sou · H4B341 · 2016-06-07 00:00:00 — För att göra det möjligt att jämföra de risker för den personliga in tegriteten som är förknippade med olika företeelser i samhället har kommittén valt att beskriva riskerna utifrån tre nivåer; viss risk, på- taglig risk eller allvarlig risk för den personliga integriteten. En risk- bedömning utgår dels från sannolikheten för att ett intrång inträffar, dels från effekterna eller konsekvenserna av intrånget. Mer om hur vi har arbetat med riskbedömningen redovisas i kapitel 2. Företeelser som är förknippade med viss risk för den personliga integriteten När det gäller företeelser som är förknippade med den lägsta graden av risk för den personliga integriteten handlar det ibland om före teelser som sannolikt inte så många av oss blir föremål för. Det kan också vara så att det inte är så många uppgifter som behandlas eller att det inte är så känsliga eller närgångna uppgifter. Det kan också vara så att det finns en bra och tydlig lagstiftning och att det inte har uppmärksammats särskilt stora tillämpningsproblem. Men dessa företeelser är ändå förknippade med risker för den personliga in tegriteten. De företeelser som kommittén bedömt som förknippade med vissa risker för den personliga integriteten är: •Hanteringen av personuppgifter inom elevhälsan (skolan) •Skolfederation (skolan) •Arbetsgivares granskningar av vad arbetstagare skriver på sociala medier (arbetsliv) •Kompetensdatabaser och bakgrundskontroller inom arbetslivet •Närvårdgivaretillhandahållerbådehälso-ochsjukvårdochpersonal administrativa tjänster (arbetsliv) •Statlig statistikverksamhet (forskning och statistik) •Myndigheters användning av sociala medier (e-förvaltning) •Personuppgiftsbehandling i domstolarnas verksamhetsregister, i samband med ljud- och bildupptagningar och i samband med in- formationsutbyte med andra myndigheter •Tvångsmedel med stöd av 27 kap. (brottsbekämp ning)1 •Polisens spaningsverksamhet på internet och utåtriktade verk- samhet i sociala medier (brottsbekämpning) •Polisens hantering av personuppgifter som överförs av flygbolag och polisens deltagande i internationellt samarbete (brottsbekämp ning) •Behandling av personuppgifter i den militära underrättelsetjänstens it-system2 Företeelser som är förknippade med påtaglig risk för den personliga integriteten När det gäller företeelser som är förknippade med den högre graden av risk för den personliga integriteten handlar det ofta om företeelser som innefattar behandling av fler uppgifter om enskilda och om be- handlingar som omfattar många av oss. De uppgifter som behandlas kan vara känsliga eller närgångna. Sådana företeelser är ofta regle- rade, men har ibland brister i regelverket eller i tillämpningen av dessa. Kommittén har bedömt riskerna efter en sammanvägning av dessa faktorer. •Kameraövervakning (i allmänhet och särskilt beträffande över- vakning inomhus i skolan) •Informationsdelning inom och mellan myndigheter (e-förvalt- ning) 1 För de enskilda personer som blir föremål för åtgärden är intrånget i den personliga integri- teten tveklöst mycket närgånget. Men ur ett riskperspektiv ska även sannolikheten för att någon blir föremål för åtgärden beaktas, liksom andra relevanta faktorer som ett fungerande regelverk och risken för oönskad spridning m.m. Kommittén bedömer därför att åtgärden ut- gör en viss risk för den personliga integriteten, det vill säga den lägre riskgraden. 2 Se fotnot 1. •Informationsutbyte med enskilda (e-förvaltning) •Vidareanvändning av offentlig information enligt PSI-lagstift- ningen (e-förvaltning) •Kreditprövning och rådgivning samt rapporteringskrav (bank- och kreditmarknad) •Domstolarnas utlämnande av uppgifter på medium för automati- serad behandling •Spaningsmetodersomenbartreglerasavpolislagen(brottsbekämp ning) •Polisens behandling av personuppgifter i register (brottsbekämp- ning) •Signalspaning (försvarsunderrättelseverksamhet och militär säker hetstjänst)3 •Tekniker som involverar många och detaljerade biometriska upp- gifter (biometri) Företeelser som är förknippade med allvarlig risk för den personliga integriteten När det gäller företeelser som är förknippade med den högsta graden av risk för den personliga integriteten handlar det ofta om företeelser som innefattar behandling av många uppgifter om enskilda och om behandlingar som omfattar stora delar av befolkningen. Det handlar också ofta om behandling av mycket känsliga eller närgångna person uppgifter. Sådana företeelser kan sakna reglering eller ha stora brister i regelverket eller i tillämpningen av dessa. Kommittén har bedömt riskerna efter en sammanvägning av dessa faktorer. 3 För de enskilda personer som faktiskt blir föremål för granskning är intrånget i den person- liga integriteten tveklöst mycket närgånget. Men ur ett riskperspektiv ska även sannolikheten för att någon blir föremål för åtgärden beaktas, liksom andra relevanta faktorer som ett fun gerande regelverk och risken för oönskad spridning m.m. Kommittén bedömer därför att åt- gärden utgör en påtaglig risk för den personliga integriteten, det vill säga den något högre riskgraden. •Digitala lärplattformar och digitala läromedel (skolan) •Vissa sociala medier (i allmänhet och särskilt beträffande använd- ningen av sociala medier i skolans undervisning) •Arbetsgivares positionering och annan övervakning och kontroll av arbetstagarnas aktiviteter och beteenden på arbetet •Hälso- och sjukvård och välfärdstjänster inom •Myndigheter med kunddata i molnet (e-förvaltning) •Medborgarprofilering och kontroller på internet (e-förvaltning) •Brister i myndigheters informationssäkerhet (e-förvaltning) •Användningen av kreditkort och andra digitala transaktioner (bank- och kreditmarknad) •Lagring och vidarebearbetning av uppgifter som har samlats in med hjälp av kamerövervakning Vi har som enskilda personer ofta små möjligheter att påverka hur uppgifter om oss hanteras. Därför är det nödvändigt att de som han- terar våra personuppgifter tar sitt ansvar för säkerheten. Kommittén anser att det finns starka indikationer på allvarliga brister i informa- tionssäkerheten i offentliga verksamheter. När det gäller den privata sektorn har kommittén inte tillräckligt underlag för att göra en gene- rell bedömning. I kapitel 22 skriver vi mer om detta viktiga ämne. Övervägande om behovet av ett integritetsskyddsråd Vi bedömer att det saknas behov av ett nytt integritetsskyddsorgan som, på det sätt som ansåg kunde över- vägas, skulle ha till huvuduppgift att verka för en säkrare avvägning av motstående intressen i lagstiftningen. Förslag om ökad information till regering och riksdag Kommittén lämnar förslag om att Datainspektionens uppdrag att följa och beskriva utvecklingen på it-området när det gäller frågor som rör personlig integritet och ny teknik, ska utvidgas till att även omfatta de legala förutsättningarna för integritetsskyddet och att myndigheten ska lämna en redovisning om utvecklingen inom området till regeringen (kap. 24). Vi föreslår även att regeringen i en årlig skrivelse till ska informera om utvecklingen och det aktuella tillståndet när det gäller frågor som rör personlig integritet, informationsteknik och de legala förutsättningarna för integritetsskyddet. med familjen elektroniska spår I del VI finns en vardaglig beskrivning av några integritetsrisker som en vanlig familj kan drabbas av . Syftet är att på ett lättillgängligt sätt redovisa hur modern teknik påverkar den person- liga integriteten. I detta betänkande redogör kommittén för behandlingen av person- uppgifter inom ett antal områden som en enskild person kommer i kontakt med i olika livsskeden och gör en riskbedömning av dessa. Vi beskriver därtill några vanliga generella företeelser, som har in verkan på den personliga integriteten. Vi drar också vissa slutsatser beträffande den samlade effekten för en enskild person av all den in- samling och lagring av personuppgifter, kartläggning och övervakning som han eller hon deltar i eller blir föremål för. Den digitala utvecklingen innebär en genomgripande förändring av samhället och enskildas livsvillkor. Personuppgifter i digital form genereras och används i allt högre grad inom alla samhällsområden. Antalet aktörer ökar, användningsområdena ökar, lagringstiderna ökar, spridningen och utbytet mellan aktörerna ökar, vidareanvänd- ningen hos respektive aktör ökar liksom spridningen över nations- gränserna. Vi ser också att vissa stora aktörer, som en följd av utveck- lingen i stort och deras egna affärsstrategier, får tillgång till en allt större mängd personuppgifter och därmed har möjlighet att teckna en alltmer komplett bild av en enskild person. Ur den enskildes per- spektiv innebär utvecklingen att kunskapen om hur uppgifterna han- teras, liksom möjligheten att påverka detta, krymper i för- hållande till den ökande hanteringen av personuppgifter i samhället. I motsvarande mån begränsas även den enskildes möjlighet att genom ett verkligt fritt val bestämma hur uppgifter om honom eller henne ska hanteras. generella slutsats är där- för att den enskilde – parallellt med den digitala utvecklingen – ut- sätts för stegvisa försämringar av den personliga integriteten. Självfallet innehåller den digitala utvecklingen en enorm nytto potential, men i det här delbetänkandet har vi fokuserat på faktiska och potentiella risker. förordning om ändring av förordningen (2007:975) med instruktion för Datainspektionen Härigenom föreskrivs i fråga om förordningen (2007:975) med instruktion för Datainspektionen att 1 § ska ha följande lydelse. Datainspektionens uppgift är att verka för att människor skyddas mot att deras personliga integritet kränks genom behandling av personuppgifter och för att god sed iakttas i kreditupplysnings- och inkassoverksamhet. Myndigheten ska särskilt inrikta sin verksamhet på att informera om gällande regler samt ge råd och hjälp åt personuppgiftsombud enligt personuppgiftslagen (1998:204). Myndigheten ska följa och beskriva utvecklingen på IT- området när det gäller frågor som rör integritet och ny teknik. Myndigheten ska följa, analysera och beskriva utveck- lingen på IT-området när det gäller frågor som rör integritet, ny teknik och de legala förutsätt- ningarna för integritetsskyddet samt till regeringen lämna en redovisning om utvecklingen inom området. Denna förordning träder i kraft . 2Integritetskommitténs uppdrag och arbete Regeringen beslutade att tillsätta en parlamentarisk sammansatt kommitté med uppdrag att utifrån ett individperspektiv kartlägga och analysera sådana faktiska och potentiella risker för in- trång i den personliga integriteten som kan uppkomma i samband med användning av informationsteknik. Inom ramen för detta arbete ska kommittén även följa upp effekterna i lagstiftningsarbetet av för- stärkningen av grundlagsskyddet för den personliga integriteten som genomfördes . Kommittén ska också följa upp betänkandet Skyddet för den personliga integriteten2 när det gäller behovet av att inrätta ett integritetsskyddsråd samt föreslå nödvändiga författnings ändringar, kopplade till denna delfråga. Det uttalas särskilt i direk tivet att det i uppdraget inte ingår att föreslå ändringar i grundlag. Uppdraget ska enligt det ursprungliga direktivet redovisas . begärde kommittén en senareläggning av slutdatum till . Regeringen be slutade att förlänga utredningstiden enligt begäran samt att kommittén ska avge ett delbetänkande , vilket ska omfatta dels kartläggningen och analysen av riskerna för integritetsintrång, dels behovet av att inrätta ett integritets- skyddsråd. 1 Dir 2014:65. 2 betänkande Skyddet för den personliga integriteten, SOU 2008:3. 3 Dir 2016:12. Uppdraget avser personuppgiftsbehandling inom i princip alla sam- hällsområden. Med tanke på vidden i uppdraget var det viktigt att inledningsvis lägga fast en struktur och ett arbetssätt som både ger möjlighet till en rimlig avgränsning av uppdraget och till prioritering inom denna avgränsning. Kommittén har avstått från att fördjupa sig i områden, som andra utredningar ägnar sig åt men har däremot fort- löpande följt dessas arbete. Vi har prioriterat områden, som varit bristfälligt kartlagda, särskilt känsliga eller riskfyllda ur ett integritetsperspektiv. Vi har också inriktat oss mot ny teknik och nya tillämpningar av gammal teknik, som vi bedömer kan få en stor påverkan. En avgränsning för kartläggningen har varit att bedöma integritetsriskerna för personer som vistas i , vilket i och för sig inte utesluter att person uppgiftsbehandling utanför landets gränser till någon del omfattas av uppdraget. Kommittén har träffats vid tolv tillfällen och sekretariatet har träffat expertgruppen vid nio tillfällen. Därutöver har sekretariatet haft samråd med utredningarna Integritet och straffskydd (Ju 2014:74), Tillsynen över den personliga integriteten (Ju 2015:02), (Ju 2014:07) samt haft kontakt med Utredningen om självkörande fordon på väg (N 2015:07). Det i direktivet föreskrivna samrådet med Datainspektionen och har fullgjorts genom att dessa två myndig heter varit representerade i utredningens expertgrupp. Dessutom har sekretariatet haft kontakt med bl.a. , Polisen, För- säkringskassan, Inspektionen för vård och omsorg, , , samt Datatilsynet i . För övrigt har sekretariatet genomfört ett antal expertseminarier och workshops för att fånga upp information och synpunkter från olika delar av samhället. Företrädare från hälso- och sjukvård, konsumentområdet, bank, försäkring, arbetsliv, sociala media och e-förvaltning har samlats av denna anledning. Kommittén har också genomfört en hearing med företrädare från skilda samhällsområden ochprofessionerförattkvalitetssäkrainnehålletikapitel3,Kommitténs sammantagna bedömning. På uppdrag av kommittén har genomfört en systematisk kunskapsöversikt, bestående av dels en bibliometrisk analys, dels en systematisk litteraturstudie beträffande forsknings- området digitalisering och personlig integritet. Kommittén har också uppdragit till konsultbyrån Kirei att ta fram en rapport, som ger exempel på tekniska, administrativa och organi- satoriska åtgärder, som kan vidtas för att främja skyddet av den per- sonliga integriteten. Densystematiskakunskapsöversiktenochrapportenomintegritets främjande åtgärder biläggs detta delbetänkande (bilaga 3 och 4). Kommitténs ordförande och sekretariatet har deltagit i olika kon- ferenser och seminarier med anknytning till utredningsuppdraget. I likhet med ett antal tidigare utredningar om den personliga integri- teten, som verkat , har inte funnit det meningsfullt att försöka finna en precis definition av begreppet personlig integritet. Skälet till att begreppet inte låter sig fångas i en tydlig sentens är bl.a. att rätten till en privat sfär inte är absolut. Den är relaterad till en rad olika omständigheter, som dess- utom kan variera . Kommittén ansluter sig därför till samma slutsats som uttrycktes i departementspromemorian Skyddet för en- skilda personers privatliv – En studie: Det är svårt att ge ett sådant begrepp en tydligare avgränsning än att det innefattar vad som normalt framstår som angeläget att värna om för att den enskilde skall vara tillförsäkrad en rimlig, fredad, privat zon.4 En utgångspunkt för kartläggningen har därför varit den enskildes rätt till privata tankar och förtrolig kommunikation med andra, samt den enskildes möjligheter att själv avgöra vem som i olika samman- hang ska få ta del av uppgifter som rör denne. I den rätten ligger även ett skydd mot registrering, spridning eller annan behandling av fel- aktiga, kränkande eller påhittade uppgifter. 4 Ds 1994:51. Utifrån uppdraget att kartlägga och analysera faktiska och poten- tiella risker för intrång i den personliga integriteten i samband med användning av informationsteknik har kommittén fokuserat på digi- tal insamling, användning och spridning av uppgifter – inklusive bil- der – om enskilda och deras personliga förhållanden. Kommittén ska i sin kartläggning och analys utgå från ett individ- perspektiv. Vi redogör därför för behandlingen av personuppgifter inom ett antal områden som en enskild person kommer i kontakt med i olika livsskeden och gör en riskbedömning av dessa. Vi be skriver därtill några vanliga generella företeelser, som har inverkan på den personliga integriteten. Vi drar också vissa slutsatser beträffande den samlade effekten för en enskild person av all den insamling och lagring av personuppgifter, kartläggning och övervakning som han eller hon deltar i eller blir föremål för. 2.4Kommitténs bedömning av riskerna för den personliga integriteten En traditionell riskbedömning syftar till att identifiera risker och till att därefter så långt som möjligt förhindra att riskerna leder till oönskade konsekvenser. Själva riskbedömningen innehåller dels en bedömning av sannolikheten för att en viss händelse ska inträffa, dels en bedömning av konsekvenserna av denna händelse. I syfte att ge en mer nyanserad och förhoppningsvis användbar beskrivning av faktiska och potentiella risker för intrång i den person liga integriteten har kommittén valt att inte bara beskriva riskerna utan att också gradera riskerna i tre nivåer. Utgångspunkterna för riskbedömningen har dels varit sannolikheten för en enskild person att bli föremål för ett visst intrång, dels effekterna eller konsekven- serna av intrånget. När det gäller att bedöma riskerna, utgår kommittén från ett antal faktorer: •Vilken inverkan har intrånget på den enskilde? Denna inverkan är bl.a. beroende av graden av känslighet, både avseende uppgifterna som sådana men också intrångets karaktär. •Sammanhanget och intrångets omfattning, dvs. hur många drab- bas, är det fråga om stora informationsmängder, är åtgärden riktad mot en viss krets eller urskillningslös? •Hur stor är spridningen av de uppgifter, som intrånget innebär? Här ska även risken för oönskad spridning bedömas. •Finns ett regelverk som ska minimera riskerna för intrång? Fungerar regelverket som avsett? •Den enskildes egen möjlighet att påverka hanteringen av person- uppgifter har stor betydelse. När det gäller denna fråga är det för- utom frågan om samtycke bl.a. av intresse om den enskilde har rätt till insyn i behandlingen av personuppgifter och möjligheter till rättelse vid felaktig behandling. •Risken för att en viss behandling negativt påverkar allmänhetens förtroende i de fall den personuppgiftsansvarige till exempel är en statlig myndighet. De olika risknivåerna benämns som viss risk, påtaglig risk och all- varlig risk. Nyttan av den bedömda företeelsen vägs inte in i själva risk bedömningen. Däremot kommer nyttoaspekten att vara av central betydelse när kommittén i sitt slutbetänkande ska överväga behovet av åtgärder för att stärka skyddet av den personliga integriteten. Följande två exempel kan illustrera vårt arbetssätt: •Behandling av personuppgifter i samband med kreditprövning: Sannolikheten för att stora delar av befolkningen berörs är täm ligen stor.5 Det rör sig om stora informationsmängder, det finns en marknad som omsätter uppgifterna, den enskilde har inte full insyn, lagskyddet fungerar inte fullt ut. Effekterna av intrånget är därmed tämligen stora. Slutsatsen blir påtaglig risk för den per- sonliga integriteten. 5 Ur ett individperspektiv innebär det att sannolikheten är stor för den enskilde att beröras av företeelsen. Sannolikheten är låg för att företeelsen drabbar många. Det är fråga om ett mycket starkt intrång, men det är låg spridning av uppgifterna utanför brottsbekämpningen. Området är hårt regle- rat. Beslut av domstol förutsätts. Det har inte framkommit upp- gifter om att regelverket missbrukas. Här blir slutsatsen viss risk för den personliga integriteten. Man skulle naturligtvis med viss rätt kunna argumentera för att in- trång av det här slaget alltid ska betraktas som allvarliga. Men i en riskbedömning gäller det att inte bara gradera själva intrånget i den aktuella företeelsen, utan också hur skyddet fungerar med hänsyn till regelverk, teknisk och administrativ säkerhet etc. Riskbedömningen ger kommittén ett bättre och mer nyanserat underlag inför det fortsatta arbetet, då kommittén ska överväga be- hovet av åtgärder. 2.5Motsvarande kartläggningar i andra länder Även i andra länder har det gjorts analyser av situationen för den personliga integriteten. Några med jämförbara länder där sådana analyser har gjorts, är , , och . I tillsatte regeringen den s.k. Personvernkommisjonen. Kommissionen skulle bl.a. ge en helhetsbild över vilka utmaningar som integritetsskyddet stod inför och lämna vissa förslag till åtgärder. I sitt slutbetänkande konstaterar kommissionen bl.a. att de moderna systemen för övervakning gör att övervakningen blir så omfattande att den i enskilda fall är av totalitär karaktär.6 Personvernkommisjonens förslag behandlades i en skrivelse från till Stortinget.7 6 Personvernkommisjonens slutbetänkande Individ og integritet – Personvern i det digitale samfunnet, NOU 2009:1. 7 Personvern – utsikter og utfordringar, Melding til 11 (2012–2013). Med anledning av den s.k. Se och Hör-affären i , tillsattes två parlamentariska arbetsgrupper i , varav den ena behandlade frågor om datasäkerhet. Arbetsgruppen skulle granska skyddet för integritetskänsliga personuppgifter i samhället i stort. Arbetsgruppens rapport innehåller inte någon kartläggning av integritetsrisker, men ger däremot en rad förslag till åtgärder för att förbättra situationen för den personliga integriteten. Förslagen rör principer for dataskydd, tillsynen över dataskyddslagstiftningen, tillsynsmyndigheternas sanktionsmöjligheter, ett samlat ansvar för dataskyddsfrågor och tekniska krav på skyddet av integritetskänsliga uppgifter.8 Den tyska Förbundsdagen, Bundestag, tillsatte en undersök på temat ”internet och det digitala samhället”. En projektgrupp inom kommissionen granskade särskilt frågor om bl.a. dataskydd. Dessa frågor redovisades i delbetänkandet Daten- , , und digitale Gesellschaft.9 I delbetänkandet ges en beskrivning av olika internetrelaterade företeelser samt lämnas en rad olika förslag. Bl.a. sägs att även om dataskyddet förändras i takt med samhället, gäller fortfarande den enskildes rätt till självbestämmande över sina uppgifter. Den rätten utgör enligt kommissionen en grundläggande beståndsdel i ett fritt och demokratiskt samhälle. Den brittiska dataskyddsmyndigheten, Information Commissioner’s Office, publicerade A Report on the Surveillance Society.10 Rapporten innehåller bl.a. beskrivningar av en rad vardagliga situa 8 Beretning om datasikkerhed, Beretning afgivet af Retsudvalget den 15. januar 2015 Rets udvalget 2014–15, REU Alm.del Bilag 149. 9 Deutscher Bundestag, Drucksache 17/8999, 17. 10 A Report on the , For the Information Commissioner by the , . Rapporten var riktad till det brittiska parlamentet. tioner som en tänkt familj kan hamna i och som innebär någon form av kartläggning eller övervakning. I en sammanfattning av rapporten sägs bl.a. att övervakningssamhället (eng. surveillance society) var ett faktum , eftersom vardagen i världens rika länder dygnet runt präglas av kartläggning och övervakning. Även fördelarna med detta måste emellertid beaktas, konstateras det i rapporten. Information Commissioner’s Office gav ut en uppdatering av rapport.11 Kommittén ska enligt tilläggsdirektivet redovisa kartläggningen och analysen av riskerna för integritetsintrång och ställningstagandet till behovet av att inrätta ett integritetsskyddsråd i ett delbetänkande. Riskerna för integritetsintrång ska enligt vårt uppdrag redovisas ut ifrån ett individperspektiv. Vi har valt att beskriva riskerna för den enskilde individens integritet i olika samhällssektorer och även i sam- band med olika företeelser som är särskilt intressanta ur integritets synpunkt. Betänkandet är uppdelat i åtta delar (I–VIII). Del I Inledning omfattar Sammanfattning, Författningsförslag (kapitel 1) och Kommitténs uppdrag och arbete (kapitel 2). Del II Kommitténs sammantagna bedömning m.m. omfattar kapi- tel 3–6.