sou · H4B341 · 2016-06-07 00:00:00 — Förutom skydd mot obehörig åtkomst ställer direktivet krav på bland annat riktighet och spårbarhet for Network and Information Se- curity (), som har uppdraget att samordna EU:s arbete med nät- och informationssäkerhet, har tagit flera initiativ på området. Bland annat tog man fram en guide som beskriver hur skyd- det av integritet kan utformas i it-relaterade tjänster och system. har här utvidgat begreppet för konceptet till Privacy and Data Protection by Design och guiden ger stöd för hur organisatio- ner kan samordna integritetsaspekterna med det övriga informa- tionssäkerhetsarbetet. () har ett liknande angreppssätt. ser informationssä- kerhet som en nödvändig förutsättning för att kunna realisera de ge- mensamma lösningar för ekonomi, handel, hälsa och andra samhälls- funktioner som eftersträvas. Informationssäkerhet och integritet har ett nära samband för vilket bland annat demonstreras av 18 Vägledning – informationssäkerhet vid upphandling, publiceringsnummer MSB 555. 19 Detta beskrivs i MSB:s rapport kring samhällets skydd och beredskap vid all- varliga it-incidenter, publikationsnummer MSB 367-12. att en gemensam arbetsgrupp för informationssäkerhet och integri- tet har skapats.20 Från sida har delta- git i arbetet. har också lyft fram integritetsfrågorna som en viktig framgångsfaktor för den ekonomiska utvecklingen. kom en ny version av där organisa- tionen framhåller att man spelat en viktig roll i främjandet av integritet som ett fundamentalt värde och som ett vill- kor för ett fritt flöde av personuppgifter över landsgränser. Även () and the International Electrotechnical Commission (IEC) arbetar med dessa frågor. En standard med inriktning på personlig integritet har tagits fram, ISO/IEC 29100 Privacy Framework. Standarden ska ses som ett komplement till övriga säkerhetsstandarder som ISO/ IEC 27000 om ledningssystem för informationssäkerhet med syftet att på ett tydligt sätt föra in integritetsaspekterna i det övriga säker- hetsarbetet. Ett viktigt bidrag är de elva principer vars syfte är att stödja en organisation i att skapa it-lösningar och informationshan- tering som värnar den enskildes integritet.21 Informationssäkerhet definieras som en egen princip som ett systematiskt infor- mationssäkerhetsarbete lyfts fram som en förutsättning för att kunna genomföra flertalet av de övriga principerna. 22.5.4Inriktning för informationssäkerheten i ur ett integritetsperspektiv har ett antal initiativ tagits för att för- bättra samhällets informationssäkerhet. Ursprunget till dagens na- informationssäkerhetsarbete går i hög grad att finna i den proposition om samhällets säkerhet och beredskap som regeringen lade fram år 2001.22 I propositionen ingår en strategi för informa- tionssäkerhet i samhället och skydd av samhällsviktiga it-beroende system. Strategin har en mycket tydlig inriktning på statens intresse av att skydda samhällsviktiga verksamheter och då inte minst mot 20 Working Party on in the Digital Economy – WPSPDE. 21 Principer: Consent and choice, Purpose legitimacy and specification, Collection limitation, Data minimization, Use, retention and disclosure limitation, Accuracy and quality, Openness, transparency and notice, Individual participation and access, Accountability, Information se- curity och Privacy compliance. 22 Regeringens proposition Samhällets säkerhet och beredskap, prop. 2001/02:158. Värnet av demokratiska värden och den per- sonliga integriteten ingår också och har funnits med som en målbild i efterföljande utredningar. Den närmast följande utredningen kalla- des InfoSäkutredningen.23 En väsentlig del av utredningens uppdrag var att utveckla strategin som lanserats i propositionen , vilket gjordes genom att utredningen föreslog tio strategiska inrikt- ningar för informationssäkerhetsarbetet En av dessa var: skapa för- troende, trygghet, säkerhet, och öka integritetsskyddet. Utredningens strategiska målbild har med små förändringar kom- mit att leva kvar under . I realiteten kan dock inte utred- ningen sägas ha gjort integritet till en viktig del av den svenska infor- mationssäkerhetspolitiken med tanke på att man inte presenterade några konkreta förslag för att förbättra den enskildes integritets- skydd. Den personliga integriteten, när den omnämns, beskrivs i de flesta fall som en instrumentell förutsättning för att uppnå målen i den svenska it-politiken med en ökad användning av digitala lös- ningar. För att medborgarna ska kunna känna sig trygga och vilja använda exempelvis myndigheters e-tjänster måste ett skydd av den personliga integriteten kunna utlovas. Personuppgiftslagen och Da- tainspektionens uppdrag beskrivs men utredningen gör inga ansatser att integrera det konkreta skyddet av den personliga integriteten i den svenska informationssäkerhetspolitik som man föreslår. I utred- ningens slutbetänkande24 nämns inte heller skyddet av den person- liga integriteten som ett statligt åtagande. Utredningen ger en illustration av ett problem som därefter åter- kommit i många andra sammanhang på grund av att begreppet inte- gritet används i två olika betydelser. Den första betydelsen är den innebörd som begreppet har i exempelvis i personuppgiftslagen. Den andra betydelsen har sitt ursprung i bland annat EU:s definition av informationssäkerhet, där användningen av begreppet är synonymt med det engelska integrity. Begreppet betyder i detta sammanhang företeelsen att en databas, ett nätverk, ett system alternativt en infor- mationsmängd är skyddad från oavsiktlig förändring eller förlust av information. De två olika betydelserna används omväxlande i utred- ningen. Utredningens förslag om en nationell strategi föranledde att regeringen gav ) i uppdrag att ta 23 huvudbetänkande Säker information Förslag till informationssäkerhets- politik. 24 Informationssäkerhetspolitik – Organisatoriska konsekvenser, SOU 2005:71. fram en nationell handlingsplan för samhällets informationssäker- het. Handlingsplanen presenterades och innehöll bland an- nat ett förslag om uppdatering av strategin, ett arbete som den nybil- dade Myndigheten för samhällsskydd och beredskap fick uppdraget att leda. lade regeringen fram en skrivelse om samhällets krisbe- redskap som även innehöll ett längre avsnitt om informationssäker- het och uppdateringen av den nationella strategin. Informationssä- kerhetens betydelse för samhället beskrivs på följande sätt: Informationssäkerhet handlar om att säkra informationssystem i syfte att värna olika värden i samhället såsom demokrati, personlig integritet, tillväxt samt ekonomisk och politisk stabilitet.25 framgår det att inriktningen fortfarande i hög grad är skyddet av nationella intressen: betraktas informationssäkerhet av de flesta länder som en stor natio- nell utmaning och anses också vara av strategisk, utrikespolitisk och säker- hetspolitisk betydelse. Vad som mer än tidigare lyftes fram är att informationssäkerhet är en del av samhällets krisberedskap. Värnet av den personliga integriteten finns med som ett av sex mål för det strategiska informationssäkerhetsarbetet. Det kan därför tyckas inkonsekvent att Datainspektionen inte ingår i den grupp av myndigheter som ska delta i den centrala samordningen av samhäl- lets informationssäkerhet. I regeringsskrivelsen uttalas följande: Det övergripande ansvaret på nationell nivå är uppdelat på ett antal myndigheter bl.a. Myndigheten för samhällsskydd och beredskap (MSB), , , , , Försvarsmakten och . Det är också endast de uppräknade myndigheterna som ingår i Sam- verkansgruppen för informationssäkerhet (Samfi). 25 Regeringens skrivelse 2009/10:124, Samhällets krisberedskap – stärkt samverkan för ökad säkerhet. tillsatte regeringen en ny utredning med uppgift att analysera övergripande och strategiska åtgärder för hantering och över- föring av information i elektroniska kommunikationsnät och it-system (den tidigare nämnda NISU 2014). Utredarens uppdrag var bland annat att föreslå en nationell strategi för hantering och överföring av information i elektroniska kommunikationsnät och it-system, samt föreslå övergripande mål för samhällets informationssäkerhetsar- bete. De förslag, som lades, handlar om det kollektiva skyddet för information som staten ska kunna erbjuda. I de delar utredningens förslag skulle kunna påverka den enskildes personliga integritet före- slår utredningen ytterligare utredningsåtgärder för att väga in sådana aspekter.26 pågår arbete i med en ny strategi för samhällets informationssäkerhet. Datainspektionen är i första hand en tillsynsmyndighet som genom sin verksamhet ska bidra till att behandlingen av personuppgifter inte medför otillbörligt intrång i enskildas personliga integritet. En- ligt personuppgiftslagen ska den som är personuppgiftsansvarig vidta lämpliga tekniska och organisatoriska säkerhetsåtgärder för att skydda personuppgifterna. Den personuppgiftsansvarige bör alltså bedriva ett systematiskt informationssäkerhetsarbete. Till tekniska åtgärder räknas saker som brandväggar, krypteringsfunktioner och virusskydd, medan organisatoriska åtgärder handlar om säkerhetsar- betets organisation och rutiner, instruktioner och policyer. Den underliggande modellen för säkerhetsarbete som Datain- spektionen rekommenderar i sina allmänna råd27 bygger på samma principer som ett ledningssystem för informationssäkerhet () en- ligt ISO/IEC 27001 och 27002, som är de standarder som föreskrivs för statliga myndigheter i MSBFS 2009:10. Den personuppgiftsan- svarige ska kartlägga hotbilden (riskanalys), sätta upp mätbara mål för säkerhetsarbetet, fastställa en policy, skapa en organisation för 26 SOU 2015:23. 27 Datainspektionens allmänna råd om säkerhet för personuppgifter. säkerhetsarbetet, vidta skyddsåtgärder samt följa upp att målen nås. Säkerhetsåtgärderna som föreslås är också desamma som i standar- den: loggning, lösenordshantering, fysiskt skydd för utrustning m.m. 22.7Kommitténs samlade bedömning av området Den enskilda individen har i de flesta fall liten möjlighet att påverka hur de egna personuppgifterna hanteras. Kunskapen om vilka säker- hetsåtgärder som den enskilde själv kan vidta för detta ändamål (för- utom att avstå helt från olika tjänster) är begränsad och fokuserar oftast på åtgärder som att hantera sina lösenord på ett bra sätt. Ett tungt ansvar vilar därmed på privata företag och organisationer och kanske särskilt på offentliga myndigheter när det gäller att skapa ett gott integritetsskydd. Det finns starka indikationer på väsentliga brister i informations- säkerheten hos offentliga organisationer, t.ex. i organisationer med mycket omfattande personuppgiftsbehandlingar som i kommu- nerna. I kapitel 11 om e-förvaltning gör kommittén bedömningen att dessa brister måste sägas medföra en allvarlig risk för den person- liga integriteten. Dessvärre finns det inte några aktuella undersökningar som be- skriver förhållandena på den privata sektorn. Kommittén har därför inte underlag för att göra en generell bedömning över den delen av samhället. Kommittén anser att frånvaron av sådant underlag är en allvarlig brist i sig. En konsekvens av bristerna i informationssäkerheten är att möj- ligheten att upprätthålla ett väl fungerande skydd för den personliga integriteten blir försvårad. Med tanke på att ett antal av de skyddsåt- gärder som rekommenderas av bland annat och , som exempelvis anonymisering, pseudonymisering och kryptering, är svåra att införa inom vissa samhällssektorer, finns ett behov av sam- ordning på nationell nivå, t.ex. när det gäller standarder och normer. Det finns även ett behov av att i högre grad integrera arbetet med att skydda den personliga integriteten med det traditionella informa- tionssäkerhetsarbetet. 23Vilket skydd erbjuder samhället den enskilde? Kommitténs bedömning: Den fysiska eller juridiska person som gör ett otillbörligt intrång i någon annans personliga integritet, löper liten risk att råka ut för någon sanktion, vare sig av tillsyns- myndigheterna, genom någon ersättningsskyldighet eller något straff. Den som drabbas av detta intrång får inte en ersättning som motsvarar den upplevda kränkningen. Sanktionssystemet har på så sätt inte den kompensatoriska och preventiva effekt som är önskvärd. Vår utredning visar att en enskild person utsätts för en mängd olika integritetsrisker i det dagliga livet. Risker som uppstår i kontakten med andra privatpersoner, med företag och med myndigheter. Det finns lagstiftning, branschöverenskommelser och etiska regler som syftar till att minska de risker som finns i samband med hantering av personuppgifter. Men vilka skyddsmekanismer finns det i övrigt mot integritetskränkningar? Finns det verkningsfull tillsyn, ändamålsen- liga möjligheter till ersättning och tillräckliga sanktioner? I kapitel 6 om Det grundläggande rättsliga skyddet och då särskilt avsnittet om sanktioner (6.8) finns en genomgång av de rättsliga regler som syftar till att bestraffa, kompensera och förhindra integri- tetskränkande handlingar genom tillsyn, ersättning och straff. Vilket skydd erbjuder samhället den enskilde? Andra utredningar med angränsade uppdrag En särskild utredare1 har lämnat en översyn av det straffrättsliga skyddet för enskildas personliga integritet, särskilt när det gäller hot och andra kränkningar från andra enskilda. Utredaren har i betänkandet bl.a. anfört att skyddet för den personliga integri- teten bör utformas utifrån att varje människa förtjänar respekt och att bemötas med värdighet.2 I betänkandet föreslås en ny straffbe- stämmelse om olaga integritetsintrång, som innebär ett straffansvar för den som gör intrång i någon annans privatliv genom att sprida bild eller annan uppgift på ett sätt som syftar till att medföra kännbar skada för den som uppgiften rör. Utredaren föreslår också en rad förtydliganden av befintliga straffbestämmelser i till skydd för den personliga integriteten. Dessutom föreslår utred- ningen att rätten till brottsskadeersättning ska utvidgas till vissa äre- kränkningsbrott. Tillsyn är ett annat medel som samhället erbjuder för att bevaka att regler följs som syftar till att stödja den personliga integriteten. Ansvaret för tillsyn på integritetsområdet ligger på flera olika myndigheter. Regeringen beslutade att tillsätta en utredning3 om hur skyddet för den personliga integriteten kan för- stärkas genom att i högre grad samla tillsynen över personuppgifts- behandling hos en myndighet. I syfte att stärka skyddet för den per- sonliga integriteten ska utredaren överväga hur ett i högre grad samlat integritetsskydd kan fungera inom en och samma myndig- hetsstruktur genom att tillsynen över behandling av personuppgifter samlas hos en myndighet. Utredningen om ett modernt och starkt straffrättsligt skydd för den personliga integriteten har alltså lämnat förslag avseende det straffrättsliga skyddet främst vid spridning av uppgifter på nätet och med inriktning på kränkningar mellan enskilda. Utredningen om tillsynen över den personliga integriteten4 lämnar förslag avseende tillsynens organisering. Därtill kommer Mediegrundlags- utredningen5 som bl.a. ska analysera om skyddet för den personliga 1 Dir. 2014:74. 2 Utredningens om ett modernt och straffrättsligt skydd för den personliga interiteten betän- kande Integritet och straffskydd, SOU 2016:7 s. 180. 3 Dir 2014:164. 4 Ju 2015:02. 5 Ju 2014:17. Vilket skydd erbjuder samhället den enskilde? integriteten i databaser med utgivningsbevis är tillräckligt.6Vidare ska Utredningen om dataskyddsförordningen7 bl.a. analysera vilka bestämmelser om administrativa sanktionsavgifter och andra sank- tioner som behöver eller bör införa med anledning av den beslutade allmänna dataskyddsförordningen som ska ersätta dataskyddsdirektivet och personuppgiftslagen (se kapitel 6 om det grundläggande rättsliga skyddet).8 uppdrag Vårt uppdrag är att kartlägga faktiska och potentiella risker som kan påverka enskilda individer från integritetssynpunkt. Vår genomgång visar att behandlingen av personuppgifter ökar kraftigt inom i stort sett samtliga samhällsområden. Därmed kan vi även rent generellt påstå att risken för otillbörliga intrång i den personliga integriteten ökat påtagligt. Det allmänna har ett ansvar för att skydda enskildas privatliv och integritet. Kommittén vill därför undersöka om sam- hället erbjuder ett skydd som är verkningsfullt i samband med de risker som är förknippade med användning av modern informations- teknik. De skyddsmekanismer som vi ska behandla i detta kapitel är: 6 Dir. 2014:97. 7 JU 2016:04. 8 Dir. 2016:15. Vilket skydd erbjuder samhället den enskilde? 23.2.1På vilket sätt kan tillsyn ge ett skydd? Tillsynens syfte är att skydda medborgarnas gemensamma intressen särskilt inom områden som omfattar den enskilde individens rättig- heter, trygghet och säkerhet.9 Tillsyn är en administrativ process ge- nom vilken offentliga organ vakar över följsamheten till demokra- tiskt fattade beslut. Genom tillsynen har lagstiftaren gett vissa myndigheter en rätt – och en skyldighet – att vid behov ingripa mot förhållanden, hand- lingar, processer m.m. vilka strider mot medborgarnas intressen som de har reglerats i lag. Tillsynen spelar på detta sätt en viktig roll för medborgarnas förtroende för såväl staten som för andra vitala funk- tioner i samhället.10 När det gäller skyddet för den personliga integriteten kan tillsy- nen sägas vara särskilt viktig. Dels introduceras i en mycket snabb takt nya företeelser, som det finns anledning att fortlöpande bedöma ur ett rättsligt perspektiv. Dels är regelverket tämligen oprecist och avsiktligt allmänt hållet. Det är därför ofta först när tillsynsmyndig- heten har bedömt en företeelse, som leverantörer och användare får någon ledning. Resultatet från tillsynen kan sedan användas i till- synsmyndighetens utåtriktade och proaktiva arbete för att sprida kunskap. Det finns flera myndigheter som har i uppdrag att vaka över att de regler följs som syftar till att skydda den enskildes rätt till en skyd- dad sfär. I kapitel 6 finns en översiktlig beskrivning av tillsynsmyn- digheterna och deras uppdrag. När det gäller tillsynen över behand- ling av personuppgifter är det Datainspektionen som har det övergripande ansvaret. Datainspektionen ska genom sin tillsyns- verksamhet bidra till att behandlingen av personuppgifter inte leder till otillbörliga intrång i enskilda individers personliga integritet. 9 betänkande Statlig tillsyn – Granskning på medborgarnas uppdrag, SOU 2002:14, s. 138. 10 SOU 2002:14, s. 139. Vilket skydd erbjuder samhället den enskilde? Det är som ansvarar för tillsyn enligt lagen (2003:389) om elektronisk kommunikation och dess integritets- skyddsregler. Lagens regler om integritet gäller behandling av upp- gifter som har samband med elektroniska kommunikationsnät eller elektroniska kommunikationstjänster. Dessa regler handlar bland annat om vad operatörerna får göra med uppgifter om sina kunder och uppgifter som är nödvändiga för att kommunikationen ska kunna förmedlas. Reglerna har sitt ursprung i det bakomliggande EU-direktivet om integritet och elektronisk kommunikation (2002/58/EC). Även har en roll när det gäller tillsyn över intrång i enskilda konsumenters personliga integritet. ut- övar tillsyn enligt lagen (1994:1512) om avtalsvillkor i konsument- förhållanden. kan utfärda föreläggan- den och inleda rättsprocesser mot företag som bryter mot lagen om avtalsvillkor i konsumentförhållanden. ombudsmän () är en myndighet under och en del av kontrollmakt. Justitieom- budsmannen har bl.a. i uppgift att se till att myndigheter och dom- stolar följer regeringsformens bestämmelser om opartiskhet och saklighet samt att den offentliga verksamheten inte gör intrång i medborgarnas grundläggande fri- och rättigheter. Justitiekanslern utövar tillsyn över myndigheter och deras tjänste- män. Tillsynen syftar till att kontrollera att lagar och andra författ- ningar följs och är främst inriktad på att upptäcka systematiska fel i den offentliga verksamheten. Vilket skydd erbjuder samhället den enskilde? Länsstyrelserna utöver tillsyn när det gäller kameraövervakning av platser dit allmänheten har tillträde. Det finns även sektorsspecifika myndigheter som utövar tillsyn, t.ex. Inspektionen för vård och om- sorg, samt Statens inspektion för försvarsunderrättelseverksamheten. Datainspektionen är en myndighet med ca 45 årsarbetskrafter. Uppdraget är omfattande. Myndigheten har tillsynsansvar över i stort sett all personuppgiftsbehandling i hela samhället. När det gäller klagomål från människor som upplever att de blivit kränkta genom att deras personuppgifter har publicerats på internet kan Datainspektionen sällan agera. Till exempel kan de anmälda webbplatserna eller publiceringarna träffas av något av undantagen i personuppgiftslagen (1998:204), som innebär att lagen inte ska til - lämpas. Vidare kan det vara svårt eller omöjligt för Datainspektionen att utreda vem som t.ex. står bakom en viss publicering på internet. Enligt vad Datainspektionen uppger i årsredovisningen är de klagomål som gäller internetkränkningar ofta mycket resurskrä- vande, eftersom det ofta är fråga om svåra överväganden där det gäl- ler att bedöma var gränsen går i förhållande till den grundlagsskyd- dade yttrandefriheten. Datainspektionen har inte resurser att utreda alla inkommande klagomål, utan prioriterar ärenden där myndighe- ten kan åstadkomma största möjliga nytta, ärenden som innebär tyd- liga överträdelser av personuppgiftslagen och sådana som kan leda till att ny praxis skapas. Eftersom Datainspektionens tillsynsmöjlig- heter på internetområdet i vissa fall är begränsade är informations- spridning och samverkan med andra myndigheter, i arbetet som handlar om kränkningar på internet, en viktig del av Datainspektio- nens arbete. Datainspektionen har , efter klagomål från enskilda, inlett ett större tillsynsärende mot ett företag som tillhan- dahåller en sökmotor på internet, avseende den så kallade rätten att bli glömd. Av Datainspektionens årsredovisning framgår att allt mer resurser läggs på att svara på remisser och delningar. Antalet av- givna remissyttranden har ökat från 117 till 2015. Vilket skydd erbjuder samhället den enskilde? har antalet påbörjade tillsynsärenden minskat från 214 ärenden till 85 ärenden och enbart 53 ärenden . Kostnaderna för att svara på remisser har ökat med ungefär tre miljoner som kostnaderna för tillsynsärenden minskat med omkring två miljoner. Enligt uppgift från Datainspektionen har myndigheten gjort 18 polisanmälningar avseende brott mot per- sonuppgiftslagen. Bestämmelserna om Datainspektionens befogenheter återfinns i huvudsak i 43–47 §§ personuppgiftslagen och reglerar sådant som exempelvis följande. •Myndighetens rätt att för sin tillsyn få tillgång till personupp gifter och tillträde till lokaler (43 §). •Myndighetens möjlighet att vid vite förbjuda den personupp- giftsansvarige att behandla personuppgifterna på annat sätt än genom att lagra dem (44 §). •Myndighetens möjlighet att föreskriva vite om den personupp- giftsansvarige inte frivilligt följer att beslut om säkerhetsåtgärder enligt 32 § personuppgiftslagen (45 §). Datainspektionen har alltså möjlighet att vid vite föreskriva den per- sonuppgiftsansvarige att vidta åtgärder för att rätta eventuella brister som myndigheten funnit i sin tillsyn. Ett sådant vite kan dock enligt 45 § personuppgiftslagen endast föreskrivas för att förmå den personuppgiftsansvarige att vidta säkerhetsåtgärder. Någon annan möjlighet att med vite förena ett föreläggande om att uppnå ett visst resultat eller att vidta åtgärder som rör annat än säkerhet, finns således inte. Datainspektionen har i en skrivelse till Regeringen framfört att det finns behov av att på ett allmänt plan se över myndighetens roll och uppdrag. En brist som Datainspektionen 11 Datainspektionens skrivelse till regeringen , dnr 1760-2011. Vilket skydd erbjuder samhället den enskilde?