någon direkt eller indirekt påtryckning att välja det alternativ som innebar behandling av biometriska uppgifter. I ett tidigare ärende om fingeravtrycksavläsning hos Datainspek- tionen, var frågan om användning av tekniken för att se till att endast elever som hade betalat för skolmaten kunde hämta ut tallrikar från en tallriksautomat.37 Datainspektionen menade att hanteringen av elevernas fingeravtyck var otillåten, eftersom den kunde uppfattas som ett intrång i elevernas personliga integritet, och eftersom kon- trollen i stället kunde genomföras på ett för eleverna mindre integri- tetskänsligt sätt, utan att deras fingrar lästes av. Datainspektionens beslut ändrades dock av Regeringsrätten, som fastslog att använd- ningen av fingeravtrycksavläsning i tallriksautomaten kunde vara tillåten under förutsättning att samtycke från eleverna inhämtades.38 Det bör avslutningsvis nämnas att ett av målen för utvecklingsar- betet inom biometrisk teknik, är att kunna samla in biometriska upp- gifter på avstånd eller i rörelse, utan att den enskilde behöver samar- beta eller agera. Vilken lagstiftning som är tillämplig på användningen av biometrisk teknik, beror på inom vilket område tekniken används. Ofta är personuppgiftslagen tillämplig. I den lagen är det särskilt vissa bestämmelser som är av betydelse i sammanhanget. Dels be- stämmelserna om att uppgifter inte får behandlas för något ändamål som är oförenligt med det ursprungliga ändamålet med insamlingen, dels bestämmelserna om att uppgifterna ska vara riktiga och att inte fler personuppgifter behandlas än som är nödvändigt. 37 Datainspektionens beslut i dnr 1601-2004. 38 RÅ 2008 ref. 83. Vidare är bestämmelserna om den lagliga grunden för behand- lingen av betydelse, t.ex. om det finns ett reellt (dvs. informerat och frivilligt) samtycke, om behandlingen i stället kan grundas på ett av- tal med den registrerade personen eller om behandlingen är tillåten med anledning av ett berättigat intresse hos den personuppgiftsan- svarige (dvs. efter en intresseavvägning mellan den registrerades och den ansvariges olika intressen). Slutligen är också personuppgiftslagens bestämmelser om säker- het av betydelse, dvs. de bestämmelser som kräver att uppgifter skyddas genom lämpliga tekniska och organisatoriska åtgärder. I sin faktabroschyr Personuppgifter i arbetslivet (reviderad ) skriver Datainspektionen att det krävs tungt vägande skäl för att en arbetsgivare ska få behandla biometriska uppgifter om arbets- tagarna med stöd av en intresseavvägning. Rent allmänt vägs åtgärder som betingas av säkerhetsskäl tyngre än åtgärder som betingas av företagsekonomiska effektivitetsskäl. För att arbetsgivaren ska få använda biometri för närvaro- och tidsrapportering krävs enligt Datainspektionen normalt att arbetsta- garna samtycker till behandlingen. För att samtycket ska vara giltigt måste arbetstagaren ha ett verkligt fritt val och senare kunna ta till- baka sitt samtycke utan att det medför några nackdelar för honom eller henne. Det innebär bland annat att arbetstagaren, liksom när det gäller positioneringsteknik, måste erbjudas en alternativ metod, exempelvis att logga in genom användarnamn och lösenord, samt att han eller hon inte får utsättas för någon direkt eller indirekt påtryck- ning att välja det alternativ som innebär behandling av biometriska uppgifter. 21.3.3Kommitténs samlade bedömning av området Användningen av biometriska tekniker innebär flera olika risker för den personliga integriteten. Vissa av de risker som nämns här, be- handlas utförligt i Artikel 29-gruppens yttrande om ut- vecklingen i fråga om biometrisk teknik.39 39 Artikel 29-gruppens yttrande 3/2012 om utvecklingen i fråga om biometrisk teknik, WP 193, antaget . En risk är att biometriska uppgifter behandlas för nya ändamål som är oförenliga med de ändamål för vilka uppgifterna ursprungli- gen samlades in. Exempelvis kan biometriska uppgifter om gångstil och ansikte användas inte bara för att identifiera enskilda, utan också för att hitta oönskade beteenden eller särskilda behov hos enskilda. En annan risk är att fler biometriska uppgifter hanteras än vad som behövs för ändamålet, t.ex. att hela fingeravtryck samlas in och lagras när det i själva verket hade varit tillräckligt att bara hantera vissa mätpunkter från fingeravtrycket. Detsamma kan inträffa när uppgifter om DNA inte bara möjliggör identifiering, utan även av- slöjar något om den registrerades hälsotillstånd, sjukdomsbenägen- het eller etniska ursprung. Ytterligare en risk är att biometriska uppgifter inte skyddas till- räckligt och som en följd av detta blir tillgängliga för personer som kan använda uppgifterna för exempelvis identitetsstöld. Det finns också en risk för att biometriska uppgifter kan använ- das utan att den enskilde känner till det eller lämnar sitt samtycke, t.ex. vid publicering av bilder på nätet eller i sociala medier där det finns särskild programvara för ansiktsigenkänning. Det finns slutligen också en risk för överutnyttjande av biometri när tekniken blir billigare, enklare och därmed mer lättillgänglig. Alla sammanhang kräver inte den höga precision som biometri kan er- bjuda. En ökad användning av olika biometriska tekniker i samhället, riskerar att göra det mycket svårt att någonstans i det offentliga rum- met kunna vara helt anonym, när kameror och annan utrustning i omvärlden kan läsa av och identifiera den enskildes kropp eller per- sonliga beteende och koppla ihop de biometriska uppgifterna med uppgifter från andra datakällor. Sammantaget anser kommittén att användningen av tekniker som involverar många och detaljerade biometriska uppgifter, innebär en påtaglig risk för den personliga integriteten. måste beaktas att biometriska tekniker kan medföra stora fördelar t.ex. genom att bidra till att höja säkerhetsnivån vid åtkomst- eller tillträdeskontroller och genom att göra identifierings- och autentiseringsförfaranden säkrare genom kombination med an- dra metoder, men också enkla, snabba och bekväma för den enskilde. Kommitténs bedömning: Det finns starka indikationer på väsent liga brister i informationssäkerheten hos offentliga organisationer, t.ex. i organisationer med mycket omfattande personuppgifts behandlingar som i kommunerna. I kapitel 11 om e-förvaltning gör kommittén bedömningen att dessa brister måste sägas med- föra en allvarlig risk för den personliga integriteten. Det finns en ökad medvetenhet om att de landvinningar som blivit resultatet av den digitala revolutionen också lett till nya problem när det gäller den personliga integriteten. Om den fulla potentialen av digitaliseringen ska kunna utnyttjas inom bland annat handel, vård och omsorg och den offentliga förvaltningens tjänster måste skyddet av den personliga integriteten kunna hanteras på ett sådant sätt att den enskilde känner tillit till och är villig att använda de tjänster som erbjuds. Det skydd av personuppgifter som bidrar till den nödvän- diga tilliten bygger på ett systematiskt informationssäkerhetsarbete. Den enskilde behöver själv vidta åtgärder för att minska risken för kränkning av den egna integriteten, men ett stort ansvar för skyddet av personuppgifter vilar också på de offentliga och privata organisa- tioner som hanterar uppgifterna. Skydd för den personliga integrite- ten är nära sammanlänkad med informationssäkerhet. Nästan allt vi gör kretsar kring information; att lämna, att ta emot, att bearbeta och förädla. Därför måste information skyddas så att den alltid finns när den behövs (tillgänglighet), att den är korrekt och inte har manipulerats eller blivit förstörd (riktighet) och att en- dast de som har behörighet har åtkomst (konfidentialitet). Dessa krav kompletteras ibland även med en eller flera andra egenskaper, såsom spårbarhet, oavvislighet, ansvarighet, autenticitet och aukto- risation.1 I den s.k. NISU-utredningen2 definieras informations säkerhet på följande sätt: Informationssäkerhet innebär en strävan att skydda information så att den alltid finns när den behövs (tillgänglighet), att det går att lita på att den är korrekt och inte manipulerad eller förstörd (riktighet), att endast behöriga personer får ta del av den (konfidentialitet) och att det går att följa hur och när informationen har hanterats och kommunicerats (spårbarhet). Informa- tionssäkerhet omfattar såväl administrativa som tekniska åtgärder för att skydda information. Informationssäkerhet enligt den modell som tillämpas bland annat i statliga myndigheter utgår från 27000-serien inom () and the International Elec- trotechnical Commission (IEC) standardsystem. Det innebär att en organisations ledning ska inrätta ett ledningssystem som säkerställer att organisationens information hanteras på ett korrekt och lagenligt sätt. Systematiken utgår från ledningens styrning och ställer krav på att en verksamhet ska vidta åtgärder som står i proportion till de ris- ker som den är utsatt för. Detta brukar uttryckas som att verksamhe- ten ska ha ett riskbaserat förhållningssätt. För att kunna hantera riskerna krävs att verksamheten genomför en riskbedömning som är ändamålsenlig och verksamhetsanpassad. Verksamheten ska identifiera, förstå och bedöma riskerna för hän- delser som innebär till exempel förlust eller röjande av skyddsvärd information. Terminologi för informationssäkerhet, SIS-TR 50:2015. 2 NISU 2014 betänkande Informations- och cybersäkerhet i , SOU 2015:23. Det innebär i sin tur att en rad aktiviteter ska planeras, genom- föras, utvärderas och kontinuerligt förbättras inom informationssä- kerhetsområdet. Grundläggande är att analysera verksamhetens be- hov av skydd för olika informationstillgångar med utgångspunkt i de risker som omger verksamhetens informationshantering. Detta för- utsätter att organisationen har god kontroll över vilka informations- tillgångar som man har ansvar för och är beroende av. Ledningens styrning ska beskrivas i ett ledningssystem för infor- mationssäkerhet (), som ska dokumenteras på ett för organisa- tionen lämpligt sätt. En central punkt i ett sådant ledningssystem är att klarlägga ansvar och roller för informationssäkerhet. En beskriv- ning av hur riskanalys, informationsklassning, hur incident- och kontinuitetshantering ska genomföras, liksom hur säkerhetsaspekter ska ingå vid utveckling och upphandling av it-lösningar, är andra vik- tiga delar i ett ledningssystem för informationssäkerhet. I 31 § personuppgiftslagen (1998:204) ställs krav på informationssä- kerhetsåtgärder. Där framgår att den personuppgiftsansvariga ska vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas. Åtgärderna ska åstadkomma en säkerhetsnivå som är lämplig med beaktande av a)de tekniska möjligheter som finns, b)vad det skulle kosta att genomföra åtgärderna, c)de särskilda risker som finns med behandlingen av personupp gifterna, och d)hur pass känsliga de behandlade personuppgifterna är. Det är denna bestämmelse som ger Datainspektionen rätten att genom tillsyn ta ställning till den tekniska och organisatoriska säker- heten i samband med personuppgiftsbehandling.