sou · H4B341 · 2016-06-07 00:00:00 — Även om ett visst företag inte har tekniska eller administrativa möjligheter att göra detta i egen regi finns det företag som säljer tjänster som ger tillgång till beräkningskapacitet, data lagring och analysfunktioner över internet, s.k. molntjänster. De nya möjligheterna innebär nya utmaningar och risker bland annat för intrång i den personliga integriteten. Enskilda använder i stor utsträckning sociala medier, t.ex. Facebook, Instagram och Twitter, där de offentliggör potentiellt integritetskänsligt material som kan få stor och oförutsedd sprid- ning. Det kan vara svårt för enskilda att bilda sig en uppfattning om omfattningen av behandlingen av deras personliga uppgifter efter så- dan publicering och spridning. Detta väcker frågor bl.a. om vem som har rätt till uppgifterna när de väl har publicerats och hur enskilda bör gå till väga om de önskar få dem borttagna. (Ju 2004:05) redovisade i betänkan det Skyddet för den personliga integriteten – Kartläggning och analys (SOU 2007:22) en omfattande kartläggning och analys av sådan lag- stiftning som berör den personliga integriteten. Uppdraget utfördes utifrån ett utpräglat lagstiftningsperspektiv. Vidare omfattade kart läggningen och analysen endast sådan verksamhet som bedrivs enbart av det allmänna eller av både det allmänna och enskilda, t.ex. skola, sjukvård, och forskning, och inte sådan verksamhet som i första hand endast bedrivs av enskilda aktörer. Någon mer ingående under sökning av vad senare års teknikutveckling och teknikanvändning som helhet inneburit i fråga om riskerna för integritetsintrång för enskilda individer har inte gjorts. Mot bakgrund av samhälls- och teknikutvecklingen finns nu behov av att genomföra en kartläggning och analys av sådana faktiska eller potentiella risker för intrång i den personliga integriteten som kan finnas vid användning av informationsteknik i både privat och offentlig verksamhet. En sådan kartläggning bör göras med utgångspunkt i ett tydligt individperspektiv. I detta ligger att alla slags åtgärder som kan påverka enskilda individer från integritetssynpunkt bör kartläggas. Att kartläggningen ska göras utifrån ett utpräglat individperspektiv innebär också att kommittén bör analysera riskerna för intrång i den personliga integriteten på ett samlat sätt ur den enskildes synvinkel och att bedömningarna inte begränsas till att enbart avse tydligt avgränsade verksamheter eller situationer. I det sammanhanget bör särskilt beaktas vilka möjlig heter privatpersoner har att själva bestämma över hur information om dem används och vidareförmedlas för användning i annan verk- samhet än den ursprungligen är avsedd för. Inom ramen för kartläggningen bör en uppföljning göras av hur den reform av grundlagsskyddet för den personliga integriteten, som trädde i kraft , har fallit ut. Uppföljningen bör innefatta en kartläggning och analys av de integritetsaspekter som aktuali- serats i lagstiftningsarbetet sedan den nya grundlagsbestämmelsen trädde i kraft. Om kommittén med anledning av vad den kommer fram till i sin kartläggning och analys bedömer att det finns behov av att kartlägga och analysera även sådan lagstiftning som tillkommit kan kommittén förorda tilläggsdirektiv. I analysen av de potentiella riskerna för intrång i den personliga integriteten vid användningen av modern informationsteknik bör hänsyn även tas till de fördelar som användningen av sådan teknik kan ha i både offentlig och privat verksamhet. Kommittén ska utifrån ett individperspektiv kartlägga och analy- sera sådana faktiska och potentiella risker för intrång i den person liga integriteten som kan finnas i samband med användning av in formationsteknik. Kommittén ska vid kartläggningen och analysen beakta risker för intrång genom åtgärder såväl från andra individer och företag som från det allmännas sida. I uppdraget ingår att belysa eventuella skillnader ur ett könsperspektiv. Inom ramen för kart- läggningen ska kommittén även följa upp och analysera effekterna i lagstiftningsarbetet av den förstärkning av grundlagsskyddet för den personliga integriteten som skedde genom lagstiftning som trädde i kraft . Uppdraget att överväga inrättandet av ett integritetsskyddsråd Det finns en rad myndigheter som har till uppgift att tillvarata enskildas intresse av skydd för den personliga integriteten. Datainspektionen har det övergripande ansvaret att värna skyddet för enskilda vid behandling av personuppgifter. Inspektionen har också ett övergripande tillsynsansvar när det gäller kameraövervakning enligt kameraövervakningslagen (2013:460). Även länsstyrelserna har ansvar för tillsyn över kameraövervakning, men det ansvaret be- gränsar sig till övervakning på platser dit allmänheten har tillträde. har i uppdrag att utöva tillsyn vid behandling av uppgifter vid elektronisk kommunikation. Tillsyn över behand- lingen av personuppgifter utövas på vissa särskilda områden även av andra myndigheter. Det finns inte något enskilt statligt organ som har ett bredare och mera övergripande uppdrag att följa utvecklingen på integritetsskyddsområdet. Regeringen anser att det, i linje med vad tidigare framfört (SOU 2008:3 s. 335), nu finns anled- ning att överväga och ta ställning till värdet och behovet av att ge en myndighet ett brett och samlat uppdrag att följa utvecklingen på om- rådet för den personliga integriteten. Om ett sådant behov bedöms finnas ska kommittén överväga om det är lämpligast att för detta ändamål inrätta ett särskilt integritetsskyddsråd eller om ett sådant uppdrag i stället bör anförtros en befintlig myndighet. Kommittén ska föreslå en lösning som är så kostnadseffektiv som möjligt och där överlappande ansvar och dubbelarbete i möjligaste mån undviks. Vid sina överväganden ska kommittén beakta samhälls- och teknikutvecklingen i stort, särskilt de faktiska och potentiella risker för intrång i den personliga integriteten som kommitténs uppdrag omfattar. Kommittén ska, med beaktande av samhälls- och teknikutvecklingen i stort och mot bakgrund av slutsatserna av sitt kartläggnings- och analysuppdrag följa upp betänkandet Skyddet för den personliga integriteten (SOU 2008:3) när det gäller behovet av att inrätta ett integritetsskyddsråd och särskilt överväga om de uppgifter som ett sådant råd i så fall bör ges lämpligen kan fullgöras av en befintlig myndighet, samt föreslå nödvändiga författningsändringar. Uppdragets genomförande och konsekvensbeskrivningar Kommittén ska följa samhällsdebatten på integritetsskyddsområdet och bedriva sitt arbete utåtriktat och inhämta synpunkter från berörda intressenter i samhället, t.ex. genom att anordna hearings. Kommit- tén ska samråda med E-delegationen (Fi 2009:01), Datainspektionen, och andra berörda myndigheter samt med arbetsmarknadens parter och med andra berörda organisationer. I sitt arbete ska kommittén följa utvecklingen av förhandlingarna inom EU med reformeringen av den unionsrättsliga dataskyddsregleringen. Kommittén ska även följa arbetet inom med de för- slag som Utredningen om registerutdrag i arbetslivet (A 20013:04) senare kommer att redovisa för regeringen (dir. 2014:34). pågår ett arbete med att se över den straffrättsliga lagstiftning som syftar till att skydda enskilda mot hot och andra fridskränkningar bl.a. på internet. Kommittén ska följa hur detta arbete fortlöper. Om regeringen beslutar att ge en utredning i uppdrag att utreda frågor med anknytning till kommitténs uppdrag att överväga frågor som rör den personliga integriteten, ska kommittén samråda med den utredningen. I uppdraget ingår inte att föreslå ändringar i grundlag. Kommittén ska i enlighet med vad som föreskrivs i kommitté förordningen (1998:1474) redovisa konsekvenserna av sina förslag och vid behov föreslå hur dessa ska finansieras. Uppdraget ska redovisas slutligt . Kom- mittén får, om den bedömer att det är lämpligt, lämna ett eller flera delbetänkanden. Tilläggsdirektiv till (Ju 2014:09) Förlängd tid för och ändring av uppdraget Regeringen beslutade kommittédirektiv om den per- sonliga integriteten (dir. 2014:65). I uppdraget ingår bl.a. att utifrån ett individperspektiv kartlägga och analysera sådana faktiska och potentiella risker för intrång i den personliga integriteten som kan uppkomma i samband med användning av informationsteknik i såväl privat som offentlig verksamhet och att, med beaktande av samhälls- och teknikutvecklingen i stort och mot bakgrund av slutsatserna av kartläggnings- och analysuppdraget, följa upp betänkandet Skyddet för den personliga integriteten (SOU 2008:3) när det gäller behovet av att inrätta ett integritetsskyddsråd. Enligt utredningens direktiv skulle uppdraget redovisas . Uppdraget ska i stället redovisa ett delbetänkande som omfattar dels kartlägg- ningen och analysen av riskerna för integritetsintrång, dels behovet av att inrätta ett integritetsskyddsråd. Uppdraget i övrigt ska redo visas . (Ju 2014:09) Rätten till ett privatliv . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . Individens egna val ................................................ Informationssäkerhet och skydd för privatlivet ............... Koncentrerade respektive distribuerade informationskällor Säker identiﬁering med bibehållen spårbarhet ................ Blinda elektroniska underskrifter ................................ Förebyggande veriﬁerbart skydd ................................ Möjlighet att återta ett medgivande ............................. Ett ledningssystem för persondataskydd . Rätten till ett privatliv 1 Rätten till ett privatliv Många tjänster i vardagen som vilar på modern informationsteknik, och som uppfattas som oumbärliga, medför inte sällan en ingående kartläggning av individen. Exempel på teknik som medför sådan kartläggning innefattar att bära med sig en mobiltelefon, att köra en bil av nyare snitt eller att använda ett betalkort för sina vardagliga inköp. Resor med kollektivtraﬁk företas även företrädesvis med ett kontaktlöst resekort med en identitet som registreras och kan spåras. Utöver detta väljer många att använda sociala medier och söktjänster på internet, som tillhandahålls av leverantörer vars själva affärsidé går ut på att kartlägga individen för att sedan dra nytta av denna kunskap genom till exempel riktad annonsering. tenderar även ﬂer och ﬂer informationskällor uppstå som påför ytterligare dimensioner i kartläggningen av individen. Elmätaren i varje hem är uppkopplad och registrerar i praktiken vanorna i hushållet; från när någon går upp och slår på kaffebryggaren, när det duschas och tappvarmvatten bereds, till när man kommer hem och senare går och lägger sig och släcker ljuset. Det går knappast som enskild medborgare att värja sig mot det integritetsintrång som sker genom användning av dessa tekniker, med mindre än att aktivt välja att inte använda ﬂertalet av dem. Få kan nog tänka sig att sluta köpa elektricitet eller att sluta använda en mobiltelefon. Alternativen, att som konsument försöka skydda sin privata sfär genom olika medel, blir ofta så opraktiskt och kost- samt att det aldrig står som ett reellt alternativ för andra än grovt kriminella. Denna grupp av individer kan tänkas vidta långtgående åtgärder för att undvika att lämna elektroniska fotspår, innefattande att uteslutande använda kontanter, att alltid bruka anonymiserings- tjänster på internet och oregelbundet byta mellan olika mobiltelefoner och oregistrerade på olika platser, och också hålla appara- terna avstängda då de inte behövs. Rätten till ett privatliv Det alternativ som i övrigt står till buds är att de informations- tjänster vi använder i vardagen görs säkra från ett persondataskydds- perspektiv. Denna skrift belyser sådana tekniska, administrativa och organisatoriska åtgärder som kan vidtas för att främja skyddet av privatlivet. Skriften har betydande fokus på informationsutvinning ur stora känsliga uppgiftskällor, men också på hur det kan undvikas att sådana känsliga uppgiftskällor uppstår som sidoeffekt av något annat. Individens egna möjligheter att påverka skyddet av sin privata sfär visavi den kartläggning som följer av vardagen, är som tidigare nämnts begränsad och synnerligen omständlig. Anonymiserings- tjänster på internet kan skydda kommunikationen så att den blir mycket svår att härleda till en internetadress. Men de uppgifter en individ i övrigt sprider genom långvarig användning av informa- tionstjänster ger som regel ändå tillräckligt med information för att unikt kunna identiﬁera denna person bland andra. De individer som inte önskar få sina intressen, farhågor och åkommor kartlagda måste på ett mycket medvetet sätt avstå ifrån att i någon betydande utsträckning använda till exempel sociala medier. Det är emellertid inte endast den information som användaren lämnar ifrån sig i form av direkta personuppgifter, bilder eller berättelser som kan användas för kartläggning. Minst lika mycket information kommer av vilka vänner man har, vilka länkar man klickar på, vilka sidor man gillar, vilka nätverk man ansluter ifrån, et cetera. Även de populära söktjänsterna innebär motsvarande kartläggning. I detta korreleras sökord med andra tjänster som tillhandahålls av leveran- tören. Ett sådant exempel är analys av besökstraﬁk på webbsidor. Mot att webbplatsinnehavaren tillhandahålls ett verktyg för besöks- statistik, får leverantören av söktjänsten del av samma uppgifter, som vidare kan korsrefereras mot varje individuell användare. Dessa uppgifter, som när de sammanställs unikt identiﬁerar en person bland andra, kallas kvasi-identiﬁerare. För att undvika sådan kartläggning krävs av den enskilde använ- daren en betydande kunskap om hur denne ska skydda det egna privatlivet. Det fordras bland annat särskilda insticksprogram i webb- läsaren för att på ett bra sätt blockera funktioner som används för Rätten till ett privatliv Vidare, när sökning efter information sker som på något sätt avslöjar omständigheter som individen önskar hålla för sig själv behöver anonymiseringsteknik användas1 som tvättar kommunika- tionen från uppgifter som annars kan relateras till användaren, till exempel den internetadress som används och det elektroniska fotav- tryck webbläsaren normalt efterlämnar sig. Men även för de som vidtar sådana åtgärder kommer använd- ningen av informationsteknik i vardagen och i arbetslivet i prak- tiken innebära en ingående kartläggning som svårligen kan undvikas. Avgörande för skyddet av den privata sfären blir då om, och i så fall på vilket sätt, sådana uppgifter kan samköras inom eller mellan dessa informationskällor. De strukturerade och stora informationskällorna (“big data”) blir därmed också de som innebär de största riskerna för den enskildes personliga integritet. I ﬁnns en stark kultur och tradition med tillit till statsappa- raten, något som möjligen inte kan sägas gälla i alla av våra grann- länder. Inom och EU ﬁnns ett antal nationer med miljontals människor som i modern tid upplevt förtryckande regimer och svåra övergrepp, och där det därför också ﬁnns en stark skepticism bland befolkningen kring kartläggning och registrering av medborgaren. Därmed förs också integritetsdebatten i en annan ton i till exempel jämfört med . har en av starkaste persondataskyddslagstiftningar, och är ett av de länder inom EU där man tidigt funnit att datalagringsdirektivet står i strid med konsti- tutionen, och där man också rivit upp den nationella lagstiftningen kring detta. Den samhällsdebatt som förs i förefaller dock inte ha lett till någon generellt förändrad inställning till integritetsfrågorna bland medborgarna, i vart fall inte . synes det existera, bland åtminstone en minoritet av befolkningen, en tilltagande oro över den registrering som sker. Den allmänna bristen på transpa- 1Till exempel TOR-browser: Rätten till ett privatliv rens och känslan av att vadhelst man företar sig efterlämnar elektro- niska fotspår kan förväntas vara bidragande orsaker, inte minst bland personer mot vilka det existerar en reell hotbild. Denna oro kan vara mer eller mindre befogad, men så länge uppgifterna existerar ﬁnns ingen absolut säkerhet kring att de inte kan röjas och missbrukas. Att stora informationsläckage med viss regel- bundenhet uppmärksammas i massmedia torde också öka medveten- heten om riskerna bland medborgarna. Utifrån en strikt holistisk vy är det dock svårt att se att det ﬁnns tillräckligt starka kommersiella drivkrafter för att effektiva integritetsskyddande tekniker ska utvecklas och införas på bred front inom den privata sektorn. Snarare synes informationskällor innehål- lande stora mängder personuppgifter betraktas som en värdefull tillgång inom en organisation. Det kan därför knappast förutsättas att privata företag på egen hand och i stor skala går i bräschen för att införa integritetsskyd- dande tekniker på ett sätt som försvårar, fördyrar eller på annat sätt försvagar företagets ställning gentemot dess konkurrenter. Att det uppstår en ökad medvetenhet bland medborgarna kring riskerna med registreringen av de digitala fotspåren är emellertid till nytta för hela samhället, och en nödvändighet för att vårt uppkopplade liv ska kunna fortsätta utvecklas. För att inte denna utveckling i förlängningen ska leda till ohållbara risker för den personliga integriteten är det troligt att frågan i högre grad än nu måste drivas av det allmänna. Myndigheter och offent- ligt styrda bolag utgör en viktig länk i att öka medvetenheten genom att föregå med goda exempel och visa vad kunder och medborgare bör förvänta sig i sina elektroniska relationer. Allt eftersom medve- tenheten ökar bland konsumenter kan den affärsmöjlighet förväntas uppstå, som leder till att smarta integritetsskyddande tekniker blir ett konkurrensmedel som kan stärka ett företags ställning snarare än att försvaga den. Graden av skydd av den privata sfären framställs ofta som en avväg- ning mellan olika motstående intressen, till exempel intresset av att på ett effektivt sätt kunna upptäcka och utreda brottslig verksamhet - ställt mot de frihetliga rättigheterna. Men genom väl utformad Rätten till ett privatliv integritetsfrämjande teknik kan det emellertid gå att uppnå en mer fördelaktig jämvikt mellan dessa intressen. Med det avses att möjlig- heten till spårbarhet kanske kan tillvaratas, som ett effektivt skydd för den privata sfären utformas. Integritetsskyddande tekniker behöver därför inte betyda full- ständig anonymitet och ospårbarhet, men kan kräva att ﬂera aktörer med ansvar för olika informationskällor samverkar för att klarlägga ett visst förlopp. Känsliga uppgifter i ett register kan kopplas till pseu- donyma identiﬁerare, istället för direkta identiﬁerare som till exempel personnummer. Dessa pseudonyma identiﬁerare avses vara olänk- bara mellan olika sammanhang, vilket medför att uppgifter i skilda register inte enkelt kan kopplas samman utan att en delvis betrodd mellanhand tillhandahåller en sådan koppling. Exempel på en sådan tillämpning ﬁnns i avsnitt 2.3. På så sätt kan en administrativ eller organisatorisk separation åstadkommas, som kräver att ﬂera aktörer samverkar kring att sätta samman den kompletta bilden av en person eller ett händelseförlopp. Dessa delvis betrodda mellanhänder behöver emellertid inte vara del i de faktiska händelsekedjorna, och har inte heller samtliga de pussel- bitar som krävs för en kartläggning. Vid till exempel en polisiär utred- ning behöver mellanhanden inte ens känna till vilken information som eftersöks. I det följande visas på ett antal olika prin- ciper och kombinationer av tekniska, administrativa och organisa- toriska åtgärder som kan användas för att åstadkomma ett effektivt skydd för privatlivet, som intresset av användbarhet, kost- nadseffektivitet och spårbarhet omhändertas. 2.1 Informationssäkerhet och skydd för privatlivet Informationssäkerhet och teknik som ger skydd för privatlivet kan sägas vara två olika grenar inom persondataskyddet. Då person- uppgifter som behandlas i ett system ska skyddas inrättas vanligen olika former av informationssäkerhetskontroller, som i enlighet med gällande lagstiftning ska svara upp mot de risker som behandlingen av uppgifterna medför. Skydd av privatlivet med integritetsskyddande teknik kan emel- lertid utformas på sådant sätt att vissa risker aldrig ens uppstår, bland annat enligt principerna för inbyggt integritetsskydd som diskuteras i nästa kapitel. Den avgörande skillnaden mellan dessa två grenar är att integritetsskyddande teknik gör det möjligt att förvissa sig om effektiviteten i skyddet för privatlivet, på ett veriﬁerbart och transparent sätt. Informationssäkerhetskontroller kan förvisso försvåra att uppgifter röjs till obehöriga, men de erbjuder sällan absolut säkerhet på sådant sätt att de inte kan kringgås, eller helt enkelt fallera. Det är också svårt att veriﬁera kontrollernas effektivitet och att skapa transparens i detta avseende. Ett effektivt skydd för privatlivet består därför i samverkande åtgärder inom båda dessa grenar. 2.2Koncentrerade respektive distribuerade infor- mationskällor Att uppgifter inte ﬁnns samlat hos en aktör i en strukturerad och enkelt sökbar form innebär i sig ett visst skydd mot intrång i den Det existerar till exempel ett oräkneligt antal över- vakningskameror i miljöer där allmänheten vistas - i butiker och restauranger, på torg och på arbetsplatser. Hade samtliga bilder samlats in i ett centralt system där de kunde analyseras och samköras hade riskerna för svåra integritetsintrång blivit långt mycket större än då informationen är distribuerad över många olika aktörer med eget ansvar för den egna information, och där det krävs betydande ansträngningar för att samla in och sammanställa uppgifterna. För brottsutredande ändamål kan emellertid den polisiära myndigheten besöka de aktörer som kan tänkas ha material som är intressant i en utredning, för att begära tillgång till just de aktuella bilderna. De enskilda aktörernas bilder är i sig möjligen inte särskilt intressanta var och en för sig, men då ﬂera aktörers material sammanställs och korre- leras träder en mer komplett bild fram. Ett sådant arbetssätt fordrar förstås större resurser, men det illu- strerar väl hur riskerna minskar då uppgifter hålls isär, som spårbarheten bibehålls. På samma sätt minskar riskerna om till exempel olika myndigheters register kan hållas isär, och att det krävs ﬂera olika aktörer som samverkar för att forma den kompletta bilden. 2.3Säker identiﬁering med bibehållen spårbarhet Det ﬁnns inget motsatsförhållande mellan att säkert identiﬁera en person och att låta denne använda en tjänst eller ett system under pseudonym. Måste till exempel en prenumerant på en elektro- nisk utgåva av en tidning identiﬁeras med namn och adress? är det kanske önskvärt att säkerställa att vederbörande efterlever de villkor som följer av tjänsten, till exempel att inte vidare- distribuera utgåvorna eller följa netiketten som gäller för diskussions- forumen. Detta kan realiseras genom att använda intygsbaserad identiﬁe- ring, innebärande att den enskilde legitimerar sig mot en utställare av identitetsintyg. Identitetsintygets innehåll kan variera beroende på vad som krävs för den aktuella tjänsten till vilken användaren söker åtkomst. I dess enklaste form tillhandahålls endast en beständig pseu- donym identiﬁerare, som är unik för relationen mellan användaren och tjänstetillhandahållaren. Mellan olika tjänstetillhandahållare vari- erar den pseudonyma identiﬁeraren på ett sådant sätt att två tjänste- tillhandahållare inte kan samköra sina register för att ﬁnna användare som förekommer i dem båda. Identitetsintyget kan också bära attribut som relaterar till använ- daren, till exempel att innehavaren av intyget är , har en viss kreditvärdighet eller innehar viss juridisk behörighet. Den typen av uppgifter kan ligga till grund för en attributbaserad åtkomstkon- troll som kan användas utan att för den sakens skull behandla namn, personnummer, kön, et cetera.